Disponível o sistema de inspeção profunda de pacotes nDPI 3.0

Projeto ntop, desenvolvendo ferramentas para captura e análise de tráfego, publicou lançamento de ferramentas para inspeção profunda de pacotes nDPI 3.0, que continua a evolução da biblioteca OpenDPI. O projeto nDPI foi fundado após uma tentativa malsucedida de transferir mudanças para repositório OpenDPI, que ficou sem suporte. O código nDPI é escrito em linguagem C e é distribuído licenciado sob LGPLv3.

Projeto permite identificar os protocolos utilizados no tráfego de nível de aplicação, analisando a natureza da atividade na rede sem estar vinculado às portas de rede (pode identificar protocolos conhecidos, cujos manipuladores aceitam conexões em portas de rede não padrão, por exemplo, se http não for servido pela porta 80, ou, inversamente, quando alguma outra atividade de rede tenta se camuflar como http através da execução na porta 80).

As diferenças do OpenDPI incluem suporte a protocolos adicionais, portabilidade para a plataforma Windows, otimização de desempenho, adaptação para uso em aplicativos de monitoramento de tráfego em tempo real (removendo algumas funcionalidades específicas que atrasavam o motor),
capacidade de compilação como um módulo do kernel Linux e suporte à identificação de subprotocolos.

No total, 238 protocolos e aplicativos são suportados, desde
OpenVPN, Tor, QUIC, SOCKS, BitTorrent e IPsec até Telegram,
Viber, WhatsApp, PostgreSQL e acessos ao GMail, Office365
GoogleDocs e YouTube. Inclui um decodificador de certificados SSL de servidor e cliente, permitindo a identificação do protocolo (por exemplo, Citrix Online e Apple iCloud), utilizando o certificado de criptografia. Para análise de conteúdo de dumps pcap ou tráfego atual através da interface de rede, é fornecida a ferramenta nDPIreader.

$ .\/nDPIreader -i eth0 -s 20 -f «host 192.168.1.10»

Protocolos detectados:
DNS pacotes: 57 bytes: 7904 fluxos: 28
SSL_No_Cert pacotes: 483 bytes: 229203 fluxos: 6
FaceBook pacotes: 136 bytes: 74702 fluxos: 4
DropBox pacotes: 9 bytes: 668 fluxos: 3
Skype pacotes: 5 bytes: 339 fluxos: 3
Google pacotes: 1700 bytes: 619135 fluxos: 34

No novo lançamento:

• As informações sobre o protocolo agora são exibidas imediatamente durante a identificação, sem esperar pela obtenção de metadados completos (mesmo quando campos específicos ainda não foram analisados devido à falta de pacotes de rede correspondentes), o que é relevante para analisadores de tráfego que precisam reagir rapidamente a determinados tipos de tráfego. Para aplicativos que exigem uma análise completa do protocolo, foi proposto o API ndpi_extra_dissection_possible(), que permite garantir que todos os metadados do protocolo estejam definidos.
• Foi implementada uma análise mais profunda do TLS, extraindo informações sobre a validade do certificado e o hash SHA-1 do certificado.
• Foi adicionado ao aplicativo nDPIreader a flag '-C' para exportação em formato CSV, o que possibilita, com a ajuda de ferramentas adicionais da ntop realizar amostragens estatísticas bastante complexas. Por exemplo, para identificar o IP do usuário que assistiu filmes por mais tempo no NetFlix:

  $ ndpiReader -i netflix.pcap -C /tmp/netflix.csv
  $ q -H -d ‘,’ “select src_ip,SUM(src2dst_bytes+dst2src_bytes) from /tmp/netflix.csv where ndpi_proto like ‘%NetFlix%’ group by src_ip”

  192.168.1.7,6151821

• Adicionada suporte à técnica proposta em Cisco Joy para determinar atividades maliciosas ocultas em tráfego criptografado, utilizando a análise de tamanho de pacotes e tempo de envio/delays. No ndpiReader, o método é ativado pela opção ‘-J’. Foi garantida a classificação de protocolos em categorias.
• Adicionada suporte ao cálculo de IAT (Inter-Arrival Time) para detectar anomalias no uso do protocolo, por exemplo, para identificar o uso do protocolo em ataques DoS.
• Adicionadas capacidades de análise de dados com base em métricas calculadas, como entropia, média, desvio padrão e variância.
• Uma versão inicial dos bindings para a linguagem Python foi proposta.
• Adicionado o modo de identificação em tráfego de strings legíveis para detectar vazamentos de dados. No
• ndpiReader, o modo é ativado pela opção ‘-e’.
  Adicionada suporte ao método de identificação de clientes TLS
• JA3 , que permite identificar qual software está sendo utilizado para estabelecer a conexão com base nas características de negociação de conexões e parâmetros especificados (por exemplo, permite identificar o uso do Tor e outros aplicativos padrão).Adicionada suporte a métodos de identificação de implementações SSH (
• ) e DHCP.HASSHAdicionadas funções para serialização e desserialização de dados nos
• formatos Type-Length-Value (TLV) e JSON.
  formatos Type-Length-Value (TLV) e JSON.
• Suporte adicionado para protocolos e serviços: DTLS (TLS sobre UDP),
  Hulu,
  TikTok/Musical.ly,
  WhatsApp Video,
  DNSoverHTTPS,
  Economizador de dados,
  Line,
  Google Duo, Hangout,
  WireGuard VPN,
  IMO,
  Zoom.us.
• Aprimorado suporte à análise de TLS, SIP, STUN,
  Viber,
  WhatsApp,
  AmazonVideo,
  SnapChat,
  FTP,
  QUIC
  OpenVPN UDP,
  Facebook Messenger e Hangout.

Fonte: opennet.ru