O projeto ntop, que desenvolve ferramentas para captura e análise de tráfego, publicou um conjunto de ferramentas para inspeção profunda de pacotes nDPI 6.0, dando continuidade ao desenvolvimento da biblioteca OpenDPI. O projeto nDPI foi criado após uma tentativa malsucedida de enviar alterações para o repositório OpenDPI, que ficou sem manutenção. O código nDPI é escrito em C e é distribuído sob a licença LGPLv3.
O sistema permite identificar os protocolos de nível de aplicativo no tráfego, analisando a natureza da atividade da rede sem uma ligação aos ports de rede (pode identificar protocolos conhecidos cujos manipuladores aceitam conexões em ports de rede não padrão, por exemplo, se http não é enviado pela porta 80, ou, inversamente, quando alguma outra atividade de rede tenta se camuflar como http ao ser executada na porta 80).
As diferenças em relação ao OpenDPI resumem-se ao suporte para protocolos adicionais, portabilidade para a plataforma Windows, otimização de desempenho, adaptação para uso em aplicações de monitoramento de tráfego em tempo real (algumas funcionalidades específicas que retardavam o motor foram removidas), a possibilidade de compilação como módulo do kernel Linux e suporte para identificação de subprotocólos.
Suporta a identificação de 56 tipos de ameaças de rede (flow risk) e mais de 450 protocolos e aplicativos (de OpenVPN, Tor, QUIC, SOCKS, BitTorrent e IPsec até Telegram, Viber, WhatsApp, PostgreSQL e chamadas ao Gmail, Office 365, Google Docs e YouTube). Inclui um decodificador de certificados de servidor e cliente, SSL-certificados, que permite identificar o protocolo (por exemplo, Citrix Online e Apple iCloud), utilizando o certificado de criptografia. Para análise do conteúdo de dumps pcap ou tráfego atual através da interface de rede, é fornecida a ferramenta nDPIreader.
No novo lançamento:
- As condições de licença foram alteradas. A biblioteca básica nDPI continua a ser distribuída sob a licença LGPLv3, mas alguns módulos de análise de tráfego, como DNS, QUIC e TLS, foram transferidos para uma licença dupla: LGPLv3 para projetos não comerciais e uma licença comercial para projetos que geram lucro.
- Foi adicionada a capacidade de detectar e bloquear ataques DoS do tipo Slowloris, Slow POST e Slow GET, nos quais o cliente recebe uma resposta ou envia uma solicitação muito lentamente, sem fechar a conexão, mas não permitindo interrupções por timeout, o que permite esgotar o limite de conexões ativas.
- Aumentou a confiabilidade da formação de impressões de tráfego JA4, permitindo detectar atividades maliciosas. Para reduzir a probabilidade de falsos positivos, foi implementada a computação seletiva de hashes JA4, que não abrange algumas extensões TLS dependentes da sessão, como a extensão para renovação de sessões através de chaves previamente negociadas (PSK), que diminuem a singularidade dos hashes JA4.
- Suporte adicionado para o mecanismo de rastreamento USDT (Userland Statically Defined Tracing), integrado ao aplicativo e que não gera carga adicional quando desativado. O USDT permite inspecionar o funcionamento do nDPI por meio das utilidades bpftrace e perf em ambientes de trabalho servidores sem o uso de compilações de depuração separadas.
- Suporte adicionado para inspecionar os protocolos Meshtastic, libp2p, YGGDRASIL e Nebula, utilizados em redes overlay e mesh.
- Implementada a possibilidade de classificação de dados nos formatos JSON e MsgPack, além da separação de atividades relacionadas a diferentes serviços do GitHub (Copilot, Packages, Actions) e Proton (Mail, Pass, Drive, Calendar, Docs, Wallet, Lumo, Meet).
- Suporte adicionado para a identificação de tráfego de chamadas de voz e vídeo.
- Novas categorias de gerenciamento de conteúdo foram propostas: crianças, motores de busca, violência, drogas e armas.
Fonte: opennet.ru
