O projeto ntop, que desenvolve ferramentas para captura e análise de tráfego, lançou uma nova versão da ferramenta de inspeção profunda de pacotes nDPI 4.0, que continua a evolução da biblioteca OpenDPI. O projeto nDPI foi criado após uma tentativa malsucedida de transferir alterações para o repositório OpenDPI, que ficou sem suporte. O código do nDPI é escrito em C e é distribuído sob a licença LGPLv3.
O projeto permite identificar os protocolos de nível de aplicativo em tráfego, analisando o caráter da atividade de rede sem vínculo a portas de rede (pode identificar protocolos conhecidos cujos manipuladores aceitam conexões em portas de rede não padrão, por exemplo, quando http não é servido pela porta 80 ou, inversamente, quando alguma outra atividade de rede tenta se camuflar como http ao ser executada na porta 80).
As diferenças em relação ao OpenDPI se resumem ao suporte a protocolos adicionais, portabilidade para a plataforma Windows, otimização de desempenho, adaptação para aplicação em aplicativos de monitoramento de tráfego em tempo real (foram removidas algumas funcionalidades específicas que diminuíam o motor), e a possibilidade de compilação na forma de módulo do núcleo Linux, além do suporte à identificação de subprotocolos.
No total, suporta a identificação de 247 protocolos e aplicativos, desde OpenVPN, Tor, QUIC, SOCKS, BitTorrent e IPsec até Telegram, Viber, WhatsApp, PostgreSQL e acessos ao GMail, Office365, GoogleDocs e YouTube. Inclui um decodificador de solicitações de servidor e cliente. de certificados SSL, que permite identificar o protocolo (por exemplo, Citrix Online e Apple iCloud), utilizando o certificado de criptografia. Para a análise de conteúdo de arquivos pcap ou tráfego atual através da interface de rede, é fornecida a ferramenta nDPIreader.
$ ./nDPIreader -i eth0 -s 20 -f "host 192.168.1.10" Protocolos detectados: DNS pacotes: 57 bytes: 7904 fluxos: 28 SSL_No_Cert pacotes: 483 bytes: 229203 fluxos: 6 FaceBook pacotes: 136 bytes: 74702 fluxos: 4 DropBox pacotes: 9 bytes: 668 fluxos: 3 Skype pacotes: 5 bytes: 339 fluxos: 3 Google pacotes: 1700 bytes: 619135 fluxos: 34
No novo lançamento:
- Melhorado o suporte a métodos de análise de tráfego criptografado (ETA — Análise de Tráfego Criptografado).
- Implementado suporte ao método aprimorado de identificação de clientes TLS JA3+, que permite, com base nas peculiaridades do estabelecimento de conexões e parâmetros definidos, identificar qual software é usado para criar a conexão (por exemplo, permite identificar o uso do Tor e outros aplicativos comuns). Ao contrário do método JA3 anteriormente suportado, o JA3+ apresenta um menor número de falsos positivos.
- O número de ameaças de rede detectadas e problemas relacionados ao risco de comprometimento (flow risk) foi ampliado para 33. Novos identificadores de ameaças foram adicionados, relacionados ao acesso remoto à área de trabalho e arquivos, tráfego HTTP suspeito, JA3 e SHA1 maliciosos, consultas a domínios problemáticos e sistemas autônomos, e uso de certificados TLS com extensões suspeitas ou prazos de validade excessivamente longos.
- Uma otimização significativa de desempenho foi realizada, comparado à versão 3.0, a velocidade de processamento de tráfego aumentou em 2,5 vezes.
- Suporte GeoIP foi adicionado para determinar a localização por endereço IP.
- API para calcular o RSI (Índice de Força Relativa) foi adicionada.
- Implementados recursos de gerenciamento de fragmentação.
- API para calcular a homogeneidade do fluxo (jitter) foi adicionada.
- Suporte para protocolos e serviços adicionado: AmongUs, AVAST SecureDNS, CPHA (CheckPoint High Availability Protocol), DisneyPlus, DTLS, Genshin Impact, Gestão de Grupo de Máquinas Virtuais HP (hpvirtgrp), Mongodb, Pinterest, Reddit, Snapchat VoIP, Tumblr, Assistente Virtual (Alexa, Siri), Z39.50.
- Melhorada a análise e definição dos protocolos AnyDesk, DNS, Hulu, DCE/RPC, dnscrypt, Facebook, Fortigate, Controle FTP, HTTP, IEC104, IEC60870, IRC, Netbios, Netflix, Ookla speedtest, openspeedtest.com, Outlook / MicrosoftMail, QUIC, RTSP, RTSP via HTTP, SNMP, Skype, SSH, Steam, STUN, TeamViewer, TOR, TLS, UPnP, wireguard.
Fonte: opennet.ru
