O projeto ntop, que desenvolve ferramentas para captura e análise de tráfego, publicou um toolkit para inspeção profunda de pacotes nDPI 4.10, continuando o desenvolvimento da biblioteca OpenDPI. O projeto nDPI foi criado após uma tentativa malsucedida de enviar alterações para o repositório OpenDPI, que ficou sem manutenção. O código do nDPI é escrito em C e é distribuído sob a licença LGPLv3.
O sistema permite identificar os protocolos de nível de aplicativo utilizados no tráfego, analisando a natureza da atividade de rede sem amarras a portas de rede (pode identificar protocolos conhecidos cujos manipuladores aceitam conexões em portas de rede não padronizadas, por exemplo, se http é servido de uma porta diferente de 80, ou vice-versa, quando alguma outra atividade de rede é tentada para ser camuflada como http ao rodar na porta 80).
As diferenças em relação ao OpenDPI consistem no suporte a protocolos adicionais, portabilidade para a plataforma Windows, otimização de desempenho, adaptação para uso em aplicativos de monitoramento de tráfego em tempo real (algumas funcionalidades específicas que atrasavam o mecanismo foram removidas), a capacidade de ser compilado como um módulo do núcleo Linux e suporte para a identificação de subprotocolos.
Suporta a identificação de 55 tipos de ameaças de rede (flow risk) e mais de 420 protocolos e aplicativos (desde OpenVPN, Tor, QUIC, SOCKS, BitTorrent e IPsec até Telegram, Viber, WhatsApp, PostgreSQL e acessos ao Gmail, Office 365, Google Docs e YouTube). Há um decodificador de servidores e clientes de certificados SSL, permitindo identificar o protocolo (por exemplo, Citrix Online e Apple iCloud), usando o certificado de criptografia. Para análise de conteúdo de dumps pcap ou tráfego atual através da interface de rede, é fornecida a ferramenta nDPIreader.
No novo lançamento:
- Foi adicionada uma suporte inicial à tecnologia FPC (Classificação do Primeiro Pacote), destinada a identificar protocolos, aplicativos e serviços pelo primeiro pacote enviado ao estabelecer a conexão. O FPC é implementável apenas para alguns protocolos e permite reduzir significativamente a carga no CPU durante a inspeção de tráfego.
- Adicionou suporte e análise de mais de 70 novos protocolos e serviços, dentre os quais:
- Adobe Connect
- ANSI C12.22
- Apache Kafka
- Beckhoff ADS
- BFCP
- BFD
- Bluesky
- Call of Duty Mobile
- CAN over Ethernet
- Ceph
- ClickHouse
- DLE
- DTLS 1.3
- Suporte a Elder Scrolls Online (#2376)
- ElectronicArts
- decodificador de protocolo ethereum
- Ethernet Global Data
- Ether-S-Bus
- Ether-S-I/O
- FB-Threads
- FLUTE
- Gearman
- Google Chat
- Google Protobuf
- HART-IP
- HiSLIP
- HL7
- HLS
- IEC62056 (DLMS/COSEM)
- IEEE 1588-2008 (PTPv2)
- IEEE C37.118
- ISO 9506-1 MMS
- JSON-RPC
- KCP
- KNXnet/IP
- Protocolo de Distribuição de Rótulos
- Mastodon
- Monero
- Mumble
- Nano (XNO)
- Naraka Bladepoint
- NetEase
- NoMachine NX
- Omron FINS
- OPC UA
- OpenFlow
- OpenWire
- Path of Exile
- PFCP
- Suporte ao PIA (Acesso à Internet Privado) (#2250)
- PROFINET/IO
- Radmin
- Raft
- Protocolo do probe Ripe Atlas.
- Roughtime
- RTPS
- S7Comm
- Schneider Electric UMAS
- STOMP
- TencentGames
- Bot do Twitter
- UFTP
- Viber (voip)
- WebDAV
- Yojimbo (netcode)
- ZUG
- Melhorada a análise e a identificação de protocolos e serviços:
- Bittorrent
- Cloudflare WARP
- CORBA
- CryNetwork
- DNS
- Dropbox
- eDonkey
- H323
- Kafka
- MySQL
- PrimeVideo
- Protobuf
- QUIC
- Telegram
- TFTP
- Twitter/X (#2482)
- Wireguard
- Zoom
- Novos identificadores de protocolos relacionados a conteúdo adulto, publicidade, web análise e rastreamento de movimentos foram adicionados.
- A gama de ameaças de rede identificáveis e problemas relacionados ao risco de comprometimento (flow risk) foi ampliada.
- Adicionado um script para carregar e atualizar a lista de sufixos de domínio.
- Foi garantida a identificação do tráfego Huawei.
- A otimização de desempenho foi realizada.
- Apoio ampliado IPv6.
Fonte: opennet.ru
