Projekt ntop, vyvíjajúci nástroje pre zachytávanie a analýzu sieťovej prevádzky, zverejnil nástroj na hlboké skúmanie paketov nDPI 6.0, ktorý pokračuje vo vývoji knižnice OpenDPI. Projekt nDPI bol založený po neúspešnom pokuse o prenos zmien do repozitára OpenDPI, ktorý zostal bez podpory. Kód nDPI je napísaný v jazyku C a je distribuovaný pod licenciou LGPLv3.
Systém umožňuje identifikovať protokoly aplikačnej úrovne v prevádzke analýzou charakteru sieťovej aktivity bez viazania na sieťové porty (môže identifikovať známe protokoly, ktorých spracovatelia prijímajú spojenia na nestandardných sieťových portoch, napríklad ak http nie je na porte 80, alebo naopak, keď sa nejaká iná sieťová aktivita snaží maskovať ako http pomocou spustenia na porte 80).
Rozdiely oproti OpenDPI spočívajú v podpore ďalších protokolov, portovaní pre platformu Windows, optimalizácii výkonu, prispôsobení pre aplikácie na monitoring trafficu v reálnom čase (niektoré špecifické funkcie, ktoré spomaľovali engine, boli odstránené), možnosti zostavenia v podobe modulu jadra Linux a podpore identifikácie subprotokolov.
Podporuje sa identifikácia 56 typov sieťových hrozieb (flow risk) a viac ako 450 protokolov a aplikácií (od OpenVPN, Tor, QUIC, SOCKS, BitTorrent a IPsec po Telegram, Viber, WhatsApp, PostgreSQL a požiadavky na Gmail, Office 365, Google Docs a YouTube). Je k dispozícii dekodér serverových a klientských SSL-certifikátov, ktorý umožňuje určiť protokol (napríklad Citrix Online a Apple iCloud), pričom sa využíva certifikát šifrovania. Na analýzu obsahu pcap-dumpov alebo aktuálnej prevádzky prostredníctvom sieťového rozhrania je dodávaný nástroj nDPIreader.
V novom vydaní:
- Zmenili sa podmienky licencovania. Základná knižnica nDPI sa naďalej dodáva pod licenciou LGPLv3, ale niektoré moduly na analýzu prevádzky, ako DNS, QUIC a TLS, prešli na dvojitú licenciu: LGPLv3 pre nekomerčné projekty a komerčnú licenciu pre projekty využívané na zisk.
- Bola pridaná možnosť identifikovať a blokovať DoS útoky triedy Slowloris, Slow POST a Slow GET, pri ktorých klient prijíma odpoveď alebo posiela požiadavku veľmi pomaly, neuzatvára spojenia, a zároveň nedovolí prerušenie na základe časového limitu, čo umožňuje vyčerpať limit na počet aktívnych spojení.
- Zvýšená spoľahlivosť generovania otlačkov prevádzky JA4, ktorá umožňuje identifikáciu škodlivej aktivity. Na zníženie pravdepodobnosti falošných poplachov bolo implementované selektívne vypočítavanie hashov JA4, ktoré nezahŕňa niektoré na relácii závislé rozšírenia TLS, ako napríklad rozšírenie na obnovenie relácií prostredníctvom predbežne dohodnutých kľúčov (PSK), čím sa znižuje jedinečnosť hashov JA4.
- Pridaná podpora mechanizmu sledovania USDT (Userland Statically Defined Tracing), integrovaného do aplikácie a nevytvárajúceho dodatočné zaťaženie v vypnutej polohe. USDT umožňuje inspekciu fungovania nDPI pomocou utilít bpftrace a perf na pracovných serveroch bez použitia osobitných ladených zostáv.
- Pridaná podpora inspekcie protokolov Meshtastic, libp2p, YGGDRASIL a Nebula, používaných v overlay a mesh sieťach.
- Realizovaná možnosť klasifikácie dát vo formátoch JSON a MsgPack, ako aj rozdelenie aktivity súvisiacej s rôznymi službami GitHub (Copilot, Packages, Actions) a Proton (Mail, Pass, Drive, Calendar, Docs, Wallet, Lumo, Meet).
- Pridaná podpora vyčlenenia v prevádzke hlasových a video hovorov.
- Navrhnuté nové kategórie správy obsahu: deti, vyhľadávače, násilie, drogy a zbrane.
Zdroj: opennet.ru
