Projekt ntop, ktorý vyvíja nástroje na zachytávanie a analýzu premávky, zverejnil verziu nástroja na hĺbkovú analýzu paketov nDPI 4.0, ktorá pokračuje vo vývoji knižnice OpenDPI. Projekt nDPI bol založený po neúspešnom pokuse o prenesenie zmien do repozitára OpenDPI, ktorý ostal bez podpory. Kód nDPI je napísaný v jazyku C a šíri sa pod licenciou LGPLv3.
Projekt umožňuje identifikovať v premávke používané protokoly na úrovni aplikácie, pričom analyzuje charakter sieťovej aktivity bez viazania na sieťové porty (môže identifikovať známe protokoly, ktorých spracovatelia prijímajú pripojenia na netradičných sieťových portoch, napríklad ak http nie je poskytované z portu 80, alebo naopak, keď sa nejaká iná sieťová aktivita snaží zakamuflovať pod http spustením na porte 80).
Rozdiely oproti OpenDPI spočívajú v podpore dodatočných protokolov, portovaní pre platformu Windows, optimalizácii výkonu, prispôsobení na aplikácie na monitoring premávky v reálnom čase (boli odstránené niektoré špecifické funkcie, ktoré spomaľovali motor), možnostiach zostavenia ako modulu jadra Linux a podpore identifikácie subprotokolov.
Celkovo sa podporuje identifikácia 247 protokolov a aplikácií, od OpenVPN, Tor, QUIC, SOCKS, BitTorrent a IPsec po Telegram, Viber, WhatsApp, PostgreSQL a prístupy na GMail, Office365, GoogleDocs a YouTube. Existuje dekodér pre serverové a klientské. SSL certifikátov, ktorý umožňuje identifikovať protokol (napríklad Citrix Online a Apple iCloud) pomocou šifrovacieho certifikátu. Na analýzu obsahu súborov pcap alebo aktuálneho trafficu cez sieťové rozhranie sa dodáva utilita nDPIreader.
$ ./nDPIreader -i eth0 -s 20 -f "host 192.168.1.10" Detekované protokoly: DNS pakety: 57 bajty: 7904 toky: 28 SSL_No_Cert pakety: 483 bajty: 229203 toky: 6 FaceBook pakety: 136 bajty: 74702 toky: 4 DropBox pakety: 9 bajty: 668 toky: 3 Skype pakety: 5 bajty: 339 toky: 3 Google pakety: 1700 bajty: 619135 toky: 34
V novom vydaní:
- Vylepšená podpora metód analýzy šifrovanej premávky (ETA — Encrypted Traffic Analysis).
- Bola implementovaná podpora vylepšenej metódy identifikácie TLS klientov JA3+, ktorá umožňuje na základe vlastností vyjednávania pripojení a zadaných parametrov určiť, aký softvér sa používa na nadväzovanie pripojenia (napríklad umožňuje určiť používanie Tor a iných typických aplikácií). Na rozdiel od predtým podporovanej metódy JA3, JA3+ sa vyznačuje nižším počtom falošných poplachov.
- Počet odhaľovaných sieťových hrozieb a problémov súvisiacich s rizikom kompromitácie (flow risk) bol rozšírený na 33. Boli pridané nové identifikátory hrozieb súvisiacich s poskytovaním spoločného prístupu k pracovnej ploche a súborom, podozrivým HTTP prenosom, škodlivými JA3 a SHA1, prístupom k problematickým doménam a autonómnym systémom, použitím certifikátov v TLS s podozrivými rozšíreniami alebo príliš dlhou platnosťou.
- Prebehla významná optimalizácia výkonnosti, v porovnaní s vetvou 3.0 sa rýchlosť spracovania prenosu zvýšila 2,5-krát.
- Pridaná podpora GeoIP na určenie polohy podľa IP adresu.
- Pridané API na výpočet RSI (Relative Strength Index).
- Implementované prostriedky na riadenie fragmentácie.
- Pridané API na výpočet homogénnosti prenosu (jitter).
- Pridaná podpora protokolov a služieb: AmongUs, AVAST SecureDNS, CPHA (CheckPoint High Availability Protocol), DisneyPlus, DTLS, Genshin Impact, HP Virtual Machine Group Management (hpvirtgrp), Mongodb, Pinterest, Reddit, Snapchat VoIP, Tumblr, Virtuálny asistent (Alexa, Siri), Z39.50.
- Zlepšené parsovanie a identifikácia protokolov: AnyDesk, DNS, Hulu, DCE/RPC, dnscrypt, Facebook, Fortigate, FTP Control, HTTP, IEC104, IEC60870, IRC, Netbios, Netflix, Ookla speedtest, openspeedtest.com, Outlook / MicrosoftMail, QUIC, RTSP, RTSP cez HTTP, SNMP, Skype, SSH, Steam, STUN, TeamViewer, TOR, TLS, UPnP, wireguard.
Zdroj: opennet.ru
