Projekt ntop, ktorý vyvíja nástroje na zachytávanie a analýzu dát, vydal verziu nástroja na hlbokú analýzu paketov nDPI 4.4, ktorý pokračuje v rozvoji knižnice OpenDPI. Projekt nDPI vznikol po neúspešnom pokuse o odovzdanie zmien do repozitára OpenDPI, ktorý ostal nesprevádzaný. Kód nDPI je napísaný v jazyku C a je distribuovaný pod licenciou LGPLv3.
Systém umožňuje identifikovať v trafficu používané protokoly na úrovni aplikácie, analyzovaním charakteru sieťovej aktivity bez viazania sa na sieťové porty (môže identifikovať známe protokoly, ktorých spracovatelia prijímajú pripojenia na nestandardných sieťových portoch, napríklad ak http nepochádza z 80. portu, alebo naopak, keď sa snažia zamaskovať nejakú inú sieťovú aktivitu pod http spustením na 80. porte).
Rozdiely oproti OpenDPI spočívajú v podpore ďalších protokolov, portovaní pre platformu Windows, optimalizácii výkonu, prispôsobení pre aplikácie na monitoring trafficu v reálnom čase (niektoré špecifické funkcie, ktoré spomaľovali engine, boli odstránené), možnosti zostavenia v podobe modulu jadra Linux a podpore identifikácie subprotokolov.
Celkovo sa podporuje identifikácia približne 300 protokolov a aplikácií, od OpenVPN, Tor, QUIC, SOCKS, BitTorrent a IPsec po Telegram, Viber, WhatsApp, PostgreSQL a požiadavky na GMail, Office365, GoogleDocs a YouTube. K dispozícii je dekodér serverových a klientských SSL certifikátov, ktorý umožňuje identifikovať protokol (napríklad Citrix Online a Apple iCloud) pomocou šifrovacieho certifikátu. Na analýzu obsahu súborov pcap alebo aktuálneho trafficu cez sieťové rozhranie sa dodáva utilita nDPIreader.
V novom vydaní:
- Boli pridané metadata s informáciami o dôvode vyžiadania spracovateľa pre konkrétnu hrozbu.
- Bola pridaná funkcia ndpi_check_flow_risk_exceptions() na pripojenie spracovateľov sieťových hrozieb.
- Bolo vykonané rozdelenie na sieťové protokoly (napríklad TLS) a aplikačné protokoly (napríklad služby Google).
- Boli pridané dva nové úrovne dôvernosti: NDPI_CONFIDENCE_DPI_PARTIAL a NDPI_CONFIDENCE_DPI_PARTIAL_CACHE.
- Bol pridaný vzor na identifikáciu používania služby Cloudflare WARP.
- Vnútorná implementácia hashmapy bola nahradená knižnicou uthash.
- Aktualizované väzby pre jazyk Python.
- Predvolene je aktivovaná vstavaná implementácia gcrypt (pre použitie systémovej implementácie je navrhnutá možnosť —with-libgcrypt).
- Rozšíril sa rozsah detekovaných sieťových hrozieb a problémov súvisiacich s rizikom kompromitácie (flow risk). Pridaná podpora nových typov hrozieb: NDPI_PUNYCODE_IDN, NDPI_ERROR_CODE_DETECTED, NDPI_HTTP_CRAWLER_BOT a NDPI_ANONYMOUS_SUBSCRIBER.
- Pridaná podpora protokolov a služieb:
- UltraSurf
- i3D
- RiotGames
- TSAN
- TunnelBear VPN
- collectd
- PIM (Protocol Independent Multicast)
- Pragmatic General Multicast (PGM)
- RSH
- Produkty GoTo, ako sú GoToMeeting
- Dazn
- MPEG-DASH
- Agora Software Defined Real-time Network (SD-RTN)
- Toca Boca
- VXLAN
- MDNS/LLMNR
- Vylepšená analýza a identifikácia protokolov:
- SMTP/SMTPS (pridaná podpora STARTTLS)
- OCSP
- TargusDataspeed
- Usenet
- DTLS
- TFTP
- SOAP cez HTTP
- GenshinImpact
- IPSec/ISAKMP
- DNS
- syslog
- DHCP
- NATS
- Viber
- Xiaomi
- Raknet
- gnutella
- Kerberos
- QUIC (pridaná podpora špecifikácie v2drft 01)
- SSDP
- SNMP
- DGA
- AES-NI
Zdroj: opennet.ru
