Projekt ntop, ktorý vyvíja nástroje na zachytávanie a analýzu prevádzky, zverejnil nástroj na hĺbkovú inspekciu paketov nDPI 5.0, ktorý pokračuje vo vývoji knižnice OpenDPI. Projekt nDPI bol založený po neúspešnom pokuse o zaslanie zmien do repozitára OpenDPI, ktorý zostal bez údržby. Kód nDPI je napísaný v jazyku C a je distribuovaný pod licenciou LGPLv3.
Systém umožňuje identifikovať protokoly aplikačnej úrovne v prevádzke analýzou charakteru sieťovej aktivity bez viazania na sieťové porty (môže identifikovať známe protokoly, ktorých spracovatelia prijímajú spojenia na nestandardných sieťových portoch, napríklad ak http nie je na porte 80, alebo naopak, keď sa nejaká iná sieťová aktivita snaží maskovať ako http pomocou spustenia na porte 80).
Rozdiely oproti OpenDPI spočívajú v podpore ďalších protokolov, portovaní pre platformu Windows, optimalizácii výkonu, prispôsobení pre aplikácie na monitoring trafficu v reálnom čase (niektoré špecifické funkcie, ktoré spomaľovali engine, boli odstránené), možnosti zostavenia v podobe modulu jadra Linux a podpore identifikácie subprotokolov.
Podporuje definíciu 56 typov sieťových hrozieb (flow risk) a viac ako 450 protokolov a aplikácií (od OpenVPN, Tor, QUIC, SOCKS, BitTorrent a IPsec po Telegram, Viber, WhatsApp, PostgreSQL a prístupy k Gmail, Office 365, Google Docs a YouTube). Obsahuje dekodér serverových a klientských. SSL certifikátov, ktorý umožňuje identifikovať protokol (napríklad Citrix Online a Apple iCloud) pomocou šifrovacieho certifikátu. Na analýzu obsahu súborov pcap alebo aktuálneho trafficu cez sieťové rozhranie sa dodáva utilita nDPIreader.
V novom vydaní:
- Implementovaný univerzálny mechanizmus na identifikáciu prevádzky, ktorý kombinuje v jednom markeri prevádzky (fingerprint) metadáta o odtlačkoch TCP, hashe TLS certifikátu a JA4 (identifikátory na určenie sieťových protokolov a aplikácií). Nový mechanizmus umožňuje presnejšie určovať a porovnávať šifrovanú alebo obfuskovanú prevádzku.
- Pridaná možnosť určenia tokov TLS, QUIC a HTTP, v ktorých figurujú mená hostiteľov (napríklad v SNI pre TLS/QUIC a v hlavičke Host pre HTTP), pre ktoré predtým neprebiehal rezolvovanie cez DNS. Takáto aktivita môže byť použitá na odhaľovanie anomálií, skrytých kanálov prenosu dát a metód obchádzania filtrácie.
- Do 2^16 bolo zvýšené obmedzenie na počet určovaných protokolov a kategórií prevádzky, čo umožňuje odhaľovať prakticky neobmedzené množstvo protokolov pri inspekcii prevádzky. Všetky dostupné protokoly sú teraz zahrnuté predvolene.
- Do pravidiel pridali nové možnosti na klasifikáciu prevádzky podľa odtlačkov (fingerprint), JA4-identifikátorov aplikácií a protokolov, HTTP URL a kategórií.
- Zlepšená podpora technológie FPC (First Packet Classification), zameranej na určenie protokolov, aplikácií a služieb podľa prvého paketu, ktorý je odoslaný pri nadviazaní spojenia. FPC výrazne znižuje záťaž na CPU pri inspekcii prevádzky.
- Odstránená podpora pseudoprotokolov, ako ADULT_CONTENT, LLM a ADS_ANALYTICS_TRACK, namiesto ktorých sa teraz používa klasifikácia na základe kategórií.
- Pridaná podpora a možnosť rozboru nových protokolov, medzi ktorými sú Microsoft Delivery Optimization, Rockstar Games, Kick.com, MELSEC, Hamachi, GLBP, Matter, TriStation, Samsung SDP, ESPN a Akamai.
- Nové podkategórie a rozšírená klasifikácia služieb Amazon/AWS.
- Pridaných približne 30 nových kategórií a zvýšená podrobnosť pri analýze prenosu dát.
- Pridaný analyzátor veľkosti blokov dát pre TLS pripojenia.
- Pridaná možnosť vytvárania zásobníkov protokolov, ktoré pokrývajú dva a viac protokolov pri klasifikácii prenosu dát.
- Pridané nové API na rangovanie prenosu a kódovanie/dekódovanie hexadecimálnych sekvencií.
- Aktualizované zoznamy robotov, sieťových skenerov a baníckych poolov.
- Aktualizovaný kód na analýzu protokolov HTTP, TLS a STUN.
- Urýchlená inicializácia a zvýšená efektivita správy pamäte.
Zdroj: opennet.ru
