Projekt ntop, ki razvija orodja za zajemanje in analizo prometa, je objavil novo različico orodja za globoko analizo paketov nDPI 4.0, ki nadaljuje razvoj knjižnice OpenDPI. Projekt nDPI je bil ustanovljen po neuspelem poskusu prenosa sprememb v repozitorij OpenDPI, ki je ostal brez vzdrževanja. Koda nDPI je napisana v programskem jeziku C in je distribuirana pod licenco LGPLv3.
Projekt omogoča določanje protokolov aplikacijskega nivoja v prometu, analizira naravo omrežne aktivnosti brez vezave na omrežne porte (lahko določa znane protokole, katerih obdelovalci sprejemajo povezave na nestandardnih omrežnih portih, na primer, če http ni poslan z 80. porta, ali pa, nasprotno, ko poskušajo drugo omrežno aktivnost prikriti kot http z zagonom na 80. portu).
Razlike od OpenDPI se zmanjšajo na podporo dodatnim protokolom, prenosu na platformo Windows, optimizaciji zmogljivosti, prilagoditvi za uporabo v aplikacijah za spremljanje prometa v realnem času (nekatere specifične funkcionalnosti, ki so upočasnile motor, so bile odstranjene), možnosti gradnje v obliki modula jedra Linux in podpori za določanje subprotokolov.
Podpira se vsega 247 protokolov in aplikacij, od OpenVPN, Tor, QUIC, SOCKS, BitTorrent in IPsec do Telegram, Viber, WhatsApp, PostgreSQL ter klicev na GMail, Office365, GoogleDocs in YouTube. Na voljo je dekoder za strežniške in odjemalske SSL-certifikatov, koji omogućava prepoznavanje protokola (na primer, Citrix Online i Apple iCloud), koristeći enkripcijski sertifikat. Za analizu sadržaja pcap dumpova ili trenutnog saobraćaja kroz mrežni interfejs dolazi sa alatom nDPIreader.
$ ./nDPIreader -i eth0 -s 20 -f "host 192.168.1.10" Detektirani protokoli: DNS paketi: 57 bajti: 7904 tokovi: 28 SSL_No_Cert paketi: 483 bajti: 229203 tokovi: 6 FaceBook paketi: 136 bajti: 74702 tokovi: 4 DropBox paketi: 9 bajti: 668 tokovi: 3 Skype paketi: 5 bajti: 339 tokovi: 3 Google paketi: 1700 bajti: 619135 tokovi: 34
U novom izdanju:
- Izboljšana je podpora metodam analize šifriranega prometa (ETA — Encrypted Traffic Analysis).
- Implementirana je podpora za izboljšano metodo identifikacije TLS-strank JA3+, ki na osnovi značilnosti dogovarjanja povezav in nastavitev določa, katera programska oprema se uporablja za vzpostavitev povezave (na primer, omogoča določitev uporabe Tora in drugih tipičnih aplikacij). V nasprotju s prej podprto metodo JA3, JA3+ razlikuje predvsem v manjšem številu lažnih pozitivnih rezultatov.
- Število zaznanih omrežnih groženj in težav, povezanih s tveganjem kompromitacije (flow risk), je povečano na 33. Dodani so novi kazalniki groženj, povezanih z omogočanjem skupne rabe namizij in datotek, sumljivim HTTP prometom, zlonamernimi JA3 in SHA1, dostopanjem do problematičnih domenskih in avtonomnih sistemov, uporabo TLS certifikatov s sumljivimi razširitvami ali predolgim veljavnostjo.
- Izvedena je bila znatna optimizacija zmogljivosti; v primerjavi z različico 3.0 se je hitrost obdelave prometa povečala za 2,5-krat.
- Dodana je podpora za GeoIP za določanje lokacije po IP adresom.
- Dodana je API za izračun RSI (Relative Strength Index).
- Izvedena so bila sredstva za upravljanje fragmentacije.
- Dodana je API za izračun homogenosti toka (jitter).
- Dodana podpora za protokole in storitve: AmongUs, AVAST SecureDNS, CPHA (CheckPoint High Availability Protocol), DisneyPlus, DTLS, Genshin Impact, HP Virtual Machine Group Management (hpvirtgrp), Mongodb, Pinterest, Reddit, Snapchat VoIP, Tumblr, Virtual Assistant (Alexa, Siri), Z39.50.
- Izboljšana je analiza in določanje protokolov AnyDesk, DNS, Hulu, DCE/RPC, dnscrypt, Facebook, Fortigate, FTP Control, HTTP, IEC104, IEC60870, IRC, Netbios, Netflix, Ookla speedtest, openspeedtest.com, Outlook/MicrosoftMail, QUIC, RTSP, RTSP preko HTTP, SNMP, Skype, SSH, Steam, STUN, TeamViewer, TOR, TLS, UPnP, wireguard.
Izvor: opennet.ru
