Проект ntop, развивающий инструменты для захвата и анализа трафика, опубликовал инструментарий для глубокого инспектирования пакетов nDPI 5.0, продолжающий развитие библиотеки OpenDPI. Проект nDPI основан после безуспешной попытки передачи изменений в репозиторий OpenDPI, который остался без сопровождения. Код nDPI написан на языке Си и распространяется под лицензией LGPLv3.
Sistemi lejon identifikimin e protokolleve të nivelit të aplikacioneve në trafik, duke analizuar natyrën e aktivitetit rrjetësor pa u lidhur me portat rrjetësore (mund të identifikojë protokolle të njohura, për procesorët e të cilave pranojnë lidhjet në porte jo standarde, për shembull, nëse http jepet jo nga porta 80, ose, përkundrazi, kur një aktivitet tjetër rrjetësor përpiqet të maskohet si http duke u nisur në portin 80).
Dallimet nga OpenDPI përfshijnë mbështetje për protokolle shtesë, portim për platformën Windows, optimizimin e performancës, adaptimin për aplikacionet e monitorimit të trafikut në kohë reale (kanë hequr disa funksionalitete specifike që ngadalësonin motorin), mundësinë e ndërtimit në formën e një moduli të bërthamës Linux dhe mbështetje për përcaktimin e nënprotokolleve.
Поддерживается определение 56 типов сетевых угроз (flow risk) и более 450 протоколов и приложений (от OpenVPN, Tor, QUIC, SOCKS, BitTorrent и IPsec до Telegram, Viber, WhatsApp, PostgreSQL и обращений к Gmail, Office 365, Google Docs и YouTube). Имеется декодировщик серверных и клиентских certifikatat SSL, duke lejuar përcaktimin e protokollit (për shembull, Citrix Online dhe Apple iCloud), duke përdorur certifikatën e enkriptimit. Për analizimin e përmbajtjes së dump-eve pcap ose trafikut aktual përmes ndërfaqes rrjetësore, ofrohet utilitari nDPIreader.
Në versionin e ri:
- Реализован универсальный механизм для идентификации трафика, комбинирующий в одном маркере трафика (fingerprint) метаданные о слепках TCP, хэшах TLS-сертификата и JA4 (идентификаторы для определения сетевых протоколов и приложений). Новый механизм позволяет более точно определять и сопоставлять шифрованный или обфусцированный трафик.
- Добавлена возможность определения потоков TLS, QUIC и HTTP, в которых фигурируют имена хостов (например, в SNI для TLS/QUIC и в заголовке Host для HTTP), для которых ранее не выполнялся резолвинг через DNS. Подобная активность может применяться для выявления аномалий, скрытых каналов передачи данных и методов обхода фильтрации.
- До 2^16 поднято ограничение на число определяемых протоколов и категорий трафика, что позволяет выявлять практически неограниченное число протоколов при инспектировании трафика. Все доступные протоколы теперь включены по умолчанию.
- В правила добавлены новые опции для классификации трафика по слепкам (fingerprint), JA4-идентификаторам приложений и протоколов, HTTP URL и категориям.
- Улучшена поддержка технологии FPC (First Packet Classification), нацеленной на определение протоколов, приложений и сервисов по первому пакету, отправляемому при установке соединения. FPC позволяет существенно снизить нагрузку на CPU при инспектировании трафика.
- Удалена поддержка псевдопротоколов, таких как ADULT_CONTENT, LLM и ADS_ANALYTICS_TRACK, вместо которых теперь используется классификация на основе категорий.
- Добавлена поддержка и возможность разбора новых протоколов, среди которых Microsoft Delivery Optimization, Rockstar Games, Kick.com, MELSEC, Hamachi, GLBP, Matter, TriStation, Samsung SDP, ESPN и Akamai.
- Добавлены новые подкатегории и расширена классификация сервисов Amazon/AWS.
- Добавлено около 30 новых категорий и повышена детализация при анализе трафика.
- Добавлен анализатор размера блоков данных для TLS-соединений.
- Добавлена возможность создания стеков протоколов, охватывающих два и более протокола при классификации трафика.
- Добавлены новые API для ранжирования трафика и кодирования/декодирования шестнадцатеричных последовательностей.
- Обновлены списки ботов, сетевых сканеров и пулов майнинга.
- Обновлён код для разбора протоколов HTTP, TLS и STUN.
- Ускорена инициализация и повышена эффективность управления памятью.
Burimi: opennet.ru
