Projektet ntop, som utvecklar verktyg för trafikövervakning och analys, har släppt en uppdatering av verktygslådan för djup paketinspektion nDPI 4.0, som fortsätter utvecklingen av biblioteket OpenDPI. nDPI-projektet grundades efter en misslyckad försök att föra in ändringar i OpenDPI:s repository, vilket har stått utan underhåll. nDPI-koden är skriven i C och distribueras under LGPLv3-licensen.
Projektet gör det möjligt att identifiera de använda applikationsprotokollen i trafiken genom att analysera nätverksaktivitetens karaktär utan koppling till nätverksportar (kan identifiera kända protokoll vars servrar tar emot anslutningar på icke-standardiserade nätverksportar, till exempel om http inte levereras från port 80, eller om någon annan nätverksaktivitet döljs under http genom att köra på port 80).
Skillnaderna från OpenDPI omfattar stöd för ytterligare protokoll, portering för Windows-plattformen, prestandaoptimering, anpassning för användning i realtids nätverksövervakningsapplikationer (vissa specifika funktioner som saktade ner motorn har tagits bort), samt möjligheten att bygga moduler för Linux-kärnan och stödja underprotokolldetektering.
Totalt stöds 247 protokoll och applikationer, allt från OpenVPN, Tor, QUIC, SOCKS, BitTorrent och IPsec till Telegram, Viber, WhatsApp, PostgreSQL och åtkomst till GMail, Office365, GoogleDocs och YouTube. Det finns en dekoder för server- och klientprotokoll, SSL-certifikat, vilket möjliggör identifiering av protokoll (exempelvis Citrix Online och Apple iCloud) med hjälp av krypteringscertifikat. För analys av innehållet i pcap-dumpar eller aktuell trafik via nätverksgränssnittet finns verktyget nDPIreader.
$ ./nDPIreader -i eth0 -s 20 -f "host 192.168.1.10" Upptäckta protokoll: DNS paket: 57 bytes: 7904 flöden: 28 SSL_No_Cert paket: 483 bytes: 229203 flöden: 6 FaceBook paket: 136 bytes: 74702 flöden: 4 DropBox paket: 9 bytes: 668 flöden: 3 Skype paket: 5 bytes: 339 flöden: 3 Google paket: 1700 bytes: 619135 flöden: 34
I den nya utgåvan:
- Förbättrat stöd för analyser av krypterad trafik (ETA – Encrypted Traffic Analysis).
- Stöd för den förbättrade TLS-klientidentifieringsmetoden JA3+ har implementerats, vilket möjliggör identifiering av vilken programvara som används för att etablera anslutningar baserat på skillnader i anslutningsförhandlingar och angivna parametrar (t.ex. kan det identifiera användning av Tor och andra typiska applikationer). Till skillnad från den tidigare stödda metoden JA3, kännetecknas JA3+ av ett färre antal falska positiva.
- Antalet identifierade nätverkshot och problem relaterade till kompromissrisk (flow risk) har utökats till 33. Nya hotidentifierare har lagts till, relaterade till delning av skrivbord och filer, misstänkt HTTP-trafik, skadlig JA3 och SHA1, anrop till problematiska domäner och autonoma system, användning av TLS-certifikat med misstänkta tillägg eller för lång giltighetstid.
- Betydande prestandaoptimeringar har genomförts, trafikbehandlingshastigheten har ökat med 2,5 gånger jämfört med version 3.0.
- Stöd för GeoIP har lagts till för att bestämma plats baserat på IP-adress.
- Ett API för beräkning av RSI (Relative Strength Index) har lagts till.
- Verktyg för hantering av fragmentering har implementerats.
- Ett API för beräkning av flödeshomogenitet (jitter) har lagts till.
- Stöd har lagts till för protokoll och tjänster: AmongUs, AVAST SecureDNS, CPHA (CheckPoint High Availability Protocol), DisneyPlus, DTLS, Genshin Impact, HP Virtual Machine Group Management (hpvirtgrp), Mongodb, Pinterest, Reddit, Snapchat VoIP, Tumblr, Virtual Assistant (Alexa, Siri), Z39.50.
- Förbättrad analys och identifiering av protokoll: AnyDesk, DNS, Hulu, DCE/RPC, dnscrypt, Facebook, Fortigate, FTP Control, HTTP, IEC104, IEC60870, IRC, Netbios, Netflix, Ookla speedtest, openspeedtest.com, Outlook / MicrosoftMail, QUIC, RTSP, RTSP via HTTP, SNMP, Skype, SSH, Steam, STUN, TeamViewer, TOR, TLS, UPnP, wireguard.
Källa: opennet.ru
