Utgivningen av systemet för djup packetinspektion nDPI 5.0

Projektet ntop, som utvecklar verktyg för datainhämtning och trafikanalys, har publicerat verktygen för djupinspektion av paket nDPI 5.0, som fortsätter utvecklingen av biblioteket OpenDPI. Projektet nDPI grundades efter ett misslyckat försök att överföra ändringar till OpenDPI-repositoriet, som har varit övergivet. koden för nDPI är skriven i C och distribueras under LGPLv3-licensen.

Systemet gör det möjligt att identifiera använd protokoll på applikationsnivå i trafiken genom att analysera det nätverksaktivitetsmönster utan koppling till nätverksportar (kan identifiera kända protokoll vars hanterare tar emot anslutningar på icke-standardiserade nätverksportar, till exempel när http levereras inte från port 80, eller å andra sidan när någon annan nätverksaktivitet försöker kamouflera sig som http genom att köras på port 80).

Skillnaderna från OpenDPI sammanfattas i stöd för ytterligare protokoll, portering till Windows-plattformen, prestandaoptimering, anpassning för användning i program för övervakning av trafik i realtid (vissa specifika funktioner som saktade ner motorn har tagits bort), möjligheten till byggnad som en Linux-kärnmodul och stöd för identifiering av subprotokoll.

Det stöder identifieringen av 56 typer av nätverksattacker (flow risk) och över 450 protokoll och applikationer (från OpenVPN, Tor, QUIC, SOCKS, BitTorrent och IPsec till Telegram, Viber, WhatsApp, PostgreSQL och förfrågningar till Gmail, Office 365, Google Docs och YouTube). Det finns en avkodare för server- och klientinformation. SSL-certifikat, vilket möjliggör identifiering av protokoll (exempelvis Citrix Online och Apple iCloud) med hjälp av krypteringscertifikat. För analys av innehållet i pcap-dumpar eller aktuell trafik via nätverksgränssnittet finns verktyget nDPIreader.

I den nya utgåvan:

• Ett universellt mekanism för trafikidentifiering har implementerats, vilket kombinerar metadata om TCP-snapshots, TLS-certifikat hash och JA4 (identifierare för att identifiera nätverksprotokoll och applikationer) i en trafikmarkör (fingerprint). Den nya mekanismen gör det möjligt att mer exakt identifiera och matcha krypterad eller förvrängd trafik.
• Möjligheten att identifiera TLS-, QUIC- och HTTP-strömmar som innehåller värdnamn (exempelvis i SNI för TLS/QUIC och i Host-headern för HTTP), för vilka DNS-upplösning tidigare inte utfördes. Sådan aktivitet kan användas för att avslöja anomalier, dolda datakanaler och metoder för att kringgå filtrering.
• Gränserna för antalet identifierade protokoll och trafiktyper har höjts till 2^16, vilket gör det möjligt att identifiera nästan ett obegränsat antal protokoll under trafikinspektion. Alla tillgängliga protokoll är nu aktiverade som standard.
• Nya alternativ har lagts till reglerna för trafikklassificering baserat på fingerprints, JA4-applikations- och protokollidentifierare, HTTP-URL och kategorier.
• Stödet för FPC (First Packet Classification)-teknologi har förbättrats, som syftar till att identifiera protokoll, applikationer och tjänster baserat på det första paketet som skickas vid anslutning. FPC kan avsevärt minska CPU-belastningen under trafikinspektion.
• Stödet för pseudoprotokoll, såsom ADULT_CONTENT, LLM och ADS_ANALYTICS_TRACK, har tagits bort, och istället används nu klassificering baserad på kategorier.
• Stödet och möjligheten att analysera nya protokoll har lagts till, inklusive Microsoft Delivery Optimization, Rockstar Games, Kick.com, MELSEC, Hamachi, GLBP, Matter, TriStation, Samsung SDP, ESPN och Akamai.
• Nya underkategorier har lagts till och klassificeringen av Amazon/AWS-tjänster har utvidgats.
• Ungefär 30 nya kategorier har lagts till och detaljeringsgraden vid trafikanalys har ökat.
• En analysator för storleken på datablock för TLS-anslutningar har lagts till.
• Möjligheten att skapa protokollstackar som omfattar två eller fler protokoll vid trafikklassificering har lagts till.
• Nya API:er för trafikrankning och kodning/avkodning av hexadecimala sekvenser har lagts till.
• Listorna över bots, nätverksanalysverktyg och gruvpooler har uppdaterats.
• Koden för att tolka protokollen HTTP, TLS och STUN har uppdaterats.
• Initieringen har påskyndats och minneshanteringen har förbättrats.

Källa: opennet.ru