nDPI 6.0 Deep Packet Inspection Release

ntop-projektet, som utvecklar verktyg för att fånga och analysera trafik, har publicerat en verktygslåda för djuppaketinspektion nDPI 6.0, som fortsätter utvecklingen av OpenDPI-biblioteket. nDPI-projektet grundades efter ett misslyckat försök att driva förändringar i OpenDPI-förvaret, som lämnades outhållet. nDPI-koden är skriven i C och är licensierad under LGPLv3-licensen.

Systemet låter dig bestämma de protokoll på applikationsnivå som används i trafik, analysera nätverksaktivitetens karaktär utan att vara bunden till nätverksportar (det kan upptäcka välkända protokoll vars hanterare accepterar anslutningar på icke-standardiserade nätverksportar, till exempel om http inte skickas från port 80, eller omvänt, när de försöker kamouflera någon annan nätverksaktivitet som http med port 80).

Skillnaderna från OpenDPI handlar om stöd för ytterligare protokoll och portning till plattformen. Windows, prestandaoptimeringar, anpassning för användning i realtidstrafikövervakningsapplikationer (borttagning av vissa specifika funktioner som saktade ner motorn) och möjligheten att bygga som en kärnmodul Linux och stöd för definitionen av delprotokoll.

Stöder detektering av 56 typer av nätverkshot (flödesrisk) och mer än 450 protokoll och applikationer (från OpenVPN, Tor, QUIC, SOCKS, BitTorrent och IPsec till Telegram, Viber, WhatsApp, PostgreSQL och förfrågningar till Gmail, Office 365, Google Docs och YouTube). Det finns en avkodare för server och klient. SSL- certifikat, som möjliggör protokolldetektering (till exempel Citrix Online och Apple iCloud) med hjälp av ett krypteringscertifikat. Verktyget nDPIreader tillhandahålls för att analysera innehållet i pcap-dumpar eller aktuell nätverksgränssnittstrafik.

I den nya utgåvan:

• Licensvillkoren har ändrats. Kärnbiblioteket för nDPI är fortfarande licensierat under LGPLv3, men vissa trafikanalysmoduler, såsom DNS, QUIC och TLS, har bytt till en dubbellicens: LGPLv3 för icke-kommersiella projekt och en kommersiell licens för vinstdrivande projekt.
• Lade till möjligheten att upptäcka och blockera DoS-attacker av klasserna Slowloris, Slow POST och Slow GET, där klienten får ett svar eller skickar en begäran mycket långsamt, utan att stänga anslutningen men också utan att låta den gå över till timeout, vilket gör att gränsen för antalet aktiva anslutningar kan uttömmas.
• Tillförlitligheten hos JA4-trafikfingeravtryck, vilket hjälper till att identifiera skadlig aktivitet, har förbättrats. För att minska sannolikheten för falska positiva resultat har selektiv JA4-hashberäkning implementerats. Detta täcker inte vissa sessionsberoende TLS-tillägg, såsom tillägget för återupptagande av sessioner med Pre-Shared Key (PSK), vilket minskar unikheten hos JA4-hashar.
• Lade till stöd för spårningsmekanismen USDT (Userland Statically Defined Tracing), som är integrerad i applikationen och inte skapar någon ytterligare belastning när den är inaktiverad. USDT möjliggör inspektion av nDPI-drift med hjälp av verktygen bpftrace och perf på produktionsmaskiner. servrar utan att använda separata felsökningsbyggen.
• Lade till stöd för inspektion av protokollen Meshtastic, libp2p, YGGDRASIL och Nebula som används i overlay- och mesh-nätverk.
• Möjligheten att klassificera data i JSON- och MsgPack-format har implementerats, liksom separation av aktivitet kopplad till olika GitHub-tjänster (Copilot, Packages, Actions) och Proton (Mail, Pass, Drive, Calendar, Docs, Wallet, Lumo, Meet).
• Lade till stöd för att markera röst- och videosamtal i trafiken.
• Nya kategorier för innehållshantering har föreslagits: barn, sökmotorer, våld, droger och vapen.

Källa: opennet.ru