Utgåvan av systemet för djup paketinspektion nDPI 4.4

Projektet ntop, som utvecklar verktyg för fångst och analys av trafik, har publicerat en utgåva av verktyget för djup paketinspektion nDPI 4.4, som fortsätter utvecklingen av OpenDPI-biblioteket. nDPI-projektet grundades efter ett misslyckat försök att överföra ändringar till OpenDPI-förvaret, som har blivit utan stöd. nDPI-koden är skriven i C och distribueras under LGPLv3-licensen.

Systemet möjliggör att identifiera protokoll på applikationsnivå i trafiken genom att analysera nätverksaktivitetens karaktär utan koppling till nätverksportar (det kan identifiera kända protokoll där handläggare tar emot anslutningar på icke-standardiserade nätverksportar, till exempel om http serveras inte från port 80, eller tvärtom, när någon annan nätverksaktivitet försöker kamouflera sig som http genom att köra på port 80).

Skillnaderna från OpenDPI sammanfattas i stöd för ytterligare protokoll, portering till Windows-plattformen, prestandaoptimering, anpassning för användning i program för övervakning av trafik i realtid (vissa specifika funktioner som saktade ner motorn har tagits bort), möjligheten till byggnad som en Linux-kärnmodul och stöd för identifiering av subprotokoll.

Totalt stöder det identifiering av cirka 300 protokoll och applikationer, från OpenVPN, Tor, QUIC, SOCKS, BitTorrent och IPsec till Telegram, Viber, WhatsApp, PostgreSQL och anrop till GMail, Office365, GoogleDocs och YouTube. Det finns en avkodare för servers och klienters. SSL-certifikat, vilket möjliggör identifiering av protokoll (exempelvis Citrix Online och Apple iCloud) med hjälp av krypteringscertifikat. För analys av innehållet i pcap-dumpar eller aktuell trafik via nätverksgränssnittet finns verktyget nDPIreader.

I den nya utgåvan:

• Metadata har lagts till med information om orsaken till anropet av handläggaren för en viss hot.
• Funktionen ndpi_check_flow_risk_exceptions() har lagts till för att koppla handläggare för nätverks hot.
• Delning har genomförts mellan nätverksprotokoll (till exempel TLS) och applikationsprotokoll (till exempel Google-tjänster).
• Två nya nivåer av sekretess har lagts till: NDPI_CONFIDENCE_DPI_PARTIAL och NDPI_CONFIDENCE_DPI_PARTIAL_CACHE.
• En mall för att bestämma användningen av Cloudflare WARP-tjänsten har lagts till.
• Den interna implementeringen av hashmap har ersatts med uthash.
• Bindningarna för Python-språket har uppdaterats.
• Den inbyggda implementeringen av gcrypt är aktiverad som standard (för att använda systemimplementeringen föreslås alternativet —with-libgcrypt).
• Spektrumet av identifierade nätverks hot och problem relaterade till risk för kompromettering (flow risk) har utvidgats. Stöd för nya typer av hot har lagts till: NDPI_PUNYCODE_IDN, NDPI_ERROR_CODE_DETECTED, NDPI_HTTP_CRAWLER_BOT och NDPI_ANONYMOUS_SUBSCRIBER.
• Stöd för protokoll och tjänster har lagts till:
  • UltraSurf
  • i3D
  • RiotGames
  • TSAN
  • TunnelBear VPN
  • collectd
  • PIM (Protokoll Oavhängig Multicast)
  • Pragmatic General Multicast (PGM)
  • RSH
  • GoTo-produkter som GoToMeeting
  • Dazn
  • MPEG-DASH
  • Agora Software Defined Real-time Network (SD-RTN)
  • Toca Boca
  • VXLAN
  • MDNS/LLMNR
• Förbättrad analys och identifiering av protokoll:
  • SMTP/SMTPS (stöd för STARTTLS har lagts till)
  • OCSP
  • TargusDataspeed
  • Usenet
  • DTLS
  • TFTP
  • SOAP via HTTP
  • GenshinImpact
  • IPSec/ISAKMP
  • DNS
  • syslog
  • DHCP
  • NATS
  • Viber
  • Xiaomi
  • Raknet
  • gnutella
  • Kerberos
  • QUIC (stöd för specifikationen v2drft 01 har lagts till)
  • SSDP
  • SNMP
  • DGA
  • AES-NI

Källa: opennet.ru