โครงการ ntop ซึ่งพัฒนาเครื่องมือสำหรับการจับและวิเคราะห์การรับส่งข้อมูล ได้เผยแพร่ชุดเครื่องมือสำหรับการตรวจสอบแพ็กเก็ตเชิงลึก nDPI 6.0 ซึ่งยังคงพัฒนาไลบรารี OpenDPI ต่อไป โครงการ nDPI ก่อตั้งขึ้นหลังจากพยายามผลักดันการเปลี่ยนแปลงไปยังที่เก็บ OpenDPI ซึ่งไม่ได้รับการดูแลไม่สำเร็จ รหัส nDPI เขียนด้วยภาษา C และได้รับอนุญาตภายใต้ LGPLv3
ระบบช่วยให้คุณสามารถกำหนดโปรโตคอลระดับแอปพลิเคชันที่ใช้ในการรับส่งข้อมูล วิเคราะห์ลักษณะของกิจกรรมเครือข่ายโดยไม่ต้องเชื่อมโยงกับพอร์ตเครือข่าย (สามารถกำหนดโปรโตคอลที่รู้จักกันดีซึ่งตัวจัดการยอมรับการเชื่อมต่อบนพอร์ตเครือข่ายที่ไม่ได้มาตรฐาน เช่น หากไม่ได้ส่ง http จากพอร์ต 80 หรือในทางกลับกัน เมื่อพวกเขากำลังพยายามอำพรางกิจกรรมเครือข่ายอื่น ๆ เป็น http โดยเรียกใช้บนพอร์ต 80)
ความแตกต่างจาก OpenDPI นั้นอยู่ที่การรองรับโปรโตคอลเพิ่มเติมและการปรับให้เข้ากับแพลตฟอร์ม Windowsการปรับปรุงประสิทธิภาพ การปรับให้เหมาะสมสำหรับการใช้งานในแอปพลิเคชันตรวจสอบการจราจรแบบเรียลไทม์ (โดยการลบคุณสมบัติบางอย่างที่ทำให้ระบบทำงานช้าลง) และความสามารถในการสร้างเป็นโมดูลเคอร์เนล Linux และการสนับสนุนการกำหนดนิยามของโปรโตคอลย่อย
รองรับการตรวจจับภัยคุกคามเครือข่าย 56 ประเภท (ความเสี่ยงด้านการไหลของข้อมูล) และโปรโตคอลและแอปพลิเคชันมากกว่า 450 รายการ (ตั้งแต่ OpenVPN(รองรับการเชื่อมต่อหลายช่องทาง เช่น Tor, QUIC, SOCKS, BitTorrent และ IPsec ไปยัง Telegram, Viber, WhatsApp, PostgreSQL และการร้องขอไปยัง Gmail, Office 365, Google Docs และ YouTube) มีตัวถอดรหัสสำหรับทั้งเซิร์ฟเวอร์และไคลเอ็นต์ SSL- ใบรับรองที่อนุญาตให้ตรวจจับโปรโตคอล (เช่น Citrix Online และ Apple iCloud) โดยใช้ใบรับรองการเข้ารหัส ยูทิลิตี้ nDPIreader มีให้สำหรับการวิเคราะห์เนื้อหาของไฟล์ pcap หรือการรับส่งข้อมูลอินเทอร์เฟซเครือข่ายในปัจจุบัน
ในรุ่นใหม่:
- เงื่อนไขการอนุญาตใช้งานได้ถูกเปลี่ยนแปลงแล้ว ไลบรารีหลักของ nDPI ยังคงได้รับอนุญาตภายใต้ LGPLv3 แต่โมดูลการวิเคราะห์ข้อมูลการรับส่งบางส่วน เช่น DNS, QUIC และ TLS ได้เปลี่ยนไปใช้ใบอนุญาตแบบคู่: LGPLv3 สำหรับโครงการที่ไม่ใช่เชิงพาณิชย์ และใบอนุญาตเชิงพาณิชย์สำหรับโครงการที่แสวงหาผลกำไร
- เพิ่มความสามารถในการตรวจจับและบล็อกการโจมตี DoS ประเภท Slowloris, Slow POST และ Slow GET ซึ่งเป็นการโจมตีที่ไคลเอนต์รับหรือส่งคำขอช้ามาก โดยไม่ปิดการเชื่อมต่อ แต่ก็ไม่ปล่อยให้การเชื่อมต่อหมดเวลา ซึ่งจะทำให้จำนวนการเชื่อมต่อที่ใช้งานอยู่หมดลง
- ความน่าเชื่อถือของการระบุลายนิ้วมือทราฟฟิก JA4 ซึ่งช่วยระบุการกิจกรรมที่เป็นอันตรายได้รับการปรับปรุงแล้ว เพื่อลดโอกาสการเกิดผลลัพธ์ที่ผิดพลาด จึงได้มีการนำการคำนวณแฮช JA4 แบบเลือกมาใช้ อย่างไรก็ตาม วิธีนี้จะไม่ครอบคลุมส่วนขยาย TLS ที่ขึ้นอยู่กับเซสชันบางอย่าง เช่น ส่วนขยายการกลับมาใช้งานเซสชันด้วยคีย์ที่ใช้ร่วมกันล่วงหน้า (PSK) ซึ่งลดความเฉพาะตัวของแฮช JA4
- เพิ่มการรองรับกลไกการติดตาม USDT (Userland Statically Defined Tracing) ซึ่งรวมอยู่ในแอปพลิเคชันและไม่สร้างภาระเพิ่มเติมเมื่อปิดใช้งาน USDT ช่วยให้สามารถตรวจสอบการทำงานของ nDPI โดยใช้ยูทิลิตี้ bpftrace และ perf บนเครื่องที่ใช้งานจริงได้ เซิร์ฟเวอร์ โดยไม่ต้องใช้บิลด์ดีบักแยกต่างหาก
- เพิ่มการรองรับการตรวจสอบโปรโตคอล Meshtastic, libp2p, YGGDRASIL และ Nebula ที่ใช้ในเครือข่ายโอเวอร์เลย์และเมช
- ได้มีการนำความสามารถในการจัดประเภทข้อมูลในรูปแบบ JSON และ MsgPack มาใช้แล้ว รวมถึงการแยกกิจกรรมที่เกี่ยวข้องกับบริการต่างๆ ของ GitHub (Copilot, Packages, Actions) และ Proton (Mail, Pass, Drive, Calendar, Docs, Wallet, Lumo, Meet) ออกจากกัน
- เพิ่มการรองรับการเน้นข้อความสนทนาด้วยเสียงและวิดีโอในข้อมูลการจราจร
- มีการเสนอหมวดหมู่การจัดการเนื้อหาใหม่ ได้แก่ เด็ก เครื่องมือค้นหา ความรุนแรง ยาเสพติด และอาวุธ
ที่มา: opennet.ru
