Trafiği yakalamak ve analiz etmek için araçlar geliştiren ntop projesi, OpenDPI kütüphanesinin geliştirilmesine devam eden derin paket incelemesi nDPI 6.0 için bir araç seti yayınladı. nDPI projesi, bakımsız bırakılan OpenDPI deposuna değişiklikleri aktarmaya yönelik başarısız bir girişimin ardından kuruldu. nDPI kodu C dilinde yazılmıştır ve LGPLv3 lisansı altında lisanslanmıştır.
Sistem, ağ bağlantı noktalarına bağlı kalmadan ağ etkinliğinin doğasını analiz ederek trafikte kullanılan uygulama düzeyindeki protokolleri belirlemenize olanak tanır (işleyicileri standart olmayan ağ bağlantı noktalarındaki bağlantıları kabul eden iyi bilinen protokolleri belirleyebilir, örneğin, http 80 numaralı bağlantı noktasından gönderilmezse veya tam tersi, 80 numaralı bağlantı noktasında çalıştırarak diğer ağ etkinliğini http olarak kamufle etmeye çalışıyorlarsa).
OpenDPI'den farklılıklar, ek protokollere verilen destek ve platforma uyarlama konularına dayanmaktadır. WindowsPerformans optimizasyonları, gerçek zamanlı trafik izleme uygulamalarında kullanım için uyarlama (motoru yavaşlatan bazı özel özelliklerin kaldırılması) ve çekirdek modülü olarak derlenebilme özelliği. Linux ve alt protokollerin tanımlanmasına yönelik destek.
56 tür ağ tehdidini (akış riski) ve 450'den fazla protokol ve uygulamayı tespit etmeyi destekler (başlangıçtan itibaren). OpenVPN(Tor, QUIC, SOCKS, BitTorrent ve IPsec ile Telegram, Viber, WhatsApp, PostgreSQL'e ve Gmail, Office 365, Google Docs ve YouTube'a istek gönderme). Sunucu ve istemci için bir kod çözücü mevcuttur. SSL- Protokol algılamayı sağlayan sertifikalar (örneğin, Citrix Online ve Apple iCloud), şifreleme sertifikası kullanılarak sağlanır. nDPIreader yardımcı programı, pcap dökümlerinin içeriğini veya mevcut ağ arayüzü trafiğini analiz etmek için sağlanmıştır.
Yeni sürümde:
- Lisanslama koşulları değiştirildi. nDPI'nin temel kütüphanesi LGPLv3 lisansı altında kalmaya devam ederken, DNS, QUIC ve TLS gibi bazı trafik ayrıştırma modülleri çift lisansa geçirildi: ticari olmayan projeler için LGPLv3 ve kar amacı güden projeler için ticari lisans.
- İstemcinin bağlantıyı kapatmadan ancak zaman aşımına uğramasına da izin vermeden çok yavaş bir şekilde yanıt aldığı veya istek gönderdiği, böylece aktif bağlantı sayısındaki sınırın aşılmasına olanak tanıyan Slowloris, Slow POST ve Slow GET sınıflarındaki DoS saldırılarını tespit etme ve engelleme özelliği eklendi.
- Kötü amaçlı faaliyetleri belirlemeye yardımcı olan JA4 trafik parmak izi alma yönteminin güvenilirliği iyileştirilmiştir. Yanlış pozitif olasılığını azaltmak için seçici JA4 karma hesaplaması uygulanmıştır. Bu, JA4 karmalarının benzersizliğini azaltan Önceden Paylaşılan Anahtar (PSK) oturum devam ettirme uzantısı gibi bazı oturuma bağımlı TLS uzantılarını kapsamaz.
- Uygulamaya entegre edilmiş ve devre dışı bırakıldığında ek yük oluşturmayan USDT (Userland Statically Defined Tracing) izleme mekanizması için destek eklendi. USDT, üretim makinelerinde bpftrace ve perf yardımcı programları kullanılarak nDPI işlemlerinin incelenmesine olanak tanır. sunucular Ayrı hata ayıklama derlemeleri kullanmadan.
- Örtüşen ve ağ yapılarında kullanılan Meshtastic, libp2p, YGGDRASIL ve Nebula protokollerinin incelenmesi için destek eklendi.
- JSON ve MsgPack formatlarındaki verileri sınıflandırma özelliği uygulanmış olup, farklı GitHub hizmetleriyle (Copilot, Paketler, Eylemler) ve Proton ile (E-posta, Şifre, Drive, Takvim, Dokümanlar, Cüzdan, Lumo, Meet) ilişkili etkinliklerin ayrılması sağlanmıştır.
- Trafik akışında sesli ve görüntülü aramaların vurgulanması özelliği eklendi.
- Yeni içerik yönetim kategorileri önerildi: çocuklar, arama motorları, şiddet, uyuşturucu ve silahlar.
Kaynak: opennet.ru
