Проект ntop, який розвиває інструменти для захоплення та аналізу трафіку, опублікував інструментарій для глибокого інспектування пакетів nDPI 6.0, що продовжує розвиток бібліотеки OpenDPI. Проект nDPI заснований після безуспішної спроби передачі змін до репозиторію OpenDPI, який залишився без супроводу. Код nDPI написаний мовою Сі та поширюється під ліцензією LGPLv3.
Система дозволяє визначати у трафіку використовувані протоколи рівня додатків, аналізуючи характер мережевої активності без прив'язки до мережевих портів (може визначати відомі протоколи, обробники яких приймають з'єднання на нестандартних мережевих портах, наприклад, якщо http віддається не з 80 порту, або, навпаки, коли яку іншу мережеву активність намагаються закамуфлювати під http через запуск на 80 порту).
Відмінності від OpenDPI зводяться до підтримки додаткових протоколів, портування для платформи Windows, оптимізації продуктивності, адаптації для застосування у додатках для моніторингу трафіку в режимі реального часу (прибрані деякі специфічні можливості, що уповільнювали двигун), можливості складання у формі модуля ядра Linux та підтримки визначення субпротоколів.
Підтримується визначення 56 типів мережних загроз (flow risk) та понад 450 протоколів та додатків (від OpenVPN, Tor, QUIC, SOCKS, BitTorrent та IPsec до Telegram, Viber, WhatsApp, PostgreSQL та звернень до Gmail, Office 365, Google Docs та YouTube). Є декодувальник серверних та клієнтських SSL-сертифікатів, що дозволяє визначити протокол (наприклад, Citrix Online та Apple iCloud) за допомогою сертифіката шифрування. Для аналізу вмісту pcap-дампів або поточного трафіку через мережний інтерфейс постачається утиліта nDPIreader.
У новому випуску:
- Змінено умови ліцензування. Базова бібліотека nDPI продовжує поставлятися під ліцензією LGPLv3, але деякі модулі аналізу трафіку, такі як DNS, QUIC і TLS, переведені на подвійну ліцензію: LGPLv3 для некомерційних проектів та комерційна ліцензія для проектів, що використовуються для отримання прибутку.
- Додано можливість виявлення та блокування DoS-атак класу Slowloris, Slow POST та Slow GET, при яких клієнт приймає відповідь або відправляє запит дуже повільно, не закриваючи з'єднання, але і не допускаючи переривання по таймууту, що дозволяє вичерпати ліміт на кількість активних з'єднань.
- Підвищена надійність формування відбитків трафіку JA4, що дозволяє виявляти шкідливу активність. Для зниження ймовірності помилкових спрацьовувань реалізовано вибіркове обчислення хешів JA4, яке не охоплює деякі залежні від сесії розширення TLS, наприклад, розширення для відновлення сеансів через попередньо узгоджені ключі (PSK), що знижують унікальність хешів JA4.
- Додано підтримку механізму трасування USDT (Userland Statically Defined Tracing), що інтегрується в додаток і не створює додаткового навантаження у вимкненому стані. USDT дозволяє перевіряти роботу nDPI за допомогою утиліт bpftrace і perf на робочих серверах без застосування окремих налагоджувальних складання.
- Додано підтримку інспектування протоколів Meshtastic, libp2p, YGGDRASIL і Nebula, що застосовуються в оверлейних та mesh-мережах.
- Реалізовано можливість класифікації даних у форматах JSON та MsgPack, а також поділ активності, пов'язаної з різними сервісами GitHub (Copilot, Packages, Actions) та Proton (Mail, Pass, Drive, Calendar, Docs, Wallet, Lumo, Meet).
- Додано підтримку виділення в трафіку голосових та відеодзвінків.
- Запропоновано нові категорії управління контентом: діти, пошукові системи, насильство, наркотики та зброя.
Джерело: opennet.ru
