Dự án ntop phát triển các công cụ để nắm bắt và phân tích lưu lượng truy cập, đã xuất bản bộ công cụ kiểm tra gói sâu nDPI 6.0, tiếp tục phát triển thư viện OpenDPI. Dự án nDPI được thành lập sau một nỗ lực không thành công trong việc thúc đẩy các thay đổi đối với kho lưu trữ OpenDPI, vốn không được bảo trì. Mã nDPI được viết bằng C và được cấp phép theo LGPLv3.
Hệ thống cho phép bạn xác định các giao thức cấp ứng dụng được sử dụng trong lưu lượng truy cập, phân tích bản chất của hoạt động mạng mà không bị ràng buộc với các cổng mạng (ví dụ: nó có thể xác định các giao thức nổi tiếng mà trình xử lý của chúng chấp nhận kết nối trên các cổng mạng không chuẩn). nếu http không được gửi từ cổng 80 hoặc ngược lại, khi họ đang cố gắng ngụy trang hoạt động mạng khác dưới dạng http bằng cách chạy nó trên cổng 80).
Sự khác biệt so với OpenDPI nằm ở việc hỗ trợ thêm các giao thức và việc chuyển đổi sang nền tảng này. WindowsCác cải tiến bao gồm tối ưu hóa hiệu năng, điều chỉnh để sử dụng trong các ứng dụng giám sát giao thông thời gian thực (loại bỏ một số tính năng cụ thể làm chậm hoạt động của engine), và khả năng biên dịch thành một module kernel. Linux và hỗ trợ cho việc định nghĩa các giao thức con.
Hỗ trợ phát hiện 56 loại mối đe dọa mạng (rủi ro luồng) và hơn 450 giao thức và ứng dụng (từ...). OpenVPN(Tor, QUIC, SOCKS, BitTorrent và IPsec gửi đến Telegram, Viber, WhatsApp, PostgreSQL và các yêu cầu đến Gmail, Office 365, Google Docs và YouTube). Có bộ giải mã cho máy chủ và máy khách. SSL- Chứng chỉ, cho phép phát hiện giao thức (ví dụ: Citrix Online và Apple iCloud) bằng cách sử dụng chứng chỉ mã hóa. Tiện ích nDPIreader được cung cấp để phân tích nội dung của các bản ghi pcap hoặc lưu lượng giao diện mạng hiện tại.
Trong bản phát hành mới:
- Các điều khoản cấp phép đã được thay đổi. Thư viện nDPI cốt lõi vẫn được cấp phép theo LGPLv3, nhưng một số mô-đun phân tích lưu lượng, chẳng hạn như DNS, QUIC và TLS, đã được chuyển sang giấy phép kép: LGPLv3 cho các dự án phi thương mại và giấy phép thương mại cho các dự án vì lợi nhuận.
- Đã thêm khả năng phát hiện và chặn các cuộc tấn công DoS thuộc các lớp Slowloris, Slow POST và Slow GET, trong đó máy khách nhận phản hồi hoặc gửi yêu cầu rất chậm, mà không đóng kết nối nhưng cũng không cho phép nó hết thời gian chờ, điều này dẫn đến việc vượt quá giới hạn số lượng kết nối đang hoạt động.
- Độ tin cậy của việc nhận dạng dấu vân tay lưu lượng JA4, giúp xác định hoạt động độc hại, đã được cải thiện. Để giảm khả năng xảy ra kết quả dương tính giả, việc tính toán băm JA4 có chọn lọc đã được triển khai. Điều này không bao gồm một số phần mở rộng TLS phụ thuộc vào phiên, chẳng hạn như phần mở rộng khôi phục phiên Khóa chia sẻ trước (PSK), làm giảm tính duy nhất của băm JA4.
- Đã thêm hỗ trợ cho cơ chế theo dõi USDT (Userland Statically Defined Tracing), được tích hợp vào ứng dụng và không tạo thêm tải khi bị vô hiệu hóa. USDT cho phép kiểm tra hoạt động của nDPI bằng cách sử dụng các tiện ích bpftrace và perf trên các máy chủ sản xuất. may chủ mà không cần sử dụng các bản dựng gỡ lỗi riêng biệt.
- Đã thêm hỗ trợ kiểm tra các giao thức Meshtastic, libp2p, YGGDRASIL và Nebula được sử dụng trong mạng lưới lớp phủ và mạng lưới dạng lưới.
- Khả năng phân loại dữ liệu ở định dạng JSON và MsgPack đã được triển khai, cũng như việc tách biệt các hoạt động liên quan đến các dịch vụ GitHub khác nhau (Copilot, Packages, Actions) và Proton (Mail, Pass, Drive, Calendar, Docs, Wallet, Lumo, Meet).
- Đã thêm hỗ trợ hiển thị nổi bật các cuộc gọi thoại và video trong giao thông.
- Các danh mục quản lý nội dung mới đã được đề xuất: trẻ em, công cụ tìm kiếm, bạo lực, ma túy và vũ khí.
Nguồn: opennet.ru
