开发用于捕获和分析流量的工具的 ntop 项目发布了用于深度数据包检测的工具包 nDPI 6.0，该工具包继续 OpenDPI 库的开发。 nDPI 项目是在尝试将更改推送到 OpenDPI 存储库失败后成立的，该存储库无人维护。 nDPI 代码是用 C 语言编写的，并根据 LGPLv3 许可证获得许可。
该系统允许您确定流量中使用的应用程序级协议，分析网络活动的性质，而无需绑定到网络端口（它可以确定其处理程序接受非标准网络端口上的连接的众所周知的协议，例如，如果 http 不是从端口 80 发送，或者相反，他们试图通过在端口 80 上运行来将其他网络活动伪装成 http）。
与 OpenDPI 的区别主要在于对其他协议的支持以及向该平台的移植。 Windows性能优化、针对实时交通监控应用的适配（移除了一些会降低引擎速度的特定功能），以及构建为内核模块的能力 Linux 并支持定义子协议。
支持检测 56 种类型的网络威胁（流量风险）以及超过 450 种协议和应用程序（来自 OpenVPN支持 Tor、QUIC、SOCKS、BitTorrent 和 IPsec 等协议，可向 Telegram、Viber、WhatsApp、PostgreSQL 发送请求，并向 Gmail、Office 365、Google Docs 和 YouTube 发送请求。服务器和客户端均有解码器。 SSL- 证书，允许使用加密证书进行协议检测（例如 Citrix Online 和 Apple iCloud）。nDPIreader 实用程序用于分析 pcap 转储的内容或当前网络接口流量。
在新版本中：
- 许可条款已更改。核心 nDPI 库仍采用 LGPLv3 许可，但一些流量解析模块（例如 DNS、QUIC 和 TLS）已改为双重许可：非商业项目采用 LGPLv3 许可，营利性项目采用商业许可。
- 新增了检测和阻止 Slowloris、Slow POST 和 Slow GET 类 DoS 攻击的功能，在这种攻击中，客户端接收响应或发送请求的速度非常慢，既不关闭连接，也不允许连接超时，从而导致活动连接数的限制被耗尽。
- JA4流量指纹识别的可靠性得到了提升，这有助于识别恶意活动。为了降低误报率，我们实现了选择性JA4哈希计算。但这并不涵盖某些会话相关的TLS扩展，例如预共享密钥（PSK）会话恢复扩展，因为这些扩展会降低JA4哈希的唯一性。
- 新增对 USDT（用户静态定义跟踪）跟踪机制的支持。该机制已集成到应用程序中，禁用时不会增加额外负载。USDT 允许在生产机器上使用 bpftrace 和 perf 工具检查 nDPI 操作。 服务器 无需使用单独的调试版本。
- 增加了对覆盖网络和网状网络中使用的 Meshtastic、libp2p、YGGDRASIL 和 Nebula 协议的检查支持。
- 已经实现了对 JSON 和 MsgPack 格式的数据进行分类的功能，以及将与不同 GitHub 服务（Copilot、Packages、Actions）和 Proton（Mail、Pass、Drive、Calendar、Docs、Wallet、Lumo、Meet）相关的活动分开的功能。
- 增加了在交通信息中高亮显示语音和视频通话的功能。
- 已提出新的内容管理类别：儿童、搜索引擎、暴力、毒品和武器。
来源： opennet.ru
