nDPI® je open source knihovna LGPLv3 pro hloubkovou kontrolu paketů. Založeno na OpenDPI, zahrnuje rozšíření ntop.
Bylo oznámeno vydání nové verze nDPI 4.6 , která přinesla několik vylepšení, včetně podpory pro více protokolů a zvýšené robustnosti díky fuzzing kódu zavedenému v této verzi. U několika protokolů byla vylepšena extrakce metadat protokolů, stejně jako detekce DGA v názvech hostitelů a další vylepšení.
nDPI se vyznačuje tím, že jej používají jak ntop, tak nProbe k přidání detekce protokolů na aplikační vrstvě, bez ohledu na použitý port. To znamená, že je možné objevit známé protokoly i na nestandardních portech.
Projekt umožňuje určit protokoly aplikační vrstvy používané v provozu analýzou povahy síťové aktivity bez vazby na síťové porty (dokáže určit známé protokoly, jejichž řadiče přijímají připojení na nestandardních síťových portech, například pokud http není odeslán z portu 80, nebo naopak, když se snaží maskovat jinou síťovou aktivitu jako http běžící na portu 80).
Hlavní nové funkce nDPI 4.6
V nové verzi nDPI 4.6 byla přidána možnost definovat vlastní protokoly pomocí filtrů nBPF (například: 'nbpf:»host 192.168.1.1 and port 80″@HomeRouter').
Výrazně se zlepšil i výkon analýzy provozu , detekce kódu WebShell a PHP v HTTP URL a definice DGA (algoritmu generování domén).
Rozšířil se rozsah detekovaných síťových hrozeb a problémů spojených s rizikem kompromitace (flow risk). Byla přidána podpora pro nové typy hrozeb: NDPI_HTTP_OBSOLETE_SERVER (detekuje starší verze Apache a nginx), NDPI_PERIODIC_FLOW, NDPI_MINOR_ISSUES a NDPI_TCP_ISSUES.
Další novou funkcí této verze je implementace fuzzingových testů spolu s vylepšeným ověřováním instrukcí AES-NI a vylepšeními serializace dat JSON.
Dále je třeba poznamenat, že byly přidány statistiky pro mezipaměti Patricia, Ahocarasick a LRU, stejně jako konfigurovatelná logika stáří záznamů v mezipaměti LRU, podpora RTP streamů pro streamování metadat a že utilita ndpiReader implementuje podporu pro protokol Linux Cooked Capture v2.
Na straně dodatků podpory pro protokoly a služby:
- Activision
- Přístup k serveru AliCloud
- Avast
- CryNetwork
- Anydesk
- Bittorrent (fixní spolehlivost, detekce přes TCP)
- DNS, přidat možnost dekódovat záznamy DNS PTR používané pro zpětné rozlišení adres
- DTLS (zpracování fragmentů certifikátu)
- Facebook VoIP hovory
- FastCGI (rozebrat PARAMS)
- FortiClient (aktualizace výchozích portů)
- Svár
- edns
- Elastickýsearch
- FastCGI
- Osud
- Liane App a Line VoIP hovory
- Meraki Cloud
- muanin
- NATPMP
- Podklasifikace HTTP
- Zkontrolujte, zda v HTTP není prázdný/chybějící uživatelský agent
- IRC (kontrola pověření)
- Jabber / XMPP
- Kerberos (podpora chybových zpráv Krb)
- LDAP
- MGCP
- MONGODB (vyhnout se falešným poplachům)
- Synchronizace
- TP-LINK Smart Home
- VAŠE LAN
- SoftEtherVPN
- Ocasní měřítko
- TiVoConnect
- SNMP
- SMB (podpora zpráv rozdělených do více segmentů TCP)
- SMTP (podpora příkazu X-ANONYMOUSTLS)
- OMRÁČIT
- SKYPE (zlepšit detekci přes UDP, odstranit detekci přes TCP)
- Teamspeak3 (detekce licencí/weblistu)
- Posel Threema
- zoom
- Přidat detekci sdílení obrazovky přiblížení
- Přidejte detekci přiblížení peer-to-peer toků v STUN
- Detekce hovorů Hangout/Duo Voip, optimalizace vyhledávání ve stromu protokolů
- HTTP
- Obsluha HTTP-Proxy a HTTP-Connect
- postgres
- POP3
- QUIC (podpora paketů 0-RTT přijatých před počátečním)
- Snapchat VoIP hovory
A konečně, pokud se chcete o této nové verzi dozvědět více, podrobnosti naleznete na následujícím odkazu.
Jak nainstalovat nDPI na Linux?
Pro ty, kteří mají zájem o možnost nainstalovat tento nástroj do svého systému, mohou tak učinit podle pokynů, které sdílíme níže.
Pro instalaci nástroje si musíme stáhnout zdrojový kód a zkompilovat ho , ale předtím, pokud jste uživatel Debianu, Ubuntu nebo odvozených systémů , musíte nejprve nainstalovat následující:
sudo apt-get install build-essential git gettext flex bison libtool autoconf automake pkg-config libpcap-dev libjson-c-dev libnuma-dev libpcre2-dev libmaxminddb-dev librrd-dev
Pro ty, kteří používají Arch Linux:
sudo pacman -S gcc git gettext flex bison libtool autoconf automake pkg-config libpcap json-c numactl pcre2 libmaxminddb rrdtool
Nyní, abychom mohli kompilovat, musíme stáhnout zdrojový kód, který můžete získat zadáním:
git clone https://github.com/ntop/nDPI.git cd nDPI
A pokračujeme v kompilaci nástroje zadáním:
./autogen.sh make
Pokud máte zájem dozvědět se více o tom, jak nástroj používat, můžete se podívat na následující odkaz.