The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

Выпуск системы глубокого инспектирования пакетов nDPI 4.0

27.07.2021 21:59

Проект ntop, развивающий инструменты для захвата и анализа трафика, опубликовал выпуск инструментария для глубокого инспектирования пакетов nDPI 4.0, продолжающего развитие библиотеки OpenDPI. Проект nDPI основан после безуспешной попытки передачи изменений в репозиторий OpenDPI, который остался без сопровождения. Код nDPI написан на языке Си и распространяется под лицензией LGPLv3.

Проект позволяет определять в трафике используемые протоколы уровня приложения, анализируя характер сетевой активности без привязки к сетевым портам (может определять известные протоколы, обработчики которых принимают соединения на нестандартных сетевых портах, например, если http отдаётся не с 80 порта, или, наоборот, когда какую-то другую сетевую активность пытаются закамуфлировать под http через запуск на 80 порту).

Отличия от OpenDPI сводятся к поддержке дополнительных протоколов, портированию для платформы Windows, оптимизации производительности, адаптации для применения в приложениях для мониторинга трафика в режиме реального времени (убраны некоторые специфичные возможности, замедлявшие движок), возможности сборки в форме модуля ядра Linux и поддержке определения субпротоколов.

Всего поддерживается определения 247 протоколов и приложений, от OpenVPN, Tor, QUIC, SOCKS, BitTorrent и IPsec до Telegram, Viber, WhatsApp, PostgreSQL и обращений к GMail, Office365, GoogleDocs и YouTube. Имеется декодировщик серверных и клиентских SSL-сертификатов, позволяющий определить протокол (например, Citrix Online и Apple iCloud), используя сертификат шифрования. Для анализа содержимого pcap-дампов или текущего трафика через сетевой интерфейс поставляется утилита nDPIreader.


  $ ./nDPIreader -i eth0 -s 20 -f "host 192.168.1.10"

   Detected protocols:  
   DNS                  packets: 57    bytes: 7904     flows: 28
   SSL_No_Cert          packets: 483   bytes: 229203   flows: 6  
   FaceBook             packets: 136   bytes: 74702    flows: 4
   DropBox              packets: 9     bytes: 668      flows: 3
   Skype                packets: 5     bytes: 339      flows: 3  
   Google               packets: 1700  bytes: 619135   flows: 34

В новом выпуске:

  • Улучшена поддержка методов анализа шифрованного трафика ( ETA - Encrypted Traffic Analysis).
  • Реализована поддержка улучшенного метода идентификации TLS-клиентов JA3+, позволяющего на основе особенностей согласования соединений и задаваемых параметров определять какое ПО используется для установки соединения (например, позволяет определить использование Tor и других типовых приложений). В отличие от ранее поддерживаемого метода JA3, JA3+ отличается меньшим числом ложных срабатываний.
  • Число выявляемых сетевых угроз и проблем, связанных с риском компрометации (flow risk), расширено до 33. Добавлены новые определители угроз, связанных с предоставлением совместного доступа к рабочему столу и файлам, подозрительным HTTP-трафиком, вредоносными JA3 и SHA1, обращением к проблемным доменам и автономным системам, использованием в TLS сертификатов с подозрительными расширениями или слишком долгим сроком действия.
  • Проведена значительная оптимизация производительности, по сравнению с веткой 3.0 скорость обработки трафика возросла в 2.5 раза.
  • Добавлена поддержка GeoIP для определения местоположения по IP-адресу.
  • Добавлен API для вычисления RSI (Relative Strenght Index).
  • Реализованы средства управления фрагментацией.
  • Добавлен API для расчёта однородности потока (jitter).
  • Добавлена поддержка протоколов и сервисов: AmongUs, AVAST SecureDNS, CPHA (CheckPoint High Availability Protocol), DisneyPlus, DTLS, Genshin Impact, HP Virtual Machine Group Management (hpvirtgrp), Mongodb, Pinterest, Reddit, Snapchat VoIP, Tumblr, Virtual Asssitant (Alexa, Siri), Z39.50.
  • Улучшен разбор и определение протоколов AnyDesk, DNS, Hulu, DCE/RPC, dnscrypt, Facebook, Fortigate, FTP Control, HTTP, IEC104, IEC60870, IRC, Netbios, Netflix, Ookla speedtest, openspeedtest.com, Outlook / MicrosoftMail, QUIC, RTSP, RTSP via HTTP, SNMP, Skype, SSH, Steam, STUN, TeamViewer, TOR, TLS, UPnP, wireguard.


  1. Главная ссылка к новости (https://www.ntop.org/ndpi/intr...)
  2. OpenNews: Доступна система глубокого инспектирования пакетов nDPI 3.0
  3. OpenNews: Система анализа интернет трафика OpenDPI выпущена под лицензией LGPL
  4. OpenNews: Выпуск системы обнаружения атак Suricata 6.0
  5. OpenNews: Релиз системы обнаружения атак Snort 3
Лицензия: CC-BY
Тип: Программы
Короткая ссылка: https://opennet.ru/55554-ndpi
Ключевые слова: ndpi
Поддержать дальнейшую публикацию новостей на OpenNET.


Обсуждение (64) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, village_coder (ok), 22:15, 27/07/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Теперь заживем?
     
     
  • 2.3, Аноним (3), 22:19, 27/07/2021 [^] [^^] [^^^] [ответить]  
  • +4 +/
    Жить стало лучше, жить стало веселее
     
     
  • 3.9, Dzen Python (ok), 22:28, 27/07/2021 [^] [^^] [^^^] [ответить]  
  • +5 +/
    Главное про это отделу "К" не рассказывать.
    А то посавят себе действительно работающую тулзу, может спецов нормальных к ней найдут и... и заживем, заживем...тля
     
     
  • 4.20, village_coder (ok), 23:21, 27/07/2021 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Предлагаю сделать форк двух проектов в одном OpenWrt + nDPI под названием AnalniyZond и обязать продавать все роутеры в стране с этой прошивкой.
     
     
  • 5.21, commiethebeastie (ok), 23:27, 27/07/2021 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Ну в Ubiquity он уже несколько лет есть.
     
  • 5.28, Аноним (-), 01:46, 28/07/2021 [^] [^^] [^^^] [ответить]  
  • +5 +/
    Отличная идея, кстати -- в продаже останутся только гарантированно OpenWrt-совместимые роутеры.
     
     
  • 6.40, Аноним (40), 09:00, 28/07/2021 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Если, конечно, их ещё и не обяжут тивоизировать.
     
  • 4.53, Аноним (53), 16:19, 28/07/2021 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Так уже же стоит. Думаете, как в Беларуси блочили эти ваши Телеграмы?
     
     
  • 5.57, Сейд (ok), 21:48, 28/07/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Кстати, через MTProxy Телеграм всё-таки работал.
     
  • 4.72, ззззззз (?), 12:58, 02/08/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Плохо там со спецами... тот кто может не хочет. а тот кто обучен специально на профильных специальностях не может :))
     
  • 3.19, Тот_Самый_Анонимус (?), 23:19, 27/07/2021 [^] [^^] [^^^] [ответить]  
  • +4 +/
    Шея стала тоньше, но зато длиней.
     

  • 1.2, Аноним (2), 22:18, 27/07/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • –8 +/
    Зачем там столько зависимостей code Calculating dependencies done ebuild ... большой текст свёрнут, показать
     
     
  • 2.4, Fracta1L (ok), 22:19, 27/07/2021 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Держи в курсе проблем гентопердолей
     
     
  • 3.5, Аноним (2), 22:23, 27/07/2021 [^] [^^] [^^^] [ответить]  
  • –2 +/
    > Держи в курсе проблем гентопердолей

    Вот тут ты не прав, я пердолился пока не перешёл на генту. Чемпион пердоления это конечно венда, но любой бинарный линукс где-то на втором месте.

     
     
  • 4.7, Dzen Python (ok), 22:26, 27/07/2021 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Так-так-так, стопэ! Любой бинарный дистр, обмазывающий пакеты своими патчами есть чемпион по плотским утехам, а не "любой бинарный".
    А генту...а у меня нет столько времени, чтобы ждать окончания компиляции. А оверлеи превращают его в просто дист без дистропатчей, что скучно
     
     
  • 5.17, Аноним (2), 22:54, 27/07/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Тут нужен баланс между нескучными патчами и ванилькой. Дистро без патчей не лучше оверпатченного. Но иногда и возможность применить свои патчи без проблем очень выручает и удобней чем в генту это нигде не реализовано. Пока патчи накладываются делать вообще ничего не надо и оно просто едет (генту пока чемпион по жизнеспособности). Если они перестают накладываться, то объём требуемых действий обычно меньше чем у альтернативных вариантов. А так, даже ждать, пока кто-нибудь перепишет патчи под новую версию, можно вечно.
     
     
  • 6.70, Yocto (?), 11:02, 01/08/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Ваша Гента сосет у Yocto по возможности патчей.
     
  • 5.30, Kroz (ok), 02:11, 28/07/2021 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > а у меня нет столько времени, чтобы ждать окончания компиляции

    Это сколько? Сколько времени у тебя нет ждать окончания компиляции?

     
  • 4.12, Fracta1L (ok), 22:34, 27/07/2021 [^] [^^] [^^^] [ответить]  
  • –4 +/
    Ахаха, типичный пердолесектант
     
     
  • 5.16, Аноним (2), 22:46, 27/07/2021 [^] [^^] [^^^] [ответить]  
  • +/
    > Ахаха, типичный пердолесектант

    Я просто посчитал затраты на сопровождение, почему сектант?

     
     
  • 6.36, Fracta1L (ok), 07:56, 28/07/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Ну давай, выложи калькуляцию)))
     
  • 5.41, Аноним (40), 09:03, 28/07/2021 [^] [^^] [^^^] [ответить]  
  • +/
    За растобоями им не угнаться.
     
  • 3.14, Аноним (14), 22:38, 27/07/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Да не, проблема не в генте а в кривой системе предыдущего джентельмена. У меня никакого редиса не потребовало.

    Calculating dependencies... done!
    [ebuild  N     ] net-libs/nDPI-3.4:0/3::gentoo  37,087 KiB

     
     
  • 4.18, Аноним (2), 22:54, 27/07/2021 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Нет, ты просто читать не умеешь.
     
  • 3.31, СеменСеменыч777 (?), 04:06, 28/07/2021 [^] [^^] [^^^] [ответить]  
  • –1 +/
    кстати о термине "пердолинг".
    это гей-жаргон польских геев или другого народа, зашедшего в эту страну через Польшу ?

    // я очень политкорректный. когда захочу.

     
  • 2.6, Аноним (6), 22:25, 27/07/2021 [^] [^^] [^^^] [ответить]  
  • +/
    а мог бы вместо пердолинга с генту работу найти нормальную и купить ssd адекватного объема.
     
     
  • 3.8, Dzen Python (ok), 22:26, 27/07/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Спасибо майнерам за это передать не забудь.
     
     
  • 4.22, commiethebeastie (ok), 23:28, 27/07/2021 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Уже давно за полцены нелохи продают ssd.
     
     
  • 5.23, village_coder (ok), 23:31, 27/07/2021 [^] [^^] [^^^] [ответить]  
  • +2 +/
    С 3/4 пробега?
     
     
  • 6.47, commiethebeastie (ok), 11:29, 28/07/2021 [^] [^^] [^^^] [ответить]  
  • +/
    > С 3/4 пробега?

    https://23.img.avito.st/640x480/11498520523.jpg

    https://30.img.avito.st/640x480/11294547530.jpg

    Ерунда там пробег.

     
     
  • 7.56, Fracta1L (ok), 19:20, 28/07/2021 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Брать б/у - себя не уважать
     
  • 4.35, Fracta1L (ok), 07:55, 28/07/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Chia не взлетела, никакого ощутимого роста цен не случилось. По крайней мере, до 2-4 Тб. Держу в курсе.

     
  • 3.42, Аноним (40), 09:06, 28/07/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Так а зачем SSD, как не для емёржинга? ;)
     
  • 2.60, Аноним (60), 07:14, 29/07/2021 [^] [^^] [^^^] [ответить]  
  • +/
    дай угадаю, ты из тех клоунов кто под корень выделил 10~гигов, а остальное под хомяка?
     
     
  • 3.65, Аноним (2), 11:55, 29/07/2021 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > дай угадаю, ты из тех клоунов кто под корень выделил 10~гигов, а
    > остальное под хомяка?

    ну допустим не 10, а 50, а чё такого?

     

  • 1.10, Shinma (ok), 22:31, 27/07/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    Если уж питон упоминается и баловство с трафиком то не могу не упомянуть супер библиотеку https://scapy.net/
     
  • 1.11, InuYasha (??), 22:34, 27/07/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • –2 +/
    Товарищ майор за стенкой ругается. Похоже, его патчи к этому выпуску не подходят )
     
     
  • 2.13, Dzen Python (ok), 22:35, 27/07/2021 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Ну так помоги дяде. Сделай доброе дело. Слабым и немощным надо помогать.
     
     
  • 3.67, Аноним (-), 19:09, 29/07/2021 [^] [^^] [^^^] [ответить]  
  • +1 +/
    А зачем вам помогать?
     
  • 2.26, Хан (?), 23:47, 27/07/2021 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Снова API поломали иноагенты проклятые?
     

  • 1.15, Аноним (15), 22:39, 27/07/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Отлично, годно.
     
  • 1.24, Ne01eX (ok), 23:32, 27/07/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Пойдёт.
     
  • 1.32, МертвыйАнархист (?), 04:16, 28/07/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Ркн на заметку
     
     
  • 2.38, ттттттт (?), 08:32, 28/07/2021 [^] [^^] [^^^] [ответить]  
  • +1 +/
    пробовал туда написать жалобу на яндекс за то что выдет целыми страницами порно-дерьмо не относящееся к поисковому запросу, вторую неделю не могу отправить на почтовый ящик указанный на их сайте, письмо возвращается назад...
     
     
  • 3.39, pkdr (ok), 08:48, 28/07/2021 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Если не нравится порно, у яндекса есть для таких как ты опция "безопасный поиск", включите её и порно будет показываться намного меньше.

    Но вообще ваша претензия странная, яндекс только поисковик, он сам контент не создаёт, он только ищет, а алгоритмы поиска не идеальные и даже в самых безопасных режимах порно может показываться при поиске. Если порно так пугает, может стоит вообще бросить посещение проклятого интернета?

     
     
  • 4.46, а (?), 11:22, 28/07/2021 [^] [^^] [^^^] [ответить]  
  • +/
    зачем тогда роскомпозор нужен?
    неужели только для блокировки неугодных чиновникам сайтов?
     
     
  • 5.49, Аноним (49), 12:14, 28/07/2021 [^] [^^] [^^^] [ответить]  
  • +1 +/
    А ты думал, что для чего-то более полезного?
     
  • 4.52, Почему это подбесило (?), 14:47, 28/07/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Попробуй напечатать в поиске "после замены лифта в подъезде идет какая-то *уйня с электрикой отрубается внезапно день ночь на час или 40 минут причем без отключения автоматов в щитке лифт тоже продолжает работать обесточивается именно квартира — Яндекс: нашлось 18 млн результатов"
     
  • 4.62, ttttttttttt (?), 08:43, 29/07/2021 [^] [^^] [^^^] [ответить]  
  • +/
    ты где так округлыми фразами научился шпарить? с какой-то секты идиотов-лингвистов-успокоителей? тебе говорят простыми словами засирает порнухой обычные запросы
     
  • 3.50, Аноним (49), 12:15, 28/07/2021 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Вот, даже все почтовики ненавидят эту мерзопакостную конторку.
     

  • 1.34, Скоросшиватель (?), 06:51, 28/07/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • –3 +/
    >[оверквотинг удален]
    > серверный
    > модуля
    > портированию
    > дампов
    > доменами
    > идентификации
    > фрагментацией
    > API
    > SSL
    > http

    Ну вы или уже все на "исконный" переводите, или вообще не делайте этого. А то какой-то дикий фарш в духе лец ми спик фром май харт получается. Глубокие инспекторы, блин.

     
     
  • 2.37, nebularia (ok), 08:18, 28/07/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Ждём предложений, как "перевести" указанные выше слова. Ну, кроме "портирования" - "перенос" звучит нормально, хотя и не столь конкретно.
     
     
  • 3.43, Аноним (43), 09:17, 28/07/2021 [^] [^^] [^^^] [ответить]  
  • +/
    API - интерфейс программирования к приложению
    SSL - рынок, построенный на иллюзии необходимости купить сертификат, чтобы нормально работало шифрование
    HTTP - гипертекстовый протокол
     
     
  • 4.44, Аноним (43), 09:21, 28/07/2021 [^] [^^] [^^^] [ответить]  
  • +/
    ... И не забывать продлевать сертификат, а сроки жизни уменьшаются... Наверное даже можно ввести перевод "шифрование на час". Технически-то с шифрованием все в порядке, но при просрачивании сертификата браузер будет ругаться, мол вы к какому-то неподтвержденному дяде подключаетесь, который украл сайт или не продлил наш сертификат
     
  • 4.59, lockywolf (ok), 06:23, 29/07/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Чем предлагаете заменить покупку сертификатов?
     
  • 3.48, Sw00p aka Jerom (?), 11:56, 28/07/2021 [^] [^^] [^^^] [ответить]  
  • +/
    >Ну, кроме "портирования" - "перенос" звучит нормально

    платформенная адаптация, обеспечение работоспособности и т. д.

     
  • 2.66, InuYasha (??), 19:05, 29/07/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Что-то вы перебарщиваете. Даже мне такое - через чур.
    ГТТП гы :D
     

  • 1.45, Перастерос (ok), 10:32, 28/07/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    вещь! надо попробовать
     
  • 1.51, lockywolf (ok), 12:51, 28/07/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Почему это отдельный пакет, а не патч к tcpdump ?
     
  • 1.54, Аноним (53), 16:21, 28/07/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    В белорусском гебе уже такой стоит, позволяет диктаторам щемить эти ваши телеграмы да впны.
     
     
  • 2.58, Сейд (ok), 21:52, 28/07/2021 [^] [^^] [^^^] [ответить]  
  • +/
    В Беларуси Телеграм нормально работает через MTProxy.
     

  • 1.55, Аноним (55), 19:20, 28/07/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    слушайте а есть кейсы его применения на openwrt в связке с iptables/nffilter?
     
  • 1.71, Аноним (71), 11:43, 02/08/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    радует что SS в списке нет
     
  • 1.73, Аноним (73), 17:48, 02/08/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Определяют по обращениям к ip адресам сервисов?
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:
    При перепечатке указание ссылки на opennet.ru обязательно



    Спонсоры:
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2021 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру