nDPI 4.6 arrive avec la prise en charge de nouveaux protocoles, services et plus encore

La nouvelle version 4.6 de nDPI a été annoncée , apportant plusieurs améliorations, notamment la prise en charge de davantage de protocoles et une robustesse accrue grâce au code de fuzzing intégré. L'extraction des métadonnées de protocole a été améliorée pour plusieurs d'entre eux, de même que la détection des DGA dans les noms d'hôtes, parmi d'autres améliorations.

nDPI se caractérise par son utilisation conjointe avec ntop et nProbe pour la découverte de protocoles au niveau de la couche application, quel que soit le port utilisé. Il est ainsi possible de découvrir des protocoles connus sur des ports non standard.

Ce projet permet de déterminer les protocoles de la couche application utilisés dans le trafic en analysant la nature de l'activité réseau sans être lié aux ports réseau (il peut déterminer les protocoles connus dont les contrôleurs acceptent les connexions sur des ports réseau non standard, par exemple, si le protocole http n'est pas envoyé depuis le port 80, ou, inversement, lorsqu'ils tentent de camoufler une autre activité réseau en la faisant passer pour du protocole http exécuté sur le port 80).

Principales nouveautés du nDPI 4.6

Dans la nouvelle version de nDPI 4.6, la possibilité de définir des protocoles personnalisés à l'aide de filtres nBPF a été fournie (par exemple : 'nbpf:»hôte 192.168.1.1 et port 80″@HomeRouter').

Les performances de l'analyse du trafic ont également été grandement améliorées, de même que la détection du code WebShell et PHP dans les URL HTTP et la définition du DGA (algorithme de génération de domaine).

La gamme des menaces réseau détectées et des problèmes associés au risque de compromission (risque de flux) a été étendue. La prise en charge de nouveaux types de menaces a été ajoutée : NDPI_HTTP_OBSOLETE_SERVER (détecte les anciennes versions d’Apache et de nginx), NDPI_PERIODIC_FLOW, NDPI_MINOR_ISSUES et NDPI_TCP_ISSUES.

Une autre nouveauté de cette version est la mise en œuvre de tests de fuzzing, ainsi qu'une vérification améliorée des instructions AES-NI et des améliorations apportées à la sérialisation des données JSON.

De plus, il est à noter que des statistiques ont été ajoutées pour Patricia, Ahocarasick et le cache LRU, ainsi qu'une logique d'âge d'entrée de cache LRU configurable, la prise en charge des flux RTP pour diffuser des métadonnées et que l'utilitaire ndpiReader implémente la prise en charge du protocole Linux Cooked Capture v2.

Du côté des ajouts de support pour les protocoles et les services :

• Activision
• Accès au serveur AliCloud
• AVAST
• Réseau de cris
• Anydesk
• Bittorrent (confiance fixe, détection sur TCP)
• DNS, ajouter la possibilité de décoder les enregistrements DNS PTR utilisés pour la résolution d'adresse inverse
• DTLS (gestion des fragments de certificat)
• Appels VoIP Facebook
• FastCGI (disséquer PARAMS)
• FortiClient (mettre à jour les ports par défaut)
• Discord
• EDNS
• ElasticSearch
• FastCGI
• Kismet
• Appels Liane App et Line VoIP
• Nuage Meraki
• muanine
• NATPMP
• Sous-classification HTTP
• Vérifier l'agent utilisateur vide/manquant dans HTTP
• IRC (vérification des informations d'identification)
• Jabber / XMPP
• Kerberos (prise en charge des messages d'erreur Krb)
• LDAP
• MGCP
• MONGODB (éviter les faux positifs)
• Syncthing
• Maison intelligente TP-LINK
• VOTRE LAN
• SoftEther VPN
• Échelle de queue
• TiVoConnect
• SNMP
• SMB (prise en charge des messages divisés en plusieurs segments TCP)
• SMTP (prise en charge de la commande X-ANONYMOUSTLS)
• ÉTOURDIR
• SKYPE (améliorer la détection sur UDP, supprimer la détection sur TCP)
• Teamspeak3 (Détection de licence/liste Web)
• Messager de Threema
• ZOOM
• Ajouter la détection de partage d'écran Zoom
• Ajout de la détection des flux peer-to-peer Zoom dans STUN
• Détection des appels Hangout/Duo Voip, optimisation des recherches dans l'arborescence des protocoles
• HTTP
• Gestion de HTTP-Proxy et HTTP-Connect
• Postgres
• POP3
• QUIC (prise en charge des paquets 0-RTT reçus avant l'initial)
• Appels VoIP Snapchat

Enfin, si vous souhaitez en savoir plus sur cette nouvelle version, vous trouverez les détails en suivant ce lien.

Comment installer nDPI sur Linux ?

Pour ceux qui souhaitent pouvoir installer cet outil sur leur système, ils peuvent le faire en suivant les instructions que nous partageons ci-dessous.

Pour installer l'outil, il faut télécharger le code source et le compiler , mais avant cela, si vous utilisez Debian, Ubuntu ou une distribution dérivée , vous devez d'abord installer les éléments suivants :

sudo apt-get install build-essential git gettext flex bison libtool autoconf automake pkg-config libpcap-dev libjson-c-dev libnuma-dev libpcre2-dev libmaxminddb-dev librrd-dev

Pour les utilisateurs d'Arch Linux :

sudo pacman -S gcc git gettext flex bison libtool autoconf automake pkg-config libpcap json-c numactl pcre2 libmaxminddb rrdtool

Maintenant, pour compiler, nous devons télécharger le code source, que vous pouvez obtenir en tapant :

git clone https://github.com/ntop/nDPI.git

cd nDPI

Et nous procédons à la compilation de l'outil en tapant :

./autogen.sh
make

Si vous souhaitez en savoir plus sur l'utilisation de cet outil, vous pouvez consulter le lien suivant.