Проект ntop, развивающий инструменты для захвата и анализа трафика, опубликовал инструментарий для глубокого инспектирования пакетов nDPI 6.0, продолжающий развитие библиотеки OpenDPI. Проект nDPI основан после безуспешной попытки передачи изменений в репозиторий OpenDPI, который остался без сопровождения. Код nDPI написан на языке Си и распространяется под лицензией LGPLv3.

Система позволяет определять в трафике используемые протоколы уровня приложений, анализируя характер сетевой активности без привязки к сетевым портам (может определять известные протоколы, обработчики которых принимают соединения на нестандартных сетевых портах, например, если http отдаётся не с 80 порта, или, наоборот, когда какую-то другую сетевую активность пытаются закамуфлировать под http через запуск на 80 порту).

Отличия от OpenDPI сводятся к поддержке дополнительных протоколов, портированию для платформы Windows, оптимизации производительности, адаптации для применения в приложениях для мониторинга трафика в режиме реального времени (убраны некоторые специфичные возможности, замедлявшие движок), возможности сборки в форме модуля ядра Linux и поддержке определения субпротоколов.

Поддерживается определение 56 типов сетевых угроз (flow risk) и более 450 протоколов и приложений (от OpenVPN, Tor, QUIC, SOCKS, BitTorrent и IPsec до Telegram, Viber, WhatsApp, PostgreSQL и обращений к Gmail, Office 365, Google Docs и YouTube). Имеется декодировщик серверных и клиентских SSL-сертификатов, позволяющий определить протокол (например, Citrix Online и Apple iCloud), используя сертификат шифрования. Для анализа содержимого pcap-дампов или текущего трафика через сетевой интерфейс поставляется утилита nDPIreader.

В новом выпуске:

• Изменены условия лицензирования. Базовая библиотека nDPI продолжает поставляться под лицензией LGPLv3, но некоторые модули разбора трафика, такие как DNS, QUIC и TLS, переведены на двойную лицензию: LGPLv3 для некоммерческих проектов и коммерческая лицензия для проектов, используемых для получения прибыли.
• Добавлена возможность выявления и блокирования DoS-атак класса Slowloris, Slow POST и Slow GET, при которых клиент принимает ответ или отправляет запрос очень медленно, не закрывая соединения и но не допуская прерывания по таймауту, что позволяет исчерпать лимит на число активных соединений.
• Повышена надёжность формирования отпечатков трафика JA4, позволяющих выявлять вредоносную активность. Для снижения вероятности ложных срабатываний реализовано выборочное вычисление хэшей JA4, которое не охватывает некоторые зависящие от сессии расширения TLS, например, расширение для возобновления сеансов через предварительно согласованные ключи (PSK), снижающие уникальность хэшей JA4.
• Добавлена поддержка механизма трассировки USDT (Userland Statically Defined Tracing), интегрируемого в приложение и не создающего дополнительной нагрузки в выключенном состоянии. USDT позволяет инспектировать работу nDPI при помощи утилит bpftrace и perf на рабочих серверах без применения отдельных отладочных сборок.
• Добавлена поддержка инспектирования протоколов Meshtastic, libp2p, YGGDRASIL и Nebula, применяемых в оверлейных и mesh-сетях.
• Реализована возможность классификации данных в форматах JSON и MsgPack, а также разделение активности, связанной с разными сервисами GitHub (Copilot, Packages, Actions) и Proton (Mail, Pass, Drive, Calendar, Docs, Wallet, Lumo, Meet).
• Добавлена поддержка выделения в трафике голосовых- и видеовызовов.
• Предложены новые категории управления контентом: дети, поисковые системы, насилие, наркотики и оружие.