[發明專利]一種基于多個匹配引擎的結果加權的HTTPS流量應用分類方法

有效

• 申請號: 202011628563.7
• 申請日: 2020-12-31
• 公開（公告）號: CN112769713B
• 公開（公告）日: 2021-11-09
• 發明（設計）人: 謝銘;胡小勇;劉慶良;姚彤彤;錢金新;梁才
• 申請（專利權）人: 北京賽思信安技術股份有限公司
• 主分類號: H04L12/851
• 分類號: H04L12/851;H04L29/08;G06K9/62
• 代理公司: 北京永創新實專利事務所 11121
• 代理人: 祗志潔

1.一種基于多個匹配引擎的結果加權的HTTPS流量應用分類方法，其特征在于，包括：

步驟一，構建規則文件層，在規則文件層設置不同規則文件輸入接口，規則文件包括五元組規則文件、正則規則文件、固定位置規則文件、負載長度規則文件、SNI規則文件、客戶端證書規則文件以及服務端證書規則文件；SNI表示服務器域名指示；

五元組規則文件包括A1條五元組規則，每條五元組規則包括源IP、目的IP、源端口、目的端口和協議號；正則表達式規則文件包括A2條正則表達式，每條正則表達式規則包括正則表達式的語法描述；固定位置規則文件包括A3條固定位置規則，每條固定位置規則包括位置偏移量、數據長度和數據內容；負載長度規則文件包括A4條負載長度規則，每條負載長度規則包括負載長度大小；SNI規則文件包括A5條SNI規則，每條SNI規則包括SNI內容；客戶端證書規則文件包括A6條HTTPS的客戶端證書規則，每條HTTPS的客戶端證書規則包括客戶端證書的CA機構、證書綁定的域名、證書有效期和證書擁有者；服務端證書規則文件包括A7條HTTPS的服務端證書規則，每條HTTPS的服務端證書規則包括服務端證書的CA機構、證書綁定的域名、證書有效期和證書擁有者；其中，A1～A7均為大于1的正整數；

步驟二，構建識別引擎層，根據輸入的規則文件生成相應的匹配引擎，包括五元組匹配引擎、正則匹配引擎、固定位置匹配引擎、負載長度匹配引擎、SNI匹配引擎、客戶端證書匹配引擎及服務端證書匹配引擎；

步驟三，構建結果聚合和比對層，在結果聚合和比對層加載匹配引擎結果加權因子文件，構建結果聚合引擎，加載結果分類對應區間數值的文件，構建結果分類引擎；

所述的匹配引擎結果加權因子文件中記載7個匹配引擎的結果加權因子D1,D2…D7；

所述的結果分類對應區間數值的文件中記載n個應用分類的數值區間；

步驟四，將捕獲的HTTPS流量輸入識別引擎層，調用各匹配引擎，獲得各匹配結果；結果聚合引擎首先計算各匹配結果的命中概率，獲得7個概率如下：

p1＝C1/A1,p2＝C2/A2,p3＝C3/A3,p4＝C4/A4,p5＝C5/A5,p6＝C6/A6,p7＝C7/A7；

再結合結果加權因子獲得概率值F＝p1*D1+p2*D2+p3*D3+p4*D4+p5*D5+p6*D6+p7*D7；

其中，C1,C2…C7表示7個匹配引擎的匹配結果數據；A1,A2…A7表示7個規則文件中的規則數目；

根據獲得的概率值F從結果分類對應區間數值的文件中進行比對，查找到所屬類別，最后輸出HTTPS流量所對應的應用類別；

包括如下步驟：

步驟4.1、對HTTPS流量數據包提取五元組信息，調用五元組匹配引擎，得到匹配結果數目為C1；

步驟4.2、對HTTPS流量數據包提取負載數據內容，調用正則匹配引擎，得到匹配結果數目為C2；

步驟4.3、對HTTPS流量數據包提取負載數據內容，調用固定位置匹配引擎，得到匹配結果數目為C3；

步驟4.4、對HTTPS流量數據包提取負載內容的長度，調用負載長度匹配引擎，得到匹配結果數目為C4；

步驟4.5、對HTTPS流量數據包提取HTTPS的SNI規則文件，調用SNI匹配引擎，得到匹配結果數目為C5；

步驟4.6、對HTTPS流量數據包提取HTTPS的客戶端證書規則文件，調用客戶端證書匹配引擎，得到匹配結果數目為C6；

步驟4.7、對HTTPS流量數據包提取HTTPS的服務端證書規則文件，調用服務端證書匹配引擎，得到匹配結果數目為C7；

步驟4.8、計算每種匹配引擎命中的概率p1,p2…p7；

步驟4.9、按照加權因子，計算匹配結果命中概率F；

步驟4.10、將命中概率F，在各個數值區間中查找，得到對應的應用分類。