[發明專利]加密流量檢測方法、系統、設備及存儲介質

在審

• 申請號: 202111567253.3
• 申請日: 2021-12-20
• 公開（公告）號: CN114363020A
• 公開（公告）日: 2022-04-15
• 發明（設計）人: 劉偉
• 申請（專利權）人: 北京六方云信息技術有限公司;北京六方云科技有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L61/4511;H04L9/32
• 代理公司: 北京恒程知識產權代理有限公司 11914
• 代理人: 張婷

本申請公開一種加密流量檢測方法、系統、設備及存儲介質，包括：加密流量進入目標訪問系統前，獲取待訪問流量報文，并提取待訪問流量報文的查詢域名以及IP訪問地址，若查詢域名和威脅情報庫匹配成功，則將IP訪問地址存儲至本地黑名單，加密流量進入目標訪問系統后，提取加密流量的目標訪問地址，將目標訪問地址與本地黑名單和威脅情報庫進行匹配，并提取加密流量在建立會話連接過程中的目標證書信息，若匹配成功，則確定加密流量為威脅流量，并將目標證書信息存儲至本地黑名單，若匹配不成功，則將目標證書信息與本地黑名單和威脅情報庫進行匹配，并根據匹配結果確定加密流量是否為威脅流量。本申請解決威脅流量識別效果不佳的技術問題。

技術領域

本申請涉及網絡安全技術領域，尤其涉及一種加密流量檢測方法、系統、設備及存儲介質。

背景技術

隨著網絡安全防范意識增強，為了保證傳輸安全，加密通信占據主流，大部分的網絡傳輸流量都采用了安全傳輸層協議進行加密，但同時又帶來了新的安全問題，流量加密在保護隱私的同時也掩飾了非法企圖，大多的惡意軟件也使用了安全傳輸層協議進行通信，所以從加密流量中識別出威脅流量，是目前面臨的一個難題。

發明內容

本申請的主要目的在于提供一種加密流量檢測方法、系統、設備及存儲介質，旨在解決現有技術中的威脅流量識別效果不佳的技術問題。

為實現上述目的，本申請提供一種加密流量檢測方法，所述加密流量檢測方法包括：

在加密流量進入目標訪問系統前，獲取待訪問流量報文，并提取所述待訪問流量報文對應的查詢域名以及IP訪問地址；

若所述查詢域名和威脅情報庫中的域名匹配成功，則將所述查詢域名對應的IP訪問地址存儲至預先配置的本地黑名單中；

當加密流量進入目標訪問系統后，提取所述加密流量對應的目標訪問地址；

將所述目標訪問地址分別與所述本地黑名單以及所述威脅情報庫進行匹配，并提取所述加密流量在建立會話連接過程對應的目標證書信息；

若所述目標訪問地址匹配成功，則確定所述加密流量為威脅流量，并將所述目標證書信息存儲至所述本地黑名單中；

若所述目標訪問地址匹配失敗，則將所述目標證書信息分別與所述本地黑名單以及所述威脅情報庫進行匹配，并根據匹配結果確定所述加密流量是否為威脅流量。

可選地，所述將所述目標證書信息分別與所述本地黑名單以及所述威脅情報庫進行匹配，并根據匹配結果確定所述加密流量是否為威脅流量的步驟包括：

將所述目標證書信息和所述本地黑名單進行遍歷匹配，獲得第一匹配結果；

若第一匹配結果為匹配失敗，則將所述目標證書信息與所述威脅情報庫中的證書信息進行遍歷匹配，獲得第二匹配結果；

若第二匹配結果為匹配成功，則確定所述加密流量為威脅流量，并將所述加密流量的目標訪問地址存儲至所述本地黑名單中。

可選地，在所述若所述查詢域名和威脅情報庫中的域名進行遍歷匹配成功，則將所述查詢域名對應的IP訪問地址存儲至預先配置的本地黑名單中的步驟之前，所述加密流量檢測方法還包括：

若所述查詢域名和所述威脅情報庫中的域名遍歷匹配失敗，則將所述IP訪問地址和所述威脅情報庫中的IP地址進行遍歷匹配；

若匹配成功，則將所述IP訪問地址對應的查詢域名存儲至所述本地黑名單中。

可選地，所述提取所述加密流量在建立會話連接過程對應的目標證書信息的步驟包括：

獲取所述加密流量建立會話連接過程中對應的握手信息；

對所述握手信息進行解析，獲得所述目標證書信息。