[发明专利]加密流量自定义应用识别方法、系统、装置及存储介质

权利要求书

1.一种加密流量自定义应用识别方法，其特征在于，包括以下步骤：录入用户设定的自定义应用的报文传输协议、服务器信息、端口信息及报文内容；根据所述服务器信息及端口信息计算HASH值，根据所述HASH值、报文传输协议、服务器信息、端口信息及报文内容更新或者新建自定义应用识别规则，得到最新自定义应用识别规则；

采集流经上网行为管理系统的网络流量的报文传输协议、IP地址、端口信息及报文内容，根据流经上网行为管理系统的网络流量的报文传输协议、IP地址、端口信息、报文内容及最新自定义应用识别规则，确定自定义应用识别结果，根据所述服务器信息及端口信息计算 HASH 值，具体包括：

若服务器信息为 IP 地址，则根据 IP 地址及端口信息计算 HASH 值；若服务器信息为域名，则根据域名获取 DNS 报文，通过解析 DNS 报文获得服务器 IP 地址，则根据 IP地址及端口信息计算 HASH 值。

2.根据权利要求1 所述的加密流量自定义应用识别方法，其特征在于，根据所述 HASH值、报文传输协议、服务器信息、端口信息及报文内容更新或者新建自定义应用识别规则，具体包括：若已存在自定义应用识别规则，则检测已存在自定义应用识别规则中是否包含有所述 HASH 值，若包含，则更新对应自定义应用识别规则中的 IP地址、报文传输协议、服务器信息、端口信息及报文内容；若不包含，新建包含HASH值、IP地址、报文传输协议、服务器信息、端口信息及报文内容的自定义应用识别规则。

3.根据权利要求2 所述的加密流量自定义应用识别方法，其特征在于，还包括，若不存在自定义应用识别规则，直接新建包含 HASH 值、IP 地址、报文传输协议、服务器信息、端口信息及报文内容的自定义应用识别规则。

4.根据权利要求 1 所述的加密流量自定义应用识别方法，其特征在于，根据流经上网行为管理系统的网络流量的报文传输协议、IP 地址、端口信息、报文内容及最新自定义应用识别规则，确定自定义应用识别结果，具体包括：利用 IP 地址和端口获取对应 HASH值，将该 HASH 值与最新自定义应用识别规则中的 HASH 进行匹配，若匹配成功，则将流经上网行为管理系统的网络流量的报文传输协议、IP 地址、端口信息、报文内容与最新自定义应用识别规则进行匹配，根据匹配结果确定自定义应用识别结果。

5.根据权利要求4所述的加密流量自定义应用识别方法，其特征在于，还包括，若 HASH值与最新自定义应用识别规则中的 HASH 匹配不成功，则流经上网行为管理系统的网络流量对应的应用不为自定义应用。

6.根据权利要求4所述的加密流量自定义应用识别方法，其特征在于，根据匹配结果确定自定义应用识别结果，具体包括：若匹配成功，则流经上网行为管理系统的网络流量对应的应用为自定义应用，若匹配不成功，则流经上网行为管理系统的网络流量对应的应用不为自定义应用。

7.一种加密流量自定义应用识别系统，其特征在于，包括录入模块、规则学习模块及应用识别模块；所述录入模块，用于录入用户设定的自定义应用的报文传输协议、服务器信息、端口信息及报文内容；所述规则学习模块，用于根据所述服务器信息及端口信息计算HASH值，根据所述 HASH 值、报文传输协议、服务器信息、端口信息及报文内容更新或者新建自定义应用识别规则，得到最新自定义应用识别规则；

所述应用识别模块，用于采集流经上网行为管理系统的网络流量的报文传输协议、IP地址、端口信息及报文内容，根据流经上网行为管理系统的网络流量的报文传输协议、IP地址、端口信息、报文内容及最新自定义应用识别规则，确定自定义应用识别结果。

8.一种加密流量自定义应用识别装置，其特征在于，包括处理器以及存储器，所述存储器上存储有计算机程序，所述计算机程序被所述处理器执行时，实现如权利要求 1-6任一所述的加密流量自定义应用识别方法。

9.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机该程序被处理器执行时，实现如权利要求 1-6 任一所述的加密流量自定义应用识别方法。