[发明专利]一种基于多个匹配引擎的结果加权的HTTPS流量应用分类方法

权利要求书

1.一种基于多个匹配引擎的结果加权的HTTPS流量应用分类方法，其特征在于，包括：

步骤一，构建规则文件层，在规则文件层设置不同规则文件输入接口，规则文件包括五元组规则文件、正则规则文件、固定位置规则文件、负载长度规则文件、SNI规则文件、客户端证书规则文件以及服务端证书规则文件；SNI表示服务器域名指示；

五元组规则文件包括A1条五元组规则，每条五元组规则包括源IP、目的IP、源端口、目的端口和协议号；正则表达式规则文件包括A2条正则表达式，每条正则表达式规则包括正则表达式的语法描述；固定位置规则文件包括A3条固定位置规则，每条固定位置规则包括位置偏移量、数据长度和数据内容；负载长度规则文件包括A4条负载长度规则，每条负载长度规则包括负载长度大小；SNI规则文件包括A5条SNI规则，每条SNI规则包括SNI内容；客户端证书规则文件包括A6条HTTPS的客户端证书规则，每条HTTPS的客户端证书规则包括客户端证书的CA机构、证书绑定的域名、证书有效期和证书拥有者；服务端证书规则文件包括A7条HTTPS的服务端证书规则，每条HTTPS的服务端证书规则包括服务端证书的CA机构、证书绑定的域名、证书有效期和证书拥有者；其中，A1～A7均为大于1的正整数；

步骤二，构建识别引擎层，根据输入的规则文件生成相应的匹配引擎，包括五元组匹配引擎、正则匹配引擎、固定位置匹配引擎、负载长度匹配引擎、SNI匹配引擎、客户端证书匹配引擎及服务端证书匹配引擎；

步骤三，构建结果聚合和比对层，在结果聚合和比对层加载匹配引擎结果加权因子文件，构建结果聚合引擎，加载结果分类对应区间数值的文件，构建结果分类引擎；

所述的匹配引擎结果加权因子文件中记载7个匹配引擎的结果加权因子D1,D2…D7；

所述的结果分类对应区间数值的文件中记载n个应用分类的数值区间；

步骤四，将捕获的HTTPS流量输入识别引擎层，调用各匹配引擎，获得各匹配结果；结果聚合引擎首先计算各匹配结果的命中概率，获得7个概率如下：

p1＝C1/A1,p2＝C2/A2,p3＝C3/A3,p4＝C4/A4,p5＝C5/A5,p6＝C6/A6,p7＝C7/A7；

再结合结果加权因子获得概率值F＝p1*D1+p2*D2+p3*D3+p4*D4+p5*D5+p6*D6+p7*D7；

其中，C1,C2…C7表示7个匹配引擎的匹配结果数据；A1,A2…A7表示7个规则文件中的规则数目；

根据获得的概率值F从结果分类对应区间数值的文件中进行比对，查找到所属类别，最后输出HTTPS流量所对应的应用类别；

包括如下步骤：

步骤4.1、对HTTPS流量数据包提取五元组信息，调用五元组匹配引擎，得到匹配结果数目为C1；

步骤4.2、对HTTPS流量数据包提取负载数据内容，调用正则匹配引擎，得到匹配结果数目为C2；

步骤4.3、对HTTPS流量数据包提取负载数据内容，调用固定位置匹配引擎，得到匹配结果数目为C3；

步骤4.4、对HTTPS流量数据包提取负载内容的长度，调用负载长度匹配引擎，得到匹配结果数目为C4；

步骤4.5、对HTTPS流量数据包提取HTTPS的SNI规则文件，调用SNI匹配引擎，得到匹配结果数目为C5；

步骤4.6、对HTTPS流量数据包提取HTTPS的客户端证书规则文件，调用客户端证书匹配引擎，得到匹配结果数目为C6；

步骤4.7、对HTTPS流量数据包提取HTTPS的服务端证书规则文件，调用服务端证书匹配引擎，得到匹配结果数目为C7；

步骤4.8、计算每种匹配引擎命中的概率p1,p2…p7；

步骤4.9、按照加权因子，计算匹配结果命中概率F；

步骤4.10、将命中概率F，在各个数值区间中查找，得到对应的应用分类。