[发明专利]一种基于多个匹配引擎的结果加权的HTTPS流量应用分类方法

说明书

本发明提供了一种基于多个匹配引擎的结果加权的HTTPS流量应用分类方法，属于网络数据识别处理技术领域。本发明方法构建规则文件层、识别引擎层和结果聚合和比对层，依据输入的五元组规则文件、正则规则文件、固定位置规则文件、负载长度规则文件、SNI规则文件、客户端证书规则文件和服务端证书规则文件构建相应的匹配引擎，对捕获的HTTPS流量调用各匹配引擎进行识别，根据识别结果数目计算各匹配引擎的命中概率和最终应用分类命中概率，从而获得相应的应用类别。本发明以多维度对HTTPS流量进行分类识别，对分类结果加权求和已获得最终应用分类结果，能实现对企业内网、互联网流量的HTTPS流量的精准分类的要求。

技术领域

本发明涉及网络流量数据识别和处理技术领域，具体是一种基于多个匹配引擎的HTTPS(Hyper Text Transfer Protocol over Secure Socket Layer，超文本传输安全协议)流量应用分类方法。

背景技术

随着人们对数据安全的重视度提高，国内外越来越多的网站、手机APP(应用程序)、PC(个人计算机)端应用都开始应用HTTPS协议。HTTPS在保障数据安全的同时，也给企业内网、互联网流量监管带来了难题，例如一些不法分子通过HTTPS发动一些黑客攻击或传播木马病毒等，因此需要对HTTPS流量进行应用分类。

常见的HTTPS流量应用分类方法是提取HTTPS流量中的五元组信息或者数据包内容进行单个匹配引擎的识别，不能够达到精准的应用分类效果。而采用多个匹配引擎识别的算法，也未对结果进行合理的加权。

发明内容

针对上述技术问题，本发明提供了一种基于多个匹配引擎的结果加权的HTTPS流量应用分类方法，对HTTPS流量中的五元组信息或者数据包内容的查找提供了多个匹配引擎，对多个匹配引擎的结果进行加权计算，根据最终的得分，实现对HTTPS流量进行精准应用分类。

本发明的一种基于多个匹配引擎的结果加权HTTPS流量应用分类方法，包括如下步骤：

步骤一、构建规则文件层，在规则文件层设置不同规则文件输入接口；

规则文件包括五元组规则文件、正则规则文件、固定位置规则文件、负载长度规则文件、SNI(ServerNameIndication，服务器域名指示)规则文件、客户端证书规则文件以及服务端证书规则文件；

步骤二、构建识别引擎层，在识别引擎层记载相应的规则文件，生成五元组匹配引擎、正则匹配引擎、固定位置匹配引擎、负载长度匹配引擎、SNI匹配引擎、客户端证书匹配引擎以及服务端证书匹配引擎；

步骤三，构建结果聚合和比对层，在结果聚合和比对层加载匹配引擎结果加权因子文件，构建结果聚合引擎，加载结果分类对应区间数值的文件，构建结果分类引擎；

步骤四，将捕获的HTTPS流量输入识别引擎层，调用各匹配引擎，获得各匹配结果；结果聚合引擎首先计算各匹配引擎的命中概率，再结合结果加权因子获得最终用于应用分类的命中概率值F，根据概率值F从结果分类对应区间数值的文件中进行比对，查找到所属类别，最后输出HTTPS流量所对应的应用类别。