[发明专利]一种网络流量过滤方法、装置、介质和设备

说明书

本公开涉及一种网络流量过滤方法、装置、介质和设备。其中，根据报文的五元组信息确定报文所属会话，根据属于该会话的报文确定预设的过滤参数对应的加权系数值，基于加权系数值，对对应的过滤参数值进行加权求和，利用加权求和值来确定会话属于加密代理网络流量的概率。进一步将获得的概率与设定的阈值进行比较，从而确定该会话是否属于加密代理网络流量。在确定出一个会话是否属于加密代理网络流量之后，属于该会话的报文是否属于加密代理网络流量即可以得到确定。从而可以比较准确地区分加密代理网络流量和非加密代理网络流量，实现加密代理网络流量的准确过滤，以便后续进一步针对加密代理网络流量和非加密代理网络流量分别进行处理。

技术领域

本公开涉及网络安全技术领域，特别涉及一种网络流量过滤方法、装置、介质和设备。

背景技术

本部分旨在为权利要求书中陈述的本公开的实施方式提供背景或上下文。此处的描述不因为包括在本部分中就承认是现有技术。

目前，使用代理软件或者其它手段将原始网络流量处理为代理网络流量，通过代理网络流量来绕过网络安全设备对网络流量的检测,并访问网络内容的行为较为普遍。

针对上述行为，现有网络安全设备对明文的代理网络流量的检测能力较强，可以较为有效地检测出用于绕过检测的明文代理网络流量，进而可以对其进行处理。但是对加密的代理网络流量的处理能力较弱，无法有效检测出用于绕过检测的加密代理网络流量，也就无法对其进行处理，无法有效地保证网络的安全性。

发明内容

本公开实施例提供一种网络流量过滤方法、装置、介质和设备，用于解决无法准确检测出加密代理网络流量的问题。

第一方面，本公开提供了一种网络流量过滤方法，所述方法包括：

从待过滤报文队列获取待过滤报文，确定所述待过滤报文对应的五元组信息；

根据所述五元组信息，确定所述待过滤报文所属的会话；

确定是否存在所述会话对应的网络流量类型标识，所述网络流量类型标识包括加密代理网络流量标识和非加密代理网络流量标识；

若确定不存在，则根据所述待过滤报文，确定所述会话对应的加权系数值，并确定是否已获得所述会话对应的每个加权系数值，每个加权系数值对应一个过滤参数；

若确定已获得所述会话对应的每个加权系数值，则根据每个加权系数值，对每个过滤参数确定出的参数值进行加权求和，确定所述会话对应的加密代理网络流量概率；

若所述加密代理网络流量概率大于设定的阈值，则确定所述会话对应的网络流量类型标识为加密代理网络流量标识，并确定所述待过滤报文对应的网络流量类型标识为所述会话对应的网络流量类型标识。

可选的，若确定存在所述会话对应的网络流量类型标识，则确定所述待过滤报文对应的网络流量类型标识为所述会话对应的网络流量类型标识。

可选的，若确定尚未获得所述会话对应的每个加权系数值，则将所述待过滤报文重新加入待过滤报文队列。

可选的，若确定所述加密代理网络流量概率不大于设定的阈值，则确定所述会话对应的网络流量类型标识为非加密代理网络流量标识，并确定所述待过滤报文对应的网络流量类型标识为所述会话对应的网络流量类型标识。

可选的，若确定不存在所述会话对应的网络流量类型标识，根据所述待过滤报文，确定所述会话对应的加权系数值之前，所述方法还包括：

确定所述待过滤报文对应的互联网协议地址是否属于预先设置的互联网协议地址白名单或互联网协议地址黑名单，所述互联网协议地址白名单用于记录已知的网络流量类型为非加密代理网络流量的会话对应的互联网协议地址，所述互联网协议地址黑名单用于记录已知的网络流量类型为加密代理网络流量的会话对应的互联网协议地址；