[发明专利]加密流量分析方法、装置、电子设备、介质及程序

说明书

本发明涉及一种加密流量分析方法、装置、电子设备、介质及程序。该方法包括：在目标进程调用安全传输基础库的主读函数或主写函数的情况下，触发预先设置在所述目标进程中的内存获取函数；其中，所述目标进程是用于运行加密通讯连接且预先设置有所述内存获取函数的进程；通过所述内存获取函数，从目标加密通讯连接中获取主会话密钥；其中，所述目标加密通讯连接为所述目标进程所运行的加密通讯连接。本发明通过在端点运行的目标进程内设置的内存获取函数，便捷地获取了目标进程的加密通讯连接对应的主会话密钥，用于加密数据（流量）分析，极大地节省了网关设备的计算资源，由于没有证书替换的过程，相应地也避免了证书告警。

技术领域

本发明涉及信息安全技术领域，尤其涉及一种加密流量分析方法、装置、电子设备、介质及程序。

背景技术

随着HTTPS的普及，大量攻击流量也使用加密流量进行发送接收，对终端和网关设备的流量分析带来困难。

现有的加密流量分析方案大多是在企业网络的网关设备中制造中间人，用中间人转发加密流量的方式做流量分析监控。这样，每个加密通讯连接的加密流量在网关设备都有解密再加密的过程，产生大量计算资源消耗，而且因为中间人存在证书替换，终端容易因为证书替换感知到中间人过程的存在，产生警告。

对于现有技术中利用中间人转发加密流量进行流量分析监控的技术方案存在的计算资源消耗较大，且终端容易产生证书告警的技术缺陷，现亟需一种解决上述缺陷的技术方案。

发明内容

本发明提供一种加密流量分析方法、装置、电子设备、介质及程序，用以解决现有技术中网关设备计算资源消耗较大，且终端容易产生证书告警的技术缺陷。

本发明提供一种加密流量分析方法，包括：

在目标进程调用安全传输基础库的主读函数或主写函数的情况下，触发预先设置在所述目标进程中的内存获取函数；其中，所述目标进程是用于运行加密通讯连接且预先设置有所述内存获取函数的进程；

通过所述内存获取函数，从目标加密通讯连接中获取主会话密钥；其中，所述目标加密通讯连接为所述目标进程所运行的加密通讯连接。

根据本发明提供的一种加密流量分析方法，在所述目标进程调用安全传输基础库的主读函数或主写函数的情况下，触发预先设置在所述目标进程中的内存获取函数之前，方法还包括：

从当前正在运行的进程中，选取用于运行加密通讯连接的进程作为候选进程；

在所述候选进程的内部具有安全传输基础库标识的情况下，为所述候选进程注入动态链接库，得到所述目标进程；其中，所述动态链接库中包含所述内存获取函数。

根据本发明提供的一种加密流量分析方法，所述为候选进程注入动态链接库，包括：

通过网络驱动程序、服务插件程序或独立的动态链接库注入程序为所述候选进程注入动态链接库。

根据本发明提供的一种加密流量分析方法，所述内存获取函数包括钩子函数，所述钩子函数，用于通过所述目标进程内的安全传输基础库的主读函数或主写函数，从所述目标进程的内存中获取对应加密通讯连接的主会话密钥。

根据本发明提供的一种加密流量分析方法，所述内存获取函数包括ReadProcessMemory函数，所述ReadProcessMemory函数，用于直接从所述目标进程的内存中获取所述主会话密钥。

根据本发明提供的一种加密流量分析方法，所述内存获取函数包括日志获取函数，所述日志获取函数，用于从所述目标进程的内存中获取所述目标进程加载的所述目标加密通讯连的日志信息，并根据所述日志信息获取所述主会话密钥。

根据本发明提供的一种加密流量分析方法，在所述通过所述内存获取函数，从目标加密通讯连接中获取主会话密钥之后，方法还包括：