[发明专利]异常加密流量检测方法、装置、电子设备和存储介质

权利要求书

1.一种异常加密流量检测方法，其特征在于，所述方法包括：

获取待检测TLS加密流量；

确定所述待检测TLS加密流量的JA3指纹，以及所述待检测TLS加密流量的ClientHello数据包中的ServerName字段值；

利用所述JA3指纹和所述ServerName字段值生成目标SN-JA3指纹；

通过所述目标SN-JA3指纹查询预设指纹库，以确定所述待检测TLS加密流量是否为异常加密流量，其中，所述预设指纹库存储有多个SN-JA3指纹以及各个SN-JA3指纹在非异常加密流量中出现的概率。

2.根据权利要求1所述的方法，其特征在于，利用所述JA3指纹和所述ServerName字段值生成目标SN-JA3指纹，具体包括：

通过将所述JA3指纹和所述ServerName字段值进行拼接，生成所述目标SN-JA3指纹。

3.根据权利要求1所述的方法，其特征在于，通过所述目标SN-JA3指纹查询预设指纹库，以确定所述待检测TLS加密流量是否为异常加密流量，具体包括：

通过所述目标SN-JA3指纹查询预设指纹库，判断所述预设指纹库是否包括所述目标SN-JA3指纹；

在所述预设指纹库包括所述目标SN-JA3指纹的情况下，确定所述目标SN-JA3指纹所对应的概率；

若所述概率大于预设阈值，则确定所述待检测TLS加密流量不为异常加密流量；或，若所述概率小于或等于预设阈值，则确定所述待检测TLS加密流量为异常加密流量。

4.根据权利要求3所述的方法，其特征在于，所述方法还包括：

在所述预设指纹库不包括所述目标SN-JA3指纹的情况下，确定所述待检测TLS加密流量为异常加密流量。

5.根据权利要求4所述的方法，其特征在于，所述方法还包括：

利用预设概率测算函数，计算所述目标SN-JA3指纹在非异常加密流量中出现的概率；

将所述目标SN-JA3指纹以及所计算出的概率，对应添加至所述预设指纹库。

6.根据权利要求1所述的方法，其特征在于，所述方法还包括：

获取多个TLS加密流量；

分别确定各个TLS加密流量的JA3指纹，以及各个TLS加密流量的ClientHello数据包中的ServerName字段值；

分别利用各个TLS加密流量的JA3指纹，以及各个TLS加密流量的ClientHello数据包中的ServerName字段值，生成各个TLS加密流量的SN-JA3指纹；

利用预设概率测算函数，分别计算各个TLS加密流量的SN-JA3指纹在非异常加密流量中出现的概率；

利用各个TLS加密流量的SN-JA3指纹，以及各个TLS加密流量的SN-JA3指纹在非异常加密流量中出现的概率，生成所述预设指纹库。

7.一种异常加密流量检测装置，其特征在于，包括：

获取单元，用于获取待检测TLS加密流量；

确定单元，用于确定所述待检测TLS加密流量的JA3指纹，以及所述待检测TLS加密流量的ClientHello数据包中的ServerName字段值；

生成单元，用于利用所述JA3指纹和所述ServerName字段值生成目标SN-JA3指纹；

检测单元，用于通过所述目标SN-JA3指纹查询预设指纹库，以确定所述待检测TLS加密流量是否为异常加密流量，其中，所述预设指纹库存储有多个SN-JA3指纹以及各个SN-JA3指纹在非异常加密流量中出现的概率。

8.根据权利要求7所述的装置，其特征在于，所述生成单元具体包括生成子单元，其中：

所述生成子单元，用于通过将所述JA3指纹和所述ServerName字段值进行拼接，生成所述目标SN-JA3指纹。