[发明专利]异常加密流量检测方法、装置、电子设备和存储介质

说明书

本申请提供异常加密流量检测方法、装置、电子设备和存储介质。该方法包括：获取待检测TLS加密流量；确定所述待检测TLS加密流量的JA3指纹，以及所述待检测TLS加密流量的ClientHello数据包中的ServerName字段值；利用所述JA3指纹和所述ServerName字段值生成目标SN‑JA3指纹；通过所述目标SN‑JA3指纹查询预设指纹库，以确定所述待检测TLS加密流量是否为异常加密流量，其中，所述预设指纹库存储有多个SN‑JA3指纹以及各个SN‑JA3指纹在非异常加密流量中出现的概率。因此，通过该方法能够确定出该待检测TLS加密流量是否为异常加密流量，用于对异常加密流量进行检测。

技术领域

本申请涉及计算机安全技术领域，具体而言，涉及异常加密流量检测方法、装置、电子设备和存储介质。

背景技术

随着科技的发展，用户越来越多地通过网络进行社交、购物、娱乐等网络活动。在网络活动过程中，会产生网络流量，这些网络流量通常携带有用户信息，为了防止网络流量所携带的用户信息被窃取，目前通常利用TLS协议(TransportLayerSecurity)对网络流量进行加密。

然而，在实际应用中，部分恶意软件与控制端服务器的交互，也通常会利用TLS协议对交互过程的网络流量进行加密，从而形成异常加密流量，因此需要对异常加密流量进行检测。

发明内容

本申请实施例的目的在于提供异常加密流量检测方法、装置、电子设备和存储介质，用于对异常加密流量进行检测。

本申请实施例第一方面提供了一种异常加密流量检测方法，包括：

获取待检测TLS加密流量；

确定所述待检测TLS加密流量的JA3指纹，以及所述待检测TLS加密流量的ClientHello数据包中的ServerName字段值；

利用所述JA3指纹和所述ServerName字段值生成目标SN-JA3指纹；

通过所述目标SN-JA3指纹查询预设指纹库，以确定所述待检测TLS加密流量是否为异常加密流量，其中，所述预设指纹库存储有多个SN-JA3指纹以及各个SN-JA3指纹在非异常加密流量中出现的概率。

于一实施例中，利用所述JA3指纹和所述ServerName字段值生成目标SN-JA3指纹，具体包括：

通过将所述JA3指纹和所述ServerName字段值进行拼接，生成所述目标SN-JA3指纹。

于一实施例中，通过所述目标SN-JA3指纹查询预设指纹库，以确定所述待检测TLS加密流量是否为异常加密流量，具体包括：

通过所述目标SN-JA3指纹查询预设指纹库，判断所述预设指纹库是否包括所述目标SN-JA3指纹；

在所述预设指纹库包括所述目标SN-JA3指纹的情况下，确定所述目标SN-JA3指纹所对应的概率；

若所述概率大于预设阈值，则确定所述待检测TLS加密流量不为异常加密流量；或，若所述概率小于或等于预设阈值，则确定所述待检测TLS加密流量为异常加密流量。

于一实施例中，所述方法还包括：

在所述预设指纹库不包括所述目标SN-JA3指纹的情况下，确定所述待检测TLS加密流量为异常加密流量。

于一实施例中，所述方法还包括：

利用预设概率测算函数，计算所述目标SN-JA3指纹在非异常加密流量中出现的概率；

将所述目标SN-JA3指纹以及所计算出的概率，对应添加至所述预设指纹库。

于一实施例中，所述方法还包括：