[发明专利]一种Web应用识别方法、装置、电子设备及存储介质

说明书

本申请实施例提供一种Web应用识别方法、装置、电子设备及存储介质，涉及网络安全技术领域。该方法应用于网关，包括：获取数据包中的报文；对符合预设条件的报文进行被动抽样，以获得待检测报文；对所述待检测报文进行解析，以获得所述待检测报文的报文内容；将所述报文内容与预设的Web应用指纹库进行正则匹配，以识别Web应用，通过被动随机抽样获取报文的方式实现Web应用的识别，无需发送大量的探测报文，有效减轻了网络负载且检测效率较高，解决了现有的主动探测方法增加了网络负载且识别效果差的问题。

技术领域

本申请涉及网络安全技术领域，具体而言，涉及一种Web应用识别方法、装置、电子设备及存储介质。

背景技术

随着互联网的发展，在网络环境中存在的Web服务器也越来越多，如何在众多的网络设备中实现集中监控这些Web应用设备是一个问题，例如:在某大型的企业网络环境中，存在多少种网络设备、每种网络设备的型号以及web应用是否正常运行。

在互联网中，现有的技术是通过主动探测扫描的方式发送HTTP报文探针来识别当前网络设备的Web应用信息。其中，最常见的是对配置下的子网ip进行逐个端口扫描探测，首先通过判断HTTP连接是否超时来确认服务的存在，不存在则停止当前的ip扫描；再对响应报文内容及Banner信息进行分析，主要分析的是报文的header信息和cookie信息等，通过其中的关键字来确认当前资产设备。

该方法需要主动发送探测包，且只能检测到当时已经开启的服务，需要提前获得服务器的IP地址，且无法识别隐蔽的IP服务器，发送大量的测试数据包，容易造成网络拥堵现象。

发明内容

本申请实施例的目的在于提供一种Web应用识别方法、装置、电子设备及存储介质，应用于网关，通过被动随机抽样获取报文的方式实现Web应用的识别，无需发送大量的探测报文，有效减轻了网络负载且检测效率较高，解决了现有的主动探测方法增加了网络负载且识别效果差的问题。

本申请实施例提供了一种Web应用识别方法，应用于网关，所述方法包括：

获取数据包中的报文；

对符合预设条件的报文进行被动抽样，以获得待检测报文；

对所述待检测报文进行解析，以获得所述待检测报文的报文内容；

将所述报文内容与预设的Web应用指纹库进行正则匹配，以识别Web应用。

在上述实现过程中，应用于网关，在安全网关上设置被动识别Web应用的策略，通过与Web应用指纹库进行正则匹配来识别Web应用。采用被动识别的方式，不需要主动发送大量探测报文，有效减轻了网络负载；通过被动随机抽样获取报文的方式，加快了单包检测的能力，也无需提前获取Web应用的IP地址，具有较高的检测效率。

进一步地，所述对符合预设条件的报文进行被动抽样，以获得待检测报文，包括：

对所述报文进行应用协议解析，以获得所述报文的IP信息；

判断所述报文的IP信息是否在用户配置的IP网段内；

若是，则对所述报文进行计数；

当满足预设的报文数时，单位时间内获取预设数量的所述报文数中的任意有效报文作为待检测报文。

在上述实现过程中，通过IP地址范围筛选出HTTP协议报文，再在符合要求的报文中通过被动抽样的方式获取到待检测报文。

进一步地，所述将所述报文内容与预设的Web应用指纹库进行正则匹配，以识别Web应用，包括：

遍历所述Web应用指纹库中的特征链表的正则表达式，以进行正则匹配；