产品原理应用识别zsj.pdfVIP

应用识别原理 功能及作用（简述） 1 1.应用识别工作原理 1 1.1 数据流程 1 1.2 基础识别 1 1.2.1 识别 2 1.2.2 方向识别 2 1.3 应用识别 2 1.3.1 应用识别规则匹配过程分析 3 1.3.2 关联连接识别 9 1.3.3 弱特征跟踪识别 9 1.4 智能识别 10 2.网页过滤工作原理 11 2.1 URL 过滤 11 2.2 关键字过滤 11 2.2.1 搜索引擎过滤 11 2.2.2 HTTP 上传过滤 12 2.3 文件类型过滤 14 2.3.1 http 上传/ 14 2.3.2 ftp 上传/ 16 2.4 邮件过滤 16 3. 案例分析 17 4.FAQ 20 功能及作用（简述） 本文主要 应用识别、网页过滤、智能识别等识别模块的工作原理进行举例分析，涉及泄密方面的原理仅作概 括描述，不做深入讨论。本文内容分成 4 个部分：应用识别工作原理、网页过滤工作原理、案例分析、FAQ 。 1.应用识别工作原理 1.1 数据流程 数据→基础识别→用户认证→应用识别→行为识别→ →流量 →应用审计→流量审计 1.2 基础识别 基础识别是依靠应用识别模块proxyconvert.o进行识别的，识别前先下发配置(/usr/sbin/contchkcfg)，然后根 据规则的匹配协议、方向、是否http等 ，最后对未识别的每个连接前10包进行规则匹配，以 一个数据包 是否是 或者其他的数据，如果是 数据，就给那个数据打上包头和 ，接着进入下一个识别模块。 1.2.1 识别 识别是由proxyconvert负责识别出是否是 数据，接着打上 标记，最后负责找出 的ip和端 口，供后续模块调用，proxyconvert不依赖于其它的模块，即使填了排除ip也会做 识别。 识别主要识别http、socket4、socket5、isa这几种 方式，其中http 识别是根据http数据包的内容中 含有CONNECT、GET http、POST http这3个特征之一就识别为http 。 sock4跟sock5主要是对其数据包交互过程的连接状态的检测，以 其属于 行为，例如socks5的tcp连接中， 第一个包：第一个字节为5，第二个字节大于0，包长度等于第二个字节的值＋2，此时会打上socks5 标记，继续识 别第二个包：第一个字节为5，包长度大于2。第三个包：第一个字节为5，第二个字节为1，第四个字节为1或3，此时 会识别出目标IP和端口，第四个包：第一个字节为5，第二、三个字节都为0，第四个字节为1或3，匹配以上特征极为 socks5 ，结束识别过程。 isa是根据其 4个字节中含有特定的内容字段，以及端口是1745，则判读为isa客户端 。 1.2.2 方向识别 方向识别 lan→wan、wan→lan这 2 个方向， 是每个连接的第一个 从哪个口进哪个口出，进口跟 出口分别属于 中定义的 wan 区还是 lan 区，例如数据包 是 eth0，出口是 eth2，eth0 属于 lan 区，eth2 属于 wan 区，则该数据的方向就是 lan→wan，反之就是wan→lan。 wan→lan 方向是 1.8 新增的。wan→lan 方向的行为，需要匹配上 wan→lan 方向的应用识别规则才能被识别为具 体的应