(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111363318.2 (22)申请日 2021.11.17 (71)申请人 北京天融信网络安全技 术有限公司 地址 100000 北京市海淀区上地 东路1号院 3号楼四层 申请人 北京天融信科技有限公司 　 北京天融信软件 有限公司 (72)发明人 周强　范鸿雷　 (74)专利代理 机构 北京超凡宏宇专利代理事务 所(特殊普通 合伙) 11463 代理人 蒋姗 (51)Int.Cl. H04L 9/40(2022.01) H04L 61/5007(2022.01) (54)发明名称 一种加密流 量的检测方法及装置、 存 储介质 (57)摘要 本申请提供一种加密流量的检测方法及装 置、 存储介质。 加密流量的检测方法， 包括： 获取 待检测加密流量的ip地址； 判断所述ip地址是否 为预设的恶 意加密流量信息表中的ip地址； 若所 述ip地址是预设的恶意加密流量信息表中的ip 地址， 则确定所述待检测加密流量为恶意加密流 量； 若所述ip地址不是预设的恶意加密流量信息 表中的ip地址， 获取所述待检测加密流量对应的 公钥证书中的颁发机构域名； 判断所述颁发机构 域名是否为所述预设的恶意加密流量信息表中 的域名； 若所述颁发机构域名是所述预设的恶意 加密流量信息表中的域名， 则确定所述待检测加 密流量为恶意加密流量。 该检测方法用以实现恶 意加密流 量的准确且高效的检测。 权利要求书2页 说明书8页 附图1页 CN 113938314 A 2022.01.14 CN 113938314 A 1.一种加密流 量的检测方法， 其特 征在于， 包括： 获取待检测 加密流量的ip地址； 判断所述 ip地址是否为预设的恶意加密流 量信息表中的ip地址； 若所述ip地址是预设的恶意加密流量信息表中的ip地址， 则确定所述待检测加密流量 为恶意加密流 量； 若所述ip地址不是预设的恶意加密流量信 息表中的ip地址， 获取所述待检测加密流量 对应的公钥证书中的颁发机构域名； 判断所述颁 发机构域名是否为所述预设的恶意加密流 量信息表中的域名； 若所述颁发机构域名是所述预设的恶意加密流量信息表中的域名， 则 确定所述待检测 加密流量为恶意加密流 量。 2.根据权利要求1所述的检测方法， 其特 征在于， 所述检测方法还 包括： 获取DNS报文中的请求 域名； 判断所述请求 域名是否为恶意 域名； 若是， 获取 所述DNS报文的应答报文中所述请求 域名对应的ip地址； 将所述请求域名和所述请求域名对应的ip地址按照对应关系存储到预先创建的恶意 加密流量信息表中。 3.根据权利要求2所述的检测方法， 其特征在于， 所述判断所述请求域名是否为恶意域 名， 包括： 判断所述请求 域名是否为预设的恶意加密流 量库中的域名； 若是， 则确定所述请求 域名为恶意 域名。 4.根据权利要求1所述的检测方法， 其特征在于， 在所述若所述颁发机构域名是所述预 设的恶意加密流量信息表中的域名， 则确定所述待检测加密流量为恶意加密流量之后， 所 述检测方法还 包括： 将所述待检测 加密流量的ip地址存 储到所述预设的恶意加密流 量信息表中。 5.根据权利要求1所述的检测方法， 其特征在于， 在所述确定所述待检测加密流量为恶 意加密流 量之后， 所述检测方法还 包括： 对所述待检测 加密流量作阻断处 理。 6.根据权利要求5所述的检测方法， 其特征在于， 所述对所述待检测加密流量作阻断处 理， 包括： 获取待检测 加密流量的域名； 根据所述 ip地址和所述待检测 加密流量的域名确定阻断策略； 基于所述阻断策略， 对所述待检测 加密流量作阻断处 理。 7.根据权利要求1所述的检测方法， 其特 征在于， 所述检测方法还 包括： 获取所述待检测 加密流量的域名； 所述若所述ip地址是预设的恶意加密流量信息表中的ip地址， 则确定所述待检测加密 流量为恶意加密流 量， 包括： 若所述ip地址是预设的恶意加密流量信息表中的ip地址， 判断所述ip地址在所述预设 的恶意加密流 量信息表中对应的域名是否与所述待检测 加密流量的域名一 致； 若所述ip地址在所述预设的恶意加密流量信息表中对应的域名与所述待检测加密流 量的域名一 致， 则确定所述待检测 加密流量为恶意加密流 量。权　利　要　求　书 1/2 页 2 CN 113938314 A 28.根据权利要求1所述的检测方法， 其特征在于， 所述获取所述待检测加密流量对应的 公钥证书中的颁发机构域名， 包括： 在SSL握手的过程中， 获取 所述颁发机构域名。 9.一种加密流 量的检测装置， 其特 征在于， 包括： 获取模块， 用于获取待检测 加密流量的ip地址； 处理模块， 用于： 判断所述 ip地址是否为预设的恶意加密流 量信息表中的ip地址； 若所述ip地址是预设的恶意加密流量信息表中的ip地址， 则确定所述待检测加密流量 为恶意加密流 量； 若所述ip地址不是预设的恶意加密流量信 息表中的ip地址， 获取所述待检测加密流量 对应的公钥证书中的颁发机构域名； 判断所述颁 发机构域名是否为所述预设的恶意加密流 量信息表中的域名； 若所述颁发机构域名是所述预设的恶意加密流量信息表中的域名， 则 确定所述待检测 加密流量为恶意加密流 量。 10.一种计算机可读存储介质， 其特征在于， 所述计算机可读存储介质上存储有计算机 程序， 所述计算机程序被计算机运行时， 执行如权利要求 1‑8任一项所述的加密流量的检测 方法。权　利　要　求　书 2/2 页 3 CN 113938314 A 3