(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111446568.2 (22)申请日 2021.11.30 (71)申请人 北京天融信网络安全技 术有限公司 地址 100000 北京市海淀区上地 东路1号院 3号楼四层 申请人 北京天融信科技有限公司 　 北京天融信软件 有限公司 (72)发明人 张思民　娄扬　 (74)专利代理 机构 北京超凡宏宇专利代理事务 所(特殊普通 合伙) 11463 代理人 毕翔宇 (51)Int.Cl. H04L 9/40(2022.01) H04L 61/5007(2022.01) G06F 16/903(2019.01)H04L 67/02(2022.01) H04L 69/22(2022.01) (54)发明名称 一种Web应用识别方法、 装置、 电子设备及存 储介质 (57)摘要 本申请实施例提供一种Web应用 识别方法、 装置、 电子设备及存储介质， 涉及网络安全技术 领域。 该方法应用于网关， 包括： 获取数据包中的 报文； 对符合预设条件的报文进行被动抽样， 以 获得待检测报文； 对所述待检测报文进行解析， 以获得所述待检测报文的报文内容； 将所述报文 内容与预设的Web应用指纹库进行正则匹配， 以 识别Web应用， 通过被动随机抽样获取报文的方 式实现Web应用的识别， 无需发送大量的探测报 文， 有效减轻了网络负载且检测 效率较高， 解决 了现有的主动探测方法增加了网络负载且识别 效果差的问题。 权利要求书2页 说明书8页 附图6页 CN 114143086 A 2022.03.04 CN 114143086 A 1.一种Web应用识别方法， 其特 征在于， 应用于网关， 所述方法包括： 获取数据包中的报文； 对符合预设条件的报文 进行被动抽样， 以获得待检测报文； 对所述待检测报文 进行解析， 以获得 所述待检测报文的报文内容； 将所述报文内容与预设的Web应用指纹库进行正则匹配， 以识别Web应用。 2.根据权利要求1所述的Web应用识别方法， 其特征在于， 所述对符合预设条件的报文 进行被动抽样， 以获得待检测报文， 包括： 对所述报文 进行应用协议 解析， 以获得 所述报文的IP信息； 判断所述报文的IP信息是否在用户配置的IP网段内； 若是， 则对所述报文 进行计数； 当满足预设的报文数时， 单位 时间内获取预设数量的所述报文数中的任意有效报文作 为待检测报文。 3.根据权利要求1所述的Web应用识别方法， 其特征在于， 所述将所述报文内容与预设 的Web应用指纹库进行正则匹配， 以识别Web应用， 包括： 遍历所述 Web应用指纹库中的特 征链表的正则表达式， 以进行正则匹配； 若匹配成功， 则将对应特征链表下的唯一Web应用名称、 cpe编号和所述待检测报文中 的服务器IP地址， 记录 到资产表中， 以供用户查看。 4.根据权利要求1所述的Web应用识别方法， 其特征在于， 在所述将所述报文内容与预 设的Web应用指纹库进行正则匹配的步骤之前， 所述方法还 包括： 接收用户上传的Web应用指纹库文件， 以对所述 Web应用指纹库进行 更新； 解密所述Web应用指纹库文件， 以获得Web应用数据， 所述Web应用数据包括Web应用名 称、 cpe编号、 headers字段和报文特 征信息； 加载所述Web应用指纹库文件， 以将每个Web应用的Web应用数据存放于特征链表中， 所 述特征链表包括唯一 Web应用名称、 cpe编号， 以及正则表达式编译的数据结构。 5.一种Web应用识别装置， 其特 征在于， 所述装置包括： 收包模块， 用于获取 数据包中的报文； 被动抽样模块， 用于对符合预设条件的报文 进行被动抽样， 以获得待检测报文； 报文解析模块， 用于对所述待检测报文 进行解析， 以获得 所述待检测报文的报文内容； Web应用匹配模块， 用于将所述报文内容与预设的Web应用指纹库进行正则 匹配， 以识 别Web应用。 6.根据权利要求5所述的Web应用识别装置， 其特 征在于， 所述被动抽样模块包括： 应用协议识别模块， 用于对所述报文 进行应用协议 解析， 以获得 所述报文的IP信息； IP过滤模块， 用于判断所述报文的IP信息是否在用户配置的IP网段内； 计数模块， 用于若在用户配置的IP网段内， 则对所述报文 进行计数； 抽样检测模块， 用于当满足预设的报文数时， 单位时间内获取预设数量的所述报文数 中的任意有效报文作为待检测报文。 7.根据权利要求5所述的Web应用识别装置， 其特 征在于， 所述 Web应用匹配模块包括： 正则匹配模块， 用于遍历所述Web应用指纹库中的特征链表的正则表达 式， 以进行正则 匹配；权　利　要　求　书 1/2 页 2 CN 114143086 A 2识别结果入库模块， 用于若匹配成功， 则将对应特征链表下的唯一Web应用名称、 cpe编 号和所述待检测报文中的服 务器IP地址， 记录 到资产表中， 以供用户查看。 8.根据权利要求5所述的Web应用识别装置， 其特 征在于， 所述装置还 包括： 指纹库更新模块， 用于接收用户上传的Web应用指纹库文件， 以对所述Web应用指纹库 进行更新； 配置解析模块， 用于解密所述Web应用指纹库文件， 以获得Web应用数据， 所述Web应用 数据包括 Web应用名称、 cpe编号、 headers字段和报文特 征信息； 加载模块， 用于加载所述Web应用指纹库文件， 以将每个Web应用的Web应用数据存放于 特征链表中， 所述特征链表包括唯一Web应用名称、 cpe编号， 以及正则表达式编译的数据结 构。 9.一种电子设备， 其特征在于， 所述电子设备包括存储器以及处理器， 所述存储器用于 存储计算机程序， 所述处理器运行所述计算机程序以使所述电子设备执行根据权利要求1 至4中任一项所述的Web应用识别方法。 10.一种可读存储介质， 其特征在于， 所述可读存储介质中存储有计算机程序指令， 所 述计算机程序指令被一处理器读取并运行时， 执行权利要求1至4任一项所述的Web应用识 别方法。权　利　要　求　书 2/2 页 3 CN 114143086 A 3