CN111034150A - 高效ssl/tls代理 - Google Patents

高效ssl/tls代理 Download PDF

Info

Publication number
CN111034150A
CN111034150A CN201880055475.7A CN201880055475A CN111034150A CN 111034150 A CN111034150 A CN 111034150A CN 201880055475 A CN201880055475 A CN 201880055475A CN 111034150 A CN111034150 A CN 111034150A
Authority
CN
China
Prior art keywords
list
identification data
network addresses
domain names
tls
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201880055475.7A
Other languages
English (en)
Other versions
CN111034150B (zh
Inventor
肖恩·摩尔
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Xiangxin Co ltd
Xiangxin Network Co.,Ltd.
Original Assignee
Centripetal Networks LLC
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Family has litigation
First worldwide family litigation filed litigation Critical https://patents.darts-ip.com/?family=65023324&utm_source=google_patent&utm_medium=platform_link&utm_campaign=public_patent_search&patent=CN111034150(A) "Global patent litigation dataset” by Darts-ip is licensed under a Creative Commons Attribution 4.0 International License.
Application filed by Centripetal Networks LLC filed Critical Centripetal Networks LLC
Priority to CN202210864326.3A priority Critical patent/CN115348060A/zh
Publication of CN111034150A publication Critical patent/CN111034150A/zh
Application granted granted Critical
Publication of CN111034150B publication Critical patent/CN111034150B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/74—Address processing for routing
    • H04L45/745—Address table lookup; Address filtering
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H04L47/24—Traffic characterised by specific attributes, e.g. priority or QoS
    • H04L47/2425—Traffic characterised by specific attributes, e.g. priority or QoS for supporting services specification, e.g. SLA
    • H04L47/2433—Allocation of priorities to traffic types
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/30—Network architectures or network communication protocols for network security for supporting lawful interception, monitoring or retaining of communications or communication related information
    • H04L63/302—Network architectures or network communication protocols for network security for supporting lawful interception, monitoring or retaining of communications or communication related information gathering intelligence information for situation awareness or reconnaissance
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/30—Network architectures or network communication protocols for network security for supporting lawful interception, monitoring or retaining of communications or communication related information
    • H04L63/306—Network architectures or network communication protocols for network security for supporting lawful interception, monitoring or retaining of communications or communication related information intercepting packet switched data communications, e.g. Web, Internet or IMS communications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H04L47/24—Traffic characterised by specific attributes, e.g. priority or QoS
    • H04L47/2483—Traffic characterised by specific attributes, e.g. priority or QoS involving identification of individual flows
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0464—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload using hop-by-hop encryption, i.e. wherein an intermediate entity decrypts the information and re-encrypts it before forwarding it
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/166—Implementing security features at a particular protocol layer at the transport layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Technology Law (AREA)
  • Evolutionary Computation (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Health & Medical Sciences (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Lubricants (AREA)
  • Train Traffic Observation, Control, And Security (AREA)
  • Optical Communication System (AREA)

Abstract

公开了用于选择性地解密SSL/TLS通信的系统、设备和方法。解密的通信的内容可能导致某些动作；例如，终止通信，或记录和存储通信的明文数据包，以用于后续的内容检查和分析。SSL/TLS代理可以检查TLS握手协议中包含的信息和/或检查与连接相关联的其他信息。基于检查，代理可以确定是否解密加密的通信。代理可以基于内容检查采取附加动作。

Description

高效SSL/TLS代理
相关申请的交叉引用
本申请要求于2018年7月19日提交的美国专利申请序列第16/039,896号和2017年7月24日提交的美国专利申请序列第62/536,254号的优先权，其全部内容通过引用整体并入本文以用于所有目的。
技术领域
本文描述的方面总体涉及计算机硬件和软件以及网络安全性。特别地，本公开的一个或多个方面总体涉及用于选择性地解密加密的通信的计算机硬件和软件。
背景技术
随着信息时代的不断发展，网络安全正变得越来越重要。在TCP/IP网络中，可以通过使用传输层安全性(TLS)协议或通过使用TLS的前身——安全套接字层(SSL)协议，来保护端点之间的传输中通信。TLS提供了隐私、身份验证和通信的完整性。例如，通常用于保护Web通信安全的安全超文本传输协议(HTTPS)协议由通过TLS或SSL加密的连接内的通过超文本传输协议(HTTP)进行的通信组成。通常，可能需要使用内联SSL/TLS代理来拦截和解密传输中的TLS通信，以便检查通信的明文，然后基于该明文内容采取某些动作。通常，SSL/TLS代理会对通过它的所有受SSL/TLS保护的通信进行解密；但是由于例如计算资源问题、网络性能问题、管理复杂性问题和/或隐私保护问题，这可能是不期望的并且效率低下。因此，需要方法和逻辑，通过该方法和逻辑SSL/TLS代理可以选择性地解密SSL/TLS通信。
发明内容
以下给出了简要概述，以便提供对本公开的一些方面的基本理解。其既不旨在确认本公开的关键或重要要素，也不旨在勾画本公开的范围。以下概述仅以简化形式给出本公开的一些构思，作为以下描述的序言。
本公开的方面涉及一种选择性地解密SSL/TLS通信的高效SSL/TLS代理。然后，可以将附加的逻辑应用于解密的通信的内容，这可能导致某些动作；例如，终止通信，或记录和存储组成通信的明文数据包，以用于后续的内容检查和分析。根据本公开的实施例，一种高效SSL/TLS代理可以接收指示哪些SSL/TLS通信将被解密的数据；另选地，该数据可以指示哪些SSL/TLS通信将不被解密。除此之外或另选地，该高效SSL/TLS代理可以接收混合列表，该混合列表指示SSL/TLS通信中将被解密的一部分和SSL/TLS通信中将不被解密的另一部分。指示SSL/TLS通信的数据可以包括应用程序级(第7层)信息，以标识一组或多组SSL/TLS通信。在一些实施例中，标识数据可以包括统一资源标识符(URI)，其包含与通信相关联的统一资源标识符(URI)。在其他实施例中，标识数据可以包括完全合格域名(FQDN)。在其他实施例中，标识数据可以包括互联网协议(IP)地址。在某些情况下，用于SSL/TLS通信的标识数据可以嵌入在加密的数据包中，因此无法用于作为明文进行检查。对于HTTPS通信以及使用URI、FQDN作为主机名和域名进行寻址并由SSL/TLS保护的其他协议，诸如安全文件传输协议(FTPS))，情况可能就是如此。在这样的情况下，该高效SSL/TLS代理可以检查TLS握手协议中包含的信息和/或检查与连接相关联的其他信息。基于检查和通信标识列表的比较，该高效SSL/TLS代理可以确定是否解密加密的通信。如果或当该高效SSL/TLS代理确定将要解密加密的通信时，该高效SSL/TLS代理可以对通信进行解密，以便可以检查明文内容。该高效SSL/TLS代理可以包括附加的逻辑，以在明文内容被解密后对其进行检查。在一些实施例中，该高效SSL/TLS代理可以基于明文内容采取附加动作。可以采取这些附加动作来产生更高级别的应用程序或策略，诸如网络安全，例如保护网络及其资产不受恶意行为者的攻击；或者诸如与执法相关的窃听，其中只有特定的通信可以解密以供观察；或者诸如保护个人医疗和医疗保险信息的隐私。如果或当该高效SSL/TLS代理确定将不对加密的通信进行解密时，这也可能会影响一些更高级别的应用程序或策略，诸如隐私保护以及对隐私法律和政策的遵守。
附图说明
在所附权利要求中特别指出了本公开。通过在整体上回顾本公开(包括随其一起提供的附图)，本公开的特征将变得更加明显。
在附图的各图中，通过示例而非限制的方式示出了本文中的一些特征，其中类似的附图标记指代相似的元件，并且其中：
图1示出了高效SSL/TLS代理的操作的流程图；
图2示出了根据本公开的一个或多个方面的用于选择性地解密加密的通信的高效SSL/TLS代理的例示性环境；
图3示出了根据本公开的一个或多个方面的用于选择性解密加密的通信的例示性高效SSL/TLS代理；
图4A、图4B、图5A、图5B、图5C和图6示出了示例性的事件序列，这些事件序列例示了根据本文所述的一个或多个例示性方面的用于选择性地解密受TLS保护的通信的方法；
图4A和图4B示出了其中高效SSL/TLS代理基于HTTPS服务器的域名确定不解密HTTPS会话的进程；
图5A、图5B和图5C示出了其中高效SSL/TLS代理可以基于HTTPS服务器的域名来确定解密HTTPS会话的进程；
图6示出了类似于图5的进程，除了会话的URI与URI-decrypt-list中的任何元素都不匹配之外。
具体实施方式
在各种例示性实施例的以下描述中，参考了附图，这些附图形成了本说明书的一部分，并且在附图中通过例示说明的方式示出了可以实践本公开各方面的各种实施例。应当理解，在不脱离本公开的范围的情况下，可以利用其他实施例，并且可以进行结构和功能上的修改。此外，参考了其中可以实践本公开各方面的特定应用、协议和实施例。应当理解，在不脱离本公开的范围的情况下，可以利用其他应用、协议和实施例，并且可以进行结构和功能上的修改。
在以下描述中讨论了元件之间的各种连接。这些连接是一般性的，并且除非另外指明，其可以是直接或间接的、有线或无线的、物理或逻辑的。就这一点而言，本说明书并非旨在进行限制。
为了简化描述，假设TLS隧道协议是HTTP、HTTPS服务器的端口是443和TCP，且IP版本是IPv4。这些假设和相关规范并不旨在以任何方式进行限制。该描述可以容易地适用于涵盖除HTTP之外的其他应用程序级协议、除443之外的其他端口、除TCP之外的其他传输协议(例如，UDP、SCTP等)，以及其他IP版本，例如IPv6。
许多TCP/IP网络通信以明文形式传输，因此观察者可以通过点击承载通信的链接(有线的、无线的、虚拟的等)来读取通信。这样的观察可能并非所期望的。例如，网络犯罪分子可能会观察金融交易或收集其他敏感数据；后者，可能会侵犯个人隐私。传输层安全性(TLS)协议或其前身——安全套接字层(SSL)协议，可以用于通过加密来保护传输中的网络通信，从而防止通信的明文被观察到。为了保护通信，两个端点可以首先使用TLS握手协议建立TLS隧道，然后通过该隧道发送通信。隧道可以通过加密提供隐私；通过X.509证书和相关联的公钥加密进行身份验证；以及通过消息身份验证编码实现通信完整性。
由于历史原因，“SSL”和“TLS”标签通常被互换地使用，尽管TLS已经很大程度取代和置换了SSL，SSL为TLS的前身，并且由于安全性缺陷已经被互联网工程任务组(IETF)弃用/禁用。本文采用的一种标记约定是使用标记“SSL/TLS”来指示任一种或两种协议。在例示性示例、实施例和附图中，除非另有说明，否则使用TLS协议，但这并非相对于SSL以任何方式限制范围，因为SSL和TLS之间的差别在本公开的背景下无关紧要。
SSL/TLS的一种流行用法是在跨网络传输时保护HTTP(Web)通信的安全。这种配置被称为HTTPS协议。使用HTTPS来保护合法电子商务通信的安全性已变得普遍。网络犯罪分子和其他恶意行为者对HTTPS的使用也已经变得普遍，其动机是HTTPS能掩盖其恶意活动，并且与HTTP介导的恶意活动相比，检测和缓解此类恶意活动通常更加困难且成本更高。
一种保护网络免受网络犯罪分子和网络攻击的方法可以是：(a)在恶意行为者所操作/控制的端点的网络地址上收集网络威胁情报；(b)过滤与该网络地址进行通信的所有网络流量——TCP/IP数据包；(c)如果在CTI中的网络地址和网络通信之间找到匹配或对应关系，则采取一定动作；例如，阻止通讯；或监视、记录和捕获构成通信的数据包；(d)针对攻击严重性、资产损失、缓解动作、补救动作等对通信进行分析。
来自CTI的网络地址可以包括以下形式的标识数据中的一种或多种：网络层(第3层)互联网协议(IP)地址和协议标识符，传输层(第4层)端口以及应用程序层(第7层))域名(例如“cybersite.net”)，主机FQDN(例如，“www.cybersite.net”)，URI(例如，“http://www.cybersite.net/path-segment-1/path-segment-2/resource-id”)以及IP地址(例如，包含在HTTP报头扩展中以标识原始源)。如果或当通信由HTTP介导时，由于网络地址信息并未被加密，可以直接针对CTI过滤用于通信的网络地址信息。然而，如果或当通信由HTTPS介导时，HTTP消息中包括的主机FQDN或URI地址可能被加密，因此可能无法直接针对CTI进行过滤。对于正在搜索网络威胁和攻击的网络分析人员来说，这可能是个问题，因为采用URI形式的CTI通常被认为是最高保真性的威胁指示符。相反，这可能对网络犯罪分子有利，他们可以通过使用HTTPS来向他们控制的URE寻址资源传输敏感信息来逃避常规的网络安全控制。
查看受HTTPS保护的通信的明文的常规解决方案可以是利用内联SSL/TLS代理。当两个端点发起会话时，例如Web客户端(例如，Web浏览器应用程序)和Web服务器，代理可以首先创建两个单独的TLS隧道：一个在代理与Web客户端之间，而另一个在代理和Web服务器之间。每个隧道的终端都可以加密入口信息，并可以解密出口信息。在代理内部，“中间人”(MITM)可以位于隧道的终端之间，并且可以用作两个TLS隧道之间的中介，且可以对从一个隧道传递到另一个隧道的(明文)信息应用逻辑。MITM可以例如检查HTTP通信的明文，包含完整的URI。可以将明文URI与CTI进行比较以检测潜在的攻击。
本公开解决了SSL/TLS代理所存在一些效率问题。一个问题是，与不对受TLS保护的通信进行解密和重新加密的中间功能相比，SSL/TLS代理占用大量计算机资源。如果没有充足的计算机资源，则网络性能可能会受到不利影响并降低终端用户的体验度。相反，相对于预算而言，充足的计算机资源和代理管理成本可能非常昂贵——对于资本支出(CAPEX)和运营支出(OPEX)而言均如此；因此，除非有令人信服的理由或要求要使用SSL/TLS代理，否则组织机构可能不会选择使用它们。
另一个问题可能是，在设置了代理隧道和MITM之后，解密/重新加密进程将针对整个会话中持续进行，即，可能无法在不停止通信的情况下停止解密/重新加密进程，即使在其已经确定不再需要代理来读取通信的明文之后。另一个问题可能是，对于某些应用程序或策略，包含网络安全和隐私保护，通常只需要将相对较小百分比的SSL/TLS隧道流量解密为明文；但是，由于可能没有针对这些应用程序和策略来仅解密相关会话的本地机制，可能导致效率很低。例如，网络安全应用程序可能仅对底层HTTP正在访问其特定URI或多个URI的HTTPS会话的明文感兴趣；但是由于在HTTPS会话期间URI可能不会以明文形式发送，要确定HTTPS会话是否正在访问或何时访问特定URI可能需要解密该HTTPS会话。
本公开描述了当选择标准是主机的FQDN(例如，“www.abc123.com”)和URI(例如，https://www.abc123.com/path-segment-1/path-segment-2/resource)时，用于选择性地解密受SSL/TLS保护的会话(例如，HTTPS会话)的技术。该技术之所以具有实用性，是因为对于HTTPS会话，当TLS隧道HTTP会话正在发送包含主机FQDN和URI的HTTP消息时，这些HTTP消息将被加密；由此，隧道外部的观察者无法以明文形式读取选择标准，即主机的FQDN和URI。
图1示出了根据一个或多个示例性实施例的例示用于选择性地解密SSL/TLS通信的方法的流程图。如图1中可见，可以在诸如图2所示的系统以及具有不同架构的其他系统(例如，图3)的计算环境中执行所示示例性流程图和本文所述的其他类似示例的一个或多个步骤。在其他实施例中，图1所示的方法和/或其一个或多个步骤可以体现在计算机可读介质中，诸如体现在非暂时性计算机可读存储器中。
参考图1，根据本文描述的一个或多个实施例，在步骤1-1，高效SSL/TLS代理(“E-PROXY”)可以构造标识数据的列表。E-PROXY可以被配置为构造URI的第一列表，称为“URI-decrypt-list”，对于与URI-decrypt-list中的URI地址连接的任何HTTPS会话，HTTPS会话将被解密。E-PROXY还可以构造域名和主机FQDN的第二列表，称为“domain-name-decrypt-list”，对于与名称在domain-name-decrypt-list中的主机连接的任何HTTPS会话，该HTTPS会话将被解密，而与不在domain-name-decrypt-list中的主机连接的HTTPS会话将不会被解密。
在步骤1-2中，对于URI-decrypt-list中的每个URI，E-PROXY可以提取URI中的主机名称值，该主机名称值可以包括FQDN或IP地址，并将提取的名称值添加到domain-name-decrypt-list。E-PROXY可以被进一步配置为从domain-name-decrypt-list中删除重复项。另选地或除此之外，E-PROXY可以防止将重复的主机名称值标识符添加到domain-name-decrypt-list。该domain-name-decrypt-list可以包含IP地址，但是在一些实施例中，该列表可以包括用来指示主机的域名和FQDN。
在步骤1-3中，E-PROXY可以将domain-name-decrypt-list提供给其“中间人”(MITM)，该“中间人”为一种代理程序设备，其观察并可作用于会在端点之间传输HTTPS会话的链路上的所有网络流量，这些端点可以包括HTTPS客户端和HTTPS服务器。在步骤1-4中，对于每个TLSS隧道设置，或TLS握手、由链路传输的会话，MITM代理程序可以检查包含在由HTTPS客户端发送到HTTPS服务器的(明文)ClientHello消息中的服务器名称指示(SNI)字段的值，该字段可以对应于目的地HTTPS服务器的FQDN；并且，通过由HTTPS服务器发送到HTTPS客户端的后续(明文)Certificate消息，可以检查服务器证书的Subject：CN(通用名称)字段的值，该字段也是HTTPS服务器的FQDN。应注意，SNI值应该但不一定与Subiect：CN值匹配。在一个或多个实施例/示例/场景中，SNI值和CN值可以匹配。在此类实施例中，MITM代理程序可以被配置为继续进行TLS会话。在其他实施例中，SNI值和CN值可能并不匹配，并且MITM代理程序可以被配置为选择CN值来确定选择性加密，因为它可靠地是用于HTTPS会话的服务器的FQDN，而SNI值不可靠；或者另选地，MITM代理程序可以警告异常但继续进行TLS会话，或者可以警告异常并终止TLS会话。
同样，在步骤1-4中，MITM代理程序可以将服务器的FQDN值与domain-name-decrypt-list中的元素进行比较。如果或当没有匹配项或充分的对应关系时，在步骤1-5a中，MITM代理程序可以不采取任何动作来解密会话，从而节省了计算资源，并可能实施诸如隐私保护策略之类的策略。如果或当存在匹配项或充分对应关系时，在步骤1-5b中，代理程序可以设置并使用SSL/TLS代理功能来(a)解密HTTPS会话；和(b)检查HTTPS会话的明文。在对明文应用任何中间逻辑之前，MITM代理程序检查会话的域名值是否已插入到domain-name-decrypt-list中，因为其是从URI-decrypt-list中提取的主机名称。如果是这样，则代理程序将会话的URI值与URI-decrypt-list中的元素进行比较。如果没有匹配项或充分的对应关系，则在步骤1-6a中，代理程序可以重新加密会话并转发到目的地，而不对会话的明文应用任何中间逻辑。如果存在匹配项，或者如果会话的域名不是从URI-decrypt-list生成的，则在步骤1-6b中，代理程序可以对会话的明文应用一定的中间逻辑。中间逻辑可以例如对由较高级别的应用程序(例如，网络安全、隐私保护、执法)指定的会话采取某种动作，诸如阻止通信；或者允许通信继续进行，但是记录并捕获构成通信的明文数据包；或对明文进行一些转换。如果中间逻辑未阻止通信，则该明文数据包被重新加密并转发到目的地。
应注意，如果图1的进程进行到步骤1-5b并解密了会话，但是随后由于会话的URI与URI-decrypt-list中的元素不匹配而进行到步骤1-6a，则该会话被不必要地解密了。然而，由于步骤1-6a跳过了步骤1-6b中发生的应用任何中间逻辑，因此仍然可以获得效率。此外，在步骤1-5b中存在URI匹配的非零概率，然后过程将进行到步骤1-6b；在这种情况下，解密是必要的。因此，尽管可能在步骤1-5b中可能出现了不必要的解密，但是当在典型的实际计算环境中持续应用于所有TLS会话时，确定性地，总体进程更加有效。
除此之外或另选地，如果与HTTPS会话相关联的主机的FQDN包含在domain-name-do-not-decrypt-list中，则代理程序可以使用domain-name-do-not-decrypt-list代替domain-name-decrypt-list，以选择性地不解密HTTPS会话。或者，可以同时使用两种类型的列表，其中给予一个列表高于另一列表的优先级。当不同的应用程序或策略生成列表时可能会出现这种情况，例如，domain-name-decrypt-list可能由网络安全应用程序和策略生成，而domain-name-do-not-decrypt-list可能会由隐私保护应用程序和策略生成。
图2示出了根据本公开的一个或多个方面的用于选择性地解密加密的通信的高效SSL/TLS代理的例示性环境。参考图2，环境100可以包括网络A102和网络B104，它们可以通过提供互联网络访问/互连的网络链路106连接。网络A102可以包括与一个或多个个体或实体(例如，政府、公司、服务提供者或其他组织机构)相关联的一个或多个网络(例如，局域网(LAN)、广域网(WAN)、虚拟专用网网络(VPN)、软件定义网络(SDN)或其组合)。网络B104可以包括使网络A102与一个或多个其他网络(未示出)交互的一个或多个网络(例如，LAN、WAN、VPN、SDN或其组合)。例如，网络B104可以包括互联网或类似的网络或其部分。
环境100还可以包含一个或多个主机，诸如计算设备或网络设备(例如，服务器、台式计算机、膝上型计算机、平板电脑、移动设备、智能电话、路由器、网关、代理、防火墙、交换机、接入点等)。例如，网络102可以包含：主机110、112和114，它们可以被配置为用作客户端；代理设备120；而网络104可以包含主机130、132和134，它们可以被配置为用作服务器。如本文所使用的，“主机”(或多个“主机”)是指任何类型的网络设备(或节点)或计算设备；尽管此类设备可以被分配(或被配置为分配)一个或多个网络层地址，但是术语“主机”(或“主机”)并不意味着此类设备必须被分配(或被配置为分配)一个或多个网络层地址。
代理120可以位于网络102和104之间的网络边界和网络链路106处或附近，并且可以使网络102或位于其中的一个或多个主机与网络104或位于其中的一个或多个主机交互。例如，网络104可以包含主机130、132和134，它们可以托管联网的应用程序服务器(例如，网络服务器)；而网络102可以包含主机110、112和114，它们可以托管联网的应用程序客户端(例如，Web浏览器)。代理120可以用作联网的应用程序客户端和服务器的中介代理程序，例如，在Web客户端和Web服务器之间中介HTTP会话的Web代理，或在Web客户端和Web服务器之间中介HTTPS会话的SSL/TLS代理。
图3示出了根据本公开内容的一个或多个方面的用于选择性解密受TLS保护的通信的例示性高效SSL/TLS代理E-PROXY 120。参考图3，代理120可以内联地位于连接网络102和网络104的网络链路106上。代理120可以包括一个或多个TCP代理程序(例如，TCP-AGT1121和TCP-AGT2122)、一个或多个TLS代理程序(例如，TLS-AGT1 123和TLS-AGT2124)、“中间人”(MITM)中介MITM 125、证书颁发机构CA 126、列表管理器LST-MGR 128、存储器STORE129、网络接口NTKW I/F 127以及将代理的组件互连的数据总线DATA-BUS 140。代理120可以通过网络接口127与网络链路106内联交互。因此，包括连接到网络102和网络104的端点之间的受TLS保护的通信的IP数据包可以通过代理120。TCP代理程序121和122可以终止TCP连接、维持TCP会话状态并欺骗IP网络端点。TCP代理程序121和122还可以被配置为计算(本地唯一的)流标识符，维护流状态信息，向/从其他代理组件发送/接收消息，以及将消息路由/交换到其他代理组件。TCP代理程序121和122可以通过存储器STORE 129存储和检索状态信息以及其他信息。TLS代理程序TLS-AGT1 123和TLS-AGT2124可以终止TLS隧道、维护TLS会话状态并欺骗TLS客户端和服务器。TLS代理程序123和124还可以被配置为维护TLS会话状态信息，向/从其他代理组件发送/接收消息，以及将消息路由/交换到其他代理组件。TCP代理程序123和124可以通过存储器STORE 129存储和检索状态信息以及其他信息。根据本公开的一个或多个方面，TLS代理程序123和124可以根据需要与证书颁发机构CA 126交互以生成数字证书，例如，X.509证书。
“中间人”(MITM)中介代理MITM 125可以被配置为实现作用于已经由TLS代理程序123和124解密的数据包中的信息的更高级别的应用程序，诸如网络安全应用程序、执法应用程序和隐私保护应用程序；例如，根据正在代理120中执行的更高级别应用程序的一个或多个要求，MITM代理程序125可以复制数据包并将其存储在存储器STORE 129中，可以记录数据包并可以将日志存储在存储器STORE 129中，等等。根据本公开的一个或多个方面，MITM代理程序125还可以被配置为在代理组件之间发信号通知消息路由，以使代理有效地操作。通过将与通过代理的通信相关联的IP地址、域名和URI与由列表管理器128创建和维护的IP地址、域名和URI的列表进行比较，MITM代理程序125可以基于从列表管理器LST-MGR128接收到的信息，在代理组件之间做出并发信号通知消息路由决策。
图3示出了可以使用的系统架构的一个示例，并且在某些情况下，在不脱离本公开的范围的情况下，所使用的特定系统架构和计算设备可以变化，并且对它们所提供的功能来说是次要的。例如，计算设备中的一个或多个可以跨网络分布，即，数据总线DATA-BUS140的部分可以是网络。作为另一个示例，一些组件可以在逻辑上包含在其他组件中，例如，TCP代理程序和TLS代理程序可以集成到单个组件中。作为又另一示例，存储器STORE 129可以由多个子组件构成，它们可以由多个计算设备共享或专用于单个计算设备。
图4、图5和图6示出了根据本公开的一个或多个方面的用于选择性地解密加密的通信的高效SSL/TLS代理的例示性事件序列。所示步骤仅是例示性的，并且可以按照与所示的顺序不同的顺序省略、组合或执行；步骤的编号仅是为了便于参考，并不意味着任何特定的顺序是必需的或优选的。所示的TLS握手进程是基本握手；其他握手消息序列也是可能的，但是这些并不影响本公开的范围。图4、图5和图6示出了一示例性实施例，其中在端口443上使用了HTTPS协议，并且SSL/TLS代理在网络层3处是透明的。换句话说，代理组件没有IP地址，代理组件也没有更改第3层/IP层源和目的地IP地址以及协议类型，它们也没有改变第4层/传输层源和目的地端口。然而，这些约束、实例和假设是示例性的且并不限制本公开的范围，其可以应用于除HTTPS之外的其他受TLS保护的协议，并且可以应用于其他类似实施例中的非透明代理。
同样地，为了简化描述，当参考在组件X和Y之间发送的TLS握手消息时，诸如ClientHello，这是对“包含TLS消息ClientHello的一个或多个IP数据包是从组件X发送到组件Y”的简写表示。同样地，对于HTTP消息，诸如GET方法，每个HTTP消息可以包含在组件之间发送的一个或多个IP数据包中。
图4A和图4B示出了一实施例，其中高效SSL/TLS代理基于HTTPS服务器的域名确定不解密HTTPS会话。参考图4A，在步骤4-1，由列表管理器LST-MGR 128生成包含域名的domain-name-decrypt-list。除其他外，可以通过接受域名、主机的FQDN等作为输入的用户界面，或通过从威胁情报提供者通过订阅服务所提供的URI中提取主机的FQDN，或通过由威胁情报提供者通过订阅服务提供的域名，或通过隐私保护数据和策略等来执行列表生成。在步骤4-2，列表管理器LST-MGR 128可以将domain-name-decrypt-list传送到MITM 125。如果或当使用高效SSL/TLS代理的高级别应用程序请求将HTTPS会话的URI与URI的数据库进行比较时(如，例如在网络安全应用程序中可能发生的情况)，则列表管理器也可以生成并向MITM 125发送包含URI的URI-decrypt-list，它们被用于导出domain-name-decrypt-list中的一部分域名。
在步骤4-3，主机HOST1 110可以通过使浏览器指向URI(例如，“https://www.srv1.net/index.html”)来通过网络浏览器(web/HTTP客户端)发起与具有域名(例如，“www.srv1.net”)的网络服务器SRV1 130的HTTPS会话。HOST1 110可以将域名“www.srv1.net”解析为IP地址，例如1.2.3.4。在一些实施例中，HOST1 110可以通过检查本地缓存来解析域名。在其他实施例中，HOST1 110可以查询域名系统(DNS)服务器(图4A中未示出)。
为了发起与Web服务器SRV1 130的HTTPS会话通信，在步骤4-3，HOST1 110可以通过发布TCP SYN消息来发起与Web服务器SRV1 130在端口443上的TCP连接，该消息可以被TCP-AGT1 121拦截。TCP-AGT1 121可以在本地计算(并且可以将其记录在查找表中)用于TCP连接的(双向)流标识符“Flow-1234”。例如，流标识符可以包括数据包的源和目的地IP地址、源和目的地端口、IP协议类型以及可能的其他信息的哈希，以及与此HTTPS会话相关联的数据包的当前或初始默认的代理内数据包转发动作。对于在客户端到服务器方向上传输的数据包，诸如发起新会话的TCP SYN数据包，初始默认的代理内数据包转发动作可以是将数据包从TCP-AGT1 121直接转发到TCP-AGT2 122，如步骤4-4中所示。TCP-AGT2 122可以计算并记录流标识符“Flow-1234”和初始默认的代理内数据包转发动作(即，将在服务器到客户端方向上传输的数据包从TCP-AGT2 122直接转发到TCP-AGT1 121)。在步骤4-5，TCP-AGT2 122可以向其Web服务器SRV1 130的目的地转发TCP SYN数据包。
在步骤4-6，TCP数据包传输的多个子步骤建立了主机HOST1 110和web服务器SRV1130之间的TCP连接，其中TCP-AGT1 121和TCP-AGT2 122中介，总的来说被显示为HOST1110、TCP-AGT1 121、TCP-AGT 122和SRV1 130之间的双向箭头。
接下来的几个步骤在HOST1 110和SRV1 130之间建立由SSL/TLS代理中介的TLS隧道，在此期间对domain-name-decrypt-list进行搜索。在步骤4-7，主机HOST1 110可以向SRV1 130发送TLS ClientHello消息，该消息被TCP-AGT1 121拦截。在接收到TLSClientHello消息(其发起TLS握手/隧道设置进程)后，TCP-AGT1 121可以配置为设置其代理内数据包转发动作以将针对此流Flow-1234的客户端到服务器的数据包转发到TLS-AGT1123。在步骤4-8，TCP-AGT1 121可以将TLS ClientHello消息发送到TLS-AGT1 123。
响应于接收到包括ClientHello消息的一个或多个数据包，在步骤4-9中，TLS-AGT1 123可以计算并记录流标识符值(例如，“Flow-1234”)和初始默认的代理内数据包转发动作，该动作可以是将ClientHello消息直接转发到TLS-AGT2 124。TLS-AGT1 123可以从ClientHello消息中提取服务器名称指示(SNI)值。在一些实施例中，SNI值可能不可用，因为浏览器/主机对SNI字段的使用(向服务器发送关于正在请求哪个虚拟域的信号)可能是任选的。在其他实施例中，SNI值可能不正确，或者可能已被恶意对手操纵。无论如何，由服务器SRV1 130(www.srv1.net)在后续步骤中提供的证书将在证书的Subject：CN(通用名称)字段中具有实际的服务器名称(www.srv1.net)，并且可以用于验证(或不验证)SNI值是否正确。假设正在使用SNI值并且它是正确的，即该值是www.srv1.net。在步骤4-9，TLS-AGT1 123可以向MITM 125发送查询，以检查www.srv1.net是否在domain-name-decrypt-list中。在步骤4-10，响应于接收到步骤4-9的查询请求，MITM 125可以搜索domain-name-decrypt-list，并且基于该搜索，可以确定www.srv1.net不在该列表中，因此会话不应被解密，并且可以以未找到所请求域的指示来响应查询，从而可以向TLS-AGT1 123发信号通知www.srv1.net不在domain-name-decrypt-list中，因此代理不应解密相关联的HTTPS会话。
参考图4B，在步骤4-11，TLS-AGT1 123可以向两个TCP代理程序(例如，TCP-AGT1121和TCP-AGT2 122)发信号，以直接向彼此发送与流标识符“Flow-1234”相对应的所有(定向)代理内数据包，即绕过代理功能。通过避免不必要的通信解密和重新加密，这一步骤具有增加代理的效率和减少代理上的处理负荷和资源负荷的优点。在步骤4-12，TLS-AGT1123可以向TCP-AGT2 122发送ClientHello消息。在步骤4-13，TCP-AGT2 122可以将ClientHello消息发送到其目的地，即Web服务器SRV1 130。在步骤4-14，SRV1 130可以用TLS ServerHello消息来响应ClientHello消息，该消息可以被TCP-AGT2 122拦截。TCP-AGT2 122可以计算数据包的流标识符“Flow-1234”，并可以在STORE 129(参考图3)中查找该数据包以进行代理内数据包转发动作，该动作为将数据包直接发送到TCP-AGT1 121，即绕过代理功能。在步骤4-15，TCP-AGT2 122可以将ServerHello消息直接发送到TCP-AGT1121。在步骤4-16，TCP-AGT1 121可以将ServerHello消息发送到HOST1 110。
在步骤4-17，在主机HOST1 110和Web服务器SRV1 130之间发送后续TLS握手消息(Certificate、ServerKeyExchange，...，Finished等)的多个子步骤在HOST1 110和SRV1130之间建立TLS隧道，其中TCP-AGT1 121和TCP-AGT2 122中介，总的来说被显示为HOST1110、TCP-AGT1 121、TCP-AGT 122和SRV1 130之间的双向箭头。以上参考的TLS消息可以绕过代理功能，因为此HTTPS会话将不被解密，这由domain-name-decrypt-list(其不包含www.srv1.net)确定。
现在已经创建了TLS隧道，其中终端点位于HOST1 110和SRV1 130处，HOST1 110和SRV1 130可以进行HTTP会话，但是每个HTTP消息在进入TLS隧道时都被加密，而在离开隧道时被解密，即其为HTTPS会话。步骤4-18总体上示出了HOST1 110和SRV1 130之间的HTTPS会话，其中TCP-AGT1 121和TCP-AGT2122中介。如果或当HTTPS会话结束时，则可以通过典型的TCP信号序列(例如，FIN、ACK轮流)来断开HOST1 110和SRV1 130之间的TCP连接。这总体上在步骤4-19中表示，其中TCP-AGT1 121和TCP-AGT2 122中介。
图5A、图5B和图5C示出了其中高效SSL/TLS代理可以基于HTTPS服务器的域名来确定解密HTTPS会话的实施例。在解密时，可能会发现会话的URI与MITM 125管理的URI列表匹配，因此，根据利用高效代理的一些高级别应用程序(例如，网络安全应用程序)的逻辑，通过使这些数据包通过MITM 125，可以对组成HTTPS会话的加密数据包进行进一步的处理。
对于图5A，步骤5-1至5-8与图4A中的相应步骤4-1至4-8类似，除了目标HTTPS服务器是Web服务器SRV2 132而不是SRV1 130。图5A中的步骤5-1和5-2与图4A中的步骤4-1和4-2相同。
参考图5A，主机HOST1 110可以通过将浏览器指向URI https://www.srv2.net/index.html来通过网络浏览器(web/HTTP客户端)发起与具有域名www.srv2.net的网络服务器SRV2 132的HTTPS会话。主机110通过检查本地DNS缓存或查询域名系统(DNS)等(图5A中未示出)将域名www.srv2.net解析为IP地址，例如5.6.7.8。
为了发起与Web服务器SRV2 132 www.srv2.net的HTTPS会话通信，在步骤5-3，HOST1 110首先通过发布TCP SYN消息(其由TCP-AGT1 121拦截)来发起与Web服务器SRV2132端口443的TCP连接。TCP-AGT1 121在本地计算(并记录在查找表中)该TCP连接的(双向)流标识符“Flow-5678”，例如，数据包的源和目的地IP地址、源和目的地端口以及IP协议类型的哈希，以及与此HTTPS会话相关联的数据包的当前或初始默认的代理内数据包转发动作。对于在客户端到服务器方向上传输的数据包，诸如发起新会话的此TCP SYN数据包，初始默认的代理内数据包转发动作是将数据包从TCP-AGT1 121直接转发到TCP-AGT2 122，而这在步骤5-4处由TCP-AGT1 121执行。类似地，TCP-AGT2计算并记录流标识符“Flow-5678”和初始默认的代理内数据包转发动作(即，将在服务器到客户端方向上传输的数据包从TCP-AGT2 122直接转发到TCP-AGT1 121)。在步骤5-5，TCP-AGT2 122向其Web服务器SRV2132的目的地转发TCP SYN数据包。
在步骤5-6，TCP数据包传输的多个子步骤建立了HOST1 110和SRV2 132之间的TCP连接，其中TCP-AGT1 121和TCP-AGT2 122中介，总的来说被显示为HOST1 110、TCP-AGT1121、TCP-AGT 122和SRV2 132之间的双向箭头。
接下来的几个步骤在HOST1 110和SRV2 132之间建立由SSL/TLS代理中介的TLS隧道，在此期间对domain-name-decrypt-list进行搜索。在步骤5-7，主机HOST1 110可以向Web服务器SRV2 132发送TLS ClientHello消息，该消息被TCP-AGT1 121拦截。在接收到TLSClientHello消息(其发起TLS握手/隧道设置进程)后，TCP-AGT1 121可以配置为设置其代理内数据包转发动作以将客户端到服务器的数据包转发到TLS-AGT1 123。在步骤5-8，TCP-AGT1 121可以将包含TLS ClientHello消息的数据包发送到TLS-AGT1 123。
在接收到带有ClientHello消息的数据包后，TLS-AGT1 123计算并记录流标识符值“Flow-5678”和初始默认的代理内数据包转发动作，该动作可以是将ClientHello消息直接转发到TLS-AGT2 124。但是，首先，TLS-AGT1 123从ClientHello消息(其为www.srv2.net)中提取服务器名称指示(SNI)值。在步骤5-9，TLS-AGT1 123向MITM 125发送查询，以检查www.srv2.net是否在domain-name-decrypt-list中。MITM 125搜索domain-name-decrypt-list，并确定www.srv2.net在该列表中，因此后续HTTPS会话应由代理解密。在步骤5-10，MITM 125通过发信号通知TLS-AGT1 123 www.srv2.net在domain-name-decrypt-list中来对查询做出“真”响应，因此，相关联的HTTPS会话将由代理解密。
参考图5B，在步骤5-11，TLS-AGT1 123向TCP代理程序TCP-AGT1 121和TCP-AGT2122分别发送信号，以将所有具有流标识符“Flow-5678”的代理内数据包分别发送到TLS-AGT1 123和TLS-AGT2 124，以便使代理解密后续的HTTPS会话。在步骤5-12，TLS-AGT1 123向TLS-AGT2 124发送ClientHello消息。在接收到ClientHello消息后，TLS-AGT2 124计算并在本地记录流标识符值“Flow-5678”和初始默认的代理内数据包转发动作，该动作为将数据包直接转发到TLS-AGT1 123。在步骤5-13，TLS-AGT2 124向TCP-AGT2 122发送ClientHello消息，后者将ClientHello发送到目的地SRV2 132。在步骤5-14，SRV2 132以ServerHello消息进行响应，该消息被TCP-AGT2 122拦截，TCP-AGT2 122将该ServerHello消息发送到TLS-AGT2 124，TLS-AGT2 124将ServerHello消息发送到TLS-AGT1 123，TLS-AGT1 123将ServerHello消息发送到TCP-AGT1 121，TCP-AGT1 121将ServerHello消息发送到HOST1 110。
在步骤5-15至5-21中，可以在TLS-AGT2 124和SRV2 132之间以及在TLS-AGT1 123和HOST1 110之间建立TLS隧道。在该实施例中，TLS-AGT2 124可以欺骗HOST1 110，使得可能在SRV2 132看来，其既作为IP可寻址的端点又作为HOST1 110和SRV2 132之间的TLS隧道的远端终端点直接与HOST1 110交互；并且类似地，TLS-AGT1 123可以欺骗SRV2 132，使得可能在HOST1 110看来，其既作为IP可寻址的端点又作为HOST1 110和SRV2 132之间的TLS隧道的远端终端点直接与SRV2 132交互。HOST1 110和SRV2 132都不会(分别)知道它们实际上在与代理组件TLS-AGT1 123和TLS-AGT2 124(分别)交互。为了简化描述，以下描述的步骤5-15至5-21可以使用自签名证书；然而，在常见做法中，服务器证书可能不是自签名的(应用程序通常将自签名证书视为安全风险)，而是由创建服务器证书的证书颁发机构签名；并且用于对服务器证书进行签名的证书颁发机构的证书连同服务器证书将被包含在Certificate消息中，以形成信任链。就这一点而言，这些假设、简化以及相关联的规范并非旨在进行限制。
在步骤5-15，SRV2 132可以发送包含SRV2 132的服务器证书的Certificate消息，该消息可以被TCP-AGT2 122拦截，其可以将Certificate消息发送到TLS-AGT2 124。为了简化描述，服务器证书可以是自签名的，并且处理任何自签名证书的代理程序(例如，主机110上的Web浏览器、TLS代理程序123和124、MITM 125)可以不拒绝它们或以其他方式请求其他代理程序或用户的干预。进一步假设，尽管在实践中，实施方式可能会从服务器证书中提取服务器名称(www.srv2.net)并将其与SNI值进行比较，或者以其他方式应用作用于此会话的服务器名称的逻辑(因为Certificate中包含的服务器名称是可靠的)，诸如让MITM检查服务器名称是否在domain-name-decrypt-list中，为了简化描述，此处将不再描述这些步骤。这并不限制本公开的范围。
在接收到Certificate消息后，TLS-AGT2 124可以在欺骗HOST1 110的同时(通过使用HOST1 110的IP地址作为TLS-AGT2 124生成的数据包的IP报头中的源IP地址)，与SRV2132建立TLS隧道，其中TCP-AGT2 122进行中介。在步骤5-16，TLS-AGT2 124和SRV2 132可以建立TLS隧道。在许多实施例之一中，可以使用以下子步骤来建立TLS隧道：SRV2 132可以将ServerKeyExchange消息发送到TLS-AGT2 124；SRV2 132可以将ServerHelloDone消息发送到TLS-AGT2 124；TLS-AGT2 124可以将ClientKeyExchange消息发送到SRV2 132；TLS-AGT2124可以将ChangeCipherSpec消息发送到SRV2 132；TLS-AGT2 124可以将Finished消息发送到SRV2 132；SRV2 132可以将ChangeCipherSpec消息发送到TLS-AGT2 124；以及SRV2132可以将Finished消息发送到TLS-AGT2 124(消息序列详细信息未在图5B中示出)。
随后，可以在TLS-AGT1 123和HOST1 110之间建立TLS隧道，为此TLS-AGT1 123欺骗了SRV2 132，即HOST1 110认为它正在直接与SRV2 132交互以建立TLS隧道，但实际上正在与TLS-AGT1 123进行交互。然而，首先，代理需要为SRV2 132生成新的服务器证书，TLS-AGT1 123使用该新证书来与HOST1 110建立TLS隧道，这是SSL/TLS代理的标准操作。(由SRV2 132提供的服务器证书可能无法简单地复制和重复使用；一个原因是，只有SRV2 132知道的私钥与其用于解密和加密消息的服务器证书相关联。如果没有此密钥，则TLS-AGT1123在使用SRV2 132的服务器证书时可能无法与HOST1 110建立TLS隧道。)
在步骤5-17，TLS-AGT2 124可以将服务器证书的副本发送到MITM 125。在步骤5-18，MITM 125将服务器证书发送到证书颁发机构CA 126，并请求欺骗SRV2 132服务器证书的新证书。在步骤5-19，CA 126将新的欺骗的服务器证书和其他必要信息(例如，证书的私钥)发送到MITM 125。在步骤5-20，MITM 125将欺骗的服务器证书和相关联的信息，连同用来与HOST1 110建立TLS信道的指令，发送到TLS-AGT1 123。在步骤5-21，在类似于步骤5-16的进程中，TLS-AGT1 123继续与HOST1 110建立TLS隧道，同时欺骗SRV2 132(通过使用SRV2132的IP地址作为TLS-AGT1 123生成的数据包的IP报头中的源IP地址，并通过使用由CA126生成的欺骗的服务器证书)，其中TCP-AGT1 121进行中介。
现在，HOST1 110发起与SRV2 132的HTTP会话。所有HTTP消息将通过两个TLS隧道发送，其中代理进行中介。参考图5C，在步骤5-22，HOST1 110将具有请求行“GET https://www.srv2.net/pathl/resource1 HTTP/1.1”的HTTP请求消息发送到TLS隧道中，该TLS隧道在隧道进入时对该请求加密，在隧道离开时对HTTP请求消息进行解密，此时其由TLS-AGTl123接收(其中TCP-AGT1 121进行中介)。
在步骤5-23，TLS-AGT1 123从(明文)HTTP请求消息中提取URI https://www.srv2.net/path1/resource1，并将其发送到MITM 125。回想一下，在图5A的步骤5-2，MITM 125存储URI列表“URI-decrypt-list”，以与HTTPS会话中使用的URI进行比较，如可以在网络安全应用程序、或隐私保护应用程序、或执法窃听应用程序、或具有作用于HTTPS会话的URI值的逻辑的其他应用程序中所做的那样。MITM 125将URI https://www.srv2.net/path1/resource1与URI-decrypt-list中的条目进行比较。如果存在匹配项或充分的对应关系，则MITM 125可以发信号通知正在使用高效SSL/FLS代理的高级别应用程序(图5C中未示出)。然后，高级别应用程序可以执行附加的逻辑。例如，网络安全应用程序或执法窃听应用程序可以向MITM 125发信号，以记录和捕获构成HTTPS会话的解密数据包，以供随后由网络分析应用程序使用，该网络分析应用程序可以评估HOST1 110和URI https://www.srv2.net/path1/resource1之间的通信造成的威胁的严重性。因此，会话的其余部分将使所有解密的数据包通过MITM 125。相应地，在步骤5-24a，MITM 125向TLS-AGT1 123发信号以将代理内数据包发送到MITM 125；而在步骤5-24b，MITM 125向TLS-AGT2 124发信号，以将代理内数据包发送到MITM 125。在步骤5-25，TLS-AGT1 123将(明文)HTTP请求消息发送到MITM 125，后者可以使用高效代理根据高级别应用将逻辑应用于数据包。在步骤5-26，MITM 125将HTTP请求消息发送到TLS-AGT2 124，后者将消息发送到TLS隧道中；然后，(加密的)消息将通过TCP-AGT2 122穿越隧道，并在目的地端点SRV2 132处离开隧道。在步骤5-27，SRV2 132生成对HTTP请求的响应，并通过TCP-AGT2 122、TLS-AGT2 124、MITM 125、TLS-AGT1 123和TCP-AGT1 121将其发送到朝向HOST1 110的隧道中。在步骤5-28，可以使用典型的TCP信号序列(例如，FIN、ACK轮流)通过断开HOST1 110和SRV1 132之间的TCP连接来终止HTTPS会话，该会话由代理的TCP-AGT1 121和TCP-AGT2 122透明地中介。
图6示出了类似于图5的另一个实施例，除了会话的URI与URI-decrypt-list中的任何元素都不匹配，因此会话的其余部分并不通过MITM 125，这带来了一定程度的效率。参考图6，除了URI是https://www.srv2.net/path2/resource2而不是https://www.srv2.net/path1/resource1之外，步骤6-1至6-21与图5中的步骤5-1至5-21相同。在步骤6-22，HOST1 110将具有请求行“GET https://www.srv2.net/path2/resource2HTTP/1.1”的HTTP请求消息发送到TLS隧道中，该TLS隧道在隧道进入时对该请求加密，在隧道离开时对HTTP请求消息进行解密，此时其由TLS-AGT1 123接收(其中TCP-AGT1 121进行中介)。
在步骤6-23，TLS-AGT1 123从(明文)HTTP请求消息中提取URI https://www.srv2.net/path2/resource2，并将其发送到MITM 125。回想一下，在图5A的步骤5-2，其对应于图6的步骤6-2，MITM 125存储URI列表“URI-decrypt-list”以与HTTPS会话中使用的URI进行比较，如可以在网络安全应用程序、或隐私保护应用程序、或具有作用于HTTPS会话的URI值的逻辑的其他应用程序中所做的那样。MITM 125将URI http:：//www.srv2.net/path2/resource2与URI-decrypt-list中的条目进行比较。MITM 125确定不存在匹配项或充分的对应关系；因此，在步骤6-24a，MITM 125发信号通知TLS-AGT1 123直接向TLS-AGT2124发送代理内数据包(即绕过MITM 125，因为使用代理的更高级别的应用程序对处理此会话不感兴趣)。类似地，在步骤6-24b，MITM 125发信号通知TLS-AGT2 124直接向TLS-AGT1123发送代理内数据包(即绕过MITM 125，因为使用代理的更高级别的应用程序对处理此会话不感兴趣)。在步骤6-25，TLS-AGT1 123将HTTP请求消息直接发送到TLS-AGT2 124(绕过MITM 125)；然后TLS-AGT2 124将HTTP请求消息发送到朝向SRV2 132的TLS隧道中；然后，消息通过TCP-AGT2 122穿越隧道，并在目的地端点SRV2 132处离开隧道。在步骤6-26，SRV2132生成对HTTP请求的响应，并通过TCP-AGT2 122、TLS-AGT2 124、TLS-AGT1 123以及TCP-AGT1 121(再次绕过MITM 125)将其朝向HOST1 110发送。在步骤6-27，可以使用典型的TCP信号序列(例如，FIN、ACK轮流)通过断开HOST1 110和SRV1 132之间的TCP连接来终止HTTPS会话，该会话由代理的TCP-AGT1 121和TCP-AGT2 122透明地中介。
对于以上图4、图5和图6存在可以扩大本公开的范围的变型。分别在图4、图5和图6的步骤4-1、5-1和6-1中，创建包含域名的“domain-name-decrypt-list”，并最终用于在会话的域名与“domain-name-decrypt-list”中的域名匹配的情况下，发信号通知高效代理以潜在地解密会话中的数据包。作为替代或补充，使用“domain-name-do-not-decrypt-list”，如果会话的域名与该列表中的域名相匹配，则其可以发信号通知高效代理不对会话中的数据包进行解密。这可能与隐私应用程序更为相关，在隐私应用程序中，某些通信在传输过程中应保持为加密。或者，可以同时使用两种类型的列表，其中一种列表优先于另一种。
以上图5的另一变型是，当在URI-decrypt-list中的URI与会话的URI之间发现匹配项时，MITM可以发信号通知结束会话，例如，以防止传送敏感信息。这可以通过例如生成TCP RST信号并将其发送到HOST1 110或SRV2 132或两者以终止TCP连接来实现。
图4的另一变型是使用IP地址的列表“IP-address-decrypt-list”来确定是否要解密给定的受TLS保护的通信。参考图4A，在步骤4-1，由列表管理器128生成包含IP地址的IP-address-decrypt-list。列表生成可以通过接受IP地址作为输入的用户界面，或者通过使用DNS解析域名，或者通过由威胁情报提供者通过订阅服务提供的IP地址，或者通过隐私保护数据和策略等。在步骤4-2，列表管理器LST-MGR 128将IP-address-decrypt-list传送给MITM 125。步骤4-3至4-8与以上的步骤相同(尽管在步骤4-8，可以省略对ClientHello消息中包含的SNI值的提取)。在步骤4-9，TLS-AGT1 123从包含ClientHello消息的IP数据包的报头中提取源IP地址和/或目的地IP地址，然后向MITM 125发送查询以检查IP地址是否在IP-address-decrypt-list中。MITM 125搜索IP-address-decrypt-list，并确定IP地址不在列表中，因此该会话不应被解密。在步骤4-10，MITM 125对查询响应“假”，其发信号通知TLS-AGT1 123该IP地址不在IP-address-decrypt-list中，因此相关联的HTTPS会话不应由代理进行解密。参考图4B，步骤4-11至4-19如上所述进行，即，会话绕过代理解密。
作为紧接以上变型的变型，如果在图4A的步骤4-9中MITM 125搜索IP-address-decrypt-list并且确定IP地址在该列表中，则会话将被解密。在这种情况下，进程类似于图5中的步骤5-10至5-28进行。
本文描述的功能和步骤可以体现在由一个或多个计算机或用来执行本文所述一个或多个功能的其他设备执行的计算机可用数据或计算机可执行指令中，诸如在一个或多个程序模块中。通常，程序模块包含例程、程序、对象、组件、数据结构等，它们在由计算机或其他数据处理设备中的一个或多个处理器执行时执行特定任务或实现特定抽象数据类型。计算机可执行指令可以存储在诸如硬盘、光盘、可移动存储介质、固态存储器、RAM等的计算机可读介质上。应当理解，可以根据需要组合和分配程序模块的功能。另外，功能可以全部或部分地体现在固件或硬件等效物中，诸如集成电路、专用集成电路(ASIC)、现场可编程门阵列(FPGA)等。特定的数据结构可以被用于更有效地实现本公开的一个或多个方面，并且此类数据结构被认为在本文描述的计算机可执行指令和计算机可用数据的范围内。
尽管不是必需的，但是本领域的普通技术人员将理解，本文描述的各个方面可以体现为一种方法、系统、装置或体现为一种或多种存储计算机可执行指令的计算机可读介质。因此，各方面可以采取完全硬件实施例、完全软件实施例、完全固件实施例，或以任何组合结合软件、硬件和固件方面的实施例的形式。
如本文所述，各种方法和动作可以在一个或多个计算设备和网络上操作。功能可以以任何方式分布，或者可以位于单个计算设备(例如，服务器、客户端计算机等)中。
本公开的各方面已经根据其例示性实施例进行了描述。通过阅读本公开，本领域普通技术人员可以想到所附权利要求的范围和精神内的许多其他实施例、修改和变化。例如，本领域的普通技术人员将理解，例示性附图中示出的步骤可以以不同于所列举的顺序来执行，并且示出的一个或多个步骤可以是任选的。所附权利要求中的任何和所有特征可以以任何可能的方式组合或重新布置。

Claims (20)

1.一种方法，其包括：
由计算设备生成标识数据的列表和要对与对应标识数据相关联的加密的通信流执行的对应动作；
由所述计算设备接收发起加密的通信流的一个或多个数据包；
由所述计算设备识别与所述加密的通信流相关联的流标识数据；
由所述计算装置将所述识别出的流标识数据与所述标识数据的列表进行比较；以及
由所述计算设备并基于比较来执行对所述加密的通信流的对应动作。
2.根据权利要求1所述的方法，其中所述生成所述标识数据的所述列表包括：
由所述计算设备从安全应用程序接收一个或多个网络地址和/或域名的列表；和
基于所述接收到的所述一个或多个网络地址和/或域名的列表，创建所述标识数据的所述列表。
3.根据权利要求1所述的方法，其中所述生成所述标识数据的所述列表包括：
由所述计算设备并通过订阅服务，从一个或多个网络威胁情报提供者接收网络地址和/或域名的至少一个列表；和
基于所述接收到的网络地址和/或域名的至少一个列表创建所述标识数据的所述列表。
4.根据权利要求1所述的方法，其中所述生成所述标识数据的所述列表包括：
由所述计算设备从隐私保护应用程序接收一个或多个网络地址和/或域名的列表；和
基于所述接收到的所述一个或多个网络地址和/或域名的列表，创建所述标识数据的所述列表。
5.根据权利要求1所述的方法，其中所述生成所述标识数据的所述列表包括：
由所述计算设备从执法窃听应用程序接收一个或多个网络地址和/或域名的列表；和
基于所述接收到的所述一个或多个网络地址和/或域名的列表，创建所述标识数据的所述列表。
6.根据权利要求1所述的方法，其中所述执行所述对应动作包括：
由所述计算设备将与特定的加密的通信流相关联的多个数据包转发到它们的预期目的地，其中在转发之前不对所述多个数据包进行解密。
7.根据权利要求1所述的方法，其中所述生成所述标识数据的所述列表包括：
由所述计算设备接收一个或多个网络地址和/或域名的第一列表，其中一个或多个网络地址和/或域名的所述第一列表指示其对应的加密的通信流将被解密的网络地址和/或域名；
由所述计算设备接收一个或多个网络地址和/或域名的第二列表，其中一个或多个网络地址和/或域名的所述第二列表指示其对应的加密的通信流将不被解密的网络地址和/或域名；
为一个或多个网络地址和/或域名的所述第一列表分配第一优先级，为一个或多个网络地址和/或域名的所述第二列表分配第二优先级，其中所述第一优先级不同于所述第二优先级；以及
基于所述第一优先级和所述第二优先级，由一个或多个网络地址和/或域名的所述第一列表和一个或多个网络地址和/或域名的所述第二列表创建标识数据的排序列表。
8.根据权利要求1所述的方法，
其中，所述标识数据的所述列表指示要对所述列表包括的所述标识数据执行的特定动作；
其中，将所述识别出的流标识数据与所述标识数据的所述列表进行比较确定所述标识数据的所述列表中并不包括所述识别出的流标识数据；以及
其中执行所述对应动作包括执行除了由所述标识数据的所述列表指示的所述特定动作之外的动作。
9.根据权利要求8所述的方法，其中除了由所述列表指示的所述特定动作之外的所述动作包括终止所述加密的通信流。
10.根据权利要求8所述的方法，其中除了由所述列表指示的所述特定动作之外的所述动作包括：
记录与所述加密的通信流相关联的数据包以进行后续分析；和
将与所述加密的通信流相关联的数据包转发到它们相应的预期目的地。
11.一种装置，其包括：
至少一个处理器；和
存储指令的存储器，所述指令在由所述至少一个处理器执行时促使所述装置：
生成标识数据的列表和要对与每个对应标识数据相关联的加密的通信流执行的对应动作；
接收发起加密的通信流的一个或多个数据包；
识别与所述加密的通信流相关联的流标识数据；
将识所述别出的流标识数据与所述标识数据的所述列表进行比较；以及
基于将所述识别出的流标识数据与所述标识数据的所述列表进行比较，对所述加密的通信流执行对应动作。
12.根据权利要求11所述的装置，其中所述指令在由所述至少一个处理器执行时，进一步促使所述装置：
从安全应用程序接收一个或多个网络地址和/或域名的列表；和
基于所述接收到的所述一个或多个网络地址和/或域名的列表，创建所述标识数据的所述列表。
13.根据权利要求11所述的装置，其中在由所述至少一个处理器执行时促使所述装置生成所述标识数据的所述列表的所述指令进一步促使所述装置：
通过订阅服务从一个或多个网络威胁情报提供者接收网络地址和/或域名的至少一个列表；和
基于所述接收到的网络地址和/或域名的至少一个列表创建所述标识数据的所述列表。
14.根据权利要求11所述的装置，其中在由所述至少一个处理器执行时促使所述装置生成所述标识数据的所述列表的所述指令进一步促使所述装置：
从隐私保护应用程序接收一个或多个网络地址和/或域名的列表；和
基于所述接收到的所述一个或多个网络地址和/或域名的列表，创建所述标识数据的所述列表。
15.根据权利要求11所述的装置，其中在由所述至少一个处理器执行时促使所述装置生成所述标识数据的所述列表的所述指令进一步促使所述装置：
从执法窃听应用程序接收一个或多个网络地址和/或域名的列表；和
基于所述接收到的所述一个或多个网络地址和/或域名的列表，创建所述标识数据的所述列表。
16.根据权利要求11所述的装置，其中在由所述至少一个处理器执行时促使所述装置执行所述对应动作的所述指令进一步促使所述装置：
将与特定的加密的通信流相关联的多个数据包转发到它们的预期目的地，其中在转发之前不对所述多个数据包进行解密。
17.根据权利要求11所述的装置，其中在由所述至少一个处理器执行时促使所述装置生成所述标识数据的所述指令进一步促使所述装置：
接收一个或多个网络地址和/或域名的第一列表，其中一个或多个网络地址和/或域名的所述第一列表指示其对应的加密的通信流将被解密的网络地址和/或域名；
接收一个或多个网络地址和/或域名的第二列表，其中一个或多个网络地址和/或域名的所述第二列表指示其对应的加密的通信流将不被解密的网络地址和/或域名；
为一个或多个网络地址和/或域名的所述第一列表分配第一优先级，为一个或多个网络地址和/或域名的所述第二列表分配第二优先级，其中所述第一优先级不同于所述第二优先级；以及
基于所述第一优先级和所述第二优先级，由一个或多个网络地址和/或域名的所述第一列表和一个或多个网络地址和/或域名的所述第二列表创建标识数据的排序列表。
18.根据权利要求11所述的装置，
其中，所述标识数据的所述列表指示要对所述列表包括的所述标识数据执行的特定动作；
其中，将所述识别出的流标识数据与所述标识数据的所述列表进行比较确定所述标识数据的所述列表中并不包括所述识别出的流标识数据；以及
其中在由所述至少一个处理器执行时促使所述装置执行所述对应动作的所述指令进一步促使所述装置执行由所述标识数据的所述列表指示的所述特定动作之外的动作。
19.根据权利要求18所述的装置，其中除了由所述标识数据的所述列表指示的所述特定动作之外的所述动作包括终止所述加密的通信流。
20.根据权利要求18所述的装置，其中除了由所述列表指示的所述特定动作之外的所述动作进一步促使所述装置：
记录与所述加密的通信流相关联的数据包以进行后续分析；和
将与所述加密的通信流相关联的所述数据包转发到它们相应的预期目的地。
CN201880055475.7A 2017-07-24 2018-07-24 选择性地解密ssl/tls通信的方法和装置 Active CN111034150B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210864326.3A CN115348060A (zh) 2017-07-24 2018-07-24 选择性地解密ssl/tls通信的方法和装置

Applications Claiming Priority (5)

Application Number Priority Date Filing Date Title
US201762536254P 2017-07-24 2017-07-24
US62/536,254 2017-07-24
US16/039,896 2018-07-19
US16/039,896 US10284526B2 (en) 2017-07-24 2018-07-19 Efficient SSL/TLS proxy
PCT/US2018/043367 WO2019023160A1 (en) 2017-07-24 2018-07-24 SSL / TLS SERVER EFFICIENT SERVER

Related Child Applications (1)

Application Number Title Priority Date Filing Date
CN202210864326.3A Division CN115348060A (zh) 2017-07-24 2018-07-24 选择性地解密ssl/tls通信的方法和装置

Publications (2)

Publication Number Publication Date
CN111034150A true CN111034150A (zh) 2020-04-17
CN111034150B CN111034150B (zh) 2022-08-02

Family

ID=65023324

Family Applications (2)

Application Number Title Priority Date Filing Date
CN202210864326.3A Pending CN115348060A (zh) 2017-07-24 2018-07-24 选择性地解密ssl/tls通信的方法和装置
CN201880055475.7A Active CN111034150B (zh) 2017-07-24 2018-07-24 选择性地解密ssl/tls通信的方法和装置

Family Applications Before (1)

Application Number Title Priority Date Filing Date
CN202210864326.3A Pending CN115348060A (zh) 2017-07-24 2018-07-24 选择性地解密ssl/tls通信的方法和装置

Country Status (6)

Country Link
US (1) US10284526B2 (zh)
EP (3) EP4084402B1 (zh)
CN (2) CN115348060A (zh)
AU (2) AU2018307756B2 (zh)
CA (1) CA3069971A1 (zh)
WO (1) WO2019023160A1 (zh)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111711598A (zh) * 2020-04-23 2020-09-25 中国电子科技网络信息安全有限公司 一种面向大规模ssl/tls加密会话流的敏感数据检测系统
CN114553567A (zh) * 2022-02-25 2022-05-27 蚂蚁区块链科技(上海)有限公司 多方安全计算中的网络传输方法和系统
CN114553594A (zh) * 2022-03-24 2022-05-27 浙江网商银行股份有限公司 保护数据安全的方法以及装置
CN115118713A (zh) * 2022-06-20 2022-09-27 山石网科通信技术股份有限公司 数据处理方法、装置及电子设备
CN114553594B (zh) * 2022-03-24 2024-05-14 浙江网商银行股份有限公司 保护数据安全的方法以及装置

Families Citing this family (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11233777B2 (en) * 2017-07-24 2022-01-25 Centripetal Networks, Inc. Efficient SSL/TLS proxy
US10812468B2 (en) * 2017-12-07 2020-10-20 Sonicwall Inc. Dynamic bypass
US10693893B2 (en) * 2018-01-16 2020-06-23 International Business Machines Corporation Detection of man-in-the-middle in HTTPS transactions independent of certificate trust chain
US11418352B2 (en) * 2018-02-21 2022-08-16 Akamai Technologies, Inc. Certificate authority (CA) security model in an overlay network supporting a branch appliance
US10841280B2 (en) * 2018-03-16 2020-11-17 Lightspeed Systems, Inc. User device-based enterprise web filtering
US11363063B2 (en) * 2018-12-28 2022-06-14 Charter Communications Operating, Llc Botnet detection and mitigation
US11677584B2 (en) * 2019-06-17 2023-06-13 Dh2I Company Application TCP tunneling over the public internet
US11356423B2 (en) * 2020-01-14 2022-06-07 Cisco Technology, Inc. Managing encrypted server-name-indication (ESNI) at proxy devices
US11757839B2 (en) * 2020-02-28 2023-09-12 Jonathan Cobb Virtual private network application platform
CN111490985B (zh) * 2020-04-03 2022-02-25 成都安恒信息技术有限公司 一种ssl vpn多服务地址共享系统及共享方法
US11303695B2 (en) * 2020-04-27 2022-04-12 Imperva, Inc. Forced identification with automated POST resubmission
US10924456B1 (en) 2020-07-14 2021-02-16 Centripetal Networks, Inc. Methods and systems for efficient encrypted SNI filtering for cybersecurity applications
US11595352B2 (en) 2020-12-21 2023-02-28 Microsoft Technology Licensing, Llc Performing transport layer security (TLS) termination using categories of web categorization
US20230198938A1 (en) * 2021-12-18 2023-06-22 Microsoft Technology Licensing, Llc Using entity name mapping for routing network traffic having encrypted server name identification (sni) headers
WO2023154072A1 (en) * 2022-02-08 2023-08-17 QuSecure, Inc. System ans methods for switching among communication protocols
CN116032545B (zh) * 2022-12-06 2024-03-22 北京中睿天下信息技术有限公司 一种ssl或tls流量多级过滤方法和系统

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20030088787A1 (en) * 2001-11-07 2003-05-08 Egevang Kjeld Borch Method and apparatus to manage address translation for secure connections
CN103563335A (zh) * 2011-05-05 2014-02-05 阿卡麦科技公司 利用安全连接的结合的cdn反向代理和边缘前向代理
US20140082204A1 (en) * 2012-09-20 2014-03-20 Cisco Technology, Inc. Seamless Engagement and Disengagement of Transport Layer Security Proxy Services
US20140337613A1 (en) * 2013-05-08 2014-11-13 Phantom Technologies, Inc. Selectively performing man in the middle decryption
CN106302391A (zh) * 2016-07-27 2017-01-04 上海华为技术有限公司 一种加密数据传输方法和代理服务器

Family Cites Families (227)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6147976A (en) 1996-06-24 2000-11-14 Cabletron Systems, Inc. Fast network layer packet filter
US6453345B2 (en) 1996-11-06 2002-09-17 Datadirect Networks, Inc. Network security and surveillance system
US6098172A (en) 1997-09-12 2000-08-01 Lucent Technologies Inc. Methods and apparatus for a computer network firewall with proxy reflection
US7143438B1 (en) 1997-09-12 2006-11-28 Lucent Technologies Inc. Methods and apparatus for a computer network firewall with multiple domain support
US6484261B1 (en) 1998-02-17 2002-11-19 Cisco Technology, Inc. Graphical network security policy management
US6279113B1 (en) 1998-03-16 2001-08-21 Internet Tools, Inc. Dynamic signature inspection-based network intrusion detection
US6317837B1 (en) 1998-09-01 2001-11-13 Applianceware, Llc Internal network node with dedicated firewall
US6826694B1 (en) 1998-10-22 2004-11-30 At&T Corp. High resolution access control
US20010039624A1 (en) 1998-11-24 2001-11-08 Kellum Charles W. Processes systems and networks for secured information exchange using computer hardware
CA2287689C (en) 1998-12-03 2003-09-30 P. Krishnan Adaptive re-ordering of data packet filter rules
US6226372B1 (en) 1998-12-11 2001-05-01 Securelogix Corporation Tightly integrated cooperative telecommunications firewall and scanner with distributed capabilities
US6611875B1 (en) 1998-12-31 2003-08-26 Pmc-Sierra, Inc. Control system for high speed rule processors
CN100384191C (zh) 1999-06-10 2008-04-23 阿尔卡塔尔互联网运行公司 基于策略的网络体系结构
US7051365B1 (en) 1999-06-30 2006-05-23 At&T Corp. Method and apparatus for a distributed firewall
EP1107140A3 (en) 1999-11-30 2004-01-28 Hitachi, Ltd. Security system design supporting method
US7215637B1 (en) 2000-04-17 2007-05-08 Juniper Networks, Inc. Systems and methods for processing packets
US7058976B1 (en) 2000-05-17 2006-06-06 Deep Nines, Inc. Intelligent feedback loop process control system
US8204082B2 (en) 2000-06-23 2012-06-19 Cloudshield Technologies, Inc. Transparent provisioning of services over a network
US6907470B2 (en) 2000-06-29 2005-06-14 Hitachi, Ltd. Communication apparatus for routing or discarding a packet sent from a user terminal
US20020164962A1 (en) 2000-07-18 2002-11-07 Mankins Matt W. D. Apparatuses, methods, and computer programs for displaying information on mobile units, with reporting by, and control of, such units
US7152240B1 (en) 2000-07-25 2006-12-19 Green Stuart D Method for communication security and apparatus therefor
US6834342B2 (en) 2000-08-16 2004-12-21 Eecad, Inc. Method and system for secure communication over unstable public connections
US6662235B1 (en) 2000-08-24 2003-12-09 International Business Machines Corporation Methods systems and computer program products for processing complex policy rules based on rule form type
US20020038339A1 (en) 2000-09-08 2002-03-28 Wei Xu Systems and methods for packet distribution
US7129825B2 (en) 2000-09-26 2006-10-31 Caterpillar Inc. Action recommendation system for a mobile vehicle
US20060212572A1 (en) 2000-10-17 2006-09-21 Yehuda Afek Protecting against malicious traffic
US7046680B1 (en) 2000-11-28 2006-05-16 Mci, Inc. Network access system including a programmable access device having distributed service control
US7657628B1 (en) 2000-11-28 2010-02-02 Verizon Business Global Llc External processor for a distributed network access system
CA2430571C (en) 2000-11-30 2011-07-12 Lancope, Inc. Flow-based detection of network intrusions
US7095741B1 (en) 2000-12-20 2006-08-22 Cisco Technology, Inc. Port isolation for restricting traffic flow on layer 2 switches
US20030051026A1 (en) 2001-01-19 2003-03-13 Carter Ernst B. Network surveillance and security system
US7061874B2 (en) 2001-01-26 2006-06-13 Broadcom Corporation Method, system and computer program product for classifying packet flows with a bit mask
FI20010256A0 (fi) 2001-02-12 2001-02-12 Stonesoft Oy Pakettidatayhteystietojen käsittely tietoturvagatewayelementissä
EP1371242A1 (en) 2001-03-14 2003-12-17 Nokia Corporation Method for activating a connection in a communications system, mobile station, network element and packet filter
US7095716B1 (en) 2001-03-30 2006-08-22 Juniper Networks, Inc. Internet security device and method
US20020186683A1 (en) 2001-04-02 2002-12-12 Alan Buck Firewall gateway for voice over internet telephony communications
AUPR435501A0 (en) 2001-04-11 2001-05-17 Firebridge Systems Pty Ltd Network security system
KR100398281B1 (ko) 2001-04-17 2003-09-19 시큐아이닷컴 주식회사 패킷 차단방식 방화벽 시스템에서의 고속 정책 판별 방법
US7227842B1 (en) 2001-04-24 2007-06-05 Tensilica, Inc. Fast IP packet classification with configurable processor
EP1410210A4 (en) 2001-06-11 2005-12-14 Bluefire Security Technology I PACKAGE FILTERING SYSTEM AND METHOD
US6947983B2 (en) 2001-06-22 2005-09-20 International Business Machines Corporation Method and system for exploiting likelihood in filter rule enforcement
US7315892B2 (en) 2001-06-27 2008-01-01 International Business Machines Corporation In-kernel content-aware service differentiation
KR20010079361A (ko) 2001-07-09 2001-08-22 김상욱 네트워크 상태 기반의 방화벽 장치 및 그 방법
US7207062B2 (en) 2001-08-16 2007-04-17 Lucent Technologies Inc Method and apparatus for protecting web sites from distributed denial-of-service attacks
US7331061B1 (en) 2001-09-07 2008-02-12 Secureworks, Inc. Integrated computer security management system and method
US7386525B2 (en) 2001-09-21 2008-06-10 Stonesoft Corporation Data packet filtering
US7325248B2 (en) 2001-11-19 2008-01-29 Stonesoft Corporation Personal firewall with location dependent functionality
FI20012338A0 (fi) 2001-11-29 2001-11-29 Stonesoft Corp Palomuuri tunneloitujen datapakettien suodattamiseksi
US20030123456A1 (en) 2001-12-28 2003-07-03 Denz Peter R. Methods and system for data packet filtering using tree-like hierarchy
US7222366B2 (en) 2002-01-28 2007-05-22 International Business Machines Corporation Intrusion event filtering
US7161942B2 (en) 2002-01-31 2007-01-09 Telcordia Technologies, Inc. Method for distributing and conditioning traffic for mobile networks based on differentiated services
JP3797937B2 (ja) 2002-02-04 2006-07-19 株式会社日立製作所 ネットワーク接続システム、ネットワーク接続方法、および、それらに用いられるネットワーク接続装置
TWI246285B (en) 2002-02-08 2005-12-21 Matsushita Electric Ind Co Ltd Gateway apparatus and its controlling method
US8370936B2 (en) 2002-02-08 2013-02-05 Juniper Networks, Inc. Multi-method gateway-based network security systems and methods
US7185365B2 (en) 2002-03-27 2007-02-27 Intel Corporation Security enabled network access control
US7107613B1 (en) 2002-03-27 2006-09-12 Cisco Technology, Inc. Method and apparatus for reducing the number of tunnels used to implement a security policy on a network
WO2003090019A2 (en) 2002-04-15 2003-10-30 Core Sdi, Incorporated Secure auditing of information systems
GB2387681A (en) 2002-04-18 2003-10-22 Isis Innovation Intrusion detection system with inductive logic means for suggesting new general rules
AUPS214802A0 (en) 2002-05-01 2002-06-06 Firebridge Systems Pty Ltd Firewall with stateful inspection
US20030212900A1 (en) 2002-05-13 2003-11-13 Hsin-Yuo Liu Packet classifying network services
WO2003105009A1 (en) 2002-06-07 2003-12-18 Bellsouth Intellectual Property Corporation Sytems and methods for establishing electronic conferencing over a distributed network
TWI244297B (en) 2002-06-12 2005-11-21 Thomson Licensing Sa Apparatus and method adapted to communicate via a network
US7441262B2 (en) 2002-07-11 2008-10-21 Seaway Networks Inc. Integrated VPN/firewall system
US20040015719A1 (en) 2002-07-16 2004-01-22 Dae-Hyung Lee Intelligent security engine and intelligent and integrated security system using the same
US7684400B2 (en) 2002-08-08 2010-03-23 Intel Corporation Logarithmic time range-based multifield-correlation packet classification
US7263099B1 (en) 2002-08-14 2007-08-28 Juniper Networks, Inc. Multicast packet replication
JP3794491B2 (ja) 2002-08-20 2006-07-05 日本電気株式会社 攻撃防御システムおよび攻撃防御方法
FR2844415B1 (fr) 2002-09-05 2005-02-11 At & T Corp Systeme pare-feu pour interconnecter deux reseaux ip geres par deux entites administratives differentes
CA2500305A1 (en) 2002-10-02 2004-04-15 Richard Reiner Rule creation for computer application screening; application error testing
US7313141B2 (en) 2002-10-09 2007-12-25 Alcatel Lucent Packet sequence number network monitoring system
US7574738B2 (en) 2002-11-06 2009-08-11 At&T Intellectual Property Ii, L.P. Virtual private network crossovers based on certificates
US7454499B2 (en) 2002-11-07 2008-11-18 Tippingpoint Technologies, Inc. Active network defense system and method
US7296288B1 (en) 2002-11-15 2007-11-13 Packeteer, Inc. Methods, apparatuses, and systems allowing for bandwidth management schemes responsive to utilization characteristics associated with individual users
US20040098511A1 (en) 2002-11-16 2004-05-20 Lin David H. Packet routing method and system that routes packets to one of at least two processes based on at least one routing rule
US7050394B2 (en) 2002-12-18 2006-05-23 Intel Corporation Framer
US20050125697A1 (en) 2002-12-27 2005-06-09 Fujitsu Limited Device for checking firewall policy
US7913303B1 (en) 2003-01-21 2011-03-22 International Business Machines Corporation Method and system for dynamically protecting a computer system from attack
US20040193943A1 (en) 2003-02-13 2004-09-30 Robert Angelino Multiparameter network fault detection system using probabilistic and aggregation analysis
US20040177139A1 (en) 2003-03-03 2004-09-09 Schuba Christoph L. Method and apparatus for computing priorities between conflicting rules for network services
US7539186B2 (en) 2003-03-31 2009-05-26 Motorola, Inc. Packet filtering for emergency service access in a packet data network communication system
US7441036B2 (en) 2003-04-01 2008-10-21 International Business Machines Corporation Method and system for a debugging utility based on a TCP tunnel
US7305708B2 (en) 2003-04-14 2007-12-04 Sourcefire, Inc. Methods and systems for intrusion detection
US7681235B2 (en) 2003-05-19 2010-03-16 Radware Ltd. Dynamic network protection
US7509673B2 (en) 2003-06-06 2009-03-24 Microsoft Corporation Multi-layered firewall architecture
US7308711B2 (en) 2003-06-06 2007-12-11 Microsoft Corporation Method and framework for integrating a plurality of network policies
US7710885B2 (en) 2003-08-29 2010-05-04 Agilent Technologies, Inc. Routing monitoring
KR100502068B1 (ko) 2003-09-29 2005-07-25 한국전자통신연구원 네트워크 노드의 보안 엔진 관리 장치 및 방법
US20050108557A1 (en) 2003-10-11 2005-05-19 Kayo David G. Systems and methods for detecting and preventing unauthorized access to networked devices
US7237267B2 (en) 2003-10-16 2007-06-26 Cisco Technology, Inc. Policy-based network security management
US7672318B2 (en) 2003-11-06 2010-03-02 Telefonaktiebolaget L M Ericsson (Publ) Adaptable network bridge
US8839417B1 (en) 2003-11-17 2014-09-16 Mcafee, Inc. Device, system and method for defending a computer network
US20050183140A1 (en) 2003-11-20 2005-08-18 Goddard Stephen M. Hierarchical firewall load balancing and L4/L7 dispatching
US7389532B2 (en) 2003-11-26 2008-06-17 Microsoft Corporation Method for indexing a plurality of policy filters
US7756008B2 (en) 2003-12-19 2010-07-13 At&T Intellectual Property Ii, L.P. Routing protocols with predicted outrage notification
US7523314B2 (en) 2003-12-22 2009-04-21 Voltage Security, Inc. Identity-based-encryption message management system
US20050141537A1 (en) 2003-12-29 2005-06-30 Intel Corporation A Delaware Corporation Auto-learning of MAC addresses and lexicographic lookup of hardware database
US7761923B2 (en) 2004-03-01 2010-07-20 Invensys Systems, Inc. Process control methods and apparatus for intrusion detection, protection and network hardening
US7610621B2 (en) 2004-03-10 2009-10-27 Eric White System and method for behavior-based firewall modeling
US7814546B1 (en) 2004-03-19 2010-10-12 Verizon Corporate Services Group, Inc. Method and system for integrated computer networking attack attribution
US20050229246A1 (en) 2004-03-31 2005-10-13 Priya Rajagopal Programmable context aware firewall with integrated intrusion detection system
US8923292B2 (en) 2004-04-06 2014-12-30 Rockstar Consortium Us Lp Differential forwarding in address-based carrier networks
US20050249214A1 (en) 2004-05-07 2005-11-10 Tao Peng System and process for managing network traffic
JP4341517B2 (ja) 2004-06-21 2009-10-07 日本電気株式会社 セキュリティポリシー管理システム、セキュリティポリシー管理方法およびプログラム
JP2008504737A (ja) 2004-06-23 2008-02-14 クゥアルコム・インコーポレイテッド ネットワークパケットの効率的な分類
US20060031928A1 (en) 2004-08-09 2006-02-09 Conley James W Detector and computerized method for determining an occurrence of tunneling activity
US20060048142A1 (en) 2004-09-02 2006-03-02 Roese John J System and method for rapid response network policy implementation
US8331234B1 (en) 2004-09-08 2012-12-11 Q1 Labs Inc. Network data flow collection and processing
US7478429B2 (en) 2004-10-01 2009-01-13 Prolexic Technologies, Inc. Network overload detection and mitigation system and method
US7490235B2 (en) 2004-10-08 2009-02-10 International Business Machines Corporation Offline analysis of packets
US7509493B2 (en) 2004-11-19 2009-03-24 Microsoft Corporation Method and system for distributing security policies
JP4369351B2 (ja) 2004-11-30 2009-11-18 株式会社日立製作所 パケット転送装置
JP2006174350A (ja) 2004-12-20 2006-06-29 Fujitsu Ltd 通信装置
US7602731B2 (en) 2004-12-22 2009-10-13 Intruguard Devices, Inc. System and method for integrated header, state, rate and content anomaly prevention with policy enforcement
US7607170B2 (en) 2004-12-22 2009-10-20 Radware Ltd. Stateful attack protection
CA2594020C (en) 2004-12-22 2014-12-09 Wake Forest University Method, systems, and computer program products for implementing function-parallel network firewall
US7551567B2 (en) 2005-01-05 2009-06-23 Cisco Technology, Inc. Interpreting an application message at a network element using sampling and heuristics
GB2422505A (en) 2005-01-20 2006-07-26 Agilent Technologies Inc Sampling datagrams
US7792775B2 (en) 2005-02-24 2010-09-07 Nec Corporation Filtering rule analysis method and system
US8042167B2 (en) 2005-03-28 2011-10-18 Wake Forest University Methods, systems, and computer program products for network firewall policy optimization
US20080229415A1 (en) 2005-07-01 2008-09-18 Harsh Kapoor Systems and methods for processing data flows
US8296846B2 (en) 2005-08-19 2012-10-23 Cpacket Networks, Inc. Apparatus and method for associating categorization information with network traffic to facilitate application level processing
US20070083924A1 (en) 2005-10-08 2007-04-12 Lu Hongqian K System and method for multi-stage packet filtering on a networked-enabled device
US7716729B2 (en) 2005-11-23 2010-05-11 Genband Inc. Method for responding to denial of service attacks at the session layer or above
US7661136B1 (en) 2005-12-13 2010-02-09 At&T Intellectual Property Ii, L.P. Detecting anomalous web proxy activity
US8397284B2 (en) 2006-01-17 2013-03-12 University Of Maryland Detection of distributed denial of service attacks in autonomous system domains
US8116312B2 (en) 2006-02-08 2012-02-14 Solarflare Communications, Inc. Method and apparatus for multicast packet reception
WO2007096884A2 (en) 2006-02-22 2007-08-30 Elad Barkan Wireless internet system and method
US7898963B2 (en) 2006-03-07 2011-03-01 Cisco Technology, Inc. Graphical representation of the flow of a packet through a network device
KR101503624B1 (ko) 2006-03-16 2015-03-17 엠.브루베이커 커티스 이동 객체에 하이퍼-관련 광고의 표시를 통한 수익 획득 시스템 및 방법
US20070240208A1 (en) 2006-04-10 2007-10-11 Ming-Che Yu Network appliance for controlling hypertext transfer protocol (HTTP) messages between a local area network and a global communications network
GB2437791A (en) 2006-05-03 2007-11-07 Skype Ltd Secure communication using protocol encapsulation
US8009566B2 (en) 2006-06-26 2011-08-30 Palo Alto Networks, Inc. Packet classification in a network security device
US7966655B2 (en) 2006-06-30 2011-06-21 At&T Intellectual Property Ii, L.P. Method and apparatus for optimizing a firewall
US8639837B2 (en) 2006-07-29 2014-01-28 Blue Coat Systems, Inc. System and method of traffic inspection and classification for purposes of implementing session ND content control
US8446874B2 (en) 2006-08-21 2013-05-21 Samsung Electronics Co., Ltd Apparatus and method for filtering packet in a network system using mobile IP
US8234702B2 (en) 2006-08-29 2012-07-31 Oracle International Corporation Cross network layer correlation-based firewalls
US8385331B2 (en) 2006-09-29 2013-02-26 Verizon Patent And Licensing Inc. Secure and reliable policy enforcement
US7624084B2 (en) 2006-10-09 2009-11-24 Radware, Ltd. Method of generating anomaly pattern for HTTP flood protection
US7768921B2 (en) 2006-10-30 2010-08-03 Juniper Networks, Inc. Identification of potential network threats using a distributed threshold random walk
US8004994B1 (en) 2006-11-01 2011-08-23 Azimuth Systems, Inc. System and method for intelligently analyzing performance of a device under test
US7954143B2 (en) 2006-11-13 2011-05-31 At&T Intellectual Property I, Lp Methods, network services, and computer program products for dynamically assigning users to firewall policy groups
US8176561B1 (en) 2006-12-14 2012-05-08 Athena Security, Inc. Assessing network security risk using best practices
US7835348B2 (en) 2006-12-30 2010-11-16 Extreme Networks, Inc. Method and apparatus for dynamic anomaly-based updates to traffic selection policies in a switch
WO2008093320A1 (en) 2007-01-31 2008-08-07 Tufin Software Technologies Ltd. System and method for auditing a security policy
US7853998B2 (en) 2007-03-22 2010-12-14 Mocana Corporation Firewall propagation
US8209738B2 (en) 2007-05-31 2012-06-26 The Board Of Trustees Of The University Of Illinois Analysis of distributed policy rule-sets for compliance with global policy
US7995584B2 (en) 2007-07-26 2011-08-09 Hewlett-Packard Development Company, L.P. Method and apparatus for detecting malicious routers from packet payload
US8307029B2 (en) 2007-12-10 2012-11-06 Yahoo! Inc. System and method for conditional delivery of messages
US8418240B2 (en) 2007-12-26 2013-04-09 Algorithmic Security (Israel) Ltd. Reordering a firewall rule base according to usage statistics
US8561129B2 (en) 2008-02-28 2013-10-15 Mcafee, Inc Unified network threat management with rule classification
US9298747B2 (en) 2008-03-20 2016-03-29 Microsoft Technology Licensing, Llc Deployable, consistent, and extensible computing environment platform
US8346225B2 (en) 2009-01-28 2013-01-01 Headwater Partners I, Llc Quality of service for device assisted services
US8856926B2 (en) 2008-06-27 2014-10-07 Juniper Networks, Inc. Dynamic policy provisioning within network security devices
US8490171B2 (en) 2008-07-14 2013-07-16 Tufin Software Technologies Ltd. Method of configuring a security gateway and system thereof
US8161155B2 (en) 2008-09-29 2012-04-17 At&T Intellectual Property I, L.P. Filtering unwanted data traffic via a per-customer blacklist
US8572717B2 (en) 2008-10-09 2013-10-29 Juniper Networks, Inc. Dynamic access control policy with port restrictions for a network security appliance
US20100107240A1 (en) 2008-10-24 2010-04-29 Microsoft Corporation Network location determination for direct access networks
US8850571B2 (en) 2008-11-03 2014-09-30 Fireeye, Inc. Systems and methods for detecting malicious network content
US8272029B2 (en) 2008-11-25 2012-09-18 At&T Intellectual Property I, L.P. Independent role based authorization in boundary interface elements
US20100199346A1 (en) 2009-02-02 2010-08-05 Telcordia Technologies, Inc. System and method for determining symantic equivalence between access control lists
US8468220B2 (en) 2009-04-21 2013-06-18 Techguard Security Llc Methods of structuring data, pre-compiled exception list engines, and network appliances
US8588422B2 (en) 2009-05-28 2013-11-19 Novell, Inc. Key management to protect encrypted data of an endpoint computing device
US8098677B1 (en) 2009-07-31 2012-01-17 Anue Systems, Inc. Superset packet forwarding for overlapping filters and related systems and methods
US8495725B2 (en) 2009-08-28 2013-07-23 Great Wall Systems Methods, systems, and computer readable media for adaptive packet filtering
US7890627B1 (en) 2009-09-02 2011-02-15 Sophos Plc Hierarchical statistical model of internet reputation
US9413616B2 (en) 2009-10-14 2016-08-09 Hewlett Packard Enterprise Development Lp Detection of network address spoofing and false positive avoidance
WO2011052136A1 (en) 2009-10-30 2011-05-05 Panasonic Corporation Communication system and apparatus for status dependent mobile services
US8254257B2 (en) 2009-12-11 2012-08-28 At&T Intellectual Property I, Lp System and method for location, time-of-day, and quality-of-service based prioritized access control
US8438270B2 (en) 2010-01-26 2013-05-07 Tenable Network Security, Inc. System and method for correlating network identities and addresses
US8793789B2 (en) 2010-07-22 2014-07-29 Bank Of America Corporation Insider threat correlation tool
JP5408332B2 (ja) 2010-03-10 2014-02-05 富士通株式会社 中継装置および通信プログラム
US8549650B2 (en) 2010-05-06 2013-10-01 Tenable Network Security, Inc. System and method for three-dimensional visualization of vulnerability and asset data
EP2385676B1 (en) 2010-05-07 2019-06-26 Alcatel Lucent Method for adapting security policies of an information system infrastructure
US8510821B1 (en) 2010-06-29 2013-08-13 Amazon Technologies, Inc. Tiered network flow analysis
US8935785B2 (en) 2010-09-24 2015-01-13 Verisign, Inc IP prioritization and scoring system for DDoS detection and mitigation
EP2437442B1 (en) 2010-09-30 2013-02-13 Alcatel Lucent Device and method for switching data traffic in a digital transmission network
US8806638B1 (en) 2010-12-10 2014-08-12 Symantec Corporation Systems and methods for protecting networks from infected computing devices
US9052898B2 (en) 2011-03-11 2015-06-09 Qualcomm Incorporated Remote access and administration of device content, with device power optimization, using HTTP protocol
US8726376B2 (en) 2011-03-11 2014-05-13 Openet Telecom Ltd. Methods, systems and devices for the detection and prevention of malware within a network
US8261295B1 (en) 2011-03-16 2012-09-04 Google Inc. High-level language for specifying configurations of cloud-based deployments
US10200270B2 (en) 2011-04-28 2019-02-05 Voipfuture Gmbh Correlation of media plane and signaling plane of media services in a packet-switched network
US9215237B2 (en) 2011-05-23 2015-12-15 Nec Corporation Communication system, control device, communication method, and program
US8621556B1 (en) 2011-05-25 2013-12-31 Palo Alto Networks, Inc. Dynamic resolution of fully qualified domain name (FQDN) address objects in policy definitions
US9118702B2 (en) 2011-05-31 2015-08-25 Bce Inc. System and method for generating and refining cyber threat intelligence data
US8995360B2 (en) 2011-06-09 2015-03-31 Time Warner Cable Enterprises Llc Techniques for prefix subnetting
US8683573B2 (en) 2011-06-27 2014-03-25 International Business Machines Corporation Detection of rogue client-agnostic nat device tunnels
US9843601B2 (en) 2011-07-06 2017-12-12 Nominum, Inc. Analyzing DNS requests for anomaly detection
US8726379B1 (en) 2011-07-15 2014-05-13 Norse Corporation Systems and methods for dynamic protection from electronic attacks
WO2013055807A1 (en) 2011-10-10 2013-04-18 Global Dataguard, Inc Detecting emergent behavior in communications networks
US8856936B2 (en) 2011-10-14 2014-10-07 Albeado Inc. Pervasive, domain and situational-aware, adaptive, automated, and coordinated analysis and control of enterprise-wide computers, networks, and applications for mitigation of business and operational risks and enhancement of cyber security
US8930690B2 (en) 2012-03-21 2015-01-06 Microsoft Corporation Offloading packet processing for networking device virtualization
US20130291100A1 (en) 2012-04-30 2013-10-31 Sundaram S. Ganapathy Detection And Prevention Of Machine-To-Machine Hijacking Attacks
US9548962B2 (en) 2012-05-11 2017-01-17 Alcatel Lucent Apparatus and method for providing a fluid security layer
US9392003B2 (en) 2012-08-23 2016-07-12 Raytheon Foreground Security, Inc. Internet security cyber threat reporting system and method
US9386030B2 (en) 2012-09-18 2016-07-05 Vencore Labs, Inc. System and method for correlating historical attacks with diverse indicators to generate indicator profiles for detecting and predicting future network attacks
US9565213B2 (en) 2012-10-22 2017-02-07 Centripetal Networks, Inc. Methods and systems for protecting a secured network
US9137205B2 (en) 2012-10-22 2015-09-15 Centripetal Networks, Inc. Methods and systems for protecting a secured network
US9203806B2 (en) 2013-01-11 2015-12-01 Centripetal Networks, Inc. Rule swapping in a packet network
EP2953298B1 (en) 2013-01-30 2018-03-21 Nippon Telegraph and Telephone Corporation Log analysis device, information processing method and program
US9077702B2 (en) 2013-01-30 2015-07-07 Palo Alto Networks, Inc. Flow ownership assignment in a distributed processor system
US9154502B2 (en) 2013-01-31 2015-10-06 Google Inc. Accessing objects in hosted storage
US9124552B2 (en) 2013-03-12 2015-09-01 Centripetal Networks, Inc. Filtering network data transfers
US9094445B2 (en) 2013-03-15 2015-07-28 Centripetal Networks, Inc. Protecting networks from cyber attacks and overloading
US9407519B2 (en) 2013-03-15 2016-08-02 Vmware, Inc. Virtual network flow monitoring
US9172627B2 (en) 2013-03-15 2015-10-27 Extreme Networks, Inc. Device and related method for dynamic traffic mirroring
US9338134B2 (en) 2013-03-27 2016-05-10 Fortinet, Inc. Firewall policy management
US8739243B1 (en) 2013-04-18 2014-05-27 Phantom Technologies, Inc. Selectively performing man in the middle decryption
US9419942B1 (en) 2013-06-05 2016-08-16 Palo Alto Networks, Inc. Destination domain extraction for secure protocols
US20150033336A1 (en) 2013-07-24 2015-01-29 Fortinet, Inc. Logging attack context data
DE102013216847B4 (de) 2013-08-23 2023-06-01 Siemens Mobility GmbH Verfahren, Vorrichtung und System zur Überwachung einer Sicherheits-Netzübergangseinheit
JP6201614B2 (ja) 2013-10-11 2017-09-27 富士通株式会社 ログ分析装置、方法およびプログラム
US9392007B2 (en) 2013-11-04 2016-07-12 Crypteia Networks S.A. System and method for identifying infected networks and systems from unknown attacks
US9516049B2 (en) 2013-11-13 2016-12-06 ProtectWise, Inc. Packet capture and network traffic replay
US8832832B1 (en) 2014-01-03 2014-09-09 Palantir Technologies Inc. IP reputation
US9886581B2 (en) 2014-02-25 2018-02-06 Accenture Global Solutions Limited Automated intelligence graph construction and countermeasure deployment
US20150256431A1 (en) 2014-03-07 2015-09-10 Cisco Technology, Inc. Selective flow inspection based on endpoint behavior and random sampling
US9462008B2 (en) 2014-05-16 2016-10-04 Cisco Technology, Inc. Identifying threats based on hierarchical classification
US20150350229A1 (en) 2014-05-29 2015-12-03 Singularity Networks, Inc. Network Threat Detection and Mitigation Using a Domain Name Service and Network Transaction Data
US10469514B2 (en) 2014-06-23 2019-11-05 Hewlett Packard Enterprise Development Lp Collaborative and adaptive threat intelligence for computer security
US9306818B2 (en) 2014-07-17 2016-04-05 Cellos Software Ltd Method for calculating statistic data of traffic flows in data network and probe thereof
US9450972B2 (en) 2014-07-23 2016-09-20 Cisco Technology, Inc. Network attack detection using combined probabilities
US9531672B1 (en) 2014-07-30 2016-12-27 Palo Alto Networks, Inc. Network device implementing two-stage flow information aggregation
PL3095034T3 (pl) 2014-10-21 2019-11-29 Ironnet Cybersecurity Inc Układ zabezpieczeń cybernetycznych
US20160119365A1 (en) 2014-10-28 2016-04-28 Comsec Consulting Ltd. System and method for a cyber intelligence hub
US10484405B2 (en) 2015-01-23 2019-11-19 Cisco Technology, Inc. Packet capture for anomalous traffic flows
US10764162B2 (en) 2015-03-25 2020-09-01 Gigamon Inc. In-fabric traffic analysis
US9667656B2 (en) 2015-03-30 2017-05-30 Amazon Technologies, Inc. Networking flow logs for multi-tenant environments

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20030088787A1 (en) * 2001-11-07 2003-05-08 Egevang Kjeld Borch Method and apparatus to manage address translation for secure connections
CN103563335A (zh) * 2011-05-05 2014-02-05 阿卡麦科技公司 利用安全连接的结合的cdn反向代理和边缘前向代理
US20140082204A1 (en) * 2012-09-20 2014-03-20 Cisco Technology, Inc. Seamless Engagement and Disengagement of Transport Layer Security Proxy Services
US20140337613A1 (en) * 2013-05-08 2014-11-13 Phantom Technologies, Inc. Selectively performing man in the middle decryption
CN106302391A (zh) * 2016-07-27 2017-01-04 上海华为技术有限公司 一种加密数据传输方法和代理服务器

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111711598A (zh) * 2020-04-23 2020-09-25 中国电子科技网络信息安全有限公司 一种面向大规模ssl/tls加密会话流的敏感数据检测系统
CN114553567A (zh) * 2022-02-25 2022-05-27 蚂蚁区块链科技(上海)有限公司 多方安全计算中的网络传输方法和系统
CN114553567B (zh) * 2022-02-25 2024-02-06 蚂蚁区块链科技(上海)有限公司 多方安全计算中的网络传输方法、系统、存储介质及计算设备
CN114553594A (zh) * 2022-03-24 2022-05-27 浙江网商银行股份有限公司 保护数据安全的方法以及装置
CN114553594B (zh) * 2022-03-24 2024-05-14 浙江网商银行股份有限公司 保护数据安全的方法以及装置
CN115118713A (zh) * 2022-06-20 2022-09-27 山石网科通信技术股份有限公司 数据处理方法、装置及电子设备

Also Published As

Publication number Publication date
EP3659316B1 (en) 2022-08-03
US20190028439A1 (en) 2019-01-24
EP4084402B1 (en) 2024-03-06
AU2018307756B2 (en) 2023-07-20
EP4366269A2 (en) 2024-05-08
CN111034150B (zh) 2022-08-02
WO2019023160A1 (en) 2019-01-31
CN115348060A (zh) 2022-11-15
AU2023251475A1 (en) 2023-11-09
CA3069971A1 (en) 2019-01-31
EP4084402A1 (en) 2022-11-02
AU2018307756A1 (en) 2020-02-13
US10284526B2 (en) 2019-05-07
EP3659316A1 (en) 2020-06-03

Similar Documents

Publication Publication Date Title
CN111034150B (zh) 选择性地解密ssl/tls通信的方法和装置
US11463405B2 (en) Methods and systems for efficient encrypted SNI filtering for cybersecurity applications
US11824879B2 (en) Rule-based network-threat detection for encrypted communications
US10003616B2 (en) Destination domain extraction for secure protocols
US10432588B2 (en) Systems and methods for improving HTTPS security
US11233777B2 (en) Efficient SSL/TLS proxy
US10778708B1 (en) Method and apparatus for detecting effectiveness of security controls

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
CP01 Change in the name or title of a patent holder
CP01 Change in the name or title of a patent holder

Address after: New Hampshire

Patentee after: Xiangxin Network Co.,Ltd.

Address before: New Hampshire

Patentee before: Centripetal network Co.

TR01 Transfer of patent right
TR01 Transfer of patent right

Effective date of registration: 20230410

Address after: Ireland Galway

Patentee after: Xiangxin Co.,Ltd.

Address before: New Hampshire

Patentee before: Xiangxin Network Co.,Ltd.