CN113726917B - 域名确定方法、装置和电子设备 - Google Patents
域名确定方法、装置和电子设备 Download PDFInfo
- Publication number
- CN113726917B CN113726917B CN202010455858.2A CN202010455858A CN113726917B CN 113726917 B CN113726917 B CN 113726917B CN 202010455858 A CN202010455858 A CN 202010455858A CN 113726917 B CN113726917 B CN 113726917B
- Authority
- CN
- China
- Prior art keywords
- server
- domain name
- data stream
- data packet
- access control
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000000034 method Methods 0.000 title claims abstract description 78
- 238000012545 processing Methods 0.000 claims abstract description 32
- 238000013507 mapping Methods 0.000 claims description 46
- 230000000903 blocking effect Effects 0.000 claims description 36
- 230000008569 process Effects 0.000 claims description 24
- 238000004458 analytical method Methods 0.000 claims description 14
- 230000005540 biological transmission Effects 0.000 claims description 12
- 230000006870 function Effects 0.000 description 35
- 238000010586 diagram Methods 0.000 description 16
- 238000004590 computer program Methods 0.000 description 11
- 238000004891 communication Methods 0.000 description 9
- 230000015654 memory Effects 0.000 description 9
- 238000007726 management method Methods 0.000 description 7
- 230000009471 action Effects 0.000 description 6
- 238000001914 filtration Methods 0.000 description 5
- 230000003578 releasing effect Effects 0.000 description 5
- 230000006399 behavior Effects 0.000 description 4
- 230000004044 response Effects 0.000 description 4
- 230000004048 modification Effects 0.000 description 3
- 238000012986 modification Methods 0.000 description 3
- 238000009472 formulation Methods 0.000 description 2
- 230000014509 gene expression Effects 0.000 description 2
- 230000007246 mechanism Effects 0.000 description 2
- 239000000203 mixture Substances 0.000 description 2
- 230000003287 optical effect Effects 0.000 description 2
- 239000000758 substrate Substances 0.000 description 2
- 238000012546 transfer Methods 0.000 description 2
- 238000013519 translation Methods 0.000 description 2
- 108010001267 Protein Subunits Proteins 0.000 description 1
- 230000008901 benefit Effects 0.000 description 1
- 230000003139 buffering effect Effects 0.000 description 1
- 238000011161 development Methods 0.000 description 1
- 238000005516 engineering process Methods 0.000 description 1
- 239000000835 fiber Substances 0.000 description 1
- 230000036541 health Effects 0.000 description 1
- 230000003993 interaction Effects 0.000 description 1
- 239000004973 liquid crystal related substance Substances 0.000 description 1
- 230000008520 organization Effects 0.000 description 1
- 238000004806 packaging method and process Methods 0.000 description 1
- 238000003672 processing method Methods 0.000 description 1
- 239000004065 semiconductor Substances 0.000 description 1
- 108020001568 subdomains Proteins 0.000 description 1
- 238000012795 verification Methods 0.000 description 1
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L61/00—Network arrangements, protocols or services for addressing or naming
- H04L61/45—Network directories; Name-to-address mapping
- H04L61/4505—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols
- H04L61/4511—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols using domain name system [DNS]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L61/00—Network arrangements, protocols or services for addressing or naming
- H04L61/09—Mapping addresses
- H04L61/10—Mapping addresses of different types
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/16—Implementing security features at a particular protocol layer
- H04L63/166—Implementing security features at a particular protocol layer at the transport layer
Landscapes
- Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
本公开的实施例提供了一种域名确定方法、装置和电子设备，该方法包括获取数据流中至少部分数据包；通过处理至少部分数据包确定服务器端的数字证书；以及通过解析数字证书确定服务器端的域名信息；其中，至少部分数据包包括电子设备与服务器端之间基于指定协议进行握手来产生的数据包。
Description
技术领域
本公开涉及互联网技术领域，更具体地，涉及一种域名确定方法、装置和电子设备。
背景技术
为了促进互联网信息技术健康有序发展，用户和信息服务商需要遵守当地法规，如遵守《互联网信息服务管理方法》等。对于不满足法规要求的信息传输行为需进行阻断，例如，在终端安全管理系统中，需要对用户访问的某些域名的数据流进行阻断。
在实现本公开构思的过程中，发明人发现现有技术中至少存在如下问题：随着基于安全套接层的超文本传输协议(hyper text transfer protocol over secure socketlayer，简称https)的广泛应用，绝大部分包含域名信息的数据流都经过了安全套接层(Secure Socket Layer，SSL)协议加密。因此终端安全管理系统无法直接从数据流中获取用户所访问的域名信息，进而无法快速对违反当地法规的信息传输行为进行阻断。
发明内容
有鉴于此，本公开实施例提供了一种从基于SSL协议加密的数据流中确定访问域名信息的域名确定方法、装置、许可证解密方法、装置和电子设备。
本公开实施例的一个方面提供了一种由电子设备执行的域名确定方法，包括：获取数据流中至少部分数据包(Packet)。然后，通过处理至少部分数据包确定服务器端的数字证书。接着，通过解析数字证书确定服务器端的域名信息。其中，至少部分数据包包括电子设备与服务器端之间基于指定协议进行握手来产生的数据包。
根据本公开的实施例，通过对基于指定协议加密的数据流进行解析，确定被访问的服务器端的数字证书，该数字证书中包括服务器端的域名信息，这样可以基于该数字证书中包括的域名信息确定该数据流是否符合当地法规的要求，便于基于该域名信息实现访问控制。
根据本公开的实施例，获取数据流中至少部分数据包包括注册钩子(hook)函数；通过钩子函数从数据流中获取基于指定协议加密的数据包；从基于指定协议加密的数据包中确定握手报文；以及将握手报文作为至少部分数据包。或者，获取数据流中至少部分数据包包括在网络驱动中获取数据流中至少部分数据包。
根据本公开的实施例，握手报文是服务器端发送给电子设备的。
根据本公开的实施例，通过处理至少部分数据包确定服务器端的数字证书包括：控制内核将至少部分数据包发送给用户态的程序；以及控制用户态的程序处理至少部分数据包确定服务器端发送的数字证书。或者，通过处理至少部分数据包确定服务器端的数字证书包括：控制内核处理至少部分数据包确定服务器端发送的数字证书。
根据本公开的实施例，上述方法还包括：在确定服务器端的域名信息之后，进行域名策略匹配，以进行访问控制。
根据本公开的实施例，进行域名策略匹配，以进行访问控制包括：生成服务器地址访问策略；以及基于服务器地址访问策略进行策略匹配，以进行访问控制。
根据本公开的实施例，上述方法还包括：在控制内核生成服务器地址访问策略之后，缓存第一映射关系，第一映射关系是所述服务器地址访问策略中服务器地址和控制方式之间的映射关系，控制方式包括放行或者阻断。相应地，基于所述服务器地址访问策略进行策略匹配，以进行访问控制包括：控制内核基于所述第一映射关系和数据流中服务器地址进行访问控制。
根据本公开的实施例，生成服务器地址访问策略包括：控制用户态的程序基于服务器端的域名信息生成服务器地址访问策略。相应地，基于服务器地址访问策略进行策略匹配，以进行访问控制包括：控制用户态的程序将服务器地址访问策略发送给内核；以及控制内核基于服务器地址访问策略对数据流中服务器地址进行匹配，以进行访问控制。
根据本公开的实施例，上述方法还包括：控制用户态的程序将服务器地址访问策略发送给内核之后，缓存第一映射关系，第一映射关系是服务器地址访问策略中服务器地址和控制方式之间的映射关系，控制方式包括放行或者阻断；控制内核基于第一映射关系和数据流中服务器地址进行访问控制。
根据本公开的实施例，控制内核基于服务器地址访问策略对数据流中服务器地址进行匹配，以进行访问控制，包括：通过钩子函数返回放行参数或者阻断参数，以放行数据流或者阻断数据流。
根据本公开的实施例，通过解析数字证书确定服务器端的域名信息包括：解析数字证书，以确定服务器端的标识信息；以及基于服务器端的标识信息确定服务器端的域名信息。
本公开实施例的另一方面提供了一种域名确定装置，包括：数据包获取模块、数据包处理模块和数字证书解析模块。其中，数据包获取模块用于获取数据流中至少部分数据包，至少部分数据包包括电子设备与服务器端之间基于指定协议进行握手来产生的数据包。数据包处理模块用于通过处理至少部分数据包确定服务器端的数字证书。数字证书解析模块用于解析数字证书以确定服务器端的域名信息。
根据本公开的实施例，数据包获取模块包括：注册子模块、第一获取子模块、握手报文确定子模块和数据包确定子模块。其中，注册子模块用于注册钩子函数。第一获取子模块用于通过钩子函数从数据流中获取基于指定协议加密的数据包。握手报文确定子模块用于从基于指定协议加密的数据包中确定握手报文。数据包确定子模块用于将握手报文作为至少部分数据包。或者，数据包获取模块包括：第二获取子模块，第二获取子模块用于在网络驱动中获取数据流中至少部分数据包。
根据本公开的实施例，握手报文是服务器端发送给电子设备的。
根据本公开的实施例，数据包处理模块包括：数据包发送子模块和第一数据包解析子模块。其中，数据包发送子模块用于控制内核将至少部分数据包发送给用户态的程序。第一数据包解析子模块用于控制用户态的程序处理至少部分数据包确定服务器端发送的数字证书。或者，数据包处理模块包括第二数据包解析子模块，该第二数据包解析子模块用于控制内核处理至少部分数据包确定服务器端发送的数字证书。
根据本公开的实施例，装置还包括：访问控制模块。其中，访问控制模块用于在确定服务器端的域名信息之后，进行域名策略匹配，以进行访问控制。
根据本公开的实施例，访问控制模块包括：策略生成子模块、控制子模块。其中，策略生成子模块用于生成服务器地址访问策略。控制子模块用于基于服务器地址访问策略进行策略匹配，以进行访问控制。
根据本公开的实施例，装置还包括第一缓存模块。第一缓存模块用于在控制内核生成服务器地址访问策略之后，缓存第一映射关系，第一映射关系是所述服务器地址访问策略中服务器地址和控制方式之间的映射关系，控制方式包括放行或者阻断。控制子模块具体用于控制内核基于第一映射关系和数据流中服务器地址进行访问控制。
根据本公开的实施例，策略生成子模块具体用于控制用户态的程序基于服务器端的域名信息生成服务器地址访问策略。控制子模块包括：策略发送单元和访问控制单元。其中，策略发送单元用于控制用户态的程序将服务器地址访问策略发送给内核。访问控制单元用于控制内核基于服务器地址访问策略对数据流中服务器地址进行匹配，以进行访问控制。
根据本公开的实施例，装置还包括第二缓存模块。第二缓存模块用于控制用户态的程序将服务器地址访问策略发送给内核之后，缓存第一映射关系，第一映射关系是服务器地址访问策略中服务器地址和控制方式之间的映射关系，控制方式包括放行或者阻断。控制子模块具体用于控制内核基于第一映射关系和数据流中服务器地址进行访问控制。
根据本公开的实施例，访问控制单元具体用于通过钩子函数返回放行参数或者阻断参数，以放行数据流或者阻断数据流。
根据本公开的实施例，数字证书解析模块包括：证书解析子模块和域名信息确定子模块。其中，证书解析子模块用于解析数字证书，以确定服务器端的标识信息。域名信息确定子模块用于基于服务器端的标识信息确定服务器端的域名信息。
本公开实施例的另一方面提供了一种电子设备，包括一个或多个处理器以及存储装置，其中，上述存储装置用于存储可执行指令，上述可执行指令在被上述处理器执行时，实现本公开实施例的方法。
本公开实施例的另一方面提供了一种计算机可读存储介质，存储有计算机可执行指令，上述指令在被处理器执行时用于实现本公开实施例的方法。
本公开实施例的另一方面提供了一种计算机程序，所述计算机程序包括计算机可执行指令，所述指令在被执行时用于实现本公开实施例的方法。
附图说明
通过以下参照附图对本公开实施例的描述，本公开的上述以及其他目的、特征和优点将更为清楚，在附图中：
图1示意性示出了根据本公开实施例的域名确定方法、装置和电子设备的应用场景；
图2示意性示出了根据本公开实施例适用于域名确定方法、装置和电子设备的架构图；
图3示意性示出了根据本公开实施例的域名确定方法的流程图；
图4示意性示出了根据本公开实施例的获取数据包的示意图；
图5示意性示出了根据本公开实施例的握手报文的示意图；
图6示意性示出了根据本公开另一实施例的域名确定方法的流程图；
图7示意性示出了根据本公开实施例的域名确定方法的数据流图；
图8示意性示出了根据本公开实施例的域名确定装置的框图；以及
图9示意性示出了根据本公开实施例的电子设备的框图。
具体实施方式
以下，将参照附图来描述本公开的实施例。但是应该理解，这些描述只是示例性的，而并非要限制本公开的范围。在下面的详细描述中，为便于解释，阐述了许多具体的细节以提供对本公开实施例的全面理解。然而，明显地，一个或多个实施例在没有这些具体细节的情况下也可以被实施。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本公开的概念。
在此使用的术语仅仅是为了描述具体实施例，而并非意在限制本公开。在此使用的术语“包括”、“包含”等表明了所述特征、步骤、操作和/或部件的存在，但是并不排除存在或添加一个或多个其他特征、步骤、操作或部件。
在此使用的所有术语(包括技术和科学术语)具有本领域技术人员通常所理解的含义，除非另外定义。应注意，这里使用的术语应解释为具有与本说明书的上下文相一致的含义，而不应以理想化或过于刻板的方式来解释。
在使用类似于“A、B和C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B和C中至少一个的系统”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的系统等)。在使用类似于“A、B或C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B或C中至少一个的系统”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的系统等)。本领域技术人员还应理解，实质上任意表示两个或更多可选项目的转折连词和/或短语，无论是在说明书、权利要求书还是附图中，都应被理解为给出了包括这些项目之一、这些项目任一方、或两个项目的可能性。例如，短语“A或B”应当被理解为包括“A”或“B”、或“A和B”的可能性。术语“第一”、“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”的特征可以明示或者隐含地包括一个或者更多个所述特征。
为了便于更好地理解本公开的实施例，首先对相关技术中确定域名信息的方法进行说明。通过解析终端(电子设备)中的基于域名系统(Domain Name System，简称DNS)协议的数据流，获取需要进行阻断的域名对应的网际互联协议(Internet Protocol，简称IP)地址。通过阻断发往该IP地址的访问实现阻断用户访问。由于一个域名可能存在很多子域名，相关技术无法准确地：通过解析基于DNS协议的数据流获取到的域名信息来确定是否需要进行数据流阻断。
本公开的实施例提供了一种域名确定方法、域名确定装置、计算设备和介质。该方法包括数字证书确定过程和域名信息确定过程。在数字证书确定过程中，获取数据流中至少部分数据包，然后，通过处理至少部分数据包确定服务器端的数字证书，其中，至少部分数据包包括电子设备与服务器端之间基于指定协议进行握手来产生的数据包。在完成数字证书确定过程之后，进入域名信息确定过程，通过解析数字证书确定服务器端的域名信息。
本公开的实施例通过截取并解析一部分基于指定协议传输的数据流的数据包，得到用户所访问服务器端的数字证书(如SSL证书)信息。通过对如数字证书进行解析获取到服务器的数字证书中的域名信息，从而便于实现对不符合当地法规的域名的访问进行阻断。
图1示意性示出了根据本公开实施例的域名确定方法、装置和电子设备的应用场景。
如图1所示，终端设备基于指定协议(如HTTPS)与服务器通讯时，数据流是基于SSL协议进行加密后的，使得终端安全管理系统不便于确定终端设备当前访问的服务器端的域名信息，不便于进行访问控制。本公开的实施例，通过从数据流中获取服务器的数字证书，进而确定当前访问的服务器的域名信息，进而便于确定当前访问行为是否符合当地法规，对不符合当地法规的访问行为进行阻断，如阻断来自不符合当地法规的域名信息的服务器的数据流。
图2示意性示出了根据本公开实施例适用于域名确定方法、装置和电子设备的架构图。
需要注意的是，图2所示仅为可以应用本公开实施例的系统架构的示例，以帮助本领域技术人员理解本公开的技术内容，但并不意味着本公开实施例不可以用于其他设备、系统、环境或场景。
如图2所示，根据该实施例的系统架构200可以包括终端设备201、202、203，网络204、服务器205。网络204用以在终端设备201、202、203、服务器205之间提供通信链路的介质。网络204可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。
用户可以使用终端设备201、202、203通过网络204和服务器205交互，以接收或发送消息等。终端设备201、202、203上可以安装有各种通讯客户端应用及其许可证，例如防火墙类应用及防火墙服务器端颁发的许可证、查毒/杀毒类应用及查毒/杀毒类应用的服务器端颁发的许可证、购物类应用、网页浏览器应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件等(仅为示例)。
终端设备201、202、203可以是具有显示屏并且支持网页浏览的各种计算设备，包括但不限于智能手机、平板电脑、虚拟现实设备、膝上型便携计算机和台式计算机等等。
服务器205可以具有数字证书，如SSL证书，用于证明自身的身份。服务器205可以是提供各种服务的服务器，例如对用户利用终端设备201、202、203所使用的应用提供支持的后台管理服务器(仅为示例)。后台管理服务器可以对接收到的用户请求等数据进行分析等处理，并将处理结果(例如根据用户请求获取或生成的网页、信息、或数据等)反馈给终端设备。
需要说明的是，本公开实施例所提供的网络攻击分析方法一般可以由终端设备201、202、203执行。相应地，本公开实施例所提供的网络攻击分析装置一般可以设置于终端设备201、202、203中。应该理解，终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。
图3示意性示出了根据本公开实施例的域名确定方法的流程图。
如图3所示，该由服务器端执行的域名确定方法可以包括操作S301～操作S305。
在操作S301，获取数据流中至少部分数据包。
在本实施例中，至少部分数据包可以包括电子设备与服务器端之间基于指定协议进行握手来产生的数据包。其中，指定协议可以包括HTTPS协议、传输层安全(TransportLayer Security，简称TLS)协议、SSL协议等可以对数据流进行加密的通信协议。
在一个实施例中，以TLS协议为例进行说明。TLS协议处于传输层和应用层之间，在SSL协议的基础上发展而来，为信息传输提供认证、机密性和完整性等安全服务。握手协议是TLS的核心部分，它完成客户端和服务端之间的密码算法协商、认证和会话密钥生成等功能，是通信双方进行数据安全传输的前提。TLS握手协议基于公钥基础设施(Public KeyInfrastructure，简称PKI)颁发的数字证书实现认证和密钥交换。
因此，可以基于TLS协议确定服务器端的域名信息。例如，获取包括基于TLS协议进行握手的握手包(简称TLS握手包)信息的数据包，解析TLS握手包中的数字证书，以便于基于TLS握手包中的数字证书获取域名。基于TLS协议确定服务器端的域名信息的方式可以适用多种不同操作系统，包括但不限于：Linux系统、Windows系统等。
例如，基于netfilter hook截取数据包的方式，或者基于netlink截取数据包的方式可以适用于Linux系统。又例如，Windows系统可以在网络驱动中实现数据包截取功能。需要说明的是，上述截取数据包的方式仅为示例性举例，其它多种可以实现从数据流中截取基于TLS协议进行握手的握手包(简称TLS握手包)的方式同样适用。
以Linux系统为例进行说明，获取数据流中至少部分数据包可以包括如下操作。首先，注册钩子函数。然后，通过钩子函数从数据流中获取基于指定协议加密的数据包。接着，从基于指定协议加密的数据包中确定握手报文。然后，将握手报文作为至少部分数据包。
具体地，通过在Linux内核Netfilter子系统注册钩子函数，截取本机收发流量。Netfilter是一种通用的抽象的框架，提供一整套的钩子函数的管理机制，使得实现数据包过滤、网络地址转换(NAT)和基于协议类型的连接跟踪成为了可能。内核防火墙框架，该框架可实现安全策略应用中的许多功能，如数据包过滤、数据包处理、地址伪装、透明代理、动态网络地址转换NAT以及基于用户及媒体访问控制(Media Access Control，简称MAC)地址的过滤和基于状态的过滤、包速率限制等。Netfilter的架构就是在数据包的传输过程中的若干位置放置了一些钩子点，而在每个钩子点上登记了一些处理函数，以便于对勾取的各数据包进行处理。
图4示意性示出了根据本公开实施例的获取数据包的示意图。
如图4所示，数据包从数据包入口传输给电子设备后，经路由判决该数据包是传输给上层协议栈还是传输至数据包出口。上层协议栈处理后的数据包由路由判决是否传输至数据包出口。如上所示的数据传输结构中，可以设置5个钩子点，如设置在获取点1、2、3、4、5处。这样可以获取接收的数据包、上传至上层协议栈的数据包、直接输出的数据包、上层协议栈输出的数据包和电子设备输出的数据包。在每个钩子点都可以让netfilter放置一个hook函数，把经过的数据包钓上来，与相应的规则链进行比较，并根据审查的结果，决定针对该数据包的操作。如原封不动的传输至上层协议栈，继续向上层递交。或者，针对该数据包进行指定修改。或者，丢弃掉该数据包。图4中在完成第10行操作后，电子设备和服务器端之间传输的数据流都是加密后的数据流。图4中数据传输结构和设置的钩子点仅为示例，不能理解为对本公开的限定，其它多种通过钩子函数获取数据包的方式同样适用。
此外，为了进一步减少需要解析的数据包的数量(只有部分数据包中包括数字证书)，可以对数据包进行筛选。具体地，对截取到的流量进行特征匹配，过滤出特定的数据包，如基于HTTPS协议传输的数据包。另外，数字证书通常被包含在握手报文中，以便实现对数据流进行加密，因此，可以筛选出由服务器端发送给电子设备的握手报文。例如，握手报文是服务器端发送给电子设备的。
图5示意性示出了根据本公开实施例的握手报文的示意图。
如图5所示，172.24……是客户端(电子设备)的IP地址，220.181……是服务器端的IP地址。首先由电子设备向服务器端发送握手报文“Client Hello”(需要说明的是，由电子设备向服务器端发送的握手报文“Client Hello”中可以包括域名信息或不包括域名信息，如果不包括域名信息，则无法基于该握手报文确定服务器端的域名信息)。然后，服务器端响应于该握手报文向电子设备发送握手报文“Server Hello”以及“certificate……”。其中，该“certificate……”中包括数字证书以证明服务器端的身份。
在操作S303，通过处理至少部分数据包确定服务器端的数字证书。
在本实施例中，数字证书中的域名相关信息无法直接读取，为了得到该域名相关信息，可以通过将数字证书发送给用户态的程序进行解析、解密等处理方式来确定数据包中的数字证书，这样可以提升系统稳定性。此外，也可以在控制内核态完成确定数字证书的过程。例如，控制内核处理所述至少部分数据包确定服务器端发送的数字证书。
在一个实施例中，以控制用户态的程序确定数字证书的方式进行示例性说明，通过处理至少部分数据包确定服务器端的数字证书可以包括如下操作。
首先，控制内核将至少部分数据包发送给用户态的程序。然后，控制用户态的程序处理至少部分数据包确定服务器端发送的数字证书。
例如，由服务器端返回的SSL握手报文拷贝后，通过netlink发送到用户态的程序，以控制用户态的程序确定服务器端发送的数字证书。
在另一个实施例中，可以完全由Linux内核完成确定数字证书的过程，此方式无需使用netlink功能，只需在Linux内核中注册netfilter hook即可。关于注册netfilterhook的过程可以参考如上所述的实施例，在此不再赘述。
在另一个实施例中，将至少部分数据包发送给用户态的程序的过程中，可以使用Linux系统的netlink功能来实现，还可以使用Linux系统的nf_queue功能来实现。
在操作S305，通过解析数字证书确定服务器端的域名信息。
在本实施例中，以数字证书是SSL证书为例进行说明。SSL证书是数字证书的一种，类似于驾驶证、护照和营业执照的电子副本。因为配置在服务器上，也成为SSL服务器证书。SSL证书就是遵守SSL协议，由受信任的数字证书颁发机构(CA)，在验证服务器身份后颁发，具有服务器身份验证和数据传输加密功能。
具体地，通过解析数字证书确定服务器端的域名信息可以包括如下操作。首先，解析数字证书，以确定服务器端的标识信息。然后，基于服务器端的标识信息确定服务器端的域名信息。例如，用户态的程序收到内核发送的数据包后，对数据包进行解析，得到服务器使用的SSL证书。通过解析SSL证书中的一般名称(CN)信息，获取到服务器所属域名。
例如，SSL证书可以包括如下信息：颁发给：
一般名称(CN)*.aliyun.com
组织(O)Alibaba(China)Technology Co.,Ltd.
组织单位(OU)<无此部分>
……
(以上SSL证书的内容仅为示例)
其中，一般名称(CN)可以用于精确地表征域名相关信息，因此，可以从SSL证书中解析出域名信息。
图6示意性示出了根据本公开另一实施例的域名确定方法的流程图。
如图6所示，上述方法还可以包括在操作S305确定服务器端的域名信息之后，执行操作S601。
在操作S601，进行域名策略匹配，以进行访问控制。
在本实施例中，可以由用户态的程序基于服务器的域名关联信息(如域名信息、IP地址信息等)进行策略匹配，确定是否需要阻断并通知内核。例如，如果服务器端的数字证书不符合当地法规，如域名没有进行备案或者处于黑名单中等，则可以禁止数据流的至少部分数据包传输到用户态的程序，使得电子设备无法输出(如显示或播放声音等)数据包的信息。
在一个实施例中，进行域名策略匹配，以进行访问控制可以包括如下操作。首先，生成服务器地址访问策略。然后，基于服务器地址访问策略进行策略匹配，以进行访问控制。例如，服务器地址访问策略可以包括哪些域名可以进行访问，哪些域名禁止访问。此外，为了提升响应速度，还可以将域名与服务器IP地址关联起来，直接基于服务器IP地址进行访问控制。例如，域名：baidu.com，策略为阻断。如果通过解析数据包和数字证书得到的域名为baidu.com时，则将此数据包的服务器端IP地址添加到阻断IP列表中。针对此IP地址的阻断或放行，视为一条IP策略。
具体地，生成服务器地址访问策略包括：控制用户态的程序基于服务器端的域名信息生成服务器地址访问策略。相应地，基于服务器地址访问策略进行策略匹配，以进行访问控制可以包括如下操作，首先，控制用户态的程序将服务器地址访问策略发送给内核。然后，控制内核基于服务器地址访问策略对数据流中服务器地址进行匹配，以进行访问控制。
其中，内核态与用户态是操作系统的两种运行级别，当程序运行在指定等级(如3级)特权级上时，就可以称之为运行在用户态(简称用户态的程序)，因为这是最低特权级，是普通的用户进程运行的特权级，大部分用户直接面对的程序都是运行在用户态。反之，当程序运行在0级特权级上时，就可以称之为运行在内核态。运行在用户态下的程序不能直接访问操作系统内核数据结构和程序。
此外，上述方法还可以包括如下操作。
在一个实施例中，控制用户态的程序将服务器地址访问策略发送给内核之后，缓存第一映射关系，第一映射关系是服务器地址访问策略中服务器地址和控制方式之间的映射关系，控制方式包括放行或者阻断。控制内核基于第一映射关系和数据流中服务器地址进行访问控制。
例如，控制内核给用户态的程序下发的通知进行缓存，缓存内容为服务器IP地址+是否阻断。
对于访问此服务器的后续产生的数据流，直接在内核Netfilter钩子函数中通过缓存判断是否需要进行阻断，并进行阻断或放行。通过缓存机制，可以大大提升访问控制处理效率和性能。
相应地，控制内核基于服务器地址访问策略对数据流中服务器地址进行匹配，以进行访问控制可以包括如下操作，通过钩子函数返回放行参数或者阻断参数，以放行数据流或者阻断数据流。
例如，内核收到用户态的程序发送的通知后，对访问此服务器的流量进行阻断或放行。阻断和放行的实现：在Netfilter钩子函数中返回NF_DROP，或者返回NF_ACCEPT。或者，通过nf_queue实现阻断和放行，例如，如果通过使用Linux系统的nf_queue替代netlink实现数据包上送给用户态的程序的功能，并且由用户态的程序进行阻断，无需再通知内核进行阻断。
在另一个实施例中，在控制内核生成服务器地址访问策略之后，控制内核缓存第一映射关系，第一映射关系是所述服务器地址访问策略中服务器地址和控制方式之间的映射关系，控制方式包括放行或者阻断。相应地，基于所述服务器地址访问策略进行策略匹配，以进行访问控制可以包括：控制内核基于所述第一映射关系和数据流中服务器地址进行访问控制。直接在内核实现全部功能(如数据包截取、数字证书确定、解析和IP阻断等)，可以省略用户态和内核之间的数据交互过程。
图7示意性示出了根据本公开实施例的域名确定方法的数据流图。
如图7所示，对收包得到的数据包中截取到的数据包，进行特征匹配，将其中由服务器端返回的SSL握手报文拷贝后，通过netlink发送到用户态的程序，并阻塞该数据包等待响应动作。
用户态的程序收到内核发送的报文后，进行协议解析，得到服务器使用的SSL证书。通过解析SSL证书中的CN信息，获取到服务器所属域名。
用户态的程序使用服务器所属域名进行策略匹配，确定是否需要阻断来自该域名的数据流，并通过下发动作至内核的方式通知内核执行该动作。此外，用户态的程序基于需要阻断的域名确定需要阻断的IP地址，更新IP策略。然后，把更新的IP策略发送给内核，以便于控制内核更新策略。其中，策略可以是由控制中心输入的。
内核收到用户态的程序的通知后，对访问与需阻断的域名对应的服务器的数据流进行阻断或放行。对于IP策略中已有的IP地址，则可以直接基于IP地址进行IP检查，以确定是否进行放行。
例如，控制内核对用户态的程序下发的通知进行缓存，缓存内容为服务器IP地址+是否阻断。协议过滤/IP检查过程对于访问此服务器的后续流量，直接在内核Netfilter钩子函数中通过缓存判断是否阻断，并进行阻断或放行。
本公开实施例提供的域名确定方法，通过在内核中截取SSL协议握手过程中服务器端端返回的数据包，使用netlink上送到用户态的程序。在用户态的程序从数据流中解析到SSL证书，使用证书中的CN信息作为域名信息进行域名策略匹配，生成控制动作后下发内核，控制内核按照用户态的程序下发的动作执行访问控制。同时在用户态的程序生成新的IP策略，下发至内核对后续流量进行访问控制，在满足基于域名信息的访问控制的同时，还能有效提升响应速度。
图8示意性示出了根据本公开实施例的域名确定装置的框图。
如图8所示，该域名确定装置800包括：数据包获取模块810、数据包处理模块830和数字证书解析模块850。
其中，数据包获取模块810用于获取数据流中至少部分数据包，至少部分数据包包括电子设备与服务器端之间基于指定协议进行握手来产生的数据包。
数据包处理模块830用于通过处理至少部分数据包确定服务器端的数字证书。
数字证书解析模块850用于解析数字证书以确定服务器端的域名信息。
在一个实施例中，数据包获取模块810包括：注册子模块、第一获取子模块、握手报文确定子模块和数据包确定子模块。其中，注册子模块用于注册钩子函数。第一获取子模块用于通过钩子函数从数据流中获取基于指定协议加密的数据包。握手报文确定子模块用于从基于指定协议加密的数据包中确定握手报文。数据包确定子模块用于将握手报文作为至少部分数据包。或者，数据包获取模块810包括：第二获取子模块，第二获取子模块用于在网络驱动中获取数据流中至少部分数据包。
在一个实施例中，握手报文是服务器端发送给电子设备的。
在一个实施例中，数据包处理模块830包括：数据包发送子模块和第一数据包解析子模块。其中，数据包发送子模块用于控制内核将至少部分数据包发送给用户态的程序。第一数据包解析子模块用于控制用户态的程序处理至少部分数据包确定服务器端发送的数字证书。或者，数据包处理模块830包括第二数据包解析子模块，该第二数据包解析子模块用于控制内核处理至少部分数据包确定服务器端发送的数字证书。
在一个实施例中，装置800还包括：访问控制模块。其中，访问控制模块用于在确定服务器端的域名信息之后，进行域名策略匹配，以进行访问控制。
在一个实施例中，访问控制模块包括：策略生成子模块、控制子模块。其中，策略生成子模块用于生成服务器地址访问策略。控制子模块用于基于服务器地址访问策略进行策略匹配，以进行访问控制。
在一个实施例中，装置800还包括第一缓存模块。第一缓存模块用于在控制内核生成服务器地址访问策略之后，缓存第一映射关系，第一映射关系是服务器地址访问策略中服务器地址和控制方式之间的映射关系，控制方式包括放行或者阻断。控制子模块具体用于控制内核基于第一映射关系和数据流中服务器地址进行访问控制。
在一个实施例中，策略生成子模块具体用于控制用户态的程序基于服务器端的域名信息生成服务器地址访问策略。控制子模块包括：策略发送单元和访问控制单元。其中，策略发送单元用于控制用户态的程序将服务器地址访问策略发送给内核。访问控制单元用于控制内核基于服务器地址访问策略对数据流中服务器地址进行匹配，以进行访问控制。
在一个实施例中，装置800还包括第二缓存模块。第二缓存模块用于控制用户态的程序将服务器地址访问策略发送给内核之后，缓存第一映射关系，第一映射关系是服务器地址访问策略中服务器地址和控制方式之间的映射关系，控制方式包括放行或者阻断。控制子模块具体用于控制内核基于第一映射关系和数据流中服务器地址进行访问控制。
在一个实施例中，访问控制单元具体用于通过钩子函数返回放行参数或者阻断参数，以放行数据流或者阻断数据流。
在一个实施例中，数字证书解析模块850包括：证书解析子模块和域名信息确定子模块。其中，证书解析子模块用于解析数字证书，以确定服务器端的标识信息。域名信息确定子模块用于基于服务器端的标识信息确定服务器端的域名信息。
其中，各模块执行的操作可以参考如上所示的方法部分相关内容，在此不再一一详述。
根据本公开的实施例的模块、子模块、单元、子单元中的任意多个、或其中任意多个的至少部分功能可以在一个模块中实现。根据本公开实施例的模块、子模块、单元、子单元中的任意一个或多个可以被拆分成多个模块来实现。根据本公开实施例的模块、子模块、单元、子单元中的任意一个或多个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式的硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，根据本公开实施例的模块、子模块、单元、子单元中的一个或多个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。
例如，数据包获取模块810、数据包处理模块830和数字证书解析模块850中的任意多个可以合并在一个模块中实现，或者其中的任意一个模块可以被拆分成多个模块。或者，这些模块中的一个或多个模块的至少部分功能可以与其他模块的至少部分功能相结合，并在一个模块中实现。根据本公开的实施例，数据包获取模块810、数据包处理模块830和数字证书解析模块850中的至少一个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式等硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，数据包获取模块810、数据包处理模块830和数字证书解析模块850中的至少一个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。
图9示意性示出了根据本公开实施例的电子设备的框图。图9示出的电子设备仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。
如图9所示，根据本公开实施例的电子设备900包括处理器901，其可以根据存储在只读存储器(ROM)902中的程序或者从存储部分908加载到随机访问存储器(RAM)903中的程序而执行各种适当的动作和处理。处理器901例如可以包括通用微处理器(例如CPU)、指令集处理器和/或相关芯片组和/或专用微处理器(例如，专用集成电路(ASIC))，等等。处理器901还可以包括用于缓存用途的板载存储器。处理器901可以包括用于执行根据本公开实施例的方法流程的不同动作的单一处理单元或者是多个处理单元。
在RAM 903中，存储有电子设备900操作所需的各种程序和数据。处理器901、ROM902以及RAM 903通过总线904彼此相连。处理器901通过执行ROM 902和/或RAM 903中的程序来执行根据本公开实施例的方法流程的各种操作。需要注意，所述程序也可以存储在除ROM902和RAM 903以外的一个或多个存储器中。处理器901也可以通过执行存储在所述一个或多个存储器中的程序来执行根据本公开实施例的方法流程的各种操作。
根据本公开的实施例，电子设备900还可以包括输入/输出(I/O)接口905，输入/输出(I/O)接口905也连接至总线904。电子设备900还可以包括连接至I/O接口905的以下部件中的一项或多项：包括键盘、鼠标等的输入部分906；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分907；包括硬盘等的存储部分908；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分909。通信部分909经由诸如因特网的网络执行通信处理。驱动器910也根据需要连接至I/O接口905。可拆卸介质911，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器910上，以便于从其上读出的计算机程序根据需要被安装入存储部分908。
根据本公开的实施例，根据本公开实施例的方法流程可以被实现为计算机软件程序。例如，本公开的实施例包括一种计算机程序产品，其包括承载在计算机可读存储介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分909从网络上被下载和安装，和/或从可拆卸介质911被安装。在该计算机程序被处理器901执行时，执行本公开实施例的电子设备中限定的上述功能。根据本公开的实施例，上文描述的电子设备、设备、装置、模块、单元等可以通过计算机程序模块来实现。
本公开还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中描述的设备/装置/系统中所包含的；也可以是单独存在，而未装配入该设备/装置/系统中。上述计算机可读存储介质承载有一个或者多个程序，当上述一个或者多个程序被执行时，实现根据本公开实施例的方法。
根据本公开的实施例，计算机可读存储介质可以是非易失性的计算机可读存储介质，例如可以包括但不限于：便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。例如，根据本公开的实施例，计算机可读存储介质可以包括上文描述的ROM 902和/或RAM 903和/或ROM 902和RAM 903以外的一个或多个存储器。
附图中的流程图和框图，图示了按照本公开各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。
本领域技术人员可以理解，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合或/或结合，即使这样的组合或结合没有明确记载于本公开中。特别地，在不脱离本公开精神和教导的情况下，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合。所有这些组合和/或结合均落入本公开的范围。
以上对本公开的实施例进行了描述。但是，这些实施例仅仅是为了说明的目的，而并非为了限制本公开的范围。尽管在以上分别描述了各实施例，但是这并不意味着各个实施例中的措施不能有利地结合使用。本公开的范围由所附权利要求及其等同物限定。不脱离本公开的范围，本领域技术人员可以做出多种替代和修改，这些替代和修改都应落在本公开的范围之内。
Claims (12)
1.一种由电子设备执行的域名确定方法，包括：
获取数据流中至少部分数据包；
通过处理所述至少部分数据包确定服务器端的数字证书；其中，所述至少部分数据包包括所述电子设备与所述服务器端之间基于指定协议进行握手来产生的数据包；所述获取数据流中至少部分数据包包括：对数据流执行特征匹配操作，确定部分数据包；基于路由判决确定所述部分数据包的传输方案；
通过解析所述数字证书确定所述服务器端的域名信息；以及
基于所述域名信息进行域名策略匹配，以进行访问控制；
其中，所述获取数据流中至少部分数据包包括：注册钩子函数，通过所述钩子函数从所述数据流中获取基于所述指定协议加密的数据包；
所述基于所述域名信息进行域名策略匹配，以进行访问控制，包括：生成服务器地址访问策略；缓存第一映射关系，所述第一映射关系是所述服务器地址访问策略中服务器地址和控制方式之间的映射关系，所述控制方式包括放行或者阻断；控制内核基于所述第一映射关系和数据流中服务器地址进行访问控制；
所述控制内核基于所述第一映射关系和数据流中服务器地址进行访问控制，包括：在钩子函数中通过所述第一映射关系和数据流中服务器地址确定访问控制参数，基于钩子函数返回的访问控制参数进行访问控制。
2.根据权利要求1所述的方法，其中，所述获取数据流中至少部分数据包包括：
从所述基于所述指定协议加密的数据包中确定握手报文，
将所述握手报文作为所述至少部分数据包；
或者
在网络驱动中获取数据流中至少部分数据包。
3.根据权利要求2所述的方法，其中，所述握手报文是所述服务器端发送给所述电子设备的。
4.根据权利要求2所述的方法，其中，所述通过处理所述至少部分数据包确定服务器端的数字证书包括：
控制内核将所述至少部分数据包发送给用户态的程序，
控制用户态的程序处理所述至少部分数据包确定所述服务器端发送的数字证书；
或者
控制内核处理所述至少部分数据包确定所述服务器端发送的数字证书。
5.根据权利要求1所述的方法，其中，所述进行域名策略匹配，以进行访问控制包括：
基于所述服务器地址访问策略进行策略匹配，以进行访问控制。
6.根据权利要求5所述的方法，其中：
所述生成服务器地址访问策略包括：控制用户态的程序基于所述服务器端的域名信息生成服务器地址访问策略；
所述基于所述服务器地址访问策略进行策略匹配，以进行访问控制包括：
控制用户态的程序将所述服务器地址访问策略发送给所述内核；以及
控制所述内核基于所述服务器地址访问策略对数据流中服务器地址进行匹配，以进行访问控制。
7.根据权利要求6所述的方法，还包括：在控制用户态的程序将所述服务器地址访问策略发送给所述内核之后，
缓存第一映射关系，所述第一映射关系是所述服务器地址访问策略中服务器地址和控制方式之间的映射关系，所述控制方式包括放行或者阻断；以及
控制所述内核基于所述第一映射关系和数据流中服务器地址进行访问控制。
8.根据权利要求6所述的方法，其中，所述控制所述内核基于所述服务器地址访问策略对数据流中服务器地址进行匹配，以进行访问控制，包括：
通过所述钩子函数返回放行参数或者阻断参数，以放行数据流或者阻断数据流。
9.根据权利要求1所述的方法，其中，所述通过解析所述数字证书确定所述服务器端的域名信息包括：
解析所述数字证书，以确定所述服务器端的标识信息；以及
基于所述服务器端的标识信息确定所述服务器端的域名信息。
10.一种域名确定装置，包括：
数据包获取模块，用于获取数据流中至少部分数据包；
数据包处理模块，用于通过处理所述至少部分数据包确定服务器端的数字证书；所述至少部分数据包包括电子设备与服务器端之间基于指定协议进行握手来产生的数据包；所述获取数据流中至少部分数据包包括：注册钩子函数，通过所述钩子函数从所述数据流中获取基于所述指定协议加密的数据包；以及对数据流执行特征匹配操作，确定部分数据包；基于路由判决确定所述部分数据包的传输方案；数字证书解析模块，用于通过解析所述数字证书确定所述服务器端的域名信息；以及
基于所述域名信息进行域名策略匹配，以进行访问控制；
其中，所述获取数据流中至少部分数据包包括：注册钩子函数，通过所述钩子函数从所述数据流中获取基于所述指定协议加密的数据包；
所述基于所述域名信息进行域名策略匹配，以进行访问控制，包括：生成服务器地址访问策略；缓存第一映射关系，所述第一映射关系是所述服务器地址访问策略中服务器地址和控制方式之间的映射关系，所述控制方式包括放行或者阻断；控制内核基于所述第一映射关系和数据流中服务器地址进行访问控制；所述控制内核基于所述第一映射关系和数据流中服务器地址进行访问控制，包括：在钩子函数中通过所述第一映射关系和数据流中服务器地址确定访问控制参数，基于钩子函数返回的访问控制参数进行访问控制。
11.一种电子设备，包括：
一个或多个处理器；
存储装置，用于存储可执行指令，所述可执行指令在被所述处理器执行时，实现根据权利要求1~9中任一项所述的方法。
12.一种计算机可读存储介质，其上存储有可执行指令，该指令被处理器执行时实现根据权利要求1~9中任一项所述的方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202010455858.2A CN113726917B (zh) | 2020-05-26 | 2020-05-26 | 域名确定方法、装置和电子设备 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202010455858.2A CN113726917B (zh) | 2020-05-26 | 2020-05-26 | 域名确定方法、装置和电子设备 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN113726917A CN113726917A (zh) | 2021-11-30 |
| CN113726917B true CN113726917B (zh) | 2024-04-12 |
Family
ID=78672101
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202010455858.2A Active CN113726917B (zh) | 2020-05-26 | 2020-05-26 | 域名确定方法、装置和电子设备 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN113726917B (zh) |
Families Citing this family (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN115052004A (zh) * | 2022-06-13 | 2022-09-13 | 北京天融信网络安全技术有限公司 | 网络访问旁路监控方法及电子设备 |
Citations (13)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN102185758A (zh) * | 2011-04-08 | 2011-09-14 | 南京邮电大学 | 一种基于阿瑞斯报文特征字的协议识别方法 |
| CN103139315A (zh) * | 2013-03-26 | 2013-06-05 | 烽火通信科技股份有限公司 | 一种适用于家庭网关的应用层协议解析方法 |
| CN103327025A (zh) * | 2013-06-28 | 2013-09-25 | 北京奇虎科技有限公司 | 网络访问控制方法及装置 |
| RU2496136C1 (ru) * | 2012-05-14 | 2013-10-20 | Общество С Ограниченной Ответственностью "Мералабс" | Способ взаимодействия терминального устройства клиента с сервером по сети интернет с повышенным уровнем защиты от ddos атак и система для реализации способа |
| CN103825887A (zh) * | 2014-02-14 | 2014-05-28 | 深信服网络科技（深圳）有限公司 | 基于https加密的网站过滤方法和系统 |
| CN106452856A (zh) * | 2016-09-28 | 2017-02-22 | 杭州鸿雁智能科技有限公司 | 流量统计方法及装置和具有流量统计功能的无线接入设备 |
| CN107547520A (zh) * | 2017-07-31 | 2018-01-05 | 中国科学院信息工程研究所 | Flask安全模块、构建方法及移动Web系统 |
| WO2018141172A1 (zh) * | 2017-02-06 | 2018-08-09 | 中兴通讯股份有限公司 | 控制终端上网及终端上网的方法，路由器设备及终端 |
| CN108551495A (zh) * | 2018-07-26 | 2018-09-18 | 杭州云缔盟科技有限公司 | 一种不使用dns协议或类似协议的域名访问方法 |
| CN108769287A (zh) * | 2018-05-31 | 2018-11-06 | 四川斐讯全智信息技术有限公司 | 一种路由器域名访问方法、系统、计算机设备和存储介质 |
| CN109905239A (zh) * | 2019-03-07 | 2019-06-18 | 亚数信息科技（上海）有限公司 | 一种证书管理方法及装置 |
| CN110049022A (zh) * | 2019-03-27 | 2019-07-23 | 深圳市腾讯计算机系统有限公司 | 一种域名访问控制方法、装置和计算机可读存储介质 |
| CN110545256A (zh) * | 2019-07-15 | 2019-12-06 | 中移（杭州）信息技术有限公司 | 数据传输方法、系统、电子设备、中转服务器及存储介质 |
-
2020
- 2020-05-26 CN CN202010455858.2A patent/CN113726917B/zh active Active
Patent Citations (13)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN102185758A (zh) * | 2011-04-08 | 2011-09-14 | 南京邮电大学 | 一种基于阿瑞斯报文特征字的协议识别方法 |
| RU2496136C1 (ru) * | 2012-05-14 | 2013-10-20 | Общество С Ограниченной Ответственностью "Мералабс" | Способ взаимодействия терминального устройства клиента с сервером по сети интернет с повышенным уровнем защиты от ddos атак и система для реализации способа |
| CN103139315A (zh) * | 2013-03-26 | 2013-06-05 | 烽火通信科技股份有限公司 | 一种适用于家庭网关的应用层协议解析方法 |
| CN103327025A (zh) * | 2013-06-28 | 2013-09-25 | 北京奇虎科技有限公司 | 网络访问控制方法及装置 |
| CN103825887A (zh) * | 2014-02-14 | 2014-05-28 | 深信服网络科技（深圳）有限公司 | 基于https加密的网站过滤方法和系统 |
| CN106452856A (zh) * | 2016-09-28 | 2017-02-22 | 杭州鸿雁智能科技有限公司 | 流量统计方法及装置和具有流量统计功能的无线接入设备 |
| WO2018141172A1 (zh) * | 2017-02-06 | 2018-08-09 | 中兴通讯股份有限公司 | 控制终端上网及终端上网的方法，路由器设备及终端 |
| CN107547520A (zh) * | 2017-07-31 | 2018-01-05 | 中国科学院信息工程研究所 | Flask安全模块、构建方法及移动Web系统 |
| CN108769287A (zh) * | 2018-05-31 | 2018-11-06 | 四川斐讯全智信息技术有限公司 | 一种路由器域名访问方法、系统、计算机设备和存储介质 |
| CN108551495A (zh) * | 2018-07-26 | 2018-09-18 | 杭州云缔盟科技有限公司 | 一种不使用dns协议或类似协议的域名访问方法 |
| CN109905239A (zh) * | 2019-03-07 | 2019-06-18 | 亚数信息科技（上海）有限公司 | 一种证书管理方法及装置 |
| CN110049022A (zh) * | 2019-03-27 | 2019-07-23 | 深圳市腾讯计算机系统有限公司 | 一种域名访问控制方法、装置和计算机可读存储介质 |
| CN110545256A (zh) * | 2019-07-15 | 2019-12-06 | 中移（杭州）信息技术有限公司 | 数据传输方法、系统、电子设备、中转服务器及存储介质 |
Non-Patent Citations (2)
| Title |
|---|
| Web通信中可疑域名监控技术的研究;王培新;刘颖;张思东;陈雨新;;计算机技术与发展;20120410(04);全文 * |
| 基于进程防火墙与虚拟盘的非法信息流过滤方法;张雪峰;周顺先;;微型机与应用;20131025(20);全文 * |
Also Published As
| Publication number | Publication date |
|---|---|
| CN113726917A (zh) | 2021-11-30 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US9749292B2 (en) | Selectively performing man in the middle decryption | |
| US11743297B2 (en) | Systems and methods for providing network security using a secure digital device | |
| WO2014094151A1 (en) | System and method for monitoring data in a client environment | |
| US10257171B2 (en) | Server public key pinning by URL | |
| US10318747B1 (en) | Block chain based authentication | |
| US11381564B2 (en) | Resource security integration platform | |
| JP2023522530A (ja) | メタデータ・ベースのフィッシング攻撃の検知及び防止 | |
| US20190166160A1 (en) | Proactive transport layer security identity verification | |
| CA2939978C (en) | Manage encrypted network traffic using spoofed addresses | |
| Singh et al. | Practical end-to-end web content integrity | |
| TWI416923B (zh) | 網路服務中之安全資料通信 | |
| US20240146728A1 (en) | Access control method, access control system, and related device | |
| US11570150B2 (en) | VPN deep packet inspection | |
| Nakatsuka et al. | PDoT: private DNS-over-TLS with TEE support | |
| Pinkerton et al. | Direct Data Placement Protocol (DDP)/Remote Direct Memory Access Protocol (RDMAP) Security | |
| CN113726917B (zh) | 域名确定方法、装置和电子设备 | |
| CN109905352B (zh) | 一种基于加密协议审计数据的方法、装置和存储介质 | |
| Lee et al. | S2Net: Preserving privacy in smart home routers | |
| US11647020B2 (en) | Satellite service for machine authentication in hybrid environments | |
| KR101124634B1 (ko) | 임베디드 운영 체제에 기반한 네트워크 통합 관리 게이트웨이 | |
| CN117527750A (zh) | 域名解析方法、装置、电子设备和计算机可读介质 | |
| CN116132381A (zh) | 基于反向代理的api资源调用方法、装置、设备及介质 | |
| CN114172698A (zh) | 一种业务请求处理方法、Web服务器、设备及介质 | |
| Pinkerton et al. | RFC 5042: Direct Data Placement Protocol (DDP)/Remote Direct Memory Access Protocol (RDMAP) Security | |
| Bitan | Internet Draft James Pinkerton draft-ietf-rddp-security-03. txt Microsoft Corporation Category: Standards Track Ellen Deleganes Expires: February, 2005 Intel Corporation |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| CB02 | Change of applicant information | ||
| CB02 | Change of applicant information |
Country or region after: China Address after: 100044 2nd floor, building 1, yard 26, Xizhimenwai South Road, Xicheng District, Beijing Applicant after: Qianxin Wangshen information technology (Beijing) Co.,Ltd. Applicant after: Qianxin Technology Group Co.,Ltd. Address before: 100097 No. 202, 203, 205, 206, 207, 208, 2nd floor, block D, No. 51, Kunming Hunan Road, Haidian District, Beijing Applicant before: LEGENDSEC INFORMATION TECHNOLOGY (BEIJING) Inc. Country or region before: China Applicant before: Qianxin Technology Group Co.,Ltd. |
|
| GR01 | Patent grant | ||
| GR01 | Patent grant |