(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111545958.5 (22)申请日 2021.12.16 (71)申请人 奇安信科技 集团股份有限公司 地址 100088 北京市西城区新 街口外大街 28号102号楼3层3 32号 申请人 网神信息技 术 （北京） 股份有限公司 (72)发明人 黄四安　孙兆兴　王金亭　 (74)专利代理 机构 北京路浩知识产权代理有限 公司 11002 代理人 王宇杨 (51)Int.Cl. H04L 9/40(2022.01) H04L 67/02(2022.01) (54)发明名称 web指纹匹配方法及装置 (57)摘要 本发明实施例提供一种web指纹匹配方法及 装置。 其中， 该方法包括： 响应于检测到攻击流 量， 通过威胁检测引擎确定攻击流量对应的规则 ID； 通过web指纹提取工 具确定规则ID 对应的web 指纹规则； 通过web指纹规则与攻击流量进行匹 配， 得到攻击流量的web指纹特征信息， web指纹 特征信息表示对应攻击流量的web应用程序的信 息。 实现了从攻击流量中， 通过匹配识别出受害 资产的Web指纹特征信息， 有利于完善受害资产 信息、 威胁检测的分析研判及辅助溯源分析攻击 链， 还可以结合受害资产的Web指纹特征信息对 威胁检测的告警结果进行修正， 还 可以提高威胁 检测精度， 降低漏报误报率。 权利要求书2页 说明书11页 附图3页 CN 114430335 A 2022.05.03 CN 114430335 A 1.一种web指纹匹配方法， 其特 征在于， 所述方法包括： 响应于检测到攻击流 量， 通过威胁 检测引擎确定所述 攻击流量对应的规则ID； 通过web指纹提取工具确定所述 规则ID对应的web指纹规则； 通过所述web指纹规则与所述攻击流量进行匹配， 得到所述攻击流量的web指纹特征信 息， 所述web指纹特 征信息表示对应所述 攻击流量的web应用程序的信息 。 2.根据权利要求1所述的web指纹匹配方法， 其特征在于， 所述响应于检测到攻击流量 之前， 还包括： 通过所述web指纹提取工具加载web指纹规则库至内存中， 所述web指纹规则库包括至 少一个web指纹规则， 至少一个web指纹规则对应至少一个规则ID。 3.根据权利要求1所述的web指纹匹配方法， 其特征在于， 所述通过威胁检测引擎确定 所述攻击流量对应的规则ID， 包括： 通过所述威胁检测引擎确定所述攻击流量的攻击类型和所述攻击流量对应的web应用 程序类型； 根据所述 攻击类型和所述 web应用程序类型， 确定所述 规则ID。 4.根据权利 要求1所述的web指纹匹配方法， 其特征在于， 所述通过所述web指纹规则与 所述攻击流量进行匹配， 包括： 根据所述 web指纹规则的key字段的值， 确定匹配方式； 通过所述匹配方式与所述 攻击流量进行匹配。 5.根据权利 要求4所述的web指纹匹配方法， 其特征在于， 所述key字段的值包括第一目 标字段或第二目标字段； 以及 所述根据所述 web指纹规则的key字段的值， 确定匹配方式， 包括： 若所述web指纹规则的key字段的值 为第一目标字段， 则确定匹配方式为 正则匹配； 若所述web指纹规则的key字段的值为第二目标字段， 则确定匹配方式为文本匹配； 以 及所述通过所述匹配方式与所述 攻击流量进行匹配， 包括： 通过所述正则匹配的方式对所述 攻击流量进行匹配； 或 通过所述文本匹配的方式对所述 攻击流量进行匹配。 6.根据权利要求5所述的web指纹匹配方法， 其特征在于， 所述通过所述正则匹配的方 式对所述 攻击流量进行匹配， 包括： 对所述web指纹规则的matches模式下的pattern字段的信息进行编译， 得到正则表达 式； 将所述正则表达式与所述 攻击流量进行匹配。 7.根据权利要求5所述的web指纹匹配方法， 其特征在于， 所述通过所述文本匹配的方 式对所述 攻击流量进行匹配， 包括： 将所述web指纹规则的matches模式下的pattern字段的信息与所述攻击流量进行匹 配。 8.根据权利要5 ‑7任一所述的web指纹匹配方法， 其特征在于， 所述第一目标字段包括 regex、 ap pname、 versi on、 或os， 所述第二目标字段包括text。 9.根据权利 要求1所述的web指纹匹配方法， 其特征在于， 所述得到web指纹特征信息之 后， 还包括：权　利　要　求　书 1/2 页 2 CN 114430335 A 2将所述web指纹特 征信息转换为JSON格式并写入数据库。 10.一种web指纹匹配装置， 其特 征在于， 所述方法包括： 第一处理模块， 用于响应于检测到攻击流量， 通过威胁检测引擎确定所述攻击流量对 应的规则ID； 第二处理模块， 用于通过web指纹提取工具确定所述 规则ID对应的web指纹规则； 第三处理模块， 用于通过所述web指纹规则与所述攻击流量进行匹配， 得到所述攻击流 量的web指纹特征信息， 所述web指纹特征信息表示对应所述攻击流量的web应用程序的信 息。 11.一种电子设备， 包括存储器、 处理器及存储在所述存储器上并可在所述处理器上运 行的计算机程序， 其特征在于， 所述处理器执行所述程序时实现如权利要求1至9任一项所 述的web指纹匹配方法的步骤。 12.一种非暂态计算机可读存储介质， 其上存储有计算机程序， 其特征在于， 所述计算 机程序被处 理器执行时实现如权利要求1至9任一项所述的web指纹匹配方法的步骤。 13.一种计算机程序产品， 其上存储有可执行指令， 其特征在于， 该指令被处理器执行 时使处理器实现如权利要求1至9中任一项所述 web指纹匹配方法的步骤。权　利　要　求　书 2/2 页 3 CN 114430335 A 3