JA3/JA4 客户端指纹应用

JA3/JA4 由 TLS Client Hello 生成：同一工具在不同 IP 上复用相同指纹，可用于把散落连接归并到一类客户端。

用途	客户端工具聚类
来源	Zeek ssl 日志 / 代理日志 / pcap 计算

Zeek 侧聚合

zeek-cut ja3 id.orig_h id.resp_h server_name < ssl.log | sort | uniq -c | sort -rn | head

浏览器升级会改变指纹，比对要限定时间窗。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌