应用识别是什么
应用识别通过报文特征、行为特征与握手信息判断流量属于哪个应用，让策略可以按应用而不是只按端口放行。它解决的是端口不再代表业务的问题：很多应用跑在 80 或 443 上，按端口放行等于把该端口上的所有应用全部放开。识别能力依赖特征库版本与加密流量的可见性，新上线或加密的应用可能识别为未知，重要管控项建议保留端口维度的兜底规则。
基本信息
| 识别依据 | 载荷特征、行为特征、握手阶段可见信息等 |
|---|---|
| 策略用法 | 安全策略规则中直接引用应用或应用组作为匹配条件 |
| 依赖条件 | 特征库版本、是否对加密流量解密、设备版本能力 |
| 能力边界 | 加密流量识别有限，未知不等于安全 |
| 维护要求 | 特征库定期更新，新应用上线后核对识别结果 |
典型使用场景
- 上网行为管理：限制娱乐、视频与网盘类应用而不影响正常业务
- 风险管理：识别远程控制类工具与外联行为，按需阻断
- 带宽治理：按应用区分关键业务与一般流量，配合限速
- 策略收敛：把按端口放行的规则改为按应用放行，精确到业务
- 审计说明：输出应用维度的流量构成，支撑管理决策
配置思路
配置思路
1. 在安全策略规则中选择应用或应用组作为匹配条件
2. 未识别流量单独放行观察，避免误伤新上线应用
3. 定期核对新上线应用是否被正确识别与分类
4. 对加密类应用，评估解密需求或保留端口维度兜底规则
5. 关键阻断项在变更前先记录模式验证影响面能力与限制
| 情况 | 表现 | 应对方式 |
|---|---|---|
| 特征库滞后 | 新应用显示为未知 | 更新特征库并核对规则 |
| 加密流量 | 只能看到有限信息 | 评估解密或接受能力边界 |
| 私有协议 | 识别为未知或通用流量 | 按端口与地址维度补充规则 |
| 应用更新频繁 | 识别结果随版本变化 | 把应用管控纳入例行复核 |
| 识别误判 | 正常业务被分类为风险应用 | 加例外并保留证据记录 |
应用识别依赖特征库版本，新版本应用上线后可能识别滞后；重要控制项保留端口维度兜底，避免识别失效时管控完全落空。