不解密检测是怎么回事
现在大部分流量已经加密，安全设备若对全部流量做中间人解密，会带来性能开销、证书管理和合规隐私上的争议。不解密场景指的是设备只读取 TLS 握手与连接元数据、不还原应用层明文。可用信号包括 TLS 指纹、SNI、证书信息与连接行为，覆盖的是谁在和谁、用什么客户端通信，而不是载荷里传了什么。
基本信息
| 可用信号 | TLS 指纹（JA3/JA4）、SNI 扩展、证书详情、连接时序与流量行为 |
|---|---|
| 可识别对象 | 恶意软件回连、非常规客户端工具、已收录的恶意证书与域名 |
| 能力边界 | 看不到加密载荷内部，无法检测载荷级漏洞利用 |
| 部署思路 | 作为默认策略落地，敏感业务再叠加选择性解密 |
典型使用场景
- 全站 HTTPS 业务：不解密也能用 SNI 与域名信誉库阻断已知恶意域名
- 合规敏感场景：不允许解密时，用指纹与元数据作为折中方案
- 恶意回连检测：用 TLS 指纹匹配已知恶意客户端的握手指纹
- 异常客户端识别：发现伪装成浏览器的自动化工具与扫描器
- 分流策略：只对高风险资产或指定域名开启解密，其余保持不解密
实践组合
实践组合
# 1. 用 SNI 加域名信誉库阻断已知恶意域名，落地成本最低
# 2. 用 TLS 指纹识别非常规客户端工具与自动化扫描器
# 3. 用证书信息匹配自签名回连证书与已收录的恶意签发
# 4. 对高风险资产开启选择性解密，其余流量保持不解密
# 5. 指纹库与信誉库纳入定期更新，库不更新等于能力随时间衰减信号与能力边界
| 信号 | 能做什么 | 局限 |
|---|---|---|
| SNI | 按域名做分类与阻断 | 启用加密客户端 Hello 后可能取不到明文 SNI |
| TLS 指纹 | 识别客户端工具类型 | 指纹库未收录的工具识别不出 |
| 证书信息 | 匹配已有恶意证书 | 攻击者更换证书后即失效 |
| 连接行为 | 发现异常回连与心跳 | 依赖流量基线，误报需人工研判 |
不解密检测是隐私友好的默认策略，适合先落地；对确有必要的敏感业务再叠加解密，避免全站解密带来的性能与合规成本。