[發明專利]一種會話分析方法、設備及存儲介質

有效

• 申請號: 201710916063.5
• 申請日: 2017-09-30
• 公開（公告）號: CN107483507B
• 公開（公告）日: 2020-11-13
• 發明（設計）人: 馬洪偉
• 申請（專利權）人: 北京東土軍悅科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 北京品源專利代理有限公司 11332
• 代理人: 孟金喆

本發明公開了一種會話分析方法、設備及存儲介質。所述方法包括：提取當前輸入報文的原始特征值；其中，所述原始特征值包括：源IP地址、源端口號、目的IP地址、目的端口號和協議類型；根據所述原始特征值和第一會話分析表判斷所述當前輸入報文是否滿足預先設置的分析條件；當所述當前輸入報文滿足所述預先設置的分析條件時，將所述當前輸入報文統計到第二會話分析表中；按照預先設置的分析方法對所述第二會話分析表中的會話進行分析。不僅可以減少會話分析設備的存儲空間，而且還會提高會話分析設備的分析效率。

技術領域

本發明實施例涉及網絡通信技術領域，尤其涉及一種會話分析方法、設備及存儲介質。

背景技術

現有技術中，會話是指兩臺網絡設備的應用之間相互請求和響應的一條網絡鏈接。通過分析這些會話的數量，可以了解網絡設備的活動動態，分析網絡設備的通信行為，進而排除惡意和非法的鏈接，保障網絡安全。

在會話分析過程中，會話分析設備可以將接收到的各個輸入報文統計到一個會話分析表中，其中，該會話分析表中的各個表項可以包括：地址、統計值和原始特征值。具體地，輸入報文的原始特征值可以包括：源IP地址、源端口號、目的IP地址、目的端口號和協議類型。

圖1為現有技術中會話分析設備的組成結構示意圖。如圖1所示，會話分析設備接收第一終端1、…、第一終端X發送的當前輸入報文；將當前輸入報文發送給第二終端1、…、第二終端Y；其中，X和Y均為大于等于1的自然數。現有的會話分析設備可以包括：動態隨機存取存儲器DRAM、現場可編程門陣列FPGA和中央處理單元CPU；其中，DRAM用于存儲會話分析表；FPFA用于緩存會話分析表；CPU用于分析會話分析表。由于FPGA的帶寬等受限，FPGA不能直接存儲分析會話表，FPGA只能做初步的統計，會話分析表存儲在DRAM中。當CPU需要對存儲在DRAM中的會話分析表進行分析時，CPU先通過FPGA在DRAM中獲取會話分析表，然后將會話分析表中的會話進行分析。

在實現本發明的過程中，發明人發現現有技術中至少存在如下問題：

當會話分析設備接收到大量的輸入報文時，會話分析表占用的存儲空間就會非常大，同時也會給會話分析設備的運行造成很大的壓力，從而嚴重降低了會話分析設備的會話分析效率。

發明內容

本發明提供一種會話分析方法、設備及存儲介質，不僅可以減少會話分析設備的存儲空間，而且還會提高會話分析設備的分析效率。

第一方面，本發明實施例提供了一種會話分析方法，所述方法包括：

提取當前輸入報文的原始特征值；其中，所述原始特征值包括：源IP地址、源端口號、目的IP地址、目的端口號和協議類型；

根據所述原始特征值和第一會話分析表判斷所述當前輸入報文是否滿足預先設置的分析條件；

當所述當前輸入報文滿足所述預先設置的分析條件時，將所述當前輸入報文統計到第二會話分析表中；

按照預先設置的分析方法對所述第二會話分析表中的會話進行分析。

在上述實施例中，所述根據所述原始特征值和第一報文分析表判斷所述當前輸入報文是否滿足預先設置的分析條件，包括：

將所述原始特征值壓縮成為一個目標特征值；其中，所述目標特征值占用的位數小于所述原始特征值占用的位數；

判斷所述目標特征值是否與所述第一會話分析表中預先確定的前N個第一表項對應的任意第一地址相同；其中，各個第一表項包括：第一統計值；

當所述目標特征值與前N個第一表項對應的任意一個第一地址相同時，判定所述當前輸入報文滿足所述預先設置的分析條件。

在上述實施例中，在所述根據所述原始特征值和第一會話分析表判斷所述當前輸入報文是否滿足預先設置的分析條件之前，所述方法包括：