[发明专利]一种会话分析方法、设备及存储介质

权利要求书

1.一种会话分析方法，其特征在于，所述方法包括：

提取当前输入报文的原始特征值；其中，所述原始特征值包括：源IP地址、源端口号、目的IP地址、目的端口号和协议类型；

根据所述原始特征值和第一会话分析表判断所述当前输入报文是否满足预先设置的分析条件；其中，所述根据所述原始特征值和第一会话分析表判断所述当前输入报文是否满足预先设置的分析条件，包括：将所述原始特征值压缩成为一个目标特征值；其中，所述目标特征值占用的位数小于所述原始特征值占用的位数；判断所述目标特征值是否与所述第一会话分析表中预先确定的前N个第一表项对应的任意第一地址相同；其中，各个第一表项包括：第一统计值；当所述目标特征值与前N个第一表项对应的任意一个第一地址相同时，判定所述当前输入报文满足所述预先设置的分析条件；

当所述当前输入报文满足所述预先设置的分析条件时，将所述当前输入报文统计到第二会话分析表中；

按照预先设置的分析方法对所述第二会话分析表中的会话进行分析。

2.根据权利要求1所述的方法，其特征在于，在所述根据所述原始特征值和第一会话分析表判断所述当前输入报文是否满足预先设置的分析条件之前，所述方法包括：

根据所述目标特征值在所述第一会话分析表中查找所述当前输入报文对应的第一表项；

当在所述第一会话分析表中查找到所述当前输入报文对应的第一表项时，将所述第一表项对应的第一统计值加1。

3.根据权利要求1所述的方法，其特征在于，在所述提取当前输入报文的原始特征值之前，所述方法包括：

按照预设周期获取所述第一会话分析表中各个第一表项的第一统计值；

根据各个第一表项的第一统计值按照从大到小的顺序对所述第一会话分析表中的全部第一表项进行排序；

根据排序结果确定所述第一会话分析表的前N个第一表项。

4.根据权利要求1所述的方法，其特征在于，所述将所述当前输入报文统计到第二会话分析表中，包括：

根据所述原始特征值在所述第二会话分析表中查找所述当前输入报文对应的第二表项；

当在所述第二会话分析表中查找到所述当前输入报文对应的第二表项时，将所述第二表项对应的第二统计值加1；其中，各个第二表项包括：第二统计值和所述原始特征值。

5.一种会话分析设备，其特征在于，所述设备包括：提取单元、判断单元、统计单元和分析单元；其中，

所述提取单元，用于提取当前输入报文的原始特征值；其中，所述原始特征值包括：源IP地址、源端口号、目的IP地址、目的端口号和协议类型；

所述判断单元，用于根据所述原始特征值和第一会话分析表判断所述当前输入报文是否满足预先设置的分析条件；其中，所述判断单元包括：压缩子单元和判断子单元，其中，所述压缩子单元，用于将所述原始特征值压缩成为一个目标特征值；所述目标特征值占用的位数小于所述原始特征值占用的位数；所述判断子单元，用于判断所述目标特征值是否与所述第一会话分析表中预先确定的前N个第一表项对应的任意第一地址相同；其中，各个第一表项包括：第一统计值；当所述目标特征值与前N个第一表项对应的任意一个第一地址相同时，判定所述当前输入报文满足所述预先设置的分析条件；

所述统计单元，用于当所述当前输入报文满足所述预先设置的分析条件时，将所述当前输入报文统计到第二会话分析表中；

所述分析单元，用于按照预先设置的分析方法对所述第二会话分析表中的会话进行分析。

6.根据权利要求5所述的设备，其特征在于，所述统计单元，还用于根据所述目标特征值在所述第一会话分析表中查找所述当前输入报文对应的第一表项；当在所述第一会话分析表中查找到所述当前输入报文对应的第一表项时，将所述第一表项对应的第一统计值加1。