[发明专利]一种网络流量的分析系统及其方法

权利要求书

1.一种网络流量的分析系统，其特征在于，包括：

网络函数记录模块，采用调测函数挂钩多个网络访问函数，所述调测函数记录每个调用所述网络访问函数的进程对应的进程信息，并将调用所述网络访问函数的进程对应的进程信息记为第一进程信息，所述第一进程信息包括：进程标识符、socket溯源信息和与该socket相关联的IP地址中的至少一个；

进程记录模块，采用所述调测函数挂钩进程函数，所述进程函数获取进程树列表，所述进程树列表包括多个进程树，每个所述进程树包括多个进程和每个进程的进程信息，将所述进程树中的进程的进程信息记为第二进程信息，所述第二进程信息包括进程标识符；

请求处理模块，当获取到进程号查询请求时，对所述进程号查询请求进行处理，得到所述进程号查询请求对应的进程信息，并将所述进程号查询请求对应的进程信息记为第三进程信息，其中，所述第三进程信息对应的进程调用了所述网络访问函数；

遍历模块，在所述进程树列表中遍历到对应于所述第三进程信息的祖宗进程，将所述祖宗进程的进程信息记为第四进程信息，其中，所述祖宗进程调用了所述网络访问函数；

追溯模块，于所述第四进程信息对应于外部IP时，将所述外部IP作为访问者所在设备的IP地址；于所述第四进程信息对应于内部IP时，于所述进程树列表中查到所述第四进程信息对应的来源进程，将所述来源进程的访问IP作为访问者所在设备的IP地址，其中，所述来源进程调用了网络访问函数，所述追溯模块包括判断单元和解析单元，所述判断单元和所述解析单元连接；

所述判断单元，用于判断所述第四进程信息对应的与该socket相关联的IP地址是否为外部IP地址；

若是，将所述该socket相关联的IP地址作为访问者所在设备的IP地址；若否，执行解析单元；

所述解析单元，根据所述第四进程信息解析得到所述第四进程信息中的所述socket溯源信息所对应的所述进程标识符，并获取解析得到的所述进程标识符所对应的进程树，并于对应于进程树中查找存在调用了所述网络访问函数的所述来源进程，将所述来源进程的进程信息中的所述与该socket相关联的IP地址作为访问者所在设备的IP地址。

2.如权利要求1所述的网络流量的分析系统，其特征在于，所述第三进程信息包括进程标识符；

所述遍历模块包括：

遍历单元，根据所述第三进程信息中的进程标识符在所述进程树列表中遍历到所述第三进程信息中的进程标识符所在的进程树；

查找单元，与所述遍历单元连接，用于在所述遍历单元遍历得到的进程树中查找到对应于所述第三进程信息中的进程标识符的所述祖宗进程，其中，所述祖宗进程调用了所述网络访问函数；

对比单元，与所述查找单元连接，将所述第四进程信息与所述网络函数记录模块中的第一进程信息进行匹配，以得到所述第四进程信息中的进程标识符所对应的与该socket相关联的IP地址。

3.如权利要求1所述的网络流量的分析系统，其特征在于，通过所述socket溯源信息反查sock结构体，以实现对所述socket溯源信息进行解析以得到所述sock结构体中的目的IP地址；

其中，所述sock结构体保存有五元组，所述五元组包括：源IP地址、源端口、目的IP地址、目的端口和传输层协议。

4.如权利要求1所述的网络流量的分析系统，其特征在于，所述网络访问函数包括：recvfrom函数、accept函数和connect函数；

所述recvfrom函数获取当前执行所述recvfrom函数的进程的进程标识符和socket溯源信息；

所述accept函数获取当前执行所述accept函数的进程的进程标识符和socket溯源信息；

所述connect函数获取当前执行所述connect函数的进程的进程标识符和socket溯源信息。

5.如权利要求1所述的网络流量的分析系统，其特征在于，所述调测函数为kprobe调测函数，所述kprobe调测函数用于跟踪所述网络访问函数和所述进程函数的执行状态。