[发明专利]会话分割方法及装置

说明书

本发明公开了一种会话分割方法及装置。其中，该方法包括：获取客户端设备和服务器之间的网络流量；对所述网络流量按照以下信息进行分组，得到数据分组：所述客户端设备的IP地址和所述客户端设备所访问的所述服务器的服务器标识；其中，每个数据分组内的各个数据记录具有不同的访问时间；将从每个所述数据分组中选择的两个数据记录的访问时间进行取差运算，得到差值；并在所述差值大于预设阈值时，将所述两个数据记录的访问时间作为一个会话的起始时间和结束时间。

技术领域

本发明涉及网络安全领域，具体而言，涉及一种会话分割方法及装置。

背景技术

目前针对数据流的会话分割，例如HTTP流量数据，目前主要有两种实现方法：其中，一种方法是使用多次SQL查询和中间表存储的方法来实现会话分割的能力；另一种方法是使用SQL UDF函数编程来实现，无论哪种方法，在工程师的开发量、运行效率以及后期代码的维护成本上都是不太高效的方法，具体存在以下问题：

(1)无论是多次SQL查询和中间表存储还是SQL UDF函数编程，都需要开发比较多的代码，UDF函数更是需要使用SQL或者非SQL程序语言如Python等进行函数开发。

(2)运行效率不高，多次SQL查询和中间表存储方法需要查询多次，另外用户自定义UDF函数的方法，因为函数是用户自定义函数，所以在性能调优上很难做到最优，直接影响整体SQL查询的执行效率。

(3)代码后期的维护工作量大，两种方法都需要编写比较多的代码，所以后期维护成本比较高。

针对上述的问题，目前尚未提出有效的解决方案。

发明内容

根据本申请实施例的一个方面，提供了一种会话分割方法，包括：获取客户端设备和服务器之间的网络流量；对所述网络流量按照以下信息进行分组，得到数据分组：所述客户端设备的IP地址和所述客户端设备所访问的所述服务器的服务器标识；其中，每个数据分组内的各个数据记录具有不同的访问时间；将从每个所述数据分组中选择的两个数据记录的访问时间进行取差运算，得到差值；并在所述差值大于预设阈值时，将所述两个数据记录的访问时间作为一个会话的起始时间和结束时间。

根据本申请实施例的另一方面，还提供了一种会话分割装置，包括：获取模块，用于获取客户端设备和服务器之间的网络流量；分组模块，用于对所述网络流量按照以下信息进行分组，得到数据分组：所述客户端设备的IP地址和所述客户端设备所访问的所述服务器的服务器标识；其中，每个数据分组内的各个数据记录具有不同的访问时间；分割模块，用于将从每个所述数据记录列表中选择的两个数据记录的访问时间进行取差运算，得到差值；并在所述差值大于预设阈值时，将所述两个数据记录的访问时间作为一个会话的起始时间和结束时间。

在本申请实施例中，采用按照客户端设备的IP地址和服务器标识对接收的数据流进行分组，并将每个数据分组内两个数据记录之间的访问时间之差与预设阈值进行比较，在得到的差值大于预设阈值时，将该两个数据记录的访问时间作为一个会话的开始时间和结束时间，以实现对会话的分割，因此可以利用已有的分析函数来实现，从而减少开发工作量和维护工作量，并且，由于上述方法主要是利用数据记录的访问时间差实现会话分割，因此，可以利用相关技术中的已有方式获取上述访问时间(例如分析函数获取)，可以对会话分割过程进行性能优化，进而解决了运行效率不高、开发工作量和维护工作量较大的技术问题。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是本申请实施例的一种会话分割方法的计算机终端的硬件结构框图。；

图2是根据本申请实施例的一种可选的会话分割方法的流程图；

图3是根据本申请实施例的一种可选的会话分割原理示意图；