[发明专利]一种TCP流长连接数据分析方法

权利要求书

1.一种TCP流长连接数据分析方法，包括如下步骤：

一、对TCP已建立连接数据流，建立会话，缓存数据；

二、根据端口号信息确认选择协议识别顺序；

三、根据数据包边界和缓存的内容，保存具有数据的数据包的数据内容；

四、依据协议格式规则，先模式匹配出缓存数据所适配的协议集合，再细粒度分析协议是否满足内部的字段间的关系约束；

五、若满足关系约束，使用分析得到的当前协议格式解析出消息内容，提取协议中的字段内容，识别字段特征并验证符合协议约定的有效范围；

六、识别网络连接方向，将当前连接加入到解析处理流程中，持续解析协议消息；步骤六中的识别网络连接方向具体包括：

1）依据解析出来的字段特征区分出网络连接的方向；

2）若无法直接识别，分析所有活动连接会话的IP地址信息，若当前的连接IP和端口已经同时存在连接会话的服务侧IP和端口信息，套用已存在活动连接会话的方向；

3）若不存在，根据当前两组IP地址和端口在当前活动连接会话中的曾经为服务器的会话记录，当前连接端口的范围，当前连接IP地址作为服务器地址概率，当前连接端口作为服务器端口概率，从而计算出连接方向概率，来区分出连接的方向。

2.如权利要求1所述的TCP流长连接数据分析方法，其特征在于：

步骤四中字段间的关系约束包括结构体大小的依赖关系、字段偏移和/或协议边界特征符集合。