CN105703930A - 基于应用的会话日志处理方法及装置 - Google Patents

Abstract

本发明提供一种基于应用的会话日志处理方法以及装置，应用于网络设备，该方法包括：接收业务报文；判断是否存在与所述业务报文匹配的会话表项；当存在与所述业务报文匹配的会话表项时，识别所述业务报文中的应用协议类型；将所述应用协议类型添加到所述会话表项中，生成会话日志；将所述会话日志上报给日志服务器。本发明建立基于应用的会话日志，以便网络管理员基于应用对网络流量进行跟踪分析。

Description

基于应用的会话日志处理方法及装置

技术领域

本申请涉及网络通信技术领域，尤其涉及基于应用的会话日志处理方法及装置。

背景技术

在网络系统中，网络设备(例如，路由器、交换机等)将自身产生和维护的会话日志发送给网络系统中的日志服务器，以便网络管理员通过查询日志服务器对网络运行情况进行分析和管理。

目前，网络设备上报的会话日志中仅包含基本的网络流量信息，网络管理员从该网络流量信息中无法获知用户执行的具体网络操作，从而无法进行更加具体的网络流量分析。

发明内容

有鉴于此，本申请提供了一种基于应用的会话日志处理的方法，应用于网络设备，该方法包括：

接收业务报文；

判断是否存在与所述业务报文匹配的会话表项；

当存在与所述业务报文匹配的会话表项时，识别所述业务报文中的应用协议类型；

将所述应用协议类型添加到所述会话表项中，生成会话日志；

将所述会话日志上报给日志服务器。

本申请还提供了一种基于应用的会话日志处理的装置，应用于网络设备，该装置包括：

接收单元，用于接收业务报文；

判断单元，用于判断是否存在与所述业务报文匹配的会话表项；

识别单元，用于当存在与所述业务报文匹配的会话表项时，识别所述业务报文中的应用协议类型；

生成单元，用于将所述应用协议类型添加到所述会话表项中，生成会话日志；

上报单元，用于将所述会话日志上报给日志服务器。

本申请在接收到业务报文后，识别该业务报文中的应用协议类型，并将该应用协议类型添加到该业务报文对应的会话表项中，生成会话日志，再将该会话日志上报给日志服务器，以便网络管理员基于应用对网络流量进行跟踪分析。

附图说明

图1是本申请一种实施例中基于应用的会话日志处理方法的处理流程图；

图2是本申请一种实施例中基于应用的会话日志处理装置的基础硬件示意图；

图3-1是本申请一种实施例中基于应用的会话日志处理装置的结构示意图；

图3-2是本申请另一种实施例中基于应用的会话日志处理装置的结构示意图。

具体实施方式

为使本申请的目的、技术方案及优点更加清楚明白，以下参照附图对本申请所述方案作进一步地详细说明。

网络设备(例如，路由器、交换机等)通过为网络流量创建会话和维护会话，保证网络通信的正常运行。同时，将生成的会话日志上报给日志服务器，便于网络管理员对网络流量进行分析。但是从目前网络设备上报的会话日志中还无法获知用户的具体操作信息，例如：在某一时间段内，用户使用百度影音观看视频。

针对上述问题，本申请实施例提出一种基于应用的会话日志处理的方法，网络设备在接收到业务报文后，识别该业务报文中的应用协议类型，将该应用协议类型添加到该业务报文对应的会话表项中，生成会话日志，再上报给日志服务器。

参见图1，为本申请基于应用的会话日志处理方法的一个实施例流程图，该实施例对基于应用的会话日志处理过程进行描述。

步骤110，接收业务报文。

步骤120，判断是否存在与所述业务报文匹配的会话表项。

网络设备在接收到业务报文后，查询本地维护的会话表项，判断是否存在与该业务报文匹配的流表项，例如，可以根据该业务报文的源IP(InternetProtocol，网际协议)地址、目的IP地址、源端口、目的端口等报文特征与本地流表项进行匹配。

步骤130，当存在与所述业务报文匹配的会话表项时，识别所述业务报文中的应用协议类型。

根据步骤120中的判断结果，当本地会话表项中存在与业务报文匹配的会话表项时，更新会话表项的统计信息，例如，网络流量的字节数、数据包个数等信息。同时，对业务报文进行深度解析，从业务报文中提取应用协议特征，查询本地保存的应用协议特征库，找到与该应用协议特征匹配的应用协议类型(例如，迅雷下载、百度影音等)。当然，也可以基于端口号进行应用协议识别，但该方法只适用于使用固定端口号的应用协议，对应用协议识别的能力有限。

步骤140，将所述应用协议类型添加到所述会话表项中，生成会话日志。

将步骤130中获取的应用协议类型添加到对应的会话表项中，以便生成基于应用的会话日志。在该会话日志中还包括会话开始时间和会话结束时间，具体获取方式如下：

根据步骤120中的判断结果，当本地会话表项中不存在与业务报文匹配的会话表项时，创建该业务报文的会话表项，记录会话表项创建时间作为会话开始时间，并将会话开始时间添加到会话表项中。

当在预设的会话老化时间内未接收到与会话表项匹配的业务报文，或接收到表示会话结束的业务报文时，表示该会话结束，将会话结束时间添加的会话表项中。

步骤150，将所述会话日志上报给日志服务器。

通过步骤140可以在会话结束时获得基于应用的会话日志，是否将所有的会话日志上报取决于网络管理员的设置。网络管理员可以在网络设备上预先设置感兴趣的应用协议类型，例如，迅雷。网络设备在会话结束时，获取感兴趣应用协议类型，判断会话的应用协议类型是否与感兴趣应用协议类型匹配，如果匹配，则根据网络管理员在网络设备上配置的日志服务器地址，将该会话日志上报给日志服务器。网络管理员可以根据该会话日志知道某个用户在某一时间段使用了迅雷下载，以便网络管理员基于应用进行网络流量分析，采取更合理的应对措施。

现以一具体实施例为例，详细介绍基于应用的会话日志处理过程。

假设，网络设备接收到新的业务报文，在本地未找到匹配的会话表项，则新建会话表项，参见表1。

传输协议	源IP地址	目的IP地址	源端口	目的端口
					UDP	221.172.15.5	10.10.20.8	8183	1500

表1

表1为会话表项示例，但并不仅限于上述信息。网络设备在新建会话表项的同时，将会话建立的开始时间添加到会话表项中，如表2所示。

表2

网络设备在后续接收到与表1所示会话表项匹配的业务报文后，解析业务报文中的应用协议类型，例如，解析结果为迅雷，则在表2所示会话表项的基础上添加应用协议类型，如表3所示。

表3

当会话结束时，在表3所示会话表项的基础上添加会话结束时间，如表4所示。

表4

表4所示会话表项即为该会话对应的会话日志，网络设备将该会话日志上报给日志服务器，以便网络管理员进行基于应用的网络流量分析。

与前述基于应用的会话日志处理方法的实施例相对应，本申请还提供基于应用的会话日志处理装置的实施例。

本申请基于应用的会话日志处理装置的实施例可以应用在网络设备上。装置实施例可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，作为一个逻辑意义上的装置，是通过其所在设备的CPU将非易失性存储器中对应的计算机程序指令读取到内存中运行形成的。从硬件层面而言，如图2所示，为本申请基于应用的会话日志处理装置所在设备的一种硬件结构图，除了图2所示的CPU、内存以及非易失性存储器之外，实施例中装置所在的设备通常还可以包括其他硬件。

请参考图3-1，为本申请一个实施例中的基于应用的会话日志处理装置的结构示意图。该基于应用的会话日志处理装置包括：接收单元301、判断单元302、识别单元303、生成单元304以及上报单元305，其中：

接收单元301，用于接收业务报文；

判断单元302，用于判断是否存在与所述业务报文匹配的会话表项；

识别单元303，用于当存在与所述业务报文匹配的会话表项时，识别所述业务报文中的应用协议类型；

生成单元304，用于将所述应用协议类型添加到所述会话表项中，生成会话日志；

上报单元305，用于将所述会话日志上报给日志服务器。

请参考图3-2，为本申请另一个实施例中的基于应用的会话日志处理装置的结构示意图。该基于应用的会话日志处理装置在图3-1的基础上，还包括：

创建单元306，用于当不存在与所述业务报文匹配的会话表项时，创建所述业务报文的会话表项；

所述生成单元304，还用于将会话开始时间添加到所述会话表项中。

进一步地，所述识别单元303，包括特征提取模块和类型获取模块，其中：

特征提取模块，用于从所述业务报文中提取应用协议特征；

类型获取模块，用于通过查找本地保存的应用协议特征库，获取与所述应用协议特征匹配的应用协议类型。

进一步地，所述生成单元304，还用于当会话结束时，将会话结束时间添加到所述会话表项中。

进一步地，所述上报单元305，包括预设类型获取模块、类型判断模块以及日志上报模块，其中：

预设类型获取模块，用于在会话结束时，获取预设的感兴趣应用协议类型；

类型判断模块，用于判断所述会话的应用协议类型是否与所述感兴趣应用协议类型匹配；

日志上报模块，用于当所述会话的应用协议类型与所述感兴趣应用协议类型匹配时，将所述会话日志上报给日志服务器。

上述图3-1和图3-2示出的基于应用的会话日志处理装置的实施例，其具体实现过程可参见前述方法实施例的说明，在此不再赘述。

从以上方法和装置的实施例中可以看出，本申请在接收到业务报文后，识别该业务报文中的应用协议类型，并将该应用协议类型添加到该业务报文对应的会话表项中，生成会话日志，再将该会话日志上报给日志服务器，以便网络管理员基于应用对网络流量进行跟踪分析。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

Claims (10)

1.一种基于应用的会话日志处理方法，应用于网络设备，其特征在于，该方法包括：

接收业务报文；

判断是否存在与所述业务报文匹配的会话表项；

当存在与所述业务报文匹配的会话表项时，识别所述业务报文中的应用协议类型；

将所述应用协议类型添加到所述会话表项中，生成会话日志；

将所述会话日志上报给日志服务器。

2.如权利要求1所述的方法，其特征在于，所述方法还包括：

当不存在与所述业务报文匹配的会话表项时，创建所述业务报文的会话表项；

将会话开始时间添加到所述会话表项中。

3.如权利要求1所述的方法，其特征在于，所述识别所述业务报文中的应用协议类型，包括：

从所述业务报文中提取应用协议特征；

通过查找本地保存的应用协议特征库，获取与所述应用协议特征匹配的应用协议类型。

4.如权利要求1所述的方法，其特征在于，所述方法还包括：

当会话结束时，将会话结束时间添加到所述会话表项中。

5.如权利要求1至4任一所述的方法，其特征在于，所述将所述会话日志上报给日志服务器，包括：

在会话结束时，获取预设的感兴趣应用协议类型；

判断所述会话的应用协议类型是否与所述感兴趣应用协议类型匹配；

当所述会话的应用协议类型与所述感兴趣应用协议类型匹配时，将所述会话日志上报给日志服务器。

6.一种基于应用的会话日志处理装置，应用于网络设备，其特征在于，该装置包括：

接收单元，用于接收业务报文；

判断单元，用于判断是否存在与所述业务报文匹配的会话表项；

识别单元，用于当存在与所述业务报文匹配的会话表项时，识别所述业务报文中的应用协议类型；

生成单元，用于将所述应用协议类型添加到所述会话表项中，生成会话日志；

上报单元，用于将所述会话日志上报给日志服务器。

7.如权利要求6所述的装置，其特征在于，所述装置还包括：

创建单元，用于当不存在与所述业务报文匹配的会话表项时，创建所述业务报文的会话表项；

所述生成单元，还用于将会话开始时间添加到所述会话表项中。

8.如权利要求6所述的装置，其特征在于，所述识别单元，包括：

特征提取模块，用于从所述业务报文中提取应用协议特征；

类型获取模块，用于通过查找本地保存的应用协议特征库，获取与所述应用协议特征匹配的应用协议类型。

9.如权利要求6所述的装置，其特征在于，所述装置还包括：

所述生成单元，还用于当会话结束时，将会话结束时间添加到所述会话表项中。

10.如权利要求6至9任一所述的装置，其特征在于，所述上报单元，包括：

预设类型获取模块，用于在会话结束时，获取预设的感兴趣应用协议类型；

类型判断模块，用于判断所述会话的应用协议类型是否与所述感兴趣应用协议类型匹配；

日志上报模块，用于当所述会话的应用协议类型与所述感兴趣应用协议类型匹配时，将所述会话日志上报给日志服务器。