CN107341096A - 日志文件的生成方法和装置、计算机设备和存储介质 - Google Patents

Abstract

本发明实施例公开了一种日志文件的生成方法和装置、计算机设备和存储介质。所述方法包括：在通过网卡的数据流中，复制满足流量过滤规则的第一数据流；根据复制的第一数据流的协议类型，选择匹配的数据解析插件；使用数据解析插件，解析第一数据流，生成与协议类型对应的解析数据；按照设定日志生成格式，使用解析数据生成对应的日志文件。本发明实施例的技术方案解决了现有技术中各系统以及各程序的日志文件格式不统一，难以对日志文件进行统一处理的技术缺陷，实现了统一各协议类型或各应用程序的数据流对应的日志文件的格式，以便统一进行日志数据的截取和数据分析等操作，同时，基于旁路获取数据流，不影响相应系统或应用程序的正常运行。

Description

日志文件的生成方法和装置、计算机设备和存储介质

技术领域

本发明实施例涉及日志数据处理技术领域，尤其涉及一种日志文件的生成 方法和装置、计算机设备和存储介质。

背景技术

日志文件是用于记录系统操作事件的记录文件或文件集合，可分为事件日 志和消息日志，具有处理历史数据、诊断问题的追踪以及理解系统的活动等重 要作用，因此，日志文件对于任何系统来说都是非常重要的文件，对改善服务 和优化服务意义重大

随着互联网日新月异的发展，互联网的业务也越来越多元化，多元化的业 务一般会由多个子系统共同完成。一般情况下，各个子系统都是各自记录各自 的日志文件，由于各个子系统有可能采用不同的框架，因此，各个子系统的日 志文件的格式可能是千差万别的。

由于各个子系统的日志文件格式不统一，导致日志文件整体管理困难，难 以实现归一化的处理。

发明内容

有鉴于此，本发明实施例提供了一种日志文件的生成方法和装置、计算机 设备和存储介质，以解决现有技术中各系统以及各程序的日志文件格式不统一， 难以对日志文件进行统一处理的技术缺陷。

在第一方面，本发明实施例提供了一种日志文件的生成方法，包括：

在通过复制网卡的数据流中，复制满足流量过滤规则的第一数据流；

根据复制的所述第一数据流的协议类型，选择匹配的数据解析插件，其中， 所述数据解析插件用于对所述第一数据流进行解析；

使用所述数据解析插件，解析所述第一数据流，生成与所述协议类型对应 的解析数据；

按照设定日志生成格式，使用所述解析数据生成对应的日志文件。

在第二方面，本发明实施例提供了一种日志文件的生成装置，包括：

数据流复制模块，用于在通过网卡的数据流中，复制满足流量过滤规则的 第一数据流；

解析插件获取模块，用于根据复制的所述第一数据流的协议类型，选择匹 配的数据解析插件，其中，所述数据解析插件用于对所述第一数据流进行解析；

数据流解析模块，用于使用所述数据解析插件，解析所述第一数据流，生 成与所述协议类型对应的解析数据；

日志生成模块，用于按照设定日志生成格式，使用所述解析数据生成对应 的日志文件。

在第三方面，本发明实施例提供了一种设备，所述设备包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多 个处理器实现本发明实施例所述的日志文件的生成方法。

在第四方面，本发明实施例提供了一种计算机可读存储介质，其上存储有 计算机程序，该程序被处理器执行时实现本发明实施例所述的日志文件的生成 方法。

本发明实施例提供了一种日志文件的生成方法和装置、计算机设备和存储 介质，通过先在通过网卡的数据流中，复制满足流量过滤规则的第一数据流， 然后根据复制的第一数据流的协议类型，选择匹配的数据解析插件，再使用数 据解析插件，解析第一数据流，生成与协议类型对应的解析数据，最后按照设 定日志生成格式，使用解析数据生成对应的日志文件，解决了现有技术中各系 统以及各程序的日志文件格式不统一，难以对日志文件进行统一处理的技术缺 陷，实现了统一各协议类型或各应用程序的数据流对应的日志文件的格式，以 便统一进行日志数据的截取和数据分析等操作，同时，基于旁路获取数据流，不影响相应系统或应用程序的正常运行。

附图说明

图1是本发明实施例一提供的一种日志文件的生成方法的流程图；

图2是本发明实施例二提供的一种日志文件的生成方法的流程图；

图3是本发明实施例三提供的一种日志文件的生成方法的流程图；

图4是本发明实施例四提供的一种日志文件的生成装置的结构图；

图5是本发明实施例五提供的一种设备的结构图。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚，下面结合附图对本发明 具体实施例作进一步的详细描述。可以理解的是，此处所描述的具体实施例仅 仅用于解释本发明，而非对本发明的限定。

另外还需要说明的是，为了便于描述，附图中仅示出了与本发明相关的部 分而非全部内容。在更加详细地讨论示例性实施例之前应当提到的是，一些示 例性实施例被描述成作为流程图描绘的处理或方法。虽然流程图将各项操作(或 步骤)描述成顺序的处理，但是其中的许多操作可以被并行地、并发地或者同 时实施。此外，各项操作的顺序可以被重新安排。当其操作完成时所述处理可 以被终止，但是还可以具有未包括在附图中的附加步骤。所述处理可以对应于 方法、函数、规程、子例程、子程序等等。

实施例一

图1为本发明实施例一提供的一种日志文件的生成方法的流程图，本实施 例的方法可以由日志文件的存储装置来执行，该装置可通过硬件和/或软件的方 式实现，并一般可集成于计算机或服务器中。本实施例的方法具体包括：

110、在通过复制网卡的数据流中，复制满足流量过滤规则的第一数据流。

在本实施例中，获取第一数据流的方式是直接从网卡中进行复制，因此不 影响与第一数据流对应的应用程序的正常运行，并且，当与第一数据流对应的 应用程序出现问题时，也可以正常记录该应用程序的日志数据，具体而言，可 以基于原始套接字，也可以基于libpcap或者winpcap从网卡中复制第一数据流。

在本实施例中，流量过滤规则具体是指所需复制的第一数据流应满足的条 件，典型的可以是：IP协议数据流、TCP协议的数据流、TCP协议80端口的数 据流、相对于TCP头部偏移为2个字节且数据为0X504F5354的数据流或自定 义协议的数据流等流量过滤规则。

120、根据复制的第一数据流的协议类型，选择匹配的数据解析插件。

在本实施例中，在复制满足流量过滤规则的第一数据流之后，根据复制的 第一数据流的协议类型，选取匹配的数据解析插件解析复制的第一数据流。其 中，数据解析插件具体是指可以用来对与复制的第一数据流的协议类型一致的 数据进行解析的数据解析插件。

进一步地，在本实施例中，可以是在设定存储空间中已存储了一定数量的 数据解析插件，如果该存储空间中已存储了与复制的第一数据流的协议类型匹 配的数据解析插件，则可以直接调用该数据解析插件；如果该存储空间中没有 存储与复制的第一数据流的协议类型匹配的数据解析插件，则可以从服务器中 下载所需数据解析插件，另外，当复制的第一数据流的协议类型为自定义协议 时，首先需要生成与自定义协议匹配的数据解析插件，然后可将生成的数据解 析插件存储在设定存储空间中。

130、使用数据解析插件，解析第一数据流，生成与协议类型对应的解析数 据。

在本实施例中，在选取与复制的第一数据流的协议类型匹配的数据解析插 件之后，即可使用该数据解析插件对复制的第一数据流中的数据进行解析，进 而得到与协议类型对应的解析数据。

本领域技术人员可以理解的是，数据流中的数据的各个字段具有不同的数 据含义，其中，只有某些字段的数据有必要用来进行相应的日志记录，因此， 在本实施例中，对复制的第一数据流的数据可以不全部进行解析，而只对与日 志记录相关的字段以及其他所需字段进行解析，这样可以大幅度地减小计算量， 节省数据解析时间。

140、按照设定日志生成格式，使用解析数据生成对应的日志文件。

在本实施例中，设定日志生成格式具体是指日志所包含的解析数据以及解 析数据的记录方式等方面的内容。一般来说，对应不同协议类型的解析数据所 需的日志文件格式不尽相同，因此，在本实施例中，可以依据复制的第一数据 流的协议类型确定对应的日志生成格式，当然，也可以只使用一种日志生成格 式对应所有的协议类型，本实施例对此不进行限制。

进一步地，由于同一协议类型的数据可能会对应于多个不同的应用程序， 也就是说，该多个不同应用程序所使用的数据流的协议类型一致，因此，在本 实施例中，当复制了某一协议类型对应的第一数据流并进行解析之后，需要对 与该协议类型对应的多个不同的应用程序分别生成对应的日志文件时，可以先 根据复制的第一数据流的特征对第一数据流的数据进行分组，以使分组之后的 各组数据可以分别对应不同的应用程序，然后再依据分组后的数据对应的解析 数据生成多个不同的日志文件对应于不同的应用程序。

本发明实施例提供了一种日志文件的生成方法，通过先在通过网卡的数据 流中，复制满足流量过滤规则的第一数据流，然后根据复制的第一数据流的协 议类型，选择匹配的数据解析插件，再使用数据解析插件，解析第一数据流， 生成与协议类型对应的解析数据，最后按照设定日志生成格式，使用解析数据 生成对应的日志文件，解决了现有技术中各系统以及各程序的日志文件格式不 统一，难以对日志文件进行统一处理的技术缺陷，实现了统一各协议类型或各 应用程序的数据流对应的日志文件的格式，以便统一进行日志数据的截取和数 据分析等操作，同时，基于旁路获取数据流，不影响相应系统或应用程序的正 常运行。

实施例二

图2是本发明实施例二提供的一种日志文件的生成方法的流程图。本实施 例以上述实施例为基础进行优化，在本实施例中，将按照设定日志生成格式， 使用解析数据生成对应的日志文件，具体化为：对解析数据按照应用程序进行 分组；按照设定日志生成格式，使用分组后的解析数据生成与应用程序对应的 日志文件。

进一步地，将对解析数据按照应用程序进行分组，具体化为：如果第一数 据流确定的目标应用程序唯一，则将与第一数据流对应的解析数据分为一组； 如果第一数据流确定的目标应用程序不唯一，则在与第一数据流对应的解析数 据中，选取与目标应用程序的数据格式相匹配的解析数据分为一组。

相应地，将按照设定日志生成格式，使用分组后的解析数据生成与应用程 序对应的日志文件，具体化为：按照设定日志生成格式，使用分组后的解析数 据生成与目标应用程序对应的日志文件。

相应的，本实施例的方法具体包括：

210、在通过网卡的数据流中，复制满足流量过滤规则的第一数据流。

在本实施例中，流量过滤规则具体可以是协议类型过滤规则，端口号过滤 规则，以及设定协议类型中设定字段位置过滤规则中的至少一项。

220、根据复制的第一数据流的协议类型，选择匹配的数据解析插件。

230、使用数据解析插件，解析第一数据流，生成与协议类型对应的解析数 据。

240、判断第一数据流确定的目标应用程序是否唯一，若是，则执行步骤250， 若否，则执行步骤260。

本领域技术人员可以理解的是，有些数据可以根据数据的协议类型唯一确 定该数据对应的应用程序，比如腾讯QQ的聊天数据，有些数据则不能够根据 数据的协议类型唯一确定该数据对应的应用程序，比如HTTP协议数据，另外， 有些数据可以根据数据流使用的数据端口来唯一确定该数据对应的应用程序， 有些数据则无法根据数据流使用的数据端口来唯一确定该数据对应的应用程序。

因此，在本实施例中，会根据第一数据流的协议类型、对应端口以及数据 格式等属性判断第一数据流是确定的目标应用程序是否唯一，以实现针对目标 应用程序的数据流生成对应的日志文件。

250、将与第一数据流对应的解析数据分为一组。

在本实施例中，第一数据流在进行步骤240的判断过程之前就已进行了数 据解析，因此，当确定第一数据流能够唯一确定目标应用程序之后，就可以直 接获取与第一数据流对应的解析数据，并将该解析数据记录为一组数据。

260、在与第一数据流对应的解析数据中，选取与目标应用程序的数据格式 相匹配的解析数据分为一组。

在本实施例中，当第一数据流确定的目标应用程序不唯一时，则需要在第 一数据流中选取与目标应用程序的数据格式一致的数据，并将选取出的数据对 应的解析数据记录为一组数据。

270、按照设定日志生成格式，使用分组后的解析数据生成与目标应用程序 对应的日志文件。

在本实施例中，在对解析数据依据不同的应用程序进行分组之后，即可按 照设定日志生成格式，针对每组解析数据，生成与每组解析数据分别对应的日 志文件，生成的日志文件分别对应于不同的应用程序。

进一步地，在本实施例中，不同组的解析数据对应的设定日志生成格式可 以相同，也可以不同，本实施例对此不进行限制。

本发明实施例二提供了一种日志文件的生成方法，具体化了日志文件的生 成方法，增加了日志文件与应用程序之间的关联性，同时对具体化后的日志文 件的生成方法中的解析数据分组方法进行了具体化，使得解析数据与应用程序 更加准确地对应。利用该方法可以实现基于旁路数据流生成各应用程序对应的 日志文件，同时，基于对各组解析数据对应的设定日志生成格式的设置，可以 实现统一与各组解析数据对应的所有应用程序的日志文件的格式，以便日后对 日志文件进行统一的管理。

实施例三

图3是本发明实施例三提供的一种日志文件的生成方法的流程图。本实施 例以上述实施例为基础进行优化，在本实施例中，将按照设定日志生成格式， 使用解析数据生成对应的日志文件，具体化为：根据日志生成格式确定解析数 据中的待记录数据，以及待记录数据的记录方式；根据记录方式，使用待记录 数据生成对应的日志文件。

进一步地，将根据复制的第一数据流的协议类型，选择匹配的数据解析插 件，具体化为：判断是否存储有与第一数据流的协议类型对应的数据解析插件； 若否，则获取与第一数据流的协议类型对应的数据解析插件，并作为数据解析 插件；若是，则直接从设定存储空间中，选择与第一数据流的协议类型匹配的 数据解析插件。

进一步地，将使用数据解析插件，解析第一数据流，生成与协议类型对应 的解析数据，具体化为：获取数据解析设置参数，根据数据解析设置参数确定 复制的第一数据流的待解析字段；使用数据解析插件，解析待解析字段，生成 与协议类型对应的解析数据。

相应的，本实施例的方法具体包括：

310、在通过网卡的数据流中，复制满足流量过滤规则的第一数据流。

由于原始套接字允许对较低层次的协议直接访问，比如IP协议，因此，在 本实施例中，可以基于原始套接字在通过网卡的数据流中，复制满足流量过滤 规则的第一数据流。

320、判断是否存储有与第一数据流的协议类型对应的数据解析插件，若否， 则执行步骤330，若是，则执行步骤340。

在本实施例中，在设定存储空间中会存储有一定数量的数据解析插件，以 便对复制的第一数据流进行解析，但是，由于存储空间的限制等因素，存储的 数据解析插件无法覆盖所有的数据协议类型，所以，在复制第一数据流之后， 需要判断是否存储有与第一数据流的协议类型对应的数据解析插件。

330、获取与第一数据流的协议类型对应的数据解析插件，并作为数据解析 插件。

在本实施例中，如果没有存储与复制的第一数据流的协议类型对应的数据 解析插件，则可以需要通过从服务器中下载等方法获取所需数据解析插件。获 取的与第一数据流的协议类型对应的数据解析插件可以存储在设定存储空间中， 也可以不进行存储。

340、直接从设定存储空间中，选择与第一数据流的协议类型匹配的数据解 析插件。

在本实施例中，如果存储有与复制的第一数据流的协议类型对应的数据解 析插件，则可以直接从设定存储空间中获取该数据解析插件。

350、获取数据解析设置参数，根据数据解析设置参数确定复制的第一数据 流的待解析字段。

在本实施例中，数据解析设置参数具体是指复制的第一数据流中的数据的 解析方式对应的参数，其中，数据的解析方式具体可以包括数据所需解析字段 等内容。

360、使用数据解析插件，解析待解析字段，生成与协议类型对应的解析数 据。

370、根据日志生成格式确定解析数据中的待记录数据，以及待记录数据的 记录方式。

在本实施例中，解析数据可以不全部记录在日志文件中，可以根据日志生 成格式确定所需记录在日志文件中的解析数据，即待记录数据。同时，日志生 成格式还同时规定了待记录数据在日志文件中的记录方式。

380、根据记录方式，使用待记录数据生成对应的日志文件。

在本实施例中，在确定了待记录数据和其记录方式之后，可以生成对应的 日志文件。

进一步地，在本实施例中，在生成日志文件之后，还可以对日志文件进行 存储，存储的方式具体可以是仅在本地进行存储，可以是仅将日志文件发送至 预设服务器进行远端存储，还可以是既在本地进行存储，同时也发送至预设服 务器进行远端存储。

本发明实施例三提供了一种日志文件的生成方法，具体化了日志文件的生 成方法，使得日志文件的格式更符合实际需求，还具体化了数据解析插件的获 取方法，丰富了解析数据的类型，同时，还具体化了解析数据的生成方法，减 小了数据解析的工作量。利用该方法可以实现对更多协议类型所对应数据的解 析，丰富日志文件的记录内容，同时，由于只针对特定字段进行数据解析，可 以减小计算量，缩短日志文件的生成时间。

实施例四

图4是本发明实施例四提供的一种日志文件的生成装置的结构图。如图4 所示，所述装置包括：数据流复制模块401、解析插件获取模块402、数据流解 析模块403以及日志生成模块404。其中：

数据流复制模块401，用于在通过网卡的数据流中，复制满足流量过滤规则 的第一数据流；

解析插件获取模块402，用于根据复制的第一数据流的协议类型，选择匹配 的数据解析插件，其中，数据解析插件用于对第一数据流进行解析；

数据流解析模块403，用于使用数据解析插件，解析第一数据流，生成与协 议类型对应的解析数据；

日志生成模块404，用于按照设定日志生成格式，使用解析数据生成对应的 日志文件。

本发明实施例提供了一种日志文件的生成装置，通过先在通过网卡的数据 流中，复制满足流量过滤规则的第一数据流，然后根据复制的第一数据流的协 议类型，选择匹配的数据解析插件，再使用数据解析插件，解析第一数据流， 生成与协议类型对应的解析数据，最后按照设定日志生成格式，使用解析数据 生成对应的日志文件，解决了现有技术中各系统以及各程序的日志文件格式不 统一，难以对日志文件进行统一处理的技术缺陷，实现了统一各协议类型或各 应用程序的数据流对应的日志文件的格式，以便统一进行日志数据的截取和数 据分析等操作，同时，基于旁路获取数据流，不影响相应系统或应用程序的正 常运行。

在上述各实施例的基础上，流量过滤规则可以包括下述至少一项：

协议类型过滤规则，端口号过滤规则，以及设定协议类型中设定字段位置 过滤规则。

在上述各实施例的基础上，日志生成模块可以包括：

数据分组单元，用于对解析数据按照应用程序进行分组；

第一日志文件生成单元，用于按照设定日志生成格式，使用分组后的解析 数据生成与应用程序对应的日志文件。

在上述各实施例的基础上，数据分组单元可以包括：

第一数据分组子单元，用于如果第一数据流确定的目标应用程序唯一，则 将与第一数据流对应的解析数据分为一组；

第二数据分组子单元，用于如果第一数据流确定的目标应用程序不唯一， 则在与第一数据流对应的解析数据中，选取与目标应用程序的数据格式相匹配 的解析数据分为一组；

第一日志文件生成单元，具体可以用于：

按照设定日志生成格式，使用分组后的解析数据生成与目标应用程序对应 的日志文件。

在上述各实施例的基础上，日志生成模块还可以包括：

待记录数据确定单元，用于根据日志生成格式确定解析数据中的待记录数 据，以及待记录数据的记录方式；

第二日志文件生成单元，用于根据记录方式，使用待记录数据生成对应的 日志文件。

在上述各实施例的基础上，解析插件获取模块可以包括：

判断单元，用于判断是否存储有与第一数据流的协议类型对应的数据解析 插件；

插件获取单元，用于若否，则获取与第一数据流的协议类型对应的数据解 析插件，并作为数据解析插件；

插件选取单元，用于若是，则直接从设定存储空间中，选择与第一数据流 的协议类型匹配的数据解析插件。

在上述各实施例的基础上，第一数据流解析模块可以包括：

待解析字段获取单元，用于获取数据解析设置参数，根据数据解析设置参 数确定复制的第一数据流的待解析字段；

解析数据生成单元，用于使用数据解析插件，解析待解析字段，生成与协 议类型对应的解析数据。

本发明实施例所提供的日志文件的生成装置可用于执行本发明任意实施例 提供的日志文件的生成方法，具备相应的功能模块，实现相同的有益效果。

实施例五

图5为本发明实施例5提供的一种设备的结构示意图。图5示出了适于用 来实现本发明实施方式的示例性设备12的框图。图5显示的设备12仅仅是一 个示例，不应对本发明实施例的功能和使用范围带来任何限制。

如图5所示，设备12以通用计算设备的形式表现。设备12的组件可以包 括但不限于：一个或者多个处理器或者处理单元16，系统存储器28，连接不同 系统组件(包括系统存储器28和处理单元16)的总线18。

总线18表示几类总线结构中的一种或多种，包括存储器总线或者存储器控 制器，外围总线，图形加速端口，处理器或者使用多种总线结构中的任意总线 结构的局域总线。举例来说，这些体系结构包括但不限于工业标准体系结构(ISA)总线，微通道体系结构(MAC)总线，增强型ISA总线、视频电子标 准协会(VESA)局域总线以及外围组件互连(PCI)总线。

设备12典型地包括多种计算机系统可读介质。这些介质可以是任何能够被 设备12访问的可用介质，包括易失性和非易失性介质，可移动的和不可移动的 介质。

系统存储器28可以包括易失性存储器形式的计算机系统可读介质，例如随 机存取存储器(RAM)30和/或高速缓存存储器32。设备12可以进一步包括其 它可移动/不可移动的、易失性/非易失性计算机系统存储介质。仅作为举例，存 储系统34可以用于读写不可移动的、非易失性磁介质(图5未显示，通常称为 “硬盘驱动器”)。尽管图5中未示出，可以提供用于对可移动非易失性磁盘(例 如“软盘”)读写的磁盘驱动器，以及对可移动非易失性光盘(例如CD-ROM, DVD-ROM或者其它光介质)读写的光盘驱动器。在这些情况下，每个驱动器可以通过一个或者多个数据介质接口与总线18相连。存储器28可以包括至少 一个程序产品，该程序产品具有一组(例如至少一个)程序模块，这些程序模 块被配置以执行本发明各实施例的功能。

具有一组(至少一个)程序模块42的程序/实用工具40，可以存储在例如 存储器28中，这样的程序模块42包括但不限于操作系统、一个或者多个应用 程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包 括网络环境的实现。程序模块42通常执行本发明所描述的实施例中的功能和/ 或方法。

设备12也可以与一个或多个外部设备14(例如键盘、指向设备、显示器 24等)通信，还可与一个或者多个使得用户能与该设备12交互的设备通信，和 /或与使得该设备12能与一个或多个其它计算设备进行通信的任何设备(例如网 卡，调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口22进行。 并且，设备12还可以通过网络适配器20与一个或者多个网络(例如局域网 (LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。如图所示，网 络适配器20通过总线18与设备12的其它模块通信。应当明白，尽管图中未示 出，可以结合设备12使用其它硬件和/或软件模块，包括但不限于：微代码、设 备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数 据备份存储系统等。

处理单元16通过运行存储在系统存储器28中的程序，从而执行各种功能 应用以及数据处理，例如实现本发明实施例所提供的日志文件的生成方法，所 述日志文件的生成方法包括：

在通过网卡的数据流中，复制满足流量过滤规则的第一数据流；

根据复制的第一数据流的协议类型，选择匹配的数据解析插件，其中，数 据解析插件用于对第一数据流进行解析；

使用数据解析插件，解析第一数据流，生成与协议类型对应的解析数据；

按照设定日志生成格式，使用解析数据生成对应的日志文件。

实施例六

本发明实施例六还提供了一种计算机可读存储介质，其上存储有计算机程 序，其特征在于，该程序被处理器执行时实现本发明实施例所述的日志文件的 生成方法，所述日志文件的生成方法包括：

在通过网卡的数据流中，满足流量过滤规则的第一数据流；

根据复制的第一数据流的协议类型，选择匹配的数据解析插件，其中，第 一数据解析插件用于对第一数据流进行解析；

使用数据解析插件，解析第一数据流，生成与协议类型对应的解析数据；

按照设定日志生成格式，使用解析数据生成对应的日志文件。

本发明实施例的计算机存储介质，可以采用一个或多个计算机可读的介质 的任意组合。计算机可读介质可以是计算机可读信号介质或者计算机可读存储 介质。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、 红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存 储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、 便携式计算机磁盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦 式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器 (CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本文件 中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以 被指令执行系统、装置或者器件使用或者与其结合使用。

计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据 信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种 形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读 的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算 机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用 或者与其结合使用的程序。

计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括—— 但不限于无线、电线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言或其组合来编写用于执行本发明操作的计 算机程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、 Smalltalk、C++，还包括常规的过程式程序设计语言—诸如”C”语言或类似的 程序设计语言。程序代码可以完全地在用户计算机上执行、部分地在用户计算 机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算 机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形 中，远程计算机可以通过任意种类的网络——包括局域网(LAN)或广域网(WAN) —连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提 供商来通过因特网连接)。

注意，上述仅为本发明的较佳实施例及所运用技术原理。本领域技术人员 会理解，本发明不限于这里所述的特定实施例，对本领域技术人员来说能够进 行各种明显的变化、重新调整和替代而不会脱离本发明的保护范围。因此，虽 然通过以上实施例对本发明进行了较为详细的说明，但是本发明不仅仅限于以 上实施例，在不脱离本发明构思的情况下，还可以包括更多其他等效实施例， 而本发明的范围由所附的权利要求范围决定。

Claims (10)

1.一种日志文件的生成方法，其特征在于，包括：

在通过网卡的数据流中，复制满足流量过滤规则的第一数据流；

根据复制的所述第一数据流的协议类型，选择匹配的数据解析插件，其中，所述数据解析插件用于对所述第一数据流进行解析；

使用所述数据解析插件，解析所述第一数据流，生成与所述协议类型对应的解析数据；

按照设定日志生成格式，使用所述解析数据生成对应的日志文件。

2.根据权利要求1所述的方法，其特征在于，所述流量过滤规则包括下述至少一项：

协议类型过滤规则，端口号过滤规则，以及设定协议类型中设定字段位置过滤规则。

3.根据权利要求1所述的方法，其特征在于，所述按照设定日志生成格式，使用所述解析数据生成对应的日志文件，包括：

对所述解析数据按照应用程序进行分组；

按照设定日志生成格式，使用分组后的解析数据生成与所述应用程序对应的日志文件。

4.根据权利要求3所述的方法，其特征在于，所述对所述解析数据按照应用程序进行分组，包括：

如果所述第一数据流确定的目标应用程序唯一，则将与所述第一数据流对应的解析数据分为一组；

如果所述第一数据流确定的目标应用程序不唯一，则在与所述第一数据流对应的解析数据中，选取与所述目标应用程序的数据格式相匹配的解析数据分为一组；

所述按照设定日志生成格式，使用分组后的解析数据生成与所述应用程序对应的日志文件，包括：

按照设定日志生成格式，使用分组后的解析数据生成与所述目标应用程序对应的日志文件。

5.根据权利要求1所述的方法，其特征在于，所述按照设定日志生成格式，使用所述解析数据生成对应的日志文件，包括：

根据所述日志生成格式确定所述解析数据中的待记录数据，以及所述待记录数据的记录方式；

根据所述记录方式，使用所述待记录数据生成对应的日志文件。

6.根据权利要求1所述的方法，其特征在于，所述根据复制的所述第一数据流的协议类型，选择匹配的数据解析插件，包括：

判断是否存储有与所述第一数据流的协议类型对应的数据解析插件；

若否，则获取与所述第一数据流的协议类型对应的数据解析插件，并作为数据解析插件；

若是，则直接从设定存储空间中，选择与所述第一数据流的协议类型匹配的数据解析插件。

7.根据权利要求1所述的方法，其特征在于，所述使用所述数据解析插件，解析所述第一数据流，生成与所述协议类型对应的解析数据，包括：

获取数据解析设置参数，根据所述数据解析设置参数确定复制的所述第一数据流的待解析字段；

使用所述数据解析插件，解析所述待解析字段，生成与所述协议类型对应的解析数据。

8.一种日志文件的生成装置，其特征在于，包括：

数据流复制模块，用于在通过网卡的数据流中，复制满足流量过滤规则的第一数据流；

解析插件获取模块，用于根据复制的所述第一数据流的协议类型，选择匹配的数据解析插件，其中，所述数据解析插件用于对所述第一数据流进行解析；

数据流解析模块，用于使用所述数据解析插件，解析所述第一数据流，生成与所述协议类型对应的解析数据；

日志生成模块，用于按照设定日志生成格式，使用所述解析数据生成对应的日志文件。

9.一种设备，其特征在于，所述设备包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如权利要求1-7中任一所述的日志文件的生成方法。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1-7中任一所述的日志文件的生成方法。