CN113076462A - 网络会话数据查询方法、装置、设备及介质 - Google Patents

Abstract

本发明实施例公开了一种网络会话数据查询方法、装置、设备及介质。该方法包括：在接收到会话数据查询请求时，根据所述会话数据查询请求进行会话数据查询，展示会话数据查询结果；在接收到针对所述会话数据查询结果对应的镜像生成请求时，生成与所述会话数据查询结果对应的会话数据镜像；在接收到针对所述会话数据镜像的查看请求时，展示所述会话数据镜像。上述技术方案实现了网络会话数据的回溯查询，提高了网络会话数据的分析效率。

Description

网络会话数据查询方法、装置、设备及介质

技术领域

本发明实施例涉及数据处理技术领域，尤其涉及一种网络会话数据查询方法、装置、设备及介质。

背景技术

随着信息时代的不断发展，网络流量分析对于网络资源的优化和网络的安全具有重要意义。

由于网络流量的高速增长，导致在进行网络流量分析时面临的数据量也呈几何倍数增加，使得网络会话数据包轻易便可达到百亿级。目前关于网络会话数据的分析，通常只能支持会话数据的单次导入分析，在面对海量数据时，不利于数据分析人员进行回溯查询，导致分析效率较低。因此，如何实现网络会话数据的回溯查询，提高网络会话数据的分析效率是亟待解决的问题。

发明内容

本发明实施例提供一种网络会话数据查询方法、装置、设备及介质，以实现网络会话数据的回溯查询，提高网络会话数据的分析效率。

第一方面，本发明实施例提供了一种网络会话数据查询方法，包括：

在接收到会话数据查询请求时，根据所述会话数据查询请求进行会话数据查询，展示会话数据查询结果；

在接收到针对所述会话数据查询结果对应的镜像生成请求时，生成与所述会话数据查询结果对应的会话数据镜像；

在接收到针对所述会话数据镜像的查看请求时，展示所述会话数据镜像。

第二方面，本发明实施例还提供了一种网络会话数据查询装置，包括：

会话数据查询模块，设置为在接收到会话数据查询请求时，根据所述会话数据查询请求进行会话数据查询，展示会话数据查询结果；

会话数据镜像生成模块，设置为在接收到针对所述会话数据查询结果对应的镜像生成请求时，生成与所述会话数据查询结果对应的会话数据镜像；

会话数据镜像展示模块，设置为在接收到针对所述会话数据镜像的查看请求时，展示所述会话数据镜像。

第三方面，本发明实施例还提供了一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如本发明任意实施例所述的网络会话数据查询方法。

第四方面，本发明实施例还提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如本发明任意实施例所述的网络会话数据查询方法。

本发明实施例提供的技术方案中，在接收到会话数据查询请求时，根据会话数据查询请求进行会话数据查询并展示会话数据查询结果，在接收到针对会话数据查询结果对应的镜像生成请求时，生成与会话数据查询结果对应的会话数据镜像，在接收到针对会话数据镜像的查看请求时，展示会话数据镜像，实现了网络会话数据的回溯查询，提高了网络会话数据的分析效率。

附图说明

图1a是本发明实施例一中的一种网络会话数据查询方法的流程示意图；

图1b是本发明实施例一中的一种网络会话数据查询结果数量的示意图；

图1c是本发明实施例一中的一种网络会话数据镜像分析过程界面的示意图；

图1d是本发明实施例一中的一种与附图1c所示网络会话数据镜像分析过程中的步骤4对应的查询历史界面的示意图；

图1e是本发明实施例一中的一种网络会话数据查询结果分页展示界面的示意图；

图1f是本发明实施例一中的一种通用菜单包含的功能选项的示意图；

图1g是本发明实施例一中的一种源/目的IP展示菜单包含的功能选项的示意图；

图1h是本发明实施例一中的一种上下行流量展示菜单包含的功能选项的示意图；

图1i是本发明实施例一中的一种触发通用菜单的功能选项的示意图；

图1j是本发明实施例一中的一种触发源/目的IP展示菜单的功能选项的示意图；

图2a是本发明实施例二中的一种网络会话数据查询方法的流程示意图；

图2b是本发明实施例二中的一种会话数据时段预统计结果展示界面的示意图；

图2c是本发明实施例二中的一种会话数据预统计结果(地区统计)展示界面的示意图；

图2d是本发明实施例二中的一种会话数据预统计结果(异常统计)展示界面的示意图；

图2e是本发明实施例二中的一种网络会话数据查询方法的流程示意图；

图3是本发明实施例三中的一种网络会话数据查询装置的结构示意图；

图4是本发明实施例四中的一种计算机设备的硬件结构示意图。

具体实施方式

下面结合附图和实施例对本发明作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释本发明，而非对本发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与本发明相关的部分而非全部结构。

在更加详细地讨论示例性实施例之前应当提到的是，一些示例性实施例被描述成作为流程图描绘的处理或方法。虽然流程图将各项操作(或步骤)描述成顺序的处理，但是其中的许多操作可以被并行地、并发地或者同时实施。此外，各项操作的顺序可以被重新安排。当其操作完成时所述处理可以被终止，但是还可以具有未包括在附图中的附加步骤。所述处理可以对应于方法、函数、规程、子例程、子程序等等。

实施例一

图1a是本发明实施例一提供的一种网络会话数据查询方法的流程图，本发明实施例可适用于针对数量达百亿级网络会话数据包，如何提高网络会话数据分析效率的情况，该方法可以由本发明实施例提供的网络会话数据查询装置来执行，该装置可采用软件和/或硬件的方式实现，并一般可集成在计算机设备中。

如图1a所示，本实施例提供的一种网络会话数据查询方法，具体包括：

S110、在接收到会话数据查询请求时，根据会话数据查询请求进行会话数据查询，展示会话数据查询结果。

会话数据，指的是网络设备在进行网络通信时产生的流量数据。

会话数据查询请求，指的是用于查询会话数据的指令。会话数据查询请求中可以包括与待查询会话数据对应的关键字、索引或标签等参数。

会话数据查询结果，指的是根据会话数据查询请求中的参数查询到的符合会话数据查询请求的结果。

在接收到会话数据查询请求时，查询符合会话数据查询请求的会话数据，并在界面展示查询到的会话数据查询结果。

作为一种可选的实施方式，在接收到会话数据查询请求时，根据会话数据查询请求进行会话数据查询之前，还可以包括：在存储目标会话数据时，基于预定义的多个会话标签，为目标会话数据添加匹配的会话标签；

相应的，在接收到会话数据查询请求时，根据会话数据查询请求进行会话数据查询，可以包括：在接收到会话数据查询请求时，根据会话数据查询请求中携带的会话标签进行会话数据查询。

目标会话数据，指的是存储的任意会话数据。

会话标签，指的是与会话数据对应的标记。可以根据会话标签获取到对应的会话数据，从而能够快速过滤出指定的数据，将数据定位至需要关注的信息。其中，会话标签可以包括系统中预置的会话标签和用户预定义的会话标签。示例性的，系统中预置的会话标签可以包括文件名称、dns、http、ftp、pcap_name和email等会话数据中的常用字段；用户预定义的会话标签可以如表格1所示，其中，表格1中是根据常见的网络威胁类型和会话数据字段，定义出的34个会话标签。

表格1

在存储目标会话数据时，可以基于预定义的多个会话标签，为目标会话数据添加匹配的会话标签，在接收到会话数据查询请求时，可以根据会话数据查询请求中携带的会话标签，查询与会话标签匹配的会话数据。

可选的，若会话数据查询请求中还携带有其他参数，例如多个会话标签间的逻辑关系符(and或or等)，则将会话标签与其他参数结合后再进行会话数据查询。

示例性的，附图1b中提供了一种网络会话数据查询结果数量的示意图，测试文件大小为23.04G。例如，基于测试文件，当会话数据查询请求用于查询“common”文件时，得到的会话数据查询结果数量为1994937条；基于“common”文件，当会话数据查询请求用于查询“历史查询11111”时，得到的会话数据查询结果数量为1994937条；当会话数据查询请求用于查询“历史查询11111and可疑DNS会话”时，得到的会话数据查询结果数量为110982条。再例如，基于测试文件，当会话数据查询请求用于查询“dns”文件时，得到的会话数据查询结果数量为117866条；基于“dns”文件，当会话数据查询请求用于查询“bogon域名”时，没有查询到与该会话数据查询请求匹配的会话数据。

S120、在接收到针对会话数据查询结果对应的镜像生成请求时，生成与会话数据查询结果对应的会话数据镜像。

镜像生成请求，指的是用于生成与会话数据查询结果对应的镜像数据的指令。其中，镜像生成请求可以通过触发预置按钮的方式发出。

会话数据镜像，指的是与会话数据查询结果对应的镜像数据。

在网络会话数据的分析过程中，可以结合实际情况发出镜像生成请求。例如，在进行下一步分析之前，记录每一步分析过程得到的中间结果，即将每一步骤对应的会话数据查询结果分别生成对应的会话数据镜像并进行保存，使在后续分析过程中能够进一步分析或回溯至之前某一步骤对应的会话数据查询结果，满足分析过程的连续性和用户分析思路的持久性，进而能够支持多名用户在其他用户分析的基础上进行协同分析。

示例性的，附图1c中提供了一种网络会话数据镜像分析过程界面的示意图，界面中展示的是步骤4对应的会话数据查询结果。其中，原始数据为“common”文件对应的所有会话数据，步骤1对应的会话数据查询请求为“pcap_name＝‘2019123112593800072010029’”，步骤2对应的会话数据查询请求为“pcap_name＝’2019123112593800072010029’and high_port＝1”，步骤3对应的会话数据查询请求为“pcap_name＝’2019123112593800072010029’and high_port＝1and protocol_type＝42”，步骤4对应的会话数据查询请求为“pcap_name＝’2019123112593800072010029’and high_port＝1and protocol_type＝42anddip_nation＝’美国’”。在附图1c中提供的界面右侧(箭头指示处)预置一个“创建镜像”按钮，当用户触发“创建镜像”按钮时，发送针对当前步骤获得的会话数据查询结果的镜像生成请求，在系统接收到镜像生成请求时，生成与当前步骤获得的会话数据查询结果对应的会话数据镜像，进而可以将分析过程中的每一步骤获得的数据查询结果及其对应的会话数据查询请求进行保存。

S130、在接收到针对会话数据镜像的查看请求时，展示会话数据镜像。

其中，会话数据镜像的查看请求可以是用于查看会话数据镜像的指令。

示例性的，在附图1c中，当需要查看会话数据镜像时，可以触发每个步骤对应的按钮，例如，在附图1c中，假设步骤1、步骤2与步骤3对应的会话数据查询结果，均已在用户触发“创建镜像”按钮后生成与各个步骤获得的会话数据查询结果对应的会话数据镜像，如果用户需要查看步骤2对应的会话数据镜像，则可以触发“步骤2”按钮，发送针对步骤2的会话数据镜像的查看请求，系统接收到会话数据镜像的查看请求时，在界面中展示对应步骤2的会话数据镜像以及对应的会话数据查询请求。

本发明实施例提供的技术方案，在接收到会话数据查询请求时，根据会话数据查询请求进行会话数据查询并展示会话数据查询结果，在接收到针对会话数据查询结果对应的镜像生成请求时，生成与会话数据查询结果对应的会话数据镜像，在接收到针对会话数据镜像的查看请求时，展示会话数据镜像，实现了网络会话数据的回溯查询，提高了网络会话数据的分析效率。

在上述技术方案的基础上，作为一种可选的实施方式，在根据会话数据查询请求进行会话数据查询之后，还可以包括：将会话数据查询请求作为会话数据查询历史请求进行记录，并将会话数据查询结果进行缓存；

在接收到会话数据查询请求时，根据会话数据查询请求进行会话数据查询，包括：在接收到会话数据查询请求时，判断会话数据查询请求是否为会话数据查询历史请求，若是，则获取缓存的与会话数据查询请求对应的会话数据查询结果。

会话数据查询历史请求，指的是已经查询过的会话数据查询请求。在根据会话数据查询请求进行会话数据查询之后，可以将会话数据查询请求保存至历史查询记录中，以用于之后再接收到该会话数据查询请求时可以直接调用与其对应的会话数据查询结果，提高会话数据的查询效率。

在缓存会话数据查询结果时，可以采用现有技术中的任意一种缓存机制，例如，可以是encache缓存机制，本实施例对此不做具体限定。

在接收到会话数据查询请求时，如果会话数据查询请求为会话数据查询历史请求，则可以获取缓存的与会话数据查询请求对应的会话数据查询结果，提高会话数据重复查询的效率。

可选的，可以根据查询频次和最后一次查询时间，对记录的会话数据查询历史请求进行综合排序，并且可以优先按照查询频次由高至低的顺序展示记录的与会话数据查询历史请求对应的历史查询条件。

示例性的，附图1d提供了一种与附图1c所示网络会话数据镜像分析过程中的步骤4对应的查询历史界面的示意图，在查询历史中，没有查询到缓存的与步骤4中用于查询“pcap_name＝’2019123112593800072010029’and high_port＝1and protocol_type＝42and dip_nation＝’美国’”条件的会话数据查询请求对应的会话数据查询结果，查询历史记录可以根据查询频次和最后一次查询时间，查询与步骤4对应的会话数据查询请求相关的查询历史记录，例如查询“pcap_name＝’2019123112593800072010029’and high_port＝1”条件的会话数据查询请求对应的查询历史记录并在界面中展示，此时可以基于步骤4的会话数据查询请求进行会话数据查询，也可以基于查询历史记录，选择其中某个相关的查询表达式进行会话数据查询，从而实现会话数据的快捷查询。

作为另一种可选的实施方式，根据会话数据查询请求进行会话数据查询，可以包括：根据会话数据查询请求按照预设的内存分页策略进行会话数据查询。

其中，内存分页策略可以是在进行会话数据查询时执行的一种查询策略，即将所有的会话数据分成若干个部分，在根据会话查询请求进行会话数据查询时，可以同时在若干个部分进行查询，提高会话数据的查询效率。

可选的，在根据会话数据查询请求按照预设的内存分页策略进行会话数据查询时，可以设置预设查询结果展示数量，当查询到的会话数据查询结果超过预设查询结果展示数量时，可以不展示超出预设查询结果数量的会话数据查询结果，并进行提示。

示例性的，附图1e提供了一种网络会话数据查询结果分页展示界面的示意图，结合实际业务情况，假设预设查询结果展示数量为10000条会话数据，附图1e中所示的查询列表设置为每页可展示100条数据，当超过100页(如101页)时，待展示的会话数据查询结果超出预设查询结果数量10000条，则查询列表中不再展示超出10000条部分的会话数据，并且在界面中提示“深度分页影响查询效率，请重新选择条件！”，以提醒用户根据当前会话数据查询请求查询到的会话数据查询结果超过预设查询结果数量10000条，建议增加过滤条件(即表达式中的会话标签)，精确定位会话数据查询结果。

作为另一种可选的实施方式，在展示会话数据查询结果之后，还可以包括：在接收到针对会话数据查询结果的目标操作请求时，对会话数据查询结果执行与目标操作请求匹配的操作，并展示会话数据操作结果；在接收到针对会话数据操作结果的目标操作请求时，对会话数据操作结果执行与目标操作请求匹配的操作，并展示会话数据操作结果。

目标操作请求，指的是与会话数据查询结果的操作项对应的指令，例如，与查询对应的操作请求、与上下文分析对应的操作请求等。其中，目标操作请求可以通过触发右键菜单中的功能选项的方式发出，示例性的，可以针对查询列表中不同行和不同列以及会话数据的不同类型，提供丰富的右键菜单功能选项，可以基于触发右键菜单功能选项生成目标操作请求，例如，附图1f提供了一种通用菜单包含的功能选项，附图1g提供了一种源/目的IP展示菜单包含的功能选项，图1h提供了一种上下行流量展示菜单包含的功能选项，通过触发右键菜单中的功能选项发出对应的目标操作请求，指示会话数据查询结果执行与目标操作请求匹配的操作。

会话数据操作结果，指的是会话数据查询结果在执行与目标操作请求匹配的操作后得到的结果。

在根据会话数据查询请求查询到会话数据查询结果并在界面中展示后，可以根据目标操作请求(如选中的右键菜单的功能项)，对会话数据查询结果进行操作，并展示会话数据操作结果。

示例性的，如附图1i中触发通用菜单的功能选项的示意图所示，在展示会话数据查询结果之后，选择某条会话数据查询结果，通过右键菜单的方式触发目标操作请求，在接收到针对该条会话数据查询结果的目标操作请求时，对该条会话数据查询结果执行与选择的右键菜单中的功能项匹配的操作，并展示会话数据操作结果，具体的：选择某条会话数据右键弹出一级通用菜单并展示通用菜单中包括的功能项(查询、排除、上下文分析、数据包解析、话单详情、日志标签和操作)，当接收到针对会话数据查询结果的目标操作请求为“查询”时，可以进一步弹出“查询”对应的二级子菜单并展示其中包括的功能项(当前结果查询和当前镜像查询)，当接收到针对会话数据查询结果的目标操作请求为“当前结果查询”时，可以再进一步弹出“当前结果查询”对应的三级子菜单并展示其中包括的功能项(协议类型dns的话单、长会话话单、短会话话单、高端口话单、境外通讯(目的IP境外)和境外通讯(源IP境外))，从而实现了对会话数据进行迭代分析。

再例如，如附图1j中触发源/目的IP展示菜单的功能选项的示意图所示，选择某条会话数据查询结果右键弹出一级源/目的IP展示菜单并展示源/目的IP展示菜单中包括的功能项(查询、排除、上下文分析、数据包解析、话单详情、日志标签和操作)，当接收到针对会话数据查询结果的目标操作请求为“排除”(相当于反向查询，即查询除当前选择项之外的其余选择项)时，可以进一步弹出“排除”对应的二级子菜单并展示其中包括的功能项(当前结果查询和当前镜像查询)，当接收到针对会话数据查询结果的目标操作请求为“当前镜像查询”时，可以再进一步弹出“当前镜像查询”对应的三级子菜单并展示其中包括的功能项(IP 10.44.218.13的话单、目的IP 10.44.218.13的话单、源IP10.44.218.13的话单、IP10.44.218.13与179.126.42.89的话单、境外通讯(目的IP境外)、境外通讯(源IP境外)和广播地址)。

实施例二

图2a是本发明实施例二提供的一种网络会话数据查询方法的流程图。本实施例在上述实施例的基础上进行具体化，其中，一种网络会话数据查询方法，还可以包括：对存储的会话数据进行预统计，得到会话数据预统计结果；

在接收到会话数据统计请求时，根据会话数据预统计结果生成与会话数据统计请求对应的会话数据统计结果，展示会话数据统计结果。

如图2a所示，本实施例提供的一种网络会话数据查询方法，具体包括：

S210、对存储的会话数据进行预统计，得到会话数据预统计结果。

预统计，指的是对所有会话数据按照预设的统计规则进行聚合分类。

会话数据预统计结果，指的是对所有会话数据按照预设的统计规则进行预统计后得到的结果。

在会话数据进行分析操作前，可以对存储的会话数据按照一定的预设规则进行预统计，使在查询会话数据时能够根据会话数据预统计结果进行快速查询，缩小会话数据的查询范围，提高会话数据的查询效率以及流量分析的便捷性。

S220、在接收到会话数据统计请求时，根据会话数据预统计结果生成与会话数据统计请求对应的会话数据统计结果，展示会话数据统计结果。

会话数据统计请求，指的是对会话数据进行统计的指令。

会话数据统计结果，指的是根据会话数据统计请求得到的会话数据统计情况。

在接收到会话数据统计请求时，根据会话数据预统计结果生成与会话数据统计请求对应的会话数据统计结果，并在界面展示查询到的会话数据统计结果。

作为一种可选的实施方式，对存储的会话数据进行预统计，得到会话数据预统计结果，可以包括：按预定义的时段定时对存储的会话数据进行预统计，得到会话数据时段预统计结果；

在会话数据统计请求为会话数据时段统计请求时，根据会话数据预统计结果生成与会话数据统计请求对应的会话数据统计结果，可以包括：根据会话数据时段预统计结果生成与会话数据时段统计请求对应的会话数据统计结果。

预定义的时段，指的是对所有会话数据进行预统计时预设的时间范围，用于指示会话数据按照预设的时间范围进行预统计，例如，预定义的时段可以是10秒或1天等。

会话数据时段预统计结果，指的是将所有存储的会话数据按照预定义的时段进行统计后得到的统计结果。

会话数据时段统计请求，指的是按照时段对会话数据进行统计的指令，例如，对距离开始时刻第10秒至第20秒时段之间的会话数据进行统计的请求。

按预定义的时段定时对存储的会话数据进行预统计，当接收到会话数据时段统计请求时，根据会话数据时段预统计结果生成与会话数据时段统计请求对应的会话数据时段统计结果，实现了基于会话数据时段预统计结果的会话数据快速查询。

可选的，会话数据时段预统计结果可以采用时间轴的形式进行展示，并且可以采用框选的方式根据会话数据时段预统计结果截取与会话数据时段统计请求对应的会话数据统计结果。

示例性的，附图2b提供了一种会话数据时段预统计结果展示界面，其中，预定义的时段(即附图2b中的时间范围)可以包括10秒、1分钟、10分钟、1小时和1天五个不同的时段，附图2b中展示的会话数据时段预统计结果是在预定义的时段设置为10秒时，按预定义的时段定时对会话数据的上行流量、下行流量和总流量进行统计后得到的会话数据时段预统计结果，横坐标表示时间，纵坐标表示流量。假设会话数据时段统计请求是统计“2019-12-3112:58:50”至“2019-12-31 12:59:00”之间的会话数据，则可以根据会话数据时段预统计结果生成与会话数据时段统计请求对应的会话数据统计结果，即可以采用框选的方式直接截取“2019-12-31 12:58:50”至“2019-12-31 12:59:00”之间的会话数据作为对应的会话数据统计结果，提高了网络会话数据查询的效率以及流量分析的便捷性。

作为另一种可选的实施方式，对存储的会话数据进行预统计，得到会话数据预统计结果，可以包括：按预定义的类型对存储的会话数据进行预统计，得到会话数据类型预统计结果；

在会话数据统计请求为会话数据类型统计请求时，根据会话数据预统计结果生成与会话数据统计请求对应的会话数据统计结果，可以包括：根据会话数据类型预统计结果生成与会话数据类型统计请求对应的会话数据统计结果。

预定义的类型，指的是对所有会话数据进行预统计时预设的分类类别，用于指示会话数据按照预设的分类类别进行聚合统计，例如，根据会话数据对应的异常标签(如表格1中的第6、第7或第8个标签等异常标签)预定义的异常统计类型；再例如，根据会话数据对应的运营商标签(如表格1中的第30或第31个标签等运营商标签)预定义的运营商统计类型。

会话数据类型预统计结果，指的是将所有存储的会话数据预先按照预定义的类型进行统计后得到的统计结果。

会话数据类型统计请求，指的是根据某种分类类型对会话数据进行统计的指令。其中，会话数据类型统计请求可以包括查询和排除，会话数据类型统计请求可以通过触发右键菜单中的功能选项的方式发出。例如，根据某种异常统计标签对会话数据进行统计的请求，或者排除某种异常统计标签后根据其余未排除的异常统计标签对会话数据进行统计的请求。

按预定义的类型对存储的会话数据进行预统计，当接收到会话数据类型统计请求时，根据会话数据类型预统计结果生成与会话数据类型统计请求对应的会话数据统计结果，实现了基于会话数据类型预定义统计结果的会话数据快速查询。

示例性的，假设预定义的类型包括pcap包、表示异常的会话标签、协议类型和目的IP归属地区。附图2c中提供了一种会话数据预统计结果(地区统计)展示界面，展示的是“地区统计”(即目的IP归属地区)对应的会话数据类型预统计结果，假设会话数据类型统计请求用于统计目的IP归属地区为“美国”的会话数据(与会话数据查询请求对应的表达式可以为“dip_nation＝’美国’”)，则可以根据会话数据类型预统计结果生成与会话数据类型统计请求对应的会话数据统计结果，即可以根据“地区统计”对应的会话数据类型预统计结果，得到与目的IP归属地区“美国”对应的会话数据，作为会话数据统计结果；当会话数据类型统计请求用于统计排除目的IP归属地区为“美国”的会话数据之外的其他会话数据，则可以根据“地区统计”对应的会话数据类型预统计结果，得到排除目的IP归属地区“美国”对应的会话数据之外的其他会话数据，作为会话数据统计结果。

需要指出的是，在生成与会话数据类型统计请求对应的会话数据统计结果后，还可以再按照预定义的类型继续对会话数据统计结果进行预统计，得到二级会话数据类型预统计结果。

示例性的，附图2d中提供了一种会话数据预统计结果(异常统计)展示界面，它是在查询目的IP归属地区为“美国”对应的会话数据统计结果，对得到的会话数据统计结果再进行预统计后，“异常统计”(即指示异常的会话标签对应的中文名称)对应的二级会话数据类型预统计结果，假设会话数据类型统计请求是用于统计异常标签为“无法识别的协议”的会话数据(与会话数据查询请求对应的表达式可以为“dip_nation＝’美国’and abnor_protocol＝1”)，则可以根据会话数据类型预统计结果生成与会话数据类型统计请求对应的会话数据统计结果，即可以根据“异常统计”对应的二级会话数据类型预统计结果，得到与异常标签“无法识别的协议”对应的会话数据，作为二级会话数据统计结果；当会话数据类型统计请求用于统计排除异常标签为“无法识别的协议”的会话数据之外的其他会话数据，则可以根据“异常统计”对应的二级会话数据类型预统计结果，得到排除异常标签“无法识别的协议”对应的会话数据之外的其他会话数据，作为二级会话数据统计结果。

在一个具体的实施方式中，如附图2e所示，一种网络会话数据查询方法可以包括以下步骤：

S310、对存储的会话数据进行预统计，得到会话数据预统计结果。

S320、在接收到会话数据查询请求时，根据会话数据查询请求进行会话数据查询，展示会话数据查询结果。

可选的，在接收到会话数据查询请求时，根据会话数据查询请求进行会话数据查询之前，还可以包括：在存储目标会话数据时，基于预定义的多个会话标签，为目标会话数据添加匹配的会话标签；

在接收到会话数据查询请求时，根据会话数据查询请求进行会话数据查询，可以包括：在接收到会话数据查询请求时，根据会话数据查询请求中携带的会话标签进行会话数据查询。

作为一种可选的实施方式，在根据会话数据查询请求进行会话数据查询之后，还可以包括：将会话数据查询请求作为会话数据查询历史请求进行记录，并将会话数据查询结果进行缓存；

在接收到会话数据查询请求时，根据会话数据查询请求进行会话数据查询，可以包括：在接收到会话数据查询请求时，判断会话数据查询请求是否为会话数据查询历史请求，若是，则获取缓存的与会话数据查询请求对应的会话数据查询结果。

作为另一种可选的实施方式，根据会话数据查询请求进行会话数据查询，可以包括：根据会话数据查询请求按照预设的内存分页策略进行会话数据查询。

作为另一种可选的实施方式，在展示会话数据查询结果之后，还可以包括：在接收到针对会话数据查询结果的目标操作请求时，对会话数据查询结果执行与目标操作请求匹配的操作，并展示会话数据操作结果；在接收到针对会话数据操作结果的目标操作请求时，对会话数据操作结果执行与目标操作请求匹配的操作，并展示会话数据操作结果。

S330、在接收到针对会话数据查询结果对应的镜像生成请求时，生成与会话数据查询结果对应的会话数据镜像。

S340、在接收到针对会话数据镜像的查看请求时，展示会话数据镜像。

S350、在接收到会话数据统计请求时，根据会话数据预统计结果生成与会话数据统计请求对应的会话数据统计结果，展示会话数据统计结果。

本实施例未尽详细解释之处请参见前述实施例，在此不再赘述。

上述技术方案，对存储的会话数据进行预统计，得到会话数据预统计结果，在接收到会话数据统计请求时，根据会话数据预统计结果生成与会话数据统计请求对应的会话数据统计结果，并展示会话数据统计结果，采用会话数据预统计的技术方案，提高了网络会话数据查询的效率以及流量分析的便捷性，进而实现了对数量达百亿级网络会话数据包的快速分析。

实施例三

图3是本发明实施例三提供的一种网络会话数据查询装置的结构示意图，本发明实施例可适用于针对数量达百亿级网络会话数据包，如何提高网络会话数据分析效率的情况，该装置可采用软件和/或硬件的方式实现，并一般可集成在计算机设备中。

如图3所示，该网络会话数据查询装置具体包括：会话数据查询模块410、会话数据镜像生成模块420和会话数据镜像展示模块430。其中，

会话数据查询模块410，设置为在接收到会话数据查询请求时，根据所述会话数据查询请求进行会话数据查询，展示会话数据查询结果；

会话数据镜像生成模块420，设置为在接收到针对所述会话数据查询结果对应的镜像生成请求时，生成与所述会话数据查询结果对应的会话数据镜像；

会话数据镜像展示模块430，设置为在接收到针对所述会话数据镜像的查看请求时，展示所述会话数据镜像。

本发明实施例提供的技术方案，在接收到会话数据查询请求时，根据会话数据查询请求进行会话数据查询并展示会话数据查询结果，在接收到针对会话数据查询结果对应的镜像生成请求时，生成与会话数据查询结果对应的会话数据镜像，在接收到针对会话数据镜像的查看请求时，展示会话数据镜像，实现了网络会话数据的回溯查询，提高了网络会话数据的分析效率。

可选的，上述装置还包括：会话标签添加模块，其中，会话标签添加模块设置为：在接收到会话数据查询请求时，根据所述会话数据查询请求进行会话数据查询之前，在存储目标会话数据时，基于预定义的多个会话标签，为所述目标会话数据添加匹配的所述会话标签；

会话数据查询模块410，具体设置为：在接收到会话数据查询请求时，根据所述会话数据查询请求中携带的会话标签进行会话数据查询。

作为一种可选的实施方式，上述装置还包括：会话数据预统计模块和会话数据统计结果生成模块，其中

会话数据预统计模块设置为：对存储的会话数据进行预统计，得到会话数据预统计结果；

会话数据统计结果生成模块设置为：在接收到会话数据统计请求时，根据所述会话数据预统计结果生成与所述会话数据统计请求对应的会话数据统计结果，展示所述会话数据统计结果。

可选的，会话数据预统计模块，具体设置为：按预定义的时段定时对存储的会话数据进行预统计，得到会话数据时段预统计结果；

会话数据统计结果生成模块，具体设置为：在所述会话数据统计请求为会话数据时段统计请求时，根据所述会话数据时段预统计结果生成与所述会话数据时段统计请求对应的会话数据统计结果。

可选的，会话数据预统计模块，具体设置为：按预定义的类型对存储的会话数据进行预统计，得到会话数据类型预统计结果；

会话数据统计结果生成模块，具体设置为：在所述会话数据统计请求为会话数据类型统计请求时，根据所述会话数据类型预统计结果生成与所述会话数据类型统计请求对应的会话数据统计结果。

作为一种可选的实施方式，上述装置还包括：数据查询结果缓存模块，其中，数据查询结果缓存模块设置为：将所述会话数据查询请求作为会话数据查询历史请求进行记录，并将所述会话数据查询结果进行缓存；

会话数据查询模块410，具体设置为：在接收到会话数据查询请求时，判断所述会话数据查询请求是否为会话数据查询历史请求，若是，则获取缓存的与所述会话数据查询请求对应的会话数据查询结果。

作为一种可选的实施方式，会话数据查询模块410，具体设置为：根据所述会话数据查询请求按照预设的内存分页策略进行会话数据查询。

作为一种可选的实施方式，上述装置还包括：会话数据操作结果展示模块，其中，会话数据操作结果展示模块设置为：在展示会话数据查询结果之后，在接收到针对会话数据查询结果的目标操作请求时，对所述会话数据查询结果执行与所述目标操作请求匹配的操作，并展示会话数据操作结果；在接收到针对所述会话数据操作结果的目标操作请求时，对所述会话数据操作结果执行与所述目标操作请求匹配的操作，并展示会话数据操作结果。

上述网络会话数据查询装置可执行本发明任意实施例所提供的网络会话数据查询方法，具备执行网络会话数据查询方法相应的功能模块和有益效果。

实施例四

图4为本发明实施例四提供的一种计算机设备的硬件结构示意图，如图4所示，该计算机设备包括：

一个或多个处理器510，图4中以一个处理器510为例；

存储器520；

所述编解码设备中的处理器510和存储器520可以通过总线或者其他方式连接，图4中以通过总线连接为例。

存储器520作为一种非暂态计算机可读存储介质，可用于存储软件程序、计算机可执行程序，如本发明实施例中应用于计算机设备的一种网络会话数据查询方法对应的程序指令，包括：

在接收到会话数据查询请求时，根据所述会话数据查询请求进行会话数据查询，展示会话数据查询结果；

在接收到针对所述会话数据查询结果对应的镜像生成请求时，生成与所述会话数据查询结果对应的会话数据镜像；

在接收到针对所述会话数据镜像的查看请求时，展示所述会话数据镜像。

处理器510通过运行存储在存储器520中的软件程序指令，从而执行主机的各种功能应用以及数据处理，即实现上述实施例中应用于计算机设备的任意一种网络会话数据查询方法。

存储器520可以包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需要的应用程序；存储数据区可存储根据计算机设备的使用所创建的数据等。此外，存储器520可以包括高速随机存取存储器，还可以包括非暂态性存储器，例如至少一个磁盘存储器件、闪存器件、或其他非暂态性固态存储器件。

实施例五

本发明实施例五提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如本申请所有发明实施例提供的一种网络会话数据查询方法：也即，该程序被处理器执行时实现：

在接收到会话数据查询请求时，根据所述会话数据查询请求进行会话数据查询，展示会话数据查询结果；

在接收到针对所述会话数据查询结果对应的镜像生成请求时，生成与所述会话数据查询结果对应的会话数据镜像；

在接收到针对所述会话数据镜像的查看请求时，展示所述会话数据镜像。

可以采用一个或多个计算机可读的介质的任意组合。计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质。计算机可读存储介质例如可以是但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本文件中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。

计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、电线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言或其组合来编写用于执行本发明操作的计算机程序代码，所述程序设计语言包括面向对象的程序设计语言(诸如Java、Smalltalk、C++)，还包括常规的过程式程序设计语言(诸如“C”语言或类似的程序设计语言)。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络(包括局域网(LAN)或广域网(WAN))，连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。

注意，上述仅为本发明的较佳实施例及所运用技术原理。本领域技术人员会理解，本发明不限于这里所述的特定实施例，对本领域技术人员来说能够进行各种明显的变化、重新调整和替代而不会脱离本发明的保护范围。因此，虽然通过以上实施例对本发明进行了较为详细的说明，但是本发明不仅仅限于以上实施例，在不脱离本发明构思的情况下，还可以包括更多其他等效实施例，而本发明的范围由所附的权利要求范围决定。

Claims (11)

1.一种网络会话数据查询方法，其特征在于，包括：

在接收到会话数据查询请求时，根据所述会话数据查询请求进行会话数据查询，展示会话数据查询结果；

在接收到针对所述会话数据查询结果对应的镜像生成请求时，生成与所述会话数据查询结果对应的会话数据镜像；

在接收到针对所述会话数据镜像的查看请求时，展示所述会话数据镜像。

2.根据权利要求1所述的方法，其特征在于，在接收到会话数据查询请求时，根据所述会话数据查询请求进行会话数据查询之前，还包括：

在存储目标会话数据时，基于预定义的多个会话标签，为所述目标会话数据添加匹配的所述会话标签；

在接收到会话数据查询请求时，根据所述会话数据查询请求进行会话数据查询，包括：

在接收到会话数据查询请求时，根据所述会话数据查询请求中携带的会话标签进行会话数据查询。

3.根据权利要求1所述的方法，其特征在于，还包括：对存储的会话数据进行预统计，得到会话数据预统计结果；

在接收到会话数据统计请求时，根据所述会话数据预统计结果生成与所述会话数据统计请求对应的会话数据统计结果，展示所述会话数据统计结果。

4.根据权利要求3所述的方法，其特征在于，对存储的会话数据进行预统计，得到会话数据预统计结果，包括：

按预定义的时段定时对存储的会话数据进行预统计，得到会话数据时段预统计结果；

在所述会话数据统计请求为会话数据时段统计请求时，根据所述会话数据预统计结果生成与所述会话数据统计请求对应的会话数据统计结果，包括：

根据所述会话数据时段预统计结果生成与所述会话数据时段统计请求对应的会话数据统计结果。

5.根据权利要求3所述的方法，其特征在于，对存储的会话数据进行预统计，得到会话数据预统计结果，包括：

按预定义的类型对存储的会话数据进行预统计，得到会话数据类型预统计结果；

在所述会话数据统计请求为会话数据类型统计请求时，根据所述会话数据预统计结果生成与所述会话数据统计请求对应的会话数据统计结果，包括：

根据所述会话数据类型预统计结果生成与所述会话数据类型统计请求对应的会话数据统计结果。

6.根据权利要求1所述的方法，其特征在于，在根据所述会话数据查询请求进行会话数据查询之后，还包括：

将所述会话数据查询请求作为会话数据查询历史请求进行记录，并将所述会话数据查询结果进行缓存；

在接收到会话数据查询请求时，根据所述会话数据查询请求进行会话数据查询，包括：

在接收到会话数据查询请求时，判断所述会话数据查询请求是否为会话数据查询历史请求，若是，则获取缓存的与所述会话数据查询请求对应的会话数据查询结果。

7.根据权利要求1所述的方法，其特征在于，根据所述会话数据查询请求进行会话数据查询，包括：

根据所述会话数据查询请求按照预设的内存分页策略进行会话数据查询。

8.根据权利要求1所述的方法，其特征在于，在展示会话数据查询结果之后，还包括：

在接收到针对会话数据查询结果的目标操作请求时，对所述会话数据查询结果执行与所述目标操作请求匹配的操作，并展示会话数据操作结果；

在接收到针对所述会话数据操作结果的目标操作请求时，对所述会话数据操作结果执行与所述目标操作请求匹配的操作，并展示会话数据操作结果。

9.一种网络会话数据查询装置，其特征在于，包括：

会话数据查询模块，设置为在接收到会话数据查询请求时，根据所述会话数据查询请求进行会话数据查询，展示会话数据查询结果；

会话数据镜像生成模块，设置为在接收到针对所述会话数据查询结果对应的镜像生成请求时，生成与所述会话数据查询结果对应的会话数据镜像；

会话数据镜像展示模块，设置为在接收到针对所述会话数据镜像的查看请求时，展示所述会话数据镜像。

10.一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1-8中任一所述的方法。

11.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1-8中任一所述的方法。

Images