[发明专利]一种还原网络会话的方法及装置

权利要求书

1.一种还原网络会话的方法，其特征在于，应用于电子设备，所述方法包括：

针对设定时间长度内单向网络流量Netflow中的数据包传输，根据所述Netflow中的数据包携带的发送方和接收方的标识信息进行分组，确定所述Netflow中的每组发送方和接收方；

确定每组发送方和接收方对应的第一网络流量统计表，其中所述第一网络流量统计表中包含对应的该组发送方和接收方的标识信息，以及该组发送方和接收方在所述Netflow中传输的与数据包相关的流量统计信息；

针对每个第一网络流量统计表，查找该第一网络流量统计表映射的第二网络流量统计表，判断所述第一网络流量统计表中包含的与数据包相关的第一流量统计信息是否大于第二网络流量统计表中包含的与数据包相关的第二流量统计信息，如果是，确定所述第一网络流量统计表中的发送方为网络会话发起方，接收方为网络会话响应方，否则，确定第二网络流量统计表中的发送方为网络会话发起方，接收方为网络会话响应方，其中所述第二网络流量统计表中的发送方和接收方，与所述第一网络流量统计表中的接收方和发送方对应相同；

根据确定的每对网络会话发起方和网络会话响应方，还原网络会话；

如果与数据包相关的流量统计信息包括该组发送方发送的总的数据包数量，发送的syn数据包数量，不重复的源端口数量和不重复的目的端口数量中的至少两种，所述判断所述第一网络流量统计表中包含的与数据包相关的第一流量统计信息是否大于第二网络流量统计表中包含的与数据包相关的第二流量统计信息，如果是，确定所述第一网络流量统计表中的发送方为网络会话发起方，接收方为网络会话响应方，否则，确定第二网络流量统计表中的发送方为网络会话发起方，接收方为网络会话响应方包括：

判断所述第一网络流量统计表中包含的与数据包相关的每种第一流量统计信息是否分别大于第二网络流量统计表中包含的与数据包相关的每种第二流量统计信息，如果是，确定所述第一网络流量统计表中的发送方为网络会话发起方，接收方为网络会话响应方；

如果第一网络流量统计表中包含的与数据包相关的每种第一流量统计信息小于第二网络流量统计表中包含的与数据包相关的每种第二流量统计信息，确定第二网络流量统计表中的发送方为网络会话发起方，接收方为网络会话响应方。

2.如权利要求1所述的方法，其特征在于，所述与数据包相关的流量统计信息包括以下至少一种：

该组发送方发送的总的数据包数量，发送的同步syn数据包数量，不重复的源端口数量和不重复的目的端口数量。

3.如权利要求1所述的方法，其特征在于，所述针对每个第一网络流量统计表，查找该第一网络流量统计表映射的第二网络流量统计表包括：

针对每个第一网络流量统计表，根据该第一网络流量统计表中的发送方和接收方的标识信息，查找接收方和发送方的标识信息分别与该第一网络流量统计表中的发送方和接收方的标识信息对应相同的网络流量统计表，所述网络流量统计表为查找到的第一网络流量统计表映射的第二网络流量统计表。