[发明专利]一种基于特征检索的网络日志在线跟踪方法及系统

权利要求书

1.一种基于特征检索的网络日志在线跟踪方法，其特征在于实施步骤包括：

1）实时捕获网络流量镜像数据包；

2）接收来自控制中心的过滤参数数组K[M]以及和时间阈值t，将网络流量镜像数据包中长度为时间阈值t的网络数据包根据过滤参数数组K[M]记录的网络行为参数并基于网络行为特征属性的哈希表的过滤模型进行过滤，得到攻击行为的网络日志文件；

3）将网络日志文件采用断点续传的方式输出至控制中心；

步骤2）的详细步骤包括：

2.1）初始化特征属性哈希表H，特征属性哈希表H由N个数据单元组成，每个数据单元是一个格式为flag, addr的结构体，其中标识flag用于标记哈希匹配状态且初始置为0，地址addr用于记录冲突链表头结点的内存地址；

2.2）初始化N个冲突链表L[N]，冲突链表L[N]的数据单元为每个链表的头结点指向空地址，N为特征属性哈希表H中的数据单元数量；

2.3）接收来自控制中心的过滤参数数组K[M] 和时间阈值t，且过滤参数数组K[M]中的网络行为参数的数量M小于特征属性哈希表H中的数据单元数量N；

2.4）根据预设的分配函数计算过滤参数数组K[M]中各个网络行为参数的散列值i，判断特征属性哈希表H中散列值i的序号所对应的第i个数据单元的标识flag的值，如果标识flag的值为0则将标识flag的值置为1；

2.5）启动匹配线程，并记录进行过滤的开始时间s；

2.6）针对网络流量镜像数据包，通过所述匹配线程根据预设的分配函数计算各个网络行为中网络行为参数key′的散列值i′，判断特征属性哈希表H中散列值i′的序号所对应的第i′个数据单元的标识flag的值，如果标识flag的值为1则跳转执行步骤2.7）；否则如果标识flag的值为0则跳转执行步骤2.8）；

2.7）通过所述匹配线程生成文件句柄，将网络行为参数key′和文件句柄作为链表数据单元加入冲突链表L[N]的第i个冲突链表L_i的尾部，跳转执行步骤2.6）；

2.8）通过所述匹配线程计算判断开始时间s与网络流量镜像数据包产生时间的时间差值△t，并判断时间差值△t是否大于或等于接收到的时间阈值t，如果大于等于时间阈值t则结束所述匹配线程并跳转执行步骤2.9）；否则，如果小于时间阈值t则跳转执行步骤2.6）；

2.9）启动内存清理线程，将冲突链表L[N]中文件句柄对应的内存数据写入磁盘的网络日志文件，将特征属性哈希表H每个数据单元的标识flag置0，删除冲突链表L[N]；

所述预设的分配函数的函数表达式如式（1）所示；

i=|H(key) |%N, key∈K[M] （1）

式（1）中，i为过滤参数数组K[M]中网络行为参数key的散列值，H(key) 为过滤参数数组K[M]中网络行为参数key的哈希值，N为特征属性哈希表H中的数据单元数量。