[发明专利]一种三层关联审计中的时间偏差校准方法

权利要求书

1.一种三层关联审计中的时间偏差校准方法，其特征在于，包括：

步骤S1：持续接收HTTP网络封包和SQL数据库封包，

步骤S2：对HTTP网络封包流和SQL数据库封包流按照给定的时间偏差进行时间区间划分，

步骤S3：计数HTTP网络封包流中的各采样时间区间内的每一种URL的数量及其平方，并分别累加得到数量和与平方和，

步骤S4：计数SQL数据库封包流中的各采样时间区间内的每一种SQL的数量及其平方，并分别累加得到数量和与平方和，

步骤S5：计数各采样时间区间内每一种URL和SQL的数量乘积，并累加得到乘积和，

步骤S6：基于每一种URL的数量和与平方和、每一种SQL的数量和与平方和，以及乘积和得到相关系数并存储，

步骤S7：重复步骤S1至S6，对已存储的相关系数进行更新，

步骤S8：对于每种SQL，将其对应每一种URL的相关系数值从大到小进行排序，选取最大的设定个数的相关系数值，并求和，将求和结果和已设定的时间偏差存储到时间偏差计算表中，

步骤S9：重新设定新的可能的时间偏差值，并重复步骤S1至S8直至遍历所有可能的时间偏差值，

步骤S10：根据存储的时间偏差表，选取相关系数和最大所对应的时间偏差值作为最终的时间偏差值；

所述步骤S3具体包括：

步骤S31：计数HTTP网络封包流中的各采样时间区间内的每一种URL的数量及其平方，

步骤S32：分别累加得到数量和与平方和：

其中：为每一种URL的数量和，为每一种URL的平方和，X_N为第N种URL的数量，X_N²为第N种URL的数量的平方，N为区间内URL种类的数目；

步骤S33：对各采样时间区间内的每一种URL的数量及其平方，以及累加得到数量和与平方和进行存储；

所述步骤S4具体包括：

步骤S41：计数SQL数据库封包流中的各采样时间区间内的每一种SQL的数量及其平方，

步骤S42：分别累加得到数量和与平方和：

其中：为每一种SQL的数量和，为每一种SQL的平方和，Y_M为第M种SQL的数量，Y_M²为第M种SQL的数量的平方，M为区间内SQL种类的数目，

步骤S43：对各采样时间区间内的每一种SQL的数量及其平方，以及累加得到数量和与平方和进行存储；

所述步骤S6中的相关系数的数学表达式为：

其中：r为相关系数，为每一种URL和每一种SQL的数量乘积的累加和，|X|为步骤S3中采样的样本个数，|Y|为步骤S4中采样的样本个数，|X∩Y|为SQL与URL的采样样本的交集个数。

2.根据权利要求1所述的一种三层关联审计中的时间偏差校准方法，其特征在于，所述步骤S9中新的可能的时间偏差值的数学表达式为：

t←t+t′

其中：t′为时间偏差增量，t为时间偏差。

3.一种实现权利要求1或2所述的三层关联审计中的时间偏差校准方法的装置，其特征在于，包括网络封包监听器、SQL封包监听器和相关性系数计算和时间偏差校准模块，所述相关性系数计算和时间偏差校准模块分别与网络封包监听器和SQL封包监听器连接。