一种实时传讯会话的监控方法及系统.pdf

本发明公开一种实时传讯会话的监控方法及系统，所述方法包括：(1)对实时捕获的数据报文进行协议解析，如识别当前报文负载是与会话发起及终止相关的IM应用的会话报文，确定该报文的IM应用类型并提取会话相关信息；(2)依据会话状态和提取的会话相关信息，对保存的相应会话的信息进行更新，并统计各类IM应用的当前会话数量，对于新发起的会话则保存该会话相关信息，并相应增加该会话所属IM应用的当前会话数量；对于即将终止的会话且该会话相关信息已存储，则删除该会话信息，并相应减少该会话所属IM应用的当前会话数量；对于会话相关信息未保存的即将终止的会话无需处理。本发明用以实现对IM应用中会话的宏观监控，提高监控范围。

1、  一种实时传讯会话的监控方法，其特征在于，包括：
(1)对实时捕获的数据报文进行协议解析，如识别当前报文负载是与会话发起及终止相关的实时传讯IM应用的会话报文，确定该报文的IM应用类型并提取会话相关信息；
(2)依据会话状态和提取的会话相关信息，对保存的相应会话的信息进行更新，并统计各类IM应用的当前会话数量，对于新发起的会话则保存该会话相关信息，并相应增加该会话所属IM应用的当前会话数量；对于即将终止的会话且该会话相关信息已存储，则删除该会话信息，并相应减少该会话所属IM应用的当前会话数量；对于会话相关信息未保存的即将终止的会话无需处理。

2、  如权利要求1所述的方法，其特征在于，
所述会话相关信息包括会话双方的用户标识；
所述步骤(2)中，还依据所述会话双方的用户标识和会话状态，统计当前网络中的每一个用户进行其使用的各类IM应用会话数量的统计，对于新发起的会话，则依据所述会话双方的用户标识，相应增加参与此次会话的用户使用该会话所属IM应用的当前会话数量；对于即将终止的会话且该会话相关信息已存储，则依据所述会话双方的用户标识，相应减少参与此次会话用户使用该会话所属IM应用的当前会话数量。

3、  如权利要求2所述的方法，其特征在于，
所述步骤(2)中，对于新发起的会话还将捕获发起会话的报文的系统时间记录为会话发起时间，对于即将终止的会话且该会话相关信息已存储，还记录此时系统时间为会话终止时间，并根据会话发起时间和终止时间计算该会话在线时长。

4、  如权利要求3所述的方法，其特征在于，
所述会话相关信息还包括会话使用的源端口及目的端口；
所述步骤(2)中，对于即将终止的会话，根据会话双方的用户标识以及会话使用的源端口及目的端口在保存的会话相关信息中查找，确定该会话相关信息是否已保存，如果没有找到相应条目，说明此会话与保存的IM应用无关，无需做任何处理，如果查询时找到相应条目，则删除此条目。

5、  如权利要求4所述的方法，其特征在于，所述步骤(2)之后还包括：
(3)依据统计出的当前网络当中正在进行的IM会话情况及各会话相关信息，结合设定的控制策略进行控制处理。

6、  一种实时传讯业务多文件传输重组系统，其特征在于，实时传讯IM应用识别器、会话报文选择器、会话信息提取器、会话信息管理器、会话信息存储器及会话监控器，其中，
所述IM应用识别器，用于对实时捕获的数据报文进行协议解析，对IM应用的会话报文，根据各类IM应用数据报文的标识特征确定当前使用的IM应用类型，将IM应用的会话报文及其类型信息发送给会话报文选择器；
所述会话报文选择器，用于依据IM会话报文的特征对IM应用识别器发来的IM应用的所有数据报文进行匹配，选择出与会话发起及终止相关的报文，将选择出的报文发送给会话信息提取器，将该会话的状态及其IM应用类型信息发送给会话信息管理器；
所述会话信息提取器，从收到的与会话发起及终止相关的报文中提取会话相关信息，并发送给会话信息管理器；
所述会话信息管理器，用于依据所述会话相关信息对会话信息存储器中保存的会话信息进行更新，触发会话监控器工作并指示该会话状态；
所述会话信息存储器，用于保存会话所属IM应用类型信息及提取的会话相关信息；
所述会话监控器，包括：IM应用会话数量统计单元，用于被触发后，如会话状态指示为发起时，相应增加该会话所属IM应用的当前会话数量；如会话状态指示为终止，相应减少该会话所属IM应用的当前会话数量；对于会话相关信息未保存的即将终止的会话无需处理。

7、  如权利要求6所述的系统，其特征在于，
所述会话监控器，进一步包括：用户会话数量统计单元，用于被触发后，如会话状态指示为发起时，根据该会话双方的用户标识信息，相应增加相关用户的当前会话数量，如会话状态指示为终止，根据该会话双方的用户标识信息，相应减少相关用户的当前会话数量；
所述会话信息管理器，对于发起的会话，还触发用户会话数量统计单元并指示该会话状态；对于终止的会话，如果在会话信息存储器中查询到已保存该会话的会话相关信息，则触发用户会话数量统计单元并指示该会话状态。

8、  如权利要求7所述的系统，其特征在于，
所述会话监控器，进一步包括：会话时长计算单元，用于根据会话发起时间和终止时间计算该会话在线时长；
所述会话信息管理器，对于发起的会话，还将会话发起时间保存到会话信息存储器；对于终止的会话，则将删除会话信息存储器中该会话的会话相关信息的时间记录为会话终止时间，将该会话的发起和终止时间发送给会话时长计算单元。

9、  如权利要求8所述的系统，其特征在于，
所述会话信息管理器，对于发起的会话，将该会话所属IM应用类型信息和提取的会话相关信息保存到会话信息存储器；对于终止的会话，先到会话信息存储器查询是否已保存该会话的会话相关信息，如已保存，则删除会话信息存储器中该会话的会话相关信息。

10、  如权利要求6所述的系统，其特征在于，还包括：
所述会话控制处理装置，用于依据统计出的当前网络当中正在进行的IM会话情况及各会话相关信息，结合设定的控制策略进行相应的控制处理。

一种实时传讯会话的监控方法及系统
技术领域
本发明涉及网络管理，更具体地，涉及一种用于IM(Instant Messaging，实时传讯)类应用的使用过程中对会话进行监控的方法及系统。
背景技术
目前的网络环境当中IM类软件越来越多的得到了用户的使用，并且随着软件的发展，各种IM类软件都提供方便的网上聊天功能。日益完善和增多的聊天功能给人们的学习、生活、工作提供了很好的沟通渠道，但随之而来也出现了一些弊端。这主要体现在IM软件的滥用上，比如说上班时间聊天、泄露内部机密、占用网络资源等等。
目前对于IM应用的具体监控的考虑并不完善，很多产品只提供了某些IM类软件的一些基本业务监控功能，例如MSN的聊天、文件传输等具体网络行为的监控。但是大都缺乏对网络当中IM类应用的一种宏观方向的监控，比如当前网络环境当中MSN的使用会话数，qq的使用会话数等等，这些信息可以更好的把握整体网络环境当中的IM应用情况，以方便统一化的管理及有针对性的进行具体业务监控。文中提到的会话并非传统意义上的TCP连接会话，而是在网络聊天过程当中两个客户端之间聊天建立的会话通道。除了在总体上把握网络环境当中的IM应用情况还可以记录不同用户的IM类会话数量，比如张三MSN会话数、QQ的会话数等等，这有助于公司或组织内部更好的掌握其成员的IM类软件使用情况，避免过多占用工作时间。
此外，如果在监控过程当中发现某一类IM会话数量或某用户的IM会话数量异于日常使用情况，也可能是用户的客户端存在病毒或被攻击导致的自动发起会话。目前，还没有一种可以对IM类会话的上述信息进行监控的方法和系统。
上述IM会话的监控可应用在网络业务审计的方法和产品中，网络业务审计系统目前应用日益广泛，作为网络安全防护的重要手段，它通过对业务系统中可信人员的网络活动进行解析、记录、分析以帮助管理人员事前规划预防、事中实时监控、违规行为阻止和事后追查网络运营事故，从而帮助用户加强内外部网络行为监管、避免核心资产损失、保障客户业务系统的正常运营，是企业实现IT管理和控制的最佳实践。
发明内容
本发明要解决的技术问题是提供一种实时传讯会话的监控方法及系统，用以实现对IM应用中会话的宏观监控，提高监控范围。
申请人在对各类IM软件使用的协议进行分析研究的同时，发现大多数IM类应用在发起一个新会话或终止一个已有会话的时候都会发送具有明显标识的数据报文，这说明更好的对IM类软件的使用进行有效监控以避免滥用问题是可能的。
为了解决上述问题，本发明提供了一种实时传讯会话的监控方法，包括：
(1)对实时捕获的数据报文进行协议解析，如识别当前报文负载是与会话发起及终止相关的实时传讯IM应用的会话报文，确定该报文的IM应用类型并提取会话相关信息；
(2)依据会话状态和提取的会话相关信息，对保存的相应会话的信息进行更新，并统计各类IM应用的当前会话数量，对于新发起的会话则保存该会话相关信息，并相应增加该会话所属IM应用的当前会话数量；对于即将终止的会话且该会话相关信息已存储，则删除该会话信息，并相应减少该会话所属IM应用的当前会话数量；对于会话相关信息未保存的即将终止的会话无需处理。
进一步的，所述会话相关信息包括会话双方的用户标识；
所述步骤(2)中，还依据所述会话双方的用户标识和会话状态，统计当前网络中的每一个用户进行其使用的各类IM应用会话数量的统计，对于新发起的会话，则依据所述会话双方的用户标识，相应增加参与此次会话的用户使用该会话所属IM应用的当前会话数量；对于即将终止的会话且该会话相关信息已存储，则依据所述会话双方的用户标识，相应减少参与此次会话用户使用该会话所属IM应用的当前会话数量。
进一步的，所述步骤(2)中，对于新发起的会话还将捕获发起会话的报文的系统时间记录为会话发起时间，对于即将终止的会话且该会话相关信息已存储，还记录此时系统时间为会话终止时间，并根据会话发起时间和终止时间计算该会话在线时长。
进一步的，所述会话相关信息还包括会话使用的源端口及目的端口；
所述步骤(2)中，对于即将终止的会话，根据会话双方的用户标识以及会话使用的源端口及目的端口在保存的会话相关信息中查找，确定该会话相关信息是否已保存，如果没有找到相应条目，说明此会话与保存的IM应用无关，无需做任何处理，如果查询时找到相应条目，则删除此条目。
进一步的，所述步骤(2)之后还包括：(3)依据统计出的当前网络当中正在进行的IM会话情况及各会话相关信息，结合设定的控制策略进行控制处理。
为了解决上述问题，本发明还提供了一种实时传讯业务多文件传输重组系统，包括：实时传讯IM应用识别器、会话报文选择器、会话信息提取器、会话信息管理器、会话信息存储器及会话监控器，其中，
所述IM应用识别器，用于对实时捕获的数据报文进行协议解析，对IM应用的会话报文，根据各类IM应用数据报文的标识特征确定当前使用的IM应用类型，将IM应用的会话报文及其类型信息发送给会话报文选择器；
所述会话报文选择器，用于依据IM会话报文的特征对IM应用识别器发来的IM应用的所有数据报文进行匹配，选择出与会话发起及终止相关的报文，将选择出的报文发送给会话信息提取器，将该会话的状态及其IM应用类型信息发送给会话信息管理器；
所述会话信息提取器，从收到的与会话发起及终止相关的报文中提取会话相关信息，并发送给会话信息管理器；
所述会话信息管理器，用于依据所述会话相关信息对会话信息存储器中保存的会话信息进行更新，触发会话监控器工作并指示该会话状态；
所述会话信息存储器，用于保存会话所属IM应用类型信息及提取的会话相关信息；
所述会话监控器，包括：IM应用会话数量统计单元，用于被触发后，如会话状态指示为发起时，相应增加该会话所属IM应用的当前会话数量；如会话状态指示为终止，相应减少该会话所属IM应用的当前会话数量；对于会话相关信息未保存的即将终止的会话无需处理。
进一步的，所述会话监控器，还包括：用户会话数量统计单元，用于被触发后，如会话状态指示为发起时，根据该会话双方的用户标识信息，相应增加相关用户的当前会话数量，如会话状态指示为终止，根据该会话双方的用户标识信息，相应减少相关用户的当前会话数量；
所述会话信息管理器，对于发起的会话，还触发用户会话数量统计单元并指示该会话状态；对于终止的会话，如果在会话信息存储器中查询到已保存该会话的会话相关信息，则触发用户会话数量统计单元并指示该会话状态。
进一步的，所述会话监控器，还包括：会话时长计算单元，用于根据会话发起时间和终止时间计算该会话在线时长；
所述会话信息管理器，对于发起的会话，还将会话发起时间保存到会话信息存储器；对于终止的会话，则将删除会话信息存储器中该会话的会话相关信息的时间记录为会话终止时间，将该会话的发起和终止时间发送给会话时长计算单元。
进一步的，所述会话信息管理器，对于发起的会话，将该会话所属IM应用类型信息和提取的会话相关信息保存到会话信息存储器；对于终止的会话，先到会话信息存储器查询是否已保存该会话的会话相关信息，如已保存，则删除会话信息存储器中该会话的会话相关信息。
进一步的，所述实时传讯IM业务多文件传输重组系统，还包括：所述会话控制处理装置，用于依据统计出的当前网络当中正在进行的IM会话情况及各会话相关信息，结合设定的控制策略进行相应的控制处理。
与现有技术相比，本发明解决了对IM软件缺乏整体应用情况监控的不足。从整个网络环境的IM应用情况出发，对整体的IM软件使用情况进行监控，既可以按照IM软件类别准确的统计当前网络环境当中各种IM软件正在进行的会话数量，也可以按照不同的用户准确的监控各用户使用IM软件的情况，方便网络管理人员对整个网络环境中的IM应用进行整体的规划，有助于完善网络管理体制，并在一定程度上具有检测病毒或攻击发生的功能。此外，系统在设计的时候充分考虑了扩展性的问题，对于新出现的IM软件只需要添加具体会话识别方式，无需对现有系统进行大的改动，因此也具有很好的灵活性和可扩展性，可广泛应用网络审计产品中。
附图说明
图1是本发明实施例IM会话监控方法的流程图；
图2是本发明实施例IM会话监控系统的结构图。
具体实施方式
本发明为了解决传统技术方案存在的弊端，通过以下具体实施例进一步阐述本发明所述的一种实时传讯会话的监控方法及系统，以下对具体实施方式进行详细描述，但不作为对本发明的限定。
如图1所示，是本发明实施例IM会话监控方法在捕获到数据报文后的处理流程，包含以下步骤：
步骤100，实时捕获数据报文；
步骤101，IM应用分类识别，即对实际捕获的数据报文采用协议解析技术进行层次化解析，根据各类IM应用数据报文的标识特征确定当前使用的IM应用类型；
步骤102，依据该IM应用的会话报文特征进行匹配，判断该数据报文是否会话发起及终止相关的数据报文，如果是，则执行步骤103，如果不是，则丢弃所捕获的报文，结束；
步骤103，会话信息提取，即从会话发起或终止相关的数据报文中提取会话相关信息，同时可记录正在发起会话的会话发起时间；
步骤104，会话信息更新，即依据提取的会话相关信息对保存的会话信息进行更新，如果是新发起的会话则保存该会话相关信息并可记录会话发起时间，如果是即将终止的会话且该会话的会话相关信息已存储，则删除该会话的会话相关信息并可记录会话终止时间；
步骤105，会话统计，即在当前网络环境中进行IM会话整体使用情况的统计，如：依据IM应用类型和会话状态(如发起或终止)统计各类IM应用的当前会话数量；依据提取的会话相关信息和会话状态统计当前网络用户使用的IM应用的会话数量；还可根据会话发起时间和终止时间计算该会话在线时长等；
步骤106，会话控制，依据统计出的当前网络当中正在进行的IM会话情况及各会话相关信息，结合设定的控制策略进行控制处理，如实施阻断，会话审计等。
上述会话信息更新、会话统计和会话控制可以由不同的线程来并行处理，并不要求有固定的先后顺序。
在步骤101中，是以实际捕获的网络报文为样本、根据各种IM软件通信过程中使用的协议格式或固定端口等特征对数据报文进行解析并且依据该软件通信过程当中传输的数据报文当中具有的标识特征进行IM应用类型的区分。
例如MSN软件在使用过程当中使用固定1863端口并且传输的数据报文以特征关键字“MSG”开头，以下为实际MSN协议报文内容。又如在雅虎通软件在使用当中传输的数据报文以特征关键字“YMSG”开头，以下为雅虎通协议报文内容。依据于相应的报文特征我们首先唯一的确定当前使用的IM软件类型。在确定了各种IM应用数据报文所属类型之后，根据不同类型的IM软件通信过程中建立或终止会话时具有的报文特征为模式对所有当前IM应用数据报文进行过滤。
在步骤102中，进行会话相关统计只需要保留包含会话相关信息的会话发起和终止相关的部分报文即可。
例如在MSN协议使用过程中，当发起一个新的会话的时候服务器会向客户端首先发送标识为XFR的数据报文分配所使用的中转服务器地址。随后该客户端以标识为USR的报文向中转服务器进行身份认证。随后以标识为CAL的数据报文向中转服务器发送会话呼叫请求。当服务器以标识为JOI的数据报文返回时，标识该会话连接已经成功建立。样本如下：
表1
0000    00 e0 4d a6 cc 1a 00 17 df ba 4c 00 08 00 45 00   ..M.......L...E.
0010    00 7d 99 7c 40 00 6b 06 5a 82 cf 2e 6f 4b c0 a8   .}.|@.k.Z...oK..
0020    1c 5a 07 47 0f 2e 70 b3 16 3a 11 38 fe 28 50 18   .Z.G..p....8.(P.
0030    ff f4 1b b0 00 00 58 46 52 20 33 37 20 53 42 20   ......XFR 37 SB
0040    32 30 37 2e 34 36 2e 32 36 2e 31 36 37 3a 31 38   207.46.26.167:18
0050    36 33 20 43 4b 49 20 31 33 30 37 30 38 38 31 38   63 CKI 130708818
0060    37 2e 31 33 37 38 30 32 34 33 2e 31 35 31 33 30   7.13780243.15130
0070    31 36 32 20 55 20 6d 65 73 73 65 6e 67 65 72 2e   162U messenger.
0080    6d 73 6e 2e 63 6f 6d 20 31 0d 0a                  msn.com l..
0000    00 17 df ba 4c 00 00 e0 4d a6 cc 1a 08004500      ....L...M.....E.
0010    00 60 66 53 40 00 80 06 cd 6c c0 a8 1c 5a cf 2e   .`fS@....l...Z..
0020    1a a7 0f 43 07 47 eb e6 dd dd 49 3d 9f d3 50 18   ...C.G....I＝..P.
0030    ff ff 9f 89 00 00 55 53 52 20 32 20 68 73 75 6e   ......USR 2 hsun
0040    40 69 73 2e 69 73 63 61 73 2e 61 63 2e 63 6e 20   @is.iscas.ac.cn
0050    31 33 30 37 30 38 38 31 38 37 2e 31 33 37 38 30   1307088187.13780
0060    32 34 33 2e 31 35 31 33 30 31 36 32 0d 0a         243.15130162..
0000    00 17 df ba 4c 00 00 e0 4d a6 cc 1a 08 00 45 00   ....L...M.....E.
0010    00 4b 66 54 40 00 80 06 cd 80 c0 a8 1c 5a cf 2e   .KfT@........Z..
0020    1a a7 0f 43 07 47 eb e6 de 15 49 3d a0 07 50 18   ...C.G....I＝..P.
0030    ff cb 90 a8 00 00 43 41 4c 20 33 20 63 61 72 69    ......CAL 3 cari
0040    6e 61 66 75 62 61 69 6c 69 6e 67 40 68 6f 74 6d    nafubailing@hotm
0050    61 69 6c 2e 63 6f 6d 0d 0a                         ail.com..
0000    00 e0 4d a6 cc 1a 00 17 df ba 4c 00 08 00 45 00    ..M.......L...E.
0010    00 5e c9 6f 40 00 6b 06 7f 52 cf 2e 1a a7 c0 a8    .^.o@.k..R......
0020    1c 5a 07 47 0f 43 49 3d a0 21 eb e6 de 38 50 18    .Z.G.CI＝.！...8P.
0030    ff a4 d9 3f 00 00 4a 4f 49 20 63 61 72 69 6e 61    ...？..JOI carina
0040    66 75 62 61 69 6c 69 6e 67 40 68 6f 74 6d 61 69    fubailing@hotmai
0050    6c 2e 63 6f 6d 20 e5 b0 8f e4 ba ba e9 b1 bc 20    l.com.........
0060    31 39 38 35 38 35 39 36 32 38 0d 0a                1985859628..
则在此样本中，本阶段步骤需要将这些数据报文提取出来以供会话信息提取阶段进行会话相关信息提取使用。
在步骤103中，据上一步中提供的数据报文及该IM应用会话的发起和终止标识，在过滤后的数据报文中进行信息提取。对发起会话可提取会话发起者ID、发起者IP、会话接收者ID、接收者IP等会话双方的标识信息以及使用的源端口及目的端口等会话发起的相关信息；对终止会话可提取会话发起者IP、会话接收者IP以及使用的源端口及目的端口等会话终止的相关信息。当然，也可以将会话发起者ID和会话接收者ID提取出来。
另外，可为每一组需要保留的会话相关信息设置一个唯一会话标识，以帮助完成本次会话的相关统计。
这里，同样利用协议解析技术在数据报文当中的相应数据字段里面提取这些会话相关信息。仍以上一实施例中的样本报文为例说明提取方法。在标识为XFR的数据报文中可知使用的中转服务器地址即会话接收者IP为207.46.26.167，在标识为USR的数据报文中可以提取会话发起者ID为hsun@is.iscas.ac.cn，在标识为CAL的数据报文中提取会话接收者ID为carinafubailing@hotmail.com，在标识为JOI的数据报文中可知此会话已建立。以捕获该数据报文的系统时间作为会话发起时间。此外根据这些数据报文可以有效提取当前会话所使用的端口。
对于终止会话的相关信息的提取较为简单，进行会话统计的IM应用(或称IM软件)主要以TCP协议负载，这些应用在关闭会话的时候只需要关闭该TCP会话连接即可。因此只要在网络环境当中捕获关闭TCP连接的数据报文即可知该会话为即将终止的会话，提取此连接的源IP、目的IP(就是会话发起者IP、会话接收者IP)、源端口、目的端口。
步骤104中，在提取出新建会话或终止会话的会话相关信息之后，对于新建会话的会话相关信息应建立新的会话信息存储条目并可记录该会话的发起时间；对于正在终止会话的会话相关信息需要根据上述四元组(即源IP、目的IP、源端口、目的端口)在保存的会话相关信息中查找，确定该会话相关信息是否已保存，如果没有找到相应条目，说明此会话与保存的IM应用无关，无需做任何处理，如果查询时找到相应条目，则应删除此条目，同时记录此时系统时间为会话终止时间，将该终止时间连同记录的该会话的会话发起时间和查询结果一起作为实时统计的依据。
步骤105中，依据会话所属IM应用类型信息和会话状态信息对各类IM应用的当前会话数量进行统计；此外，可进一步根据记录的会话相关信息，可针对当前网络中的每一个用户进行其使用的各类IM应用的情况统计。
若收到的是会话发起相关报文，则将此报文所属的IM应用类别当前会话数加1，例如用户发起MSN会话，则在当前网络环境中的MSN会话统计数量上增加1。同时，按照会话发起源IP、会话发起源ID以及会话接收者IP、会话接收者ID对参与此次会话的用户对于MSN使用的会话数量加1。会话发起源IP和会话发起源ID共同标识唯一用户，会话接收者IP和会话接收者ID共同标识唯一用户。
若收到的是会话终止相关报文，则需要等待步骤104提供的查询结果，若确认此次的会话终止并非已保存的IM类应用，则不做任何改动。若确认此次的会话终止为已保存的某类IM应用，则需要将当前网络环境中该IM应用的会话数量减1。同时，按照该会话的会话发起源IP、会话发起源ID以及会话接收者IP、会话接收者ID对参与此次会话的用户对于该类IM应用使用的会话数量减1。(提取的信息中没有会话发起者ID和会话接收者ID时，可以从保存的会话相关信息查找到)
除此之外，还可以根据步骤104提供的查询结果和记录的该会话的发起和终止时间计算本次会话持续时间，作为对于本次会话统计的结果。
步骤106中，依据会话统计步骤提供的当前网络当中正在进行的IM类会话情况及各会话相关信息进行会话控制处理。例如当发现当前网络环境当中使用MSN或QQ的比例明显高于其他IM类应用，则可以对此两种IM应用进行更加精确的审计力度或管理策略。又如若发现某用户使用IM软件的种类过多、个别IM应用会话数量异常或会话持续时间过长则可以相应的采取有针对性的管理如阻断部分连接的策略。
如果仅需要进行统计的话，步骤106是可选的。另外，也可以不进行用户当前使用IM应用的会话数量的统计。
在另一实施例中，如果不需统计会话持续时长，则无需记录会话的发起时间和终止时间。对于下述装置也是如此，此时各功能模块无需进行会话发起和终止时间的记录和计算。
图2所示是本实施例提供的实时传讯会话的监控系统，包括：IM应用识别器200、会话报文选择器201、会话信息提取器202、会话信息管理器203、会话信息存储器204、会话监控器205及会话控制处理装置206，会话监控器205进一步包括IM应用会话数量统计单元、用户会话数量统计单元和会话时长计算单元；其中：
IM应用识别器200，用于对实时捕获的数据报文进行协议解析，丢弃非IM应用的会话报文，对IM应用的会话报文，根据各类IM应用数据报文的标识特征确定当前使用的IM应用类型，将IM应用的会话报文及其类型信息发送给会话报文选择器201。
会话报文选择器201，用于依据IM会话报文的特征对IM应用识别器200发来的IM应用的所有数据报文进行匹配，选择出与会话发起及终止相关的报文，将选择出的报文发送给会话信息提取器202，将该会话的状态及其IM应用类型信息发送给会话信息管理器203。
会话信息提取器202，从收到的与会话发起及终止相关的报文中提取会话相关信息，如会话双方的标识信息和使用的端口信息，同时可记录会话发起时间。将这些信息发送给会话信息管理器203；
会话信息管理器203，对于发起的会话，将该会话所属IM应用类型信息、提取的会话相关信息和会话发起时间保存到会话信息存储器204，触发IM应用会话数量统计单元和用户会话数量统计单元并指示该会话状态；对于终止的会话，先到会话信息存储器204查询是否已保存该会话的会话相关信息，如已保存，则删除会话信息存储器204中该会话的会话相关信息并记录会话终止时间，触发IM应用会话数量统计单元和用户会话数量统计单元并指示该会话状态，并将该会话的发起和终止时间发送给会话时长计算单元。
会话信息存储器204，用于保存会话所属IM应用类型信息、提取的会话相关信息和会话发起时间信息。
会话监控器205，进一步包括：
IM应用会话数量统计单元，用于被触发后，如会话状态指示为发起时，将该会话所属IM应用的当前会话数量加1；如会话状态指示为终止，将其所属IM应用的当前会话数量减1。
用户会话数量统计单元，用于被触发后，如会话状态指示为发起时，根据该会话用户标识信息将相关用户的当前会话数量加1，如会话状态指示为终止，将相关用户的当前会话数量减1。
会话时长计算单元，用于根据会话发起时间和终止时间计算该会话在线时长。
会话控制处理装置206，用于对统计状态进行检测，依据统计出的当前网络当中正在进行的IM会话情况及各会话相关信息，结合设定的控制策略进行相应的控制处理，如实施阻断，会话审计等。
当然，本发明还可有其他多种实施例，在不背离本发明精神及其实质的情况下，熟悉本领域的技术人员可根据本发明做出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。