将针对网络设备的网络流中的网络地址解析为主机名称的
方法
技术领域
[0001] 本
发明涉及使用从网络路由器导出的网络流数据来提供与进入/离开设备的业务有关的信息。从网络设备导出的网络流信息使用其网络地址来标识流中涉及到的网络设备。本
申请描述了使用网络设备的用户友好的名称将网络设备地址有效地解析为其域名所需的步骤。
背景技术
[0002] 网络使用数据对于很多重要的商业功能而言是有用的，诸如订户计费、营销和客户关怀、产品开发、网络操作管理、网络和系统能
力规划以及安全性。网络使用数据不包括在各方之间的通信会话中交换的实际信息，而是包括称为“流记录”的多个使用明细记录，其包含一种或多种类型的元数据(即，“关于数据的数据”)。已知的网络流记录协议包括或者 在此使用的“流记录”被定义为在一段时间期间共享共用资源和目的地参数的IP分组的流对单向网络使用的小测量单元。
[0003] 包括在每个流记录内的元数据的类型基于服务和网络的类型而变化，并且在某些情况下，基于提供流记录的特定网络设备而变化。通常，流记录提供与各方之间的特定事件或者通信连接有关的详细使用信息，诸如连接开始时间和停止时间、所传送数据的源(或者发起者)、数据的目的地或者接收者以及传送的数据量。流记录概括非常短的时段(从几毫秒到几秒，偶尔是几分钟)内的使用信息。根据涉及的服务和网络的类型，流记录还可以包括与传输协议、传输数据的类型、所提供的服务类型(ToS)等有关的信息。在电话网络中，组成使用信息的流记录称为呼叫明细记录(CDR)。
[0004] 在网络监测中，收集、存储和分析网络流记录以产生有意义的结果。网络使用分析系统对这些流记录进行处理，并且生成支持各种业务功能的报告或者综合数据文件。网络使用分析系统提供与网络服务如何使用以及由谁使用有关的信息。网络使用分析系统还可以用于标识(或者预测)与客户满意度相关的问题，诸如由网络拥塞和网络安全滥用而引起的那些问题。在一个示例中，可以监测基于订户使用行为的网络利用和性能，以
跟踪用户体验，预测将来的网络能力，或者标识指示网络滥用、诈骗和盗窃的使用行为。
[0005] 另外，已知的用于标识病毒的技术是有限的。已知的技术通常查找病毒的次生效应，诸如监测网络资源使用并且标识
请求反常的大量网络资源的应用。然而，可能难以区分病毒和需要大量网络资源的合法应用。同样，病毒正变得更加智能以逃避检测。例如，病毒可能在系统中潜伏一段时间，等待
信号来发作。例如，恶意病毒会潜伏直到获得保密数据。由此，在病毒等待动作时是难以检测的，因为其产生极小的
副作用。
发明内容
[0006] 响应于这些以及其他需要，本发明的实施方式提供了一种用于将针对网络设备的网络流中的网络地址解析为主机名称的系统和方法。在一个实施方式中，该系统包括：网络设备，配置用于产生流记录；流记录存储，配置用于从网络设备接收流记录并且存储流记录；以及数据分析工具，配置用于
访问所存储的流记录并且标识包含在存储的流记录中的数字网络地址。继而，地址分析工具被配置用于接收数字网络地址，并且标识与数字网络地址相对应的文本网络地址。
[0007] 可选地，流记录存储配置用于接收文本网络地址，并且
修改存储的流记录以包括该文本网络地址。该系统可以进一步包括用户
接口，其配置用于接收和显示流记录和文本网络地址。可选地，网络设备配置用于从用户接口接收数字网络地址的指示，并且向访问控制列表添加该数字网络地址。而且，用户接口可以响应于预定义的标准来转发所述数字网络地址的指示。数据输入设备可以定义该预定义的标准。地址分析工具可以进一步包括映射表，其配置用于将数字网络地址与文本网络地址相关联。而且，地址分析工具还可以包括数据代理，其配置用于访问网络以填写映射表。
[0008] 在另一实施方式中，本发明包括一种用于
将针对网络设备的网络流中的网络地址解析为主机名称的方法。在该实施方式中，该方法可以包括步骤：从网络设备接收流记录，以及存储来自网络设备的流记录。接下来，
定位存储的流记录中所包含的网络地址，并且标识与所述数字网络地址相对应的主机名称。
[0009] 可选地，该方法可以包括步骤：修改存储的流记录以包括主机名称。另外，该方法可以包括步骤：显示流记录和主机名称。该方法可以包括步骤：网络设备接收网络地址的指示。可以响应于预定义的标准来发送网络地址的指示。该方法可选地包括步骤：接受用以定义预定义的标准的数据输入。另外，该方法可选地包括步骤：配置映射表以将网络地址与主机名称相关联。另外，该方法可以包括配置数据代理来访问网络以填写映射表。
[0010] 在另一实施方式中，一种用于将针对网络设备的网络流中的网络地址动态地解析为主机名称的系统包括：流记录存储系统，其配置用于接收和存储流的记录；以及数据分析设备。数据分析设备配置用于访问存储系统并且标识流记录中的网络地址，以及修改流记录以利用主机名称来替换网络地址。可选地，数据分析设备包括映射表，其配置用于将网络地址与主机名称相关联。数据分析设备还可以包括用户接口，其配置用于显示包括主机名称的流记录。另外，数据分析设备可以包括数据代理，其配置用于：接收网络地址，访问网络以标识主机名称，以及利用所述网络地址和所述主机名称来填写映射表。
[0011] 可选地，数据代理在特定数目的尝试之后或者在特定时段之后停止，并且返回错误消息以指示无法容易地找到与网络地址相关联的主机名称。另外，映射可选地在特定时段之后过期，这导致数据代理更新网络地址与主机名称之间的映射。
附图说明
[0012] 通过结合附图的以下详细描述，本发明的特定示例性实施方式的上述以及其他目的、特征和优点将变得更为明显，其中：
[0013] 图1A绘出了根据本发明网络的实施方式的示例性网络；
[0014] 图2绘出了示例性流记录；
[0015] 图3绘出了根据本发明实施方式的用于存储流记录的示例性表；
[0016] 图4绘出了根据本发明实施方式的用于存储聚集的流记录的示例性表；
[0017] 图5A绘出了根据本发明实施方式的地址映射表；
[0018] 图5B绘出了根据本发明实施方式的、使用图5A的地址映射进行了转换的图3的示例性流记录数据表；
[0019] 图6是说明根据本发明实施方式的网络
节点、访问控制系统和流记录存储系统之间的通信的服务
流程图；以及
[0020] 图7A-图7B每一个是绘出根据本发明实施方式的、用于创建包含用户友好的地址的流记录的方法中的步骤的流程图。
具体实施方式
[0021] 如图1所示，在一个实施方式中，网络使用分析系统111包括数据收集系统
服务器130和数据存储系统140。数据收集系统服务器130也称为监听器，它是从所有各种网络代理120收集流190以供存储和分析的中央服务器。数据收集系统服务器130从流记录生成设备120接收流记录190，该流记录生成设备120是作为IP网络112(诸如局域网)一部分的网络设备。在一个实施方式中，网络112包括因特网115。
[0022] 通常，流记录生成设备120基本上可以包括能够以“线速度”处理未加工网络业务并且根据该业务来生成流记录的任何网络设备。示例性的流记录生成设备120包括路由器、交换机和网关，并且在某些情况下，可以包括
应用服务器、系统和网络探测器。在多数情况下，由流记录生成设备120生成的小流记录作为去往数据收集系统服务器130的流记录190的流而被导出。
[0023] 各种网络协议在网络设备上运行，用于收集网络和网际协议业务信息。通常，诸如路由器的各种网络代理120具有能够生成流记录的流特征。流记录190通常在用户数据报协议(UDP)或者流控制传输协议(SCTP)分组中从网络代理120导出，并且使用流收集器来收集。更多信息请参考http://www.ietf.org/html.charters/ipfix-charter.html处针对网际协议流信息输出(IPFIX)的因特网工程任务组(IETF)标准。
[0024] 如上所述，流记录190通常由网络代理120经由UDP或者SCTP来发送，并且出于效率的原因，网络代理120在流记录一旦导出之后不会对其进行存储。利用UDP流，如果由于网络代理120与数据收集服务器130之间的网络拥塞而丢弃了流记录190，其可能会永久性丢失，因为网络代理120无法重发流记录190。还可以以每个接口为
基础来支持流，以避免给路由器的处理器造成不必要的负荷。由此，流记录190通常基于对接口的分组输入，其中使其能够避免重复计数并且节省网络代理120的工作。同样，网络代理120可以导出丢弃分组的流记录。
[0025] 已经通过多种方式定义了网络流。在一个实现中，流包括五元组：用以定义源IP地址、目的地IP地址、源TCP端口、目的地TCP端口和IP协议的分组的单向序列。通常，网络代理120将在其确定流结束时输出流记录。网络代理120通过“流计龄(aging)”来进行，其中当网络代理120观察到已有流的新业务时，网络代理120重置计龄计数器。而且，TCP流中的TCP会话终结将导致网络代理120终止该流。网络代理120还可以配置用于以固定间隔输出流记录，即使该流仍然在进行时也是如此。备选地，管理员可以定义网络代理120的流特性。
[0026] 流记录190可以包含与给定流中的业务有关的多种信息。已知的流记录200包含以下值，如图2中定义的(
现有技术)。具体地，已知的流记录200可以包括版本号210用以标识正在使用的流的类型。序列号220标识该流记录。
[0027] 继续参考图2，输入和输出接口简单网络管理协议(SNMP)索引230可以用于通过SNMP来动态标识网络设备。SNMP由网络管理系统用于针对保证管理注意力的状况而监测网络附接的设备，并且包括用于网络管理的一组标准，包括应用层协议、
数据库方案和数据对象集合。SNMP在所管理的系统上以变量的形式显露管理数据，其描述了系统配置。继而可以通过管理应用来查询(以及有时来设置)这些变量。每当添加或者移除插槽
硬件时，模
块化设备可以对其SNMP索引重新编号。索引值通常在启动时间指派，并且直到下一次重新启动之前保持固定。
[0028] 继续参考图2，每个流记录200通常还包括与数据传输有关的信息，包括开始时间和结束时间的时间戳240。与数据传输有关的其他信息包括流中的字节和/或分组的数目的信息250。流记录200中还可以包括数据传送的条件，诸如描述源和目的地地址、源和目的地地址端口号、传输协议和服务类型(ToS)的报头数据260。对于传输控制协议(TCP)来说，流记录200还可以指示流期间的所有TCP标志的并集。如根据TCP所公知的，数据传输例如通过确认标志(ACK)
配对来包括一系列通信确认。TCP标志的
不平衡意味着消息故障，即消息被发送却始终无法被接收到。
[0029] 继续参考图1，数据收集系统服务器130经由通信链路170从流记录生成设备120接收
流式传输的流记录190。在一个实施方式中，流记录生成设备120可以包括在网络112内。在另一实施方式中，流记录生成设备120可以实现在物理上与网络112分离的
位置，但是功能上与网络112耦合。虽然图1将流记录生成设备120示为与数据收集系统服务器130分开，但是在另一实施方式中，其可以是数据分析系统服务器130的一部分。
[0030] 数据分析系统服务器150访问和使用流记录190，以执行预定的网络使用统计分析。一般地，数据分析系统服务器150实现被定义用于解决一个或多个网络使用相关问题(诸如网络拥塞、网络安全滥用、诈骗和盗窃等)的各种统计模型。数据分析系统服务器150使用流记录190和统计模型来生成统计结果，其随后也可以存储在数据存储系统140内。用于存储统计结果的示例性实施方式将在下文详述。通过分析流数据，数据分析系统服务器150可以建立网络中的业务流和业务量的快照。数据分析系统150的应用将在下文详述。
[0031] 在一个方面，数据分析系统服务器150可以响应于用户接口160，以用于
对流记录190的交互分析。用户接口160基本上可以包括本领域已知的任何输入/输出设备，诸如
键盘、
鼠标、
触摸板、显示器屏幕等。在一个示例中，可以将统计结果的图形显示输出至用户接口160处的显示器屏幕。
[0032] 在一个实施方式中，数据分析系统服务器150包括计算机
软件程序，其在一个或多个计算机或者服务器上可执行，用于根据本发明的各种实施方式来分析网络使用数据。虽然数据存储系统140被示为在数据收集系统服务器130和/或数据分析系统服务器150外部，但是数据存储系统140可以备选地布置在服务器130或服务器150之内。数据存储系统140基本上可以包括本领域已知的任何易失性
存储器(例如，RAM)和/或
非易失性存储器(例如，
硬盘驱动器或者其他持久存储设备)。
[0033] 在本发明的优选实施方式中，数据分析工具150使用地址数据存储系统170进行解释流记录数据所需的进一步性能分析。特别地，地址数据存储系统170接收流的源设备和目的地设备的地址，如以上图2中所述。如上所述，流记录190通常包括一个或多个IP地址，或者其他数字寻址格式。网际协议具有两个目前使用中的版本，IP版本4(IPv4)和IP版本6(IPv6)。IPv4使用32位(4个字节)地址，而IPv6具有128位(16个字节)的地址。
[0034] 如以下在图5中详述的，地址数据存储系统170包括将数字IP地址映射至文本地址的数据库，从而允许用户较为容易地审阅流记录190。
[0035] 现在参考图3，其给出了一种用于在存储设备140中存储多个流记录200的示例性表300。特别地，所绘出的表300包括为每个接收的流记录200指派流记录标识符310的列。表300还包括：包含每个接收的流记录200的IP源地址320的列，包含每个接收的流记录200的IP目的地地址320的列，包含每个接收的流记录200的时间戳340的列，以及包含流中与接收的流记录200相关联的字节大小350的列。
[0036] 在图3的示例中，示例性的流表300包括描述4个流的4个流记录，如流记录标识符310所指示的。在该特定示例中，前三个流源自源s1-s3处的三个唯一源地址320，去往源d1-d3处的三个目的地地址330；而第四个流源自源地址320s3。虽然没有绘出，但是示例性流表300可以类似地包括流记录200的其他方面，如以上图2中所述，诸如QoS、传输协议等。继续参考图3中的示例性流表300，时间戳值340指示与每个流相关联的时间，而字节大小值350指示与列310中标识的列出的流记录1-4相关联的每个流的大小。
[0037] 现在参考图4，可以根据已知的技术来聚集示例性流数据表300中的数据。例如，根据源IP地址420来聚集示例性聚集的流表400。由此，可以看出，聚集的流表400在列中指示。通常，聚集在一个或多个预定义的时段上完成。例如，示例性聚集的流表400包括具有与表300中的每个源IP地址420相关联的流记录的聚集数目410的列。聚集的流表400还指示针对表400中每个源IP地址420的流的总计字节大小430。下文将描述聚集的流表400的应用。对于流记录表300，应当理解，可以按照期望来聚集流记录190，例如根据图2中的示例性流记录200中描述的一个或多个流记录类别。
[0038] 在图5A中，绘出了存储在地址数据存储系统170中的示例性映射表500。特别地，映射表500用于将数字IP地址映射至对应的基于文本的地址。在所绘出的示例中，IP地址510被映射至文本地址520。特别地，继续参考来自图3中的示例性流记录表300的上述示例，映射表500包括针对流记录表300中所包括的每一个源地址和目的地地址的基于文本的地址520。下文详述映射表500的格式，但是首先介绍映射表500的应用。
[0039] 在图5B中，使用映射表500创建修改的流表530，并且将其存储在流数据存储系统140中。特别地，可以看出，修改的流表530与图3中的示例性流记录表300相对应。特别地，所绘出的修改的表530还包括为每个接收的流记录200指派流记录标识符540的列。修改的表530还包括：包含每个接收的流记录200的源地址550的列，包含每个接收的流记录200的目的地地址560的列，包含每个接收的流记录200的时间戳570的列，以及包含流中与接收的流记录200相关联的字节大小580的列。由此，可以看出，修改的流表530与图
3中的示例性流记录表300相对应，不同之处在于利用来自映射表500的基于文本的地址
520替换了IP源地址320和IP目的地地址330。
[0040] 返回参考图1，注意，数据分析工具150可以可选地包括数据代理151。数据代理151通常是配置用于确定与给定IP地址相关联的文本地址的软件工具。在常规因特网操作中，用户输入文本地址，该文本地址被转发至名称服务器以便转换为IP地址。数据代理经由IP网络112来访问名称服务器以确定与数字IP地址相关联的文本地址，从而进行反向操作。优选地，继而可以存储IP到文本地址的映射以备后用，借此，当下一次流记录200中包括IP地址时，使用映射表500中的现有映射来确定文本地址，而不是询问数据代理151来重新获得该映射。
[0041] 在图6中，描述了用于创建和使用修改的流记录表500的过程流600。包括在过程流600中的部件包括：网络节点610、网络监测系统620、地址分析系统630和用户接口640。现在描述这些部件的功能。网络节点将流报告650向网络监测系统620转发，网络监测系统620根据传统的、已知的流记录收集技术来收集和存储流记录。地址分析系统630访问和获得存储在网络监测系统620中的流报告数据660。地址分析系统630例如通过使用将IP地址与基于文本的地址相互关联的映射表(如上所述)来标识包含在流报告数据660中的IP地址。地址分析系统630继而利用基于文本的地址来替换包含在流报告数据660中的IP地址，并且返回经转换的流记录670以存储在网络监测系统620处。用户继而可以使用用户接口640从网络监测系统620请求所存储的经转换的流报告数据680。
[0042] 现在参考图7A，公开了根据本发明实施方式的流记录地址转换方法700。在步骤710中，如上所述根据已知技术来监测网络部件，并且在步骤720中收集流记录。通常，可以使用多数网络部件中所包括的功能(诸如路由器、集线器、服务器等)来执行步骤710和
720，并且步骤710和720可以用于收集和存储流记录表(诸如示例性流记录表300)。在步骤730中，分析从步骤720收集的流记录。例如，可以搜索流记录以定位包括在流记录中的各目的地IP地址和源IP地址。
[0043] 继续参考访问控制方法700，在步骤740中，标识步骤730中分析的流记录中的IP地址。特别地，如上所述，例如，通过使用包括用于将IP地址转换为基于文本的地址的记法的地址映射表，或者通过使用用以转换对地址服务器的访问以将数字IP地址转换为基于文本的地址的数据代理，来确定设备地址的较为用户友好的版本。在步骤750中，将流记录中的这些基于文本的地址向用户转发，并且可以根据需要对其进行使用。例如，可以更新流记录，以便除IP地址之外或者作为其备选而反映基于文本的地址。可选地，用户还可以接收指示文本地址的流记录数据以及与流记录相关联的业务的其他方面(诸如流的时间、大小和持续期间)。
[0044] 如图7B所绘出的，步骤740中的标识IP地址的过程包括在步骤741中的地址表中查找IP地址。地址表将IP地址与文本地址相互关联。如果在步骤742中标识到IP地址，则在步骤745中返回在地址表中找到的与该IP地址相关联的文本地址。
[0045] 如果在步骤743中没有标识到IP地址，则在步骤743中对表进行更新，以包括该IP地址以及可以使用上述技术来确定的到文本地址的任何映射。另外，地址表中找到的IP地址与一个或多个文本地址之间的映射在预定义时段内是有效的，并且在该时间之后过期，从而致使映射要重新创建。以此方式，可以不断地更新映射表以反映地址映射的改变(诸如与数字IP地址相关联的文本地址的改变)。在更新映射以反映变得陈旧(或者太老)的映射的新信息或者删除之后，在步骤744中，按照预定的次数来重复针对IP地址的搜索，其中再次在映射表中搜索IP地址。在预定次数的循环或者尝试之后，或者在预定的时段之后，在步骤746中停止针对IP地址的搜索。通常，如果在步骤746中针对到IP地址的映射的搜索停止，则产生错误消息并且将其转发给用户或者管理员。
[0046] 虽然已经参考示例性实施方式对本发明进行了描述，但是可以在不脱离本发明的精神和范围的情况下做出各种添加、删除、替换或者其他修改。因此，本发明不应认为受限于上文描述，而是仅由所附
权利要求的范围来限定。
