一种发现异常设备的方法及装置的制造方法
一种发现异常设备的方法及装置的制造方法
【技术领域】
[0001]本发明涉及通信领域，特别涉及一种发现异常设备的方法及装置。
【背景技术】
[0002]从广义上讲，服务器是指网络中能对其它机器提供某些服务的计算机系统从狭义上讲，服务器是专指某些高性能计算机，能通过网络，对外提供服务。相对于普通PC来说，稳定性、安全性、性能等方面都要求更高；并且服务器作为网络的节点，存储、处理网络上80%的数据、信息，因此也被称为网络的灵魂。网络终端设备如家庭、企业中的微机上网，获取资讯，与外界沟通、娱乐等，也必须经过服务器，因此也可以说是服务器在“组织”和“领导”这些设备。
[0003]因此服务器的地位是至关重要的，需要时时监控服务器是否异常，在现有技术中，通过传统监控工具监控本地设备的流量情况，来判断服务器是否异常，如当流量高于预设的阈值，则认为本地设备受到攻击；但是流量的增加有可能是正常业务范围内，因此这种靠单一设阀值触发报警的方法，会出现误报的情况；另外传统监控工具还存在以下几个问题，如传统监控工具没有直观给出服务器与网络设备、网络设备与网络设备的相关逻辑关系；只记录历史值，一般不会通过精确比较做进一步判断。
【发明内容】
[0004]本发明提供一种发现异常设备的方法及装置，用以达到监控设备并发现异常设备的目的。
[0005]本发明提供一种发现异常设备的方法，用于监控设备，包括:
[0006]获得本地设备的当前流量出现异常的流量异常报告；
[0007]检查所述本地设备的输出端口和输入端的流量是否一致；
[0008]在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，确定该设备发生异常；
[0009]在所述本地设备的输出端口和输入端的流量不一致时，确定所述本地设备发生异常。
[0010]本发明实施例的有益效果包括:获得本地设备的当前流量出现异常的流量异常报告；检查所述本地设备的输出端口和输入端的流量是否一致；在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，确定该设备发生异常；直观的给出了本地设备与其它网络设备的相关逻辑关系，同时根据链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，确定该设备发生异常，这一系列连锁反应既关注流量的环比变化情况、也关注流量的同比变换情况，增加了判断的准确性；在所述本地设备的输出端口和输入端的流量不一致时，确定所述本地设备发生异常，关注流量突然增加的情况、也关注流量突然减少的情况，增加了判断的准确性。
[0011]在一个实施例中，在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，如果内网内部没有发现输出端口和输入端的流量不一致的设备，则进一步判断对端为外网设备还是本地设备；
[0012]若对端为外网设备，则获取对端的IP地址并查看对端的IP地址是否在预设的白名单里，如果对端的IP地址在预设的白名单里，则确定没有设备发生异常；如果对端的IP地址不在预设的白名单里，则对所述本地设备进行人工登录查看；
[0013]若对端为另一个内网设备，则等待预设时间，若等待预设时间后，所述本地设备的流量依旧异常，则对所述本地设备进行人工登录查看；若等待预设时间后，所述本地设备的流量恢复正常，则所述本地设备没有异常。
[0014]该实施例中，如果内网内部没有发现输出端口和输入端的流量不一致的设备，则进一步判断对端为外网设备还是本地设备；若对端为外网设备，则获取对端的IP地址并查看对端的IP地址是否在预设的白名单里，如果对端的IP地址在预设的白名单里，则确定没有设备发生异常；如果对端的IP地址不在预设的白名单里，则对所述本地设备进行人工登录查看；若对端为另一个内网设备，则等待预设时间，若等待预设时间后，所述本地设备的流量依旧异常，则对所述本地设备进行人工登录查看；若等待预设时间后，所述本地设备的流量恢复正常，则所述本地设备没有异常；减少了误判，增加了发现异常设备的准确性。
[0015]在一个实施例中，所述确定该设备发生异常，包括:
[0016]判断该设备是否是数据源设备；
[0017]当不是数据源设备时，确定该设备发生异常；
[0018]所述获得本地设备的当前流量出现异常的流量异常报告，包括:
[0019]获得多个本地设备的当前流量出现异常的流量异常报告；
[0020]确定该设备发生异常，包括:
[0021]根据多个本地设备的流量异常报告均确定该设备发生异常时，最终确定该设备发生异常。
[0022]该实施例中，通过判断该设备是否是数据源设备；当不是数据源设备时，确定该设备发生异常；根据多个本地设备的流量异常报告均确定该设备发生异常时，最终确定该设备发生异常；进一步增加了判断的准确性。
[0023]在一个实施例中，所述获得本地设备的当前流量出现异常的流量异常报告，包括:
[0024]判断当前流量是否高于预设阈值；
[0025]当当前流量高于预设阈值时，判断历史记录中相同时间段内是否出现过当前流量高于预设流量阈值的情况；
[0026]在未出现过当前流量高于预设阈值的情况时，获得本地设备的当前流量出现异常的流量异常报告。
[0027]该实施例中，判断当前流量是否高于预设阈值；当当前流量高于预设阈值时，判断历史记录中相同时间段内是否出现过当前流量高于预设流量阈值的情况；在未出现过当前流量高于预设阈值的情况时，获得本地设备的当前流量出现异常的流量异常报告；通过与历史记录中相同时间段内的情况进行对比，既关注流量的环比变化情况、也关注流量的同比变换情况，而不仅仅靠单一设阀值触发报警，减少了错误报警的情况。
[0028]在一个实施例中，所述在未出现过当前流量高于预设阈值的情况时，获得本地设备的当前流量出现异常的流量异常报告，包括:
[0029]在未出现过当前流量高于预设阈值的情况时，判断出现过当前流量高于预设流量阈值的情况的次数是否达到预设次数阈值；
[0030]在达到预设次数阈值时，获得本地设备的当前流量出现异常的流量异常报告。
[0031]该实施例中，在未出现过当前流量高于预设阈值的情况时，判断出现过当前流量高于预设流量阈值的情况的次数是否达到预设次数阈值；通过精确比较做进一步判断，增加了判断结果的准确性。
[0032]本发明提供一种发现异常设备的装置，用于监控设备，包括:
[0033]获取模块，用于获得本地设备的当前流量出现异常的流量异常报告；
[0034]检查模块，用于检查所述本地设备的输出端口和输入端的流量是否一致；
[0035]确定模块，用于在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，确定该设备发生异常；
[0036]在所述本地设备的输出端口和输入端的流量不一致时，确定所述本地设备发生异常。
[0037]本发明实施例的有益效果包括:获得本地设备的当前流量出现异常的流量异常报告；检查所述本地设备的 输出端口和输入端的流量是否一致；在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，确定该设备发生异常；直观的给出了本地设备与其它网络设备的相关逻辑关系，同时根据链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，确定该设备发生异常，这一系列连锁反应既关注流量的环比变化情况、也关注流量的同比变换情况，增加了判断的准确性；在所述本地设备的输出端口和输入端的流量不一致时，确定所述本地设备发生异常，关注流量突然增加的情况、也关注流量突然减少的情况，增加了判断的准确性。
[0038]在一个实施例中，所述装置进一步包括:分析模块，用于在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，如果内网内部没有发现输出端口和输入端的流量不一致的设备，则进一步判断对端为外网设备还是本地设备;
[0039]若对端为外网设备，则获取对端的IP地址并查看对端的IP地址是否在预设的白名单里，如果对端的IP地址在预设的白名单里，则确定没有设备发生异常；如果对端的IP地址不在预设的白名单里，则对所述本地设备进行人工登录查看；
[0040]若对端为另一个内网设备，则等待预设时间，若等待预设时间后，所述本地设备的流量依旧异常，则对所述本地设备进行人工登录查看；若等待预设时间后，所述本地设备的流量恢复正常，则所述本地设备没有异常。
[0041]在一个实施例中，所述确定模块，包括:
[0042]第一确定子模块，用于判断该设备是否是数据源设备；
[0043]当不是数据源设备时，确定该设备发生异常。
[0044]所述获取模块，包括:获取子模块，用于获得多个本地设备的当前流量出现异常的流量异常报告；所述确定模块，包括:第二确定子模块，用于根据多个本地设备的流量异常报告均确定该设备发生异常时，最终确定该设备发生异常。
[0045]在一个实施例中，所述获取子模块，包括:获取单元，用于判断当前流量是否高于预设阈值；
[0046]当当前流量高于预设阈值时，判断历史记录中相同时间段内是否出现过当前流量高于预设流量阈值的情况；
[0047]在未出现过当前流量高于预设阈值的情况时，获得本地设备的当前流量出现异常的流量异常报告。
[0048]在一个实施例中，所述获取单元，包括:获取子单元，用于在未出现过当前流量高于预设阈值的情况时，判断出现过当前流量高于预设流量阈值的情况的次数是否达到预设次数阈值；
[0049]在达到预设次数阈值时，获得本地设备的当前流量出现异常的流量异常报告。
[0050]本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。
[0051]下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。
【附图说明】
[0052]附图用来提供对本发明的进一步理解，并且构成说明书的一部分，与本发明的实施例一起用于解释本发明，并不构成对本发明的限制。在附图中:
[0053]图1为本发明一示例性实施例示出的一种发现异常设备的方法流程图；
[0054]图2为本发明一示例性实施例示出的一种发现异常设备的方法流程图；
[0055]图3为本发明一示例性实施例示出的一种发现异常设备的方法流程图；
[0056]图4为本发明一示例性实施例示出的一种发现异常设备的方法流程图；
[0057]图5为本发明一示例性实施例示出的一种发现异常设备的方法流程图；
[0058]图6为本发明一示例性实施例示出的一种发现异常设备的方法流程图；
[0059]图7为本发明一示例性实施例示出的一种发现异常设备的装置框图；
[0060]图8为本发明一示例性实施例示出的一种发现异常设备的装置框图；
[0061]图9为本发明一示例性实施例示出的一种发现异常设备的装置框图；
[0062]图10为本发明一示例性实施例示出的一种发现异常设备的装置框图；
[0063]图11为本发明一示例性实施例示出的一种发现异常设备的装置框图；
[0064]图12为本发明一示例性实施例示出的一种发现异常设备的装置框图；
[0065]图13为本发明一示例性实施例示出的一种发现异常设备的装置框图；
【具体实施方式】
[0066]以下结合附图对本发明的优选实施例进行说明，应当理解，此处所描述的优选实施例仅用于说明和解释本发明，并不用于限定本发明。
[0067]如图1，本发明提供一种发现异常设备的方法，用于监控设备，包括步骤101-103:
[0068]步骤101，获得本地设备的当前流量出现异常的流量异常报告；
[0069]步骤102，检查所述本地设备的输出端口和输入端的流量是否一致；
[0070]步骤103，在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，确定该设备发生异常；
[0071]在所述本地设备的输出端口和输入端的流量不一致时，确定所述本地设备发生异常。
[0072]本发明实施例的有益效果包括:获得本地设备的当前流量出现异常的流量异常报告；检查所述本地设备的输出端口和输入端的流量是否一致；在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，确定该设备发生异常；直观的给出了本地设备与其它网络设备的相关逻辑关系，同时根据链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，确定该设备发生异常，这一系列连锁反应既关注流量的环比变化情况、也关注流量的同比变换情况，增加了判断的准确性；在所述本地设备的输出端口和输入端的流量不一致时，确定所述本地设备发生异常，关注流量突然增加的情况、也关注流量突然减少的情况，增加了判断的准确性。
[0073]在一个实施例中，在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，如果内网内部没有发现输出端口和输入端的流量不一致的设备，则进一步判断对端为外网设备还是本地设备；
[0074]若对端为外网设备，则获取对端的IP地址并查看对端的IP地址是否在预设的白名单里，如果对端的IP地址在预设的白名单里，则确定没有设备发生异常；如果对端的IP地址不在预设的白名单里，则对所述本地设备进行人工登录查看；
[0075]若对端为另一个内网设备，则等待预设时间，若等待预设时间后，所述本地设备的流量依旧异常，则对所述本地设备进行人工登录查看；若等待预设时间后，所述本地设备的流量恢复正常，则所述本地设备没有异常。
[0076]该实施例中，如果内网内部没有发现输出端口和输入端的流量不一致的设备，则进一步判断对端为外网设备还是本地设备；若对端为外网设备，则获取对端的IP地址并查看对端的IP地址 是否在预设的白名单里，如果对端的IP地址在预设的白名单里，则确定没有设备发生异常；如果对端的IP地址不在预设的白名单里，则对所述本地设备进行人工登录查看；若对端为另一个内网设备，则等待预设时间，若等待预设时间后，所述本地设备的流量依旧异常，则对所述本地设备进行人工登录查看，包括获取对端的IP地址、端口号、应用程序日志和系统日志等进行查看；若等待预设时间后，所述本地设备的流量恢复正常，则所述本地设备没有异常；减少了误判，增加了发现异常设备的准确性。
[0077]在一个实施例中，如图2，步骤103所述确定该设备发生异常，包括步骤201-步骤202:
[0078]步骤201，判断该设备是否是数据源设备；
[0079]步骤202，当不是数据源设备时，确定该设备发生异常。
[0080]如图3，步骤101所述获得本地设备的当前流量出现异常的流量异常报告，包括步骤 301:
[0081]步骤301，获得多个本地设备的当前流量出现异常的流量异常报告；
[0082]如图4，步骤103确定该设备发生异常，包括步骤401:
[0083]步骤401，根据多个本地设备的流量异常报告均确定该设备发生异常时，最终确定该设备发生异常。
[0084]该实施例中，通过判断该设备是否是数据源设备；当不是数据源设备时，确定该设备发生异常；获得多个本地设备的当前流量出现异常的流量异常报告；根据多个本地设备的流量异常报告均确定该设备发生异常时，最终确定该设备发生异常；进一步增加了判断的准确性。
[0085]在一个实施例中，如图5，步骤101所述获得本地设备的当前流量出现异常的流量异常报告，包括步骤501-503:
[0086]步骤501，判断当前流量是否高于预设阈值；当当前流量高于预设阈值时，执行步骤502 ;在未出现过当前流量高于预设阈值的情况时，执行步骤503 ;
[0087]步骤502，判断历史记录中相同时间段内是否出现过当前流量高于预设流量阈值的情况；
[0088]步骤503，获得本地设备的当前流量出现异常的流量异常报告。
[0089]该实施例中，判断当前流量是否高于预设阈值；当当前流量高于预设阈值时，判断历史记录中相同时间段内是否出现过当前流量高于预设流量阈值的情况；在未出现过当前流量高于预设阈值的情况时，获得本地设备的当前流量出现异常的流量异常报告；通过与历史记录中相同时间段内的情况进行对比，既关注流量的环比变化情况、也关注流量的同比变换情况，而不仅仅靠单一设阀值触发报警，减少了错误报警的情况。
[0090]在一个实施例中，如图6，步骤503，所述在未出现过当前流量高于预设阈值的情况时，获得本地设备的当前流量出现异常的流量异常报告，包括步骤601-602:
[0091]步骤601，在未出现过当前流量高于预设阈值的情况时，判断出现过当前流量高于预设流量阈值的情况的次数是否达到预设次数阈值；
[0092]步骤602在达到预设次数阈值时，获得本地设备的当前流量出现异常的流量异常?艮胃。
[0093]该实施例中，在未出现过当前流量高于预设阈值的情况时，判断出现过当前流量高于预设流量阈值的情况的次数是否达到预设次数阈值；通过精确比较做进一步判断，增加了判断结果的准确性。
[0094]如图7，本发明提供一种发现异常设备的装置，用于监控设备，包括:
[0095]获取模块701，用于获得本地设备的当前流量出现异常的流量异常报告；
[0096]检查模块702，用于检查所述本地设备的输出端口和输入端的流量是否一致；
[0097]确定模块703，用于在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，确定该设备发生异常；
[0098]在所述本地设备的输出端口和输入端的流量不一致时，确定所述本地设备发生异常。
[0099]本发明实施例的有益效果包括:获得本地设备的当前流量出现异常的流量异常报告；检查所述本地设备的输出端口和输入端的流量是否一致；在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，确定该设备发生异常；直观的给出了本地设备与其它网络设备的相关逻辑关系，同时根据链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，确定该设备发生异常，这一系列连锁反应既关注流量的环比变化情况、也关注流量的同比变换情况，增加了判断的准确性；在所述本地设备的输出端口和输入端的流量不一致时，确定所述本地设备发生异常，关注流量突然增加的情况、也关注流量突然减少的情况，增加了判断的准确性。
[0100]在一个实施例中，如图8，所述装置进一步包括:分析模块704，用于在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，如果内网内部没有发现输出端口和输入端的流量不一致的设备，则进一步判断对端为外网设备还是本地设备；
[0101]若对端为外网设备，则获取对端的IP地址并查看对端的IP地址是否在预设的白名单里，如果对端的IP地址在预设的白名单里，则确定没有设备发生异常；如果对端的IP地址不在预设的白名单里，则对所述本地设备进行人工登录查看；
[0102]若对端为另一个内网设备，则等待预设时间，若等待预设时间后，所述本地设备的流量依旧异常，则对所述本地设备进行人工登录查看；若等待预设时间后，所述本地设备的流量恢复正常，则所述本地设备没有异常。
[0103]在一个实施例中，如图9，所述确定模块703，包括:
[0104]第一确定子模块801，用于判断该设备是否是数据源设备；
[0105]当不是数据源设备时，确定该设备发生异常。
[0106]如图10，所述获取模块701，包括:获取子模块901，用于获得多个本地设备的当前流量出现异常的流量异常报告；如图11，所述确定模块703，包括:第二确定子模块1001，用于根据多个本地设备的流量异常报告均确定该设备发生异常时，最终确定该设备发生异常。
[0107]在一个实施例中，如图12，所述获取子模块901，包括:获取单元1101，用于判断当前流量是否高于预设阈值；
[0108]当当前流量高于预设阈值时，判断历史记录中相同时间段内是否出现过当前流量高于预设流量阈值的情况；
[0109]在未出现过当前流量高于预设阈值的情况时，获得本地设备的当前流量出现异常的流量异常报告。
[0110]在一个实施例中，如图13，所述获取单元1101，包括:获取子单元1201，用于在未出现过当前流量高于预设阈值的情况时，判断出现过当前流量高于预设流量阈值的情况的次数是否达到预设次数阈值；
[0111]在达到预设次数阈值时，获得本地设备的当前流量出现异常的流量异常报告。
[0112]本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器和光学存储器等)上实施的计算机程序产品的形式。
[0113]本发明是 参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
[0114]这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
[0115]这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
[0116]显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。
【主权项】
1.一种发现异常设备的方法，其特征在于，用于监控设备，包括: 获得本地设备的当前流量出现异常的流量异常报告； 检查所述本地设备的输出端口和输入端的流量是否一致； 在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，确定该设备发生异常； 在所述本地设备的输出端口和输入端的流量不一致时，确定所述本地设备发生异常。2.如权利要求1所述的方法，其特征在于，所述方法进一步包括: 在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，如果内网内部没有发现输出端口和输入端的流量不一致的设备，则进一步判断对端为外网设备还是本地设备； 若对端为外网设备，则获取对端的IP地址并查看对端的IP地址是否在预设的白名单里，如果对端的IP地址在预设的白名单里，则确定没有设备发生异常；如果对端的IP地址不在预设的白名单里，则对所述本地设备进行人工查看； 若对端为另一个内网设备，则等待预设时间，若等待预设时间后，所述本地设备的流量依旧异常，则对所述本地设备进行人工登录查看；若等待预设时间后，所述本地设备的流量恢复正常，则所述本地设备没有异常。3.如权利要求1所述的方法，其特征在于， 所述确定该设备发生异常，包括: 判断该设备是否是数据源设备； 当不是数据源设备时，确定该设备发生异常； 所述获得本地设备的当前流量出现异常的流量异常报告，包括: 获得多个本地设备的当前流量出现异常的流量异常报告； 确定该设备发生异常，包括: 根据多个本地设备的流量异常报告均确定该设备发生异常时，最终确定该设备发生异常。4.如权利要求1所述的方法，其特征在于，所述获得本地设备的当前流量出现异常的流量异常报告，包括: 判断当前流量是否高于预设阈值； 当当前流量高于预设阈值时，判断历史记录中相同时间段内是否出现过当前流量高于预设流量阈值的情况； 在未出现过当前流量高于预设阈值的情况时，获得本地设备的当前流量出现异常的流量异常报告。5.如权利要求4所述的方法，其特征在于，所述在未出现过当前流量高于预设阈值的情况时，获得本地设备的当前流量出现异常的流量异常报告，包括: 在未出现过当前流量高于预设阈值的情况时，判断出现过当前流量高于预设流量阈值的情况的次数是否达到预设次数阈值； 在达到预设次数阈值时，获得本地设备的当前流量出现异常的流量异常报告。6.一种发现异常设备的装置，其特征在于，用于监控设备，包括: 获取模块，用于获得本地设备的当前流量出现异常的流量异常报告； 检查模块，用于检查所述本地设备的输出端口和输入端的流量是否一致； 确定模块，用于在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，确定该设备发生异常； 在所述本地设备的输出端口和输入端的流量不一致时，确定所述本地设备发生异常。7.如权利要求6所述的装置，其特征在于，所述装置进一步包括: 分析模块，用于在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，如果内网内部没有发现输出端口和输入端的流量不一致的设备，则进一步判断对端为外网设备还是本地设备； 若对端为外网设备，则获取对端的IP地址并查看对端的IP地址是否在预设的白名单里，如果对端的IP地址在预设的白名单里，则确定没有设备发生异常；如果对端的IP地址不在预设的白名单里，则对所述本地设备进行人工登录查看； 若对端为另一个内网设备，则等待预设时间，若等待预设时间后，所述本地设备的流量依旧异常，则对所述本地设备进行人工登录查看；若等待预设时间后，所述本地设备的流量恢复正常，则所述本地设备没有异常。8.如权利要求6所述的装置，其特征在于， 所述确定模块，包括: 第一确定子模块，用于判断该设备是否是数据源设备； 当不是数据源设备时，确定该设备发生异常； 所述获取模块，包括:获取子模块，用于获得多个本地设备的当前流量出现异常的流量异常报告；所述确定模块，包括:第二确定子模块，用于根据多个本地设备的流量异常报告均确定该设备发生异常时，最终确定该设备发生异常。9.如权利要求6所述的装置，其特征在于，所述获取子模块，包括:获取单元，用于判断当前流量是否高于预设阈值； 当当前流量高于预设阈值时，判断历史记录中相同时间段内是否出现过当前流量高于预设流量阈值的情况； 在未出现过当前流量高于预设阈值的情况时，获得本地设备的当前流量出现异常的流量异常报告。10.如权利要求9所述的装置，其特征在于，所述获取单元，包括:获取子单元，用于在未出现过当前流量高于预设阈值的情况时，判断出现过当前流量高于预设流量阈值的情况的次数是否达到预设次数阈值； 在达到预设次数阈值时，获得本地设备的当前流量出现异常的流量异常报告。
【专利摘要】本发明提供一种发现异常设备的方法及装置，用以达到监控设备并发现异常设备的目的。本发明包括：获得本地设备的当前流量出现异常的流量异常报告；检查所述本地设备的输出端口和输入端的流量是否一致；在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，确定该设备发生异常；在所述本地设备的输出端口和输入端的流量不一致时，确定所述本地设备发生异常。本发明直观的给出了本地设备与其它网络设备的相关逻辑关系，既关注流量的环比变化情况、也关注流量的同比变换情况，增加了判断的准确性。
【IPC分类】H04L12/24, H04L12/26
【公开号】CN104901833
【申请号】CN201510256151
【发明人】郭启明
【申请人】无锡天脉聚源传媒科技有限公司
【公开日】2015年9月9日
【申请日】2015年5月19日
【技术领域】
[0001]本发明涉及通信领域，特别涉及一种发现异常设备的方法及装置。
【背景技术】
[0002]从广义上讲，服务器是指网络中能对其它机器提供某些服务的计算机系统从狭义上讲，服务器是专指某些高性能计算机，能通过网络，对外提供服务。相对于普通PC来说，稳定性、安全性、性能等方面都要求更高；并且服务器作为网络的节点，存储、处理网络上80%的数据、信息，因此也被称为网络的灵魂。网络终端设备如家庭、企业中的微机上网，获取资讯，与外界沟通、娱乐等，也必须经过服务器，因此也可以说是服务器在“组织”和“领导”这些设备。
[0003]因此服务器的地位是至关重要的，需要时时监控服务器是否异常，在现有技术中，通过传统监控工具监控本地设备的流量情况，来判断服务器是否异常，如当流量高于预设的阈值，则认为本地设备受到攻击；但是流量的增加有可能是正常业务范围内，因此这种靠单一设阀值触发报警的方法，会出现误报的情况；另外传统监控工具还存在以下几个问题，如传统监控工具没有直观给出服务器与网络设备、网络设备与网络设备的相关逻辑关系；只记录历史值，一般不会通过精确比较做进一步判断。
【发明内容】
[0004]本发明提供一种发现异常设备的方法及装置，用以达到监控设备并发现异常设备的目的。
[0005]本发明提供一种发现异常设备的方法，用于监控设备，包括:
[0006]获得本地设备的当前流量出现异常的流量异常报告；
[0007]检查所述本地设备的输出端口和输入端的流量是否一致；
[0008]在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，确定该设备发生异常；
[0009]在所述本地设备的输出端口和输入端的流量不一致时，确定所述本地设备发生异常。
[0010]本发明实施例的有益效果包括:获得本地设备的当前流量出现异常的流量异常报告；检查所述本地设备的输出端口和输入端的流量是否一致；在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，确定该设备发生异常；直观的给出了本地设备与其它网络设备的相关逻辑关系，同时根据链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，确定该设备发生异常，这一系列连锁反应既关注流量的环比变化情况、也关注流量的同比变换情况，增加了判断的准确性；在所述本地设备的输出端口和输入端的流量不一致时，确定所述本地设备发生异常，关注流量突然增加的情况、也关注流量突然减少的情况，增加了判断的准确性。
[0011]在一个实施例中，在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，如果内网内部没有发现输出端口和输入端的流量不一致的设备，则进一步判断对端为外网设备还是本地设备；
[0012]若对端为外网设备，则获取对端的IP地址并查看对端的IP地址是否在预设的白名单里，如果对端的IP地址在预设的白名单里，则确定没有设备发生异常；如果对端的IP地址不在预设的白名单里，则对所述本地设备进行人工登录查看；
[0013]若对端为另一个内网设备，则等待预设时间，若等待预设时间后，所述本地设备的流量依旧异常，则对所述本地设备进行人工登录查看；若等待预设时间后，所述本地设备的流量恢复正常，则所述本地设备没有异常。
[0014]该实施例中，如果内网内部没有发现输出端口和输入端的流量不一致的设备，则进一步判断对端为外网设备还是本地设备；若对端为外网设备，则获取对端的IP地址并查看对端的IP地址是否在预设的白名单里，如果对端的IP地址在预设的白名单里，则确定没有设备发生异常；如果对端的IP地址不在预设的白名单里，则对所述本地设备进行人工登录查看；若对端为另一个内网设备，则等待预设时间，若等待预设时间后，所述本地设备的流量依旧异常，则对所述本地设备进行人工登录查看；若等待预设时间后，所述本地设备的流量恢复正常，则所述本地设备没有异常；减少了误判，增加了发现异常设备的准确性。
[0015]在一个实施例中，所述确定该设备发生异常，包括:
[0016]判断该设备是否是数据源设备；
[0017]当不是数据源设备时，确定该设备发生异常；
[0018]所述获得本地设备的当前流量出现异常的流量异常报告，包括:
[0019]获得多个本地设备的当前流量出现异常的流量异常报告；
[0020]确定该设备发生异常，包括:
[0021]根据多个本地设备的流量异常报告均确定该设备发生异常时，最终确定该设备发生异常。
[0022]该实施例中，通过判断该设备是否是数据源设备；当不是数据源设备时，确定该设备发生异常；根据多个本地设备的流量异常报告均确定该设备发生异常时，最终确定该设备发生异常；进一步增加了判断的准确性。
[0023]在一个实施例中，所述获得本地设备的当前流量出现异常的流量异常报告，包括:
[0024]判断当前流量是否高于预设阈值；
[0025]当当前流量高于预设阈值时，判断历史记录中相同时间段内是否出现过当前流量高于预设流量阈值的情况；
[0026]在未出现过当前流量高于预设阈值的情况时，获得本地设备的当前流量出现异常的流量异常报告。
[0027]该实施例中，判断当前流量是否高于预设阈值；当当前流量高于预设阈值时，判断历史记录中相同时间段内是否出现过当前流量高于预设流量阈值的情况；在未出现过当前流量高于预设阈值的情况时，获得本地设备的当前流量出现异常的流量异常报告；通过与历史记录中相同时间段内的情况进行对比，既关注流量的环比变化情况、也关注流量的同比变换情况，而不仅仅靠单一设阀值触发报警，减少了错误报警的情况。
[0028]在一个实施例中，所述在未出现过当前流量高于预设阈值的情况时，获得本地设备的当前流量出现异常的流量异常报告，包括:
[0029]在未出现过当前流量高于预设阈值的情况时，判断出现过当前流量高于预设流量阈值的情况的次数是否达到预设次数阈值；
[0030]在达到预设次数阈值时，获得本地设备的当前流量出现异常的流量异常报告。
[0031]该实施例中，在未出现过当前流量高于预设阈值的情况时，判断出现过当前流量高于预设流量阈值的情况的次数是否达到预设次数阈值；通过精确比较做进一步判断，增加了判断结果的准确性。
[0032]本发明提供一种发现异常设备的装置，用于监控设备，包括:
[0033]获取模块，用于获得本地设备的当前流量出现异常的流量异常报告；
[0034]检查模块，用于检查所述本地设备的输出端口和输入端的流量是否一致；
[0035]确定模块，用于在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，确定该设备发生异常；
[0036]在所述本地设备的输出端口和输入端的流量不一致时，确定所述本地设备发生异常。
[0037]本发明实施例的有益效果包括:获得本地设备的当前流量出现异常的流量异常报告；检查所述本地设备的 输出端口和输入端的流量是否一致；在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，确定该设备发生异常；直观的给出了本地设备与其它网络设备的相关逻辑关系，同时根据链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，确定该设备发生异常，这一系列连锁反应既关注流量的环比变化情况、也关注流量的同比变换情况，增加了判断的准确性；在所述本地设备的输出端口和输入端的流量不一致时，确定所述本地设备发生异常，关注流量突然增加的情况、也关注流量突然减少的情况，增加了判断的准确性。
[0038]在一个实施例中，所述装置进一步包括:分析模块，用于在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，如果内网内部没有发现输出端口和输入端的流量不一致的设备，则进一步判断对端为外网设备还是本地设备;
[0039]若对端为外网设备，则获取对端的IP地址并查看对端的IP地址是否在预设的白名单里，如果对端的IP地址在预设的白名单里，则确定没有设备发生异常；如果对端的IP地址不在预设的白名单里，则对所述本地设备进行人工登录查看；
[0040]若对端为另一个内网设备，则等待预设时间，若等待预设时间后，所述本地设备的流量依旧异常，则对所述本地设备进行人工登录查看；若等待预设时间后，所述本地设备的流量恢复正常，则所述本地设备没有异常。
[0041]在一个实施例中，所述确定模块，包括:
[0042]第一确定子模块，用于判断该设备是否是数据源设备；
[0043]当不是数据源设备时，确定该设备发生异常。
[0044]所述获取模块，包括:获取子模块，用于获得多个本地设备的当前流量出现异常的流量异常报告；所述确定模块，包括:第二确定子模块，用于根据多个本地设备的流量异常报告均确定该设备发生异常时，最终确定该设备发生异常。
[0045]在一个实施例中，所述获取子模块，包括:获取单元，用于判断当前流量是否高于预设阈值；
[0046]当当前流量高于预设阈值时，判断历史记录中相同时间段内是否出现过当前流量高于预设流量阈值的情况；
[0047]在未出现过当前流量高于预设阈值的情况时，获得本地设备的当前流量出现异常的流量异常报告。
[0048]在一个实施例中，所述获取单元，包括:获取子单元，用于在未出现过当前流量高于预设阈值的情况时，判断出现过当前流量高于预设流量阈值的情况的次数是否达到预设次数阈值；
[0049]在达到预设次数阈值时，获得本地设备的当前流量出现异常的流量异常报告。
[0050]本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。
[0051]下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。
【附图说明】
[0052]附图用来提供对本发明的进一步理解，并且构成说明书的一部分，与本发明的实施例一起用于解释本发明，并不构成对本发明的限制。在附图中:
[0053]图1为本发明一示例性实施例示出的一种发现异常设备的方法流程图；
[0054]图2为本发明一示例性实施例示出的一种发现异常设备的方法流程图；
[0055]图3为本发明一示例性实施例示出的一种发现异常设备的方法流程图；
[0056]图4为本发明一示例性实施例示出的一种发现异常设备的方法流程图；
[0057]图5为本发明一示例性实施例示出的一种发现异常设备的方法流程图；
[0058]图6为本发明一示例性实施例示出的一种发现异常设备的方法流程图；
[0059]图7为本发明一示例性实施例示出的一种发现异常设备的装置框图；
[0060]图8为本发明一示例性实施例示出的一种发现异常设备的装置框图；
[0061]图9为本发明一示例性实施例示出的一种发现异常设备的装置框图；
[0062]图10为本发明一示例性实施例示出的一种发现异常设备的装置框图；
[0063]图11为本发明一示例性实施例示出的一种发现异常设备的装置框图；
[0064]图12为本发明一示例性实施例示出的一种发现异常设备的装置框图；
[0065]图13为本发明一示例性实施例示出的一种发现异常设备的装置框图；
【具体实施方式】
[0066]以下结合附图对本发明的优选实施例进行说明，应当理解，此处所描述的优选实施例仅用于说明和解释本发明，并不用于限定本发明。
[0067]如图1，本发明提供一种发现异常设备的方法，用于监控设备，包括步骤101-103:
[0068]步骤101，获得本地设备的当前流量出现异常的流量异常报告；
[0069]步骤102，检查所述本地设备的输出端口和输入端的流量是否一致；
[0070]步骤103，在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，确定该设备发生异常；
[0071]在所述本地设备的输出端口和输入端的流量不一致时，确定所述本地设备发生异常。
[0072]本发明实施例的有益效果包括:获得本地设备的当前流量出现异常的流量异常报告；检查所述本地设备的输出端口和输入端的流量是否一致；在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，确定该设备发生异常；直观的给出了本地设备与其它网络设备的相关逻辑关系，同时根据链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，确定该设备发生异常，这一系列连锁反应既关注流量的环比变化情况、也关注流量的同比变换情况，增加了判断的准确性；在所述本地设备的输出端口和输入端的流量不一致时，确定所述本地设备发生异常，关注流量突然增加的情况、也关注流量突然减少的情况，增加了判断的准确性。
[0073]在一个实施例中，在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，如果内网内部没有发现输出端口和输入端的流量不一致的设备，则进一步判断对端为外网设备还是本地设备；
[0074]若对端为外网设备，则获取对端的IP地址并查看对端的IP地址是否在预设的白名单里，如果对端的IP地址在预设的白名单里，则确定没有设备发生异常；如果对端的IP地址不在预设的白名单里，则对所述本地设备进行人工登录查看；
[0075]若对端为另一个内网设备，则等待预设时间，若等待预设时间后，所述本地设备的流量依旧异常，则对所述本地设备进行人工登录查看；若等待预设时间后，所述本地设备的流量恢复正常，则所述本地设备没有异常。
[0076]该实施例中，如果内网内部没有发现输出端口和输入端的流量不一致的设备，则进一步判断对端为外网设备还是本地设备；若对端为外网设备，则获取对端的IP地址并查看对端的IP地址 是否在预设的白名单里，如果对端的IP地址在预设的白名单里，则确定没有设备发生异常；如果对端的IP地址不在预设的白名单里，则对所述本地设备进行人工登录查看；若对端为另一个内网设备，则等待预设时间，若等待预设时间后，所述本地设备的流量依旧异常，则对所述本地设备进行人工登录查看，包括获取对端的IP地址、端口号、应用程序日志和系统日志等进行查看；若等待预设时间后，所述本地设备的流量恢复正常，则所述本地设备没有异常；减少了误判，增加了发现异常设备的准确性。
[0077]在一个实施例中，如图2，步骤103所述确定该设备发生异常，包括步骤201-步骤202:
[0078]步骤201，判断该设备是否是数据源设备；
[0079]步骤202，当不是数据源设备时，确定该设备发生异常。
[0080]如图3，步骤101所述获得本地设备的当前流量出现异常的流量异常报告，包括步骤 301:
[0081]步骤301，获得多个本地设备的当前流量出现异常的流量异常报告；
[0082]如图4，步骤103确定该设备发生异常，包括步骤401:
[0083]步骤401，根据多个本地设备的流量异常报告均确定该设备发生异常时，最终确定该设备发生异常。
[0084]该实施例中，通过判断该设备是否是数据源设备；当不是数据源设备时，确定该设备发生异常；获得多个本地设备的当前流量出现异常的流量异常报告；根据多个本地设备的流量异常报告均确定该设备发生异常时，最终确定该设备发生异常；进一步增加了判断的准确性。
[0085]在一个实施例中，如图5，步骤101所述获得本地设备的当前流量出现异常的流量异常报告，包括步骤501-503:
[0086]步骤501，判断当前流量是否高于预设阈值；当当前流量高于预设阈值时，执行步骤502 ;在未出现过当前流量高于预设阈值的情况时，执行步骤503 ;
[0087]步骤502，判断历史记录中相同时间段内是否出现过当前流量高于预设流量阈值的情况；
[0088]步骤503，获得本地设备的当前流量出现异常的流量异常报告。
[0089]该实施例中，判断当前流量是否高于预设阈值；当当前流量高于预设阈值时，判断历史记录中相同时间段内是否出现过当前流量高于预设流量阈值的情况；在未出现过当前流量高于预设阈值的情况时，获得本地设备的当前流量出现异常的流量异常报告；通过与历史记录中相同时间段内的情况进行对比，既关注流量的环比变化情况、也关注流量的同比变换情况，而不仅仅靠单一设阀值触发报警，减少了错误报警的情况。
[0090]在一个实施例中，如图6，步骤503，所述在未出现过当前流量高于预设阈值的情况时，获得本地设备的当前流量出现异常的流量异常报告，包括步骤601-602:
[0091]步骤601，在未出现过当前流量高于预设阈值的情况时，判断出现过当前流量高于预设流量阈值的情况的次数是否达到预设次数阈值；
[0092]步骤602在达到预设次数阈值时，获得本地设备的当前流量出现异常的流量异常?艮胃。
[0093]该实施例中，在未出现过当前流量高于预设阈值的情况时，判断出现过当前流量高于预设流量阈值的情况的次数是否达到预设次数阈值；通过精确比较做进一步判断，增加了判断结果的准确性。
[0094]如图7，本发明提供一种发现异常设备的装置，用于监控设备，包括:
[0095]获取模块701，用于获得本地设备的当前流量出现异常的流量异常报告；
[0096]检查模块702，用于检查所述本地设备的输出端口和输入端的流量是否一致；
[0097]确定模块703，用于在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，确定该设备发生异常；
[0098]在所述本地设备的输出端口和输入端的流量不一致时，确定所述本地设备发生异常。
[0099]本发明实施例的有益效果包括:获得本地设备的当前流量出现异常的流量异常报告；检查所述本地设备的输出端口和输入端的流量是否一致；在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，确定该设备发生异常；直观的给出了本地设备与其它网络设备的相关逻辑关系，同时根据链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，确定该设备发生异常，这一系列连锁反应既关注流量的环比变化情况、也关注流量的同比变换情况，增加了判断的准确性；在所述本地设备的输出端口和输入端的流量不一致时，确定所述本地设备发生异常，关注流量突然增加的情况、也关注流量突然减少的情况，增加了判断的准确性。
[0100]在一个实施例中，如图8，所述装置进一步包括:分析模块704，用于在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，如果内网内部没有发现输出端口和输入端的流量不一致的设备，则进一步判断对端为外网设备还是本地设备；
[0101]若对端为外网设备，则获取对端的IP地址并查看对端的IP地址是否在预设的白名单里，如果对端的IP地址在预设的白名单里，则确定没有设备发生异常；如果对端的IP地址不在预设的白名单里，则对所述本地设备进行人工登录查看；
[0102]若对端为另一个内网设备，则等待预设时间，若等待预设时间后，所述本地设备的流量依旧异常，则对所述本地设备进行人工登录查看；若等待预设时间后，所述本地设备的流量恢复正常，则所述本地设备没有异常。
[0103]在一个实施例中，如图9，所述确定模块703，包括:
[0104]第一确定子模块801，用于判断该设备是否是数据源设备；
[0105]当不是数据源设备时，确定该设备发生异常。
[0106]如图10，所述获取模块701，包括:获取子模块901，用于获得多个本地设备的当前流量出现异常的流量异常报告；如图11，所述确定模块703，包括:第二确定子模块1001，用于根据多个本地设备的流量异常报告均确定该设备发生异常时，最终确定该设备发生异常。
[0107]在一个实施例中，如图12，所述获取子模块901，包括:获取单元1101，用于判断当前流量是否高于预设阈值；
[0108]当当前流量高于预设阈值时，判断历史记录中相同时间段内是否出现过当前流量高于预设流量阈值的情况；
[0109]在未出现过当前流量高于预设阈值的情况时，获得本地设备的当前流量出现异常的流量异常报告。
[0110]在一个实施例中，如图13，所述获取单元1101，包括:获取子单元1201，用于在未出现过当前流量高于预设阈值的情况时，判断出现过当前流量高于预设流量阈值的情况的次数是否达到预设次数阈值；
[0111]在达到预设次数阈值时，获得本地设备的当前流量出现异常的流量异常报告。
[0112]本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器和光学存储器等)上实施的计算机程序产品的形式。
[0113]本发明是 参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
[0114]这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
[0115]这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
[0116]显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。
【主权项】
1.一种发现异常设备的方法，其特征在于，用于监控设备，包括: 获得本地设备的当前流量出现异常的流量异常报告； 检查所述本地设备的输出端口和输入端的流量是否一致； 在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，确定该设备发生异常； 在所述本地设备的输出端口和输入端的流量不一致时，确定所述本地设备发生异常。2.如权利要求1所述的方法，其特征在于，所述方法进一步包括: 在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，如果内网内部没有发现输出端口和输入端的流量不一致的设备，则进一步判断对端为外网设备还是本地设备； 若对端为外网设备，则获取对端的IP地址并查看对端的IP地址是否在预设的白名单里，如果对端的IP地址在预设的白名单里，则确定没有设备发生异常；如果对端的IP地址不在预设的白名单里，则对所述本地设备进行人工查看； 若对端为另一个内网设备，则等待预设时间，若等待预设时间后，所述本地设备的流量依旧异常，则对所述本地设备进行人工登录查看；若等待预设时间后，所述本地设备的流量恢复正常，则所述本地设备没有异常。3.如权利要求1所述的方法，其特征在于， 所述确定该设备发生异常，包括: 判断该设备是否是数据源设备； 当不是数据源设备时，确定该设备发生异常； 所述获得本地设备的当前流量出现异常的流量异常报告，包括: 获得多个本地设备的当前流量出现异常的流量异常报告； 确定该设备发生异常，包括: 根据多个本地设备的流量异常报告均确定该设备发生异常时，最终确定该设备发生异常。4.如权利要求1所述的方法，其特征在于，所述获得本地设备的当前流量出现异常的流量异常报告，包括: 判断当前流量是否高于预设阈值； 当当前流量高于预设阈值时，判断历史记录中相同时间段内是否出现过当前流量高于预设流量阈值的情况； 在未出现过当前流量高于预设阈值的情况时，获得本地设备的当前流量出现异常的流量异常报告。5.如权利要求4所述的方法，其特征在于，所述在未出现过当前流量高于预设阈值的情况时，获得本地设备的当前流量出现异常的流量异常报告，包括: 在未出现过当前流量高于预设阈值的情况时，判断出现过当前流量高于预设流量阈值的情况的次数是否达到预设次数阈值； 在达到预设次数阈值时，获得本地设备的当前流量出现异常的流量异常报告。6.一种发现异常设备的装置，其特征在于，用于监控设备，包括: 获取模块，用于获得本地设备的当前流量出现异常的流量异常报告； 检查模块，用于检查所述本地设备的输出端口和输入端的流量是否一致； 确定模块，用于在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，确定该设备发生异常； 在所述本地设备的输出端口和输入端的流量不一致时，确定所述本地设备发生异常。7.如权利要求6所述的装置，其特征在于，所述装置进一步包括: 分析模块，用于在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，如果内网内部没有发现输出端口和输入端的流量不一致的设备，则进一步判断对端为外网设备还是本地设备； 若对端为外网设备，则获取对端的IP地址并查看对端的IP地址是否在预设的白名单里，如果对端的IP地址在预设的白名单里，则确定没有设备发生异常；如果对端的IP地址不在预设的白名单里，则对所述本地设备进行人工登录查看； 若对端为另一个内网设备，则等待预设时间，若等待预设时间后，所述本地设备的流量依旧异常，则对所述本地设备进行人工登录查看；若等待预设时间后，所述本地设备的流量恢复正常，则所述本地设备没有异常。8.如权利要求6所述的装置，其特征在于， 所述确定模块，包括: 第一确定子模块，用于判断该设备是否是数据源设备； 当不是数据源设备时，确定该设备发生异常； 所述获取模块，包括:获取子模块，用于获得多个本地设备的当前流量出现异常的流量异常报告；所述确定模块，包括:第二确定子模块，用于根据多个本地设备的流量异常报告均确定该设备发生异常时，最终确定该设备发生异常。9.如权利要求6所述的装置，其特征在于，所述获取子模块，包括:获取单元，用于判断当前流量是否高于预设阈值； 当当前流量高于预设阈值时，判断历史记录中相同时间段内是否出现过当前流量高于预设流量阈值的情况； 在未出现过当前流量高于预设阈值的情况时，获得本地设备的当前流量出现异常的流量异常报告。10.如权利要求9所述的装置，其特征在于，所述获取单元，包括:获取子单元，用于在未出现过当前流量高于预设阈值的情况时，判断出现过当前流量高于预设流量阈值的情况的次数是否达到预设次数阈值； 在达到预设次数阈值时，获得本地设备的当前流量出现异常的流量异常报告。
【专利摘要】本发明提供一种发现异常设备的方法及装置，用以达到监控设备并发现异常设备的目的。本发明包括：获得本地设备的当前流量出现异常的流量异常报告；检查所述本地设备的输出端口和输入端的流量是否一致；在所述本地设备的输出端口和输入端的流量一致时，检查链路上所述本地设备的前一个设备输出端口和输入端的流量是否一致，直至确定内网内部输出端口和输入端的流量不一致的设备，确定该设备发生异常；在所述本地设备的输出端口和输入端的流量不一致时，确定所述本地设备发生异常。本发明直观的给出了本地设备与其它网络设备的相关逻辑关系，既关注流量的环比变化情况、也关注流量的同比变换情况，增加了判断的准确性。
【IPC分类】H04L12/24, H04L12/26
【公开号】CN104901833
【申请号】CN201510256151
【发明人】郭启明
【申请人】无锡天脉聚源传媒科技有限公司
【公开日】2015年9月9日
【申请日】2015年5月19日
最新回复(0)