[發(fā)明專利]一種基于主動和被動相結合的全網設備感知系統(tǒng)和感知方法

在審

• 申請?zhí)枺?/td>: 201711453081.0
• 申請日: 2017-12-28
• 公開（公告）號: CN108173692A
• 公開（公告）日: 2018-06-15
• 發(fā)明（設計）人: 朱鳳剛
• 申請（專利權）人: 山東華軟金盾軟件股份有限公司
• 主分類號: H04L12/24
• 分類號: H04L12/24;H04L29/06;H04L29/08
• 代理公司: 濟南泉城專利商標事務所 37218
• 代理人: 支文彬

1.一種基于主動和被動相結合的全網設備感知系統(tǒng)，其特征在于包括：

A、發(fā)現層：

通過多種手段獲取全網的網絡設備，并形成設備信息列表，通過以下一種或幾種發(fā)現方式獲取：

1) SNMP發(fā)現：SNMP用于發(fā)現IPMAC、以上聯設備和上聯端口；

2) 探針發(fā)現：通過在多個點部署小網段資源監(jiān)測點或獨立部署的探針，進行探測探針所在的網段的所有設備；

3) ICMP發(fā)現：按網段進行ICMP掃描；

4) 被動發(fā)現：對接入到網格上的設備，通過配置端口鏡像，將網絡數據包鏡像到本系統(tǒng)，獲取網絡流量；

B、緩存層：

負責接收發(fā)現層的發(fā)現結果，向識別層發(fā)送識別請求，調度識別層進行識別，最后將識別的結果發(fā)送到緩存層匯總，緩存層將各發(fā)現模塊獲取的整體信息匯總并將設備信息推送給其它業(yè)務系統(tǒng)；

C、識別層：

識別層主要分為兩大部分：被動識別層和主動識別層，用于將緩存層發(fā)送來的信息進行識別和處理，并將識別和處理后的信息發(fā)送到緩存層；

被動識別層

被動識別層通過對被動發(fā)現的網絡設備的流量信息進行解包和分析，獲取設備的特征信息，所述的特征信息包括有協議特征數據和行為特征數據；

主動識別層

主動識別層通過一系列的掃描程序，主動向設備發(fā)送探測包，并通過分析設備的響應來獲取設備的信息。

2.一種基于主動和被動相結合的全網設備感知方法，其特征在于包括

A、發(fā)現和識別網絡設備的網絡信息，并形成設備信息列表，通過以下一種或幾種發(fā)現方式獲取：

（1）SNMP發(fā)現：通過SNMP獲取網絡信息，包括設備的上聯設備和上聯端口；通過上聯設備用來快速地查找或定位設備，并能直接在網絡設備上標注；通過上聯端口進行位置報警或基于背板功能；

（2）探針發(fā)現：通過在多個點部署小網段資源監(jiān)測點或獨立部署的探針，進行探測探針所在的網段的所有設備；

（3）ICMP發(fā)現：按網段進行ICMP掃描；

（4）被動發(fā)現：對接入到網格上的設備，通過配置端口鏡像，將網絡數據包鏡像到本系統(tǒng)，獲取網絡流量；

B、進行緩存處理：當發(fā)現層發(fā)現網絡設備之后，將發(fā)現的設備信息發(fā)送給緩存層，此時緩存層只獲取到了設備的最基本信息，然后緩存層向識別層發(fā)送識別請求，識別層各模塊接收到識別請求之后對該設備進行多項識別，最后將識別的結果發(fā)送到緩存層匯總，緩存層將各發(fā)現模塊獲取的整體信息匯總并將設備信息推送給其它業(yè)務系統(tǒng)；

C、識別處理：識別處理分為被動識別和主動識別兩部分；用于將緩存層發(fā)送來的信息進行識別和處理，并將識別和處理后的信息發(fā)送到緩存層；

（1）被動識別：通過對網絡流量信息進行解包和分析，獲取設備的特征信息；

對獲取的網絡流量進行數據解析：獲取到網絡流量之后，對其進行分層拆包解析，獲取可以進行識別的信息，分析模塊可以將其中的特征提取出來，形成系統(tǒng)的指紋特征；

提取特征：解析之后的數據包，變?yōu)橐幌盗袇f議特征數據和用戶數據，通過對協議特征數據進行收集，并對用戶數據綜合進行行為分析，分別形成協議特征數據和行為特征數據，綜合提取出設備指紋;

（2）主動識別：

通過一系列的掃描程序，主動向設備發(fā)送探測包，并通過分析設備的響應來獲取設備的信息，所述的信息包括識別設備的操作系統(tǒng)、服務信息，通過一系列特征包探測，獲取到設備網絡協議棧的特征信息，通過與預置數據庫特征比對，獲取到設備的操作系統(tǒng)信息；通過端口掃描，獲取設備的服務信息，通過多種主動請求并分析響應的方式，獲取設備的信息，并上報給緩存層，基線對此匯總后發(fā)送給業(yè)務對此處理。