| 摘要 |
<p>Die Erfindung betrifft ein Verfahren zur Feststellung von Abweichungen von einem vorgegebenen Normalzustand, insbesondere verursacht durch Manipulation, bei einem Computernetzwerk (10), bei dem von den Computern (1) des Computernetzwerks (10) oder von den auf diesen Computern (1) ablaufenden Programmen (2) jeweils Protokolle erstellt werden, wobei von den Programmen (2) oder Computern (1) jeweils Kriterien für die Protokollierung von als relevant erachteten Ereignissen (E) festgelegt werden und im Falle des Auftretens eines solchen Ereignisses (E) jeweils ein Protokolldatensatz (P) erstellt wird, dem ein Zeitstempel (T) sowie ein Beschreibungsdatensatz (D) des jeweiligen protokollierten Ereignisses (E) zugeordnet werden, und - wobei sämtliche von den einzelnen Computern (1) erstellten Protokolldatensätze (P) zur Verfügung gehalten werden, wobei im Zuge einer Kalibrierung a) aus den Beschreibungsdatensätzen (D) der Protokolldatensätze (P) Teildatensätze (A), insbesondere zufällig, ausgewählt werden, b) dass Gruppen (G) von Teildatensätzen (A) gebildet werden, die sich in Protokolldatensätzen (P) befinden und deren Zeitstempel (T) innerhalb einer vorgegebenen Zeitspanne (DT) liegen, c) dass innerhalb der Beschreibungsdatensätze (D) Protokolldatensätze (P) nach weiteren Vorkommen eines ersten Teildatensatzes (AA) aus einer der erstellten Gruppen (G) gesucht wird und geprüft wird, ob sich innerhalb der vorgegebenen Zeitspanne (DT) die übrigen der jeweiligen Gruppe (G) zugeordneten Teildatensätze (AB) befinden, wobei bei mehrmaliger erfolgreicher Prüfung jeweils ein Prüfungsdatensatz (X) umfassend den ersten Teildatensatz (AA), die übrigen Teildatensätze (AB) sowie die Zeitspanne (DT) erstellt wird, und - dass während des laufenden Betriebs des Computernetzwerks (10) d) der Beschreibungsdatensatz (D) eines zu untersuchenden Protokolldatensatzes (P) auf das Vorhandensein eines in einem der Prüfungsdatensätze (X) abgespeicherten ersten Teildatensatzes (AA) untersucht wird, e) wenn der erste Teildatensatz (AA) eines der Prüfungsdatensätze (X) in dem zu untersuchenden Protokolldatensatz (P) aufgefunden wurde, geprüft wird, ob die übrigen Teildatensätze (AB) des Prüfungsdatensatzes (X) in Protokolldatensätzen (P) vorhanden sind, deren Zeitstempel (T) sich vom Zeitstempel (T) des zu untersuchenden Protokolldatensatzes (P) maximal um die dem Prüfungsdatensatz (X) zugeordneten Zeitspanne (DT) unterscheidet, und f) sofern nicht alle der übrigen Teildatensätze (AB) innerhalb vom jeweiligen Prüfungsdatensatz (P) mit einem Zeitstempel (T) innerhalb der Zeitspanne (DT) aufgefunden werden, dies als Abweichung beurteilt und gegebenenfalls eine diesbezügliche Warnung erstellt wird.</p> |
