用于监控网络流量的方法和设备

摘要

一种监控器和一个方法，用于检查通过计算机网络上一个连接点的分组。每个分组符合一个或多个协议。该方法包括从分组拦截设备接收分组并在分组上执行一个或多个解析/提取操作以创建包括该分组的选中部分的函数在内的解析器记录。解析/提取操作取决于该分组所符合的一个或多个协议。该方法还包括查找包含以前遇到的对话流的流-入口的流-入口数据库。该查找使用选中的分组部分并确定该分组是否是现有的流。如果该分组是现有的流，该方法把该分组归类为属于找到的现有的流，并且如果该分组是新流，该方法在流-入口数据库中为该新流存储一个新的流-入口。包括用该新流-入口识别的将来分组的标识信息。若该分组是现有的流，该方法更新该现有的流的流-入口。这样的更新可以包括存储一个或多个统计测量。在流的任意阶段，都维护它的状态，并且该方法执行已经识别出的状态的任意状态操作以促进识别该流的过程。该方法就这样实时检查通过该连接点的每个分组直到确定与该流相关的应用程序为止。

主权项

1.一种方法，包括：检查通过计算机网络上一个连接点的分组，此步骤包括：对于一个分组，(a)接收该分组；(b)识别该分组中使用的协议，包括识别该分组的基本协议和该分组中所用协议的子协议，所述识别根据所接收到的相应于多个符合分层模型的协议的协议描述集，其中，在所述协议描述集中，位于一个特定层上的一个特定协议的协议描述包括：(i)该特定协议的零个或多个子协议，对于该特定协议的任意特定子协议，该分组在其本身中的一个或多个位置上包括与该特定子协议有关的信息，(ii)该分组中存储与该特定协议的任意子协议有关的信息的所述一个或多个位置，和(iii)对于所述特定层上的所述特定协议要对该分组执行的零个或多个协议特定操作；以及(c)根据该分组的所述基本协议和该分组中所用协议的子协议对该分组执行由所述协议描述集指定的所述协议特定操作。