CN102325061A

CN102325061A - 网络监控方法、设备及系统

Info

Publication number: CN102325061A
Application number: CN201110275397A
Authority: CN
Inventors: 刘登峰
Original assignee: Beijing Star Net Ruijie Networks Co Ltd
Current assignee: Beijing Star Net Ruijie Networks Co Ltd
Priority date: 2011-09-16
Filing date: 2011-09-16
Publication date: 2012-01-18
Anticipated expiration: 2031-09-16
Also published as: CN102325061B

Abstract

本发明提供网络监控方法、设备及系统。该网络监控方法包括：出口网络设备根据信息搜集规则文件搜集网络运行信息，网络运行信息包括所述出口网络设备的标识信息和根据本地特征库进行网络监控的监控状态信息；出口网络设备将所搜集的网络运行信息发送至网络服务器，以使网络服务器根据所述监控状态信息生成与标识信息相对应的更新特征库；出口网络设备获取更新特征库，并根据更新特征库对所述本地特征库进行更新，以根据更新后的本地特征库进行网络监控。根据本发明的网络监控方法、设备及系统，实现了针对网络设备所处的网络环境提供个性化的特征库，从而节约网络设备存储空间并提高网络监控准确率及效率。

Description

网络监控方法、设备及系统

技术领域

本发明涉及通信技术领域，尤其涉及网络监控方法、设备及系统。

背景技术

随着网络中各种应用的迅速发展，对网络进行有效的监听和控制也变得尤为重要，这种对于网络的监听和控制通常是由例如校园网络、企事业网络和网吧网络等网络出口处的网络设备来执行的。出口网络设备基本都具有应用识别功能和访问控制功能，能够基于预置的应用识别特征库对内网用户的网络行为进行应用识别，并能够根据预置的统一资源定位符(UniversalResource Locator，URL)库对内网用户访问的web的URL地址进行类别划分，从而根据不同类别的URL进行不同的控制。

但在实际应用中，由于系统自带的应用识别特征库不可能覆盖到所有的网络应用，另外随着新网络应用的不断增加、而且已有应用的不断升级，应用识别经常会出现很多网络流量识别不出来，或者将A应用识别成B应用的错误情况，这样在进行流量控制，应用阻断等时就会出现问题，可能导致某些正常的应用会无法使用，或者使用上不顺畅。而且网络用户能够访问的URL地址数量相当庞大，而且每天都不断的有新的URL地址产生，因此URL库的扩容一个在持续不断的进行的工作，否则就可能错误的拦截正常的URL，造成网络访问问题。

现有技术中，为了解决上述问题，通常是由设备厂商针对通用网络应用场景，通过投入大量的人力资源跟踪新的网络应用的出现，或通过网络爬虫等去尽可能完整地搜集URL，以获得可供网络设备应用的较为全面的应用识别特征库和URL库。

通过这种方式来解决网络监控中所存在的上述问题时，由于应用识别特征库和URL库是针对通用网络来构建的，所以将这种应用识别特征库和URL库应用于具体的网络设备时，存在以下缺陷：一方面，设备厂商向网络设备提供的庞大的应用识别特征库和URL库中可能存在大量与该网络设备所应用的网络环境无关的信息，造成了对网络设备存储空间的浪费，例如URL库的体积是极为庞大的，约1000万条URL记录就需要消耗100M左右的存储空间，而一般出口端网络设备的FLASH存储空间在256M～512M之间，所以存储这种URL库对于出口端网络设备的空间消耗是相当巨大的，同时还需要消耗较大的空间来保存系统文件和日志文件等，并且在应用识别特征库和URL库的更新过程以及网络监控过程中浪费较长时间；另一方面，仍可能遗漏一些该网络设备所应用的网络环境中较常出现、但在其他网络环境中极少出现或不出现的应用特征及URL，无法有效提高网络监控的成功率。

发明内容

针对上述缺陷，本发明提供网络监控方法、设备及系统，用以实现针对网络设备所处的网络环境提供个性化的特征库，从而节约网络设备存储空间并提高网络监控准确率及效率。

根据本发明的一方面，提供一种网络监控方法，包括：

出口网络设备根据信息搜集规则文件搜集网络运行信息，所述网络运行信息包括所述出口网络设备的标识信息和根据本地特征库进行网络监控的监控状态信息；

所述出口网络设备将所搜集的网络运行信息发送至网络服务器，以使所述网络服务器根据所述监控状态信息生成与所述标识信息相对应的更新特征库；

所述出口网络设备获取所述更新特征库，并根据所述更新特征库对所述本地特征库进行更新，以根据更新后的本地特征库进行网络监控。

根据本发明的另一方面，还提供一种网络设备，包括：

信息搜集模块，用于根据信息搜集规则文件搜集网络运行信息，所述网络运行信息包括网络设备的标识信息和根据本地特征库进行网络监控的监控状态信息；

信息发送模块，用于将所搜集的网络运行信息发送至网络服务器，以使所述网络服务器根据所述监控状态信息生成与所述标识信息相对应的更新特征库；

设备更新模块，用于获取所述更新特征库，并根据所述更新特征库对所述本地特征库进行更新，以根据更新后的本地特征库进行网络监控。

根据本发明的又一方面，还提供另一种网络监控方法，包括：

网络服务器从出口网络设备接收网络运行信息，所述网络运行信息包括所述出口网络设备的标识信息和根据本地特征库进行网络监控的监控状态信息；

所述网络服务器根据所述监控状态信息生成与所述标识信息相对应的更新特征库；

所述网络服务器向所述出口网络设备提供所述更新特征库，以使所述出口网络设备根据所述更新特征库对所述本地特征库进行更新，并根据更新后的本地特征库进行网络监控。

根据本发明的再一方面，还提供一种网络服务器，包括：

信息接收模块，用于从出口网络设备接收网络运行信息，所述网络运行信息包括所述出口网络设备的标识信息和根据本地特征库进行网络监控的监控状态信息；

更新处理模块，用于根据所述监控状态信息生成与所述标识信息相对应的更新特征库；

信息提供模块，用于向所述出口网络设备提供所述更新特征库，以使所述出口网络设备根据所述更新特征库对所述本地特征库进行更新，并根据更新后的本地特征库进行网络监控。

根据本发明的再一方面，还提供一种网络监控系统，包括本发明的网络设备和本发明的网络服务器。

根据本发明的网络监控方法、设备及系统，由于出口网络设备根据信息搜集规则文件搜集网络运行信息，并将所搜集的网络运行信息发送给网络服务器，以使网络服务器根据网络运行信息对出口网络设备进行有针对性、个性化的特征库更新处理，以提供适应出口网络设备所处网络环境的特征库。由于出口网络设备根据与其对应的更新特征库进行本地特征库的更新，所以更新后的本地特征库既能够较为全面地包括当前网络环境所涉及的应用识别信息和URL分类信息，提高了网络监控准确率，又能够避免因存在大量与该网络设备所应用的网络环境无关的信息而造成了对网络设备存储空间的浪费。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明网络监控方法的流程示意图。

图2为用于实现图1所示的网络监控方法的网络架构示意图。

图3为本发明网络设备的结构示意图。

图4为本发明另一网络监控方法的流程示意图。

图5为本发明网络服务器的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

图1为本发明网络监控方法的流程示意图。如图1所示，该网络监控方法包括以下步骤：

步骤S101，出口网络设备根据信息搜集规则文件搜集网络运行信息，所述网络运行信息包括所述出口网络设备的标识信息和根据本地特征库进行网络监控的监控状态信息；

步骤S102，所述出口网络设备将所搜集的网络运行信息发送至网络服务器，以使所述网络服务器根据所述监控状态信息生成与所述标识信息相对应的更新特征库；

步骤S103，所述出口网络设备获取所述更新特征库，并根据所述更新特征库对所述本地特征库进行更新，以根据更新后的本地特征库进行网络监控。

图2为用于实现图1所示的网络监控方法的网络架构示意图。下面结合图2对上述步骤S101～S103进行详细说明。

如图2所示，该网络中包括位于内网出口的出口网络设备和通过互联网与该出口网络设备通信的网络服务器，其中该网络服务器可以是单一服务器也可以是由多个服务器组成的服务器群。

具体地，出口网络设备的信息搜集模块中预置有信息搜集规则文件，该信息搜集规则文件例如采用可扩展标记语言(Extensible Markup Language，XML)进行描述，并包括以下内容：

出口网络设备执行信息搜集所需使用的操作命令；其中，信息搜集模块通过模拟用户方式，执行写在信息搜集规则文件中的字符命令，并对执行结果进行存储；

出口网络设备执行信息搜集的时间间隔，该时间间隔用于指示出口网络设备每隔多长时间执行一次上述操作命令；

出口网络设备所需搜集的具体信息(即网络运行信息)，包括该出口网络设备的标识信息(例如产品型号和序列号)和根据本地特征库进行网络监控的监控状态信息；以本地特征库包括应用识别特征库和URL库两种特征库为例，该监控状态信息例如包括出口网络设备的总数据流量、未识别应用数据流量、HTTP访问流量、未识别URL访问流量和访问次数高的N个未识别URL等，其中N为自然数，例如为256；

以及至少一个网络服务器的通信方式和地址信息。

出口网络设备的信息搜集模块根据信息搜集规则文件中指定的时间间隔执行相应的操作命令，以搜集网络运行信息。

出口网络设备的信息发送模块按照预设的发送周期将信息搜集模块所搜集的网络运行信息通过互联网发送至信息搜集规则文件中指定的网络服务器，其中发送周期可根据需要设定，优选地，按如下方式设定：在该出口网络设备刚投入使用时，将发送周期设置为1-4小时，频繁收集信息，以便及时跟踪该出口网络设备在新的网络环境中的使用情况；当未识别URL访问流量和未识别应用数据流量相对于总数据流量的比例高于一定阀值时，将发送周期设置为1-8小时(具体可视网络服务器的负载和带宽使用情况确定)；当设备运行一段时间(例如为1星期)后、且未识别URL访问流量和未识别应用数据流量相对于总数据流量的比例低于一定阀值时，将发送周期设置为48小时以上，以尽量避免信息交互、减少网络服务器的压力。此外，信息发送模块可对网络运行信息进行加密、压缩发送，以提高传输的效率和安全性。

更为具体地，当信息搜集规则文件中包括多个网络服务器的通信方式和地址信息时，可选择一种适当的网络通信方式进行发送，例如按照一定的优先级顺序进行选择，如HTTP通信方式→电子邮件(Email)通信方式→文件传输协议(File Transportation Protocol，FTP)通信方式。若按照上述优先级尝试三种通信方式均无法成功连接，则间隔一定时间(例如为2小时、4小时或8小时等)后再进行尝试，直至将网络运行信息成功发送至网络服务器时结束，或者在尝试三次后若仍无法成功发送则结束并发出告警信息，以提示网络管理员进行故障检修。

网络服务器通过互联网接收到出口网络设备发送的网络运行信息后，对网络运行信息进行相应的解密和解压缩等操作，并提取出需要进行分析的信息。

首先，网络服务器提取出口网络设备的产品型号和序列号，查询后台数据库所存储的网络设备配置信息中是否包括与该产品型号和序列号相对应的条目，若否，则创建与该出口网络设备对应的条目，并对应存储相关信息，即产品型号、序列号及网络运行信息中所携带的监控状态信息；若是，则利用本次网络运行信息中所携带的监控状态信息对在先存储的监控状态信息进行更新。

接下来，网络服务器提取监控状态信息，对应用识别情况和URL识别情况进行分析。更为具体地，网络服务器例如根据未识别应用数据流量与出口网络设备的总数据流量计算未识别应用比例，并将该比例与一个预定阀值相比较，若未识别应用比例大于该预定阀值，则认为该出口网络设备的当前应用识别特征库不能够适应该处网络的应用，对该出口网络设备的应用识别特征库进行更新操作。例如，通知设备服务人员进行跟进处理，以生成适合该出口网络设备所处网络环境的更新应用识别特征库。网络服务器存储该更新应用识别特征库，并将更新应用识别特征库的版本号存储在该出口网络设备对应的条目中，例如该出口网络设备的在先应用识别特征库的版本号为V1.1，更新应用识别特征库的版本号为V1.2，则将V1.1更新为V1.2，并在该出口网络设备对应的条目中记录该版本为V1.2的更新应用识别特征库的存储地址。

网络服务器还例如根据未识别URL访问流量与HTTP访问流量计算未识别URL比例，并将该比例与一个预定阀值相比较，若未识别URL比例大于该预定阀值，则进一步提取访问次数高的未识别URL。网络服务器先尝试从已存储的总URL库中查询各未识别URL所需的分类，若查找不到，则网络服务器还可自动获取未识别URL所对应的网页内容进行分析和分类并记录到总URL库中，或通知技术人员进行手动URL分析分类并将分类结果记录到总URL库中。直至获得全部未识别URL的分类信息，生成并保存包含这些未识别URL及相应分类信息的更新URL库，并将更新URL库的版本号(例如为V2.2)和该更新URL库的存储地址记录在该出口网络设备对应的条目中。此外，若出口网络设备所搜集的网络运行信息中还包括访问次数高的N个未识别URL的访问次数，则网络服务器可在确定访问次数超过某一数值时，执行上述查找未识别URL的分类的相关操作，否则不对URL库进行更新处理。

出口网络设备的设备更新模块若获知存在更新应用识别特征库和/或更新URL库，则从网络服务器上下载更新应用识别特征库和/或更新URL库，并对本地的相应特征库进行更新。其中，出口网络设备可通过采用主动向网络服务器查询或被动接收网络服务器发送的更新通知的方式来判断是否存在更新应用识别特征库和/或更新URL库。并且，更新应用识别特征库和更新URL库可以为完整的特征库，也可以为更新增量包，出口网络设备在对本地特征库进行更新时可根据更新应用识别特征库和更新URL库的类型进行相应的替换或合并。

根据上述实施例的网络监控方法，由于出口网络设备根据信息搜集规则文件搜集网络运行信息，并将所搜集的网络运行信息发送给网络服务器，以使网络服务器根据网络运行信息对出口网络设备进行有针对性、个性化的特征库更新处理，以提供适应出口网络设备所处网络环境的特征库。由于出口网络设备根据与其对应的更新特征库进行本地特征库的更新，所以更新后的本地特征库既能够较为全面地包括当前网络环境所涉及的应用识别信息和URL分类信息，提高了网络监控准确率，又能够避免因存在大量与该网络设备所应用的网络环境无关的信息而造成了对网络设备存储空间的浪费。而且，由于缩减了更新后的本地特征库的大小，所以有效提高了更新效率和网络监控效率。

此外，虽然在上述实施例的网络监控方法中，以对应用识别特征库和URL库为例对特征库的更新过程进行了说明，但本领域的技术人员应当理解，对于任意其他特征库或信息库，均可采用上述实施例的网络监控方法中所涉及的更新过程进行更新，从而实现更为高效、且更为准确的网络监控。

进一步地，在上述实施例的网络监控方法中，所述出口网络设备获取所述更新特征库的步骤包括：

所述出口网络设备向所述网络服务器发送携带有所述标识信息和所述本地特征库的版本信息的更新查询请求，以使所述网络服务器若根据所述更新查询请求查询获知存在与所述版本信息不同的更新特征库，则向所述出口网络设备返回包括所述更新特征库的相关信息的更新列表；

所述出口网络设备接收所述更新列表，并根据所述更新列表获取所述更新特征库。

具体地，出口网络设备例如定时检测网络服务器上的特征库版本信息情况。出口网络设备定期向网络服务器发送携带有标识信息和本地特征库的版本信息的更新查询请求，以使网络服务器若根据更新查询请求查询获知该出口网络设备对应的条目中的应用识别特征库和/或URL库的版本号与更新查询请求中的版本号不一致，则向出口网络设备返回更新列表，该更新列表中包括出口网络设备可进行更新的更新文件列表和各更新文件的相关信息，例如包括更新特征库的名称、版本号及更新特征库的存储地址。出口网络设备接收到更新列表后，则从该存储地址获取更新应用识别特征库。

进一步地，在上述实施例的网络监控方法中，所述网络运行信息还包括用户输入的反馈信息，相应地，所述更新列表还包括所述网络服务器响应所述反馈信息生成的处理文件的相关信息，以使出口网络设备根据所述处理文件的相关信息获取所述处理文件。

具体地，出口网络设备所处网络的网络管理员例如通过键盘在出口网络设备输入网络运行的反馈信息，该反馈信息例如为存在的问题、查询请求或对网络配置的建议等。出口网络设备将网络管理员输入的反馈信息合并在网络运行信息中发送给网络服务器。相应地，网络服务器对网络运行信息进行解析时，提取出反馈信息，直接由技术人员进行分析，进行相应处理，并将处理结果放在网络服务器上。当出口网络设备向网络服务器发送更新查询请求时，网络服务器将处理结果作为可供出口网络设备更新的处理文件，添加在更新列表中，并在更新列表中添加处理文件的相应信息，例如处理文件名称和存储地址等，从而出口网络设备可从网络服务器获取该处理结果并将处理结果例如通过web界面展示给网络管理员。

进一步地，在上述实施例的网络监控方法中，所述更新列表还包括所述网络服务器为所述出口网络设备生成的更新信息搜集规则文件；相应地，所述出口网络设备获取所述更新信息搜集规则文件，并根据所述更新信息搜集规则文件搜集网络运行信息。

具体地，网络服务器可根据出口网络设备所反馈的网络运行信息为该出口网络设备重新设置信息搜集规则文件，例如调节出口网络设备执行信息搜集的时间间隔及所需搜集的具体信息，从而实现根据网络运行状态动态调节特征库的更新策略等。

图3为本发明网络设备的结构示意图。如图3所示，该网络设备包括：

信息搜集模块11，用于根据信息搜集规则文件搜集网络运行信息，所述网络运行信息包括网络设备的标识信息和根据本地特征库进行网络监控的监控状态信息；

信息发送模块12，用于将所搜集的网络运行信息发送至网络服务器，以使所述网络服务器根据所述监控状态信息生成与所述标识信息相对应的更新特征库；

设备更新模块13，用于获取所述更新特征库，并根据所述更新特征库对所述本地特征库进行更新，以根据更新后的本地特征库进行网络监控。

上述实施例的网络设备可用作前述实施例的网络监控方法中的出口网络设备，其执行网络监控的流程与前述实施例的网络监控方法相同，故此处不再赘述。

根据上述实施例的网络设备，由于根据信息搜集规则文件搜集网络运行信息，并将所搜集的网络运行信息发送给网络服务器，以使网络服务器根据网络运行信息对网络设备进行有针对性、个性化的特征库更新处理，以提供适应网络设备所处网络环境的特征库。由于网络设备根据与其对应的更新特征库进行本地特征库的更新，所以更新后的本地特征库既能够较为全面地包括当前网络环境所涉及的应用识别信息和URL分类信息，提高了网络监控准确率，又能够避免因存在大量与该网络设备所应用的网络环境无关的信息而造成了对网络设备存储空间的浪费。而且，由于缩减了更新后的本地特征库的大小，所以有效提高了更新效率和网络监控效率。

进一步地，在上述实施例的网络设备中，所述更新特征库包括更新URL库和/或更新应用识别特征库。

进一步地，在上述实施例的网络设备中，所述设备更新模块还用于向所述网络服务器发送携带有所述标识信息和所述本地特征库的版本信息的更新查询请求，以使所述网络服务器若根据所述更新查询请求查询获知存在与所述版本信息不同的更新特征库，则向所述出口网络设备返回包括所述更新特征库的相关信息的更新列表；接收所述更新列表，并根据所述更新列表获取所述更新特征库。

进一步地，在上述实施例的网络设备中，所述网络运行信息还包括用户输入的反馈信息，相应地，所述更新列表还包括所述网络服务器响应所述反馈信息生成的处理文件的相关信息，以使所述网络设备根据所述处理文件的相关信息获取所述处理文件。

根据上述实施例的网络设备，在进行特征库更新的过程中，能够同时实现网络设备所处网络环境的网络管理员与网络服务器侧技术人员之间的交互。

进一步地，在上述实施例的网络设备中，所述更新列表还包括所述网络服务器为所述网络设备生成的更新信息搜集规则文件；相应地，所述设备更新模块获取所述更新信息搜集规则文件，以由所述信息搜集模块根据所述更新信息搜集规则文件搜集网络运行信息。

根据上述实施例的网络设备，能够实现根据网络运行状态动态调节特征库的更新策略。

图4为本发明另一网络监控方法的流程示意图。如图4所示，该网络监控方法包括：

步骤S201，网络服务器从出口网络设备接收网络运行信息，所述网络运行信息包括所述出口网络设备的标识信息和根据本地特征库进行网络监控的监控状态信息；

步骤S202，所述网络服务器根据所述监控状态信息生成与所述标识信息相对应的更新特征库；

步骤S203，所述网络服务器向所述出口网络设备提供所述更新特征库，以使所述出口网络设备根据所述更新特征库对所述本地特征库进行更新，并根据更新后的本地特征库进行网络监控。

上述实施例的网络监控方法也可在图2所示的网络架构实现，其具体实现流程与结合图2所说明的前述实施例的网络监控方法相似，故此处不再赘述。

根据上述实施例的网络监控方法，由于出口网络设备根据信息搜集规则文件搜集网络运行信息，并将所搜集的网络运行信息发送给网络服务器，网络服务器根据网络运行信息对出口网络设备进行有针对性、个性化的特征库更新处理，以提供适应出口网络设备所处网络环境的特征库，从而使得出口网络设备根据与其对应的更新特征库进行本地特征库的更新，所以更新后的本地特征库既能够较为全面地包括当前网络环境所涉及的应用识别信息和URL分类信息，提高了网络监控准确率，又能够避免因存在大量与该网络设备所应用的网络环境无关的信息而造成了对网络设备存储空间的浪费。而且，由于缩减了更新后的本地特征库的大小，所以有效提高了更新效率和网络监控效率。

进一步地，在上述实施例的网络监控方法中，所述更新特征库包括更新统一资源定位符URL库和/或更新应用识别特征库。

进一步地，在上述实施例的网络监控方法中，所述网络服务器向所述出口网络设备提供所述更新特征库的步骤包括：

所述网络服务器接收所述出口网络设备发送的、携带有所述标识信息和所述本地特征库的版本信息的更新查询请求；

所述网络服务器若根据所述更新查询请求查询获知存在与所述版本信息不同的更新特征库，则向所述出口网络设备返回包括所述更新特征库的相关信息的更新列表，以使所述出口网络设备接收所述更新列表，并根据所述更新列表获取所述更新特征库。

进一步地，在上述实施例的网络监控方法中，所述网络运行信息还包括用户输入的反馈信息，相应地，所述网络服务器向所述出口网络设备提供所述更新特征库的步骤之前还包括：

所述网络服务器响应所述反馈信息生成处理文件，并将所述处理文件的相关信息添加至所述更新列表，以使出口网络设备根据所述处理文件的相关信息获取所述处理文件。

根据上述实施例的网络监控方法，在进行特征库更新的过程中，能够同时实现网络设备所处网络环境的网络管理员与网络服务器侧技术人员之间的交互。

进一步地，在上述实施例的网络监控方法中，所述网络服务器向所述出口网络设备提供所述更新特征库的步骤之前还包括：

所述网络服务器生成更新信息搜集规则文件，并将所述更新信息搜集规则文件的相关信息添加至所述更新列表，以使所述出口网络设备根据所述更新信息搜集规则文件的相关信息获取所述更新信息搜集规则文件，并根据所述更新信息搜集规则文件搜集网络运行信息。其中，更新信息搜集规则文件的相关信息例如包括更新信息搜集规则文件的名称和存储地址。

根据上述实施例的网络监控方法，能够实现根据网络运行状态动态调节特征库的更新策略。

图5为本发明网络服务器的结构示意图。如图5所示，该网络服务器包括：

信息接收模块21，用于从出口网络设备接收网络运行信息，所述网络运行信息包括所述出口网络设备的标识信息和根据本地特征库进行网络监控的监控状态信息；

更新处理模块22，用于根据所述监控状态信息生成与所述标识信息相对应的更新特征库；

信息提供模块23，用于向所述出口网络设备提供所述更新特征库，以使所述出口网络设备根据所述更新特征库对所述本地特征库进行更新，并根据更新后的本地特征库进行网络监控。

上述实施例的网络服务器执行网络监控的流程与前述实施例的网络监控方法相同，故此处不再赘述。

根据上述实施例的网络服务器，由于出口网络设备根据信息搜集规则文件搜集网络运行信息，并将所搜集的网络运行信息发送给网络服务器，网络服务器根据网络运行信息对出口网络设备进行有针对性、个性化的特征库更新处理，以提供适应出口网络设备所处网络环境的特征库，从而使得出口网络设备根据与其对应的更新特征库进行本地特征库的更新，所以更新后的本地特征库既能够较为全面地包括当前网络环境所涉及的应用识别信息和URL分类信息，提高了网络监控准确率，又能够避免因存在大量与该网络设备所应用的网络环境无关的信息而造成了对网络设备存储空间的浪费。而且，由于缩减了更新后的本地特征库的大小，所以有效提高了更新效率和网络监控效率。

进一步地，在上述实施例的网络服务器中，所述更新特征库包括更新统一资源定位符URL库和/或更新应用识别特征库。

进一步地，在上述实施例的网络服务器中，所述信息提供模块还用于接收所述出口网络设备发送的、携带有所述标识信息和所述本地特征库的版本信息的更新查询请求；若根据所述更新查询请求查询获知存在与所述版本信息不同的更新特征库，则向所述出口网络设备返回包括所述更新特征库的相关信息的更新列表，以使所述出口网络设备接收所述更新列表，并根据所述更新列表获取所述更新特征库。

进一步地，在上述实施例的网络服务器中，所述网络运行信息还包括用户输入的反馈信息，相应地，所述更新处理模块还用于响应所述反馈信息生成处理文件，并将所述处理文件的相关信息添加至所述更新列表，以使出口网络设备根据所述处理文件的相关信息获取所述处理文件。

根据上述实施例的网络服务器，在进行特征库更新的过程中，能够同时实现网络设备所处网络环境的网络管理员与网络服务器侧技术人员之间的交互。

进一步地，在上述实施例的网络服务器中，更新处理模块还用于生成更新信息搜集规则文件，并将所述更新信息搜集规则文件的相关信息添加至所述更新列表，以使所述出口网络设备根据所述更新信息搜集规则文件的相关信息获取所述更新信息搜集规则文件，并根据所述更新信息搜集规则文件搜集网络运行信息。

根据上述实施例的网络服务器，能够实现根据网络运行状态动态调节特征库的更新策略。

本发明还提供一种网络监控系统，包括上述任一实施例的网络设备和上述任一实施例的网络服务器。

根据上述实施例的网络监控系统，既能够较为全面地包括当前网络环境所涉及的应用识别信息和URL分类信息，提高了网络监控准确率，又能够避免因存在大量与该网络设备所应用的网络环境无关的信息而造成了对网络设备存储空间的浪费。而且，还有效提高了更新效率和网络监控效率。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims

1.一种网络监控方法，其特征在于，包括：

2.根据权利要求1所述的网络监控方法，其特征在于，所述出口网络设备获取所述更新特征库的步骤包括：

3.根据权利要求2所述的网络监控方法，其特征在于，所述网络运行信息还包括用户输入的反馈信息，相应地，所述更新列表还包括所述网络服务器响应所述反馈信息生成的处理文件的相关信息，以使出口网络设备根据所述处理文件的相关信息获取所述处理文件。

4.根据权利要求2所述的网络监控方法，其特征在于，所述更新列表还包括所述网络服务器为所述出口网络设备生成的更新信息搜集规则文件；相应地，所述出口网络设备获取所述更新信息搜集规则文件，并根据所述更新信息搜集规则文件搜集网络运行信息。

5.一种网络设备，其特征在于，包括：

6.根据权利要求5所述的网络设备，其特征在于，所述设备更新模块还用于向所述网络服务器发送携带有所述标识信息和所述本地特征库的版本信息的更新查询请求，以使所述网络服务器若根据所述更新查询请求查询获知存在与所述版本信息不同的更新特征库，则向所述出口网络设备返回包括所述更新特征库的相关信息的更新列表；接收所述更新列表，并根据所述更新列表获取所述更新特征库。

7.根据权利要求6所述的网络设备，其特征在于，所述网络运行信息还包括用户输入的反馈信息，相应地，所述更新列表还包括所述网络服务器响应所述反馈信息生成的处理文件的相关信息，以使所述网络设备根据所述处理文件的相关信息获取所述处理文件。

8.根据权利要求5所述的网络设备，其特征在于，所述更新列表还包括所述网络服务器为所述网络设备生成的更新信息搜集规则文件；相应地，所述设备更新模块获取所述更新信息搜集规则文件，以由所述信息搜集模块根据所述更新信息搜集规则文件搜集网络运行信息。

9.一种网络监控方法，其特征在于，包括：

10.根据权利要求9所述的网络监控方法，其特征在于，所述网络服务器向所述出口网络设备提供所述更新特征库的步骤包括：

11.根据权利要求10所述的网络监控方法，其特征在于，所述网络运行信息还包括用户输入的反馈信息，相应地，所述网络服务器向所述出口网络设备提供所述更新特征库的步骤之前还包括：

12.根据权利要求10所述的网络监控方法，其特征在于，所述网络服务器向所述出口网络设备提供所述更新特征库的步骤之前还包括：

所述网络服务器生成更新信息搜集规则文件，并将所述更新信息搜集规则文件的相关信息添加至所述更新列表，以使所述出口网络设备根据所述更新信息搜集规则文件的相关信息获取所述更新信息搜集规则文件，并根据所述更新信息搜集规则文件搜集网络运行信息。

13.一种网络服务器，其特征在于，包括：

14.根据权利要求13所述的网络服务器，其特征在于，所述信息提供模块还用于接收所述出口网络设备发送的、携带有所述标识信息和所述本地特征库的版本信息的更新查询请求；若根据所述更新查询请求查询获知存在与所述版本信息不同的更新特征库，则向所述出口网络设备返回包括所述更新特征库的相关信息的更新列表，以使所述出口网络设备接收所述更新列表，并根据所述更新列表获取所述更新特征库。

15.根据权利要求14所述的网络服务器，其特征在于，所述网络运行信息还包括用户输入的反馈信息，相应地，所述更新处理模块还用于响应所述反馈信息生成处理文件，并将所述处理文件的相关信息添加至所述更新列表，以使出口网络设备根据所述处理文件的相关信息获取所述处理文件。

16.根据权利要求14所述的网络服务器，其特征在于，所述更新处理模块还用于生成更新信息搜集规则文件，并将所述更新信息搜集规则文件的相关信息添加至所述更新列表，以使所述出口网络设备根据所述更新信息搜集规则文件的相关信息获取所述更新信息搜集规则文件，并根据所述更新信息搜集规则文件搜集网络运行信息。

17.一种网络监控系统，其特征在于，包括权利要求5至8任一所述的网络设备和如权利要求13至16任一所述的网络服务器。