CN104219091A - 一种网络运行故障检测系统及其方法 - Google Patents

Abstract

本发明公开了一种网络运行故障检测系统，包括：数据采集及预处理模块用于采集工作人员的指纹数据和主机资产信息数据，并进行关联形成监测网络的主机状态表，根据工作人员的指纹刷新数据对主机状态表的主机状态进行动态更新；主机管理模块用于基于主机状态表，对主机状态为开机的主机进行状态监控，并实时更新主机状态表；网络通断故障检测模块用于基于主机状态表，采用扫描方式依次检测主机状态为开机的被监测主机的连通性故障，并将故障情况进行报警；关键服务实时监测模块用于采用心跳机制，对待监测网络中的服务器的关键服务进行监测，并对故障情况进行报警。本发明还公开了一种网络运行故障检测方法。

Description

一种网络运行故障检测系统及其方法

技术领域

本发明涉及网络故障检领域，特别涉及一种网络运行故障检测方法，更具体地，涉及一种使用扫描技术和心跳机制的网络运行故障检测方法。 

背景技术

计算机网络是通信技术和计算机技术发展到一定程度后相结合的产物，高度发展的网络技术为人们的工作生活带来了极大便利的同时也逐渐暴露出一些亟待解决的问题。如果不能及时发现网络中发生的故障并有效地处理，将有可能造成无可估量的损失。例如，2013年4月16日美国航空公司网络系统出现故障，导致预定系统Sabre出现问题，不能提供在线预订服务，造成了近1000航班取消，影响了很多人的出行，也给美航公司造成了极大的经济损失。管理员越来越希望能够实时检测网络的运行状况，发现网络中出现的故障，以便能及时采取相应的措施，防止异常事态进一步扩大化，保证网络健康的运行。因此，网络故障检测技术研究应运而生。网络故障检测技术一方面可以帮助网络管理员及时发现并定位网络故障，快速修复网络故障，减轻网络故障对人们工作生活的影响；另一方面针对具体的局域网，能够建立特定的故障数据库，有利于网络管理员对网络状态进行实时评估，预测网络异常，防患于未然。近年来，网络故障检测技术成为当前网络安全界研究的热点，这项研究取得的成果，在监测网络的运行状况、网络故障检测和应急响应能力等方面都将起到重大的推动作用。 

网络运行故障检测，即实时检测使网络偏离正常状态的行为故障，如网络设备出现故障、某些主机不能上网、关键服务不可用、网络流量异常等。目前常用的网络故障检测方法主要包括专家系统诊断方法、故障树诊断方法、基于模糊理论方法、基于数据挖掘理论法、贝叶斯网络方法、基于Agent的故障诊断和基于免疫原理的网络故障检测等。但是由于网络规模的持续扩大，以上这些方法应用时都具有一定的局限性。 

扫描技术经常被用来检测网络连接通断故障，简单方便、易于使用，但是单一的探测方法可能会由于被探测主机的过滤而失效，因此将多种扫描技术加以组合往往能实现更为高效的探测。 

心跳机制是一种常用的确保链接有效性的机制，所谓“心跳”就是定时发送一个自定义的结构体(心跳包或心跳帧)，让对方知道自己“在线”，每隔几分钟发送一个固定信息给服务端，服务端收到后回复一个固定信息如果服务端几分钟内没有收到客户端信息则视客户端断开。该机制也被广泛应用于网络故障检测领域。 

目前，已有如下网络运行故障检测方法： 

如发明名称为“一种网络故障检测的系统及方法”，申请号为：CN100563177C，该发明公开了一种网络故障检测的系统，该系统包括设置于PC机上的网络故障检测客户端，该网络故障检测客户端包括：故障检测模块，当接收到故障检测请求时对PC机的网络连接进行检测，当检测到故障时返回故障原因给用户界面模块；用户界面模块，接收来自故障检测模块的故障原因并返回给PC机。该发明还公开了一种方法，应用该发明方法及系统能够自动检测到PC机的网络连接故障原因。该发明可以方便PC机用户了解网络连接的故障原因、获取排除故障指示信息，从而大大减少用户的故障上报率，减轻运营商的运营压力。另外，运营商侧设置的集中管理服务器端能够帮助运营商集中掌握各个用户终端上的网络连接的故障情况，用户侧的网络故障检测客户端也可以灵活从集中管理服务器端定制故障检测策略、下载最新的系统安全信息、自动完成网络故障检测客户端软件升级等等。该专利使用的方法需要在管理网络中的每台PC机上安装专利中公开的网络故障检测客户端。 

如发明名称为“一种网络故障检测结果互通的方法和装置”，公开号为：200610104069.4，该发明公开了一种网络故障检测结果互通的方法和装置，属于网络管理领域。为了解决网络故障检测结果互通的问题，该发明提出了一种建立两条相邻链路的状态关联，并将所述关联对应到相应链路的检测实例表上的方法，该发明所述的方法有效的解决了网络故障检测结果互通的问题。该发明还提供了一种网络故障检测结果互通装置，同样实现了网络故障检测结果互通的问题。 

如发明名称为“IPv4和IPv6网络故障检测及定位的方法和装置”，申请 号为：CN101188530A，该发明公开了一种IPv4和IPv6网络故障检测及定位的方法和装置，属于计算机网络管理技术领域。所述方法包括：路由监测系统接收标识网络状态的链路状态广播，通过分析链路状态广播的类型及其信息变化产生网络事件，并将网络事件插入网络事件数据表；路由监测系统根据网络事件的属性，并对其和已有网络事件进行关联分析生成故障信息；路由监测系统将故障信息插入网络故障数据表，并向网管上报故障信息。所述装置包括：接收模块、分析产生模块、生成模块和上报模块。该发明通过路由监测系统收集标识网络状态的链路状态广播，并对链路状态广播进行存储和分析，从而实现了及时地检测并定位网络中出现的故障。 

发明内容

本发明的目的在于提供一种网络运行故障检测系统及其方法，以解决现有技术中网络运行故障检测部署复杂，无法将人员到离岗状态与主机状态实时结合进行网络状态检测，导致故障检测效率低下的问题。 

为达上述目的，本发明提出了一种网络运行故障检测系统，其特征在于，包括： 

数据采集及预处理模块：用于采集工作人员的指纹数据和主机资产信息数据，并进行关联形成监测网络的主机状态表，根据工作人员的指纹刷新数据对所述主机状态表的主机状态进行动态更新； 

主机管理模块：基于所述主机状态表，对主机状态为开机的所述主机进行状态监控，并实时更新所述主机状态表； 

网络通断故障检测模块：基于所述主机状态表，采用扫描方式依次检测主机状态为开机的被监测主机的连通性故障，并将故障情况进行报警； 

关键服务实时监测模块：采用心跳机制，对待监测网络中的服务器的关键服务进行监测，并对故障情况进行报警。 

上述网络运行故障检测系统，其特征在于，还包括：所述主机状态表中包含：主机编号、指纹编号、主机名称、主机IP和主机状态。 

上述网络运行故障检测系统，其特征在于，还包括： 

扫描模块：基于所述主机状态表，对所有在线主机进行进行扫描，对于发现的高危漏洞进行报警； 

报警模块：用于记录日志，并将相关故障情况及漏洞情况信息向管理员进行报警； 

展示模块：用于对所述故障情况及漏洞情况进行统计，并以图形化方式进行展示。 

上述网络运行故障检测系统，其特征在于，所述主机管理模块还包括： 

初始化模块：对待监测主机状态进行初始化操作； 

增删被监测主机模块：增加或删除被监测主机，并进行所述主机状态表更新； 

监听定时关机主机模块：对于设定定时关机的被监测主机根据定时时间实行不同的监测方式。 

上述网络运行故障检测系统，其特征在于，所述网络通断故障检测模块还包括： 

基于ICMP扫描的检测模块：构造多个分片的TCP数据包，所述TCP数据包的目的端口设置为N，N为大于0且小于1024，并将所述TCP数据包发送待监测的主机，若返回分片组装超时的ICMP错误报文，则说明所述待监测主机可连通，否则，所述待监测主机为故障； 

基于UDP扫描的检测模块：构造一UDP数据包，所述UDP数据包的目的端口设置为M，M为大于1024，并将所述UDP数据包发送待监测的主机，如果收到端口不可达的ICMP错误报文，则所述待监测主机可连通，否则，所述待监测主机为故障； 

基于TCP扫描的检测模块：构造一TCP数据包，所述TCP数据包的FIN标志位为1，并且所述TCP数据包的目的端口设置为L，L为大于1024，并将所述TCP数据包发送给待监测的主机，如果收到RST标志位置1的TCP回应包，则所述待监测主机可连通，否则，所述待监测主机为故障。 

上述网络运行故障检测系统，其特征在于，所述关键服务实时监测模块还包括： 

重要服务器实时监测模块：每隔设定时间间隔TS，基于预设置的服务器IP地址，与所述服务器分别建立TCP连接，并统计所述TCP连接失败次数，如果所述TCP连接失败次数大于预设阈值TH，则判定所述服务器发生故障，并通知报警模块，否则，所述服务器为正常； 

监测管理主机可用性模块：每隔设定时间间隔TG，基于预设置的辅助管理主机IP，向所述辅助管理主机发送心跳数据包，若辅助管理主机连续未收到管理主机发送的心跳数据包的次数超过预设阈值THG，则判定所述辅助管理主机发生故障，并通知报警模块，否则，所述辅助管理主机为正常。 

上述网络运行故障检测系统，其特征在于，所述扫描模块还包括： 

基本信息扫描模块：对所述待监测主机进行基本信息扫描； 

漏洞扫描模块：通过网络扫描器对待监测网络中的在线主机进行漏洞扫描，得到所述在线主机的漏洞信息； 

扫描结果解析模块：基于所述主机的基本信息和漏洞信息进行解析，将所述主机的基本信息进行保存到主机基本信息表，将所述主机的漏洞信息保存到漏洞信息表中，并对发现的高危漏洞进行报警。 

上述网络运行故障检测系统，其特征在于，所述报警模块还包括： 

日志记录模块：用于在检测过程中记录日志； 

邮件报警模块：用于将故障情况或高危漏洞通过邮件或短信方式向管理员进行报警。 

上述网络运行故障检测系统，其特征在于，所述展示模块还包括： 

网络拓扑图展示模块：根据所述主机基本信息表中的路由信息，得到所有被扫描结点之间的连接关系，并绘制成拓扑图，并且，点击每个所述结点可以查看对应主机的漏洞信息； 

局域网漏洞统计展示模块：用于统计被扫描局域网中不同安全等级的漏洞的数量以及所述漏洞的占比，并且统计被扫描局域网中不同安全等级的主机的数量以及所述主机的占比，最终以图的形式展示； 

主机漏洞信息展示模块：用于展示所述主机的漏洞信息，并针对所述漏洞信息给出漏洞解决办法； 

历史漏洞状况展示模块：用于展示局域网的历史安全态势，方便管理员将每次漏洞扫描的结果进行对比。 

本发明还提供一种网络运行故障检测方法，应用于包含数据采集及预处理模块、网络通断故障检测模块、主机管理模块和关键服务实时监测模块的网络运行故障检测系统，其特征在于，包括： 

数据采集及预处理步骤：用于采集工作人员的指纹数据和主机资产信息数 据，并进行关联形成监测网络的主机状态表，根据工作人员的指纹刷新数据对所述主机状态表的主机状态进行更新； 

主机管理步骤：基于所述主机状态表，对主机状态为开机的所述主机进行状态监控，并实时更新所述主机状态表； 

网络通断故障检测步骤：基于所述主机状态表，采用扫描方式依次检测主机状态为开机的被监测主机的连通性故障，并将故障情况进行报警； 

关键服务实时监测步骤：采用心跳机制，对待监测网络中的服务器的关键服务进行监测，并对故障情况进行报警。 

上述网络运行故障检测方法，其特征在于，还包括：所述主机状态表中包含：主机编号、指纹编号、主机名称、主机IP和主机状态。 

上述网络运行故障检测方法，其特征在于，还包括： 

扫描步骤：基于所述主机状态表，对所有在线主机进行进行扫描，对于发现的高危漏洞进行报警； 

报警步骤：用于记录日志，并将相关故障情况及漏洞情况信息向管理员进行报警； 

展示步骤：用于对所述故障情况及漏洞情况进行统计，并以图形化方式进行展示。 

上述网络运行故障检测方法，其特征在于，所述主机管理步骤还包括： 

初始化步骤：对待监测主机状态进行初始化操作； 

增删被监测主机步骤：增加或删除被监测主机，并进行所述主机状态表更新； 

监听定时关机主机步骤：对于设定定时关机的被监测主机根据定时时间实行不同的监测方式。 

上述网络运行故障检测方法，其特征在于，所述网络通断故障检测步骤还包括： 

基于ICMP扫描的检测步骤：构造多个分片的TCP数据包，所述TCP数据包的目的端口设置为N，N为大于0且小于1024，并将所述TCP数据包发送待监测的主机，若返回分片组装超时的ICMP错误报文，则说明所述待监测主机可连通，否则，所述待监测主机为故障； 

基于UDP扫描的检测步骤：构造一UDP数据包，所述UDP数据包的目的 端口设置为M，M为大于1024，并将所述UDP数据包发送待监测的主机，如果收到端口不可达的ICMP错误报文，则所述待监测主机可连通，否则，所述待监测主机为故障； 

基于TCP扫描的检测步骤：构造一TCP数据包，所述TCP数据包的FIN标志位为1，并且所述TCP数据包的目的端口设置为L，L为大于1024，并将所述TCP数据包发送给待监测的主机，如果收到RST标志位置1的TCP回应包，则所述待监测主机可连通，否则，所述待监测主机为故障。 

上述网络运行故障检测方法，其特征在于，所述关键服务实时监测步骤还包括： 

重要服务器实时监测步骤：每隔设定时间间隔TS，基于预设置的服务器IP地址，与所述服务器分别建立TCP连接，并统计所述TCP连接失败次数，如果所述TCP连接失败次数大于预设阈值TH，则判定所述服务器发生故障，并通知报警模块，否则，所述服务器为正常； 

监测管理主机可用性步骤：每隔设定时间间隔TG，基于预设置的辅助管理主机IP，向所述辅助管理主机发送心跳数据包，若辅助管理主机连续未收到管理主机发送的心跳数据包的次数超过预设阈值THG，则判定所述辅助管理主机发生故障，并通知报警模块，否则，所述辅助管理主机为正常。 

上述网络运行故障检测方法，其特征在于，所述扫描步骤还包括： 

基本信息扫描步骤：对所述待监测主机进行基本信息扫描； 

漏洞扫描步骤：通过网络扫描器对待监测网络中的在线主机进行漏洞扫描，得到所述在线主机的漏洞信息； 

扫描结果解析步骤：基于所述主机的基本信息和漏洞信息进行解析，将所述主机的基本信息进行保存到主机基本信息表，将所述主机的漏洞信息保存到漏洞信息表中，并对发现的高危漏洞进行报警。 

上述网络运行故障检测方法，其特征在于，所述报警步骤还包括： 

日志记录步骤：用于在检测过程中记录日志； 

邮件报警步骤：用于将故障情况或高危漏洞通过邮件或短信方式向管理员进行报警。 

上述网络运行故障检测方法，其特征在于，所述展示步骤还包括： 

网络拓扑图展示步骤：根据所述主机基本信息表中的路由信息，得到所有 被扫描结点之间的连接关系，并绘制成拓扑图，并且，点击每个所述结点可以查看对应主机的漏洞信息； 

局域网漏洞统计展示步骤：用于统计被扫描局域网中不同安全等级的漏洞的数量以及所述漏洞的占比，并且统计被扫描局域网中不同安全等级的主机的数量以及所述主机的占比，最终以图的形式展示； 

主机漏洞信息展示步骤：用于展示所述主机的漏洞信息，并针对所述漏洞信息给出漏洞解决办法； 

历史漏洞状况展示步骤：用于展示局域网的历史安全态势，方便管理员将每次漏洞扫描的结果进行对比。 

相比于现有技术中的方法，本发明主要的有益效果在于：本发明提供了网络安全技术领域中的一种网络运行故障检测方法，该方法通过采用扫描技术和心跳机制进行故障检测，可以快速准确地检测网络连通性故障并有效地监测局域网内关键服务的可用性，误报率低。 

相较于其他网络运行故障检测方法，本发明提出的技术方案，具有以下优势：第一，用本发明设计的故障检测系统，只需要在网络监控主机上安装该系统，在一个局域网中只需要安装在一台主机上，特别是在需要考勤的工作环境中，利用指纹考勤机的数据，实时有效的检测网络通断故障；第二，利用指纹考勤机，在逻辑上可以在监控端检测“刚开机就联不上网的故障”；第三，用本发明开发的系统运行高效，内存占用率低。 

附图说明

图1为本发明故障检测方法流程示意图； 

图2A～图2F为本发明故障检测方法详细流程示意图； 

图3为本发明故障检测方法具体实施例流程示意图； 

图4A～图4C为本发明故障检测方法具体实施例详细流程示意图； 

图5为本发明故障检测系统结构示意图； 

图6A～图6F为本发明故障检测系统详细结构示意图。 

其中，附图标记： 

10数据采集及预处理模块    20主机管理模块 

30网络通断故障检测模块    40关键服务实时监测模块 

50扫描模块    60报警模块 

70展示模块 

S1～S7：本发明各实施例的施行步骤 

具体实施方式

以下结合附图和具体实施例对本发明进行详细描述，但不作为对本发明的限定。 

下面结合附图和具体实施方式，对本发明做进一步的说明。 

本发明提供本发明的目的在于克服已有网络运行故障检测方法的缺陷，提供一种网络运行故障检测方法，该方法使用扫描技术和心跳机制进行故障检测，提高网络故障检测方法的准确率，降低误报率。 

本发明提供一种网络运行故障检测方法，如图1所示，包括： 

数据采集及预处理步骤S1：用于采集工作人员的指纹数据和主机资产信息数据，并进行关联形成监测网络的主机状态表，根据工作人员的指纹刷新数据对主机状态表的主机状态进行更新； 

主机管理步骤S2：基于主机状态表，对主机状态为开机的主机进行状态监控，并实时更新主机状态表； 

网络通断故障检测步骤S3：基于主机状态表，采用扫描方式依次检测主机状态为开机的被监测主机的连通性故障，并将故障情况进行报警； 

关键服务实时监测步骤S4：采用心跳机制，对待监测网络中的服务器的关键服务进行监测，并对故障情况进行报警。 

扫描步骤S5：基于主机状态表，对所有在线主机进行进行扫描，对于发现的高危漏洞进行报警； 

报警步骤S6：用于记录日志，并将相关故障情况及漏洞情况信息向管理员进行报警； 

展示步骤S7：用于对故障情况及漏洞情况进行统计，并以图形化方式进行展示。 

其中，如图2A所示，主机管理步骤S2还包括： 

初始化步骤S21：对待监测主机状态进行初始化操作； 

增删被监测主机步骤S22：增加或删除被监测主机，并进行主机状态表更 新； 

监听定时关机主机步骤S23：对于设定定时关机的被监测主机根据定时时间实行不同的监测方式。 

其中，如图2B所示，网络通断故障检测步骤S3还包括： 

基于ICMP扫描的检测步骤S31：构造多个分片的TCP数据包，TCP数据包的目的端口设置为N，N为大于0且小于1024，并将TCP数据包发送待监测的主机，若返回分片组装超时的ICMP错误报文，则说明待监测主机可连通，否则，待监测主机为故障； 

基于UDP扫描的检测步骤S32：构造一UDP数据包，UDP数据包的目的端口设置为M，M为大于1024，并将UDP数据包发送待监测的主机，如果收到端口不可达的ICMP错误报文，则待监测主机可连通，否则，待监测主机为故障； 

基于TCP扫描的检测步骤S33：构造一TCP数据包，TCP数据包的FIN标志位为1，并且TCP数据包的目的端口设置为L，L为大于1024，并将TCP数据包发送给待监测的主机，如果收到RST标志位置1的TCP回应包，则待监测主机可连通，否则，待监测主机为故障。 

其中，如图2C所示，关键服务实时监测步骤S4还包括： 

重要服务器实时监测步骤S41：每隔设定时间间隔TS，基于预设置的服务器IP地址，与服务器分别建立TCP连接，并统计TCP连接失败次数，如果TCP连接失败次数大于预设阈值TH，则判定服务器发生故障，并通知报警模块，否则，服务器为正常； 

监测管理主机可用性步骤S42：每隔设定时间间隔TG，基于预设置的辅助管理主机IP，向辅助管理主机发送心跳数据包，若辅助管理主机连续未收到管理主机发送的心跳数据包的次数超过预设阈值THG，则判定辅助管理主机发生故障，并通知报警模块，否则，辅助管理主机为正常。 

其中，如图2D所示，扫描步骤S5还包括： 

基本信息扫描步骤S51：对待监测主机进行基本信息扫描； 

漏洞扫描步骤S52：通过网络扫描器对待监测网络中的在线主机进行漏洞扫描，得到在线主机的漏洞信息； 

扫描结果解析步骤S53：基于主机的基本信息和漏洞信息进行解析，将主机的基本信息进行保存到主机基本信息表，将主机的漏洞信息保存到漏洞信息 表中，并对发现的高危漏洞进行报警。 

其中，如图2E所示，报警步骤S6还包括： 

日志记录步骤S61：用于在检测过程中记录日志； 

邮件报警步骤S62：用于将故障情况或高危漏洞通过邮件或短信方式向管理员进行报警。 

其中，如图2F所示，展示步骤S7还包括： 

网络拓扑图展示步骤S71：根据主机基本信息表中的路由信息，得到所有被扫描结点之间的连接关系，并绘制成拓扑图，并且，点击每个结点可以查看对应主机的漏洞信息； 

局域网漏洞统计展示步骤S72：用于统计被扫描局域网中不同安全等级的漏洞的数量以及漏洞的占比，并且统计被扫描局域网中不同安全等级的主机的数量以及主机的占比，最终以图的形式展示； 

主机漏洞信息展示步骤S73：用于展示主机的漏洞信息，并针对漏洞信息给出漏洞解决办法； 

历史漏洞状况展示步骤S74：用于展示局域网的历史安全态势，方便管理员将每次漏洞扫描的结果进行对比。 

为更清楚明白的解释本发明的技术方案，以下通过具体实施例对本发明作进一步详细说明。应当理解，此处所述的具体实施例仅仅用以解释本发明，并不用于限定本发明。 

本发明所提出的网络运行故障检测方法，如图3所示，利用扫描技术进行探测，以判断网络是否出现连通性故障，同时结合指纹考勤系统针对机器关机和网络连接故障加以区分，该方法的操作步骤具体为： 

步骤1，检测待监测网络是否存在连通性故障； 

步骤2，检测待监测网络的关键服务是否可用； 

步骤3，检测待监测网络的管理主机是否可用。 

本发明所提出的网络运行故障检测方法，如图4A所示；采用心跳机制实时监测局域网内关键服务的可用性，以判断HTTP服务器、SMTP服务器等是否发生故障，如图4B和图4C所示，步骤1进一步包括以下步骤： 

步骤11，使用指纹考勤系统采集指纹数据，包括考勤编号、刷卡日期、上班刷卡时间、下班刷卡时间等； 

步骤12，将指纹数据与数据库中的网络资产表及工作人员信息表相关联，形成局域网内的主机状态表，包括主机编号、指纹编号、主机名称、主机ip和主机状态，其中，主机状态包括开机状态、关机状态，当工作人员上下班刷指纹时，会自动改变数据库中主机状态表里的主机状态； 

步骤13，设定时间间隔T，每隔时间T，查询数据库中的主机状态表中主机状态为开机状态的主机ip，针对每台主机，执行主机连通性检测算法，以判定主机是否连通；在步骤13中的时间间隔T设置为5分钟，即每5分钟查询一次数据库中的主机状态表中主机状态为开机状态的主机ip。 

步骤14，如果判定主机发生连通性故障，则向管理员发送邮件以告知发生故障的主机和检测到故障的时间，以便管理员能够及时处理该故障。 

步骤13进一步包括以下步骤： 

步骤131：取查询结果集的第一条记录，若为空，则说明待监测网络中可能出现故障或者指纹数据未采集成功，则将检测到该故障的时间、主机名称及故障描述以邮件的形式发送给管理员，然后转至步骤2； 

步骤132：构造一组分片的tcp数据包，将其目的端口设置为小于1024的熟知端口(默认其打开)，并将该组数据包的一部分发送给拥有所取记录对应ip的主机，若返回分片组装超时的icmp错误报文，则说明该主机是可连通的； 

步骤134：构造一个udp数据包，将其目的端口设置为大于1024的非熟知端口(默认改端口关闭)，然后发送给拥有所取记录对应ip的主机，如果收到端口不可达的icmp错误报文，则说明该主机是可连通的； 

步骤135：构造一个tcp数据包，将其FIN标志位置1、其目的端口置为大于1024的非熟知端口，然后发送给拥有所取记录对应ip的主机，如果收到RST标志位置1的tcp回应包，则说明该主机是可连通的； 

步骤136：将检测结果写入日志，若步骤132-135都没有收到任何回应，则判定该主机发生连通性故障，将检测到该故障的时间、主机名称及故障描述以邮件的形式发送给管理员； 

步骤137：取查询集的下一条记录，若为空，则说明已处理完结果集中的所有主机，转至步骤2，否则，转至步骤132。 

步骤2进一步包括以下步骤： 

步骤21：设定时间间隔TS，阈值TH和待监测网络中所要监控的服务器； 在步骤21中的时间间隔TS设置为1分钟，即每隔1分钟跟待监测网络中的被监测服务器建立一次tcp连接；阈值TH设为3，即建立tcp连接连续失败3次即判定被监测服务器发生故障。 

步骤22：每隔时间TS，跟待监测网络中所要监控的每一台服务器(如http服务器、smtp服务器、pop服务器等)分别建立一次tcp连接，统计各自的连接失败次数；如果针对待监控服务器建立tcp连接连续失败次数超过阈值TH，则判定待监控服务器发生故障，其对应的关键服务不可用，并将检测到故障的时间、发生故障的服务器相关信息和故障描述邮件通知管理员。 

步骤3进一步包括以下步骤： 

步骤31：设定管理主机，时间间隔TG，每隔时间TG，管理主机向辅助管理主机发送心跳数据包；在步骤31中的时间间隔TG设为2分钟，即管理主机每隔2分钟向辅助管理主机发送一次心跳数据包。 

步骤32：设定辅助管理主机、阈值THG，辅助管理主机每隔时间TG检查自己是否收到管理主机发送的心跳数据包，若连续未收到管理主机发送的心跳数据包的时间间隔数超过阈值THG，则判定管理主机发生故障，并将检测到故障的时间、发生故障的管理主机相关信息和故障描述邮件通知管理员。在步骤32中的阈值THG设为5，即辅助管理主机连续5次未收到管理主机发送给自己的心跳数据包，即判定管理主机发生故障。 

本发明还提供一种网络运行故障检测系统，采用上述网络运行故障检测方法，如图5所示，包括： 

数据采集及预处理模块10：用于采集工作人员的指纹数据和主机资产信息数据，并进行关联形成监测网络的主机状态表，根据工作人员的指纹刷新数据对所述主机状态表的主机状态进行动态更新； 

数据采集及预处理模块10，用于采集指纹数据、局域网内的资产信息数据，将这些数据同数据库表中的工作人员信息表进行关联形成待监测网络的主机状态表，并存入数据库，当工作人员上下班刷指纹时，该模块相应改变主机状态表中对应主机的主机状态； 

主机管理模块20：基于所述主机状态表，对主机状态为开机的所述主机进行状态监控，并实时更新所述主机状态表； 

主机管理模块20，用于管理局域网内被监测主机的列表，将被监测主机 列表同主机状态表相关联，形成被监测主机状态表，以通知系统需要检测哪些主机，同时监听被监测主机是否有关机时间设定，如果有则改变被监测主机状态表中相应主机的主机状态为开机状态，并在半小时后再将其更改为关机状态； 

网络通断故障检测模块30：基于所述主机状态表，采用扫描方式依次检测主机状态为开机的被监测主机的连通性故障，并将故障情况进行报警； 

网络通断故障检测模块30，按照数据表中的被监测主机状态表，依次检测被监测主机状态表中主机状态为开机状态的主机是否发生连通性故障，若发生故障，则通知报警模块； 

关键服务实时监测模块40：采用心跳机制，对待监测网络中的服务器的关键服务进行监测，并对故障情况进行报警。 

扫描模块50：基于所述主机状态表，对所有在线主机进行扫描，对于发现的高危漏洞进行报警； 

漏洞扫描模块50，用于对待监测网络的主机状态表中的在线主机进行漏洞扫描，首先通过调用多种漏洞发现工具对被监测主机进行扫描，并将扫描结果存入相应的漏洞扫描结果库，当发现高危漏洞时，通知报警模块。 

报警模块60：用于记录日志，并将相关故障情况及漏洞情况信息向管理员进行报警；报警模块60，用于记录日志，当检测到故障和高危漏洞时向管理员发送邮件，通知管理员检测到故障或漏洞的时间、漏洞具体信息、故障信息及相关主机或服务器信息等。 

展示模块70：用于对所述故障情况及漏洞情况进行统计，并以图形化方式进行展示。展示模块70用于对扫描结果进行统计、根据漏洞扫描结果对管理员给出相应的解决方案、以图形化方式展示前面得到的局域网安全信息。所展示的信息包括局域网中主机的基本信息、网络故障信息、以及漏洞信息等。 

其中，如图6A所示，主机管理模块20还包括： 

初始化模块21：对待监测主机状态进行初始化操作；初始化模块21初始化待监测网络的被监测主机列表，通过用户设置需要监测的主机生成被监测主机列表，默认监测待监测网络中的所有主机； 

增删被监测主机模块22：增加或删除被监测主机，并进行所述主机状态表更新；增删被监测主机模块22，增加被监测主机则在被监测主机列表中加 入该主机的相应信息，删除被监测主机则在被监测主机列表中删除该主机的相应信息； 

监听定时关机主机模块23：对于设定定时关机的被监测主机根据定时时间实行不同的监测方式。监听并处理定时关机请求模块23若被监测主机设定了定时关机，则在该主机关机的时间不再检测其是否发生故障，如果工作人员下班时设定了关机时间，例如设定半小时后关机，则在该工作人员下班刷指纹后的半小时内，该主机仍然被监测。 

其中，如图6B所示，网络通断故障检测模块30还包括： 

基于ICMP扫描的检测模块31：构造多个分片的TCP数据包，所述TCP数据包的目的端口设置为N，N为大于0且小于1024，并将所述TCP数据包发送待监测的主机，若返回分片组装超时的ICMP错误报文，则说明所述待监测主机可连通，否则，所述待监测主机为故障；基于ICMP扫描的检测模块31使用icmp扫描技术检测被监测网络是否连通,构造一组分片的tcp数据包，将其目的端口设置为小于1024的熟知端口(默认其打开)，并将该组数据包的一部分发送给拥有所取记录对应ip的主机，若返回分片组装超时的icmp错误报文，则说明该主机是可连通的； 

基于UDP扫描的检测模块32：构造一UDP数据包，所述UDP数据包的目的端口设置为M，M为大于1024，并将所述UDP数据包发送待监测的主机，如果收到端口不可达的ICMP错误报文，则所述待监测主机可连通，否则，所述待监测主机为故障；基于UDP扫描的检测模块32使用udp扫描技术检测被监测网络是否连通,构造一个udp数据包，将其目的端口设置为大于1024的非熟知端口(默认改端口关闭)，然后发送给拥有所取记录对应ip的主机，如果收到端口不可达的icmp错误报文，则说明该主机是可连通的； 

基于TCP扫描的检测模块33：构造一TCP数据包，所述TCP数据包的FIN标志位为1，并且所述TCP数据包的目的端口设置为L，L为大于1024，并将所述TCP数据包发送给待监测的主机，如果收到RST标志位置1的TCP回应包，则所述待监测主机可连通，否则，所述待监测主机为故障。基于TCP FIN扫描的检测模块33使用tcp fin扫描技术检测被监测网络是否连通,构造一个tcp数据包，将其FIN标志位置1、其目的端口置为大于1024的非熟知端口，然后发送给拥有所取记录对应ip的主机，如果收到RST标志位置1的tcp回应 包，则说明该主机是可连通的。 

其中，如图6C所示，关键服务实时监测模块40还包括： 

重要服务器实时监测模块41：每隔设定时间间隔TS，基于预设置的服务器IP地址，与所述服务器分别建立TCP连接，并统计所述TCP连接失败次数，如果所述TCP连接失败次数大于预设阈值TH，则判定所述服务器发生故障，并通知报警模块，否则，所述服务器为正常；重要服务器实时监测模块41设置待监测网络中需要监测的重要服务器ip地址，如Http服务器、SMTP服务器、POP服务器等，设定时间间隔TS、阈值TH，每隔时间TS，跟待监测网络中所要监测的每一台服务器(如http服务器、smtp服务器、pop服务器等)分别建立一次tcp连接，统计各自的连接失败次数；如果针对被监测服务器建立tcp连接连续失败次数大于TH，则判定被监测服务器发生故障，并通知报警模块； 

监测管理主机可用性模块42：每隔设定时间间隔TG，基于预设置的辅助管理主机IP，向所述辅助管理主机发送心跳数据包，若辅助管理主机连续未收到管理主机发送的心跳数据包的次数超过预设阈值THG，则判定所述辅助管理主机发生故障，并通知报警模块，否则，所述辅助管理主机为正常。监测管理主机可用性模块42设置辅助管理主机ip，设定时间间隔TG、阈值THG，管理主机每隔时间TG向辅助管理主机发送心跳数据包，若辅助管理主机连续未收到管理主机发送的心跳数据包的次数超过THG，则判定管理主机发生故障，并通知报警模块； 

其中，如图6D所示，扫描模块50还包括： 

基本信息扫描模块51：对所述待监测主机进行基本信息扫描；基本信息扫描模块51调用Nmap网络扫描器对待监测网络中的在线主机进行扫描，得到这些主机的基本信息，以及从扫描主机出发到各个被扫描主机的路由情况。其中，主机基本信息包括：IP地址、MAC地址、主板信息、主机名、所在组、操作系统等。扫描结束之后得到的XML文件交给扫描结果解析模块进行进一步处理。 

漏洞扫描模块52：通过网络扫描器对待监测网络中的在线主机进行漏洞扫描，得到所述在线主机的漏洞信息；漏洞扫描模块52调用X-Scan、Openvas等网络扫描器对待监测网络中的在线主机进行扫描，得到关于这些主机的漏洞 信息。漏洞信息包括：主机IP、端口号、协议名称、服务名称、CVSS指数、危险系数、CVE值、描述信息等，扫描结束之后得到的XML文件同样交给扫描结果解析模块。 

扫描结果解析模块53：基于所述主机的基本信息和漏洞信息进行解析，将所述主机的基本信息进行保存到主机基本信息表，将所述主机的漏洞信息保存到漏洞信息表中，并对发现的高危漏洞进行报警。扫描结果解析模块53对上面产生的主机基本信息和漏洞信息的XML文件进行解析，将主机基本信息保存到数据库中的主机基本信息表，将漏洞信息保存到漏洞信息表中。同时，当发现高危漏洞时，通知报警模块。 

其中，如图6E所示，报警模块60还包括： 

日志记录模块61：用于在检测过程中记录日志； 

邮件报警模块62：用于将故障情况或高危漏洞通过邮件或短信方式向管理员进行报警。邮件报警模块62用于检测到网络中发生故障或者存在高危漏洞时，将故障信息发送给管理员，另外，若管理员的邮箱与手机绑定时，还可以向管理员发送手机短信以通知管理员相关的故障信息。 

其中，如图6F所示，展示模块70还包括： 

网络拓扑图展示模块71：根据所述主机基本信息表中的路由信息，得到所有被扫描结点之间的连接关系，并绘制成拓扑图，并且，点击每个所述结点可以查看对应主机的漏洞信息；网络拓扑图展示模块71根据主机基本信息表中的路由信息这一项得到到每台被扫描主机的路由信息，包括所用的跳数以及每一跳所到达的结点IP，经过计算以后得到所有被扫描结点之间的连接关系，并绘制成拓扑图。在拓扑图的每个结点上用灰色图标表示不在线主机、蓝色图标表示正常主机、红色图标表示存在高危漏洞的主机，结点图标的右上方标注结点的IP地址。点击每个结点可以看到该主机的漏洞信息。 

局域网漏洞统计展示模块72：用于统计被扫描局域网中不同安全等级的漏洞的数量以及所述漏洞的占比，并且统计被扫描局域网中不同安全等级的主机的数量以及所述主机的占比，最终以图的形式展示；局域网漏洞统计展示模块72根据最近一次扫描的结果从两个方面进行统计，一是统计被扫描局域网中不同安全等级的漏洞信息的数量以及所占的比例；二是被扫描局域网中不同安全等级的主机的数量以及所占的比例，最终以饼图的形式展示。在漏洞分类 饼图中，点击某一扇区可以看到该级别的漏洞的具体信息，而在主机分类图中看到的则是该级别的主机的详细信息。 

主机漏洞信息展示模块73：用于展示所述主机的漏洞信息，并针对所述漏洞信息给出漏洞解决办法；主机漏洞信息展示模块73包括两种漏洞扫描工具的扫描结果，展示某台主机的漏洞信息，并对每条漏洞结合本地漏洞库给出漏洞解决办法。 

历史漏洞状况展示模块74：用于展示局域网的历史安全态势，方便管理员将每次漏洞扫描的结果进行对比。历史漏洞状况展示模块74以折线图的形式展示局域网的历史安全态势，方便管理员将每次漏洞扫描的结果进行对比，了解局域网的脆弱性现状。如图3所示，图中分别对漏洞总数量、高危漏洞的数量、警告的数量进行了统计，在一张图表中用三条折线分别表现这三种数据，横坐标为扫描次数，纵坐标为数量。 

综上所述，本发明相较于其他网络运行故障检测方法，本发明提出的技术方案，具有以下优势：第一，用本发明设计的故障检测系统，只需要在网络监控主机上安装该系统，在一个局域网中只需要安装在一台主机上，特别是在需要考勤的工作环境中，利用指纹考勤机的数据，实时有效的检测网络通断故障；第二，利用指纹考勤机，在逻辑上可以在监控端检测“刚开机就联不上网的故障”；第三，用本发明开发的系统运行高效，内存占用率低。 

最后应当说明的是，本发明并非限制于这里所描述的实施例，任何对本发明的技术方案的修改或者等同替换，都不脱离本发明技术方案的范围，均应涵盖在本范围的权利要求范围内。 

当然，本发明还可有其它多种实施例，在不背离本发明精神及其实质的情况下，熟悉本领域的技术人员当可根据本发明做出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。 

Claims (18)

1.一种网络运行故障检测系统，其特征在于，包括：

数据采集及预处理模块：用于采集工作人员的指纹数据和主机资产信息数据，并进行关联形成监测网络的主机状态表，根据工作人员的指纹刷新数据对所述主机状态表的主机状态进行动态更新；

主机管理模块：基于所述主机状态表，对主机状态为开机的所述主机进行状态监控，并实时更新所述主机状态表；

网络通断故障检测模块：基于所述主机状态表，采用扫描方式依次检测主机状态为开机的被监测主机的连通性故障，并将故障情况进行报警；

关键服务实时监测模块：采用心跳机制，对待监测网络中的服务器的关键服务进行监测，并对故障情况进行报警。

2.根据权利要求1所述网络运行故障检测系统，其特征在于，还包括：所述主机状态表中包含：主机编号、指纹编号、主机名称、主机IP和主机状态。

3.根据权利要求1所述网络运行故障检测系统，其特征在于，还包括：

扫描模块：基于所述主机状态表，对所有在线主机进行进行扫描，对于发现的高危漏洞进行报警；

报警模块：用于记录日志，并将相关故障情况及漏洞情况信息向管理员进行报警；

展示模块：用于对所述故障情况及漏洞情况进行统计，并以图形化方式进行展示。

4.根据权利要求1所述网络运行故障检测系统，其特征在于，所述主机管理模块还包括：

初始化模块：对待监测主机状态进行初始化操作；

增删被监测主机模块：增加或删除被监测主机，并进行所述主机状态表更新；

监听定时关机主机模块：对于设定定时关机的被监测主机根据定时时间实行不同的监测方式。

5.根据权利要求1所述网络运行故障检测系统，其特征在于，所述网络通断故障检测模块还包括：

基于ICMP扫描的检测模块：构造多个分片的TCP数据包，所述TCP数据包的目的端口设置为N，N为大于0且小于1024，并将所述TCP数据包发送待监测的主机，若返回分片组装超时的ICMP错误报文，则说明所述待监测主机可连通，否则，所述待监测主机为故障；

基于UDP扫描的检测模块：构造一UDP数据包，所述UDP数据包的目的端口设置为M，M为大于1024，并将所述UDP数据包发送待监测的主机，如果收到端口不可达的ICMP错误报文，则所述待监测主机可连通，否则，所述待监测主机为故障；

基于TCP扫描的检测模块：构造一TCP数据包，所述TCP数据包的FIN标志位为1，并且所述TCP数据包的目的端口设置为L，L为大于1024，并将所述TCP数据包发送给待监测的主机，如果收到RST标志位置1的TCP回应包，则所述待监测主机可连通，否则，所述待监测主机为故障。

6.根据权利要求1所述网络运行故障检测系统，其特征在于，所述关键服务实时监测模块还包括：

重要服务器实时监测模块：每隔设定时间间隔TS，基于预设置的服务器IP地址，与所述服务器分别建立TCP连接，并统计所述TCP连接失败次数，如果所述TCP连接失败次数大于预设阈值TH，则判定所述服务器发生故障，并通知报警模块，否则，所述服务器为正常；

监测管理主机可用性模块：每隔设定时间间隔TG，基于预设置的辅助管理主机IP，向所述辅助管理主机发送心跳数据包，若辅助管理主机连续未收到管理主机发送的心跳数据包的次数超过预设阈值THG，则判定所述辅助管理主机发生故障，并通知报警模块，否则，所述辅助管理主机为正常。

7.根据权利要求3所述网络运行故障检测系统，其特征在于，所述扫描模块还包括：

基本信息扫描模块：对所述待监测主机进行基本信息扫描；

漏洞扫描模块：通过网络扫描器对待监测网络中的在线主机进行漏洞扫描，得到所述在线主机的漏洞信息；

扫描结果解析模块：基于所述主机的基本信息和漏洞信息进行解析，将所述主机的基本信息进行保存到主机基本信息表，将所述主机的漏洞信息保存到漏洞信息表中，并对发现的高危漏洞进行报警。

8.根据权利要求3所述网络运行故障检测系统，其特征在于，所述报警模块还包括：

日志记录模块：用于在检测过程中记录日志；

邮件报警模块：用于将故障情况或高危漏洞通过邮件或短信方式向管理员进行报警。

9.根据权利要求3所述网络运行故障检测系统，其特征在于，所述展示模块还包括：

网络拓扑图展示模块：根据所述主机基本信息表中的路由信息，得到所有被扫描结点之间的连接关系，并绘制成拓扑图，并且，点击每个所述结点可以查看对应主机的漏洞信息；

局域网漏洞统计展示模块：用于统计被扫描局域网中不同安全等级的漏洞的数量以及所述漏洞的占比，并且统计被扫描局域网中不同安全等级的主机的数量以及所述主机的占比，最终以图的形式展示；

主机漏洞信息展示模块：用于展示所述主机的漏洞信息，并针对所述漏洞信息给出漏洞解决办法；

历史漏洞状况展示模块：用于展示局域网的历史安全态势，方便管理员将每次漏洞扫描的结果进行对比。

10.一种网络运行故障检测方法，应用于包含数据采集及预处理模块、网络通断故障检测模块、主机管理模块和关键服务实时监测模块的网络运行故障检测系统，其特征在于，包括：

数据采集及预处理步骤：用于采集工作人员的指纹数据和主机资产信息数据，并进行关联形成监测网络的主机状态表，根据工作人员的指纹刷新数据对所述主机状态表的主机状态进行更新；

主机管理步骤：基于所述主机状态表，对主机状态为开机的所述主机进行状态监控，并实时更新所述主机状态表；

网络通断故障检测步骤：基于所述主机状态表，采用扫描方式依次检测主机状态为开机的被监测主机的连通性故障，并将故障情况进行报警；

关键服务实时监测步骤：采用心跳机制，对待监测网络中的服务器的关键服务进行监测，并对故障情况进行报警。

11.根据权利要求10所述网络运行故障检测方法，其特征在于，还包括：所述主机状态表中包含：主机编号、指纹编号、主机名称、主机IP和主机状态。

12.根据权利要求10所述网络运行故障检测方法，其特征在于，还包括：

扫描步骤：基于所述主机状态表，对所有在线主机进行进行扫描，对于发现的高危漏洞进行报警；

报警步骤：用于记录日志，并将相关故障情况及漏洞情况信息向管理员进行报警；

展示步骤：用于对所述故障情况及漏洞情况进行统计，并以图形化方式进行展示。

13.根据权利要求10所述网络运行故障检测方法，其特征在于，所述主机管理步骤还包括：

初始化步骤：对待监测主机状态进行初始化操作；

增删被监测主机步骤：增加或删除被监测主机，并进行所述主机状态表更新；

监听定时关机主机步骤：对于设定定时关机的被监测主机根据定时时间实行不同的监测方式。

14.根据权利要求10所述网络运行故障检测方法，其特征在于，所述网络通断故障检测步骤还包括：

基于ICMP扫描的检测步骤：构造多个分片的TCP数据包，所述TCP数据包的目的端口设置为N，N为大于0且小于1024，并将所述TCP数据包发送待监测的主机，若返回分片组装超时的ICMP错误报文，则说明所述待监测主机可连通，否则，所述待监测主机为故障；

基于UDP扫描的检测步骤：构造一UDP数据包，所述UDP数据包的目的端口设置为M，M为大于1024，并将所述UDP数据包发送待监测的主机，如果收到端口不可达的ICMP错误报文，则所述待监测主机可连通，否则，所述待监测主机为故障；

基于TCP扫描的检测步骤：构造一TCP数据包，所述TCP数据包的FIN标志位为1，并且所述TCP数据包的目的端口设置为L，L为大于1024，并将所述TCP数据包发送给待监测的主机，如果收到RST标志位置1的TCP回应包，则所述待监测主机可连通，否则，所述待监测主机为故障。

15.根据权利要求10所述网络运行故障检测方法，其特征在于，所述关键服务实时监测步骤还包括：

重要服务器实时监测步骤：每隔设定时间间隔TS，基于预设置的服务器IP地址，与所述服务器分别建立TCP连接，并统计所述TCP连接失败次数，如果所述TCP连接失败次数大于预设阈值TH，则判定所述服务器发生故障，并通知报警模块，否则，所述服务器为正常；

监测管理主机可用性步骤：每隔设定时间间隔TG，基于预设置的辅助管理主机IP，向所述辅助管理主机发送心跳数据包，若辅助管理主机连续未收到管理主机发送的心跳数据包的次数超过预设阈值THG，则判定所述辅助管理主机发生故障，并通知报警模块，否则，所述辅助管理主机为正常。

16.根据权利要求12所述网络运行故障检测方法，其特征在于，所述扫描步骤还包括：

基本信息扫描步骤：对所述待监测主机进行基本信息扫描；

漏洞扫描步骤：通过网络扫描器对待监测网络中的在线主机进行漏洞扫描，得到所述在线主机的漏洞信息；

扫描结果解析步骤：基于所述主机的基本信息和漏洞信息进行解析，将所述主机的基本信息进行保存到主机基本信息表，将所述主机的漏洞信息保存到漏洞信息表中，并对发现的高危漏洞进行报警。

17.根据权利要求12所述网络运行故障检测方法，其特征在于，所述报警步骤还包括：

日志记录步骤：用于在检测过程中记录日志；

邮件报警步骤：用于将故障情况或高危漏洞通过邮件或短信方式向管理员进行报警。

18.根据权利要求12所述网络运行故障检测方法，其特征在于，所述展示步骤还包括：

网络拓扑图展示步骤：根据所述主机基本信息表中的路由信息，得到所有被扫描结点之间的连接关系，并绘制成拓扑图，并且，点击每个所述结点可以查看对应主机的漏洞信息；

局域网漏洞统计展示步骤：用于统计被扫描局域网中不同安全等级的漏洞的数量以及所述漏洞的占比，并且统计被扫描局域网中不同安全等级的主机的数量以及所述主机的占比，最终以图的形式展示；

主机漏洞信息展示步骤：用于展示所述主机的漏洞信息，并针对所述漏洞信息给出漏洞解决办法；

历史漏洞状况展示步骤：用于展示局域网的历史安全态势，方便管理员将每次漏洞扫描的结果进行对比。