一种网络业务运行状态监控方法与流程

本发明涉及数据管理，尤其涉及一种网络业务运行状态监控方法。

背景技术：

1、在网络通信技术领域，业务运行状态监控是保障网络服务质量、维护网络安全可靠性的关键手段。随着网络规模不断扩大、业务类型日益复杂，网络设备，包括防火墙、路由器、交换机、负载均衡器、入侵检测系统，承担着数据转发、安全过滤、流量调度、日志审计等核心功能。这些设备是否按照其设计规范和配置要求正确履行职责，直接影响整个网络的运行质量和安全防护能力，现有网络业务运行状态监控技术手段主要包括基于设备自报数据的阈值监控、基于动态基线的异常检测方法、基于日志审计的合规检查方法。

2、目前，现有网络业务运行状态监控技术手段在实际应用中，存在以下缺陷：

3、基于阈值的监控方法只能检测指标是否超出预设范围，无法回答设备是否做了它应该做的事情这一本质问题，无法判断问题是因为网络拥塞、设备处理能力不足，还是设备在偷懒放弃了某些本应执行的处理逻辑，缺乏语义理解能力，无法对行为的合规性做出判定；

4、基于行为基线的异常检测方法需要通过学习历史正常数据建立统计模型，其前提假设是历史行为是正常的，设备的偷懒行为可能是首次出现，或者攻击者在部署设备时就已经植入了偷懒逻辑，历史数据本身就是乱的统计模型的输出是偏离程度，而非是否履行了声明的职责，难以直接用于合规性判断。

5、针对上述的技术缺陷，现提出一种解决方案。

技术实现思路

1、本发明采用了如下技术方案：一种网络业务运行状态监控方法，包括以下步骤：

2、s1：获取目标设备的配置状态、行为特征及历史输入与输出样本对，构建与目标设备行为一致的数字孪生模型；

3、s2：在真实网络环境中获取目标设备接收的原始输入文本及对应的实际输出处理结果，记录为真实输入输出对，并采集目标设备的实时配置状态用于孪生模型状态同步；

4、s3：将原始输入文本输入数字孪生模型，输出孪生推演结果，将孪生推演结果与实际输出处理结果进行比对，若两者不一致，则判定目标设备存在行为异常，输出异常告警；

5、s4：入口链路部署第一观测点获取输入报文，在出口链路部署第二观测点获取输出报文，提取输入报文的报文标识符，在输出报文中查找具有相同标识符的对应报文，若输入报文无对应输出报文，查询目标设备日志，若无丢弃记录则判定存在丢包隐匿，若输入报文与输出报文匹配成功但输出报文内容不符合设备配置策略预期，则判定存在处理规避；

6、s5：采集目标设备的实时资源消耗指标，统计设备宣称的处理任务量，当实际资源消耗低于处理任务量所对应的理论资源消耗时，判定设备存在行为失范。

7、进一步的，获取目标设备的配置状态、行为特征及历史输入与输出样本对，构建与目标设备行为一致的数字孪生模型，具体过程如下：

8、通过传感器设备获取目标设备历史流量中的输入报文及其对应的输出报文，形成输入输出样本对集合；

9、定义数字孪生模型的输入空间和输出空间，数字孪生模型输入空间为从报文中提取的特征向量，包括协议类型、报文长度、应用层关键字，输出空间为目标设备的实际处理结果，包括处理动作、丢包原因、转发出口；

10、将样本对集合划分为训练集、验证集、测试集，将输入报文转换为特征向量，输出动作编码，训练一个轻量级分类器，学习从输入特征向量到输出动作的映射关系；

11、数字孪生模型的输入为报文特征向量，输出为对设备处理动作的预测概率分布，取最大概率对应的动作作为孪生推演结果。

12、进一步的，在真实网络环境中获取目标设备接收的原始输入文本及对应的实际输出处理结果，记录为真实输入输出对，并采集目标设备的实时配置状态用于孪生模型状态同步，具体过程如下：

13、在目标设备入口和出口链路分别部署观测点，通过传感器设备获取输入报文和输出报文；

14、为每个输入报文提取唯一标识符，通过标识符匹配算法查找与输入报文对应的输出报文，设置匹配超时窗口，若输入报文发出后超时窗口内未匹配到对应输出报文，则记录该输入报文的输出结果为无响应；

15、将匹配成功的输入输出对及无响应的输入报文记录为结构化数据，并存入时间序列数据库，按设备标识和时间范围建立索引；

16、通过网络管理协议、网络配置协议，建立与目标设备的配置采集通道，采集周期根据配置变更频率动态调整，每次采集的配置状态标注上版本号和时间戳，与对应的输入输出对关联存储；

17、将采集的配置状态推送到数字孪生模型，通过配置更新接口同步，在推理时动态注入配置特征。

18、进一步的，将原始输入文本输入数字孪生模型，输出孪生推演结果，将孪生推演结果与实际输出处理结果进行比对，若两者不一致，则判定目标设备存在行为异常，输出异常告警，具体过程如下：

19、获取真实输入输出对中取出原始输入报文，输入至数字孪生模型进行推演，得到孪生推演结果；

20、将孪生推演结果与真实输出处理结果进行逐项比对，对比包括处理动作类型、输出报文内容、响应时延迟；

21、当处理动作类型不同、输出报文内容哈希值不同、真实响应时延超过孪生模型理论最大时延时，则直接判定为不一致；

22、当孪生推演结果与实际输出结果不一致时，对不一致类型进行分类，检查真实设备与孪生模型的配置一致性，排除配置漂移导致的不一致；

23、当检测到不一致且排除配置漂移因素后，判定目标设备存在行为异常，输出结构化异常告警，包含设备标识、不一致类型、触发报文摘要、孪生与真实结果对比详情、设备当前配置版本；

24、输出告警后，根据告警类型执行相应的后处理操作：

25、对于频繁出现的不一致告警，当同一设备同一类型告警连续超过设定次数时，自动触发孪生模型保真度验证，对数字孪生模型进行失准检查；

26、对于模型拦截错误告警，将触发告警的输入报文特征进行异常库存储；

27、将本次比对结果作为反馈样本，用于调整数字孪生模型的决策阈值。

28、进一步的，入口链路部署第一观测点获取输入报文，在出口链路部署第二观测点获取输出报文，提取输入报文的报文标识符，在输出报文中查找具有相同标识符的对应报文，若输入报文无对应输出报文，查询目标设备日志，若无丢弃记录则判定存在丢包隐匿，若输入报文与输出报文匹配成功但输出报文内容不符合设备配置策略预期，则判定存在处理规避，具体过程如下：

29、在目标设备入口链路部署第一观测点获取输入报文，出口链路部署第二观测点获取输出报文，并将两观测点的时间进行同步；

30、提取输入报文的五元组，包括源ip、目的ip、源端口、目的端口、协议及ip标识、tcp序列号作为唯一标识符，在输出报文中查找具有相同标识符的对应报文，设置匹配超时窗口；

31、若输入报文在超时窗口内无对应输出报文，查询目标设备系统日志，若日志中无该报文的丢弃记录，则判定存在丢包隐匿行为，设备声称正常处理但实际未输出且未记录，输出丢包隐匿告警；

32、若输入报文与输出报文匹配成功，将实际输出报文与设备配置策略预期的处理动作及内容进行比对；

33、若实际输出不符合预期，则判定存在处理规避行为，输出处理规避告警。

34、进一步的，还包括第一观测点与第二观测点的具体设置过程：

35、第一观测点与第二观测点的时间同步采用双模时间戳校正机制，在观测点之间周期性地发送带时间戳的参考探测报文，测量两个观测点之间的实际报文传输延迟及时钟漂移；

36、在报文配对时，根据参考探测报文测量的延迟分布动态调整匹配超时窗口，并根据时钟漂移曲线对输入报文和输出报文的时间戳进行漂移补偿；

37、当两个观测点的时间同步临时中断时，自动切换至基于报文序列号或内容哈希的漂移自校正模式，确保报文配对的连续性。

38、进一步的，采集目标设备的实时资源消耗指标，统计设备宣称的处理任务量，当实际资源消耗低于处理任务量所对应的理论资源消耗时，判定设备存在行为失范，具体过程如下：

39、获取真实输入输出对，统计目标设备在采集周期内宣称处理的任务量，根据设备类型和处理任务特征，构建从处理任务量到理论资源消耗的映射函数，理论资源消耗与处理任务量呈线性关系；

40、根据统计的处理任务量，通过映射函数计算理论资源消耗，并根据采集的实际资源消耗指标中提取实际资源消耗，计算资源消耗偏差率；

41、计算资源消耗与任务量的相关系数ρ，用于判断两者之间的线性关系显著性，当ρ<0.7时，表明资源消耗与任务量相关性弱，设备行为模式可能发生变化，触发模型重新标定；

42、当资源消耗偏差率小于标准阈值时、资源消耗偏差率持续时间大于预设时间标准值，则判定设备存在行为失范。

43、综上所述，由于采用了上述技术方案，本发明的有益效果是：

44、该一种网络业务运行状态监控方法，通过构建与目标设备行为一致的数字孪生模型，能够根据设备配置状态实时更新，使监控基准与设备实际应然行为保持一致，将设备宣称的处理逻辑转化为比对的孪生推演基准，通过计算孪生推演结果与实际输出结果之间的动作偏差与内容偏离度，将抽象的行为正确性转化为可精准量化的不一致告警与置信度评分，当检测到动作错配与内容篡改时，利用孪生模型的决策边界回溯路径实现了异常行为的精准溯源，对检测条件进行动态调整与强制对齐，不仅大幅降低了依赖设备自报数据带来的不可信风险，提高了网络设备运行状态监控的独立性与可信度，通过构建处理任务量与理论资源消耗之间的映射模型，将设备宣称的处理能力转化为可量化比对的理论资源消耗基准，有效解决了设备虚报任务量或简化处理逻辑难以察觉的隐蔽偷懒问题，通过计算实际资源消耗与理论资源消耗的偏差率，将抽象的行为失范转化为可精准量化的资源偏离度指标，当检测到资源消耗显著低于理论预期时，利用滑动窗口平均与相关系数分析实现了偷懒行为的持续追踪与置信度评估。