[发明专利]确定异常网络行为的可疑根本原因

权利要求书

1.一种用于确定异常网络行为的可疑根本原因的计算机程序产品，包括：

非暂时性计算机可读存储介质，所述非暂时性计算机可读存储介质包括与其一起体现的计算机可读程序代码，所述计算机可读程序代码包括程序指令，所述程序指令在被执行时使处理器：

　　从多个网络组件中识别网络中表现出异常行为的异常组件；

　　基于评分策略向所述网络组件分配可能性分数，所述评分策略考虑影响所述异常组件的最近改变事件；以及

　　基于所述可能性分数来识别被怀疑是根本原因的所述网络组件的子集。

2.根据权利要求1所述的计算机程序产品，还包括用于进行下述操作的计算机可读程序代码：在被执行时使所述处理器对所述子集内的所述网络组件排名，使得具有越高可能性分数的所述网络组件排名越高。

3.根据权利要求1所述的计算机程序产品，还包括用于进行下述操作的计算机可读程序代码：在被执行时使所述处理器发送识别所述子集的通知。

4.根据权利要求1所述的计算机程序产品，还包括用于进行下述操作的计算机可读程序代码：在被执行时使所述处理器随时间收集与所述网络中的所述最近改变事件有关的数据。

5.根据权利要求4所述的计算机程序产品，还包括用于进行下述操作的计算机可读程序代码：在被执行时使所述处理器基于所述所收集的与所述网络组件有关的数据来确定基线行为。

6.根据权利要求1所述的计算机程序产品，其中，所述评分策略包括频率因素，所述频率因素考虑所选择的改变事件在所述网络内多久发生一次。

7.根据权利要求1所述的计算机程序产品，其中，所述评分策略包括持续时间因素，所述持续时间因素考虑所选择的改变事件的发生与所述异常行为的开始之间的持续时间。

8.根据权利要求1所述的计算机程序产品，其中，所述评分策略包括改变类型因素，所述改变类型因素考虑改变事件的类型。

9.根据权利要求1所述的计算机程序产品，其中，所述评分策略包括拓扑因素，所述拓扑因素考虑所述网络组件中的哪些在逻辑上连接到所述异常组件。

10.一种用于确定异常网络行为的可疑根本原因的系统，包括：

监视引擎，从多个网络组件中识别网络中表现出异常行为的异常组件；

评分引擎，基于评分策略向所述网络组件中的每一个分配可能性分数，所述评分策略考虑网络改变事件；以及

排名引擎，基于所述可能性分数对被怀疑是根本原因的所述网络组件的子集排名，使得具有越高可能性分数的所述网络组件排名越高。

11.根据权利要求10所述的系统，还包括：通知引擎，发送识别所述子集的通知。

12.根据权利要求10所述的系统，其中，所述监视引擎随时间收集与所述网络中的所述最近改变事件有关的数据。

13.根据权利要求12所述的系统，还包括：基线引擎，基于所述所收集的与所述网络组件有关的数据来确定基线行为。

14.一种用于确定异常网络行为的可疑根本原因的方法，包括：

从多个网络组件中识别网络中表现出异常行为的异常组件；

基于评分策略向所述网络组件分配可能性分数，所述评分策略考虑网络改变事件；

基于所述可能性分数识别被怀疑是根本原因的所述网络组件的子集；以及

基于所述可能性分数对所述子集中的所述网络组件排名。

15.根据权利要求14所述的方法，其中，从所述多个网络组件中识别所述网络中表现出异常行为的异常组件包括：随时间收集与所述网络中的所述最近改变事件有关的数据；以及基于所述所收集的与所述网络组件有关的数据来确定基线行为。