CN113079068B 用于監測計算機網絡連接的生命周期的方法、系統以及計算機存儲設備 （微軟技術許可有限責任公司）

201680046601.32016.08.04US2011185421A1,2011.07.28用于監測計算機網絡連接的生命周期的方本公開涉及用于監測計算機網絡連接的生了經由監測網絡中一個或多個網絡客戶端設備與時間服務器之間流動的時間同步流量來監測監測網絡客戶端設備到網絡的連接的生命周期確定哪些網絡客戶端設備已與特定的互聯網協2確定由所述計算機網絡的時間服務器接收的給定時間同步聯網協議消息是否指示到原始時間戳，所述原始時間戳指示所述網絡客戶端設備處接收時間戳，所述接收時間戳指示所述給定時間同步聯網協議基于所述層級、所述原始時間戳以及所述接收時間戳具有零值基于所述層級、所述原始時間戳以及所述接收時間戳中的至少一所述給定的時間同步聯網協議消息不指示到所述計算機網絡的所述網絡客戶端設備的所從給定的時間同步聯網協議請求消息中提取與所述網絡客戶端設備將所述網絡客戶端設備的所述真實身份與互聯網協議(IP)地基于所述時間同步聯網協議消息來確定所述網絡客戶端何時從所述計算機網絡斷開基于與所述網絡客戶端設備相關聯的連接和斷開連接數據，生成標識與2.根據權利要求1所述的方法，其中確定所述網絡客戶端設備何時從所述計算機網絡監測根據定義的輪詢間隔從所述網絡客戶端設備被發送的后續時間同步聯網協議請確定在所述定義的輪詢間隔內后續時間同步聯網協議請求消息是否未從所述網絡客3.根據權利要求2所述的方法，還包括確定所述網絡客戶端設備何時重新連接到所述從所述網絡客戶端設備接收用于所述時間服務器的時間同步聯網協確定用于所述時間服務器的所述時間同步聯網協議請求消息與所述網絡客戶端設備對用于所述時間服務器的所述時間同步聯網協議請求消息進行解析34.根據權利要求1所述的方法，還包括基于由所述網絡客戶端設備發送到所述時間服務器的用于所述時間服務器的最后后續時間同步聯網協議請求消息的時間以及輪詢間隔5.根據權利要求1所述的方法，其中確定連接到所述計算機網絡的所述網絡客戶端設對所述時間同步聯網協議請求消息進行解析并從所述時間同步聯網協議請求消息中所述網絡客戶端設備的所述真實身份是網絡客戶端設備確定是否存在與所述網絡客戶端設備相關聯8.根據權利要求7所述的方法，其中確定是否存在與所述網絡客戶端設備相關聯的異標識第二網絡客戶端設備是否使用安全令牌而被連接到所述計算機網基于從所述網絡客戶端設備到多個地理上遠離的網絡中的指示兩個的連接時間低于標識所述網絡客戶端設備與所述計算機網絡的連接或斷開連接的異常在生成所述報告之前，接收與所述網絡客戶端設備、所述IP地址或4存儲器，被耦合到所述一個或多個處理器，用于存儲由所述一確定由所述計算機網絡的時間服務器接收的給定時間同步聯網協議消息是否指示到原始時間戳，所述原始時間戳指示所述網絡客戶端設備處接收時間戳，所述接收時間戳指示所述給定時間同步聯網協議及確定所述給定的時間同步聯網協議消息不指示到所述計算機網絡的所述網絡客戶端設備基于從所述時間同步聯網協議請求消息信息提取的所述信息來確定連接到所述計算將所述網絡客戶端設備的所述真實身份與互聯網協議(IP)地連接監測器程序，被配置為基于所述時間同步聯網協議消息報告生成器程序，被配置為基于與所述網絡客戶端設備相關聯的連接和斷開連接數12.根據權利要求11所述的系統，其中在確定所述網絡客戶端設備何時從所述計算機監測根據定義的輪詢間隔從所述網絡客戶端設備被發送的后續時間同步聯網協議請確定在所述定義的輪詢間隔內后續時間同步聯網協議請求消息是否未從所述網絡客513.根據權利要求11所述的系統，其中在確定連接到所述計算機網絡的所述網絡客戶標識所述網絡客戶端設備的所述唯一標識符所述網絡客戶端設備的所述真實身份是網絡客戶端設備14.根據權利要求11所述的系統，還包括異常檢測引擎，所述異常檢測引擎還被配置確定是否存在與所述連接和斷開連接數據相關聯15.根據權利要求14所述的系統，其中在確定是否存在與所述連接和斷開連接數據相第二網絡客戶端設備是否使用安全令牌而被連接到所述計算機基于從所述網絡客戶端設備到多個地理上遠離的網絡中的指示兩個的連接時間低于所述網絡客戶端設備與所述計算機網絡的連接或斷開連接的異常16.根據權利要求11所述的系統，其中在生成包括與所述網絡客戶端設備相關聯的連18.一種存儲計算機可用指令的計算機可讀存儲設備，所述計算機可用指令當被一個或多個計算設備使用時使得所述一個或多個計算設備執行用于監測計算機網絡上的網絡確定由所述計算機網絡的時間服務器接收的給定時間同步聯網協議消息是否指示到6原始時間戳，所述原始時間戳指示所述網絡客戶端設備處接收時間戳，所述接收時間戳指示所述給定時間同步聯網協議基于所述層級、所述原始時間戳以及所述接收時間戳具有零值基于所述層級、所述原始時間戳以及所述接收時間戳中的至少一所述給定的時間同步聯網協議消息不指示到所述計算機網絡的所述網絡客戶端設備的所從給定的時間同步聯網協議請求消息中提取與所述網絡客戶端設備將所述網絡客戶端設備的所述真實身份與互聯網協議(IP)地基于所述時間同步聯網協議消息來確定所述網絡客戶端何時從所述計算機網絡斷開基于與所述網絡客戶端設備相關聯的連接和斷開連接數據，生成標識與20.根據權利要求18所述的計算機可讀存儲設備，其中確定連接到所述計算機網絡的對所述時間同步聯網協議請求消息進行解析并從所述時間同步聯網協議請求消息中相對標識符，唯一地標識在所述網絡客戶端設備被分組的所述域其中所述網絡客戶端設備的所述真實身份是網絡客7[0004]提供本發明內容是為了以簡化的形式介紹將在以下詳細描述部分中進一步描述[0005]各個方面涉及用于監測網絡客戶端設備到網絡的連接的生命周期的自動化系統包括與一個或多個網絡客戶端設備相關聯的連接和斷開連接信息的輸出。根據一個方面，8[0010]圖2是圖示用于監測到計算機網絡的連接的生命周期的安全設備的組件的簡化框[0012]圖4是示出用于監測到計算機網絡的連接的生命周期的示例方法中涉及的整體階[0017]本公開的各方面涉及監測到計算機網絡的連接的生命周期。圖1是計算機網絡連系統100被適配用于在聯網的目錄服務環境110中實現。聯網的目錄服務環境110的一個示例是ActiveDirectoryE(AD)域服務，其中提供針對網絡104中的對象的安全的、結構化[0018]在聯網的目錄服務環境110內，網絡104中的網絡客戶端設備102的時鐘在給定的括在票證中，以防止重放攻擊(即，用于獲得未經授權的訪問的先前發放的票證的欺詐表9或其他類似實現)用于在經分組交換的、可變延遲數據網絡上的計算機系統之間進行時間一些示例中，作為聯網的目錄服務環境110域的一部分的域控制器機器被自動配置為充當備106可操作來監測在一個或多個網絡客戶端設備102與時間服務器108之間流動的時間同和時間服務器108之間流動的時間同步流量的系統或設備上操作的系統、設備或者組件或操作來確定哪些網絡客戶端設備102已與特定的互聯網協議(IP)地[0021]通過監測在一個或多個網絡客戶端設備102和時間服務器108之間流動的時間同步流量并且通過監測網絡客戶端設備102到網絡104的連接的生命周期，安全設備106被啟[0022]一個或多個網絡客戶端設備102、時間服務器108以及安全設備106的組件是多個算設備，在該計算設備上是硬編碼的操作指令，或者使用該計算設備來處理用于使得組件個組件可以獨立地操作，但是可以與其他組件交互操作，或者每個組件可以集成為單個操報告生成器216。數據儲存庫214是用于存儲由與安全設備106相關聯的網絡流量監聽器[0025]網絡流量監聽器202是可操作來訪問并監測在一個或多個網絡客戶端設備102和聯網協議的一些實現包括：向時間服務器108發送具有其當前時間以及附加信息的請求的應的時間的時間服務器108；通過估計往返時間來計算時間服務器的時間的網絡客戶端設202根據需要主動請求從網絡客戶端設備102到時間服務器108MicrosoftEwindows@環境中，唯一標識符是相對標識(RID)值，其中RID值是在創建網絡客戶端設備的唯一標識符相關的共享秘密來簽署響應，使得網絡客戶端設備102可以[0027]數據提取器204是可操作來解析時間同步聯網協議消息以提取有用信息的軟件模域安全標識(SID)值)；指示時間服務器層級中的時間服務器108的層級的值；原始時間戳[0028]連接類型標識符206是可操作來確定時間同步聯網協議請求消息是否是初始請求[0029]網絡客戶端設備標識引擎208是可操作以確定網絡客戶端設備102的真實身份的SID302包括網絡客戶端設備102的域SID值304和RID值306。網絡客戶端設備標識引擎208行時間同步。連接監測器210是可操作來監測網絡客戶端設備102和時間服務器108之間流戶端設備102向時間服務器108周期性地發送時間同步聯網協議消息，時間服務器108然后[0031]連接監測器210進一步可操作來確定網絡客戶端設備102何時從網絡104斷開連間服務器108的時間同步聯網協議消息時，連接監測器210確定網絡客戶端設備102從網絡監測器210將斷開連接的時間信息存儲在數據儲存庫向時間服務器108發送時間同步聯網協議消息，其中時間同步聯網協議消息包括由時間服務器108建立的最近用于更新網絡客戶端設備102的時鐘的時間的時間戳。在一些示例中，測器210將重新連接時間信息存儲在數據儲存庫[0033]異常檢測引擎212是可操作來檢測網絡流量中的異常的軟件模塊、系統或設備的當第二網絡客戶端設備使用與第一網絡客戶端設備102上使用的安全令牌相同的安全令牌[0034]報告生成器216是可操作來生成網絡客戶端設備102的輸出或網絡流量信息的軟216可以接收關于特定網絡客戶端設備102的查詢，并且報告生成器216生成包括與網絡客接收關于特定IP地址的查詢，并且報告生成器216生成包括與IP地址相關聯的網絡客戶端并進行到操作410，其中網絡流量監聽器202監聽聯網目錄服務環境110中的網絡流量。例如，網絡流量監聽器202訪問并監測一個或多個網絡客戶端設備102和時間服務器108之間絡客戶端設備102的標識符(例如，RID值)；唯一標識網絡客戶端設備102的域的域標識符[0038]方法400繼續到操作420，其中連接類型標識符206將時間同步聯網協議請求消息服務器108建立的、指定請求從網絡客戶端設備102到達的時間的時間戳)被設置為0(Unix戶端設備102重新連接到網絡104時，由時間服務器108建立的最近用于更新網絡客戶端設接監測器210確定網絡客戶端設備102連接到網絡104的最近的時間，并將重新連接時間信[0039]方法400進行到操作425，其中網絡客戶端設備標識引擎208確定網絡客戶端設備份和相關聯的IP地址存儲在數據儲存庫21[0040]方法400進行到操作430，其中連接監測器210根據時間同步聯網協議消息中指定隔是否已通過，以及連接監測器210是否未檢測到從網絡客戶端設備102向時間服務器108連接監測器210根據基于網絡客戶端設備102發送到時間服務器108的最近的輪詢請求以及[0043]方法400可選地前進到判定操作445，其中異常檢測引擎212基于網絡客戶端設備216生成包括與IP地址相關聯的網絡客戶端設備102的真實身份列表的報告。方法400在操[0046]盡管已在與計算機上的操作系統上運行的應用程序結合執行的程序模塊的一般或經由與一個或多個計算設備相關聯的遠程顯示單元來顯示用戶界面和各個類型的信息。關于圖5-圖7所圖示和討論的設備和系統用于示例和圖示的目的，并不限制用于實踐本文面，系統存儲器504包括適合于運行軟件應用550的操作系統505和一個或多個編程模塊備509和不可移動存儲設備510來圖示這樣的附允許與其他計算設備518通信的一個或多個通信連接516。合適的通信連接516的示例包括的計算機存儲介質是計算設備500的一部分。計算機存儲介質不包括載波或其他傳播的數載波或其他傳輸機制)中的其他數據來體現通信介質，并且通信介質包括任何信息傳遞介攜式電話系統(例如，蜂窩電話)。根據一個方面，移動計算設備600包括可選的小型鍵盤用程序650可以使用信息(例如，由電子郵件應用程序使用的電子郵件或其他消息等)并將[0061]根據一個方面，視覺指示器620被用于提供視覺通知和/或音頻接口674被用于經660和其他組件可能關斷來保存電池電力，這些設備仍然在由通知機制規定的持續時間內保持開啟。LED可以被編程為無限期地保持開啟，直到用戶采取行動來指示設備的導通狀計算網絡(例如，因特網)中的服務器計算機)之間的有線連接可訪問的任意數量的存儲介括電子郵件和協作數據/信息共享系統)，這些數據/信息容易在計算設備之間傳輸以用于[0064]圖7圖示了如上所述的用于監測到計算機網絡104的連接的生命周期的系統的架息存儲728或社交網站730來存儲各種文檔。安全設備106可操作來使用如本文所述用于監全設備106的網絡服務器。服務器715通過網絡710將網絡上的安全設備106提供給客戶端[0065]