DE69422436T2

DE69422436T2 - Netzanalysenverfahren

Info

Publication number: DE69422436T2
Application number: DE69422436T
Authority: DE
Inventors: Colin Low; Neil Mckee; Peter Phaal
Original assignee: Hewlett Packard Co
Current assignee: Agilent Technologies Inc
Priority date: 1993-02-22
Filing date: 1994-02-16
Publication date: 2000-10-12
Anticipated expiration: 2014-02-17
Also published as: EP0613270A2; US5539659A; JP3510658B2; EP0613270B1; EP0613270A3; DE69422436D1; GB9303527D0; JPH077518A

Description

Die vorliegende Erfindung bezieht sich auf ein Netzanalyseverfahren zur auf ein Netz, das eine Mehrzahl von Knoten aufweist, die als eine Quelle und/oder als eine Senke für Verkehr wirksam sind, bezogenen Verwendung.
Ein Netzanalyseverfahren ist in dem IBM TECHNICAL DISCLOSURE BULLETIN, Vol. 23, No. 9, Februar 1981, NEW YORK, US, Seiten 4282-4288, ANONYM: 'Communications Statistical Network Analysis Program', offenbart, das Netzprobleme identifiziert, indem die derzeitige Leistung mit einer Leistung zu einem ausgewählten Zeitpunkt in der Vergangenheit verglichen wird, bei dem die Leistung als gut bekannt war, und die in einer Datenbank von statistischen Daten des Kommunikationsnetzes gespeichert ist.
Sowie Netzüberwachungssysteme entwickelter und umfassender werden, besitzt der Netzbetreiber ein zunehmendes Problem des Identifizierens von wesentlichen Daten unter den Netzleistungsdatenvolumina, die durch ein derartiges Überwachungssystem geliefert werden.
Es ist eine Aufgabe der vorliegenden Erfindung, die Identifikation von wesentlichen Datengegenständen, die für die Verwaltung eines Netzes relevant sind, zu erleichtern.
Gemäß einem Aspekt der vorliegenden Erfindung ist ein Netzanalyseverfahren zur auf ein Netz, das eine Mehrzahl von Entitäten mit jeweils einem zugeordneten Verkehr aufweist, bezogenen Verwendung vorgesehen, wobei das Verfahren eine Analyseaufgabe betrifft, die die Schritte des Überwachens des Netzes, um Daten bezüglich des Entitätsverkehrs für eine Zeitdauer eines Netzbetriebs zu sammeln, des Analysierens dieser Daten bezüglich einer Entitätsbetriebscharakteristik, mit der die Entitäten in eine Rangfolge geordnet werden können, des Bildens eines Endsatzes aus mindestens einer Entität an einem Ende der Rangfolge, und des Speicherns der Identität der oder jeder Entität, die diesen Endsatz bilden, aufweist; wobei das Verfahren folgende Schritte aufweist:
(1) Ausführen der Analyseaufgabe für eine Folge von N Zeitdauern, wobei N eine Ganzzahl ist, die größer als 1 ist, um dadurch eine erweiterte historische Aufzeichnung von Entitäten in den Endsätzen für die N Zeitdauern zu bilden; und
(2) Ausführen der Analyseaufgabe für eine weitere Zeitdauer und dadurch Vergleichen der neu erzeugten Entitäten in dem Endsatz mit den Entitäten in der erweiterten historischen Aufzeichnung, um dadurch jede Entität, hier eine sich unüblich verhaltende Entität, zu identifizieren, die sich in dem neu erzeugten Endsatz jedoch nicht ebenfalls in der Aufzeichnung befindet.
Die betrachteten Netzentitäten werden üblicherweise die Netzknoten sein; die Entitäten können jedoch ferner Knotenpaarungen, logische Segmente, Segmentpaarungen, äußere Ziele oder jede beliebige andere geeignete Klassifikation von Betriebsmitteln sein, die dem Netz zugeordnet sind.
Die Analyseaufgabe kann beispielsweise das Überwachen des Netzverkehrs für eine Stunde betreffen, wobei dies in dem Schritt (1) täglich für 14 Tage (N = 14) wiederholt wird, um die erweiterte historische Aufzeichnung abzuleiten. Diese Aufzeichnung schließt effektiv das normale Verhalten des Netzes ein. Wenn beim Wiederlaufenlassen der Analyseaufgabe (Schritt 2) eine neue Entität in dem Rangfolgeendsatz erscheint, dann kann sinnvoll angenommen werden, daß ein bestimmtes unübliches Netzverhalten stattgefunden hat; die Identität der sich unüblich verhaltenden Entität kann dann in die Aufmerksamkeit des Netzbetreibers gebracht werden.
Vorteilhafterweise wird das Verfahren der Erfindung auf einer durchgehenden Basis ausgeführt, wobei der Schritt (2) beispielsweise täglich ausgeführt wird. Natürlich sind Netze allgemein bezüglich der Natur dynamisch, wobei die normalen Verhaltensstrukturen derselben sich mit der Zeit ändern; es ist daher vorzuziehen, daß die erweiterte historische Aufzeichnung auf einer durchgehenden Basis aktualisiert wird. Folglich umfaßt gemäß einer bevorzugten Implementation der Erfindung der Schritt (2) des Netzanalyseverfahrens ferner nach der Identifikation einer beliebigen der sich unüblich verhaltenden Entitäten das Aktualisieren der erweiterten historischen Aufzeichnung durch Ersetzen der Entitäten, die aufgrund ihrer Anwesenheit in dem Endsatz anwesend sind, der für die älteste der N Zeitdauern relevant ist, die durch die Aufzeichnung abgedeckt werden, wobei die Entitäten des Endsatzes in dem Schritt (2) neu erzeugt werden; der Schritt (2) wird für folgende der Zeitdauern wiederholt, wodurch die sich unüblich verhaltenden Entitäten auf einer durchgehenden Basis identifiziert werden sollen.
Vorteilhafterweise verwendet das Netzanalyseverfahren mehr als ein Maß, um nach sich unüblich verhaltenden Entitäten Ausschau zu halten. Bei diesem Fall ist die Analyseaufgabe wirksam, die Verkehrsdaten bezüglich einer Mehrzahl von unterschiedlichen der Betriebscharakteristika zu analysieren, und eine jeweilige erweiterte historische Aufzeichnung wird hinsichtlich jeder der Betriebscharakteristika gehalten, wodurch es erlaubt werden soll, daß eine sich unüblich verhaltende Entität bezüglich einer beliebigen der Betriebscharakteristika identifiziert wird.
Dort wo die betrachteten Entitäten Netzknoten sind, ist der Endsatz, der durch die Analyseaufgabe gebildet wird, vorteilhafterweise einer der folgenden:
- obere Quellknoten für den Verkehr;
- obere Zielknoten für den Verkehr;
- obere Serverknoten;
- obere Clientknoten;
- obere Quellknoten für Sendungen;
- obere Quellknoten für Multicasts (Multiformen).
Ein Netzanalyseverfahren gemäß der Erfindung wird nun mittels eines nicht begrenzenden Beispiels unter Bezugnahme auf die beigefügten schematischen Zeichnungen beschrieben, in denen:
Fig. 1 ein Gesamtdiagramm eines Netzes ist, mit dem eine Verarbeitungsstation und eine Anzahl von Überwachungsvorrichtungen verbunden sind, um ein Netzüberwachungssystem zum Sammeln von Verkehrsdaten zur Analyse gemäß dem Verfahren der Erfindung zu bilden;
Fig. 2 ein Diagramm ist, das die allgemeine Form eines Datenpakets darstellt, das über das Netz von Fig. 1 übertragen wird;
Fig. 3 ein Diagramm ist, das bestimmte der Datenstrukturen darstellt, die durch die Verarbeitungsstation von Fig. 1 beim Verarbeiten der Daten von den abtastenden Überwachungsvorrichtungen verwendet werden;
Fig. 4 eine Beispielverkehrsmatrix für das Netz von Fig. 1 zeigt;
Fig. 5 ein Diagramm ist, das eine Sammlung von "oberen fünf Quell-"Datenstrukturen darstellt, die eine erweiterte historische Aufzeichnung bilden; und
Fig. 6 ein Flußdiagramm einer Routine zum Implementieren der Netzanalyseaufgabe der Erfindung ist.
Fig. 1 stellt ein typisches Lokalbereichsnetz dar, bei dem eine Mehrzahl von Stationen 11, 12 und 13 über Kabelsegmente 10A, 10B und 10C verbunden sind. Das Netz ist in drei logische Segmente (Ebene-2-Teilnetze) durch Brücken (Überspannvorrichtungen) 14 geteilt, die jeweilige der Kabelsegmente 10B, 10C mit dem Kabelsegment 10A verbinden. Wie es in der Technik gut bekannt ist, dienen die Brücken dazu, um Verkehr zu filtern, der zwischen den Netzsegmenten läuft, derart, daß Nachrichten, die von einem speziellen Segment ausgehen und für eine Station in demselben Segment (lokaler Verkehr) bestimmt sind, nicht durch die Brücke oder die Brücken 14 zu den anderen Segmenten geleitet werden, wohingegen Nachrichten, die von einem Segment ausgehen und für ein anderes (nicht lokaler Verkehr) bestimmt sind, über die Brücke gelassen werden. Die Stationen 11, 12, 13 bilden zusammen mit den Brücken 14 die Knoten des Netzes.
Bei dem dargestellten Lokalbereichsnetz werden Nachrichten zwischen den Stationen 11, 12 und 13 in der Form von Paketen (ebenfalls Rahmen genannt) übertragen, die über das Netz gesendet werden. Typischerweise wird ein Paket die Form aufweisen, die in Fig. 2 dargestellt ist, wobei ein Paketanfangsblock 15 eine Quelladresse (die Adresse der Station, die das Paket sendet) und eine Zieladresse (die Adresse der Station, die das Paket empfangen soll) enthält, und ein Informationsfeld 16 die Daten enthält, die zu der Empfangsstation geleitet werden sollen und normalerweise Fehlerprüfcodes umfassen. Abhängig von dem speziellen Paketformat, das verwendet wird, können ferner andere Felder anwesend sein; beispielsweise kann folglich ein CRC- (Cyclic Redundancy Check = zyklische Blocksicherung) Feld, das sowohl den Paketanfangsblock als auch das Informationsfeld abdeckt, anwesend sein.
Das Netz von Fig. 1 kann beispielsweise ein Ethernet-Netz sein, das Fachleuten gut bekannt ist.
Das Netz von Fig. 1 ist angeordnet, um durch ein Netzüber wachungssystem überwacht zu werden, das eine Mehrzahl von Überwachungsvorrichtungen (Stationen 12) und eine Zentralverarbeitungsstation 13 aufweist. Jede der Überwachungsvorrichtungen ist einem jeweiligen der Teilnetze des Netzes zugeordnet. Jede Überwachungsvorrichtung ist wirksam, um die Pakete in dem zugeordneten Teilnetz desselben zufällig abzutasten und Daten in den abgetasteten Paketen zurück zu der Verarbeitungsstation 13 in gesammelten Datenpaketen zu übertragen. Diese Daten umfassen mindestens die Quell- und Ziel-Knotenadressen der abgetasteten Pakete. Ein geeignetes Abtastüberwachungssystem ist in unserer europäischen Patentbeschreibung EP-A-0480555 beschrieben. Wie es im folgenden offensichtlich wird, ist die Natur des Überwachungssystems (und insbesondere, ob dasselbe ein Abtastsystem ist, oder ob dasselbe kein Abtastsystem ist) nicht für die vorliegende Erfindung wichtig, vorausgesetzt, daß das System adäquate Daten in dem Verkehr quer über das Netz sammeln kann.
Beim Empfangen von gesammelten Datenpaketen, die durch die Überwachungsvorrichtungen 12 über das Netz ausgesendet werden, speichert die Verarbeitungsstation 13 diese Pakete und führt ein anschließendes Verarbeiten und Analysieren durch.
Die Verarbeitungsstation 13 besteht beispielsweise aus einer Standardworkstation, die mit dem Netz durch eine geeignete Netzschnittstelle (nicht gezeigt) schnittstellenmäßig verbunden ist. Eine derartige Workstation (Arbeitsstation) wird auf eine standardmäßige Art und Weise mit einem RAM-Speicher für das Speichern von Arbeitsdaten und Programmsegmenten, einem ROM-Speicher für das dauerhafte Speichern von Programmen, einem Prozessor zum Verarbeiten von Daten, die in dem RAM-Speicher gemäß den Programmen gehalten werden, und verschiedene Eingangs/Ausgangs-Vorrichtungen versehen; keines dieser Elemente ist hierin dargestellt oder beschrieben, da dieselben alle standardmäßig sind und Fachleuten gut bekannt sind.
Die Verarbeitungsstation 13 hält eine Liste von Netzsegmen ten und Knoten und ist auf eine bekannte Art und Weise wirksam, um eine Verkehrsmatrix für das Netz zu erzeugen. Fig. 3 stellt die Hauptdatenstrukturen dar, die für diesen Zweck durch die Verarbeitungsstation 13 gehalten werden, insbesondere die:

Teil-Netzliste 51

- Dies ist eine Liste von allen bekannten Teilnetzen (logischen Segmenten) des Netzes, wobei jedes Teilnetz einen jeweiligen Eintrag aufweist, der ein Feld aufweist, das die Teilnetzidentität SN-ID, einen ersten Zeiger (TM-ZEIGER) und einen zweiten Zeiger N-ZEIGER speichert;

Knotenstationsliste

- Diese Liste ist eine Liste von allen bekannten Knoten des Netzes, wobei jeder Knoten einen jeweiligen Eintrag aufweist, der ein Feld aufweist, das die Knotenidentität N-ID, und einen Zeiger NÄCHSTER-N-ZEIGER speichert. Der erste Knoten, der einem beliebigen speziellen Teilnetz zugeordnet ist, ist diesem Teilnetz zugeordnet, indem der N-ZEIGER des entsprechenden Teilnetzeintrages in der Teilnetzliste 51 eingestellt wird, um zu dem geeigneten Knoteneintrag in der Knotenliste 52 zu zeigen. Die Zuordnung von weiteren Knoten zu dem gleichen Teilnetz wird unter Verwendung des NÄCHSTER-N-ZEIGER des letzten vorhergehenden Knoten, der dem Teilnetz zugeordnet ist, erreicht, um auf den Eintrag des nächsten Knotens, der dem Teilnetz zugeordnet werden soll, zu zeigen, wodurch eine verbundene Liste von Knoten aufgebaut wird.

Netzverkehrsmatrix 53

- Dies ist ein Array, das gebildet ist, um die Verkehrsmatrixdaten für das Netz zu halten. Fig. 4 stellt eine typische Verkehrsmatrix dar, die für jedes Quellknoten/Zielknoten-Paar die Anzahl der Pakete angibt, die durch das Netz in einem gegebenen Zeitintervall (die unterschiedlichen Knoten 11 sind hier mit 11A, 11B, 11C .... 11N bezeichnet) getragen werden. Teilverkehrsmatrizen können ebenfalls für je des Teilnetz gebildet werden, und bei diesem Fall können geeignete Zeiger TM-ZEIGER in der Teilnetzliste 51 gehalten werden.
Die Verkehrsdaten, die durch die Verarbeitungsstation 13 gesammelt und verarbeitet werden, können verwendet werden, um die verschiedenen Betriebsmittel oder Betriebsmittelgruppierungen, die dem Netz zugeordnet sind, rangmäßig zu ordnen. Beispielsweise können folglich die Knoten des Netzes durch die Verkehrsmenge, für die sie die Quelle sind, oder die Verkehrsmenge, die dieselben empfangen, rangmäßig geordnet werden. Auf eine ähnliche Art und Weise können die logischen Segmente des Netzes hinsichtlich der Informationsmenge, für die dieselben eine Quelle sind oder die dieselben empfangen, rangmäßig geordnet werden. Wiederum können Knotenpaare oder Segmentpaare gemäß der Verkehrsmenge, für die dieselben eine Quelle sind oder dieselben empfangen, rangmäßig geordnet werden. Bei dem vorliegenden Beispiel wird das rangmäßige Ordnen der Knoten durch die Verkehrsmenge, für die dieselben eine Quelle sind, betrachtet, obwohl andere Rangfolgen gleichermaßen gut verwendet werden könnten.
Tatsächlich ist man lediglich allgemein an den Knoten interessiert, die an einem oder einem anderen Ende einer derartigen Rangfolge erscheinen, d. h. beispielsweise entweder die obersten fünf oder die letzten fünf Knoten in einer Rangfolge von Knoten durch den Verkehr, für den dieselben eine Quelle sind. Es ist offensichtlich, daß es bei gegebener Netzverkehrsmatrix 53 relativ einfach ist durch die Matrix zu gehen, um beispielsweise die oberen fünf Quellen zu identifizieren, und die Identität derartiger Knoten in einer geeigneten Endsatzdatenstruktur 55, wie in Fig. 5 dargestellt, aufzuzeichnen. Das Netzanalyseverfahren der vorliegenden Erfindung verwendet Rangfolgeendsatzinformationen, um erweiterte historische Aufzeichnungen zu bilden, die dazu dienen, ein normales Netzverhalten zu liefern, demgegenüber ein aktuelles Verhalten beurteilt werden kann. Insbesondere und unter Bezugnahme auf Fig. 6 werden bei einem bevorzugten Ausführungsbeispiel der Erfindung Verkehrsdaten täglich bezüglich der Leistung des Netzes gesammelt, und dieselben werden verwendet, um eine Netzverkehrsmatrix (Schritt 60) zu erzeugen. Danach wird die Verkehrsmatrix untersucht, um die obersten fünf Quellknoten (Schritt 61) zu identifizieren, und die Identität dieser Knoten wird in eine Endsatzdatenstruktur 55 (Schritt 62) eingegeben.
Eine Aufzeichnung von N vorher erzeugten Endsatzdatenstrukturen 55 wird durch die Verarbeitungsstation 13 gehalten, wobei diese N Endsätze eine historische Aufzeichnung 56 für die Netzbetriebscharakteristik bilden, die dem Rangfolgeschritt 61 unterworfen ist. Bei einem Schritt 63 der Routine werden die Identitäten der Knoten in der zuletzt erzeugten Endsatzdatenstruktur 55 mit den Identitäten der Knoten verglichen, die in den Datenstrukturen 55 gehalten werden, die die erweiterte historische Aufzeichnung 56 bilden. Wenn die neu erzeugte Endsatzdatenstruktur 55 einen oder mehrere Knoten enthält, die sich nicht in der historischen Aufzeichnung befinden, dann wird die Identität dieser Knoten zur Betrachtung durch den Netzbetreiber ausgegeben (Schritt 64), wobei derartige Knoten als "sich unüblich verhaltende" Knoten klassifiziert werden, da dieselben in letzter Zeit in dem betrachteten Endsatz nicht erschienen sind.
Ein Schritt 65 der Routine der Fig. 6 betrifft das Aktualisieren der erweiterten historischen Aufzeichnung durch Entfernen der ältesten Endsatzdatenstruktur 55 (Teilschritt 67) und Ersetzen derselben durch eine neu erzeugte Ersatzdatenstruktur (Teilschritt 68); auf diese Art und Weise paßt sich die erweiterte historische Aufzeichnung an das sich ändernde Verhalten des Netzes an.
Natürlich sollte, bis N Endsatzdatenstrukturen 55 in der erweiterten historischen Aufzeichnung plaziert wurden, der älteste Endsatz nicht gelöscht werden, und dies wird durch den Test erledigt, der in dem Teilschritt 66 ausgeführt wird.
Es wird offensichtlich sein, daß durch tägliches Laufenlassen der Routine in Fig. 6 dem Betreiber jegliche sich unüblich verhaltende Knoten mitgeteilt werden, während zum gleichen Zeitpunkt die erweiterte historische Aufzeichnung durchgehend aktualisiert wird. Die Routine von Fig. 6 ist vorzugsweise angeordnet, um automatisch auf einer täglichen Basis ausgeführt zu werden. Der Wert von N ist beispielsweise 14.
Es ist offensichtlich, daß das Verfahren der Erfindung auf mehrere unterschiedliche Rangfolgen angewendet werden kann, die aus den gleichen Verkehrsdaten (beispielsweise zu oberen Quellen und zu oberen Zielen) abgeleitet werden. Außerdem müssen diese Rangfolgen nicht auf den gleichen Typ eines Netzbetriebsmittels oder einer Betriebsmittelgruppierung angewendet werden. Folglich können die Rangfolgen bezüglich der oberen Quellknoten und der oberen Segmentpaarungen (hinsichtlich des Verkehrsvolumens) angewendet werden. Außerdem kann ferner eine Rangfolge auf dem oberen Ende der äußeren Ziele hergestellt werden, da jede beliebige Variation in den oberen Zielen unübliche äußere Kommunikationen anzeigen kann, die eine mögliche Sicherheitslücke vorschlagen.
Im Vorhergehenden wurde die Rangfolge einfach mit Verkehrsmessungen durchgeführt, die auf der Basis der Anzahl der übertragenen Pakete hergestellt werden; für bestimmte Rangfolgen kann ein sogar noch einfacheres Maß darin bestehen, für den interessierenden Knoten (oder andere Netzbetriebsmittel oder Gruppierungen von den Betriebsmitteln) die Anzahl der Mitglieder oder Ebenbürtigen desselben zu zählen, die Verkehr von demselben empfangen oder Verkehr zu demselben senden. Es ist jedoch auch für Fachleute offensichtlich, daß entwickeltere Verkehrsmessungen ferner verwendet werden können (beispielsweise die Anzahl der übertragenen Bytes), vorausgesetzt, daß das Überwachungssystem geeignet angepaßt ist, um die erforderlichen Daten zu sammeln. Außerdem kann durch Untersuchungen der Inhalte des Informationsfeldes eines Paketes entwickeltere Information erhalten werden. Es kann beispielsweise folglich möglich sein, aus derartigen Informationen abzuleiten, ob der Quellknoten als ein Server oder als ein Client wirkt, und diese Klassifikation kann dann als ein Rangfolgekriterium (d. h. beispielsweise obere Server) verwendet werden. Ein Knoten kann auf diese Art und Weise als ein Server klassifiziert werden, wenn derselbe beispielsweise gemäß dem TCP/IP-Protokollsatz betrieben wird, wenn das Quelltor desselben ein "gut bekanntes Tor" ist. Andere mögliche Rangfolgekriterien umfassen obere Knoten als Quelle für Sendungen und als Quelle für Multicasts.
Wie bereits gezeigt, kann das beschriebene Netzanalyseverfahren auf Netzentitäten, die Gruppierungen von Betriebsmitteln aufweisen, sowie einzelne Betriebsmittel, wie z. B. Knoten, angewendet werden. Derartige Gruppierungen können Teilnetze, oder Paarungen von Knoten oder Teilnetzen umfassen. Mit "Teilnetz" sind nicht nur die Unterteilungen eines Netzes gemeint, die durch Brücken auf der Ebene 2 des Sieben-Schicht-OSI-Bezugsmodells durchgeführt werden, sondern ferner jede beliebige andere Unterteilung eines Netzes durch Überspannvorrichtungen (beispielsweise eine Unterteilung auf der Ebene 3, die durch Leitvorrichtungen (Router)bewirkt wird).
Es ist offensichtlich, daß der Wert von N, die Sammelzeitdauer und die Überwachungswiederholrate ausgehend von dem, was beschrieben ist, variiert werden können.

Claims

1. Ein Netzanalyseverfahren zur Verwendung in einem Netz, das eine Mehrzahl von Entitäten aufweist, von denen jede einen zugeordneten Verkehr aufweist, wobei das Verfahren eine Analyseaufgabe betrifft, die die Schritte des Überwachens des Netzes, um Daten bezüglich des Entitätsverkehrs für eine Zeitdauer des Netzbetriebs zu sammeln, des Analysierens dieser Daten hinsichtlich einer Entitätsbetriebscharakteristik, mit der die Entitäten in eine Rangfolge geordnet werden können, des Bildens eines Endsatzes von mindestens einer Entität an einem Ende der Rangfolge und des Speicherns der Identität der oder jeder Entität, die den Endsatz bildet, aufweist; wobei das Verfahren folgende Schritte aufweist:

(1) Ausführen der Analyseaufgabe für eine Folge von N Zeitdauern, wobei N eine Ganzzahl ist, die größer als Eins ist, um dadurch eine erweiterte historische Aufzeichnung von Entitäten in den Endsätzen für die N Zeitdauern zu bilden; und

(2) Ausführen der Analyseaufgabe für eine weitere Zeitdauer und dadurch Vergleichen der Entitäten in dem neu erzeugten Endsatz mit den Entitäten in der erweiterten historischen Aufzeichnung, um dadurch eine beliebige Entität, hier eine sich unüblich verhaltende Entität, zu identifizieren, die sich in dem neu erzeugten Endsatz jedoch nicht auch in der Aufzeichnung befindet.

2. Ein Verfahren gemäß Anspruch 1, bei dem der Schritt (2) nach der Identifikation einer beliebigen der sich unüblich verhaltenden Entitäten ferner das Aktualisieren der erweiterten historischen Aufzeichnung durch Ersetzen der Entitäten, die sich in demselben aufgrund ihrer Anwesenheit in dem Endsatz befinden, der für die älteste der N Zeitdauern relevant ist, die durch die Aufzeichnung abgedeckt werden, durch die Entitäten des Endsatzes, die in dem Schritt (2) neu erzeugt wurden; wobei der Schritt (2) für folgende Zeitdauern wiederholt wird, wodurch die sich unüblich verhaltenden Entitäten auf einer durchgehenden Basis identifiziert werden.

3. Ein Verfahren gemäß Anspruch 1 oder Anspruch 2, bei dem die Analyseaufgabe die Verkehrsdaten hinsichtlich einer Mehrzahl von unterschiedlichen Betriebscharakteristika analysiert; wobei der Schritt (1) wirksam ist, um eine jeweilige erweiterte historische Aufzeichnung hinsichtlich jeder Betriebscharakteristik zu halten, und wobei der Schritt (2) eine Entität als eine sich unüblich verhaltende Entität identifiziert, die als solche in Bezug auf mindestens eine Betriebscharakteristik identifiziert ist.

4. Ein Verfahren gemäß Anspruch 1 oder Anspruch 2, bei dem jede der Entitäten ein Knoten des Netzes ist.

5. Ein Verfahren gemäß Anspruch 4, bei dem der Endsatz, der durch die Analyseaufgabe gebildet wird, einer der folgenden ist:

- obere Quellknoten für Verkehr;

- obere Zielknoten für Verkehr;

- obere Serverknoten;

- obere Clientknoten;

- obere Quellknoten für Sendungen;

- obere Quellknoten für Multicasts.

6. Ein Verfahren gemäß Anspruch 1 oder Anspruch 2, bei dem jede Entität eine Paarung von Knoten des Netzes ist.

7. Ein Verfahren gemäß Anspruch 1 oder Anspruch 2, bei dem jede Entität ein Teilnetz des Netzes ist.

8. Ein Verfahren gemäß Anspruch 1 oder Anspruch 2, bei dem jede Entität eine Paarung von Teilnetzen des Netzes ist.

9. Ein Verfahren gemäß Anspruch 7 oder Anspruch 8, bei dem jedes der Teilnetze ein logisches Segment des Netzes ist.

10. Ein Verfahren gemäß Anspruch 1 oder Anspruch 2, bei dem jede Entität ein Ziel ist, das außerhalb des Netzes liegt.

11. Ein Verfahren gemäß einem beliebigen der Ansprüche 6 bis 10, bei dem der Endsatz, der durch die Analyseaufgabe gebildet wird, die oberen Kommunikationsentitäten darstellt.