МЕТОД И СИСТЕМА ПОТОКОВОЙ ПЕРЕДАЧИ ДАННЫХ ДЛЯ ОБРАБОТКИ СЕТЕВЫХ МЕТАДАННЫХ

1. Метод обработки сетевых метаданных, генерируемых в сеть, передающую сетевой трафик с использованием одного или более сетевых протоколов, сеть, включающая в себя устройства, из которых, по крайней мере, некоторые получают сетевой трафик через входной интерфейс и передают сетевой трафик через выходной интерфейс, причем метод включает в себя следующие этапы:
получение сетевых метаданных от нескольких источников в системе обработки данных, по крайней мере, в одном формате данных;
определение типа или характера указанных сетевых метаданных;
обработка упомянутых сетевых метаданных для извлечения из них полезной информации; и
преобразование, по крайней мере, части указанных сетевых метаданных в один или более различные форматы данных, используемые в указанной системе обработки данных для других метаданных системы, в ответ, по крайней мере, частично, на результаты упомянутого определяющего этапа.
2. Метод по п.1, отличающийся тем, что указанный этап обработки выполняется во время передачи упомянутых сетевых метаданных по рассматриваемой сети между сетевым устройством, которое сгенерировало эти сетевые метаданные и устройством, которое может хранить указанные сетевые метаданные.
3. Метод по п.2, отличающийся тем, что этап обработки достигается путем применения по крайней мере одной политики, управляющей обработкой сетевых метаданных.
4. Метод по п.3, отличающийся тем, что, по крайней мере, одна указанная политика применяется для обнаружения трафика по рассматриваемой сети, указывающего на потенциальную угрозу безопасности.
5. Метод по п.4, отличающийся тем, что, по крайней мере, одна политика включает в себя следующие этапы:
сравнение источника входящего сетевого трафика с заранее составленным списком контролируемых запрещенных устройств на указанной сети;
если IP-адрес назначения находится в заранее составленном списке запрещенных устройств, то сохранение IP-адреса / порта источника, а также IP-адреса / порта назначения в списке потенциальных оповещений, наряду с числом байтов и пакетов, зарегистрированных в записи входного NetFlow;
изучение выходных записей с целью определения совпадений IP-адреса / порта источника и IP-адреса / порта назначения в списке потенциальных оповещений;
если совпадение найдено, то обработка такого совпадения, как признака ответа внутреннего хоста на внешний одноранговый запрос; и
генерация предупреждающего сообщения, своевременно информирующего о потенциальной инфекции ботнета.
6. Метод по п.4, отличающийся тем, что, по крайней мере, одна политика включает в себя следующие этапы:
сбор информации о внутренних сетевых устройствах, общающихся с внешними сетевыми устройствами; указанная информация включает в себя список IP-адресов и протоколов общающихся устройств;
применение метода группового анализа потоков для определения моделей связи между взаимодействующими устройствами;
выявления аномальных экземпляров связей между взаимодействующими устройствами по наличию небольших непересекающихся моделей в наборе всех вычисленных моделей;
своевременная генерация предупреждающего сообщения для информировании о потенциальной инфекции ботнета при обнаружении хотя бы одной аномальной модели связи.
7. Метод по п.3, отличающийся тем, что, по крайней мере, одна политика применяется для целей идентификации всплесков трафика в рассматриваемой сети.
8. Метод по п.7, отличающийся тем, что, по крайней мере, одна политика включает в себя следующие этапы:
Сравнение источника входящего сетевого трафика с заранее составленным списком контролируемых устройств в рассматриваемой сети;
если IP-адрес источника обнаруживается в заранее определенном списке устройств, то сохранение IP-адреса источника в базе данных в памяти вместе с количеством байтов и пакетов, зарегистрированных в записи входного NetFlow;
с заранее установленной периодичностью проверка данных в оперативной памяти и идентификация устройств, которые превысили порог, заданный администратором сети;
генерация предупреждающего сообщения для своевременного информирования о всплеске трафика.
9. Метод по п.3, отличающийся тем, что, по крайней мере, одна политика применяется с целью повышения надежности захвата трафика NetFlow в рассматриваемой сети.
10. Метод по п.9, отличающийся тем, что, по крайней мере, одна рассматриваемая политика включает в себя следующие этапы:
прием одного или нескольких сообщений NetFlow по ненадежному сетевому транспортному протоколу;
опционное преобразование упомянутых принятых сообщений NetFlow в один или несколько других форматов, помимо NetFlow, с другой особенностью NetFlow или в том же формате, что и полученный NetFlow;
отправка упомянутых полученных или преобразованных сообщений к нескольким конечным точкам по ненадежному сетевому транспортному протоколу, по крайней мере, к одной конечной точке по надежному сетевому транспортному протоколу, или, по крайней мере, к одной точке по ненадежному сетевому транспортному протоколу и, по крайней мере, к одной конечной точке по надежному сетевому транспортному протоколу.
11. Метод по п.3, отличающийся тем, что, по крайней мере, одна политика применяется с целью уменьшения количества сообщений NetFlow, поступающих на устройство, которое хранит упомянутые сетевые метаданные, по рассматриваемой сети.
12. Метод по п.11, отличающийся тем, что, по крайней мере, одна политика включает в себя следующие этапы:
прием нескольких сообщений NetFlow;
выявление сходства в упомянутых принятых сообщениях NetFlow;
объединение информации в полученных сообщениях NetFlow, определенных как аналогичные в одно или несколько сообщений NetFlow;
отбрасывание сообщений NetFlow, информация из которых была консолидирована; и
отправка консолидированного сообщения NetFlow в устройство, которое хранит сетевые метаданные в рассматриваемой сети.
13. Метод по п.12, отличающийся тем, что упомянутый этап пересылки консолидированного сообщения NetFlow осуществляется после прохождения заданного периода времени.
14. Метод по п.3, отличающийся тем, что, по крайней мере, одна политика применяется с целью определить, когда сетевой интерфейс на рассматриваемой сети стал неработоспособным.
15. Метод по п.14, отличающийся тем, что, по крайней мере, одна политика включает в себя следующие этапы:
установление порогового периода времени, в течение которого отсутствие идентификатора интерфейса в поступающих сетевых метаданных означает нерабочее состояние указанного сетевого интерфейса, упомянутый установленный пороговый период времени варьируется в зависимости от временных и географических критериев;
мониторинг сетевых метаданные, связанных с упомянутым сетевым интерфейсом;
генерация предупреждающего сообщения для своевременного информирования о неработоспособном состоянии указанного сетевого интерфейса, если сетевые метаданные, связанные с указанным сетевым интерфейсом не могут быть обнаружены в течение времени, превышающего упомянутый пороговый период.
16. Метод по п.3, отличающийся тем, что, по крайней мере, одна политика применяется с целью измерения задержки в сети, используя сетевой метаданные в рассматриваемой сети.
17. Метод по п.16, отличающийся тем, что, по крайней мере, одна политика включает в себя следующие этапы:
установление порогового периода времени, в течение которого сетевое устройство, запросившее службу на сервере доменных имен (DNS), должно получить ответ от упомянутой службы DNS;
мониторинг сетевых метаданных, описывающих связь между сетевыми устройствами и службой DNS;
вычисление времени между указанным запросом сетевого устройства в службу DNS и получением ответа от этой службы DNS;
сравнения упомянутого истекшего времени с указанным пороговым периодом времени; и
генерация предупреждающего сообщения о чрезмерной задержке в сети.
18. Метод по п.3, отличающийся тем, что, по крайней мере, одна политика применяется с целью обеспечения реального времени видимости сети для каждого типа приложений по множеству устройств в указанной сети.
19. Метод по п.3, отличающийся тем, что, по крайней мере, одна политика применяется с целью получения списка наиболее активных хостов в течение определенного периода времени в рассматриваемой сети.
20. Метод по п.19, отличающийся тем, что, по крайней мере, одна политика включает в себя следующие этапы:
прием нескольких сообщений сетевых метаданных;
идентификация сетевых метаданных, связанных с отдельными хостами сети;
агрегирование сетевых метаданных для каждого идентифицированного хоста;
выбор списка настраиваемого размера сетевых хостов, которые создали наибольшее количество сетевых подключений; и
предоставление упомянутого списка сетевых хостов, которые создали наибольшее количество сетевых подключений.
21. Метод по п.3, отличающийся тем, что, по крайней мере, одна политика применяется с целью получения списка устройств в сети с наибольшим списком нарушений управления доступом в течение определенного периода времени.
22. Метод по п.21, отличающийся тем, что, по крайней мере, одна политика включает в себя следующие этапы:
прием нескольких сообщений, содержащих сетевые метаданные;
указанные метаданные содержат информацию о списке нарушений контроля доступа;
выбор подмножества упомянутых сообщений, так что каждое сообщение содержит данные о не менее чем одном списке нарушений управления доступом;
агрегирование указанного подмножества сообщений для указанного сетевого устройства;
сортировка указанного подмножества агрегированных сообщений в порядке убывания, так что сетевые устройства с большим количеством нарушений контроля доступа стоят в головной части списка;
извлечения задаваемого количества записей из головной части указанного отсортированного списка; и
генерация предупреждающего сообщения для своевременного информирования сетевых устройств с наибольшим количеством нарушений контроля доступа, найденных в указанных записях в головной части указанного списка.
23. Метод по п.3, отличающийся тем, что, по крайней мере, одна политика применяется с целью вычисления среднего размера сетевых пакетов, которые прошли через сетевое устройство через точно определяемый входной интерфейс и выходной интерфейс в течение точно определенного интервала времени.
24. Метод по п.23, отличающийся тем, что, по крайней мере, одна политика включает в себя следующие этапы:
прием нескольких сообщений, содержащих сетевые метаданные;
указанные метаданные содержат информацию о количестве пакетов и числе байтов, прошедших только через входной интерфейс и только через выходной интерфейс;
агрегирование указанной информации по различным парам интерфейсов;
вычисление текущего среднего размера сетевых пакетов, передаваемых через каждую отдельную пару интерфейсов;
отчетность в виде своевременной информации о среднем размере сетевых пакетов, которые проходили между, по крайней мере, частью указанных различных пар сетевых интерфейсов.
25. Метод по п.3, отличающийся тем, что, по крайней мере, одна политика применяется с целью идентификации устройств в сети, являющихся основными потребителями пропускной способности сети в течение точно определенного интервала времени.
26. Метод по п.25, отличающийся тем, что, по крайней мере, одна политика включает в себя следующие этапы:
прием нескольких сообщений сетевых метаданных;
идентификация сетевых метаданных, связанных с отдельными хостами;
агрегирования сетевых метаданных для каждого идентифицированного хоста;
выбор списка настраиваемого размера сетевых хостов, которые произвели наибольший объем сетевого трафика; и
предоставление указанного списка сетевых хостов, которые произвели наибольший объем сетевого трафика.
27. Метод по п.26, отличающийся тем, что, по крайней мере, одна политика применяется с целью идентификации устройств в сети, являющихся основными потребителями пропускной способности сети, по сетевому устройству по протоколу сети, с задаваемым интервалом времени.
28. Метод по п.3, отличающийся тем, что, по крайней мере, одна политика применяется с целью выявления активности в сети выше базового уровня такой активности.
29. Метод по п.28, отличающийся тем, что, по крайней мере, одна политика включает в себя следующие этапы работы в течение задаваемого периода времени в режиме обучения для установления базового состояния предположительно нормальных параметров по отношению к характеристике условий сети, представляющих интерес для администратора указанной сети, и работа в режиме мониторинга для уведомления указанного администратора в случае, когда активность в рассматриваемой сети превышает упомянутый базовый уровень по предварительно определяемым уровням.
30. Метод по п.29, отличающийся тем, что, базовое состояние содержит информацию, относящуюся к одному или более сетевым атрибутам из группы, состоящей из: количества одновременных потоков, скорости глобальных пакетов, глобальная производительность, скорость создания новых потоков, количество отправленных SYN-пакетов, количество полученных SYN-пакетов, количество сбросов связи, средняя длительность потока, дисперсия длительности потока и время суток.
31. Метод по п.3, отличающийся тем, что, по крайней мере, одна политика применяется с целью дедупликации потоковой информации, предоставляемой экспортерами потока.
32. Метод по п.31, отличающийся тем, что, по крайней мере, одна политика включает в себя следующие этапы:
- получение записи потока, содержащей IP-адреса общающихся конечных точек и IP-адрес устройства, предоставившего запись потока;
- отметка времени получения упомянутой записи;
- поддержание в памяти информации об IP-адресах общающихся конечных точек, IP-адресов устройств создания потока, и время последнего наблюдения связи; указанная информация является показателем частоты, по крайней мере, для некоторых линий связи, используемых упомянутым устройством создания потока;
- выбор, на основе указанной информации в памяти, устройства создания потока с самой высокой частотой использования, среди других устройств создания потоков, которые создают указанный поток, и назначение указанного устройства создания потока с самой высокой частотой использования в качестве авторитетного источника информации о связи между упомянутыми конечными точками сети;
- в случае, если более чем одно устройство создания потока имеет одинаковую высокую частоту использования, отраженную в указанной информации в памяти, то дальнейшее устранение неоднозначности указанного авторитетного источника информации о связи между упомянутыми сетевыми конечными точками выполняется на основе критериев, выбранных из группы, состоящей из: времени, когда устройства создания потока создали указанный поток, счетчика времени существования, указанного в записях потока, представленных устройствами создания потока, и IP-адреса следующего хопа, сообщенного в записях потока, предоставленных устройствами создания потока;
- отправка для дальнейшей обработки потоковой записи о связи между указанными общающимися конечными точками, полученной от авторитетного устройства создания потока; и
- отбрасывание потоковых записей о связи между упомянутыми общающимися конечными точками, полученных от других устройств создания потока.
33. Метод по п.31, отличающийся тем, что, по крайней мере, одна политика включает в себя следующие этапы:
сбор списка смежных узлов, связанных с IP-адресами и индексами интерфейса из сетевых метаданных, пересекающих рассматриваемую сеть;
создание компьютерной модели, представляющей устройства и топологию указанной сети из указанного списка смежных узлов;
статистическое определение устройств, которые первоначально были источниками сетевых метаданных, относящихся к конкретному потоку сетевого трафика в рассматриваемой сети; и
дедупликация информации сетевых метаданных, которые могут быть сгенерированы последующими сетевыми устройствами для отображения потока такого же сетевого трафика через упомянутые последующие устройства.
34 Метод по п.1, дополнительно содержащий этапы, на которых происходит:
переадресация полученных сетевых метаданных к последующим потребителям или коллектору сетевых метаданных при сохранении, по крайней мере, одного их формата.
35 Метод по п.1, дополнительно содержащий этапы, на которых:
переадресации преобразованный метаданные по сети на выходе потребителя или коллектора сетевых метаданных указанный один или более различных форматов данных.
36. Метод по п.1, отличающийся тем, что упомянутый этап определения включает в себя подтверждение, по крайней мере, одного утверждения, относящегося к достоверности принятых сетевых метаданных.
37. Метод по п.1, отличающийся тем, что упомянутый этап преобразования включает в себя преобразование упомянутых принятых сетевых метаданных в общий формат данных.
38. Метод по п.1, отличающийся тем, что указанный этап определения включает в себя поиск переходного идентификатора, присвоенного рассматриваемым сетевым метаданным.
39. Метод по п.38, отличающийся тем, что переходный идентификатор сетевых метаданных динамически связан с постоянным идентификатором, присвоенным рассматриваемым сетевым метаданным.
40. Метод по п.39, отличающийся тем, что постоянный идентификатор сетевых метаданных дополнительно связан с одной или несколькими политиками.
41. Метод по п.40, отличающийся тем, что указанный этап обработки включает в себя применение одной или нескольких политик к упомянутым сетевым метаданным.
42. Метод по п.1, отличающийся тем, что указанный этап определения включает в себя классификацию упомянутых сетевых метаданных.
43. Метод по п.42, отличающийся тем, что, указанный этап классификации достигается применением, по крайней мере, одной политики, управляющей обработкой сетевых метаданных.
44. Метод по п.43, отличающийся тем, что, по крайней мере, одна политика основана на содержимом упомянутых сетевых метаданных.
45. Метод по п.43, отличающийся тем, что, по крайней мере, одна политика имеет критерий времени.
46. Метод по п.43, отличающийся тем, что, по крайней мере, одна политика реализуется путем присоединения динамически загружаемого программного модуля.
47. Метод по п.46, отличающийся тем, что указанный динамически загружаемый программный модуль представляет собой двоичный исполняемый модуль.
48. Метод по п.43, отличающийся тем, что применение, по крайней мере, одной политики производит дополнительные сетевые метаданные, производные от обработанных сетевых метаданных.
49. Метод по п.48, отличающийся тем, что указанные дополнительные сетевые метаданные находятся в том же формате, что и обрабатываемые сетевые метаданные.
50. Метод по п.48, отличающийся тем, что указанные дополнительные сетевые метаданные находятся в формате, отличном от формата обрабатываемых сетевых метаданных.
51. Метод по п.43, отличающийся тем, что применение, по крайней мере, одной политики преобразует содержимое сетевых метаданных.
52. Метод по п.1, отличающийся тем, что упомянутый этап преобразования сетевых метаданных включает в себя применение правила преобразования.
53. Метод по п.52, отличающийся тем, что правило преобразования основано на содержимом рассматриваемых сетевых метаданных.
54. Метод по п.52, отличающийся тем, что правило преобразования является правилом преобразования по умолчанию.
55. Метод по п.52, отличающийся тем, что правило преобразования реализуется путем добавления динамически загружаемого программного модуля.
56. Метод по п.55, отличающийся тем, что динамически загружаемый программный модуль представляет собой двоичный исполняемый модуль.
57. Метод по п.2, отличающийся тем, что упомянутый этап переадресации полученных сетевых метаданных изменяет указатель происхождения сетевых метаданных.
58. Метод по п.2, отличающийся тем, что упомянутый этап переадресации принятых сетевых метаданных не изменяет указатель происхождения указанных сетевых метаданных.
59. Метод по п.3, дополнительно включающий этап аутентификации переадресованных преобразованных сетевых метаданные.
60. Метод по п.59, отличающийся тем, что указанный этап аутентификации реализует аутентификацию, которая является криптографически стойкой.
61. Метод по п.59, отличающийся тем, что указанный этап аутентификации осуществляет аутентификацию, которая не является криптографически стойкой.
62. Метод классификации сетевых метаданных включает в себя следующие этапы:
вычисление уникального идентификатора инвариантного определения сетевых метаданных;
связывание хотя бы одного правила обработки с упомянутым уникальным идентификатором сетевых метаданных;
хранение упомянутого уникального идентификатора определения сетевых метаданных в первом информационном контейнере;
сохранение упомянутого, по крайней мере, одного правила обработки в указанном первом информационном контейнере;
ассоциирование, по крайней мере, одного правила обработки с указанным уникальным идентификатором определения сетевых метаданных в указанном первом информационном контейнере;
прием первого пакета информации, содержащей определение сетевых метаданных и первого переходного идентификатора сетевых метаданных из однозначно определенного источника;
определение местоположения инвариантного определения сетевых метаданных в упомянутом первом пакете;
вычисление уникального идентификатора инвариантного определения сетевых метаданных, соответствующего определению сетевых метаданных в упомянутом первом пакете;
определение местоположения упомянутого уникального идентификатора инвариантного определения сетевых метаданных в первом информационном контейнере;
хранение упомянутого первого переходного идентификатора сетевых метаданных и упомянутого идентификатора источника во втором информационном контейнере;
ассоциирование первого переходного идентификатора сетевых метаданных во втором информационном контейнер с указанным уникальным идентификатором определения сетевых метаданных в первом информационном контейнере;
получение второго пакета информации, содержащего сетевые метаданные, упомянутый первый переходный идентификатор сетевых метаданных и упомянутый идентификатор источника;
определение местоположения первого переходного идентификатора сетевых метаданных и упомянутого идентификатора источника во втором информационном контейнере;
использование указанной ассоциации во втором информационном контейнере для обнаружения уникального идентификатора определения сетевых метаданных в первом информационном контейнере;
использованием упомянутой ассоциации уникального идентификатора сетевых метаданных в первом информационном контейнере для обнаружения указанного правила обработки; и
выполнение указанного правила обработки для классификации сетевых метаданных.
63. Метод по п.62, дополнительно включающий в себя:
получение третьего пакета информации, содержащего определение сетевых метаданных, и второй переходный идентификатор сетевых метаданных от указанного однозначно определенного источника;
определение местоположения инвариантного определения сетевых метаданных в упомянутом третьем пакете;
вычисление уникального идентификатора инвариантного определения сетевых метаданных, соответствующего определению сетевых метаданных в упомянутом третьем пакете;
определение местоположения упомянутого уникального идентификатора определения сетевых метаданных в первом информационном контейнере;
хранение указанного второго переходного идентификатора сетевых метаданных и упомянутого идентификатора источника во втором информационном контейнере;
ассоциирование второго переходного идентификатора сетевых метаданных во втором информационном контейнере с указанным уникальным идентификатором определения сетевых метаданных в первом информационном контейнере;
определение местоположения первого переходного идентификатор асетевых метаданных с использованием указанного идентификатора источника во втором информационном контейнере;
удаление первого переходного идентификатора сетевых метаданных и упомянутого идентификатора источника из второго контейнера;
получение четвертого информационного пакета, содержащего сетевые метаданные, упомянутого второго переходного идентификатора сетевых метаданных и упомянутого идентификатора источника;
определение местоположения указанного второго переходного идентификатора сетевых метаданных и упомянутого идентификатора источника во втором информационном контейнере;
использование указанной ассоциации во втором информационном контейнере для нахождения уникального идентификатора определения сетевых метаданных в первом информационном контейнере;
использование указанной ассоциации уникального идентификатора сетевых метаданных  в первом информационном контейнере для обнаружения указанного правила обработки; и
выполнение указанного правила обработки для классификации сетевых метаданных.
64. Метод по п.62, отличающийся тем, что упомянутый этап удаления указанного первого переходного идентификатора сетевых метаданных и указанного идентификатора источника из второго контейнера выполняется путем применения алгоритма старения для элементов, хранящихся во втором контейнере.
65. Метод по п.62, отличающийся тем, что упомянутый этап вычисления уникального идентификатора инвариантного определения сетевых метаданных включает в себя вычисление хэш-значения инвариантного определения сетевых метаданных.
66. Метод по п.65, отличающийся тем, что указанное хеш-значение вычисляется с использованием криптографически стойкого алгоритма.
67. Метод по п.65, отличающийся тем, что указанное хеш-значение вычисляется с использованием криптографически нестойкого алгоритма.
68. Метод по п.62, отличающийся тем, что указанное правило обработки является политикой, управляющей обработкой сетевых метаданных.
69. Метод по п.68, отличающийся тем, что политика основана, по крайней мере, частично на содержимом рассматриваемых сетевых метаданных.
70. Метод по п.68, отличающийся тем, что политика имеет критерий времени.
71. Метод избирательного уменьшения объема сетевых метаданных, доставляемых в SIEM-систему по сети, включает в себя:
идентификация пакетов сетевых метаданных, которые содержат, по крайней мере, частично, избыточные метаданные; и обработка указанных пакетов сетевых метаданных, которые содержат, по крайней мере, частично, избыточные метаданные для объединения указанных пакетов в меньшем количестве пакетов, сохраняя при этом интересующие метаданные.
72. Система для обработки сетевых метаданных включает в себя:
сетевой узел, адаптированный для приема сетевых метаданных от нескольких источников, по крайней мере, одного формата данных;
модуль обработки для определения типа или характера указанных сетевых метаданных;
модуль обработки для обработки указанных сетевых метаданных для извлечения полезной информации из них; и
модуль обработки для преобразования, по крайней мере, части указанных сетевых метаданных в один или более различных форматов данных в ответ, по крайней мере частично, на результаты указанного определения этапа.
73. Система для классификации сетевых метаданных включает в себя:
процессор для вычисления уникального идентификатора инвариантного определения сетевых метаданных;
процессор для связывания хотя бы одного правила обработки с указанным уникальным идентификатором сетевых метаданных;
процессор для хранения упомянутого уникального идентификатора определения сетевых метаданных в первом информационном контейнере;
процессор для хранения, по крайней мере, одного правила обработки в упомянутом первом информационном контейнере;
процессор для связывания указанного, по крайней мере, одного правила обработки с указанным уникальным идентификатором определения сетевых метаданных в указанном первой информационном контейнере;
процессор для приема первого пакета информации, содержащей определение сетевых метаданных и переходный идентификатор сетевых метаданных;
процессор для размещения инвариантного определения сетевых метаданных в упомянутом первом пакете;
процессор для вычисления уникального идентификатора инвариантного определения сетевых метаданных, соответствующий определению сетевых метаданных в упомянутом первом пакете;
процессор для локализации упомянутого уникального идентификатора определения сетевых метаданных в первом информационном контейнере;
процессор для хранения указанного переходного идентификатора сетевых метаданных во втором информационном контейнере;
процессор для связывания упомянутого переходного идентификатора сетевых метаданных во втором информационном контейнер с указанным уникальным идентификатором определения сетевых метаданных в первом информационном контейнере;
процессор для получения второго пакета информации, содержащей сетевые метаданные и упомянутый переходный идентификатор сетевых метаданных;
процессор для локализации упомянутого переходного идентификатора сетевых метаданных во втором информационном контейнере;
процессор для использования указанной ассоциации во втором информационном контейнере для нахождения уникального идентификатора определения сетевых метаданных в первом информационном контейнере;
процессор для использования указанной ассоциации уникального идентификатора сетевых метаданных в первом информационном контейнере для обнаружения указанного правила обработки; и
процессор для выполнения указанного правила обработки для классификации сетевых метаданных.
74. Сетевая система включает в себя:
локальную сеть, включающую в себя:
несколько устройств в рассматриваемой сети, которые генерируют первую совокупность сетевых метаданных в формате syslog;
средство мониторинга сети, которое выполнено с возможностью приема данных syslog;
несколько устройств в рассматриваемой сети, которые генерируют вторую совокупность сетевых метаданных в формате, отличающемся от формата данных syslog;
первое средство обработки сетевых метаданных, способное преобразовывать, по крайней мере, частей указанной второй совокупности сетевых метаданных в формат syslog; и
средства коммуникации для подачи преобразованного выхода упомянутой обработки первого средства обработки сетевых метаданных в качестве входа в упомянутое устройство мониторинга сети.
75. Сетевая система по п.74, отличающаяся тем, что первое средство обработки сетевых метаданных включает в себя способ обработки, по крайней мере, частей указанной второй совокупности сетевых метаданных, до преобразования указанных, по крайней мере, частей упомянутой второй совокупности сетевых метаданных в формат Syslog.
76. Сетевая система по п.75, отличающаяся тем, что процессор содержит классификатор, который способен определить тип сообщений, включенных в упомянутую вторую совокупность сетевых метаданных.
77. Сетевая система по п.75, отличающаяся тем, что, процессор содержит модуль политики, который способен избирательно обрабатывать каждое сообщение в указанной второй совокупности сетевых метаданных, по крайней мере, частично на основе определения типа указанным классификатором.
78. Сетевая система по п.77, отличающаяся тем, что упомянутый модуль политики применяет одну или несколько политик для каждого сообщения, по крайней мере, частично на основе определения типа указанным классификатором.
79. Сетевая система по п.74, дополнительно содержащая удаленную подсеть, которая содержит:
несколько устройств в указанной удаленной подсети, которые генерируют третью совокупность сетевых метаданных в формате Syslog;
несколько устройств в рассматриваемой подсети, которые генерируют четвертую совокупность сетевых метаданных в формате, отличающемся от формата данных Syslog; и
второе средство обработки сетевых метаданных, способный преобразовывать, по крайней мере, части указанной четвертой совокупности сетевых метаданных в формат Syslog; и
средство коммуникации для подачи преобразованного выхода упомянутого второго средства обработки вторая сетевых метаданных в качестве входа в упомянутое средство мониторинга сети.
80. Метод повышения надежности передачи сообщений NetFlow по WAN из ответвлений сети отделений в первичную сеть включает в себя:
преобразование, по крайней мере, части сообщений NetFlow, генерируемых в указанном ответвлении сети в сообщения Syslog; и
использование сетевого протокола, более надежного, чем UDP, для передачи преобразованных упомянутых сообщений Syslog из указанного ответвления сети на сервер указанной первичной сети.