SYSTEM AND METHOD FOR CAPTURING NETWORK DATA AND IDENTIFYING NETWORK EVENTS THEREFROM

A system (Figure 1) for network (142) security transparently occupies an observation port (104) on the data stream (144), passing the entire range of network information to a dedicated interpreter (108). The interpreter resolves the data stream into individual data packets (110), which are then assembled into reconstructed network sessions (140) according to parameters such as protocol type, source and destination addresses, source and destination ports, sequence numbers and other variables. The different types of sessions may include the traffic of many different types of users, such as e-mail, streaming video, voice-over-Internet and others. The system detects and stores the sessions into a database (122). A parser module (120) may extract only the minimum information needed to reconstruct individual sessions (118). A backend interface permits a systems administrator to interrogate the forensic record of the network for maintenance, security and other purposes. The invention captures and records a comprehensive record of network behavior. L'invention concerne un système (Figure 1) conçu pour assurer la sécurité d'un réseau (142) qui occupe de manière transparente un port d'observation (104) sur le flot de données (144), transférant l'intégralité de la gamme d'informations de réseau à un interprète spécialisé (108). Cet interprète divise le flot de données en paquets de données individuels (110) qui sont ensuite regroupés en sessions de réseau reconstruites (140) en fonction de paramètres tels que, le type de protocole, les adresses source et destination, les ports source et destination, les numéros de séquence ainsi que d'autres variables. Les différents types de sessions peuvent comprendre le trafic d'un grand nombre de différents types d'utilisateurs, tels que le e-mail, la vidéo en continu, la téléphonie via Internet et d'autres. Le système détecte et stocke les sessions dans une base de données (122). Un module de programme d'analyse (120) peut extraire seulement les informations minimales requises pour reconstruire les sessions individuelles (118). Une interface du système principal permet à un administrateur de systèmes d'interroger le dossier de traitement différé du réseau pour des raisons de sécurité, de maintenance ou autres. L'invention ne concerne pas uniquement la détection de certains types de données mais elle permet également de saisir et d'enregistrer un dossier complet sur le comportement du réseau.