对比文件名称：2010-07-22_发明专利_JP2010161488A Network monitoring system and method therefor
目标专利名称：监视物联网设备健康状况的方法、装置、设备和存储介质CN107409073B
本次调用的模型名称：特征比对与创造性评估模型
特征比对表格：
| 技术特征描述及公开性判断结果 | 对比文件原文引用 | 公开性论述 |
| **技术特征A**<br>在本地IoT网络中的第一节点处为与所述本地IoT网络中的第二节点相关联的正常行为建模<br>**《未直接公开，未隐含公开》** | [0026] 分析センタ装置では各通信ネットワークのアドレス範囲と使用済みのアドレス情報を把握することで、実際に稼働しているホストからダークネット宛に信号が送られた場合に、それを検出することができるようになる。<br>（分析中心装置通过掌握各通信网络的地址范围和已使用地址信息，从而能够检测到从实际运行的主机向暗网发送信号的情况。） | **论述**：对比文件公开了分析中心装置收集并存储各通信网络的“已使用地址信息”（使用済みのアドレス情報）。该信息描述了网络中哪些地址是正常分配给活跃主机的静态状态，而非目标专利中描述的与设备“正常行为”相关的动态行为模式（如功耗、传感器输出等）。在目标专利中，“为正常行为建模”是用于后续与实时观察到的行为信息进行比较的基础，其目的是识别行为模式的偏离。对比文件中收集“已使用地址信息”的作用是建立一个白名单，用于判断一个发送到暗网的信号是否来自本应正常工作的主机，其关注点是地址的“合法性”或“活跃性”，而非设备的行为模式。两者目的和作用不同，本领域技术人员无法毫无疑义地得出对比文件公开了为目标设备建立行为模型的技术方案，也无法通过合理推断得出该方案。 |
| **技术特征B**<br>其中，所述第一节点是配置成进行行为分析的分析者节点，所述第二节点是配置成观察本地行为的观察者节点，所述第一节点和所述第二节点是所述本地IoT网络中的不同IoT设备<br>**《隐含公开》** | [0026] そして、分析センタ装置では各通信ネットワークのアドレス範囲と使用済みのアドレス情報を把握することで、実際に稼働しているホストからダークネット宛に信号が送られた場合に、それを検出することができるようになる。<br>[0030] センサ手段が、自ネットワーク（２）のダークネット（４）を監視し、不正なダークネットトラフィックが受信されるかどうかを監視する。<br>（传感器监视自身网络（2）的暗网（4），监视是否接收到异常的暗网流量。） | **论述**：对比文件公开了由“传感器手段”（センサ手段）在各通信网络内监视暗网流量（观察行为），并将检测结果发送至“分析中心装置”（分析センタ装置）进行分析。这构成了观察和分析的功能分离。虽然对比文件的网络环境（不同组织的通信网络互联）与目标专利的“本地IoT网络”在范围上可能不完全相同，但其系统架构包含了分布在网络中的观察单元（传感器）和集中的分析单元（分析中心）。本领域技术人员根据对比文件描述的传感器进行监视、分析中心进行信息处理和判断的架构，能够合理推断出存在分别承担“观察者”和“分析者”角色的不同设备节点。因此，该技术特征被对比文件隐含公开。 |
| **技术特征C**<br>在所述第一节点处通过所述本地IoT网络接收与在所述第二节点处观察到的一个或多个行为相关的行为信息<br>**《直接公开》** | [0026] 各センサ手段から少なくとも信号の存在と、検出した信号の送信元アドレスとを含む検出結果を受理する検出結果受理手段<br>（从各传感器接收至少包含信号存在以及检测到的信号发送源地址的检测结果的检测结果受理手段）<br>[0034] 検出結果送信部（２１３）から分析センタ装置（１０）に向けて送信する。<br>（从检测结果发送部（213）向分析中心装置（10）发送。） | **论述**：对比文件明确记载了分析中心装置（第一节点）具备“检测结果受理手段”，用于接收从各传感器（第二节点）发送来的检测结果。该检测结果至少包含“信号的存在”和“发送源地址”，这些信息直接对应于在传感器处观察到的网络行为（即，有数据包发送至暗网这一行为）。接收过程是通过通信网络进行的。因此，本领域技术人员能够毫无疑义地从对比文件得出分析中心从传感器接收行为信息的技术方案。 |
| **技术特征D**<br>在所述第一节点处分析与在所述第二节点处观察到的所述一个或多个行为相关的所述行为信息<br>**《直接公开》** | [0026] 検出結果を受理した際に、その信号の送信元アドレスが、監視対象の各通信ネットワークにおける使用済みのアドレス情報であるかどうかを分析する分析手段<br>（在受理检测结果时，分析该信号的发送源地址是否是监视对象的各通信网络中已使用的地址信息的分析手段）<br>[0038] 分析部（１１２）では、使用済みアドレス情報（１４２）を参照して、該ダークネットのトラフィックの送信源アドレスが、使用済みアドレス情報のアドレスに含まれるかを照合する。<br>（分析部（112）参照已使用地址信息（142），核对该暗网流量的发送源地址是否包含在已使用地址信息的地址中。） | **论述**：对比文件明确记载了分析中心装置（第一节点）具备“分析手段”（分析部），其功能是分析从传感器接收到的检测结果。具体分析内容包括判断发送源地址是否属于已使用的地址（即正常活跃的主机）。这直接对应于对观察到的行为信息（发送到暗网的流量及其来源）进行分析。因此，该技术特征被对比文件直接公开。 |
| **技术特征E**<br>在所述第一节点处将所分析的行为信息与关联于所述第二节点的所建模的正常行为进行比较以确定在所述第二节点处观察到的所述一个或多个行为是正常的还是异常的<br>**《隐含公开》** | [0026] 分析の結果、少なくとも該信号が使用済みのアドレスから発信されている場合にアラートを出力するアラート手段<br>（根据分析结果，至少在该信号是从已使用的地址发送的情况下，输出警报的警报手段）<br>[0038] 分析部（１１２）では、使用済みアドレス情報（１４２）を参照して、該ダークネットのトラフィックの送信源アドレスが、使用済みアドレス情報のアドレスに含まれるかを照合する。<br>（分析部（112）参照已使用地址信息（142），核对该暗网流量的发送源地址是否包含在已使用地址信息的地址中。） | **论述**：对比文件虽然没有使用“为正常行为建模”的表述，但公开了分析中心存储有“已使用地址信息”，该信息定义了网络中哪些地址是“正常”分配给活跃主机的。分析部将接收到的行为信息（发送源地址）与该“已使用地址信息”进行比较。如果发送源地址属于已使用地址，则触发警报，意味着该行为被判定为“异常”（因为正常情况下，活跃主机不应向未使用的暗网地址发送流量）。这个逻辑过程实质上就是“将所分析的行为信息与一个代表正常状态的模型（已使用地址列表）进行比较，以确定行为是否异常”。本领域技术人员通过合理推理，能够从对比文件的描述中得出这一技术方案。因此，该特征被隐含公开。 |
| **技术特征F**<br>以及响应于基于所述比较确定在所述第二节点处观察到的所述行为信息指示了异常状况，触发一个或多个执行者来矫正所述第二节点处的行为异常，<br>**《隐含公开》** | [0026] 分析の結果、少なくとも該信号が使用済みのアドレスから発信されている場合にアラートを出力するアラート手段<br>（根据分析结果，至少在该信号是从已使用的地址发送的情况下，输出警报的警报手段）<br>[0042] この分析結果に従って組織Ｇに対して分析センタ装置（１０）からアラート（５２）が送信されている。<br>（根据该分析结果，从分析中心装置（10）向组织G发送警报（52）。）<br>[0027] 通信ネットワークを運用する各組織は、... 自ネットワーク内の機器の不正な挙動を知ることができる。<br>（运营通信网络的各组织...能够知晓自身网络内设备的异常举动。） | **论述**：对比文件公开了在分析确定发送源地址属于已使用地址（即指示异常状况）后，分析中心装置会通过“警报手段”输出警报，并向相应组织的管理者发送警报。收到警报的组织管理员（可视为“执行者”）可以据此对发送异常流量的主机（即“第二节点”）采取行动，例如清除恶意软件、修复配置错误等，从而“矫正行为异常”。虽然对比文件未明确使用“触发执行者”和“矫正行为异常”的措辞，但其描述的“发出警报以使管理员采取修复行动”的技术方案，在功能和目的上与目标专利的该特征实质相同。本领域技术人员能够合理推断出这一逻辑链条。因此，该特征被隐含公开。 |
| **技术特征G**<br>其中，所述一个或多个执行者被提供有用于辅助矫正一项或多项行为异常的技术。<br>**《未直接公开，未隐含公开》** | [0040] この結果、「マルウェア」「設定ミス」「アラート必要無し」に分類する。その他、公知の手法を用いて、マルウェアの種類や設定ミスの内容の推定などを行ってもよい。<br>（将其结果分类为“恶意软件”、“设置错误”、“无需警报”。此外，也可以使用公知手法，推测恶意软件的种类或设置错误的内容等。）<br>[0042] ここで、分析ステップ（Ｓ１４）において「マルウェア」や「設定ミス」と判定し、その結果をアラートとして送信している場合には、これも表示して、管理者にどのホストについてどのような疑いがあるのかを知らせることができる。<br>（在此，在分析步骤（S14）中判定为“恶意软件”或“设置错误”，并将其结果作为警报发送的情况下，也可以显示该结果，使管理员知晓哪个主机存在何种嫌疑。） | **论述**：对比文件公开了警报中可以包含分析结果，例如将异常分类为“恶意软件”或“设置错误”。这为管理员（执行者）提供了辅助判断的信息。然而，目标专利中的“被提供有用于辅助矫正...的技术”含义更广，可能包括具体的诊断工具、修复脚本、远程解决故障接口等主动提供的技术手段。对比文件仅描述了提供分类信息，属于一种信息提示，并未公开向执行者“提供技术”本身以直接辅助矫正过程。本领域技术人员无法从对比文件公开的“信息分类和通知”毫无疑义地或通过合理推断得出“提供矫正技术”的方案。因此，该特征未被公开。 |
| **技术特征H**<br>其中，分析与在所述第二节点处观察到的所述一个或多个行为相关的所述行为信息进一步包括：从所述行为信息中提取一个或多个行为向量，其中所述行为信息表示n个行为特征并且所述一个或多个行为向量将所述n个行为特征映射到n维空间中。<br>**《未直接公开，未隐含公开》** | [0039] さらに、ダークネットトラフィックが送られてきた宛先のポート番号を分析することもできる。<br>（此外，也可以分析暗网流量所送达的目的端口号。）<br>[0040] そこで、ハードディスク（１４）に、例えばマルウェアを疑うべきプロトコルとポート番号、設定ミスを疑うべきプロトコルとポート番号、アラートの必要のないプロトコルとポート番号のリストを判定規則として格納しておき、分析部（１１２）でポート番号の照合を行う。<br>（因此，在硬盘（14）中，预先存储例如应怀疑为恶意软件的协议和端口号、应怀疑为设置错误的协议和端口号、无需警报的协议和端口号的列表作为判定规则，由分析部（112）进行端口号的核对。） | **论述**：对比文件公开了分析行为信息的多个特征，如发送源地址、目的端口号、协议类型，并依据规则列表进行核对和分类。然而，这并未公开目标专利中特定的“提取行为向量”并将多个特征“映射到n维空间中”的技术手段。目标专利的该特征描述了一种将行为特征进行数学化、空间化表示的具体数据处理方法，用于后续的机器学习或高级分析。对比文件仅是基于规则列表的简单匹配和分类，两者技术手段不同。本领域技术人员无法从对比文件得出或推断出“提取行为向量并映射到n维空间”这一具体技术方案。 |
| **技术特征I**<br>进一步包括：为包括所述第一节点和所述第二节点的所述本地IoT网络建模<br>**《未直接公开，未隐含公开》** | [0026] 分析センタ装置では各通信ネットワークのアドレス範囲と使用済みのアドレス情報を把握することで<br>（分析中心装置通过掌握各通信网络的地址范围和已使用地址信息） | **论述**：对比文件公开了分析中心掌握各通信网络的地址范围和已使用地址信息。这可以视为对网络部分状态（地址分配状态）的掌握。但目标专利中的“为本地IoT网络建模”是一个更全面的概念，可能包括网络拓扑、设备间关系、整体行为基线等综合模型。对比文件并未描述为整个网络（包括节点间关系和整体状态）建立这样一个综合模型的过程或目的。因此，该特征未被公开。 |
| **技术特征J**<br>以及基于在所述第二节点处观察到的所述行为信息，更新与所述本地IoT网络相关联的当前状态。<br>**《未直接公开，未隐含公开》** | 对比文件未提及根据观察到的行为信息动态更新网络状态模型。 | **论述**：对比文件描述了基于静态的“已使用地址信息”进行分析和警报，但没有记载根据不断接收到的行为观察结果来动态“更新与本地IoT网络相关联的当前状态”。目标专利的该特征暗示了一种学习或适应机制，以使网络状态模型保持最新。对比文件缺乏这一持续性学习或更新的技术启示。 |
| **技术特征K**<br>其中，为所述本地IoT网络建模包括：聚集与所述本地IoT网络中的每一IoT设备相关联的属性<br>**《隐含公开》** | [0034] まず、各通信ネットワークにおいて、センサ装置（２０）の自ネットワーク情報送信部（２１１）から、自ネットワークにおけるライブネットの情報、すなわち使用済みアドレス情報を送信する（自ネットワーク情報通知ステップ：Ｓ１０）。分析センタ装置（２０）ではこれを通信モジュール（１２）（１３）で受信し、ハードディスク（１４）に使用済みアドレス情報（１４１）として格納する。 （各通信ネットワーク情報収集ステップ：Ｓ１１）<br>（首先，在各通信网络中，从传感器装置（20）的自身网络信息发送部（211）发送自身网络中的活跃网络信息，即已使用地址信息（自身网络信息通知步骤：S10）。分析中心装置（20）通过通信模块（12）（13）接收此信息，并将其作为已使用地址信息（141）存储在硬盘（14）中。（各通信网络信息收集步骤：S11）） | **论述**：对比文件明确描述了分析中心装置从各通信网络（可类比为包含多个设备的网络）收集“已使用地址信息”。该信息本质上是与网络中每个活跃设备（主机）相关联的一个关键属性——其IP地址。虽然“属性”的范围在目标专利中可能更广，但“聚集与每一设备相关联的属性”这一步骤在对比文件中得到了具体体现，即分析中心收集并存储各网络中已分配（使用中）的IP地址列表。根据隐含公开的宽松判断标准，本领域技术人员能够合理推断出对比文件公开了聚集设备属性（至少是网络地址属性）以用于后续分析的技术方案。因此，该特征被隐含公开。 |
| **技术特征L**<br>构造与所述本地IoT网络相关联的拓扑<br>**《未直接公开，未隐含公开》** | 对比文件未提及构造网络拓扑。 | **论述**：对比文件关注的是地址的使用状态（已使用/未使用），并未描述如何构造或获取网络的拓扑结构，例如设备之间的连接关系、层级关系等。因此，该特征未被公开。 |
| **技术特征M**<br>从与每一IoT设备相关联的制造商或者一个或多个仓储库获取与所述本地IoT网络中的每一IoT设备相关联的行为模型，所述一个或多个仓储库被配置成存储所述行为模型<br>**《未直接公开，未隐含公开》** | 对比文件未提及从制造商或仓储库获取设备行为模型。 | **论述**：对比文件中用于分析判断的依据是预定义的“判定规则”列表（基于协议和端口号），以及静态的“已使用地址信息”。这些都不是从设备制造商或外部仓储库获取的、描述设备特定正常行为模式的“行为模型”。因此，该特征未被公开。 |
| **技术特征N**<br>以及组合与所述本地IoT网络中的每一IoT设备相关联的所聚集的属性、与所述本地IoT网络相关联的所述拓扑以及与所述本地IoT网络中的每一IoT设备相关联的所述行为模型以便为所述本地IoT网络建模。<br>**《未直接公开，未隐含公开》** | 对比文件未公开组合属性、拓扑和行为模型来为网络建模。 | **论述**：由于对比文件未公开“构造拓扑”（特征L）和“从外部获取行为模型”（特征M），自然也就不可能公开将这三者（属性、拓扑、行为模型）组合起来为网络建模的完整技术方案。因此，该特征未被公开。 |
| **技术特征O**<br>进一步包括：响应于确定在所述第二节点处观察到的所述一个或多个行为异常，通过所述第一节点向客户服务实体报告在所述第二节点处观察到的所述一个或多个行为。<br>**《直接公开》** | [0042] この分析結果に従って組織Ｇに対して分析センタ装置（１０）からアラート（５２）が送信されている。<br>（根据该分析结果，从分析中心装置（10）向组织G发送警报（52）。）<br>[0044] アラート受理部（２１４）がアラート情報を受理（アラート受理ステップ：Ｓ１６）し、モニタ（２３）からアラート情報を表示する。 （アラート表示ステップ：Ｓ１７）<br>（警报受理部（214）受理警报信息（警报受理步骤：S16），并从监视器（23）显示警报信息。（警报显示步骤：S17）） | **论述**：对比文件明确记载了分析中心装置（第一节点）在确定异常（发送源地址属于已使用地址）后，会向相应组织的管理员发送警报。组织的管理员可被视为“客户服务实体”的一种形式（负责网络运维和问题解决）。警报内容包含了关于异常行为的信息（例如来自哪个地址）。因此，本领域技术人员能够毫无疑义地得出对比文件公开了向客户服务实体报告异常行为的技术方案。 |
| **技术特征P**<br>其中，所述一个或多个异常行为指示对所述第二节点或者包括所述第二节点的所述本地IoT网络的潜在恶意攻击。<br>**《直接公开》** | [0002] ダークネットとは，インターネット上で到達可能かつ未使用のＩＰアドレス空間のことを指し... これらのパケットの多くは、リモート感染型のマルウェアが送信するスキャンやエクスプロイトコード、送信元ＩＰアドレスを詐称したＳＹＮフラッド攻撃に対する応答であるバックスキャッタ等、インターネット上での不正な活動に起因している。<br>（暗网是指互联网上可达且未使用的IP地址空间...这些数据包大多源于互联网上的非法活动，例如远程感染型恶意软件发送的扫描或漏洞利用代码、以及对伪造发送源IP地址的SYN洪水攻击的响应——背向散射等。）<br>[0040] この結果、「マルウェア」「設定ミス」「アラート必要無し」に分類する。<br>（将其结果分类为“恶意软件”、“设置错误”、“无需警报”。） | **论述**：对比文件明确指出，发送到暗网的流量许多是由恶意软件（マルウェア）的扫描或攻击行为引起的。并且，其分析系统会将检测到的异常分类为“恶意软件”。这直接对应于“异常行为指示潜在恶意攻击”。因此，该特征被对比文件直接公开。 |
| **技术特征Q**<br>其中，所述一个或多个异常行为指示所述第二节点处的潜在故障或异常工作状况。<br>**《直接公开》** | [0040] この結果、「マルウェア」「設定ミス」「アラート必要無し」に分類する。<br>（将其结果分类为“恶意软件”、“设置错误”、“无需警报”。） | **论述**：对比文件公开了其分析系统会将检测到的异常分类为“设置错误”（設定ミス）。设置错误是设备异常工作状况的一种典型表现。因此，检测到此类异常即指示了设备（第二节点）存在潜在的故障或异常工作状况。该特征被对比文件直接公开。 |
| **技术特征R**<br>其中，所述第二节点包括被配置成观察所述一个或多个行为的一个或多个组件。<br>**《直接公开》** | [0030] センサ手段の構成は、本発明は任意であるが、一例として図３のようにＣＰＵ（２１）に信号センサ（２２）、モニタ（２３）を設けたセンサ装置（２０）を設置することができる。信号センサ（２２）は、自ネットワーク（２）のダークネット（４）を監視し、不正なダークネットトラフィックが受信されるかどうかを監視する。<br>（传感器手段的构成，本发明并无限制，但作为一个例子，可以设置如图3所示的、在CPU（21）上设有信号传感器（22）、监视器（23）的传感器装置（20）。信号传感器（22）监视自身网络（2）的暗网（4），监视是否接收到异常的暗网流量。） | **论述**：对比文件明确描述了作为第二节点的“传感器装置”包含“信号传感器”（信号センサ（２２））等组件，其功能就是监视（观察）网络中的暗网流量行为。因此，该特征被对比文件直接公开。 |
| **技术特征S**<br>其中，所述第二节点进一步包括发射机，所述发射机被配置成将表示所观察到的所述一个或多个行为的一个或多个行为特征发送到如下中的一者或多者：所述第一节点，或被配置成从所述第二节点接收所述一个或多个行为特征并将所述一个或多个行为特征中继给所述第一节点的第三节点。<br>**《直接公开》** | [0034] 検出結果送信部（２１３）から分析センタ装置（１０）に向けて送信する。<br>（从检测结果发送部（213）向分析中心装置（10）发送。） | **论述**：对比文件明确记载了传感器装置（第二节点）包含“检测结果发送部”（検出結果送信部（２１３）），该部件将观察到的行为信息（检测结果）发送给分析中心装置（第一节点）。这实质上公开了第二节点包含发射机（发送部）的功能。虽然未明确提及通过第三节点中继的替代方案，但直接发送到第一节点的方案已被明确公开。因此，该特征中“发送到第一节点”的方案被直接公开。 |
| **技术特征T**<br>其中，包括所述第二节点的所述本地IoT网络进一步包括一个或多个节点，所述一个或多个节点被配置成监视所述第二节点通过所述本地IoT网络传送的消息并且根据在所述本地IoT网络上传送的所监视的消息将所述行为信息传送给所述第一节点。<br>**《未直接公开，未隐含公开》** | 对比文件中的传感器是直接监视暗网流量，而非通过监视其他节点传送的消息来间接获取行为信息。 | **论述**：目标专利的该特征描述了一种间接观察方式：由网络中的其他节点（如网络话务监视器）通过嗅探或监听第二节点发出的网络消息来获取行为信息。对比文件中，传感器（第二节点自身）直接连接在暗网网段上，负责监视发送到该暗网地址的流量，这是一种直接的、非旁路的观察方式。两者技术手段不同，对比文件未公开通过监视节点间通信消息来间接获取行为信息的方案。 |
| **技术特征U**<br>其中，所述第二节点处观察到的所述一个或多个行为是正常还是异常进一步地基于总状态模型与正常状态的比较，所述总状态模型定义了当前状态，所述正常状态与所述本地IoT网络相关联。<br>**《未直接公开，未隐含公开》** | 对比文件未提及“总状态模型”的概念，其判断主要基于单个发送源地址与已使用地址列表的匹配，以及端口/协议规则，并未涉及代表整个网络当前综合状态的“总状态模型”与基准“正常状态”的比较。 | **论述**：对比文件的判断逻辑是点对点的匹配（地址是否在列表内，端口/协议是否符合规则），而非基于一个描述整个网络动态当前状态的“总状态模型”来进行评估。目标专利的该特征引入了更高级别的上下文感知，即考虑网络整体状态来判断单个设备行为的异常与否。该技术方案未被对比文件公开。 |
| **技术特征V**<br>进一步包括：响应于基于所述比较确定在所述第二节点处观察到的所述行为信息不是指示异常状况，应用机器学习来更新设备行为模型。<br>**《未直接公开，未隐含公开》** | 对比文件未提及机器学习，也未描述根据正常行为观察结果更新模型的过程。 | **论述**：对比文件的分析和判断基于静态的规则列表和地址信息，缺乏一个能够从历史数据中学习并动态更新的“设备行为模型”。其系统不具备机器学习能力，也没有公开利用非异常数据来优化模型的技术方案。因此，该特征未被公开。 |
<<<b>>><<<c>>><<<d>>><<<e>>><<<f>>><<<k>>><<<o>>><<<p>>><<<q>>><<<r>>><<<s>>>