本站小編為你精心準備了網絡日志審計模塊的處理流程參考范文，愿這些范文能點燃您思維的火花，激發您的寫作靈感。歡迎深入閱讀并收藏。

無線網關是無線網絡與布線網絡之間的橋梁,所有的通信都必須經過無線網關的審計與控制.在無線網絡中,無線網關放置在無線網絡的邊緣,相當于無線網絡的大門,當無線網關遭到攻擊和入侵時,災難會殃及整個無線網絡,使無線網絡不能工作或異常工作,由此可見,對無線網關進行安全審計是十分有意義的.

本文中研究的安全審計系統是北京市重點實驗室科、研項目“智能化無線安全網關”的一部分.智能化無線安全網關在無線網關上集成具有IDS和防火墻功能的模塊,以及控制和阻斷模塊,這些功能模塊在統一操作系統的基礎上,既各司其職,又密切合作,共同完成防范、預警、響應和自學習的功能,構成一個有機的安全體系.

無線網關的安全審計系統,其主要功能就是在事后通過審計分析無線安全網關的日志信息,識別系統中的異常活動,特別是那些被其它安全防范措施所遺漏的非法操作或入侵活動,并采取相應的報告,以有利于網絡管理員及時有效地對入侵活動進行防范,確保網絡的安全[1].

1、系統功能概述

無線網關安全審計系統是針對無線網絡的安全運作而提出的,主要包括數據控制、數據采集、日志歸類、日志的審計與報警等幾大基本功能.首先,審計系統的數據控制模塊對進出的數據信息進行嚴格的控制,根據預定義的規則進行必要的限制,適當地降低風險.其次,安全審計系統的數據采集模塊收集無線安全網關的網絡日志、系統日志及用戶和應用日志.隨后,采集部件收集到的日志記錄被送到日志歸類模塊,根據日志記錄行為的不同層次來進行分類.最后,使用審計與報警模塊對日志記錄進行審計分析.這時可以根據預先定義好的安全策略對海量的日志數據進行對比分析,以檢測出無線網關中是否存在入侵行為、異常行為或非法操作.管理員可以初始化或變更系統的配置和運行參數,使得安全審計系統具有良好的適應性和可操作性.

2、系統設計

2.1系統結構組成

2.2設計思想

系統從數據采集點采集數據,將數據進行處理后放入審計數據庫,采用有學習能力的數據挖掘方法,從“正?！钡娜罩緮祿邪l掘“正常”的網絡通信模式,并和常規的一些攻擊規則庫進行關聯分析,達到檢測網絡入侵行為和非法操作的目的.

2.3系統的詳細設計

系統的處理流程

2.3.1數據的控制.數據控制模塊使用基于Netfilter架構的防火墻軟件ipbrs對進出的數據信息進行嚴格的控制,適當地降低風險.

2.3.2數據的采集.數據采集模塊,即日志的采集部件.為了實現日志記錄的多層次化,需要記錄網絡、系統、應用和用戶等各種行為來全面反映黑客的攻擊行為,所以在無線安全網關中設置了多個數據捕獲點,其中主要有系統審計日志、安全網關日志、防火墻日志和入侵檢測日志4種.2.3.3日志的歸類.日志歸類模塊主要是為了簡化審計時的工作量而設計的,它的主要功能是根據日志記錄行為的不同層次來進行分類,將其歸為網絡行為、系統行為、應用行為、用戶行為中的一種,同時進行時間歸一化.進行日志分類目的是對海量信息進行區分,以提高日志審計時的分析效率.

2.3.4日志審計與報警.日志審計與報警模塊側重對日志信息的事后分析.該模塊的主要功能是對網關日志信息進行審計分析,即將收到的日志信息通過特定的策略進行對比,以檢測出不合規則的異常事件.隨著審計過程的進行,若該異常事件的可疑度不斷增加以致超過某一閾值時,系統產生報警信息.該模塊包括日志信息的接收、規則庫的生成、日志數據的預處理、日志審計等幾個功能.

3、系統的實現

3.1系統的開發環境

智能無線安全網關安全審計系統是基于linux操作系統開發的B/S模式的日志審計系統.開發工具為:前臺:WindowsXPprofessional+html+php,后臺:Linux+Apache+Mysql+C++.

3.2日志歸類模塊的實現[2-3]

無線網關的日志采用linux的syslog機制進行記錄,sys-log記錄的日志中日期只包含月和日,沒有年份.在該模塊中,對日志記錄的syslog機制進行一些改進,克服其在日志中不能記錄年的問題.

下面以無線網關的日志為例,說明其實現過程.網關日志的保存文件為gw.log,用一個shell腳本,在每月的第一天零點,停止syslogd進程,在原來的文件名后面加上上一個月的年和月,如gw.log200603,再新建一個gw.log用于記錄當月的日志,再重啟syslogd記錄日志.這樣就把每月的日志存放在有標志年月的文件中,再利用C++處理一下,在記錄中加入文件名中的年份.

3.3日志審計與報警模塊的實現

3.3.1日志審計模塊的處理流程

3.3.2規則庫生成的實現.安全審計系統所采用的審計方法主要是基于對日志信息的異常檢測,即通過對當前日志描述的用戶行為是否與已建立的正常行為輪廓相背離來鑒別是否有非法入侵或者越權操作的存在.該方法的優點是無需了解系統的缺陷,有較強的適應性.這里所說的規則庫就是指存儲在檢測異常數據時所要用到的正常的網絡通信及操作規則的數據庫.規則庫的建立主要是對正常的日志信息通過數據挖掘的相關算法進行挖掘來完成.

首先系統從數據采集點采集數據,將數據進行處理后放入審計數據庫,通過執行安全審計讀入規則庫來發現入侵事件,將入侵時間記錄到入侵時間數據庫,而將正常日志數據的訪問放入安全的歷史日志庫,并通過數據挖掘來提取正常的訪問模式.最后通過舊的規則庫、入侵事件以及正常訪問模式來獲得最新的規則庫.可以不停地重復上述過程,不斷地進行自我學習的過程,同時不斷更新規則庫,直到規則庫達到穩定.

3.3.3日志信息審計的實現.日志審計主要包括日志信息的預處理和日志信息的異常檢測兩個部分.在對日志進行審計之前,首先要對其進行處理,按不同的類別分別接收到日志信息數據庫的不同數據表中.此外,由于所捕獲的日志信息非常龐大,系統中幾乎所有的分析功能都必須建立在對這些數據記錄進行處理的基礎上,而這些記錄中存在的大量冗余信息,在對它們進行的操作處理時必將造成巨大的資源浪費,降低了審計的效率,因此有必要在進行審計分析之前盡可能減少這些冗余信息.所以,在異常檢測之前首先要剔除海量日志中對審計意義不大及相似度很大的冗余記錄,從而大大減少日志記錄的數目,同時大大提高日志信息的含金量,以提高系統的效率.采用的方式就是將收集到的日志分為不同類別的事件,各個事件以不同的標識符區分,在存放日志的數據庫中將事件標識設為主鍵,如有同一事件到來則計數加一,這樣就可以大大降低日志信息的冗余度.在日志信息經過預處理之后,就可以對日志信息進行審計.審計的方法主要是將日志信息與規則庫中的規則進行對比,如圖3所示.對于檢測出的不合規則的記錄,即違反規則的小概率事件,記錄下其有效信息,如源、目的地址等作為一個標識,并對其設置一懷疑度.隨著日志審計的進行,如果屬于該標識的異常記錄數目不斷增加而達到一定程度,即懷疑度超過一定閾值,則對其產生報警信息.

4、數據挖掘相關技術

數據挖掘是一個比較完整地分析大量數據的過程,一般包括數據準備、數據預處理、建立數據挖掘模型、模型評估和解釋等,是一個迭代的過程,通過不斷調整方法和參數以求得到較好的模型[4].

本系統中的有學習能力的數據挖掘方法主要采用了3種算法:

1)分類算法.該算法主要將數據影射到事先定義的一個分類之中.這個算法的結果是產生一個以決策樹或者規則形式存在的“判別器”.本系統中先收集足夠多的正常審計數據,產生一個“判別器”來對將來的數據進行判別,決定哪些是正常行為,哪些是入侵或非法操作.

2)相關性分析.主要用來決定數據庫里的各個域之間的相互關系.找出被審計數據間的相互關聯,為決定安全審計系統的特征集提供很重要的依據.

3)時間序列分析.該算法用來建立本系統的時間順序模型.這個算法有利于理解審計事件的時間序列一般是如何產生的,這些所獲取的常用時間標準模型可以用來定義網絡事件是否正常.

5、結束語

該系統通過改進syslog機制,使無線網關的日志記錄更加完善.采用有學習能力的數據挖掘技術對無線網關正常日志數據進行學習,獲得正常訪問模式的規則庫,檢測網絡入侵行為和非法操作,減少人為的知覺和經驗的參與,減少了誤報出現的可能性.該系統結構靈活,易于擴展,具有一定的先進性和創新性,此外,使用規則合并可以不斷更新規則庫,對新出現的攻擊方式也可以在最快的時間內做出反應.下一步的工作是進一步完善規則庫的生成以及審計的算法,增強系統對攻擊的自適應性,提高系統的執行效率.