網(wǎng)絡(luò)安全設(shè)備日志融合技術(shù)研究.pdf

1、企事業(yè)單位通常在網(wǎng)絡(luò)的出入口處安裝多種網(wǎng)絡(luò)安全設(shè)備以保障內(nèi)部網(wǎng)絡(luò)的安全，防火墻和IDS等設(shè)備在運行過程中會產(chǎn)生大量的日志來記錄網(wǎng)絡(luò)事件。通過研究這些多源異構(gòu)的日志數(shù)據(jù)并從中提取網(wǎng)絡(luò)安全事件可以呈現(xiàn)網(wǎng)絡(luò)安全態(tài)勢，這樣能夠讓管理人員準(zhǔn)確地掌握網(wǎng)絡(luò)運行狀況同時做出正確的網(wǎng)絡(luò)決策。網(wǎng)絡(luò)安全設(shè)備日志具有海量性、多源異構(gòu)性和時空關(guān)聯(lián)等特性。本文主要對安全設(shè)備日志融合算法進行研究，通過分析并改進現(xiàn)有的數(shù)據(jù)融合算法和日志融合模型，以Hadoop大數(shù)據(jù)處

2、理平臺為基礎(chǔ)，從日志預(yù)處理、日志聚類和日志融合等方面構(gòu)建高效的日志處理算法。
　　首先，本文分析了網(wǎng)絡(luò)安全設(shè)備日志的相關(guān)概念并對已有的日志分析工具進行簡單介紹。分析日志是為了挖掘出日志中隱藏的網(wǎng)絡(luò)態(tài)勢信息，因此，本文從態(tài)勢信息獲取、態(tài)勢要素提取和態(tài)勢評估三個方面解析態(tài)勢感知模型。為了高效地處理海量多源日志數(shù)據(jù)，本文將網(wǎng)絡(luò)安全設(shè)備日志規(guī)范表示為管理配置類日志、流量異常類日志和攻擊類類日志。其次，本文提出了基于網(wǎng)絡(luò)安全設(shè)備日志屬性相異

3、度的聚類算法。該算法以網(wǎng)絡(luò)攻擊模型對應(yīng)的日志屬性特征為基礎(chǔ)，以動態(tài)時間閥值為日志聚合條件，該算法根據(jù)IP地址和端口等屬性對不同網(wǎng)絡(luò)攻擊具有相異的重要性而設(shè)置不同的貢獻權(quán)值。實驗數(shù)據(jù)表明，該聚類算法對已知的網(wǎng)絡(luò)攻擊具有很高的檢測率。日志聚類形成超警日志（Hyper_logs），本文提出了基于規(guī)則的融合算法和加權(quán)的DS證據(jù)理論對超警日志進行融合。對于攻擊類超警日志，本文針對安全設(shè)備對不同網(wǎng)絡(luò)攻擊檢測準(zhǔn)確率差異對其設(shè)置相異的權(quán)值，這樣使得日志