基于Agent技術(shù)的網(wǎng)絡(luò)安全審計(jì)模型研究與實(shí)現(xiàn).pdf

1、隨著計(jì)算機(jī)網(wǎng)絡(luò)的發(fā)展和計(jì)算機(jī)應(yīng)用的普及，網(wǎng)絡(luò)和網(wǎng)絡(luò)信息的安全問(wèn)題日益突出。目前，網(wǎng)絡(luò)安全的研究較多地集中在訪問(wèn)控制、數(shù)據(jù)加密、防火墻技術(shù)和入侵檢測(cè)技術(shù)上，而忽略了出現(xiàn)較多安全問(wèn)題的內(nèi)網(wǎng)的管理控制和用戶行為審計(jì)。安全審計(jì)技術(shù)作為繼防火墻和入侵檢測(cè)系統(tǒng)后的第三道防線，能夠?qū)崿F(xiàn)對(duì)系統(tǒng)和內(nèi)部網(wǎng)絡(luò)安全事件的跟蹤、記錄和再現(xiàn)，提高局域網(wǎng)的管理力度，有效保障網(wǎng)絡(luò)的整體安全性。
　　基于日志分析的網(wǎng)絡(luò)安全審計(jì)系統(tǒng)是目前的主流研究方向之一，如何提高

2、審計(jì)日志分析效率是研究的熱點(diǎn)問(wèn)題。但是隨著網(wǎng)絡(luò)規(guī)模的增大和日志數(shù)據(jù)種類的增多，集中式的審計(jì)結(jié)構(gòu)面臨消耗較多網(wǎng)絡(luò)資源和審計(jì)中心負(fù)擔(dān)大等問(wèn)題，不利于審計(jì)分析效率的提高。本文借助于Agent技術(shù)自治、智能、協(xié)作等特點(diǎn)，構(gòu)建了一個(gè)基于Agent技術(shù)的網(wǎng)絡(luò)安全審計(jì)系統(tǒng)，所做的工作主要有:
　　1、設(shè)計(jì)和實(shí)現(xiàn)了分布式的日志數(shù)據(jù)采集。
　　利用Agent技術(shù)實(shí)現(xiàn)對(duì)局域網(wǎng)內(nèi)主機(jī)系統(tǒng)日志、安全日志以及網(wǎng)絡(luò)數(shù)據(jù)包等多個(gè)審計(jì)數(shù)據(jù)源的實(shí)時(shí)采集和處理

3、。結(jié)合多種數(shù)據(jù)源的分析，解決了只分析單一數(shù)據(jù)源帶來(lái)的審計(jì)不準(zhǔn)確的問(wèn)題，提高審計(jì)日志數(shù)據(jù)的整體分析水平和判斷能力。
　　2、改進(jìn)了傳統(tǒng)的關(guān)聯(lián)規(guī)則挖掘算法和基于滑動(dòng)窗口的信息熵檢測(cè)算法，用于挖掘和完善審計(jì)規(guī)則，提高了審計(jì)分析 Agent中規(guī)則庫(kù)更新的智能性。
　　在系統(tǒng)中使用基于“支持度-置信度”框架的Apriori算法挖掘日志數(shù)據(jù)中隱含的行為規(guī)則，但是該算法存在掃描數(shù)據(jù)庫(kù)時(shí) I/O代價(jià)較高、產(chǎn)生較多候選項(xiàng)集等問(wèn)題，致使其尋找最

4、大頻繁項(xiàng)集的效率很低?；诖耍疚奶岢隽艘环N結(jié)合排序矩陣的強(qiáng)關(guān)聯(lián)規(guī)則生成算法，該算法只需要掃描一次數(shù)據(jù)庫(kù)并且產(chǎn)生較少的候選項(xiàng)集，提高了算法效率。日志數(shù)據(jù)挖掘的規(guī)則添加入審計(jì)規(guī)則庫(kù)，較好地解決了審計(jì)規(guī)則的自動(dòng)生成和更新問(wèn)題，提高審計(jì)分析效率和審計(jì)準(zhǔn)確率。
　　分析網(wǎng)絡(luò)數(shù)據(jù)包時(shí)，結(jié)合基于滑動(dòng)窗口的信息熵檢測(cè)算法可以發(fā)現(xiàn) UDPFlood、SYNFlood等 DoS攻擊行為，避免了使用數(shù)理統(tǒng)計(jì)等方法帶來(lái)的漏報(bào)和誤報(bào)現(xiàn)象，提高審計(jì)分析的智

5、能性。
　　3、設(shè)計(jì)了一個(gè)基于Agent技術(shù)的網(wǎng)絡(luò)安全審計(jì)模型并加以實(shí)現(xiàn)。
　　結(jié)合局域網(wǎng)實(shí)際，在局域網(wǎng)網(wǎng)關(guān)服務(wù)器和各網(wǎng)絡(luò)節(jié)點(diǎn)分布具備不同功能的Agent實(shí)體:數(shù)據(jù)采集 Agent、審計(jì)分析 Agent、管理控制中心 Agent和客戶端 Agent。利用數(shù)據(jù)采集Agent實(shí)現(xiàn)多數(shù)據(jù)源的分布式采集；利用數(shù)據(jù)挖掘技術(shù)和入侵檢測(cè)相關(guān)算法挖掘和完善審計(jì)規(guī)則，提高審計(jì)分析 Agent的智能性；同時(shí)，通過(guò)基于Socket類的通信機(jī)制實(shí)現(xiàn)