基于日志挖掘的網(wǎng)絡(luò)安全審計(jì)系統(tǒng)研究與實(shí)現(xiàn).pdf

1、隨著計(jì)算機(jī)應(yīng)用的普及和計(jì)算機(jī)技術(shù)的飛速發(fā)展，計(jì)算機(jī)犯罪日益增多。面對(duì)這種新興的犯罪行為，如何審計(jì)出問(wèn)題并有力地打擊計(jì)算機(jī)犯罪成為了一個(gè)新的課題。網(wǎng)絡(luò)安全審計(jì)系統(tǒng)能有效防止敏感信息等技術(shù)資料的流失；能夠有效監(jiān)督工作人員在網(wǎng)上瀏覽情況，從而抵制有害信息的入侵；能夠有效地對(duì)違法犯罪活動(dòng)進(jìn)行日志挖掘和留存整理，打擊網(wǎng)上和內(nèi)部人員犯罪活動(dòng)。
　　網(wǎng)絡(luò)安全審計(jì)的效果好壞將直接影響到我們能否及時(shí)和準(zhǔn)確地發(fā)現(xiàn)入侵或異常。本文首先研究并分析比較了目

2、前傳統(tǒng)的安全審計(jì)技術(shù)。目前應(yīng)用于安全審計(jì)領(lǐng)域的技術(shù)較多，其核心普遍采用的是先驗(yàn)庫(kù)方式。這種方式的缺點(diǎn)在于無(wú)法發(fā)現(xiàn)數(shù)據(jù)中存在的關(guān)聯(lián)規(guī)則，缺乏挖掘數(shù)據(jù)背后隱藏知識(shí)的手段，存在著準(zhǔn)確率低、檢測(cè)速度慢、自適應(yīng)差等問(wèn)題。本文針對(duì)上述問(wèn)題，所做的主要工作包括：
　　1.設(shè)計(jì)實(shí)現(xiàn)了多源日志的實(shí)時(shí)采集
　　針對(duì)單一的數(shù)據(jù)源容易造成審計(jì)分析的不準(zhǔn)確，采用代理來(lái)實(shí)現(xiàn)多點(diǎn)分布式采集，將主機(jī)數(shù)據(jù)源和網(wǎng)絡(luò)數(shù)據(jù)源有機(jī)地結(jié)合起來(lái)，并設(shè)計(jì)了MyOnEntr

3、yWritten函數(shù)和provider模式，將其應(yīng)用在審計(jì)日志采集中，提高了審計(jì)數(shù)據(jù)的全面性和實(shí)時(shí)性。
　　2.給出了一種較為全面的審計(jì)方式
　　設(shè)計(jì)了以基于日志庫(kù)中挖掘關(guān)聯(lián)規(guī)則方法為主，并結(jié)合傳統(tǒng)的先驗(yàn)庫(kù)知識(shí)和數(shù)理統(tǒng)計(jì)方法的一種較為全面的審計(jì)方式，通過(guò)審計(jì)分析主機(jī)操作和網(wǎng)絡(luò)通信行為是否出現(xiàn)異常，做出相應(yīng)的響應(yīng)方式。其中應(yīng)用了三種規(guī)則庫(kù)模式匹配方式:序列模式、時(shí)間合理性和數(shù)理統(tǒng)計(jì)方式，提高了審計(jì)的準(zhǔn)確率。
　　3.改進(jìn)

4、了傳統(tǒng)的關(guān)聯(lián)規(guī)則挖掘算法
　　通過(guò)采用新的基于樹(shù)的孩子兄弟表示法的數(shù)據(jù)結(jié)構(gòu)，改進(jìn)了傳統(tǒng)的關(guān)聯(lián)規(guī)則挖掘算法中頻繁掃描數(shù)據(jù)庫(kù)的不足，提高了算法效率；在支持度和置信度的框架下，系統(tǒng)中引入了另一個(gè)評(píng)價(jià)閾值——興趣度，用來(lái)修剪無(wú)用的規(guī)則，避免生成干擾性的關(guān)聯(lián)規(guī)則，優(yōu)化了關(guān)聯(lián)規(guī)則的評(píng)價(jià)標(biāo)準(zhǔn)；在原始數(shù)據(jù)集符號(hào)化轉(zhuǎn)換為事務(wù)數(shù)據(jù)庫(kù)時(shí)，通過(guò)結(jié)合實(shí)際情況，對(duì)事務(wù)數(shù)據(jù)庫(kù)進(jìn)行了再優(yōu)化。從而較好的解決了審計(jì)規(guī)則的自動(dòng)生成與更新，提高了審計(jì)效率。
　　4

5、.設(shè)計(jì)建立了層次化的安全防護(hù)體系
　　通過(guò)綜合應(yīng)用MD5散列函數(shù)、進(jìn)程守護(hù)、SSL以及HOOK API等，設(shè)計(jì)了實(shí)現(xiàn)了一種從最外層的用戶名口令保護(hù)到最內(nèi)層的磁盤日志文件保護(hù)這樣一種層次化的安全防護(hù)體系，保證了審計(jì)結(jié)果的真實(shí)性和可靠性，實(shí)現(xiàn)了審計(jì)系統(tǒng)自身的安全性。同時(shí)通過(guò)實(shí)時(shí)監(jiān)測(cè)操作系統(tǒng)的進(jìn)程、內(nèi)存等信息，并給予性能分析和預(yù)警報(bào)告，也在一定程度上保證了操作系統(tǒng)的安全性。
　　5.設(shè)計(jì)實(shí)現(xiàn)了基于日志挖掘的網(wǎng)絡(luò)安全審計(jì)系統(tǒng)