基于Drools的安全事件回放研究及應(yīng)用.pdf

1、規(guī)則引擎由基于規(guī)則的專家系統(tǒng)中的推理引擎發(fā)展而來，其應(yīng)用領(lǐng)域已經(jīng)日益廣泛。 Drools是一種使用規(guī)則庫來實現(xiàn)專家系統(tǒng)的Java規(guī)則引擎，屬于產(chǎn)生式規(guī)則系統(tǒng)，其模式匹配過程對事實(數(shù)據(jù))與產(chǎn)生式規(guī)則作匹配，推理出會產(chǎn)生動作的結(jié)論。優(yōu)點(diǎn)在于可以將邏輯與應(yīng)用分離，當(dāng)應(yīng)用程序的需求發(fā)生改變時，可以更方便的更改其邏輯層。 本文提出一種安全事件回放的分析方法，基于Drools規(guī)則引擎對安全監(jiān)控系統(tǒng)產(chǎn)生的海量警報信息進(jìn)行壓縮，對操作

2、(攻擊)過程進(jìn)行回放。首先討論了專家系統(tǒng)以及Drools規(guī)則引擎的相關(guān)技術(shù)。然后在設(shè)計環(huán)節(jié)給出了安全事件回放的概念，并采用事件序列的方法進(jìn)行因果關(guān)聯(lián)分析以及采用泛型編程進(jìn)行事件分類，建立了系統(tǒng)的整體通用模型和關(guān)聯(lián)分析模型。研究的重點(diǎn)在于規(guī)則推理的詳細(xì)設(shè)計策略和關(guān)鍵技術(shù)的解決策略，整個設(shè)計思想具有可移植性，適用于多種安全監(jiān)測系統(tǒng)。最后，在主機(jī)監(jiān)控與安全審計系統(tǒng)中實現(xiàn)了事件回放功能，移動存儲監(jiān)控類事件的回放結(jié)果表明，警報信息數(shù)量的壓縮率在9