綜合審計(jì)取證系統(tǒng)的接口與分析.pdf

1、本文以作者參與的北京市科委攻關(guān)課題“信息安全綜合審計(jì)的日志采集與取證分析技術(shù)、網(wǎng)絡(luò)審計(jì)與取證技術(shù)的研究與開(kāi)發(fā)”子課題的研究工作為基礎(chǔ)，提出了一套信息安全綜合審計(jì)取證系統(tǒng)。對(duì)系統(tǒng)的日志格式統(tǒng)一表示與接口部分進(jìn)行了重點(diǎn)研究與實(shí)現(xiàn)，并深入研究了系統(tǒng)中日志分析與取證模塊。 日志格式統(tǒng)一表示與系統(tǒng)接口：日志采集模塊分兩部分完成，利用ODBC技術(shù)對(duì)數(shù)據(jù)庫(kù)日志進(jìn)行收集，對(duì)其他操作系統(tǒng)、安全產(chǎn)品等的日志收集通過(guò)SONP協(xié)議完成，并進(jìn)行日志信息預(yù)

2、處理。在日志格式的統(tǒng)一表示方面，根據(jù)行業(yè)標(biāo)準(zhǔn)制定了基于XML的日志格式規(guī)范，并利用MSXML實(shí)現(xiàn)對(duì)XML文檔的解析，將各種審計(jì)源的日志進(jìn)行相應(yīng)的統(tǒng)一轉(zhuǎn)化。采用Web Services技術(shù)對(duì)綜合審計(jì)取證系統(tǒng)的接口進(jìn)行描述，用戶(hù)可以通過(guò)SOAP與Hap協(xié)議相結(jié)合進(jìn)行請(qǐng)求和響應(yīng)，以實(shí)現(xiàn)系統(tǒng)網(wǎng)絡(luò)共享。 日志分析與取證：建立日志分析模型，將基于特征庫(kù)的實(shí)時(shí)檢測(cè)與基于行為的離線分析相結(jié)合以降低漏報(bào)率與誤報(bào)率，并在離線部分采用日志交集的分析方