主机日志分析及其在入侵检测中的应用

主机日志在入侵检测中有着不可替代的作用,通过深入分析主机日志可以发现系统的异常行为。该文分析了主机日志的构成,主机日志在计算机安全领域中的应用,并给出了常用的主机日志和基于主机日志的入侵检测系统。主机日志的分析方法有很多,文章对这些方法进行了分类并对它们进行了详细的讨论。最后,给出了一种基于主机日志分析的入侵检测通用模型。     

日志检测技术在计算机取证中的应用

计算机取证是指对计算机入侵、破坏、欺诈、攻击等犯罪行为,利用计算机软硬件技术,按照符合法律规范的方式进行识别、保存、分析和提交数字证据的过程.作为日常安全检测的重要内容和维持系统正常运行不可缺少的工具.日志分析与检测被广泛应用于计算机取证,是评估系统运行状况,检验网络安全策略有效性的必要手段.从日志预解码、日志解码以及日志分析三个方面设计并实现了一个根据日志进行监控及取证的系统.实验结果表明该方法是有效的,能够帮助管理人员及时发现入侵,动态取证.     

基于可信计算的安全日志

保护日志免遭攻击对于入侵检测和取证具有重要的意义。本文分析了现有日志保护技术的局限性,提出了基于可信计算的安全日志系统。该系统利用嵌入式安全模块ESM(EmbeddedSecurityModule)保护日志,使得在系统遭到成功入侵的情况下,仍然可以防止入侵者修改、删除、甚至查看日志。     

一种基于污点追踪的系统审计日志压缩方法

近十年来,高级持续性威胁（APT,advanced persistent threat）越来越引起人们的关注。为了防御和检测APT攻击,学者提出了基于系统审计日志的入侵取证方案。系统审计日志可以详细记录主机上的系统调用过程,因此非常适用于入侵取证工作。然而,系统审计日志也有着致命的弊端:日志庞大冗余。再加上APT攻击往往长期潜伏、无孔不入,企业不得不为每台联网主机长期保存日志,因此导致巨大的存储计算成本。为了解决这一问题,本文提出一种模仿二进制动态污点分析的日志压缩方案T-Tracker。T-Tracker首先检测日志内部与外部数据发生交互的系统调用,生成初始污点集合,然后追踪污点在主机内的扩散过程,这个过程中只有污点扩散路径上的系统调用能被保留下来,其余均不保留,从而达到日志压缩的目的。本研究的测试表明,该方案可以达到80%的压缩效果,即企业将能够存储相当于原来数量五倍的日志数据。同时,T-Tracker完整保留了受到外部数据影响的日志记录,因此对于入侵取证而言,可以等价地替换原始日志,而不会丢失攻击痕迹。     

日志关联分析技术在计算机取证中的应用研究

日志文件是计算机取证的重要依据.分析现有日志取证技术的不足,提出基于日志关联分析的计算机取证模型,通过对犯罪入侵事件特征和序列的关联分析,提取犯罪入侵证据.     

网络日志管理分析系统构建技术研究

日志对于系统的日常运维、审计及入侵检测等具有重要作用,如何对日志进行有效的管理和分析是日志系统的重要课题.当前,对日志进行远程集中化管理和分析是普遍认同的有效手段.完整的日志系统包括日志源、日志服务器、日志存储和日志分析四个环节,其中日志服务器具有核心地位.首先介绍了常见的日志服务器系统、客户端软件及前端分析系统,详细说明了功能特性.最后分析了日志系统的部署架构和基本处理流程.     

基于网络安全的医院信息安全设计改造与分析

在医院网络信息安全管理系统的建设中,引入网络安全态势感知技术和基于日志管理、入侵监控的检测技术,配置移动Agent检测构件、Oracle数据库,对其进行网络安全威胁来源、系统安全性的监控分析,并完成该入侵检测系统方案的实验测试,得出医院网络攻击入侵日志数据和服务器故障数据的监测结果。实验结果表明,利用网络安全态势的软件监控方案,对各交换机、服务器、主机运行状态以及日志数据进行实时监控,有效提高了入侵检测的准确率和网络数据的安全性。     

基于蜜罐的数字取证系统的研究与实现

数字取证已成为信息安全和司法领域的研究热点，文中在深入分析各种Web攻击行为的基础上，利用蜜罐搭建了当前流行的Web服务器系统，综合利用基于主机和网络的入侵检测技术，开发出一套高效实用可控的Web数字取证系统。该系统通过多个分布式取证代理不断监视和分析网络中对Web服务器的访问情况，在构建高度可控的Web服务器基础上，确定网络入侵者的行为是否已构成犯罪，然后提取和分析入侵犯罪信息，实现证据信息的完整性保护，同时通过对证据进行融合．生成入侵犯罪证据。     

1U双至强服务器的高效散热

当前的网络入侵检测(IDS)系统可以分为基于主机分析和基于网络数据包分析两种基本方式。简单地讲．前者是基于主机的IDS产品，主要对主机的网络实时连接以及系统审计日志进行智能分析和判断．在宿主系统审计日志文件中寻找攻击特征．然后给出统计分析报告．后者在网络通信中寻找符合网络入侵模板的数据包．并立即作出相应反应。     

基于Windows NT主机入侵检测系统的性能和安全日志事件监控

主机入侵检测系统可以实时监测主机的各种状态,辨别可能发生的入侵行为或非法操作,在入侵行为发生的时候自动阻断非法操作,保护主机系统不受入侵,本文主要介绍其中的性能监控和安全日志事件监控这两个模块。     

基于Web应用的安全日志审计系统研究与设计

近年来随着Web应用技术的不断进步和发展,针对Web应用业务的需求越来越多,随之而来的Web应用安全攻击也呈上升趋势.目前针对网络攻击的防护技术手段也是层出不穷,但一般都是事前检测和事中防护,事后检测维护的则相应比较少.在网络中心有大量的服务器设备,Web日志文件作为服务器的一部分,详细记录设备系统每天发生的各种各样的事件,如客户端对服务器的访问请求记录、黑客对网站的入侵行为记录等,因此要想有效的管理维护设备和在攻击事件发生后及时的降低风险,分析审计日志对于事后检测和维护设备的安全是非常必要的.基于此,文章主要对基于Web应用安全日志审计系统进行研究和设计,日志审计系统主要分为三个子系统：日志采集子系统、分析引擎子系统和日志告警子系统.日志采集子系统采用多协议分析对日志进行收集,并进行相应的日志规范化和去重等处理.分析引擎子系统采用规则库和数理统计的方法,对日志特征进行提取和设置相应的统计量参数,进行比较分析.日志告警子系统则是主要配置相应策略并下发任务,对于审计结果进行界面展示或生成报告并以邮件的方式发送给用户等.     

一个基于误用检测的数据库安全审计系统

数据库审计是数据库安全的重要组成部分,包括日志记录和日志分析两部分。在SQL Server数据库中,使用审计功能只能获取审计跟踪的信息,并不具备日志分析的能力。针对SQL Server数据库审计功能的不足,给出了一个数据库安全审计系统MyAudit的设计和实现。MyAudit系统使用误用检测方法进行审计分析,能够检测出攻击企图、伪装攻击两种类型的数据库攻击。     

支持审计与取证联动的日志系统设计

目前国内外缺乏综合数据提炼能力的日志搜索和分析系统,也还没有专门同时为安全审计与计算机取证目的设计的日志保护和分析工具,针对这一现状,分析并提出了一种日志综合分析平台,以支持网络审计与计算机取证.描述了这种安全日志文件系统的构建,采集、管理和保护,可以做到审计与取证的联动分析,形成了一个高可信审计与取证能力的基本通用模型.最后给出了系统实现的界面和系统的性能分析.     

基于集群的多源日志综合审计系统

随着网络规模的扩大,日志审计系统中单个日志服务器受到处理能力的限制,已经成为系统的瓶颈。采用具备高可用性和负载均衡的日志服务器集群系统来解决这个问题,提出一个基于集群的日志审计系统。分析了该系统的体系结构、总体结构模型,以及各个组成模块的功能,并给出一个综合负载统计的动态负载均衡策略。最后,用排队论的方法来分析集群系统的性能。     

面向多平台的日志远程采集系统研究

日志对于系统的日常运维、审计及入侵检测等具有重要作用,对日志进行远程集中化管理是日志管理的有效手段。由于不同操作系统平台上支持的日志格式不统一,传统上很难将大型网络中不同系统的日志远程采集到集中的日志服务器上。nxlog是一种支持多平台的功能强大的日志采集工具,部署方便,可以在目标系统上持续稳定地收集系统日志,并支持以多种日志格式和传输模式将日志发送到远程日志服务器。同时,Syslog作为一种工业协议,也得到了越来越多的支持。基于nxlog并配合成熟的日志服务器可以构建灵活可靠的系统日志远程采集系统。实际运行结果表明该方案可有效解决大型网络中系统日志远程采集的问题。     

基于网络侦听的数据库审计方法

目前,在我国广泛使用的数据库管理系统中存在着监管失效,内部操作不透明,安全保护手段滞后等问题. 而系统自带的数据库审计服务也存在着审计日志格式繁多难于维护,长期使用审计服务后导致系统性能下降等缺陷. 因此,本文提出一种基于网络侦听技术的数据库审计方法,该方法通过监听分析数据来获取数据库操作指令,不改变现有网络结构,也不影响网络的性能,能够有效的审计监管外部入侵和内部的违规操作,为事后责任认定提供证据,可以有效的克服传统审计技术的不足.     

基于计算机审计的多Agent系统体系架构

提出了一种基于计算机审计的多Agent系统体系架构,分析了该结构中各子系统的组成 及各Agent功能特点。介绍了系统中移动审计Agent和移动Agent服务器设计实现。原型系统能够 实现实时分布在线计算机审计,表明该体系架构是切实可行的。