基于日志分析的校园网监测预警平台设计与实现.pdf

《基于日志分析的校园网监测预警平台设计与实现.pdf》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、学术探讨∙基金项目基于日志分析的校园网监测预警平台设计与实现陈荣征(广东职业技术学院，广东佛山528041)[摘要]设计并实现了一种基于日志分析的校园网监测预警平台。利用开源软件rsyslog，收集校园网络设备或*nix系统的日志信息，并实时存储到Mysql数据库，基于Apriori算法对日志信息进行分析处理，以动态监测潜在的攻击行为，一旦监测到危险行为，平台能够自动部署访问控制列表(ACL)，并及时向管理员发出预警通知，以便提前处理。平台为校园网络安全管理提供了一种有价值的参考。[关键词]日志分析；rsyslog；校园网；监测预警；LA

2、MP中图分类号：TP393.08文献标识码：A文章编号：1008-6609(2016)03-0049-03(2)具有较高的智能性1引言syslog开源软件基于syslog标准协议，负责从校园网中目前，国内高校对校园网的安全管理还主要依靠人工[1]，的各个网络节点进行信息的收集、分析与处理，平台能够从缺乏有效的安全监测预警平台支持。通常情况下，都是网络大量的日志信息中识别出可能的攻击行为，并通过反馈ACL安全事件发生后，由网络管理员去检查、分析和处理。处理进行及时处理，从而实现从网络安全预警到处理的智能化，问题时，往往需要登录大量来自不同厂

3、家的网络设备和网管降低管理员的工作负担，提高工作效率。软件，除工作量大、操作复杂外，还存在误判率高、实时性差(3)具有简洁易用性等问题。因此，设计并开发出一套具有较高实时性、良好主本着简洁易用的原则，力求界面设计简洁明了，整体风动性的校园网监测预警平台就显得尤为重要了。格协调一致，导航清晰明确。同时，平台尽可能地提供准确、2平台的总体设计详尽的攻击查询、设备管理等主要功能，用户进入该平台后，2.1开发技术的选择可以轻松查询到所需要的信息。平台采用目前国际流行的三大Web软件开发框架之一2.3平台开发采取的方法、技术路线的LAMP[2]。L

4、AMP（Linux-Apache-Mysql-PHP）技术框架中的Linux操作系统、Apache网络服务器、Mysql数据库和PHP开发语言，均是开源软件产品。LAMP技术框架作为目前国际上非常成熟的Web软件开发框架，同Java/J2EE框架与微软的.NET框架相比，LAMP在性能、质量和开发成本方面都占有绝对优势。2.2平台的总体目标(1)具有较好的兼容性目前，各高校中应用的网络安全设备或管理软件虽能处理网络安全管理中存在的诸多问题，但由于这些系统或方案普遍存在开放性不够、用户无法进行二次开发等问题。因此，平台开发基于syslog标

5、准协议，有针对性地解决设备兼容性问题。图1平台三层架构——————————————作者简介：陈荣征，男，山东临沂人，硕士，讲师，研究方向：软件技术与高职教育研究。基金项目：2015年广东职业技术学院科研项目，项目编号：K2015108。-49-学术探讨∙基金项目平台设计拟采用Web应用软件典型的三层架构模式[3]③重启rsyslog服务：（如图1所示）。#/etc/init.d/rsyslogrestart①用户层，即客户端层。用来与用户交互，并把来自系④编辑/etc/bashrc，将客户端执行的所有命令写入系统统的信息显示给用户，在该层

6、用户可以输入和更新数据。日志/var/log/messages中。#vi/etc/bashrc②业务逻辑层。该层主要用来处理客户请求，调用相应⑤在文件尾部增加一行：的核心业务逻辑模块，并把结果以动态网页的形式返回到客exportPROMPT_COMMAND='{msg=$(history1

7、{户端。readxy;echo$y;});logger"[euid=$(whoami)]":$(whoami):③数据库层。负责数据管理，完成数据存储，平台采用[`pwd`]"$msg";}'Mysql数据库，数据库中的数据主要包括日志信息、预处理信⑥

8、设置其生效：息、风险信息、日志时间信息和用户权限信息等。#source/etc/bashrc3平台的总体功能模块设计客户端配置完毕。在服务端的日志信息里可以看到客①日志信息收集与存储。利用开源软件rsyslog在户端的所有操作。4.2日志信息存储功能Linux下搭建日志收集的服务器，并将日志发送到远程的能够将校园网络设备或*nix系统的syslog日志信息进行Mysql数据库服务器。预处理，并以统一格式存储到日志数据库，清除部分冗余无②日志分析的算法设计。模拟攻击行为收集各类日志用日志。由于每条日志信息的存储类型为字符串格式，为了数据，对

9、日志进行预处理，找出攻击行为日志。根据分析到便于查询和分析，需要将日志信息按字段值拆分后再存储。的结果，基于Apriori算法对数据实时分析，生成日志事件报同时将来自不同类别设备的日志信息，分