日志审计系统设计与实现_黄艺海

《日志审计系统设计与实现_黄艺海》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第32卷第22期计算机工程2006年11月Vol.32No.22ComputerEngineeringNovember2006·软件技术与数据库·文章编号：1000—3428(2006)22—0067—02文献标识码：A中图分类号：TP393.08日志审计系统设计与实现黄艺海，胡君(浙江大学计算机学院，杭州310027)摘要：根据目前的网络环境现状，提出了一个日志审计系统的设计，介绍了该系统的重要性以及它的作用，从总体上描述了系统的框架设计，同时对系统中大的功能模块进行了阐述，并利用伪代码给出了一些关键技术的实现细节，预见了日

2、志审计系统在网络发展中的潜力。关键词：日志；实时；规则；采集DesignandImplementationofLogAuditSystemHUANGYihai,HUJun(CollegeofComputer,ZhejiangUniversity,Hangzhou310027)【Abstract】Intermsofthesituationoftoday’snetwork,thispaperproposesadesignoflogauditsystem.Thearticleintroducestheimportanceandeff

3、ectofthissystem,itdescribesthedesignofthesystem’sframeasawhole,depictsthebigmodulesofthesystem,andgivessomeexamplesoftheimplementationofkeytechniquebypseudocode,meanwhilepredictsthepotentialofthelogauditsysteminnetwork.【Keywords】Log;Real-time;Rule;Gather随着互联网的发展，网络给

4、人们的工作和生活提供了极2日志审计系统设计大的便利，但也随之带来了安全方面的隐患，若任由这些隐2.1系统功能框架患肆意发展，无论是对个人或企事业单位都将产生无法估量主要功能包括：的损失。因此，各大企业和政府机构都纷纷采取不同的措施(1)对各种操作系统系统日志、Web服务器日志、数据库日志、来加大对自身网络的管理力度，例如，在内外网之间加入防主机性能数据和SNMP日志进行采集，并将采集出的数据进行统一火墙或网络隔离和信息交换系统，在网络内部增设IDS等。格式处理。(2)对采集到审计系统中的日志进行实时处理分析，随后根据规但使用这

5、些手段，并不能完全保证网络的安全，网络管理员则库产生相应告警，并通过MSN、短信、QQ、电子邮件和电话向每天还要浏览大量的日志，来查找是否有被遗漏掉的安全隐告警员告警。患。这是一项极为繁重的工作任务，而且管理员的精力是有(3)对采集到审计系统中的日志进行事后处理分析，并产生报表。限的，很有可能会在海量的日志中遗漏掉某些重要的安全隐(4)对采集到审计系统中的日志进行定时备份存储，并支持各种患。显而易见，在网络中配备一套日志审计系统来辅助网管日志从外部导入。人员对日志进行管理、统计和分析是至关重要的。(5)为用户提供管理界面，由于

6、审计系统采用B/S架构，因此用1日志审计系统简介户可以直接通过浏览器来管理配置系统，并支持高效的组合条件查日志审计系统是一套分布式、跨平台的网络信息安全审询库存日志。2.2总体设计计系统，它支持对各种网络设备(路由器、交换机和防火墙考虑到目前在具体的复杂的大型网络中，服务器的类型等)、服务器、数据库等通用应用服务系统以及各种特定业务多种多样，操作系统也不尽相同，因此日志管理审计系统必系统在运行过程中产生的日志、消息、状态等信息的实时采须满足跨平台的要求，这就必然导致需要利用分层结构来设集，在实时分析的基础上，监测各种软硬件系统

7、的运行状态，计整个系统。首先，在最前端的是日志采集代理层(探测器发现各种异常事件并发出实时告警，提供对存储的历史日志层)，这一层作为整个系统数据来源的入口，即所有日志的入数据进行数据挖掘和关联分析，通过可视化的界面和报表向口，被分为导入式采集和实时采集。其次，采集进入系统的管理人员提供准确、详尽的统计分析数据和异常分析报告，日志需要进行分析过滤处理，这些任务放置在日志服务器层，协助管理人员及时发现安全漏洞，采取有效措施，提高安全这一层大致分为日志采集中心、实时审计引擎和日志存储中等级。日志审计系统结构如图1所示。心3个模块。最

8、后，需要提供给用户一个管理整个系统以及安全审计系统查询数据、分析报表和实时监控的界面，界面管理功能放置操作系统日志数据数据库日志数据在界面管理服务器层实现。同时，考虑到日志数据是海量的，输出告警信息应用系统日志数据用规则进行分析一般的数据库服务器无法实现在这种数据量中进行查询