内网分布式用户行为审计及异常检测系统的研究与实现

《内网分布式用户行为审计及异常检测系统的研究与实现》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、浙江工业大学硕士学位论文内网分布式用户行为审计及异常检测系统的研究与实现摘要随着网络规模日益扩大，网络结构复杂化，信息安全问题越来越严重。如何保护敏感信息的安全已经成为社会、政治、经济、军事等领域的重要问题。近年来，网络攻击已经逐渐从外部攻击转向内部攻击。内部攻击具有一般性、特异性弱、隐蔽性强等特点，可以轻易绕过防火墙及入侵检测系统的监控，比外网病毒、黑客攻击等外部攻击更难防范，而且造成的损失也更大。防火墙，IDS已经不能满足这些安全需求。安全审计技术的出现极大地弥补了前两者的不足，已经成为网络安全系

2、统中重要的环节。论文归纳了内网用户行为存在的一些特点，总结了异常行为的表现形式，针对用户行为事件相关性展开研究，得出行为事件的两种关联性，即内容关联和时序关联，并针对这两种关联性设计分析方法。论文依据TCSEC、CC及GBl7859．1999安全标准，设计并实现了一含基于分布式体系结构的内网行为审计系统，该系统主要由分布式数据采集模块、过滤器模块、数据实时分析模块、报警模块组成。系统采用H00K机制，从驱动层捕获内网用户的各种操作数据(包括程序运行、文件读写、网页访问等)；审计数据通过网络传输到审计中

3、心，分析检测模块采用聚类及时序关联方法对数据进行实时分析，检测异常行为(或攻击行为)数据，并给出报警。本系统在操作系统及具体应用系统(本文采用EI冲系统)的访问控制模块中进行了测试，结果表明本系统能有效监控并记录用户各种操作，实时分析模块能有效发现用户违规异常行为及恶意攻击行为。关键词：内网安全，行为审计，异常检测，事件关联，模式匹配浙江工业大学硕七学位论文RESEARCHANDIMPLEMENTATIoNoFINTERNALNETWORKDISTBUTEDUSER’SBE姒VIoRAUDITANDA

4、BNORMALDETECTIoNSYSTEMABSTRACTAsmenetv旧rkexpendingandthes仃IJctureoftllenet、vorkbecornjngcomplicateddayaRerda弘thei11fomationsec嘶妙problemsklvebec锄emoreseriouS．HowtokeepsellSitiVeinfo加ationsecurehaSbeentheimportantissueofsocial，political，econo耐c，mjlitarya1

5、1dotller6elds．111recentyears，tllene“Ⅳorka化lcmghaS饥msf．omed自3moutsideattacldllgtoillside撇killg伊adually．Themtenlalattacktlastheck盯act耐sticssuch2Lsgeneral，、Veekspecific，s仃ong11idd9n，aIlditcallpaSsthefirewall卸dintmsiondetectionsystemeasily，anditismoredimcul

6、ttopreventthantlleanackofextemaJne饥rorkvims锄dhackers．111efire、^，甜l，IDScannotmeettllesesec谢够requirememsanymore．Thesec嘣tyaud．ttecllIlologyhasmadeupt11elackofbefore伯，og陀atly，andhaSbeentheiIllpoIrtantmeaSureoftllenetworksecu矗吼Tllis2urticlesummarizedⅡlcf-ca1

7、CuresofⅡleintemalnel№rkuser’sbehavioraIldtheabnonnalbella们orS，researchedttlecorrelationofIlSer’sbehaVioreVents，andsull=lIIledup铆okindsofcorrelationbet、veenbehaviorevems(contentcorrelationa11dtimeseriaJcorrelation)，t11endesi盟edan羽ysis撕thmeticofthet、Ⅳo“nd

8、sofcorrelation．Thenthepaperdesi印edandimplementeda访temaJnet、vorkbehaViorauditsystem州chisconsistofdis仃ibuteddatac印turemodule，filtermodule，real—tiIIleda惚anaJysismodule，aJ锄modulebaSedondistributedstructurefollowingt11es诅ndardoftheTCS