资源描述：
《基于防火墙日志的网络管理与用户行为分析》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。
1、2007年第10期网络应用基于防火墙日志的网络管理与用户行为分析张大雷(南京邮电大学计算机学院,江苏省南京市210003)摘要网络管理问题已经成为企业IT部门所面临的重要问题。此外,如何检测网络用户使用哪些业务,并在这些业务的基础上进一步分析出用户的兴趣和行为,这也是许多企业十分关注的问题。文章通过对防火墙日志的分析,为监视网络运行状况和分析用户行为提供了一种简单易行的方法。关键词防火墙日志;网络管理;用户行为分析随着信息技术的飞速发展,基于TCP/IP协议的以达到以下目的:a)可以限制他人进入内部网络,过互联网得到广泛应用,其影响已经渗透到我们生活滤掉不安
2、全服务和非法用户。b)防止入侵者接近用的各个角落。网络体系结构与协议的巨大成功来源户的防御设施。c)限定用户访问特殊站点。d)为监视于其开放性及简单性,而这种开放性和简单性也带网络安全提供方便。来了不少安全及管理上的问题。网络管理者迫切希2NetScreen防火墙日志概述望构建网络监视系统,实现对网络流量、资源使用情况的监视,达到加强网络管理的目的。NetScreen防火墙日志分为八种安全级别,分别此外,如何检测网络用户访问哪些外网主机、使代表不同的含义,见表1。用哪些业务,并在这些业务的基础上进一步分析出表1NetScreen防火墙日志安全级别用户的兴趣和
3、行为,以便尽可能地迎合每个用户的日志级别日志级别描述系统状态浏览兴趣并且不断调整自己来适应用户浏览兴趣的0紧急(Emergencies)系统不可用变化,从而实现主动实时推荐的目的,这也是部分企业十分迫切想要解决的问题。1告警(Alerts)应马上行动因此,本论文研究的目标是通过对NetScreen2严重的(Critical)有严重情况发生系列防火墙日志数据的集中采集、分析,构造日志分析系统以达到对网络运行状况进行检测的目的,并3错误(Errors)错误消息在此基础上进一步分析用户行为。4警告(Warnings)警告消息1防火墙的概念5通知(Notificat
4、ions)正常但重要的消息防火墙指隔离在本地网络与外界网络之间的一6信息(Informational)普通信息道防御系统,是一类防范措施的总称。在网络上,防火墙是一种有效的网络安全模型,通过它可以隔离7调试(debugging)调试信息(大量)不同网络之间的连接,同时又不会妨碍相互间的访防火墙的日志中完整地记录了每一次网络会话问。防火墙可以监控进出网络的通信,让安全、核准中的信息,在其提供的不同格式的日志数据中,通常的信息进入,同时抵制对企业构成威胁的数据。因包含产生时间、协议类型、源地址、目的地址、源端口、此,防火墙的作用是防止不希望的、未授权的通信进目的
5、端口、收发字节数等信息,各字段的意义如下:出被保护的网络而不影响正常的网络通信。随着网a)产生时间:本条日志记录的产生时间。络安全形势越来越严峻,防火墙正迅速成为控制网b)协议类型:通信时使用的协议,比如http、ftp。络系统访问的非常流行的方法。一般的防火墙都可c)源地址:通信发送者的源IP地址。29网络应用2007年第10期d)目的地址:接收者的IP地址。e)源端口:TCP或UDP通信的源端口。f)目的端口:TCP或UDP通信的目的端口。g)收发字节数:以字节为单位统计的通信发送与接收的数据总数。3防火墙审计系统的实现图1日志处理流程本系统通过日志服务
6、器接收防火墙传递过来的能,也要考虑系统与应用程序运行环境的结合问题。原始日志数据,经过滤、抽取、简化、合并及统计后存当前优秀的数据库系统非常多,如Oracle、IBMDB2储到数据库中,作为查询的基础数据。网络管理人员等数据库系统都提供了优良的性能。但是由于开发通过Web浏览器提交需查询的信息,Web服务器接成本等方面的影响,目前在小型系统开发中大量使受请求后,通过日志分析查询引擎对数据库信息分用的还是MySQL和MicrosoftSQLServer等数据析后得到结果,由Web服务器返回给查询的用户。库管理系统。两者都可以实现数据存储和使用SQL因此,该系统
7、由日志服务器、日志基础数据库、来访问数据,都支持ANSI-SQL。另外,这两种数据防火墙日志数据转换程序(也称日志预处理程序)、库系统都支持关键字索引。不论在Windows还是在日志分析和报表生成引擎、前台Web程序等组成。其他的环境下,都提供了访问这两个数据库的方法。a)日志服务器:用来接收防火墙送过来的日志由于应用程序是在MicrosoftStudio.NET2003下开数据。防火墙日志以文本方式存储,每行对应一个网发的,它为MicrosoftSQLServer专门提供了高效率络会话。的数据库连接工具ADO.NET,为了提高效率,在数b)数据库系统:要处
8、理这么大的日志数据,如果据库系统上选择Microso
