日志视角下信息系统安全 审计的模型构建及风险控制

《日志视角下信息系统安全 审计的模型构建及风险控制》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、２０１２年第９期山东社会科学Ｎｏ．９总第２０５期ＳＨＡＮＤＯＮＧＳＯＣＩＡＬＳＣＩＥＮＣＥＳＧｅｎｅｒａｌＮｏ．２０５日志视角下信息系统安全审计的模型构建及风险控制刘国城王会金（南京审计学院，江苏南京２１００２９）［摘要］信息系统日志是对系统进行实时监控和对网络中的事件进行分析的重要信息来源。信息系统的审计主体，要加强对基于日志分析的审计证据获取方法的运用和创新，并有效实现以日志审计为主导的信息系统安全审计。基于日志视角下系统安全审计的功能需求，本文提出了信息系统安全审计模型，并借鉴ＣＯＢＩＴ理论，提出以日志为导向的信息系统安全审计风险控制构想：合理规划日志的识别与

2、挖掘，加强有关信息系统安全的全过程审计；有效实施日志的挖掘与评价，科学确认有关信息系统安全的重大错报风险；强化审计网络平台的功能，努力提高信息系统审计人员的业务素质。［关键词］日志；信息系统；安全审计；ＣＯＢＩＴ［中图分类号］Ｆ２３９．１［文献标识码］Ａ［文章编号］１００３－４１４５［２０１２］０９－０１４７－０４信息系统安全，是指确保以电磁信号为主要形式的、在ｃＥｖｅｎｔ．ｅｖｔ、系统日志ＳｙｓＥｖｅｎｔ．ｅｖｔ，根据系统开通的服务还会计算机网络系统进行自动通信、处理和利用的信息内容，在产生相应的日志文件，如ＦＴＰ日志等。Ｗｉｎｄｏｗｓ下应用程序各个物理位置、逻辑

3、区域、存储和传媒介质中，处于动态或静日志主要包括有关用户程序和商业通用应用程序运行方面态过程中的保密性、完整性和可用性，与人、网络、环境有关的错误活动，如数据库中文件错误的记录；安全日志主要是的技术安全、结构安全和管理安全的总和。①信息系统安全应急响应调查阶段最有价值的日志，如系统启动和关闭等事审计是信息系统审计的一个分支，是专门针对信息系统安全件，以及与创建、打开或删除文件等资源使用相关联的事件；实施的审计。日志是信息系统所指定对象的某些操作和其系统日志是记录系统进程和设备驱动程序有关活动的文件，操作结果按时间有序的集合，②是对系统进行实时监控和对如服务异常暂停。

4、Ｗｉｎｄｏｗｓ系统外，Ｌｉｎｕｘ系统、Ｕｎｉｘ系统、网络中的事件进行分析的重要信息来源。在一个完整的信以及上述操作系统外的其他方面也都会产生各自的日志，如息系统里，日志可以记录系统构建与运营的所有行为，并按安全设备日志、网络设备日志、应用系统日志，等等。以日志照某种规范表达出来。本文认为，日志是审计主体获取信息为视角的信息系统安全审计的功能需求主要表现为：（１）建系统安全审计证据的最直接、最有价值的信息资料。信息系设审计网络平台。审计主体通过建立审计网络平台，将其融统的审计主体，要加强对基于日志分析的审计证据获取方法于被审单位的信息系统中去，并将其同运营的信息系统保

5、持的运用。此外，本文主要是针对“信息系统的内部审计”进行“实时”联络或“日常”联络；（２）实现对日志的集中管理。通研究的，这是因为被审系统的外部审计多为“事后审计”，而过网络平台，审计主体能够实现对应用程序日志、安全日志内部审计可以实现“实时审计”，二者有所差异。等多类日志的分类与集中管理，包括对日志的存储、备份、更一、日志视角下信息系统安全审计的功能需求新与删除；（３）实现对日志的识别与转换。通过网络平台，审ＷｉｎｄｏｗｓＮＴ／ＸＰ／２００３有符合Ｃ２安全等级的ＳＣＥ机制，计主体能够辨别哪些属于服务系统日志，哪些属于入侵检测其日志文件有应用程序日志ＡｐｐＥｖｅｎｔ

6、．ｅｖｔ、安全日志Ｓｅ系统日志等。同时，审计主体还需将各种日志整理、归类，并收稿日期：２０１２－０４－２３作者简介：刘国城，男，南京审计学院讲师，博士。王会金，男，南京审计学院副院长、教授、博导。基金项目：本文为教育部人文社科研究规划项目（批准号：１０ＹＪＡ７９０１８２），江苏省教育厅高校哲学社会科学研究基金（批准号：２０１２ＳＪＢ６３００４４），南京审计学院校级一般项目（批准号：ＮＳＫ２００９／Ｂ２２）的阶段性成果。①孙强：《信息系统审计》，机械工业出版社２００３年版。②梁晓雪、王锋：《基于聚类的日志分析技术综述与展望》，《云南大学学报》２００９年第１期。１４７

7、在此基础上，将所收集的不同格式的各种日志数据尽可能转数据及时存储与加密，避免相关审计资料被截获、篡改和伪化为统一格式的数据信息；（４）实现对日志的筛选与挖掘。造，平台与系统之间的通讯也尽量采用加密传输的方式。运用数学领域的数据筛选方法与数据挖掘方法从海量日志二、日志视角下信息系统安全审计的模型构架数据信息中，甄选出敏感的、异常的、可疑的日志数据；（５）实以日志为内容的信息系统安全审计是一项系统工程，这现对日志的分析、评价与报告。审计主体能够实现对异常、是因为原始的日志数据具有不易读懂、数据量大、不易获取、敏感数据的分析、及时发现系统安全存在的问题，并编制审容易被