日志_告警關(guān)聯(lián)技術(shù)

1、安全事件關(guān)聯(lián)分析技術(shù)安全事件關(guān)聯(lián)分析技術(shù)關(guān)聯(lián)分析意義日志記錄計(jì)算機(jī)犯罪的大量“痕跡”，是計(jì)算機(jī)和網(wǎng)絡(luò)系統(tǒng)用于記錄發(fā)生在計(jì)算機(jī)本地系統(tǒng)或者網(wǎng)絡(luò)中的事件的重要審計(jì)憑據(jù)，為打擊計(jì)算機(jī)犯罪非常重要的線索和證據(jù)來源。如何充分利用日志資源在重點(diǎn)范圍內(nèi)實(shí)時(shí)發(fā)掘有效的計(jì)算機(jī)證據(jù)，重建入侵事件，追蹤入侵肇事者，是計(jì)算機(jī)取證研究領(lǐng)域中亟待解決的一個(gè)非常重要的問題。安全事件定義計(jì)算機(jī)和網(wǎng)絡(luò)上時(shí)刻發(fā)生著各種可以被觀察到的現(xiàn)象，如通過網(wǎng)絡(luò)連接到另一個(gè)系統(tǒng)、發(fā)送數(shù)據(jù)包、瀏覽網(wǎng)頁(yè)等，這些現(xiàn)象可能是由一些惡意的人為行為引起的。我們將安全事件定義為那些影響計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)安全的不正當(dāng)行為。這些不正當(dāng)行為包括對(duì)系統(tǒng)的破壞、未經(jīng)授

2、權(quán)的情況下使用另一個(gè)賬戶或系統(tǒng)的特殊權(quán)以及執(zhí)行惡意代碼并毀壞數(shù)據(jù)等。根據(jù)上述對(duì)安全事件的定義，我們可將安全事件分為兩類：一種是其發(fā)生環(huán)境局限于本地主機(jī)，稱之為主機(jī)安全事件；另外一種是發(fā)生于網(wǎng)絡(luò)環(huán)境中的事件，稱之為網(wǎng)絡(luò)安全事件。對(duì)于安全事件，我們一般只能通過專門的工具或設(shè)備如防火墻、IDS（入侵檢測(cè)系統(tǒng)）等檢測(cè)出。所以安全事件的最終表現(xiàn)形式為這些工具或設(shè)備產(chǎn)生的報(bào)警信息和日志信息。另外必須指出報(bào)警的發(fā)生和真正事件的發(fā)生并不等價(jià)，有可能是誤告警基本方法針對(duì)系統(tǒng)日志取證進(jìn)行分析的方法有：基于日志規(guī)則庫(kù)的分析方法，即通過收集人侵攻擊和系統(tǒng)缺陷的相關(guān)日志知識(shí)來構(gòu)成日志知識(shí)庫(kù)，并利用日志知識(shí)尋找企圖利用這

3、些系統(tǒng)缺陷的攻擊行為；基于統(tǒng)計(jì)的日志審計(jì)分析方法，即根據(jù)系統(tǒng)日志定義正常用戶的行為模式，然后根據(jù)當(dāng)前用戶行為模式與歷史用戶行為的偏差判斷；基于機(jī)器學(xué)習(xí)的分析方法，即利用日志的信息來學(xué)習(xí)用戶的正常行為模式，通過日志的歷史事件用一些學(xué)習(xí)算法來預(yù)測(cè)未來的用戶行為；基于數(shù)據(jù)挖掘的分析方法，即從海量日志數(shù)據(jù)中提取出所感興趣的數(shù)據(jù)信息，抽象出有利于進(jìn)行判斷和比較的特征模型，根據(jù)這些特征向量模型和行為描述模型，采用相應(yīng)的數(shù)據(jù)挖掘算法判斷出當(dāng)前網(wǎng)絡(luò)行為的性質(zhì)；基于狀態(tài)轉(zhuǎn)移的分析方法，即采用系統(tǒng)狀態(tài)、狀態(tài)轉(zhuǎn)移與日志特征的表達(dá)式來描述已知的網(wǎng)絡(luò)攻擊模式，采用優(yōu)化的模式匹配技術(shù)判斷當(dāng)前事件是否與攻擊模式匹配。重點(diǎn)：

4、關(guān)聯(lián)分析關(guān)聯(lián)是指將所有系統(tǒng)中的事件以統(tǒng)一格式綜合到一起進(jìn)行觀察。在網(wǎng)絡(luò)安全領(lǐng)域中，關(guān)聯(lián)分析是指對(duì)網(wǎng)絡(luò)全局的安全事件數(shù)據(jù)進(jìn)行自動(dòng)、連續(xù)分析，根據(jù)用戶定義的、可配置的規(guī)則來識(shí)別網(wǎng)絡(luò)威脅和復(fù)雜的攻擊模式，從而可以確定事件真實(shí)性、進(jìn)行事件分級(jí)并對(duì)事件進(jìn)行有效響應(yīng)。關(guān)聯(lián)分析可以用來提高安全操作的可靠性、效率以及可視化程度，并為安全管理和應(yīng)急響應(yīng)提供技術(shù)手段。這里關(guān)聯(lián)分析要解決的問題有：(1) 聯(lián)系可能的安全場(chǎng)景分析單個(gè)報(bào)警事件，以避免虛警；(2) 對(duì)相同、相近的報(bào)警事件作處理，以避免重復(fù)報(bào)警；(3) 挖掘深層次、復(fù)雜的攻擊行為，達(dá)到識(shí)別有計(jì)劃的攻擊，從而增加攻擊檢測(cè)率；(4) 提高分析的實(shí)時(shí)性，以利于及

5、時(shí)響應(yīng)。意義(1) 海量的信息使得安全管理員無法處理。由于安全設(shè)備太多，所提供的報(bào)警信息量太大，信息中真實(shí)報(bào)警與虛假報(bào)警混雜其中，管理員難以在有限的時(shí)間內(nèi)完全處理所有數(shù)據(jù)，更難以識(shí)別報(bào)警的真實(shí)性。(2) 安全描述片面性。網(wǎng)絡(luò)攻擊發(fā)生后，會(huì)在防火墻、IDS 等安全防護(hù)系統(tǒng)和操作系統(tǒng)的日志中留下攻擊的痕跡。孤立地看待這些系統(tǒng)產(chǎn)生的信息，從中得到的網(wǎng)絡(luò)安全狀態(tài)描述可能會(huì)片面而不準(zhǔn)確。(3) 漏報(bào)、誤報(bào)現(xiàn)象。由于檢測(cè)系統(tǒng)算法的局限性，大量的報(bào)警信息中存在著許多誤報(bào)警。在管理員面對(duì)太多的報(bào)警數(shù)據(jù)無法處理的情況下，真正的報(bào)警信息也往往會(huì)被忽略，從而造成漏報(bào)警現(xiàn)象。關(guān)聯(lián)分析的基本模型關(guān)聯(lián)分析需要采集安全設(shè)備

6、所產(chǎn)生的報(bào)警信息和日志信息，將采集來的信息進(jìn)行預(yù)處理，包括安全事件的格式統(tǒng)一化、對(duì)無用的安全事件的過濾、對(duì)安全事件的時(shí)間排序，對(duì)重復(fù)的安全事件的歸并等，然后根據(jù)有關(guān)知識(shí)進(jìn)行分析后得到相應(yīng)的結(jié)果。一個(gè)典型的關(guān)聯(lián)分析系統(tǒng)應(yīng)該包括以下幾個(gè)部件：(1) 代理端。從各個(gè)安全組件采集原始數(shù)據(jù)，對(duì)原始數(shù)據(jù)進(jìn)行預(yù)處理，并通過安全信道將數(shù)據(jù)傳送給關(guān)聯(lián)分析引擎。(2) 關(guān)聯(lián)分析知識(shí)庫(kù)。事件關(guān)聯(lián)關(guān)系的定義、事件之間推理規(guī)則的描述等。(3) 關(guān)聯(lián)分析引擎。運(yùn)用各種關(guān)聯(lián)方法從相互獨(dú)立的數(shù)據(jù)源中提取第一章 緒 論相關(guān)信息，用于安全事件的分析與處理。(4) 關(guān)聯(lián)分析結(jié)果處理。對(duì)關(guān)聯(lián)后的結(jié)果進(jìn)行顯示并做進(jìn)一步的響應(yīng)處理。關(guān)聯(lián)

7、分析的基本模型關(guān)聯(lián)分析模型如圖 1.1 所示，其中核心的部件是 2 和 3。部件 2 是部件 3 的基礎(chǔ)，部件 3 根據(jù)部件 2 提供的知識(shí)體系對(duì)接收的安全事件進(jìn)行關(guān)聯(lián)分析處理，最后將結(jié)果提交給關(guān)聯(lián)分析結(jié)果處理部件進(jìn)行顯示并做進(jìn)一步的響應(yīng)處理。介紹關(guān)聯(lián)分析技術(shù)核心領(lǐng)域論文1.綜述綜述A Comprehensive Approach to Intrusion Detection Alert Correlation2.實(shí)例實(shí)例A mission-impact-based approach to INFOSEC alarm correlation3.特定關(guān)聯(lián)技術(shù)特定關(guān)聯(lián)技術(shù)告警相似關(guān)聯(lián)Probabilistic Alert Correlation 模式識(shí)別技術(shù)LAMBDA-a language to model a database for detection of attackModeling Multistep Cyber Attacks for Scenario有限狀態(tài)機(jī)技術(shù)Fusing a Heteorgeneous Alert Stream into Scen