2013年--外文翻譯-- 以應(yīng)用為中心解析網(wǎng)絡(luò)安全和日志管理（譯文）

1、<p>　　中文6365字，3790單詞，20000英文字符</p><p>　　出處：Journal of Information Security, 2013, 4, 138-143</p><p>　　以應(yīng)用為中心解析網(wǎng)絡(luò)安全和日志管理</p><p>　　Andrew Mwaura Kahonge, William Okello-Odongo, E

2、vans K. Miriti, Elisha Abade </p><p>　　肯尼亞 內(nèi)羅畢大學(xué) 計算機與信息學(xué)院 jis2013年發(fā)布</p><p><b>　　摘要：</b></p><p>　　萬維網(wǎng)已經(jīng)成為一個擁有許多安全威脅以及已知的安全漏洞的公共環(huán)境，為了解決這個問題，各種工具和技術(shù)被開發(fā)出來，然而新的攻擊依然困擾著互聯(lián)網(wǎng)，我們

3、討論那些影響著應(yīng)用的風(fēng)險，并且解釋在企業(yè)至關(guān)重要的，以網(wǎng)絡(luò)為中心和以主機位中心的技術(shù)是多么地缺乏必要的全面安全隱患監(jiān)測級別。如果無視物理和邏輯上的模塊和分層，網(wǎng)絡(luò)網(wǎng)絡(luò)應(yīng)用跨越多個服務(wù)器的實質(zhì)是帶來一種全面的信息安全保護標(biāo)準(zhǔn)。因此，不論是以基礎(chǔ)架構(gòu)為中心還是以應(yīng)用為中心，我們對于安全機制進行分類的主要依據(jù)是被保護的資產(chǎn)是什么。之后，我們描述了以應(yīng)用為中心的安全機制。</p><p>　　關(guān)鍵詞：網(wǎng)絡(luò)安全，因特網(wǎng)，以

4、應(yīng)用為中心，以架構(gòu)為中心，以網(wǎng)絡(luò)為中心，以主機為中心，日志管理和監(jiān)控</p><p><b>　　1 引言</b></p><p>　　隨著因特網(wǎng)及網(wǎng)絡(luò)應(yīng)用的發(fā)展，全世界有大量提供給用戶的服務(wù)，許多應(yīng)用引入市場，包括信息網(wǎng)站，社交網(wǎng)絡(luò)，電子商務(wù)，還有類似SAAS的服務(wù)軟件。正如上面說的，這種發(fā)展可能對于網(wǎng)絡(luò)應(yīng)用符合互聯(lián)網(wǎng)規(guī)模的分布式超媒體系統(tǒng)的需求有很大幫助。如此，在

5、網(wǎng)絡(luò)上整合和建立更多的應(yīng)用和組件比傳統(tǒng)桌面軟件要容易得多。</p><p>　　與這一大波成功的網(wǎng)絡(luò)應(yīng)用一起到來的，是大量被發(fā)現(xiàn)的漏洞，使得服務(wù)提供者用來監(jiān)控漏洞所投入了大量精力和資源。攻擊的例子包括黑客們利用一個運行在服務(wù)器上的網(wǎng)絡(luò)應(yīng)用不當(dāng)?shù)木幋a標(biāo)準(zhǔn)或者服務(wù)器本身的固有缺陷引起的攻擊。對于保護這樣的系統(tǒng)而言，先一步的準(zhǔn)備室非常重要的。有幾種用來提高檢測和防治風(fēng)險的方案被發(fā)明了出來，包括安全審計方法和安全架構(gòu)。一

6、些方法比如安裝智能防火墻，安全的端到端通過虛擬專用網(wǎng)絡(luò)和安全套接字層通訊已被用于提高安全性并且已經(jīng)被幾種類型的網(wǎng)絡(luò)應(yīng)用程序采納。此外值得一提的事實：像是電腦和網(wǎng)絡(luò)日志被在數(shù)字取證中被當(dāng)做最重要的數(shù)據(jù)，監(jiān)測工具和技術(shù)以及智能的日志監(jiān)控和分析軟件已經(jīng)被廣泛的使用在事件的記錄中，比如系統(tǒng)日志，數(shù)據(jù)庫日志，網(wǎng)站服務(wù)器日志。然而，所有的這些方法和努力都不能保證系統(tǒng)一直安全或注意到所有針對系統(tǒng)的攻擊。</p><p>　　同

7、樣的，對于信息安全的三個原則：保密性，完整性和可用性，11條關(guān)于信息資產(chǎn)保護的標(biāo)準(zhǔn)被提了出來。這些用于系統(tǒng)安全的標(biāo)準(zhǔn)的主要思想是一個整體信息資產(chǎn)保護方法是必要的。特別地，這些標(biāo)準(zhǔn)之中的兩條便是監(jiān)控和評估對于系統(tǒng)的觀察和適當(dāng)行為表現(xiàn)的部分。監(jiān)測的第一標(biāo)準(zhǔn)也是被當(dāng)做信息安全的關(guān)鍵特別是對于那種通過分析日志監(jiān)測網(wǎng)絡(luò) 服務(wù)器，數(shù)據(jù)庫服務(wù)器，認(rèn)證服務(wù)器的網(wǎng)絡(luò)應(yīng)用。</p><p>　　我們揭示了網(wǎng)絡(luò)應(yīng)用的風(fēng)險并且盡可能地從

8、監(jiān)測角度來描述日志記錄和日志分析的意義。然后，我們給出了一個根據(jù)實現(xiàn)安全之前的提前工作來分類的安全機制總結(jié)，最后我們呈現(xiàn)了一個新的，旨在提供一個實現(xiàn)安全特別對于基于網(wǎng)絡(luò)的應(yīng)用而言關(guān)注點不同的類別。為了支持我們所推薦的這個想法， 我們將討論一個漏洞的情況。</p><p>　　2. 網(wǎng)絡(luò)應(yīng)用程序身份驗證級別</p><p>　　如圖一中的步驟a所示，當(dāng)用戶接觸網(wǎng)站時，一種認(rèn)證要求要求輸入用戶

9、名和密碼，兩種常用的方式是腳本控制的認(rèn)證和網(wǎng)站服務(wù)器控制認(rèn)證。前者包括了客戶端網(wǎng)頁用來輸入用戶名，密碼和其他認(rèn)證數(shù)據(jù)的數(shù)據(jù)實體元件，后者是網(wǎng)站服務(wù)器管理的用戶驗證保證只對有效用戶服務(wù)被請求的網(wǎng)絡(luò)資源。基本認(rèn)證和集成認(rèn)證就是這種的常見例子。</p><p>　　當(dāng)級別a完成，網(wǎng)絡(luò)資源的要求是在數(shù)據(jù)庫服務(wù)器中，如對內(nèi)容管理系統(tǒng)的情況下，服務(wù)器端腳本將啟動與數(shù)據(jù)庫服務(wù)器的連接。然后，根據(jù)不同的受眾或系統(tǒng)的類型，這個網(wǎng)絡(luò)

10、應(yīng)用可能會被設(shè)計在級別b進行認(rèn)證如圖一所示，通過N:1或1:1映射出外部或?qū)嶋H用戶和數(shù)據(jù)庫用戶的分別。</p><p>　　多對一的數(shù)據(jù)庫連接對于像是面向因特網(wǎng)的不管哪個用戶登入一大部分系統(tǒng)操作行為都是只讀操作的場景是適合的。當(dāng)數(shù)據(jù)服務(wù)有上千種需求而數(shù)據(jù)連接只有一些的時候，使用連接池也是適合的。對于這樣的情況下，一個單一的數(shù)據(jù)庫用戶名和密碼用于連接數(shù)據(jù)庫。最流行的網(wǎng)絡(luò)程序框架就是使用這種方法。</p>

11、<p>　　這種復(fù)用減少了數(shù)據(jù)庫管理開銷，也可能有性能和可擴展型優(yōu)勢。它引入了一個數(shù)據(jù)庫行為轉(zhuǎn)錄的盲點：當(dāng)分析數(shù)據(jù)庫事件日志時可能永遠(yuǎn)不會透露是誰做了什么。</p><p>　　3.影響網(wǎng)絡(luò)應(yīng)用的風(fēng)險</p><p>　　不同于傳統(tǒng)桌面系統(tǒng)，網(wǎng)絡(luò)應(yīng)用受到的原生危害是由于他們的架構(gòu)以及他們暴露給很大范圍的受眾這樣的事實。最近的研究表面，在所有的攻擊當(dāng)中，SQL注入和跨站腳本攻擊

12、時最常見也是最嚴(yán)重的攻擊。</p><p>　　3.1 網(wǎng)站服務(wù)器的內(nèi)在漏洞</p><p>　　如果網(wǎng)站服務(wù)器具有一定的脆弱性，還被攻擊者利用就可能出現(xiàn)這種情況。有些網(wǎng)站服務(wù)器有一些功能允許遠(yuǎn)程管理比如文檔管理。如果控制不充分，他們就可能是漏洞的來源。就像圖12中所示，攻擊者可能通過利用獲得訪問web服務(wù)器的方式遠(yuǎn)程到管理員之間的缺陷，然后通過遠(yuǎn)程對用戶的缺陷獲得數(shù)據(jù)庫服務(wù)器的訪問。&l

13、t;/p><p>　　3.2 網(wǎng)頁腳本中的內(nèi)在弱點 </p><p>　　一個帶有未發(fā)現(xiàn)的弱點或者缺陷的網(wǎng)頁腳本可能會被開發(fā)出來。比如，一個頁面只被設(shè)計用來進行只讀操作在申請必要控制時可能會失敗從而允許攻擊者執(zhí)行特權(quán)操作。SQL注入就是這樣的一類攻擊。它是應(yīng)用層的攻擊并且利用了網(wǎng)絡(luò)應(yīng)用中不正當(dāng)編碼標(biāo)準(zhǔn)，通過設(shè)計可以讓SQL指令從網(wǎng)絡(luò)表格注入。指令注入類似于SQL注入并且它使用網(wǎng)絡(luò)程序來執(zhí)行指令

14、像是代其進行操作系統(tǒng)調(diào)用。在眾多的現(xiàn)有類型的軟件漏洞，指令注入尤為常見，一旦，他們知道了這個網(wǎng)絡(luò)應(yīng)用程序的平臺然后執(zhí)行像是shell或者其他系統(tǒng)應(yīng)用或指令，黑客就會利用這個網(wǎng)絡(luò)程序可用的命令集。</p><p>　　跨站腳本攻擊主要是為了攻擊帶有允許用戶輸入數(shù)據(jù)這樣特性的網(wǎng)站的用戶。在這里，一個黑客輸入部分HTML或者Java/ VB腳本的語法作為數(shù)據(jù)輸入的數(shù)據(jù)，比如在博客頁面。</p><p

15、><b>　　可審計性和日志分析</b></p><p>　　在通信協(xié)議的相關(guān)領(lǐng)域，有一種由引用[14]的定義指出如果協(xié)議記錄足夠的證據(jù)來說服一個公正的第三方的組織或?qū)徟蟹剑敲磪f(xié)議帶有可審計方面的屬性。這個定義也更進一步地指出，如果一些證據(jù)以公正和透明的方式強制給定屬性那么這個判定是有價值的。因此，如果在任何審計點，公正的判斷都能被程序提供的證據(jù)滿足，那么這個程序是可審計的。這反過來

16、可以提供安全保障[15]或理由讓我們相信該程序或產(chǎn)品滿足其安全目標(biāo)。</p><p>　　日志提供有關(guān)系統(tǒng)的當(dāng)前和過去狀態(tài)的信息，所以日志時系統(tǒng)安全性寶貴的部分，對于執(zhí)行審計和取證分析也是有用的。執(zhí)行日志分析并不是對現(xiàn)有訪問控制系統(tǒng)的替代，而是加成。一個網(wǎng)絡(luò)管理者將使用日志中的數(shù)據(jù)來發(fā)現(xiàn)攻擊者如何侵入系統(tǒng)以及造成損害的類型和程度。使用審核日志已經(jīng)被安全標(biāo)準(zhǔn)推薦為評估一個IT系統(tǒng)的手段，并因此提供了保證。在網(wǎng)絡(luò)環(huán)境

17、中，日志記錄是由幾個支持的主機，如web服務(wù)器，數(shù)據(jù)庫和身份驗證服務(wù)器完成。由于幾個主機和應(yīng)用程序生成自己的日志，同時會出現(xiàn)如時間戳，不一致的內(nèi)容和格式的問題。這將導(dǎo)致它們合并為整體分析時的一項重大挑戰(zhàn)。</p><p>　　從不同的系統(tǒng)的不同的日志文件分析主要有助于從主機或系統(tǒng)的角度監(jiān)控用戶活動的有限行為。這項活動也可以提供數(shù)據(jù)庫或網(wǎng)站管理員重要的基于服務(wù)器的數(shù)據(jù)，它并不提供整體的解析。此外，當(dāng)網(wǎng)絡(luò)應(yīng)用中的一個

18、漏洞被發(fā)現(xiàn)，正常的做法是詢問網(wǎng)站服務(wù)器日志及找出可能導(dǎo)致缺陷的活動條目。一旦違規(guī)點建立后，對于易受攻擊的Web應(yīng)用程序，甚至是它的源代碼，繼續(xù)進行進一步的分析和研究，之后采取適當(dāng)?shù)拇胧?。及時是在自動化工具存在的日志分析的呈現(xiàn)中，很大一部分這可能最終還是需要被手動完成，而且可能需要較長的時間，特別是在一個非常繁忙的網(wǎng)站案例。</p><p>　　以網(wǎng)絡(luò)為中心和以主機為中心的安全保護</p><p

19、>　　最近，安全機制無論是以網(wǎng)絡(luò)還是主機為中心都是根據(jù)他們的部署模型和他們的觀察監(jiān)測活動的類型分類的。以網(wǎng)絡(luò)為中心的方法包括網(wǎng)絡(luò)準(zhǔn)入控制和入侵檢測系統(tǒng)。而以主機為中心的方法包括防病毒軟件和基于主機的入侵系統(tǒng)檢測。它們在企業(yè)中非常重要，以網(wǎng)絡(luò)為中心的安全機制在他們檢查網(wǎng)絡(luò)傳輸中的數(shù)位和數(shù)據(jù)時缺乏必要的深度和上下文尤其是數(shù)據(jù)通過SSL的情況下。此外，單獨檢測網(wǎng)絡(luò)并不能全面分析整個網(wǎng)絡(luò)安全。</p><p>　　

20、關(guān)于獲得對于網(wǎng)絡(luò)上正發(fā)生的更大的視圖的研究和一些分析工具的方法被提出。通過生成攻擊圖和建立網(wǎng)絡(luò)中設(shè)備連接關(guān)系的安全狀態(tài)的安全分析方法，是由[23]將這樣的一個方法提出來的。</p><p>　　另一方面，即使主機為中心的安全機制都能夠?qū)崿F(xiàn)比網(wǎng)絡(luò)工作中心的方法更好的深度，他們?nèi)狈σ粋€全面的視圖24，25]。這意味著，在一個大型企業(yè)系統(tǒng)跨越多個主機或一個網(wǎng)絡(luò)工作的環(huán)境中，為了確保這些信息資產(chǎn)仍然面臨挑戰(zhàn)。許多網(wǎng)絡(luò)應(yīng)用

21、都在主機之間跨越，因為它屬于從業(yè)務(wù)物理邏輯和虛擬邏輯數(shù)據(jù)庫的分離而言是很正常的。一個嚴(yán)格的以網(wǎng)絡(luò)或主機位中心的方法可能不適用在這樣的情況下。</p><p><b>　　以應(yīng)用為中心的安全</b></p><p>　　因此，我們通過關(guān)注于被保護的資源的不同標(biāo)準(zhǔn)來對安全機制進行分類，我們提出了兩個類別，以架構(gòu)為中心和以應(yīng)用為中心。不論是以主機為中心還是以網(wǎng)絡(luò)為中心的安全

22、模型可能對于以架構(gòu)為中心可能會失敗因為它們專用于保護支持系統(tǒng)和應(yīng)用的架構(gòu)。另一方面，應(yīng)用程序為中心的安全機制可能包括了所有用來保護一個應(yīng)用的工作和工具不論它存在哪里或為是什么存在。這將包括這將包括注重整體保護的應(yīng)用程序的協(xié)同的分布式入侵檢測技術(shù)。該技術(shù)需要多臺以主機或以網(wǎng)絡(luò)為中心的組件之間如一地合作和監(jiān)測，收集并檢查整個基礎(chǔ)架構(gòu)的多個實體之間的交流與來往。這是因為任何比較大的企業(yè)系統(tǒng)都會有在多重系統(tǒng)上創(chuàng)造審計數(shù)據(jù)的事務(wù)，一個簡單的業(yè)務(wù)或

23、系統(tǒng)事務(wù)都會在這樣的多重復(fù)雜的創(chuàng)造新的審計數(shù)據(jù)，設(shè)計時必須考慮要提供給安全審計使完整的事務(wù)審計的整理并且有價值的信息。</p><p>　　這樣的兩種考慮已經(jīng)由[8]和[10]所提出來，并且雙方都建議目標(biāo)網(wǎng)絡(luò)應(yīng)用改寫在每個數(shù)據(jù)庫連接請求嵌入一些用戶身份識別的表可以使數(shù)據(jù)庫有記錄附加信息的方法。這兩種方法都將至少有助于實現(xiàn)一個獨立的數(shù)據(jù)庫審計的要求。然后，我們發(fā)現(xiàn)仍有不足之處。如果沒有在數(shù)據(jù)庫和網(wǎng)站服務(wù)器日志的連接

24、產(chǎn)生，其他重要的方便就會丟失。比如，從數(shù)據(jù)庫日志單獨判斷哪些部分或網(wǎng)絡(luò)應(yīng)用是攻擊者用來傳統(tǒng)系統(tǒng)的是不可能的。此外，該方法沒有考慮基于業(yè)務(wù)過程和系統(tǒng)的邏輯預(yù)期的作用。</p><p>　　另一項有[9]提出的朝著提供完整審計信息的努力（研究）專注于讀取用戶和網(wǎng)站服務(wù)器，網(wǎng)站服務(wù)器和數(shù)據(jù)庫服務(wù)器之間的網(wǎng)絡(luò)抓包。它重建HTTP會話和數(shù)據(jù)庫連接信息，并且具有一種匹配每種網(wǎng)絡(luò)行為的用戶到生成SQL網(wǎng)絡(luò)行為的方式。然而，這種

25、方法的局限性是由于它讀取來自數(shù)據(jù)包的文本以確定變量的名稱和值的事實。這可以阻止它認(rèn)識交易數(shù)據(jù)的語義，并進一步連接或分類的日志數(shù)據(jù)，我們認(rèn)識到，一個額外的考慮需要在更高層次上比網(wǎng)絡(luò)來進行的因為這是一個完全的以應(yīng)用程序為中心的安全機制。</p><p>　　最近的全面審計跟蹤信息的嘗試是一種將審計工具綁定到候選的需要被監(jiān)測的網(wǎng)絡(luò)應(yīng)用</p><p>　　的方法，這種審計工具位于網(wǎng)頁腳本和數(shù)據(jù)庫

26、之間如圖2 所示。</p><p>　　除了記錄數(shù)據(jù)庫活動，如運行SQL查詢，該工具還記錄所有其他相關(guān)的配置文件信息，如當(dāng)前登錄的用戶，腳本文件名，依此類推，根據(jù)對安全性的要求。由[27]提出的結(jié)果斷言，日志記錄的附加層到了候選Web應(yīng)用程序的性能微小退化，因此應(yīng)用程序為中心的監(jiān)控可能的手段，無形中也考慮到了安全的其他方面。</p><p>　　以應(yīng)用程序為中心的安全機制因此會引導(dǎo)進行考慮

27、整體性質(zhì)的設(shè)計。他們將描述一個業(yè)務(wù)流程的交易的可審計性要求。對于那些駐留在多個服務(wù)器上的應(yīng)用程序，考慮因素包括準(zhǔn)確地整理審計數(shù)據(jù)或日志，包括審計數(shù)據(jù)的所有必要的數(shù)據(jù)元素。在網(wǎng)絡(luò)應(yīng)用程序環(huán)境中，例如，以應(yīng)用程序為中心的安全機制需要一個考慮到由網(wǎng)站服務(wù)器，數(shù)據(jù)庫服務(wù)器和任何其他參與服務(wù)器為每個網(wǎng)絡(luò)請求和響應(yīng)的提供的日志數(shù)據(jù)鏈接的問題的設(shè)計。</p><p>　　以應(yīng)用為中心的安全的一個重要結(jié)果是：任何基于日志審計和分

28、析方法應(yīng)該提供更好的結(jié)果。例如，四個階段的方法包括規(guī)劃，發(fā)現(xiàn)，脆弱性分析和報告[20]變得更加有效，特別是在發(fā)現(xiàn)階段因為集中式日志整合階段使得現(xiàn)在直接了當(dāng)并且準(zhǔn)確。此外，基于簽名的檢測和基于異常的檢測[5,28]，因為更加豐富的信息收集，可以更有效地使用。同樣，跨行業(yè)標(biāo)準(zhǔn)流程數(shù)據(jù)挖掘（CRISP-DM）參考模型[29]的數(shù)據(jù)制樣階段，現(xiàn)在可以進行并給予更好的結(jié)果。</p><p><b>　　漏洞場景&

29、lt;/b></p><p>　　當(dāng)進行風(fēng)險管理時，數(shù)個控制常常被定義用來減緩系統(tǒng)可能漏洞導(dǎo)致的風(fēng)險。讓我們考慮以下風(fēng)險的一個例子; “未經(jīng)授權(quán)的訪問用戶管理面板” 。未經(jīng)授權(quán)的訪問用戶管理面板” 。這種風(fēng)險可能是由于安全漏洞，如弱口令或當(dāng)管理員和服務(wù)器之間的數(shù)據(jù)傳輸是明文利用。為了減輕它，一種控制是所有遠(yuǎn)程管理訪問只能通過使用ssl加密。另一個辦法是所有的管理員口令要很強并定期更換。隨后，安全審計開始評估

30、不論控制實現(xiàn)與否并且工作在系統(tǒng)中對于涉及到構(gòu)成一個控制活動的進行多次測試以提供相同的意見。在我們的例子中，控制活動，將有兩個：1）檢查管理頁面所有的網(wǎng)站服務(wù)器日志和2）檢查密碼強度和過期策略。對于每個控制活動，一次測試將打開所有的網(wǎng)站服務(wù)器日志并且觀察客戶端IP和SSL加密級別管理部分，并分別進行密碼強度和過期的測試。</p><p>　　讓我們考慮一個網(wǎng)絡(luò)環(huán)境下的控制，并討論可能出現(xiàn)的漏洞。黑客訪問網(wǎng)站的公共部

31、分，并通過在網(wǎng)站上利用有漏洞的頁面，使用SQL注入，研究在數(shù)據(jù)庫中的用戶表，并提交了一些修改到數(shù)據(jù)庫中。黑客創(chuàng)造了一個真正擁有強大密碼，分配了管理員級別權(quán)限的新用戶X，然后試圖用這些新細(xì)節(jié)使用加密的SSL登陸用戶管理部分。這種登陸嘗試成功了~更重要的是，當(dāng)核數(shù)師做他們的測試時，他們的確發(fā)現(xiàn)沒有通過非ssl連接的用戶管理部分的訪問并且密碼強大到不會被黑客，甚至有些時候黑客行動的旗幟出現(xiàn)在審計過程中，也沒有辦法從整體上說所造成的損害或影響的

32、具體程度。</p><p>　　立即緩和問題的方法是設(shè)計在整個網(wǎng)絡(luò)解決方案上，包括適當(dāng)?shù)臄?shù)據(jù)庫用戶訪問策劃，網(wǎng)頁開發(fā)標(biāo)準(zhǔn)等，更為廣泛的控制。特別是在我們上面的例子中，一個額外的控制來限制的管理訪問特定的IP地址將減少的風(fēng)險。然而，這仍然無法停止與SQL注入相關(guān)的其它風(fēng)險。</p><p>　　以應(yīng)用為中心的安全機制在解決這個問題的三個方向上還有很長的路要走。首先，行動將被記錄用來顯示一個真

33、的用戶訪問的頁面，訪問的數(shù)據(jù)庫對象連接以及任何其他標(biāo)準(zhǔn)的信息，這樣有助于上下文建設(shè)。這個上下文信息在經(jīng)過一段時間的手機之后將會被分析用來識別代表系統(tǒng)的使用模式的上下文映射。這樣，很容易識別那些和規(guī)范中正?；蛟试S的上下文映射和標(biāo)志所不相同的情況，從而能夠檢測潛在的攻擊。其次，一旦損害發(fā)生，它將快速發(fā)現(xiàn)損害程度。這是由于其具備記錄在多重網(wǎng)絡(luò)模塊中用戶行為或活動其固有的能力的結(jié)果。在我們前面的例子中使用這些信息分別揭示了黑客的行為和可以添加的

34、控制方式。第三它可以用來作為防止攻擊的手段。一種工具，能夠從上下文日志讀取和我的狀態(tài)信息能夠認(rèn)識陌生的瀏覽習(xí)慣和阻止他們。網(wǎng)頁訪問和讀取或?qū)懭霐?shù)據(jù)庫表會形成一個關(guān)系網(wǎng)圖從我們上面的例子黑客會針對被監(jiān)控。</p><p>　　8.結(jié)論和未來工作 </p><p>　　我們已經(jīng)討論了影響網(wǎng)絡(luò)應(yīng)用的風(fēng)行以及兩種安全機制的分類，并且引用一種新的，第三種標(biāo)準(zhǔn)。這兩個分類是網(wǎng)絡(luò)中心和主機為中心的安全，

35、其中包括工具和諸如網(wǎng)絡(luò)工作訪問控制和殺毒軟件的技術(shù)。我們已經(jīng)設(shè)立了對于缺乏必要深入全面地分析整個應(yīng)用程序的安全性的企業(yè)而言盡量多的重要的方法 主要的原因是，一個企業(yè)應(yīng)用程序通常跨越在服務(wù)器上，這基于層數(shù)目。</p><p>　　因此，我們歸類安全機制要么以架構(gòu)為中心或應(yīng)用程序為中心的依據(jù)是被保護的資產(chǎn)是什么。前者將擁有網(wǎng)絡(luò)中心和主機中心的安全機制，而前者將包括那些試圖從整體上保護應(yīng)用程序，無論它跨越物理或虛擬的位

36、置或服務(wù)器的數(shù)量。為了描述應(yīng)用程序為中心的安全，我們已經(jīng)強調(diào)了朝著這方向的一些努力和研究工作，并解釋了它們的缺點。從本質(zhì)上講，我們已經(jīng)描述了要求考慮到確保對于事務(wù)業(yè)務(wù)流程的完全審計性的以應(yīng)用為中心的網(wǎng)絡(luò)應(yīng)用安全。這樣，日志分析和安全審計的提高，最終將影響系統(tǒng)的整體安全性。</p><p>　　經(jīng)確定，必須對以應(yīng)用程序為中心的安全機制，需要有對同一要求的正式規(guī)范。絕對全面的日志記錄和監(jiān)視是必要的起點，隨后更有針對性

37、的全面安全保護措施，如訪問控制。</p><p><b>　　引用文獻：</b></p><p>　　[1] R. T. Fielding and R. N. Taylor, “Principled Design of the Modern Web Architecture,” Proceedings of the 2000 In- ternational Confe

38、rence on Software Engineering, Limer- ick, 4-11 June 2000, pp. 407-416. </p><p>　　[2] Acunetix, “SQL Injection: What Is It?” Web Application Security, 2011. </p><p>　　[3]N. Borhan, R. Mahmod and

39、 A. Dehghantanha, “A Frame- work of TPM, SVM and Boot Control for Securing Fo- rensic Logs,” International Journal of Computer Applica- tions, Vol. 50, No. 13, 2012, pp. 15-19. </p><p>　　[4]M. Saleh, A. R. A

40、rasteh, A. Sakha and M. Debbabi, “Fo- rensic Analysis of Logs: Modeling and Verification,” Knowledge-Based Systems, Vol. 20, No. 7, 2007, pp. 671- 682. doi:10.1016/j.knosys.2007.05.002 </p><p>　　[5]A. Mi

41、2;ge and F. Cuppens, “Alert Correlation in a Coop- erative Intrusion Detection Framework,” Proceedings of the IEEE Symposium on Security and Privacy, Berkeley, 12-15 May 2002, pp. 202-215. </p><p>　　[6]B. So

42、lms, “Information Security—A Multidimensional Discipline,” Computer & Security, Vol. 20, No. 6, 2001, pp. 504-508. doi:10.1016/S0167-4048(01)00608-3 </p><p>　　[7]K. R. Kumar, “A Model for Information Sec

43、urity Man- agement in Government,” ISACA Journal, Vol. 4, 2011. </p><p>　　[8]A. Roichman and E. Gudes, “Fine-Grained Access Con- trol to Web Databases,” Proceedings of the 12th ACM Symposium on Access Contro

44、l Models and Technologies, SACMAT’07, Sophia Antipolis, 20-22 June 2007, pp. 31- 40. </p><p>　　[9]Y. Gonen and E. Gudes, “Users Tracking and Roles Mining in Web-Based Applications,” Proceedings of the 2011 J

45、oint EDBT/ICDT Ph.D. Workshop, Uppsala, 25 March 2011, pp. 14-18. </p><p>　　[10]A. Shulman, “Web-Exposed Databases,” Enterprise Tech Journal, 2007. </p><p>　　[11]D. R. Tsai, A. Y. Chang, P. C. L

46、iu and H.-C. Chen, “Op- timum Tuning of Defense Settings for Common on the Web Applications,” 43rd Annual 2009 International Car- nahan Conference on Security Technology, Zurich, 5-8 October 2009, pp. 89-94. </p>

47、<p>　　[12]R. P. Lippmann, et al., “Evaluating and Strengthening Enterprise Network Security Using Attack Graphs,” MIT, Cambridge, 2005. </p><p>　　[13]G. V. Jourdan, “Securing Large Applications against

48、Command Injections,” 41st Annual IEEE International Carnahan Conference on Security Technology, Ottawa, 8-11 October 2007, pp. 69-78. </p><p>　　[14]N. Gust, C. Fournet and F. Z. Nardelli, “Reliable Evi- denc

49、e: Auditability by Typing,” 14th European Sympo- sium on Research in Computer Security: ESORICS, Saint- Malo, 21-23 September 2009, pp. 168-183. </p><p>　　[15]Common Criteria, “Security Assurance Components,

50、” Common Criteria for Information Technology Security Evaluation, Version 3.1, 2009. </p><p>　　[16] A. A. Yavuz and P. Ning, “BAF: An Efficient Publicly Verifiable Secure Audit Logging Scheme for Distributed

51、 Systems,” Annual Computer Security Applications Con- ference (ACSAC), Honolulu, 7-11 December 2009, pp. 219-228. </p><p>　　[17] J. G. Cederquist, et al., “Audit-Based Compliance Con- trol,” International Jo

52、urnal of Information Security, Vol. 6, No. 2-3, 2007, pp. 33-151. </p><p>　　doi:10.1007/s10207-007-0017-y </p><p>　　[18] A. R. Arasteh, M. Debbabi, A. Sakha and M. Saleh, “Analyzing Multiple Log

53、s for Forensic Evidence,” Digi- tal Investigation: The International Journal of Digital Forensics & Incident Response, Vol. 4, No. 1, 2007, pp. 82-91. </p><p>　　[19] ISO/IEC, “Common Criteria for Informa

54、tion Technology Security Evaluation,” 2009. </p><p>　　[20] R. Meyer, “Auditing a Corporate Log Server,” SANS Institute InfoSec Reading Room, 2006. </p><p>　　[21] Moen and McClure, “Web Server Tr

55、ansaction Log Analysis Methodology,” An Evaluation of US GILS Im- plementation, 1997. </p><p>　　[22] C. O. Jonathan, “Leveraging the Cloud for Software Se- curity Services,” Ph.D. Thesis, University of Michi

56、gan, Michigan, 2012. </p><p>　　[23] Lufeng, Z., Hong, T., YiMing, C., and JianBo, Z., “Net- work Security Evaluation through Attack Graph Genera- tion,” World Academy of Science, Engineering and Tech- nology

57、, 2009, pp. 412-415. </p><p>　　[24] M. E. Locasto, J. P. Janak and S. Stolfo, “Collaborative Distributed Intrusion Detection,” Technical Report, De- partment of Computer Science, Columbia University, New Yor

58、k, 2004. </p><p>　　[25] A. R. Moheeb, M. Fabian and T. Andreas, “On the Effec- tiveness of Distributed Worm Monitoring,” Proceedings of the 14th Conference on USENIX Security Symposium, Baltimore, 31 July-5

59、August 2005, p. 15. </p><p>　　[26] European Payments Council, “The Use of Audit Trails in Security Systems: Guidelines for European Banks,” EPC AISBL Secretariat, Brussels, 2010. </p><p>　　[27]

60、A. M. Kahonge, W. Okello-Odongo and E. K. Miriti, “Increasing Auditability in Web Application Security,” (IJEECS) International Journal of Electrical, Electronics and Computer Systems, Vol. 11, No. 2, 2012. http://www.ij

61、eecs.org/archive/03.December_2012_IJEECS_p21334.pdf 2012 </p><p>　　[28] J. Stemmer, “Detecting Outliers in Web-Based Network Traffic,” University of Twente, Enschede, 2012. </p><p>　　[29] CRISP-