基于規(guī)則事件流處理引擎的安全事件監(jiān)控系統(tǒng)研究.pdf

1、隨著網(wǎng)絡(luò)攻擊的頻繁出現(xiàn)，使得人們對(duì)網(wǎng)絡(luò)安全實(shí)時(shí)監(jiān)控的需求日益迫切，而監(jiān)控中對(duì)安全告警事件的處理以及分析直接反應(yīng)了安全監(jiān)控平臺(tái)的工作能力，那么如何快速高效的處理大量安全事件成為監(jiān)控的關(guān)鍵之一，這也是本文的主要研究工作。本文沒有采取傳統(tǒng)的基于數(shù)據(jù)庫(kù)的事件處理技術(shù)，而另辟蹊徑的將事件流技術(shù)應(yīng)用到網(wǎng)絡(luò)安全事件處理中，利用事件流技術(shù)的快速處理優(yōu)勢(shì)，提高事件處理速率；同時(shí)又將規(guī)則引擎融入到事件流框架中，利用其優(yōu)化的規(guī)則分配機(jī)制以及復(fù)雜邏輯執(zhí)行能力，

2、實(shí)現(xiàn)了對(duì)海量事件的并行計(jì)算和深度挖掘分析能力，并基于上述兩種技術(shù)設(shè)計(jì)開發(fā)了一套規(guī)則事件流處理引擎——R-ESPE(Rule-Event Stream Process Engine)，最后將該引擎應(yīng)用在本文設(shè)計(jì)的安全事件監(jiān)控系統(tǒng)中。該系統(tǒng)在輸入端完成了對(duì)多種網(wǎng)絡(luò)安全設(shè)備的標(biāo)準(zhǔn)化工作，因此能夠統(tǒng)一采集、解析多種安全設(shè)備發(fā)送的告警事件；當(dāng)形成的輸入事件流通過R-ESPE時(shí)，該引擎使用EQL接口語(yǔ)言可有效支持對(duì)高速大規(guī)模網(wǎng)絡(luò)安全事件的快速實(shí)時(shí)處

3、理和復(fù)雜邏輯計(jì)算分析，并保證基于其上的事件監(jiān)控系統(tǒng)能夠高效運(yùn)行。然而隨著對(duì)事件流處理技術(shù)的研究深入，發(fā)現(xiàn)其存在一個(gè)問題——規(guī)則調(diào)度時(shí)間的控制混亂，當(dāng)使用事件流技術(shù)處理安全事件的操作越復(fù)雜，這種時(shí)間的控制越困難，因此本文在最后又提出了一種改進(jìn)的R-ESPE框架，將工作流機(jī)制加入到事件流處理中，利用工作流的過程模型預(yù)先定義好整套規(guī)則執(zhí)行流程，并由工作流引擎決定何時(shí)調(diào)度哪個(gè)規(guī)則進(jìn)行查詢和計(jì)算分析，從而解決了無法控制規(guī)則調(diào)度時(shí)間的問題，實(shí)現(xiàn)了更