綜合審計取證系統(tǒng)的接口與分析.pdf

1、本文以作者參與的北京市科委攻關(guān)課題“信息安全綜合審計的日志采集與取證分析技術(shù)、網(wǎng)絡(luò)審計與取證技術(shù)的研究與開發(fā)”子課題的研究工作為基礎(chǔ)，提出了一套信息安全綜合審計取證系統(tǒng)。對系統(tǒng)的日志格式統(tǒng)一表示與接口部分進(jìn)行了重點(diǎn)研究與實(shí)現(xiàn)，并深入研究了系統(tǒng)中日志分析與取證模塊。 日志格式統(tǒng)一表示與系統(tǒng)接口：日志采集模塊分兩部分完成，利用ODBC技術(shù)對數(shù)據(jù)庫日志進(jìn)行收集，對其他操作系統(tǒng)、安全產(chǎn)品等的日志收集通過SONP協(xié)議完成，并進(jìn)行日志信息預(yù)

2、處理。在日志格式的統(tǒng)一表示方面，根據(jù)行業(yè)標(biāo)準(zhǔn)制定了基于XML的日志格式規(guī)范，并利用MSXML實(shí)現(xiàn)對XML文檔的解析，將各種審計源的日志進(jìn)行相應(yīng)的統(tǒng)一轉(zhuǎn)化。采用Web Services技術(shù)對綜合審計取證系統(tǒng)的接口進(jìn)行描述，用戶可以通過SOAP與Hap協(xié)議相結(jié)合進(jìn)行請求和響應(yīng)，以實(shí)現(xiàn)系統(tǒng)網(wǎng)絡(luò)共享。 日志分析與取證：建立日志分析模型，將基于特征庫的實(shí)時檢測與基于行為的離線分析相結(jié)合以降低漏報率與誤報率，并在離線部分采用日志交集的分析方