基于多源日志的事件場(chǎng)景關(guān)聯(lián)方法研究.pdf

1、計(jì)算機(jī)取證牽涉的數(shù)據(jù)量龐大，潛在的證據(jù)通常分布在多種不同的日志中。從多源日志進(jìn)行取證，能使證據(jù)更為完備，結(jié)論更加可靠，同時(shí)也帶來(lái)了復(fù)雜度增加的問(wèn)題，分析和關(guān)聯(lián)這些日志由于需要人腦的大量參與而變得困難和乏味。因此，自動(dòng)將來(lái)自多源日志的安全事件關(guān)聯(lián)成事件場(chǎng)景成為輔助取證的迫切需要。國(guó)內(nèi)外在日志關(guān)聯(lián)技術(shù)方面做了大量工作，但總的來(lái)說(shuō)體現(xiàn)出以下幾方面問(wèn)題：(1) 關(guān)聯(lián)時(shí)人工參與多，自動(dòng)化程度不高：(2) 關(guān)聯(lián)結(jié)果難以體現(xiàn)事件發(fā)生的有序性和邏輯性；

2、(3) 處理的數(shù)據(jù)源單一，沒(méi)有從多源日志進(jìn)行關(guān)聯(lián)。 針對(duì)上述問(wèn)題，本文在結(jié)合國(guó)內(nèi)外現(xiàn)有研究成果的基礎(chǔ)上，提出了一種融合多源日志輔助取證的事件場(chǎng)景關(guān)聯(lián)方法，并設(shè)計(jì)和實(shí)現(xiàn)了一個(gè)基于所提事件場(chǎng)景關(guān)聯(lián)方法的原型系統(tǒng) PC-ECF。所提方法思想及其實(shí)現(xiàn)過(guò)程描述如下： 考慮到來(lái)自多源日志的相關(guān)安全事件不是孤立的，而是具有內(nèi)在邏輯聯(lián)系的，本文利用事件“前提/結(jié)果”因果關(guān)系對(duì)安全事件進(jìn)行場(chǎng)景關(guān)聯(lián)。事件前提是指使事件成功發(fā)生所必須滿(mǎn)足的條

3、件集合；事件結(jié)果是指事件成功發(fā)生后必然造成的后果集合。該方法首先對(duì)標(biāo)準(zhǔn)的 IDMEF 數(shù)據(jù)模型進(jìn)行了擴(kuò)展，用擴(kuò)展后的數(shù)據(jù)模型 Event 對(duì)來(lái)自多源日志的各類(lèi)安全事件進(jìn)行格式化；再憑借專(zhuān)家經(jīng)驗(yàn)定義出事件“前提/結(jié)果”知識(shí)庫(kù)，事件的“前提/結(jié)果”知識(shí)采用謂詞邏輯的形式表示；通過(guò)匹配前一事件發(fā)生的結(jié)果和后一事件發(fā)生的前提，將這些事件關(guān)聯(lián)成事件場(chǎng)景；最后關(guān)聯(lián)的結(jié)果用本文定義的事件關(guān)聯(lián)圖的形式進(jìn)行可視化。 實(shí)驗(yàn)結(jié)果表明，利用本文所提事件