畢設(shè)論文--網(wǎng)絡(luò)安全審計系統(tǒng)中日志的分析及處理

1、<p>　　網(wǎng)絡(luò)安全審計系統(tǒng)中日志的分析及處理</p><p><b>　　摘要</b></p><p>　　復雜網(wǎng)絡(luò)系統(tǒng)在運行過程中會產(chǎn)生大量的日志數(shù)據(jù)，這些日志包含了關(guān)于網(wǎng)絡(luò)運行、安全及狀態(tài)等方面的數(shù)據(jù)。網(wǎng)絡(luò)安全審計系統(tǒng)正是順應(yīng)了網(wǎng)絡(luò)安全管理的潮流，通過綜合審計技術(shù)使網(wǎng)絡(luò)安全體系的各模塊做到資源整合，協(xié)調(diào)一致，達到整體安全控制的效果。網(wǎng)絡(luò)安全審計系統(tǒng)把日

2、志記錄存儲在數(shù)據(jù)庫中，用戶通過用戶控制臺來審計分析數(shù)據(jù)庫日志，這不僅能夠有效地審計系統(tǒng)的安全，同時避免了處理龐大的日志數(shù)據(jù)而浪費大量系統(tǒng)資源。</p><p>　　本課題主要研究的是網(wǎng)絡(luò)安全審計系統(tǒng)中日志的分析及處理。通過對不同類型日志進行數(shù)據(jù)清理和數(shù)據(jù)歸并，達到網(wǎng)絡(luò)安全日志的統(tǒng)一格式化，在保留各自安全產(chǎn)品個性的同時消除其冗余和復雜配置的差異。這為日志的審計提供了大量有效的日志數(shù)據(jù)。在此基礎(chǔ)上，用戶可以按不同的日

3、志類型來查詢數(shù)據(jù),也可以按不同的組合字段模糊查詢并選擇合適的數(shù)據(jù)表導出備份。</p><p>　　系統(tǒng)采用.NET開發(fā)平臺，開發(fā)語言選擇C#，數(shù)據(jù)庫服務(wù)器選用SQL Server2005，從而實現(xiàn)網(wǎng)絡(luò)安全審計系統(tǒng)中日志的分析及處理。</p><p>　　關(guān)鍵詞：網(wǎng)絡(luò)安全審計系統(tǒng)；日志的分析及處理；.NET；數(shù)據(jù)清理；數(shù)據(jù)歸并</p><p>　　THE LOG AN

4、ALYSIS AND PROCESSING IN THE SYSTEM OF NETWORK SECURITY AUDIT</p><p><b>　　Abstract</b></p><p>　　Complex network system will produce a large amount of log data in the processing of op

5、eration. These logs contain information about the network operation, security and state of the data. The system of network security audit is conform to the trend of network security management, which through the comprehe

6、nsive audit technique makes each module of the network security system to achieve integration and coherence of resources, then achieves the effect of overall safety control. Network security aud</p><p>　　The

7、 main subject of the study is log analysis and treatment of the network security auditing system. Through the data cleaning and data merging of different types of log, we can get a unified format of network security log,

8、 at the same time , eliminate the redundancy and differences in their complex configuration while retaining their individuality of security products. This provides a valid log data to the log audit. On this basis, the s

9、ystem support data query according to different type of l</p><p>　　The system uses .NET development platform, development language selection in C#, database server use the SQL Server 2008, in order to achiev

10、e log analysis and treatment of the network security auditing system.</p><p>　　Keywords: the network security auditing system; log analysis and treatment; .NET; data cleaning ; data merging</p><p

11、><b>　　目 錄</b></p><p><b>　　摘要I</b></p><p>　　AbstractII</p><p><b>　　1 緒論1</b></p><p>　　1.1 日志安全審計系統(tǒng)研究背景1</p><p>

12、;　　1.2 國內(nèi)外研究現(xiàn)狀1</p><p>　　1.2.1 安全審計系統(tǒng)研究現(xiàn)狀1</p><p>　　1.2.2日志監(jiān)控與管理技術(shù)研究現(xiàn)狀2</p><p>　　1.3 本文研究意義和所做工作3</p><p>　　1.4 本文的組織結(jié)構(gòu)4</p><p>　　2 相關(guān)理論研究5</p>

13、<p>　　2.1.NET框架和數(shù)據(jù)庫技術(shù)5</p><p>　　2.2 網(wǎng)絡(luò)日志特點及應(yīng)用6</p><p><b>　　2.3日志類型8</b></p><p>　　2.3.1 windows 日志8</p><p>　　2.3.2 防火墻日志8</p><p>　　2

14、.4 數(shù)據(jù)清理技術(shù)8</p><p>　　2.5 數(shù)據(jù)歸并技術(shù)9</p><p>　　2.6 本章小結(jié)10</p><p><b>　　3 系統(tǒng)設(shè)計11</b></p><p>　　3.1 系統(tǒng)需求分析11</p><p>　　3.2 系統(tǒng)功能設(shè)計11</p><p

15、>　　3.2.1 系統(tǒng)流程圖11</p><p>　　3.2.2 系統(tǒng)數(shù)據(jù)庫設(shè)計12</p><p>　　3.2.3 用戶信息管理模塊15</p><p>　　3.2.4 日志信息管理模塊15</p><p>　　3.3本章小結(jié)16</p><p><b>　　4 系統(tǒng)實現(xiàn)17</b&

16、gt;</p><p>　　4.1 開發(fā)工具17</p><p>　　4.2 整體設(shè)計界面代碼實現(xiàn)及界面17</p><p>　　4.2.1 用戶信息管理模塊17</p><p>　　4.2.2 日志查詢模塊實現(xiàn)20</p><p>　　4.2.3 日志處理模塊實現(xiàn)21</p><p>

17、;　　4.2.4 日志導出模塊實現(xiàn)23</p><p>　　4.3 本章小結(jié)23</p><p>　　5系統(tǒng)測試結(jié)果和運行實例25</p><p>　　5.1 用戶信息管理25</p><p>　　5.2 日志查詢28</p><p>　　5.3 日志處理32</p><p>　　5

18、.4 日志導出34</p><p><b>　　5.5 小結(jié)35</b></p><p><b>　　總結(jié)36</b></p><p><b>　　參考文獻37</b></p><p><b>　　致 謝40</b></p><

19、;p><b>　　1 緒論</b></p><p>　　1.1 日志安全審計系統(tǒng)研究背景</p><p>　　近年來，隨著Internet 的飛速發(fā)展和電子商務(wù)的普遍應(yīng)用，計算機通信網(wǎng)絡(luò)在給我們帶來便利的同時，隨之而來的還有層出不窮的網(wǎng)絡(luò)安全問題。為了保證通信和網(wǎng)絡(luò)安全以及網(wǎng)絡(luò)上信息的機密性和完整性，防止外部或內(nèi)部網(wǎng)絡(luò)的各種攻擊行為，越來越多的網(wǎng)絡(luò)安全設(shè)備和產(chǎn)

20、品，如防火墻、入侵檢測系統(tǒng)、漏洞掃描系統(tǒng)、防病毒軟件得以廣泛應(yīng)用。這些網(wǎng)絡(luò)工具和網(wǎng)絡(luò)設(shè)備對于檢測分析、評估監(jiān)控、關(guān)聯(lián)各種網(wǎng)絡(luò)安全事件以及對危險事件進行預警有著重要的價值，但同時也引出了許多問題[1,2]：</p><p>　　(1）安全數(shù)據(jù)的數(shù)據(jù)量龐大且冗余，安全資料零星雜亂，不易發(fā)現(xiàn)隱藏在其中的安全事件。一方面，面對海量的安全數(shù)據(jù)，如果單純依賴網(wǎng)絡(luò)安全管理人員的經(jīng)驗，手工對其進行處理，去發(fā)現(xiàn)有價值的信息，幾乎是

21、不可能實現(xiàn)的任務(wù)。</p><p>　　(2）另一方面，存在大量虛假攻擊的安全資料，黑客利用某些工具攻擊網(wǎng)絡(luò)安全設(shè)備，故意產(chǎn)生大量安全事件。</p><p>　　如何對各類安全事件進行有效的管理，并從大量的數(shù)據(jù)中提取出重要的信息，準確、全面的預測可能的網(wǎng)絡(luò)安全事件，成為網(wǎng)絡(luò)安全聯(lián)動系統(tǒng)中急需解決的問題。</p><p>　　通過日志獲取網(wǎng)絡(luò)系統(tǒng)情況是網(wǎng)絡(luò)安全管理的一

22、個重要分支。復雜網(wǎng)絡(luò)系統(tǒng)每天產(chǎn)生大量日志信息。對日志進行統(tǒng)一管理，通過對它們分析及時了解系統(tǒng)狀況，發(fā)現(xiàn)潛在威脅和攻擊，并在第一時間對異常事件作出快速響應(yīng)，這是網(wǎng)絡(luò)與系統(tǒng)管理亟待解決的問題，也是提高網(wǎng)絡(luò)系統(tǒng)整體安全性能的關(guān)鍵。日志安全審計系統(tǒng)日志的分析及處理就是為達到這一目標而誕生的智能反饋部件，其連接了評估、檢測、防護、響應(yīng)、恢復這些關(guān)鍵的安全過程，把海量的日志數(shù)據(jù)轉(zhuǎn)化為人們可理解可管理的安全知識，從而促進安全閉環(huán)反饋系統(tǒng)的形成[3]。

23、 </p><p>　　1.2 國內(nèi)外研究現(xiàn)狀</p><p>　　1.2.1 安全審計系統(tǒng)研究現(xiàn)狀</p><p>　　基于日志的網(wǎng)絡(luò)安全審計系統(tǒng)的思想是：用戶可以通過基于日志的網(wǎng)絡(luò)安全審計系統(tǒng)的用戶控制臺審計分析日志，能夠更有效地審計系統(tǒng)的安全，同時避免處理龐大的日志數(shù)據(jù)而浪費大量系統(tǒng)資源。</p><p>　　目前從國內(nèi)外發(fā)展情況來看，

24、基于日志來綜合分析網(wǎng)絡(luò)安全問題的產(chǎn)品主要有：美國的LogLogic、杭州思福迪信息技術(shù)有限公司的LogBase日志管理綜合審計系統(tǒng)、華為3Com的XLog網(wǎng)絡(luò)同志審計系統(tǒng)、北京清華得實科技股份有限公司的NetSC日志審計系統(tǒng)。</p><p>　　LogLogic 公司是目前為止全世界第一家對同志數(shù)據(jù)進行全方位管理的硬件設(shè)備廠商，率先提出“日志生命周期智能化管理”概念，對日志數(shù)據(jù)進行采集、匯聚、存儲、歸檔、分析和

25、報警、實時監(jiān)控。這種有效的管理方法可以優(yōu)化網(wǎng)絡(luò)運行效果，提高網(wǎng)絡(luò)可用性和安全性，提供可靠的網(wǎng)絡(luò)信息審計，簡化為適應(yīng)行業(yè)法規(guī)要求所需的工作，從而大大降低運營成本，還可以協(xié)助IT決策和風險管理。</p><p>　　思福迪LogBase日志管理綜合審計系統(tǒng)能夠全面獲取和收集各類信息、同志，通過實時和事后的審計分析，為用戶預防和及時發(fā)現(xiàn)整個系統(tǒng)各組成部分(網(wǎng)絡(luò)、服務(wù)器、應(yīng)用、安全設(shè)備、終端)的運行故障、敏感操作和安全事

26、件。該系統(tǒng)能夠?qū)徲嫷娜罩景ǜ黝惥W(wǎng)絡(luò)設(shè)備的系統(tǒng)日志、各類Unix／Linux操作系統(tǒng)的系統(tǒng)日志、Windows平臺事件的日志內(nèi)容及其它審計信息、各類應(yīng)用服務(wù)的系統(tǒng)和訪問同志、各類網(wǎng)絡(luò)安全設(shè)備日志等。已經(jīng)通過了國家公安部及保密局的認證，日前應(yīng)用在一些運營商、政府及企業(yè)部門。</p><p>　　NetSC 日志審計系統(tǒng)與清華得實開發(fā)的其它產(chǎn)品：WebCM、NetST、NetAT，VPN等產(chǎn)品配合使用，可以為企事業(yè)內(nèi)

27、部局域網(wǎng)和連接Intemet用戶提供一套全面安全的解決方案，該系統(tǒng)能實時的監(jiān)測網(wǎng)絡(luò)上和用戶系統(tǒng)中發(fā)生的與安全相關(guān)的事件，并將這些情況真實、詳盡地進行記錄，在必要時能提供寶貴的數(shù)據(jù)，并具有防銷毀和篡改的功能。同時，該系統(tǒng)提供了完善的日志審計功能，可以從不同的角度對日志進行查詢和統(tǒng)計，并將結(jié)果以不同的方式展示。</p><p>　　華為的Xlog網(wǎng)絡(luò)日志審計系統(tǒng)可以與路由器、交換機、BAS等網(wǎng)絡(luò)設(shè)備共同組網(wǎng)，根據(jù)用戶

28、要求采集不同類型的網(wǎng)絡(luò)流量信息，并通過聚合、分析與統(tǒng)計，為網(wǎng)絡(luò)管理員提供用戶行為審計、流量異常監(jiān)控和網(wǎng)絡(luò)部署優(yōu)化的數(shù)據(jù)基礎(chǔ)和決策依據(jù)[4]。</p><p>　　1.2.2日志監(jiān)控與管理技術(shù)研究現(xiàn)狀</p><p>　　對于特定的操作系統(tǒng)的日志監(jiān)控與管理技術(shù)，或者對于單個應(yīng)用的日志監(jiān)控與管理技術(shù)已經(jīng)有較深入的研究，也形成了許多成熟的產(chǎn)品，包括相應(yīng)的一些工具。比如：Windows 下有 Du

29、mpel，Eventreader、Eventreporter；Linux/Unix系統(tǒng)下有 logrotate、Logcheck、Swatch 及 Syslog 等。針對單個應(yīng)用比如 Web 就有Webalizer，AWStats 和 Webtrends 等[5]。</p><p>　?。?）WindowsNT/2000 系統(tǒng)</p><p><b>　?、貲umpel</

30、b></p><p>　　在 Windows 系統(tǒng)中，Dumpel 是主要用于該系統(tǒng)下進行事件日志轉(zhuǎn)儲的一個命令行工具。該工具能夠?qū)⒈镜睾瓦h程的 Windows 日志轉(zhuǎn)換成一個文本文件，該文本文件主要以制表符作為為域分割符。該工具已經(jīng)公開，可以在微軟所發(fā)布的ResourceKit 工具箱中找到。但 Dumpel 本身有一定的不足，它一般只能從 Windows的相關(guān)日志文件中檢索內(nèi)容，這些日志文件包括：系統(tǒng)的

31、日志文件、安全日志文件和應(yīng)用程序日志文件。如果想用 Dumpel 查詢文件復制服務(wù)、目錄服務(wù)或 DNS相關(guān)的事件日志中，則無法實現(xiàn)。</p><p>　?、贓ventreader</p><p>　　Eventreader 是一款在 Window NT 操作系統(tǒng)中的日志管理工具。該工具可以幫助系統(tǒng)管理員對事件日志進行分析和管理。Eventreader 可以從 Windows（NT/2K/X

32、P）系統(tǒng)的計算機中收集相關(guān)的事件日志，而且可以把這些信息存儲到一個或幾個指定的數(shù)據(jù)庫中。更為重要的是，管理員還能夠指派多個計算機中的某一個來進行信息收集、還可以分配一個進度表，以實現(xiàn)數(shù)據(jù)收集、事件日志備份等相關(guān)參數(shù)的設(shè)置。</p><p>　?、跡ventArchiver Enterprise</p><p>　　Event Archiver Enterprise 是目前為止，比較優(yōu)秀的一

33、款基于 Windows 平臺的日志管理軟件。該工具能夠按照用戶所指定的時間從遠程主機上自動的備份操作系統(tǒng)，如 WnidowsNT/2O00/XP 的相關(guān)日志文件。在備份完成之后還能夠自動清理過時或無用的日志信息，以便為新日志更多的存儲空間。Event Archiver Enterprise 是從使用上而言，是一款最便于用戶的使用產(chǎn)品，甚至有人認為該工具達到了“設(shè)置一次，永久運行”。所以，在系統(tǒng)中，管理員如果部署了 Event Archi

34、ver Enterprise,就完全能夠?qū)⒅饕木杏趯Ω鞣N類型日志的分析，基本不用考慮繁瑣的日志備份工作。</p><p>　　（2）Web 日志分析系統(tǒng)</p><p>　　Web 日志分析系統(tǒng)在網(wǎng)絡(luò)環(huán)境中，對于站點的用戶行為進行有效地分析，并扮演著較為重要的角色。特別是在搜索引擎領(lǐng)域，它可以對關(guān)鍵詞的訪問進行相應(yīng)的統(tǒng)計分析，從而實現(xiàn)有效的用戶行為分析。近年來，隨著互聯(lián)網(wǎng)的不斷發(fā)展

35、，已經(jīng)出現(xiàn)了越來越多的 Web 日志分析工具，技術(shù)也越來越成熟，功能越來越豐富。特別是在這些工具中，許多都是開放源代碼的，最為典型和優(yōu)秀的代表就是：Webalizer 和 AWStats。除此之外，在商業(yè)軟件領(lǐng)域，Webtrends 是其中的佼佼者。</p><p>　　Webalizer 作為一款 Web 服務(wù)器日志分析程序，其效率高，并且完全免費。該較件的分析結(jié)果主要以 HTML 的文件格式進行保存，該保存方

36、式能夠方便的通過web 瀏覽器進行查看。到目前為止，有 Internet 上有很多的站點已經(jīng)使用webalizer 來對本站點的 web 服務(wù)器日志進行相應(yīng)的分析。具體而言，Webalizer主要有以下一些特性：</p><p>　?、僭摲治鲕浖遣捎玫?C 語言。C 語言本身的特點保證該軟件有很高的運行效率。一般情況下，在主頻 200Mhz 的普通 PC 機上，webalizer 的運行完全可以得到保證，其每秒

37、鐘能夠分析 10000 條左右的記錄，對一個近 40M 大小的日志文件進行分析，一般只需要 15 秒左右即可；</p><p>　?、趙beallezr 完全支持標準化的，通用的日志格式（Common Logfile Format）。另外，該軟件還能夠?qū)追N組合的日志格式（Combined Logfile Format）及其相應(yīng)的變種提供支持，從某個角度而言，完全可以通過日志類型對客戶的情況，特別是客戶使用的操作

38、系統(tǒng)類型情況進行統(tǒng)計分析。而且到目前為止，webalizer已經(jīng)完全能夠支持 wu-ftpd xferlog 日志格式，包括 squid 日志文件格式；</p><p>　?、墼撥浖梢灾С置钚羞M行配置，也可以通過文件來實施配置；</p><p>　?、茉撥浖С侄喾N語言類型，甚至可以進行本地化的工作；</p><p>　　⑤該軟件支持多種平臺，如：Windows

39、NT/2000、Unix、linux 等等。</p><p>　　1.3 本文研究意義和所做工作</p><p>　　網(wǎng)絡(luò)安全審計系統(tǒng)主要目的是構(gòu)建一個網(wǎng)絡(luò)化的日志監(jiān)控與安全審計的平臺，將處于網(wǎng)絡(luò)中不同位置的，格式也不盡相同的各種日志和審核數(shù)據(jù)統(tǒng)一進行管理，并進行綜合的分析，通過對這些綜合日志數(shù)據(jù)的全面分析，還可以發(fā)現(xiàn)一些未知的或者未被發(fā)現(xiàn)的入侵行為等等，從而為某個信息系統(tǒng)的全面安全提供可

40、靠保證。 </p><p>　　本課題研究的是網(wǎng)絡(luò)安全審計系統(tǒng)中日志的分析及處理，為網(wǎng)絡(luò)安全審計系統(tǒng)提供數(shù)據(jù)基礎(chǔ)，研究內(nèi)容包括：日志分析管理、日志的歸類、數(shù)據(jù)查詢。 </p><p>　　日志分析管理包括數(shù)據(jù)格式統(tǒng)一和數(shù)據(jù)合并。數(shù)據(jù)格式統(tǒng)一：通過尋找數(shù)據(jù)特征，在盡可能保持數(shù)據(jù)信息準確性的前提下，去掉與無關(guān)的屬性，最大限度地精簡數(shù)據(jù)量，處理后的數(shù)據(jù)按設(shè)計好的格式統(tǒng)一儲存到數(shù)據(jù)庫中。數(shù)據(jù)合并：

41、提取數(shù)據(jù)關(guān)鍵屬性，合并同類型關(guān)鍵數(shù)據(jù)，得到精練的并能充分描述對象的屬性集合。將多個數(shù)據(jù)源中的數(shù)據(jù)歸并起來，能夠減少或避免結(jié)果數(shù)據(jù)集中數(shù)據(jù)的冗余和不一致性。</p><p>　　日志歸類主要是為了簡化審計時的工作量而設(shè)計的，它的主要功能是根據(jù)日志類型的不同層次來進行分類。 </p><p>　　數(shù)據(jù)查詢的主要功能是處理和分析存儲在數(shù)據(jù)庫系統(tǒng)中的日志數(shù)據(jù)，然后以Web 形式發(fā)布，以便網(wǎng)絡(luò)管理員

42、查看日志信息。能提供基于時間、危險級別等字段的組合查詢;還包括對數(shù)據(jù)進行刪除、導出。</p><p>　　1.4 本文的組織結(jié)構(gòu)</p><p>　　本文的正文部分共分為五章，內(nèi)容安排如下：</p><p>　　第1章引言，主要介紹網(wǎng)絡(luò)安全審計系統(tǒng)的研究背景，討論了日志在網(wǎng)絡(luò)安全審計中的重要性，分析了國內(nèi)外基于日志的研究現(xiàn)狀和相關(guān)產(chǎn)品，并闡述了本課題的研究內(nèi)容，給出

43、論文總體的結(jié)構(gòu)安排。</p><p>　　第2章簡單介紹了微軟的.Net框架和數(shù)據(jù)庫技術(shù)；闡述了日志的定義、特點、用途及日志類型；分析了數(shù)據(jù)清理技術(shù)和數(shù)據(jù)歸并技術(shù)。</p><p>　　第3章主要介紹了網(wǎng)絡(luò)安全審計系統(tǒng)的需求分析；闡述了本系統(tǒng)的功能設(shè)計，包括系統(tǒng)流程圖、系統(tǒng)數(shù)據(jù)庫設(shè)計和系統(tǒng)模塊設(shè)計。</p><p>　　第4章研究了安全審計系統(tǒng)日志分析處理實現(xiàn)的相關(guān)

44、功能，包括日志的查詢，日志的關(guān)鍵字檢索，日志處理、數(shù)據(jù)導出等。本章列舉了一些重要的代碼和幾個簡單的運行界面。</p><p>　　第5章主要介紹了系統(tǒng)的運行實例，通過直觀的測試操作與結(jié)果來說明本文研究的成果。</p><p><b>　　2 相關(guān)理論研究</b></p><p>　　2.1.NET框架和數(shù)據(jù)庫技術(shù)</p><

45、;p><b>　?。?）.NET框架</b></p><p>　　所謂.NET，通常是指微軟公司推出的.NET框架（即.NET Framework）。.NET Framework是一個可以提供多語言組件開發(fā)和執(zhí)行支持的環(huán)境。換句話說，它能夠提供一個統(tǒng)一編程環(huán)境，但這是個環(huán)境的特點是：它沒有開發(fā)語言的限制。.NET存在的目的就是能夠讓程序員更高地建立更高地建立各種Web應(yīng)用程序和服務(wù)，并

46、讓Internet上的應(yīng)用程序之間可以通過Web服務(wù)進行溝通[6]。</p><p>　　.NET的推出，為我們提出了這樣一種解決方案：使用一種對各種被支持語言都相同的公共數(shù)據(jù)類型。它所提供的公共類型系統(tǒng)自己定義了一個數(shù)據(jù)類型的集合，從而屏蔽了大部分編程語言中數(shù)據(jù)類型的差異性。</p><p>　　.NET主要包括3個組成部分：服務(wù)框架、公共語言運行時和應(yīng)用程序模板。</p>

47、<p>　　.NET提供了兩類模板可供用戶自主選擇，分別為Windows應(yīng)用程序模板（Windows Forms）和Web應(yīng)用程序模板（Web Forms和Web Services），用戶可以使用這兩類模板分別進行快速的Windows程序的開發(fā)和Web程序的開發(fā)。</p><p>　　.NET的整體框架結(jié)構(gòu)圖，第一層為C#、VB、C++和JScript等高級語言程序，然后是通用語言規(guī)范、數(shù)據(jù)與XML、

48、兩類應(yīng)用程序模板基礎(chǔ)、類庫和通用語言欲行時等層?；A(chǔ)類庫是由微軟實現(xiàn)編寫好的各種程序和類，用以支持創(chuàng)建這兩類應(yīng)用程序和所需要的各種基本服務(wù)，比如對數(shù)據(jù)的訪問或是創(chuàng)建應(yīng)用程序模板（Windows Forms和Web Forms）的操作等。</p><p>　　在.NET中，用戶使用被支持語言所寫的代碼，在執(zhí)行的時候都會被轉(zhuǎn)換為MSIL（微軟中間代碼），最后轉(zhuǎn)化為機器代碼統(tǒng)一識別。</p><p&

49、gt;　　ASP.NET是微軟公司新推出的Web開發(fā)技術(shù)，是在Windows平臺下的新型Web程序開發(fā)語言。經(jīng)過幾年的改進和優(yōu)化，ASP.NET已經(jīng)成為當前網(wǎng)絡(luò)程序開發(fā)和網(wǎng)站開發(fā)的潮流。</p><p><b>　?。?）數(shù)據(jù)庫技術(shù)</b></p><p>　　SQL是英文Structured Query Language的縮寫，意思為結(jié)構(gòu)化查詢語言，SQL Serv

50、er是人們常用的數(shù)據(jù)庫之一。SQL之所以能夠為用戶和業(yè)界所接受，并成為國際標準，是因為它是一個綜合的、功能極強同時又簡潔易學的語言，SQL集數(shù)據(jù)查詢、數(shù)據(jù)操縱、數(shù)據(jù)定義和數(shù)據(jù)控制功能于一體[7]，主要特點包括：</p><p><b>　　綜合統(tǒng)一</b></p><p>　　數(shù)據(jù)庫系統(tǒng)的主要功能是通過數(shù)據(jù)庫支持的數(shù)據(jù)語言來實現(xiàn)的。非關(guān)系模型的數(shù)據(jù)語言一般分為：模式數(shù)

51、據(jù)定義語言（DDL）、外模式數(shù)據(jù)定義語言（DDL）、數(shù)據(jù)存儲有關(guān)的描述語言（DSDL）、數(shù)據(jù)操縱語言（DML），它們分別用于定義模式、外模式、內(nèi)模式、和進行數(shù)據(jù)的存取與處置。當用戶數(shù)據(jù)庫投入運行后，如果需要修改模式，必須停止現(xiàn)有數(shù)據(jù)庫的運行，轉(zhuǎn)儲數(shù)據(jù)，修改模式并編譯后在重裝數(shù)據(jù)庫，十分麻煩。</p><p>　　SQL則集數(shù)據(jù)定義語言DDL、數(shù)據(jù)操縱語言DML、數(shù)據(jù)控制語言DCL的功能與一體，語言風格統(tǒng)一，可以獨

52、立完成數(shù)據(jù)庫生命周期中的全部活動。</p><p><b>　　高度非過程化</b></p><p>　　非關(guān)系數(shù)據(jù)模型的數(shù)據(jù)操縱語言是“面向過程”的語言，用“過程化”語言完成某項請求，必須指定存取路徑。而用SQL進行數(shù)據(jù)操作，只要提出“做什么”，而無須指明“怎么做”，因此無需了解存取路徑。存取路徑的選擇以及SQL的操作過程由系統(tǒng)自動完成。這不但大大減輕了用戶負擔，而

53、且有利于提高數(shù)據(jù)獨立性。</p><p><b>　　面向集合的操作方式</b></p><p>　　非關(guān)系數(shù)據(jù)模型采用的是面向記錄的操作方式，操作對象是一條記錄。例如查詢所有平均成績在80分以上的學生姓名，用戶必須一條一條的把滿足條件的學生記錄找出來。而SQL采用集合操作方式，不僅僅操作對象、查找結(jié)果可以是元組的集合，而且一次插入、刪除、更新操作的對象也可是是元組的

54、集合。</p><p>　　以同一種語法結(jié)構(gòu)提供多種使用方式</p><p>　　SQL既是獨立的語言，又是嵌入式語言。作為獨立的語言，它能夠獨立地用于聯(lián)機交互的使用方式，用戶可以在終端鍵盤上直接鍵入SQL命令對數(shù)據(jù)庫進行操作；作為嵌入式語言，SQL語句能夠嵌入到高級語言程序中，供程序員設(shè)計程序時使用。而在兩種不同的使用方式下，SQL的語法結(jié)構(gòu)基本上是一致的，這種以統(tǒng)一的語法結(jié)構(gòu)提供多種不

55、同使用方式的做法，提供了極大的靈活性和方便性[8]。</p><p>　　2.2 網(wǎng)絡(luò)日志特點及應(yīng)用</p><p>　　對于日志（Log）的定義，一般情況下是指計算機系統(tǒng)對指定對象的特定操作及該操作的結(jié)果，按照時間形成的有序集合。它是一些文件系統(tǒng)集合，依靠建立起的各種數(shù)據(jù)的日志文件而存在。在計算機系統(tǒng)中，每個日志文件的構(gòu)成均采取了較為相似的方法實現(xiàn)，其構(gòu)成由一系列的各個不同的記錄形成。其

56、中的任何一個具體的記錄都主要對一次單獨的系統(tǒng)安全事件進行描述。</p><p>　　網(wǎng)絡(luò)環(huán)境下日志的特點分析[9]：</p><p>　?。?）日志的格式不統(tǒng)一</p><p>　　在網(wǎng)絡(luò)環(huán)境下，盡管大部分系統(tǒng)的日志主要采用文本的方式實現(xiàn)對信息的記錄，但由于多種原因，各個系統(tǒng)內(nèi)存在的日志的格式都存在著一定的不兼容性。這就要求必須要對各類日志的格式有一定的熟悉，否則對

57、相應(yīng)的各種日志進行處理的時候會存在一定的難度。另外，也有相當部分的日志（如 Windows）并不會采取文本的方式來對日志信息進行記錄，在這種情況下，必須借助專用的工具來實現(xiàn)對這些日志的分析。</p><p><b>　?。?）數(shù)據(jù)量大</b></p><p>　　一般情況下，產(chǎn)生的日志文件，比如Web服務(wù)的日志、入侵檢測系統(tǒng)日志、防火墻日志、數(shù)據(jù)庫日志等等都會比較多，

58、數(shù)據(jù)量自然就大。通常一個日志文件在短短的一天內(nèi)可能產(chǎn)生的容量會從幾十MB到幾百MB不等，有個別的基至有幾個GB，或者幾十個GB。在這些大量的數(shù)據(jù)基礎(chǔ)上，對日志信息的獲取與分析都會變得很困難。</p><p><b>　　（3）獲取不容易</b></p><p>　　由于各個不相同的日志文件產(chǎn)生于網(wǎng)絡(luò)系統(tǒng)中多個不同的操作系統(tǒng)、網(wǎng)絡(luò)設(shè)備、應(yīng)用軟件、服務(wù)在不同的位置中產(chǎn)生的

59、。另外，即使在某些相同的服務(wù)中，比如IIS，也完全有可能采取對日志信息采取不同格式進行記錄。另外，無論是國際，還是在國內(nèi)在日志的格式上都沒有形成一個統(tǒng)一的標準。從而各個不同的開發(fā)商，或者是不同的生產(chǎn)商在生產(chǎn)某種產(chǎn)品需要進行日志記錄時，都一般依據(jù)自身的特定需要來對日志的格式形成最后的決定。從而對于日志格式兼容性帶來極大的不便，同樣也就會引起在存儲方式的千差萬別。</p><p>　?。?）日志之間存在著的聯(lián)系<

60、;/p><p>　　從定上義講，日志主要針對某一系統(tǒng)自身各種具體的運行進行相關(guān)信息的詳細記錄，同時依氫時間進行記錄。通常，日志不會完全反映某一用戶的活動情況，而主要是對系統(tǒng)自身特定的事件的操作進行記錄。除此之外，具體的用戶在網(wǎng)絡(luò)上進行各個不同的活動時，由于涉及到眾多的軟、硬件系統(tǒng)，必然會在各個不同的系統(tǒng)日志中留下相應(yīng)的痕跡，比如IDS日志、防火墻日志等等。上述的各種日志本身之間也多少存在著某種必然的聯(lián)系，這咱聯(lián)系可以

61、用來反映某一用戶的具體活動情況。為了完整地了解某一用戶的活動情況，也必須將多個系統(tǒng)的不同日志進行結(jié)合分析。只有這樣，才能較為準確反映某一用戶的活動情況。</p><p>　?。?）容易被修改、被破壞、被偽造</p><p>　　一般情況下，產(chǎn)生日志的軟件都不會作為操作系統(tǒng)的某一個子系統(tǒng)進行運行，這就造成這些日志記錄很容易遭到某些惡意的破壞、修改、刪除。另一方面，即使是系統(tǒng)日志也常常存儲在未

62、加保護的相關(guān)目錄中，但常常是為了方便，主要采用文本的方式的實現(xiàn)，更不會對此進行特別的加密和校驗，更不會為保護日志記錄而采取防止惡意篡改的某種保護機制。所以，日志文件一般都不可靠，入侵者完全有可能對日志文件進行修改、破壞和偽造。</p><p>　　一般而言，在計算機安全領(lǐng)域中，日志主要的應(yīng)用體現(xiàn)在以下幾方面[10]：</p><p>　?。?）對用戶的行為可以進行監(jiān)控。其主要監(jiān)控的內(nèi)容是系

63、統(tǒng)中用戶進行使用的情況，以防止用戶在系統(tǒng)中進行的各種越權(quán)行為；</p><p>　?。?）對系統(tǒng)的異常事件進行診斷。可以對日志中的記錄進行分析與評估，得到相關(guān)的異常事件，并還能進一步對其相關(guān)行為進行分析、評估、甚至對其實現(xiàn)重組，以實現(xiàn)對其發(fā)生的時間、原因等進行準確有定位；</p><p>　?。?）對某些特定問題實施監(jiān)控。主要是根據(jù)用戶自身的具體需求，主要采取日志中應(yīng)的各種記錄來進行各種監(jiān)

64、測，包括對系統(tǒng)資源的監(jiān)測，對網(wǎng)絡(luò)流量的監(jiān)測等各種情況，并能根據(jù)檢測的結(jié)果自動發(fā)現(xiàn)是否可能發(fā)生某些問題。除上述三個方面之外，對于入侵檢測而言，對于日志的充分利用具備更為重要的作用。比如：對主機自身的日志實現(xiàn)實時分析，并在此基礎(chǔ)之上檢測和預防對系統(tǒng)的入侵，一直都是計算機安全領(lǐng)域中的熱點之一。</p><p><b>　　2.3日志類型</b></p><p>　　2.3.

65、1 windows 日志</p><p>　　Windows的事件日志記錄著操作系統(tǒng)或應(yīng)用程序重要的事件，審計主要是通過對所關(guān)心的事件日志進行記錄和分析來實現(xiàn)的。事件日志分為：應(yīng)用程序日志、系統(tǒng)日志和安全日志。應(yīng)用程序日志包含由應(yīng)用程序或一般程序記錄的事件。系統(tǒng)日志包含由系統(tǒng)組件記錄的事件。安全日志可以記錄諸如有效和無效的登錄嘗試等安全事件，以及與資源使用有關(guān)的事件。例如，如果您啟動了登錄審核，那么系統(tǒng)登錄嘗試就

66、記錄在安全日志中。我們只監(jiān)控有關(guān)系統(tǒng)安全審核的事件，監(jiān)控這種事件記錄，我們就可以知道系統(tǒng)發(fā)生了哪些重要的安全審核事件。</p><p>　　2.3.2 防火墻日志</p><p>　　根據(jù)功能，防火墻日志又可分為下列幾種類型：</p><p>　?。?）管理日志類型(mgmt)：記錄在系統(tǒng)管理過程中發(fā)生的事件，諸如管理員登錄等。</p><p&g

67、t;　　（2）系統(tǒng)日志類型(system)：記錄系統(tǒng)運行過程中的重要事件,包括容錯,硬件等。</p><p>　?。?）安全日志類型(secure)：記錄入侵檢測模塊工作中的重要事件，諸如受到攻擊等信息</p><p>　?。?）連接日志類型(conn)：記錄連接模塊運行過程中的重要事件</p><p>　?。?）訪問控制和地址轉(zhuǎn)換日志類型(ac)：記錄訪問控制模塊

68、運行過程中的重要事件 </p><p>　　（6）VPN引擎日志類型(vpn):記錄vpn引擎運行過程中的事件</p><p>　?。?）深度內(nèi)容過濾(dpi): 記錄內(nèi)容檢測過濾事件</p><p>　?。?）統(tǒng)計日志(stat):端口流量統(tǒng)計</p><p>　　2.4 數(shù)據(jù)清理技術(shù)</p><p>　　因為收集

69、數(shù)據(jù)的設(shè)備可能出故障；人或計算機的操作的錯誤；數(shù)據(jù)傳輸中的錯誤等等原因,數(shù)據(jù)采集到的日志信息有可能是臟數(shù)據(jù)，這極可能造成后期關(guān)聯(lián)分析、決策的過程混亂，導致不可靠的輸出。數(shù)據(jù)清理主要是通過一定的算法，修正錯誤的數(shù)據(jù)，丟棄無價值的數(shù)據(jù)，降低傳輸日志的網(wǎng)絡(luò)流量、減少日志數(shù)據(jù)庫的存儲壓力和盡最大程度保證數(shù)據(jù)正確性[11]。</p><p>　　本文針對聯(lián)動系統(tǒng)數(shù)據(jù)的特點，提出了一種新的數(shù)據(jù)清理算法。該數(shù)據(jù)清理算法針對不同

70、粒度級數(shù)據(jù)進行，主要是分為3個粒度級，粒度級別可以設(shè)置為記錄級、屬性級和元素級，針對不同粒度的數(shù)據(jù)特點，采用不同的清理方法。</p><p><b>　　1）記錄集</b></p><p>　　清理制定等級的日志記錄。在采集到的日志中，包含很多信息，有的記錄的是設(shè)備的運行狀況記錄，跟網(wǎng)絡(luò)安全狀況分析而言價值不大，則可以將這類日志數(shù)據(jù)整條清理。由于日志來自于不同的安全設(shè)

71、備，所以每種日志在含義和特征方面不盡相同，所以需要針對不同的日志數(shù)據(jù)源制定不同的清理規(guī)則。</p><p><b>　　2）屬性集</b></p><p><b>　?、偃哂鄬傩郧謇?lt;/b></p><p>　　不同安全設(shè)備的日志包含的屬性各不相同，并不是每個屬性都對后期的關(guān)聯(lián)、決策有所幫助，其中大部分屬性與后期任務(wù)不相關(guān)

72、或冗余，因此，對冗余屬性進行精簡，通過相關(guān)分析去掉不相關(guān)的屬性，只保留與后續(xù)操作相關(guān)的屬性。清理后各安全設(shè)備日志的屬性如下。</p><p>　　主機日志：類型、事件 ID、時間日期、來源、計算機名、類別、用戶、描述、日志類型（應(yīng)用，安全，系統(tǒng)）； </p><p>　　防火墻日志：時間戳，該條系統(tǒng)日志產(chǎn)生的時間；防火墻的 IP 地址；防火墻的主機名；嚴重程度；事件的詳細描述（攻擊開始、結(jié)

73、束時間，源、目的 IP 地址）； </p><p><b>　?、诓顒e屬性</b></p><p>　　因為數(shù)據(jù)來自多個安全設(shè)備，代表同一概念的屬性在不同的日志格式中可能有不同的名字。例如：同樣的源地址字段的表示有src和SrcIP。含有大量的冗余數(shù)據(jù)可能降低風險發(fā)現(xiàn)過程的性能或使之陷入混亂。構(gòu)建字段表來消除不同屬性名稱表示相同屬性的情況。字段表表頭如表2-1所示。&

74、lt;/p><p>　　表2-1 字段表表頭</p><p>　　通過查詢和替換完成后，能夠統(tǒng)一屬性名稱，便于數(shù)據(jù)的歸并和轉(zhuǎn)換。</p><p><b>　　3）元素級</b></p><p>　　元素集數(shù)據(jù)清理主要是針對數(shù)據(jù)屬性值進行標準化和補全操作。</p><p>　　標準化是針對相同含義但表示

75、方法不同的字段，使其表達方式統(tǒng)一。例如時間的表現(xiàn)方式可能為“2010-01-23”或“2010.01.23”或“8/23/2010”等，通過標準化統(tǒng)一其表現(xiàn)方式。標準化能夠消除歧義，提高數(shù)據(jù)的質(zhì)量和準確性。補全在對為空值的關(guān)鍵字進行補全操作。參照表如表2-2所示。</p><p>　　表2-2 補全值參照表</p><p>　　2.5 數(shù)據(jù)歸并技術(shù)</p><p>

76、　　安全聯(lián)動系統(tǒng)中采集了多種安全設(shè)備的日志數(shù)據(jù)，而各數(shù)據(jù)存在著一定的異構(gòu)性和自治性，導致不同設(shè)備對同一攻擊行為產(chǎn)生內(nèi)容、詳略程度、不確定性差異很大的日志數(shù)據(jù)，從而導致大量重復日志，這可能會造成系統(tǒng)后期處理的的出錯或滯后等問題[12]。</p><p>　　數(shù)據(jù)歸并是針對日志數(shù)據(jù)中存在的重復數(shù)據(jù)進行處理。通過分析各類日志事件的屬性特征，本文規(guī)定： </p><p>　　(1) 主機日志 &

77、lt;/p><p>　　將獲得的日志記錄，除時間屬性之外，其余屬性均完全相同的連續(xù)不間斷的日志警報歸并為一條記錄。時間取其平均值作為記錄 。</p><p>　　(2) 防火墻日志 </p><p>　　防火墻的每一條警報，記錄的是一次完整的攻擊事件，由開始至結(jié)束，所以無需歸并。時間取平均值作為記錄。</p><p><b>　　2.

78、6 本章小結(jié)</b></p><p>　　本章主要是介紹軟件開發(fā)過程中應(yīng)用到相關(guān)軟件技術(shù)，簡單的敘述了一下微軟的.NET框架和采用到的數(shù)據(jù)庫SQL Server技術(shù)，闡述了日志的特點、應(yīng)用及類型，最后介紹了數(shù)據(jù)清理技術(shù)和數(shù)據(jù)歸并技術(shù)。</p><p><b>　　3 系統(tǒng)設(shè)計</b></p><p>　　根據(jù)第二章系統(tǒng)開發(fā)的預備知識

79、，對于網(wǎng)絡(luò)安全審計系統(tǒng)中日志分析及處理的設(shè)計與實現(xiàn)過程有了大概的了解，下面詳細介紹本系統(tǒng)的整體設(shè)計過程。</p><p>　　3.1 系統(tǒng)需求分析</p><p>　　隨著計算機技術(shù)的發(fā)展和Internet的廣泛應(yīng)用，人們方便地從網(wǎng)絡(luò)上獲取各種信息的同時，也面臨著病毒泛濫、攻擊者入侵等安全風險。在日常的工作學習中，實時地了解和評價網(wǎng)絡(luò)安全和系統(tǒng)安全是十分重要的。單一的網(wǎng)絡(luò)入侵防御（NIPS

80、）和防火墻，或是防病毒軟件都是將自身發(fā)現(xiàn)的漏洞和威脅向管理員匯報，缺乏對網(wǎng)絡(luò)安全狀態(tài)的全局分析?，F(xiàn)存的安全審計體系比較單一，缺乏一個整合平臺，對授權(quán)范圍內(nèi)的系統(tǒng)、設(shè)備的運行情況進行統(tǒng)一監(jiān)控，并及時發(fā)現(xiàn)安全隱患。</p><p>　　因此，有必要在網(wǎng)絡(luò)安全系統(tǒng)中建立日志的安全審計系統(tǒng)，對網(wǎng)絡(luò)安全日志進行統(tǒng)一格式化，在保留各自安全產(chǎn)品個性的同時消除其冗余和易帶來復雜配置的差異。</p><p>

81、;　　本項目所要開發(fā)的網(wǎng)絡(luò)安全審計系統(tǒng)中日志的分析處理正是順應(yīng)了智能化網(wǎng)絡(luò)安全管理的潮流，通過綜合審計技術(shù)使網(wǎng)絡(luò)安全體系的各模塊做到資源整合，協(xié)調(diào)一致，達到整體安全控制的效果。</p><p>　　3.2 系統(tǒng)功能設(shè)計</p><p>　　經(jīng)過分析、研究，確定該系統(tǒng)主要實現(xiàn)以下幾部分功能：</p><p>　　（1）用戶信息的管理：能夠?qū)崿F(xiàn)用戶信息的添加，修改用戶的

82、信息等功能；</p><p>　?。?）日志查詢：主要是實現(xiàn)日志的按類查詢和按組合關(guān)鍵字模糊查詢等功能；</p><p>　?。?）日志數(shù)據(jù)處理：實現(xiàn)日志格式處理功能；</p><p>　?。?）日志數(shù)據(jù)導出：選擇恰當?shù)臄?shù)據(jù)表導出成word。</p><p>　　3.2.1 系統(tǒng)流程圖</p><p>　　用戶首先要登

83、錄系統(tǒng)（如果沒有注冊過則需先注冊），登陸后可進行個人信息管理和日志數(shù)據(jù)管理。個人信息管理主要包括修改密碼，退出登陸。日志數(shù)據(jù)管理主要包括：日志查詢，日志處理，日志導出。如圖3-1所示。</p><p>　　圖3-1 系統(tǒng)流程圖</p><p>　　3.2.2 系統(tǒng)數(shù)據(jù)庫設(shè)計</p><p>　　系統(tǒng)中表的具體信息如下：</p><p>　　（

84、1）用戶信息表（rizhiuser）</p><p>　　用來存儲用戶的詳細信息，該表的字段結(jié)構(gòu)如圖3-2所示：</p><p><b>　　圖3-2用戶信息</b></p><p>　?。?）病毒防御日志信息表（yuanavse）</p><p>　　用來存儲病毒防御日志的詳細信息，該表的字段結(jié)構(gòu)如圖3-3所示：<

85、;/p><p>　　圖3-3病毒防御日志信息</p><p>　?。?）管理日志信息表（yuanmgmt）</p><p>　　顯示管理日志的信息。該表的字段結(jié)構(gòu)如圖3-4所示：</p><p>　　圖3-4管理日志信息</p><p>　?。?）系統(tǒng)日志信息表(yuansystem)</p><p&g

86、t;　　用來存儲系統(tǒng)日志的詳細信息，該表的字段結(jié)構(gòu)如圖3-5所示： </p><p>　　圖3-5系統(tǒng)日志信息</p><p>　?。?）防火墻統(tǒng)一日志信息表（newrizhi）</p><p>　　用來存儲防火墻統(tǒng)一日志的詳細信息，該表的字段結(jié)構(gòu)如圖3-6所示：</p><p>　　圖3-6防火墻統(tǒng)一日志信息</p><

87、p>　?。?）windows應(yīng)用程序日志信息表(ying)</p><p>　　用來存儲windows應(yīng)用程序日志的詳細信息，該表的字段結(jié)構(gòu)如圖3-7所示：</p><p>　　圖3-7 windows應(yīng)用程序日志信息</p><p>　　（7）windows統(tǒng)一日志信息表（winnew）</p><p>　　用來存儲windows統(tǒng)一

88、日志的詳細信息，該表的字段結(jié)構(gòu)如圖3-8所示：</p><p>　　圖3-8 windows統(tǒng)一日志信息</p><p>　　3.2.3 用戶信息管理模塊</p><p>　　系統(tǒng)的實現(xiàn)是通過B/S模式進行的，系統(tǒng)的最終形式是一個網(wǎng)站。用戶信息管理模塊包括用戶登錄、用戶注冊、修改密碼。</p><p>　　登錄界面：用戶可以通過輸入登錄用戶

89、和登錄密碼進入系統(tǒng)。</p><p>　　用戶注冊：從未注冊過的用戶需要進行注冊。</p><p>　　修改密碼：用戶通過輸入原密碼、新密碼來修改密碼。 </p><p>　　3.2.4 日志信息管理模塊</p><p>　　日志數(shù)據(jù)管理模塊是本系統(tǒng)的核心部分。用戶登陸后，可以進行日志查詢，日

90、志數(shù)據(jù)處理和日志數(shù)據(jù)導出。</p><p>　　日志查詢部分主要實現(xiàn)的是：用戶可以按不同的日志類型進行查詢，可以對日志進行修改、刪除及查看詳細信息；也可以按不同的組合字段模糊查詢。</p><p>　　日志數(shù)據(jù)處理部分主要實現(xiàn)的是：可以對防火墻類型日志消除冗余，從而轉(zhuǎn)化成統(tǒng)一的格式存儲到新表中；可以對windows各類型日志消除多余、不用的信息，變成統(tǒng)一的格式存在新表中，然后可以對數(shù)據(jù)的細

91、節(jié)進行處理：改變時間格式，改變空信息的形式，還可以批量刪除數(shù)據(jù)。</p><p>　　日志數(shù)據(jù)導出部分主要實現(xiàn)的是：選擇合適的數(shù)據(jù)表導出成word文件。</p><p><b>　　3.3本章小結(jié)</b></p><p>　　在本章中主要介紹了網(wǎng)絡(luò)安全審計系統(tǒng)中日志的分析及處理所要實現(xiàn)的目標，并且劃分出四個主要的功能模塊，其中包括用戶信息的管理

92、模塊，日志查詢模塊，日志數(shù)據(jù)處理模塊，日志數(shù)據(jù)導出模塊。</p><p><b>　　4 系統(tǒng)實現(xiàn)</b></p><p><b>　　4.1 開發(fā)工具</b></p><p>　　1）硬件環(huán)境：實驗室提供的計算機和網(wǎng)絡(luò)資源。</p><p>　　2）軟件環(huán)境：Microsoft Visual St

93、udio 2010，Microsoft SQL Server 2008。</p><p>　　3）開發(fā)語言：C#。</p><p>　　4.2 整體設(shè)計界面代碼實現(xiàn)及界面</p><p>　　4.2.1 用戶信息管理模塊</p><p><b>　　1）登陸頁面</b></p><p>　　用戶需

94、要通過登陸頁面進入到系統(tǒng)中。</p><p>　　點擊登錄按鈕響應(yīng)的事件：連接數(shù)據(jù)庫查找用戶對應(yīng)信息，找到則登陸成功，session記錄當前用戶名；否則會顯示對應(yīng)的錯誤。如果輸入的用戶不存在，則會出現(xiàn)注冊按鈕，點擊即去注冊。如圖4-1所示.</p><p>　　連接數(shù)據(jù)庫的代碼如下：</p><p>　　SqlConnection sqlCon = new SqlC

95、onnection();</p><p>　　sqlCon.ConnectionString="DataSource=zhanglan-pc;InitialCatalog=rizhi;Integrated Security=True";</p><p>　　sqlCon.Open();</p><p>　　SqlCommand sqlcom =

96、new SqlCommand();</p><p>　　sqlcom.Connection = sqlCon;</p><p>　　sqlcom.CommandText = "select * from rizhiuser where no='" + uid + "'";</p><p>　　SqlDataRe

97、ader sqldr = sqlcom.ExecuteReader();</p><p>　　產(chǎn)生隨機驗證碼的主要代碼如下：</p><p>　　String allChar = "0,1,2,3,4,5,6,7,8,9,A,B,C,D,E,F,G,H,I,J,K,L,M,N,O,P,Q,R,S,T,U,V,W,S,Y,Z";</p><p>　

98、　string[] allCharArray = allChar.Split(',');</p><p>　　string randomNum = "";</p><p>　　int temp = -1;</p><p>　　Random rand = new Random();</p><p>　　for

99、 (int i = 0; i < NumCount; i++)</p><p>　　{ if (temp != -1)</p><p>　　{rand = new Random(i * temp * ((int)DateTime.Now.Ticks));</p><p><b>　　}</b></p><p>　　

100、int t = rand.Next(35);</p><p>　　if (temp == t)</p><p>　　{ return CreateRandomNum(NumCount);</p><p>　　} temp = t;</p><p>　　randomNum += allCharArray[t];</p

101、><p>　　} return randomNum;</p><p><b>　　}</b></p><p><b>　　圖4-1 登陸頁面</b></p><p><b>　　2）注冊頁面</b></p><p>　　注冊頁面要輸入賬號、密碼

102、、密保問題、密保答案、出生日期及選擇身份來進行注冊。如圖4-2所示。</p><p>　　插入新用戶信息的關(guān)鍵代碼為：</p><p>　　string strsql = "Insert Into rizhiuser(no,password,question,answer,birth,rright)";</p><p>　　strsql = st

103、rsql + "Values(@no,@password,@question,@answer,@birth,@rright)";</p><p>　　sqlcom.Parameters.Add("@no", System.Data.SqlDbType.VarChar);</p><p>　　sqlcom.Parameters.Add("@p

104、assword", System.Data.SqlDbType.VarChar);</p><p>　　sqlcom.Parameters.Add("@question", System.Data.SqlDbType.VarChar);</p><p>　　sqlcom.Parameters.Add("@answer", System.Da

105、ta.SqlDbType.VarChar);</p><p>　　sqlcom.Parameters.Add("@birth", System.Data.SqlDbType.VarChar);</p><p>　　sqlcom.Parameters.Add("@rright",System.Data.SqlDbType.Int);

106、 圖4-2 注冊頁</p><p><b>　　3）修改密碼頁</b></p><p>　　此頁實現(xiàn)的是修改用戶的密碼，輸入正確的原密碼，再輸入兩次相同的新密碼，即可成功修改。頁面如圖4-3所示。修改的關(guān)鍵代碼為：</p><p>　　sqlCom2.CommandText = "update rizhiuse

107、r set password='" + newPwd + "' where no='" + s_no + "'";</p><p>　　圖4-2 修改密碼頁</p><p>　　4.2.2 日志查詢模塊實現(xiàn)</p><p><b>　　1）日志查詢頁面</b>&l

108、t;/p><p>　　日志查詢可分為兩種方式：按日志類型查詢；按關(guān)鍵字查詢。日志類型分為兩大類：防火墻日志和windows日志。其中，防火墻日志又包括：管理日志、系統(tǒng)日志、連接日志、病毒防御日志；windows日志包括：系統(tǒng)日志、應(yīng)用程序日志。防火墻各類型日志經(jīng)過一定的數(shù)據(jù)處理后會生成新日志，windows日志同理。如圖4-9所示。</p><p>　　圖4-3 日志查詢頁</p>

109、<p>　　當查詢管理日志或者系統(tǒng)日志時，查詢的結(jié)果可以編輯、刪除，當鼠標指到某一行時，此行會高亮顯示，還可以用省略號代替超過限定字數(shù)的字符。如圖4-4所示。</p><p>　　實現(xiàn)刪除記錄功能的關(guān)鍵代碼為：</p><p>　　string sqlstr = "delete from yuansystem where shuoming='" +

110、 GridView1.DataKeys[e.RowIndex].Value.ToString() + "'";</p><p>　　實現(xiàn)高亮顯示和用省略號代替多余字符的主要代碼為：</p><p>　　if (e.Row.RowType == DataControlRowType.DataRow)</p><p>　　{ //高亮顯示指定

111、行</p><p>　　e.Row.Attributes.Add("onMouseOver", "Color=this.style.backgroundColor;this.style.backgroundColor='#CCFFFF'");</p><p>　　e.Row.Attributes.Add("onMouseOu

112、t", "this.style.backgroundColor=Color;");</p><p>　　////設(shè)置審核狀態(tài)，并且設(shè)置相應(yīng)的顏色。</p><p>　　//多余字　使用...顯示</p><p>　　e.Row.Cells[9].Text = OutString(e.Row.Cells[9].Text, 6, true)