系统访问控制与审计技术PPT课件.pptVIP

安全审计系统的基本结构 安全审计是通过对所关心的事件进行记录和分析来实现的，因此审计过程包括审计发生器、日志记录器、日志分析器和报告机制几部分，如图所示。 系统事件 安全事件 应用事件 网络事件 其他事件 审计发生器 审计发生器 审计发生器 审计发生器 审计发生器 日志记录器 日志分析器 审计分析报告 日志文件 审计策略和规则 … 11.5.2 日志的审计 日志的内容：日志系统可根据安全要求的强度选择记录下列事件的部分或全部： 审计功能的启动和关闭。 使用身份验证机制。 将客体引入主体的地址空间。 删除客体。 管理员、安全员、审计员和一般操作人员的操作。 其他专门定义的可审计事件。 通常，对于一个事件，日志应包括事件发生的日期和时间、引发事件的用户（地址）、事件和源及目的的位置、事件类型、事件成败等。 安全审计的记录机制 不同的系统可采用不同的机制记录日志。日志的记录可以由操作系统完成，也可以由应用系统或其他专用记录系统完成。但是，大部分情况都可用系统调用Syslog来记录日志，也可以用SNMP记录。Syslog由Syslog守护程序、Syslog规则集及Syslog系统调用三部分组成。 日志素材 Syslog 系统调用 Syslog 守护程序 Syslog 规则集 日志记录系统 日志分析 日志分析就是在日志中寻找模式，主要内容如下： 潜在侵害分析。日志分