基于时序因果关联网络取证研究.docVIP

基于时序因果关联网络取证研究 　　摘要:随着网络技术的发展,网络犯罪现象越来越多。网络取证技术是当今一种热门的动态安全技术,它采用主动出击的方法,搜集犯罪证据,查出入侵的来源,有效地防范网络入侵。针对攻击过程复杂化的特点,提出一种基于时序因果关联的取证分析方法,利用系统中收集的取证数据源(Forensics Data Source,FDS),建立多源时间序列数据集,并分为输入时间序列和输出时间序列两类,利用时序分析技术提取输出变量的攻击事件序列和输入变量的异常点(攻击征兆)序列,建立两者之间的时态关联的传递函数,采用因果关系检验,分析网络入侵证据。 　　关键词:网络取证;时序因果;时序序列;取证分析 　　中图分类号:TP393文献标识码:A文章编号:1009-3044(2010)22-6172-02 　　Research on Network Forensics Based on Cause and Effect of Time Series 　　LI Lian-min1,CAO Feng1, WU Qing-tao1,YUN Gang2 　　(1.Institute of Electronic and Information Eengineering, Henan University of Science Technology, Luoyang 471003, China; 2.Equipment Department, Tianjin Datang Panshan Power Generation Co., Ltd. , Tianjing 391907, China) 　　Abstract: With the development of network, more and more network attacks appear. Network forensic is a dynamic security technology. It collects the proofs of intrusion and finds the source of attacks with the active methods, so it can prevent intrusion effectively. As complicationof attack process, the dissertation proposed forensic analysis method based cause and effect of time series.A principled approach for discovering the precursors of attack in multivariate time series obtained from honeypot data variable.The approach is rooted in time series data mining and in the application of the causality test for selecting variables that are likely contain the precursors of attack.These precursors rules relate precursor events extracted from input time series with malicious events extracted from output time series. 　　Key words: network forensic; cause and effect; time series; forensic analysis 　　 　　计算机网络的飞速发展给人们的生活和工作提供了巨大的帮助,加快了人类社会进步的速度。随着社会信息化程度的快速提高,网络犯罪问题也成为一个新的、越来越突出的社会问题。目前的网络安全研究主要集中在安全防御方面,其中的主要技术包括防火墙、入侵检测、安全漏洞扫描,虚拟专用网等。 解决黑客入侵问题,除了预先使用有效的防卫手段以外,还要依靠法律,利用有效的法律手段对黑客行为予以制裁。打击入侵犯罪的最重要的手段,就是网络取证。 　　1 网络取证概述 　　网络取证从主动防御的角度保护着网络安全,可以提供法庭需要的证据。网络取证(network forensic)是使用科学的证明方法来收集、融合,发现、检查、关联,分析以及存档数字证据,这些证据涉及多层次的主动处理过程以及数据源的传递过程,其目的是发现有预谋的破坏行为或已经成功的非授权的攻击行为,并为应急事件的响应和