信息系统安全技术--安全审计与日志分析.pdf

信息系统安全技术信息系统安全技术 信息系统安全技术信息系统安全技术 --安全审计与日志分析--安全审计与日志分析 安全审计与日志分析安全审计与日志分析 何长龙何长龙 高级工程师高级工程师 何长龙何长龙 高级工程师高级工程师 目 录 专业安全审计系统体系结构分析 网络信息系统安全审计综述 审计与日志分析 审计结果分析 安全审计系统的必要性 一旦我们采用的防御体系被突破怎么 办？至少我们必须知道系统是怎样遭到 攻击的，这样才能恢复系统，此外我们 还要知道系统存在什么漏洞，如何能使 系统在受到攻击时有所察觉，如何获取 攻击者留下的证据。网络安全审计的概 念就是在这样的需求下被提出的，它相 当于飞机上使用的“黑匣子” 。 安全审计系统的必要性 （续） 在TCSEC和CC等安全认证体系中，网络安全审 计的功能都是方在首要位置的，它是评判一个 系统是否真正安全的重要尺码。因此在一个安 全网络系统中的安全审计功能是必不可少的一 部分。网络安全审计系统能帮助我们对网络安 全进行实时监控，及时发现整个网络上的动 态，发现网络入侵和违规行为，忠实记录网络 上发生的一切，提供取证手段。它是保证网络 安全十分重要的一种手段。 CC标准中的网络安全审计功能定义 网络安全审计包括识别、记录、存储、分析与 安全相关行为有关的信息。国际标准化组织 (ISO)和国际电工委员会(IEC)发表了 【信息技 术安全性评估通用准则2.0版】 (ISO/IEC15408)，俗称CC准则，目前它已被广 泛地用于评估一个系统的安全性。在这个标准 中对网络审计定义了一套完整的功能，有：安 全审计自动响应、安全审计数据生成、安全审 计分析、安全审计浏览、安全审计事件存储、 安全审计事件选择等。 安全审计自动响应安全审计自动响应 安全审计自动响应安全审计自动响应 安全审计自动响应定义在被测事件指示 出一个潜在的安全攻击时作出的响应， 它是管理审计事件的需要，这些需要包 括报警或行动，例如包括实时报警的生 成、违例进程的终止、中断服务、用户 帐号的失效等。根据审计事件的不同系 统将作出不同的响应。其响应方式可作 增加、删除、修改等操作。 安全审计数据生成安全审计数据生成 安全审计数据生成安全审计数据生成 该功能要求记录与安全相关事件的出 现，包括鉴别审计层次、列举可被审计 的事件类型、以及鉴别由各种审计记录 类型提供的相关审计信息的最小集合。 系统可定义可审计事件清单，每个可审 计事件对应于某个事件级别，如低级、 中级、高级。 产生的审计数据有以下几方面 对于敏感数据项 （例如，口令通行字等） 的访问 目标对象的删除 访问权限或能力的授予和废除 改变主体或目标的安全属性 标识定义和用户授权认证功能的使用 审计功能的启动和关闭 每一条审计记录中至少应所含 以下信息： 事件发生的日期、时间、事件类型、主 题标识、执行结果 （成功、失败） 、引 起此事件的用户的标识以及对每一个审 计事件与该事件有关的审计信息。 安全审计分析安全审计分析 安全审计分析安全审计分析 此部分功能定义了分析系统活动和审计 数据来寻找可能的或真正的安全违规操 作。它可以用于入侵检测或对安全违规 的自动响应。当一个审计事件集出现或 累计出现一定次数时可以确定一个违规 的发生，并执行审计分析。事件的集合 能够由经授权的用户进行增加、修改或