基于动态网络行为可信度量的安全审计.pdfVIP

  基于动态网络行为可信度量的安全审计 李伟伟，张 涛，林为民，邓 松，时 坚，汪 晨 ( 中国电力科学研究院，江苏 南京 211100) 摘 要：本文提出了一种基于动态网络可信度量的安全审计方法。该方法根据网络的实时日志信息，周期性对其进行数 据挖掘生成规则，并将规则应用到数据流的过滤中。根据数据流与规则的匹配情况进行动态的可信度量，使得系统对可信 行为和危险行为形成不同的安全访问控制机制。较以前以固定规则应对变化的访问控制和过滤，本文所提出的方法具有很 好的适用性和灵活性。 关键词：数据挖掘；行为可信；安全审计；访问控制 0 引言 网络技术发展迅速，要求网络安全系统除了具备传统的病毒防御和访问控制之外，还要对用户行为 进行监控、控制和预测，使其行为和结果是具有可预期性、可知性和可控性即行为可信性[1-2] 。 安全审计是保障行为可信的重要手段。安全审计的主要内容是通过对网络或者是主机的行为活动进 行记录形成日志，并对日志进行分析用于预防、调查、分析和事后追责从而确保用户和网络行为的可信。 现有对安全审计系统的研究工作中，有对不同的领域和不同网络层次的研究[3-7]，但是都是针对用户 日志行为进行数据挖掘之后形成固定规则后直接用于网络过滤和控制。数据挖掘使用的训练数据很难囊 括所有正常网络访问行为，而且将固定的有局限性的规则应用于变化的网络访问过滤和控制，使得其缺 乏灵活性和适用性。 本文提出了一种基于动态网络行为可信度量（Dynamic Amount of Network Behavior Trust ，DANBT ） 的安全审计机制，可以根据系统网络访问的不断变化动态生成规则控制，并且在规则控制的过程中对网 络行为可信进行动态度量，以此作为网络访问控制的依据。提高了访问控制的灵活性，实现了动态的行 为控制和监管体系，达到了维护网络安全和事后追责的目的。 本文所做的主要工作主要有两点，一是提出一种基于DANBT 的安全审计方法，并详细描述其原理。 二是设计并实现了一个基于DANBT 的安全审计系统。 本文的内容主要分为三个章节，一是引言，分析本文的研究背景，介绍本文的研究内容以及研究成 果，介绍本文的组织结构。二是DANBT ，介绍了DANBT 的形式化描述和原理流程。三是基于DANBT 的安全审计，设计并实现了基于DANBT 的安全审计系统，详细描述了各个功能组成模块的设计实现。 1 动态行为可信度量 1.1 形式化描述 DANBT实现的过程涉及到多个控制表的生成和转换。为了进一步描述，在这里首先给出几个定义。 定义1： 规则表（Rules Table ，R-T ），是从日志服务器中通过数据挖掘分析出来的规则的集合，即 R R{ R, .,,R 1 } 2 n ，其中n为整数， Rn 下同。每个规则条目 都描述了一种规则的特征。规则表是DANBT 实现的基础和依据。 C C{ C, .,,C 1 } 2 n 定义2 ： 临时表（Cache Table，C-T ），是近期访问数据流信息的结合，即 ，其