安全审计系统设计与实现综述.docx

安全审计系统设计与实现综述（全文）

1功能设计

功能设计如下：1）审计信息记录模块。通过提供通用的审计信息记录接口，完成云平台上用户操作的日志信息的标准化处理，并存储到审计数据库的功能，该模块使得系统具有良好的可移植性。2）审计信息签名模块。日志信息处理后存储至审计数据库中时，在审计信息中加入两次签名一一元组签名和分片签名，以保护审计数据库自身的安全和审计信息的完整性、完备性。3）审计信息管理模块。实现通过Web管理页面对审计信息进行浏览、删除、导出等操作，为审计人员提供便利的审计信息分析和管理。审计管理员可在审计信息管理平台上下发已制定的审计策略，筛选出可疑事件信息。

2工作流程

2.1审计信息记录流程

审计信息记录是对云平台上用户的操作信息进行获取、分类、存储至审计数据库中的一个过程（见图2）o审计信息记录的流程如下：1）当云平台上的用户使用正确的账号口令登录云平台系统后，便可进行日常的操作行为，例如修改密码、数据的上传和下载、用户之间数据的传递、启动并使用一个远程软件等。云平台通过日志采集引擎采集到日志信息，并向审计信息记录模块发起审计服务请求。2）在众多的用户日常操作行为中，找出审计重点学习的事件及属性，划分平台事件类型，即对审计事件分类。这样的好处是：筛选出重要的平台事件，使得审计更加有效；将来若扩展系统，添加关联分析模块，可直接对审计数据库中的事件分类信息审计事件分析，而不是对冗长杂乱的日志信息分析，提高了关联分析的效率。例如：将平台事件分为以下4类，并确定相关属性如下：①用户事件，表示用户的各种基本操作行为，包括用户登录和注销、密码修改、个人信息修改等事件，需要记录的信息有用户名、登录IP、操作时间、操作是否成功。②数据传输，表示用户对文件等数据的传输行为，包括上传数据开始和结束,下载数据开始和结束、删除数据，重命名数据事件，需要记录的信息有用户名、登录IP、操作（上传、下载、删除、重命名）时间等。③软件使用，表示用户启动了某一个远程软件的行为，需要记录的信息有用户名、操作时间、软件是否启动成功。④工程计算，表示用户提交了一个工程计算作业的行为，需要记录的信息有用户名、作业名、操作时间、提交操作是否成功等。对平台事件的分类和属性确定可以根据云平台的具体用途确定。将4类信息的处理作为4个审计记录接口，这4个接口相互独立，能够并行处理来自云平台的海量日志信息，对用户事件、数据传输、软件使用、工程计算4类事件进行记录。将审计记录接口在WebServices服务上，后，当WebServices收到请求后,就可以完成审计信息接口的功能。3）日志信息经过处理后，发送至数据库访问接口，数据库访问接口会将数据写入审计数据库。至此，审计信息记录的流程完成。

2.2审计信息签名流程

审计信息记录模块使用4个不同的接口分别接收4类用户日志信息数据，并将其发送给数据库访问接口，由其通过数字签名技术完成对日志信息的安全存储，主要包括对日志信息进行元组签名和分片签名。数字签名，简称签名，是一种基于对称密码或非对称密码（公钥密码体制）的算法。大部分签名算法都是基于非对称密码体制实现的，常见的数字签名方法如RSA、DSA等。签名具有以下几个特征：签名是可信的、不可伪造的、不可重用的；签名的文件是不可篡改的；签名是不可抵赖的[8]o（1）元组签名数据库访问接口接收审计数据，对其接收到的每一条数据，将其各记录项合并成一段连续的数据，根据MD5算法计算该段数据的MD5值，作为该条日志信息的唯一元组签名项，具体流程如图3所示。随后将计算出的元组签名项与该条日志信息的各记录项存储到审计信息数据库中，通过数据库访问接口，完成日志信息的存储操作。（2）分片签名每当审计数据库中插入100条数据时,对这100条数据进行签名，将签名保存在一张签名表中，即完成对文件的分片加密（见图4）。将数字签名应用到审计数据库中，原因是审计数据库对数据的安全性有较高的需求。审计数据库中的数据需要保证每个元组都是来自真实的审计日志，数据的完整性正是利用数字签名这些特征来确保查询结果来自真实的原始数据，没有任何篡改。当审计数据库受到安全威胁攻击时，要能够验证该攻击的真实性。审计数据库采用了对元组签名而不是对其加密是因为：加密能够保证数据库的机密性，但是对审计查询工作时进行模糊匹配、多表查询造成了很大的困难，同时，响应时间的加大和解密时间的增多，都影响了系统的可用性。审计数据库签名的粒度有4种：元组属性值、元组、字段、表。为了保证数据完整性，采用对元组签名和分片签名的方法。在审计数据库中的数据以明文形式存储，当怀疑审计数据的有效性时,即可检查审计数据库返回的是