《信息安全理論與技術(shù)》課件第11章 安全審計技術(shù)

第十一章

安全審計技術(shù)第十一章

安全審計技術(shù)11.1安全審計概論11.2安全審計的過程11.3安全審計的常用實現(xiàn)方法11.1安全審計概論安全審計是指由專業(yè)審計人員或系統(tǒng)根據(jù)有關(guān)的法律法規(guī)、財產(chǎn)所有者的委托和管理當(dāng)局的授權(quán)，對計算機網(wǎng)絡(luò)環(huán)境下的有關(guān)活動或行為進行系統(tǒng)的、獨立的檢查驗證，并做出相應(yīng)評價安全審計是一類事后安全技術(shù)，記錄有關(guān)安全事件的信息或提供調(diào)查手段11.1安全審計概論日志（Logging）記錄可以由任何系統(tǒng)或應(yīng)用生成，記錄了這些系統(tǒng)或應(yīng)用的事件和統(tǒng)計信息，反映了他們的使用情況和性能情況。審計（Auditing）的輸入可以是日志也可以是響應(yīng)時間的直接報告，審計系統(tǒng)會進一步根據(jù)這些日志生成審計記錄，提供更清晰、更易于理解的系統(tǒng)時間和統(tǒng)計信息。另外審計結(jié)果的存放受到一定的系統(tǒng)保護，比普通日志文件更安全，需要專門的工具讀取11.1安全審計概論入侵檢測系統(tǒng)需要在充分收集網(wǎng)絡(luò)和系統(tǒng)的數(shù)據(jù)、提取描述網(wǎng)絡(luò)和系統(tǒng)行為特征的基礎(chǔ)上，根據(jù)這些數(shù)據(jù)特征，高效并準確的判斷網(wǎng)絡(luò)和系統(tǒng)行為的性質(zhì)，然后對網(wǎng)絡(luò)和系統(tǒng)入侵給出響應(yīng)手段。審計系統(tǒng)就是入侵檢測系統(tǒng)的基本構(gòu)件之一，它主要的作用就是為以后的響應(yīng)收集網(wǎng)絡(luò)和系統(tǒng)的數(shù)據(jù)和行為特征11.1安全審計概論審計系統(tǒng)是一種為事后觀察、分析操作或安全違規(guī)事件提供支持的系統(tǒng)，它廣泛的存在于操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)和應(yīng)用系統(tǒng)中，它們根據(jù)審計策略記錄相應(yīng)事件的發(fā)生情況，為事后的分析提供基本信息。當(dāng)系統(tǒng)遭受攻擊后，事件分析與追蹤技術(shù)可以通過考察攻擊者造成的網(wǎng)絡(luò)通信與系統(tǒng)活動異常情況追蹤攻擊者的信息11.2安全審計的過程在審計系統(tǒng)投入使用之前，要解決審計事件確定、事件記錄、記錄分析和系統(tǒng)管理幾個問題審計事件確定：審計事件通常包括系統(tǒng)事件、登錄事件、資源訪問、操作、特權(quán)使用、賬號管理和策略更改等類別事件記錄：事件記錄是指當(dāng)審計事件發(fā)生時，由審計系統(tǒng)用審計日志記錄相關(guān)的信息11.2安全審計的過程記錄分析：審計記錄的分析主要目的有兩個：第一，幫助用戶發(fā)現(xiàn)系統(tǒng)存在的攻擊事件和安全問題；第二，系統(tǒng)管理員可以通過分析審計日志更新審計事件的確定，使審計日志簡化系統(tǒng)管理：審計系統(tǒng)需要提供相應(yīng)的管理手段，用于管理審計數(shù)據(jù)存儲方式和位置、審計參數(shù)設(shè)置、初始化、生成和查看審計報告等11.3安全審計的常用實現(xiàn)方法11.3.1基于規(guī)則庫的方法11.3.2基于數(shù)理統(tǒng)計的方法11.3.3有學(xué)習(xí)能力的數(shù)據(jù)挖掘11.3.1基于規(guī)則庫的方法將已知的攻擊行為進行特征提取，把這些特征用腳本語言等方法進行描述后放人規(guī)則庫中，當(dāng)進行安全審計時，將收集到網(wǎng)絡(luò)數(shù)據(jù)與這些規(guī)則進行某種比較和匹配操作(關(guān)鍵字、正則表達式、模糊近似度等)，從而發(fā)現(xiàn)可能的網(wǎng)絡(luò)攻擊行為對于某些特征十分明顯的網(wǎng)絡(luò)攻擊數(shù)據(jù)包，該技術(shù)的效果非常之好;但是對于其他一些非常容易產(chǎn)生變種的網(wǎng)絡(luò)攻擊行為(如Backdoo:等)，規(guī)則庫就很難用完全滿足要求了11.3.2基于數(shù)理統(tǒng)計的方法數(shù)理統(tǒng)計方法就是首先給對象創(chuàng)建一個統(tǒng)計量的描述，比如一個網(wǎng)絡(luò)流量的平均值、方差等等，統(tǒng)計出正常情況下這些特征量的數(shù)值，然后用來對實際網(wǎng)絡(luò)數(shù)據(jù)包的情況進行比較，當(dāng)發(fā)現(xiàn)實際值遠離正常數(shù)值時，就可以認為是潛在的攻擊發(fā)生數(shù)理統(tǒng)計的最大問題在于如何設(shè)定統(tǒng)計量的“閡值”，也就是正常數(shù)值和非正常數(shù)值的分界點，這往往取決于管理員的經(jīng)驗，不可避免地容易產(chǎn)生誤報和漏報11.3.3有學(xué)習(xí)能力的數(shù)據(jù)挖掘主要思想是從“正常”的網(wǎng)絡(luò)通訊數(shù)據(jù)中發(fā)現(xiàn)“正?！钡木W(wǎng)絡(luò)通訊模式。并和常規(guī)的一些攻擊規(guī)則庫進行關(guān)聯(lián)分析，達到檢測網(wǎng)絡(luò)人侵行為的目的分類算法