- 相關(guān)推薦
企業(yè)集中日志采集服務(wù)器的構(gòu)建及信息安全防御
通過基于集中日志分析的企業(yè)網(wǎng)智能網(wǎng)絡(luò)安全防御模型，就能夠很好地解決企業(yè)網(wǎng)面臨的內(nèi)網(wǎng)攻擊行為的防范和處理問題，以下是小編搜集整理的一篇探究企業(yè)集中日志采集服務(wù)器信息安全的論文范文，歡迎閱讀參考。
一、引言
隨著互聯(lián)網(wǎng)應(yīng)用的蓬勃發(fā)展，企業(yè)網(wǎng)信息服務(wù)快速增長，網(wǎng)絡(luò)環(huán)境日益復(fù)雜。為了保障企業(yè)網(wǎng)的高效安全運行，網(wǎng)絡(luò)安全問題也越來越重要。由于企業(yè)網(wǎng)服務(wù)對象的特殊性，對于企業(yè)網(wǎng)網(wǎng)絡(luò)攻擊經(jīng)常來自網(wǎng)絡(luò)內(nèi)部。
常規(guī)的防火墻、入侵監(jiān)測等安全防護(hù)設(shè)備，很難針對來自內(nèi)網(wǎng)的攻擊起到應(yīng)有的保護(hù)效果。即使這些設(shè)備發(fā)現(xiàn)了某些入侵的跡象進(jìn)行預(yù)警，還需要網(wǎng)絡(luò)管理人員根據(jù)相關(guān)信息手動地部署防御措施，工作量大，效率比較低，導(dǎo)致網(wǎng)絡(luò)防御的延遲，給入侵者實施入侵提供了足夠多的時間。
二、模型描述
針對上述問題，我們提出并實現(xiàn)了一種基于集中日志分析的企業(yè)網(wǎng)智能網(wǎng)絡(luò)安全防御模型，如圖1所示。該模型主要由日志集中采集、日志處理與分析、動態(tài)部署網(wǎng)絡(luò)安全策略組成。
對服務(wù)器、防火墻、交換機等關(guān)鍵設(shè)備日志進(jìn)行集中管理，然后針對相關(guān)日志進(jìn)行有效的分析，根據(jù)日志分析結(jié)果對入侵行為進(jìn)行預(yù)警，并及時自動地部署相應(yīng)的防御策略ACL(AccessControlList)。該模型能夠在網(wǎng)絡(luò)入侵者真正實現(xiàn)入侵之前，及時地、有針對性地實施網(wǎng)絡(luò)安全控制策略，從而提供有力的網(wǎng)絡(luò)的安全保證�！緢D1】
三、集中日志采集服務(wù)器的構(gòu)建
日志采集服務(wù)采用符合RFC3164規(guī)范的rsyslog，使用or-acle作為后臺數(shù)據(jù)庫。rsyslog兼容傳統(tǒng)的syslog程序，但是rsyslog支持多線程，支持?jǐn)?shù)據(jù)庫存儲，支持定制化的模塊添加，這些特性使得rsyslog適合做集中的日志服務(wù)器，而且對非標(biāo)準(zhǔn)的日志格式具有良好的適應(yīng)性和擴展性。
1.支持syslog格式設(shè)備的日志采集。支持syslog格式設(shè)備需要在該設(shè)備中配置集中日志采集服務(wù)器的IP地址和端口以及對應(yīng)的傳輸協(xié)議，并根據(jù)關(guān)心的安全問題，在對應(yīng)的策略上開啟日志服務(wù)即可。
2.Linux服務(wù)器的日志采集。Linux服務(wù)器日志系統(tǒng)默認(rèn)采用的是syslog，根據(jù)安全策略的需求，可以精簡日志信息，發(fā)送相關(guān)的日志信息到集中日志采集服務(wù)器。需要配置/etc/sys-log.conf文件，例如：kern.warning@日志采集服務(wù)器IP地址在Linux環(huán)境上，一般是采用iptables作為服務(wù)器的防火墻來實施的。例如，如果關(guān)心ssh的遠(yuǎn)程登錄情況，當(dāng)非法IP嘗試SSH登錄將產(chǎn)生警告日志：
(1)配置產(chǎn)生log的鏈。
iptables-NLOG_DROP
iptables-ALOG_ACCEPT-jLOG--log-level4--log-
prefix"[IPTABLESACCEPT]:"#--log-prefix添加日志前
綴--log-level指定日志等級，4的含義為warning
iptables-ALOG_DROP-jRETURN
(2)配置iptables的22端口log。
iptables-AINPUT-sx.x.x.x-ptcp--dport22-jAC-
CEPT#允許訪問的ip
iptables-AINPUT-ptcp-mtcp--dport22-j
LOG_DROP#非法ip訪問22端口產(chǎn)生日志
iptables-AINPUT-jDROP
#拒絕其他ip訪問22端口
3.Windows服務(wù)器日志的收集。Windows的系統(tǒng)日志格式、日志記錄方式與RFC3164標(biāo)準(zhǔn)不同。所以，需要第三方軟件來將windows系統(tǒng)的日志轉(zhuǎn)換成syslog類型的日志類型，然后轉(zhuǎn)發(fā)給日志采集服務(wù)器。這里采用evtsys來實現(xiàn)。
4.交換機設(shè)備的日志的采集。交換機的日志格式與sys-log的日志格式相同，只需指定接收日志的服務(wù)器即可。具體的配置需要參考相關(guān)的交換機設(shè)備的配置文檔。例如，華為交換機的相關(guān)配置命令如下:info-centerlogbuffer//向內(nèi)部緩沖區(qū)輸出信息info-centerlogbuffersize//定義輸出信息的內(nèi)部緩沖區(qū)大小info-centerloghostIP地址//向日志服務(wù)器輸出信息四日志的預(yù)處理和存儲。。
日志數(shù)據(jù)來自不同類型的設(shè)備，并且每種類型的設(shè)備日志所包含的日志信息也不一樣，因此根據(jù)不同的日志來源和日志信息進(jìn)行分類，然后分別進(jìn)行存儲。為了提高效率，日志的預(yù)處理和分類存儲工作在oracle數(shù)據(jù)庫中進(jìn)行。通過or-acle存儲過程實現(xiàn)對日志進(jìn)行分類和存儲。通過任務(wù)隊列(DBMS_JOB)定期執(zhí)行表數(shù)據(jù)清理、轉(zhuǎn)存等工作，減少運行數(shù)據(jù)庫的數(shù)據(jù)量，提供系統(tǒng)的數(shù)據(jù)處理響應(yīng)速度。
例如Linux服務(wù)，iptables防火墻22端口產(chǎn)生的日志如下：
2011-12-05T15:28:46.480798+08:00202.206.32.201
kernel:[IPTABLESDROP]:IN=eth0OUT=MAC=08:00:27:
ab:18:e8:78:1d:ba:89:a5:9d:08:00SRC=192.168.200.78DST=
202.206.32.201LEN=48TOS=0x00PREC=0x00TTL=126
ID=48406DFPROTO=TCPSPT=1886DPT=22WIN-
DOW=65535RES=0x00SYNURGP=0
如前所述，Linux服務(wù)器日志收集時，在其連接日志前端添加了日志前綴[IPTABLESDROP]，所以，存儲過程可以根據(jù)這個對這條日志的解析，選擇將此條日志記錄的信息保存到對應(yīng)的存儲表中，提供給后面的日志分析程序使用。
四、攻擊行為的分析與記錄
根據(jù)網(wǎng)絡(luò)攻擊行為的特性，或者利用已有的網(wǎng)絡(luò)攻擊行為的特征，生成對應(yīng)的攻擊行為識別規(guī)則庫。通過規(guī)則庫與集中日志服務(wù)采集到的信息進(jìn)行匹配，若某些日志信息符合規(guī)則庫中的某條規(guī)則，則判斷為網(wǎng)絡(luò)攻擊行為。這個匹配工作，由日志分析程序?qū)崟r讀取日志信息來完成。一旦發(fā)現(xiàn)攻擊行為，將攻擊行為的來源、攻擊對象等信息記錄到網(wǎng)絡(luò)攻擊信息表中，并以短信、電子郵件方式通知系統(tǒng)管理員。
由于日志信息一般記錄了應(yīng)用層網(wǎng)絡(luò)行為，所以，網(wǎng)絡(luò)攻擊行為識別規(guī)則庫主要是標(biāo)記一些危險的網(wǎng)絡(luò)行為，例如，端口掃描、密碼探測等，而不會涉及數(shù)據(jù)包的分解和重組。例如，針對Linux系統(tǒng)SSH的22端口的攻擊的識別規(guī)則如下：
在一段時間T內(nèi)同一IP地址通過ssh方式連接一臺服務(wù)器或者多臺服務(wù)器失敗次數(shù)超過N次，視該IP地址發(fā)起了網(wǎng)絡(luò)攻擊行為。
更全面、更細(xì)致地確定網(wǎng)絡(luò)攻擊行為，就需要解析一些危險數(shù)據(jù)報文的信息。為此，可以在被保護(hù)的設(shè)備前部署類似snort的入侵檢測系統(tǒng)，而入侵檢測系統(tǒng)的日志信息也要發(fā)送給集中日志服務(wù)器，統(tǒng)一管理這些攻擊行為信息。日志分析程序可以直接依據(jù)入侵檢測系統(tǒng)的日志信息，進(jìn)行網(wǎng)絡(luò)攻擊行為判定，并做出相應(yīng)的動作。
五、動態(tài)生成和部署ACL(AccessControlList)
一旦發(fā)現(xiàn)攻擊行為將對攻擊源實行全面的封鎖，不允許其任何數(shù)據(jù)流出靠近其的支持ACL網(wǎng)絡(luò)設(shè)備。當(dāng)日志分析程序確定網(wǎng)絡(luò)攻擊行為后，調(diào)用網(wǎng)絡(luò)攻擊處理程序進(jìn)行處理。該程序根據(jù)攻擊源的IP地址信息，通過事先定制的ACL模板，生成對應(yīng)的ACL規(guī)則，并通過telnet或者ssh方式自動登錄后，將這些規(guī)則應(yīng)用到離攻擊源最近的支持ACL的網(wǎng)絡(luò)設(shè)備上，阻止該網(wǎng)絡(luò)攻擊行為進(jìn)一步發(fā)生。對于Linux服務(wù)器而言，可以動態(tài)地生成iptables規(guī)則，阻止攻擊源IP訪問該服務(wù)器。
系統(tǒng)管理員通過告警顯示界面，對網(wǎng)絡(luò)攻擊行為及ACL執(zhí)行的情況進(jìn)行查詢。一旦網(wǎng)絡(luò)攻擊行為被處理和解決，再通過網(wǎng)絡(luò)攻擊處理程序撤銷原先在網(wǎng)絡(luò)設(shè)備上部署的ACL策略。
ACL模板依據(jù)不同設(shè)備的不同ACL語法定制，每個設(shè)備的ACL模板包含應(yīng)用ACL和撤銷ACL兩種模板。網(wǎng)絡(luò)攻擊處理程序根據(jù)日志分析程序產(chǎn)生的攻擊源的IP地址信息，模板中的攻擊源IP進(jìn)行替換，生成對應(yīng)的ACL語句。例如，華為交換機的ACL模板如下：
system-view//進(jìn)入系統(tǒng)模式
acl3000//進(jìn)入ACL列表
ruledenyipsourceATTACKIP0//添加ACL規(guī)則
quit//退出ACL列表
//重新部署ACL
traffic-filtervlan1inboundacl3000
六、結(jié)語
通過基于集中日志分析的企業(yè)網(wǎng)智能網(wǎng)絡(luò)安全防御模型，就能夠很好地解決企業(yè)網(wǎng)面臨的內(nèi)網(wǎng)攻擊行為的防范和處理問題。該模型能夠通過采集各個系統(tǒng)及設(shè)備的日志信息和分析處理，幫助系統(tǒng)管理人員及時發(fā)現(xiàn)安全隱患，并對網(wǎng)絡(luò)攻擊行為自動地做出相關(guān)防御措施的響應(yīng)。這樣，提高了網(wǎng)絡(luò)的安全防護(hù)強度，降低維護(hù)網(wǎng)絡(luò)安全的工作強度。該模型不僅限于企業(yè)網(wǎng)的實施，也可以應(yīng)用于其他網(wǎng)絡(luò)環(huán)境比較復(fù)雜的園區(qū)網(wǎng)中。在日志分析過程中，如果應(yīng)用數(shù)據(jù)挖掘及行為模式識別技術(shù)，就可以實現(xiàn)對網(wǎng)絡(luò)攻擊行為的感知和預(yù)警，從而進(jìn)一步提高該模型的智能化水平。
【企業(yè)集中日志采集服務(wù)器的構(gòu)建及信息安全防御】相關(guān)文章：
信息構(gòu)建與知識構(gòu)建06-03
企業(yè)信息安全管理體系構(gòu)建的要點與策略論文06-29
數(shù)據(jù)挖掘理論在數(shù)據(jù)采集中的運用07-11
構(gòu)建企業(yè)項目管理支持信息系統(tǒng)初探08-06
構(gòu)建現(xiàn)代企業(yè)物流戰(zhàn)略構(gòu)建現(xiàn)代企業(yè)10-22
探討企業(yè)的信息安全09-30
交通量數(shù)據(jù)采集中藍(lán)牙通信的實現(xiàn)09-18
交通信息采集技術(shù)論文09-20