基于日志的网络安全态势感知传感器的设计与实现

论文摘要

随着信息技术的迅速普及,计算机网络逐渐成为人们完成相关工作的不可或缺的手段,但也带来了许多严重的安全问题。网络安全态势感知是近年网络安全领域的一个新兴研究课题,它能全面地反映当前网络安全状况。日志作为计算机网络系统运行轨迹的真实写照,对于维护系统状况、监视系统活动及维护系统安全至关重要,是反映网络安全状况的重要数据源之一,也是实现网络安全态势感知系统的重要数据来源。基于日志的网络安全态势感知传感器（LOG-BASED Network Security Situational Awareness Sensor）能够对多源日志进行采集并分析处理,最后形成统一格式的安全事件格式向上层应用提供数据。本文首先讨论了网络安全的现状,阐述了选题的目的和意义,完成了对日志的定性描述和划分,并详细分析了日志的特点和格式,接着介绍了本文涉及到的相关技术和系统。其次,讨论了LOG-BASED NSSAS的体系结构,给出了传感器的部署方案、结构设计方案及各模块的功能,提出了传感器的评价指标。再次,根据日志文件的来源和存在形式对日志的采集进行了分类,实现了Windows系统日志和snort同志的采集,并通过对snort系统的分析实现了对其日志字段的完善。最后,通过运用关联规则算法和频繁情节挖掘算法对Windows系统日志进行数据挖掘,实现了基于Windows系统日志的NSSAS。通过实验验证了系统检测安全事件的有效性,同时也针对实验中出现的问题给出了解决思路。论文最后总结工作,并提出了下一步的研究重点。

论文目录

• 摘要
• Abstract
• 第1章 绪论
• 1.1 网络安全现状
• 1.2 选题的目的和意义
• 1.3 日志分析的国内外研究现状
• 1.3.1 国外研究现状
• 1.3.2 国内研究现状
• 1.4 论文的研究内容和组织结构
• 1.4.1 研究内容
• 1.4.2 论文的组织结构
• 第2章 日志及相关技术综述
• 2.1 NSSA相关概念
• 2.2 日志在NSSA中的重要性
• 2.3 日志相关概念
• 2.3.1 日志定义
• 2.3.2 日志特点
• 2.3.3 日志分类
• 2.4 日志格式
• 2.4.1 Syslog格式
• 2.4.2 Traffic Log格式
• 2.4.3 WELF格式
• 2.5 相关技术综述
• 2.5.1 CSV文件简介
• 2.5.2 正则表达式概述
• 2.5.3 Eventquery脚本简述
• 2.5.4 Snort概述
• 2.6 本章小结
• 第3章 LOG-BASED NSSAS的体系结构设计
• 3.1 LOG-BASED NSSAS的定义
• 3.2 LOG-BASED NSSAS的体系结构设计
• 3.2.1 传感器部署
• 3.2.2 传感器结构设计
• 3.2.2.1 采集器结构设计
• 3.2.2.2 预处理器结构设计
• 3.2.2.3 日志关联分析结构设计
• 3.3 LOG-BASED NSSAS模块的功能描述
• 3.4 LOG-BASED NSSAS评价指标
• 3.5 本章小结
• 第4章 日志数据采集
• 4.1 采集方式分类
• 4.1.1 文件型日志采集
• 4.1.2 安全设备的日志采集
• 4.1.3 基于网络协议的日志采集
• 4.2 WINDOWS系统日志采集
• 4.2.1 日志结构
• 4.2.2 采集的网络拓扑
• 4.2.3 采集实现
• 4.3 SNORT日志采集
• 4.3.1 日志的输出形式
• 4.3.2 采集的网络拓扑
• 4.3.3 SNORT的安装和配置
• 4.3.4 日志属性的完善
• 4.3.5 数据库设计
• 4.3.6 采集实现
• 4.4 本章小节
• 第5章 基于WINDOWS系统日志的NSSAS实现
• 5.1 日志分析算法的选取及应用
• 5.1.1 关联规则算法APRIORI
• 5.1.2 频繁情节挖掘算法
• 5.2 WINDOWS日志分析的总体流程
• 5.2.1 正常和误用特征库的建立
• 5.2.1.1 无入侵特征的日志
• 5.2.1.2 异常日志
• 5.2.1.3 预处理
• 5.2.1.4 正常行为模式库的形成
• 5.2.1.5 入侵特征库的形成
• 5.2.2 基于数据挖掘的主机日志检测
• 5.2.2.1 日志的误用检测
• 5.2.2.2 日志的异常检测
• 5.3 实验结果
• 5.4 实验中出现的问题
• 5.4.1 子集寻找
• 5.4.2 日志预处理
• 5.5 本章小结
• 结论
• 参考文献
• 攻读硕士学位期间发表的论文和取得的科研成果
• 致谢