基于系統(tǒng)日志的計(jì)算機(jī)網(wǎng)絡(luò)用戶行為取證分析系統(tǒng)的研究與實(shí)現(xiàn).pdf

1、隨著計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)的發(fā)展和普及，計(jì)算機(jī)網(wǎng)絡(luò)安全越來(lái)越受到人們的關(guān)注和重視。網(wǎng)絡(luò)中存在著越來(lái)越多的非法攻擊行為，嚴(yán)重影響網(wǎng)絡(luò)的性能并威脅著個(gè)人隱私的安全。計(jì)算機(jī)取證技術(shù)正是在這種應(yīng)用背景下發(fā)展起來(lái)的，它的目標(biāo)就是對(duì)計(jì)算機(jī)系統(tǒng)和計(jì)算機(jī)網(wǎng)絡(luò)中發(fā)生的犯罪行為進(jìn)行取證分析，獲取入侵事件的電子證據(jù)。 近些年來(lái)，計(jì)算機(jī)取證技術(shù)正在成為人們關(guān)注和研究的熱點(diǎn)學(xué)科之一，已經(jīng)發(fā)展了一批成熟的計(jì)算機(jī)取證技術(shù)和取證工具。在我國(guó)，計(jì)算機(jī)取證技術(shù)研究剛剛起步

2、，目前還沒(méi)有自己的關(guān)于計(jì)算機(jī)網(wǎng)絡(luò)取證的工具．本論文是在“面向大規(guī)?；ヂ?lián)網(wǎng)絡(luò)的信息安全保障體系研究”的背景下，對(duì)計(jì)算機(jī)網(wǎng)絡(luò)取證技術(shù)進(jìn)行了研究，重點(diǎn)研究了日志的取證分析和完整性保護(hù)與驗(yàn)證技術(shù)，設(shè)計(jì)和實(shí)現(xiàn)了基于系統(tǒng)日志的計(jì)算機(jī)網(wǎng)絡(luò)用戶行為取證分析系統(tǒng)。 首先，論文對(duì)計(jì)算機(jī)取證技術(shù)、電子證據(jù)和系統(tǒng)日志的相關(guān)概念進(jìn)行了總結(jié)，介紹了Linux系統(tǒng)和Windows系統(tǒng)下常見(jiàn)的系統(tǒng)日志和應(yīng)用程序日志，論證了日志作為電子證據(jù)的可行性，在此基礎(chǔ)上提

3、出了基于系統(tǒng)日志的計(jì)算機(jī)網(wǎng)絡(luò)取證的實(shí)現(xiàn)模型，并分析了計(jì)算機(jī)日志取證應(yīng)該注意的問(wèn)題。 其次，論文對(duì)日志取證過(guò)程中的關(guān)鍵問(wèn)題進(jìn)行了研究，包括日志的采集、傳輸、保存、分析和遞交等，其中日志的取證分析和完整性保護(hù)與驗(yàn)證是研究的重點(diǎn)。日志的取證分析就是通過(guò)對(duì)海量日志數(shù)據(jù)進(jìn)行分析來(lái)挖掘出與入侵事件相關(guān)的日志記錄，分為統(tǒng)計(jì)分析和關(guān)聯(lián)分析。統(tǒng)計(jì)分析是按照事件的類型設(shè)定日志記錄的屬性域的范圍或值來(lái)對(duì)日志數(shù)據(jù)庫(kù)進(jìn)行掃描統(tǒng)計(jì)，總結(jié)出網(wǎng)絡(luò)和用戶的正常行

4、為規(guī)律，實(shí)現(xiàn)日志記錄的聚類，縮小分析的范圍，檢測(cè)出異常的日志記錄，判斷網(wǎng)絡(luò)中入侵事件的特征和發(fā)展趨勢(shì)。時(shí)間上的順序性是日志記錄的重要特征，大多數(shù)黑客入侵行為都不是獨(dú)立的，而是由多個(gè)階段組成的，這在日志系統(tǒng)中的表現(xiàn)就是對(duì)于一次入侵行為會(huì)在不同的網(wǎng)絡(luò)設(shè)備或不同的系統(tǒng)日志中進(jìn)行記錄，這些記錄在時(shí)間上存在一個(gè)偏序關(guān)系，在某些屬性域存在相同的值。因此，作者提出了基于時(shí)間戳和多特征匹配的日志關(guān)聯(lián)分析方法，就是通過(guò)判斷日志記錄是否存在因果關(guān)系和時(shí)間上

5、的先后關(guān)系，以及是否存在屬性值相同的屬性域子集，從而找出存在關(guān)聯(lián)的日志記錄，實(shí)現(xiàn)對(duì)安全事件的重建。數(shù)據(jù)的完整性是計(jì)算機(jī)取證成功與否的關(guān)鍵，關(guān)系到取證分析結(jié)果是否具有法律效力。論文重點(diǎn)提出了利用SSL協(xié)議作為日志數(shù)據(jù)傳輸中的完整性保護(hù)方案，利用CES算法對(duì)日志數(shù)據(jù)的保存和抽取進(jìn)行簽名保護(hù)，利用采集對(duì)象的選擇和日志模板對(duì)日志的內(nèi)容的完整性進(jìn)行驗(yàn)證。 論文接著給出了系統(tǒng)的總體結(jié)構(gòu)設(shè)計(jì)，并對(duì)子系統(tǒng)的模塊功能和工作流程進(jìn)行了詳細(xì)描述，實(shí)現(xiàn)