安全审计系统的设计实现及自身防护研究.pdf

《安全审计系统的设计实现及自身防护研究.pdf》由会员分享，可在线阅读，更多相关《安全审计系统的设计实现及自身防护研究.pdf（56页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、蘑废邮电学院硕：论文分类号T P 3 9 30 8密级Y8 0 8 3 7 0重庆邮电学院硕士学位论文论文题目安全审计系统的设计实现及自身防护研究作者姓名董振兴(题名和副题名)指导教师姓名呈园地堕蓬墼撞缝量盘一星座哩壁堂睦盐墨扭型堂皇焦丕堂睦(职务、职称、学位、单位名称)中请学位级别硕士专业名称一盐差圭!擅旦论文提交日期2 Q Q 垒目论文答辩日期2 0 0 4 年5 月挚位授予单位和日期重盥!竺!圭!塑论文评阅孝祖枢氛授 磊雨而_答辩委员会主席季粗躯!数搓二o。蛑萱月十日 国际十进分类法I I I)c 的类号重庆邮电学院硕士论文摘要安全审计技术是信息安全领域的重要组成部分，它是利用技术手段，

2、小间断地将计算机和计算机网络上发生的一切事件记录下来，用事后追查的方法保证系统的安全和防止个别用户对实际发生的事件否认的抵赖行为。虽然审计措施相对网上的攻击和窃密行为有些被动，但它对追查网上发生的犯罪行为能够起到十分重要的作用，也能够对内部人员犯罪起到威慑作用。因此，计算机安全审计技术的研究具有重大的意义，而且具有良好的应用前景。本文通过分析当前安全审计领域的研究现状，根据安全审计系统的设计原则，并结合实际的项目背景，提出了一个应用于网络服务器的安全审计系统(t t O S T A U D i 1、)的体系结构模型。在实现H O S T A U D I l、系统的过程中，论文结合当前安全审计领

3、域的研究热点：审计数据收集、审训数据防篡改、审计系统的自身安全防护，进行了专门研究。在此基础上，最终实现了完善的数据采集功能、审计数据保护功能以及审计系统的自身安全防护功能。论文最后对H O S T A U D l 3、系统的上述功能分别进行了仿真测试，实验结果表列H O S T A U D I T 系统的自我防护措施是有效的，与当前市场上的几种商用安全审计系统存审计数据的来源和存储方式、防抵赖功能等方面相比，H O S T A U D I T 所收集的审计。数据是相当完善的，所采用的数据存储方式具有一定的创新性和有效性，其防抵赖功能是独有的。关键词：审计取证；防抵赖；安全通道：自身安全重庆邮

4、电学院硕士论文A b s t r a c tS e c u r i t ya u d i ti so n eo ft h em o s ti m p o r t a n tp a n si nt h ef i e l do fi n f o r m a t i o ns e e u f i t yF i r s t l y,i tr e c o r d se v e r y t h i n gf a i t h f u l l ya n du n i n t e r r u p t e d l yi n c l u d i n gu s e r s o p e r a t i o n sa n

5、 do t h e ra c t i v i t i e sh a p p e n e db o t hi nt h el o c a lc o m p u t e rs y s t e ma n dr e l a t e dn e t w o r k A f t e rt h ee v e n t，v a N o u sm e a n sa n dt e c h n o l o g i e sa F eu s e dt oa n a l y z et h ed a t au 7 h i c hh a sb e e nc o l l e c t e da u t o m a t i c a l

6、 l y A tl a s t，t h er e s u l tc a nb ee m p l o y e da ss o l i dt e s t i m o n yt ot e l lt h et r u t hw h e t h e rt h ei n f o r m a t i o ns y s t e mh a sb e e nc r a c k e do rs o m eu s e r sd e n yt h e i ro w na c t i v i t i e s T h o u g ht h i sm e t h o di sp a s s i v et ot h ea t

7、t a c k e r si nt h en e t w o r k，i ti sag r e a th e l pt ot r a c en e t w o r kc r i m e s，a n di ta l s od e t e r st h es t u f ff r o md o i n gt h eb a dt h i n g s T h e r e f o r ei ti so fg r e a ti m p o r t a n c et os t u d yc o m p u t e rs e c u r i t ya u d i tt e c h n o l o g y B

8、yc a r e f u l l 2)a n a l y z i n gt h ec u r r e n ta c c o m p l i s h m e n ti nt h ef i e l do fs e c u r i t ya u d i t，w ep r e s e n t sap o s s i b l ea r c h i t e c t u r eo fs e c u r i t ya u d i ts y s t e m(H O S T A U D I T)w h i c hc a r lb yd e p l o y e di nn e t w o r ks e r v e

9、ri nt h i sp a p e ET h e nw ed i s c u s st h ee v o l u t i o no ft h es e c u r i t ya u d i ts y s t e m，a n df o c u sO i ls t u d y i n gt h eg a t h e r i n go fa u d i td a t a，t h ea u t h e n t i c i t yo fa u d i td a t aa n dt h es e l f-p r o t e c t i o no ft h es e c u d t ya u d i ts

10、 y s t e m H O S T A U D I Ti si m p l e m e n t e dt h e na n dt h er e s u l ts h o w st h a ti tw o r k s I nt h ee n do ft h ep a p e gw ep r e s e n tac o m p a r a t i v et e s ta n di tp r o v e st h a tH O S T A U D l Tc a l ls u c c e s s f u l l yg a t h e rt h ed e s i r e da u d i td a t

11、 aa n dp r o t e c ti t s e l fw o r k i n go r d e rm u c hb e t t e ri nc o m p a r i s o nw i t hs e v e r a lo t h e rs e c u r i t ya u d i ts y s t e m sT h ed a t as t o r a g ep a t t e r ni te m p l o y si st os o l n ee x t e n ti n n o v a t i v ea n de f f e c t i v e T h ef e a t u r et

12、 op r e v e n tt h eu s c r Sd i s a v o wo f t h ea c t u a lo p e r a t i o n st h e yh a v ed o n ei so u t s t a n d i n ga n du n i q u e K e yw o r d s：F o r e n s i ca u d i t；P r e v e n td e n y i n g；S a f et u n n e l；S e l f-p r o t e c t i o n重庆邮电学院硕士论文独创性声明本人声明所呈交的学位论文是本人在导师指导下进行的研究工作及

13、取得的研究成果。据我所知，除了文中特别加以标注和致谢的地方外，论文中不包含其他人已经发表或撰写过的研究成果，也不包含为获得重庞出电堂院或其他教育机构的学位或证书而使用过的材料。与我一同工作的同志对本研究所做的任何贡献均已在论文中作了明确的说明并表示谢意。学位论文作者签名：董舷鼍签字日期：御午年争月z 午日学位论文版权使用授权书本学位论文作者完全了解重麽邮电堂陵有关保留、使用学位论文的规定，有权保留并向国家有关部门或机构送交论文的复印件和磁盘，允许论文被查阅和借阅。本人授权重庆邮电堂瞳可以将学位论文的全部或部分内容编入有关数据库进行检索，可以采用影印、缩印或扫描等复制手段保存、汇编学位论文。(保

14、密的学位论文在解密后适用本授权书)学位论文作者签名：董振?签字日期：冲 年 月；十曰导师签名：调J 扎签字曰期：删，中年中月口f 日重庆邮电学院硕士论文1 1 引言第1 章绪论随着计算机网络的不断发展，全球信息化已成为人类发展的大趋势。信息化程度已成为衡量一个国家综合国力的重要标志，同时也成为一个国家优先发展的战略目标。由于计算机网络的开放性、互连性等特征，致使网络易受黑客、恶意软件和其他不轨行为的攻击，而信息化程度越高就越容易受到攻击，所造成的损失就越大。但是，我们不能因噎废食，信息安全的问题只能在信息化的过程中得到解决，全球信息化趋势是不会被一些黑客行为阻挡的。经过几年的信息安全技术的研究

15、，信息安全已形成整体的解决思路，人们已改变以往对信息安全绝对化的看法，承认信息安全也是个发展的过程，无论是现在还是将来，不可能存在百分之百安全的系统。另外，也出现了一整套解决信息安全问题的技术措施。这些技术措旌覆盖了信息安全的各个领域，包括：身份认证技术、数据加密技术、防火墙技术、入侵检测技术和安全审计技术等。随着计算机网络的发展，小到一个部门大到整个世界都已经被网络连接起来。这样对网络管理人员来说，他们最想知道的就是到底在网络上发生了什么?人们在网络上到底做了什么?网上犯罪的行为是否已发生?网上的资源是否已被非法使用?这一系列的问题都需要对网络强有力的监控和管理。而系统的安全审计功能就是解决

16、上述问题的最好解决方案。1 2 安全审计系统的研究背景及现状计算机安全审计的发展大致可分成四个阶段：无审计阶段，人工审计阶段，半自动审计阶段及全自动审计阶段。人工审计是指由审计人员人工查看审计记录，从中发现可疑的安全入侵情况。半自动审计阶段是指计算机自动处理、分析审计记录与审计员最后决策相结合。目前的审计系统多数处于人工审计阶段。计算机安全审计方法经历了从简单审计方法到复杂审计方法和智能审计方法的转变，即从单纯地记录事件的程序包发展到可提出智能判断结果、功能完善的系统；审计范围也从原来仅审计操作系统扩大到审计各种应用程序，如数据库审计、网络审计等。国内外对于网络安全审计系统的研究起步比较晚”1

17、，1 9 8 0 年，A n d e r s o n 首次提出了利用系统日志信息进行安全审计的思想，直到1 9 9 5 年才发布了第一个具有实用性的网络安全漏洞审计软件S A T A N，但是S A T A N 的技术要求高，使用非常里堕堕塑兰堕堡堡壅不方便。虽然近年来出现了许多此方面的工具，但大多数是基于系统用户的审计工具，如S e c u r i t yC o n f i g u r a t i o nE d i t o r(S C E)i nW I N D O W SN T5 0 或者U N I X下自带的审计工具，对于整个网络中安全事件的审计能力有限，此外一般的审计软件，对数据的采集有

18、一定的限制。审计的基础是数据，数据是如何采集得到的在很大程度上决定了个审计软件的质量。由此可见，未来的网络安全审计系统应该更加独立，成为一个独立的安全软件，其地位犍等同于现在的防火墙和I D S。利用系统日志进行安全审计分析的思想，最早是在1 9 8 0 年A n d e r s o n 的论文中正式提出的，至今研究经历了2 0 余年的研究和发展，已经形成了较为完备的理论和实际应用系统，包括针对各种安全策略的具体审计策略的确定、安全审计标准，安全审计等级划分、安全相关事件的确定等方面：而目前主流的操作系统，均有自己较为完善的安全审计机制，包括各种U N I X L I N U X 的S y s

19、 l o g 机制、W I N D O W SN T 符合C 2 安全等级的S C E(S e c u r i t yC o n f i g u r a t i o nE d i t o r)机制等。网络安全审计系统是近几年网络安全领域的研究重点之一，其不能直接牙9 用传统安全审计理论和审计系统的原因在于两者所面对的计算环境和审计重点不同。传统的安全审计系统没有记录足够的进行网络入侵检测所需要的信息，它主要针对系统中已登录用户的行为及系统中进程的行为进行记录和审计，从网络协议的观点来看，这些均属于高层(应用层)信息。在P r i c e 的综述“中，只有一种传统的安全审计系统记录了少量I P

20、栈的相关信息，这就是S u n 公司的B S M(B a s i cS e c u r i t yM o d u l e)系统，这可以认为是该模型在网络安全审计方面的探索。目前真m 成熟的网络安全审计系统基本上没有，而国内外的学者和厂商正加紧进行这方面的研究，德国的I N S P E C l 分布式网络安全审计系统、P U R D U E 大学的N A S H I D 系统等是这方面的实验性系统。虽然计算机安全审计技术己得到很大发展，但还存在很多缺陷，有很多问题需要完善和解决。例如，单从审计系统的收集角度考虑，审计数据的恰当与合理，审计数据的完备与真实，审计数据的安全，以及审计系统工作过程中的

21、自身安全问题等等，这些问题都是安全审计系统设计过程中需要考虑和解决的，它们也成为当前的研究热点。“。9，1 3 论文背景及工作内容安全审计系统(H O S T A U D I T)是重庆邮电学院计算机网络安全实验室基于重庆市科技攻关计划项目(N o 7 2 2 0-B 一2 1)“电子商务系统的安全审计与维护系统”，重庆市教委科学技术研究项目(N o 0 2 0 5 0 4)“网络服务器的安全审计系统”而研究开发出来的。一一垩壅塑皇兰堕婴圭堡茎一在安全审计项目组的共同努力下，安全审计系统于2 0 0 3 年底完成。安全审计系统主要由两个模块组成：信息采集和安全审计。安全审计模块实现对审计数据的

22、处理，提供完善的数据检索功能和智能化的统计分析能力，这一部分的工作由项目组的其他成员完成。我主要完成对安全审计系统的体系结构设计和功能性设计，以及信息采集模块的编程工作。根掘信息安全的发展趋势，安全审计的概念也发生了变化，它不仅仅指对安全问题的审计分析，还包括对一些正常的用户行为和事件的备案，作为事后的法律依据，它具有防止用户对自己过去的行为否认、抵赖的功能。这样，审计信息的来源要求更为广泛，对审计信息的真实性也有了更高的要求。因此，信息采集模块的功能需求将更加多样化。它要实现对审计数据的实时采集，提供完备和准确的审计信息，同时对采集模块进行保护，确保审计系统运行过程中不会被破坏和关闭，审计信

23、息不会被篡改和窃听。这些内容将在本文中给出具体描述。本论文主要有如下内容：安全审计的相关知识，安全审计系统的设计，以及信息收集端的具体实现，接着是H O S T A U D I T 系统的信息收集端的测试工作，最后是结论。1 4 论文组织与结构本文主要阐述了安全审计系统(H O S T A U D I T)的整体设计和H O S T A U D I T 系统的信息采集端的具体实现以及工作情况，其组织结构如下：第一章：绪论。主要介绍了安全审计系统的发展与现状，以及本论文的研究背景和研究工作：第二章：安全审计相关知识。对安全审计系统及其涉及到的知识和技术作一个大概的介绍，便于论文后面的描述；第三章

24、：H O S T A U D I T 系统设计。结合安全审计系统的设计原则，给出了H O S T A U D I T 系统的功能说明和整体框架描述，同时，对H O S T A U D I T 系统运行过程中存在的脆弱点进行了分析，并提出了相应的解决办法；第四章：信息收集端的具体实现。具体描述了异常进程检测过程、审计数据的采集过程、审计数据的传输过程和信息收集端的保护机制实现过程；第五章：测试。首先对H O S T A U D I T 系统的信息采集端的特点进行了说明，接着通过仿真实验，对异常进程检测、数据采集和传输、自身安全性等方面分别进行了测试。最后给出了本系统的信息采集端与当前市场上的几种

25、安全审计系统在审计信息采集、存储方式和防抵赖功能等方面的比较；第六章：结论及未来工作。本章对全文工作进行总结，指出了论文还需改进重庆邮电学院硕士论文的地方，以及下一步的工作。4 重庆邮电学院硕士论文第2 章安全审计相关知识随着信息技术的高速发展，网络安全技术也越来越受重视，由此推动了防火墙(F i r e w a 1)，入侵检测(I D S)，虚拟专用网(V P N)，访问控制(A c c e s sC o n t r 0 1)，面向对象系统的安全性(C O R B A)等各种网络安全技术的发展。由于本论文主要是介绍关于安全审计系统的设计及自身安全性分析，因此为了便于后面阐述，本文就安全审计系

26、统及其相关知识作一些说明。2 1 安全审计概述”帕安全审计即是对安全方案中的功能提供持续的评估“。安全审计应为安全管理员提供一组可进行分析的管理数据，以发现在何处发生了违反安全方案的事件。利用安全审计结果，可调整安全政策，堵住出现的漏洞，为此，安全审计应具备以下功能。记录关键事件。由安全管理员定义违反安全的事件，并决定将什么信息记入审计日志。提供可集中处理审计日志的数据形式。以标准的、可使用的格式输出安全审计信息，使安全管理员能够直接利用软件工具处理这些事件。提供易于使用的软件工具。为了能立即发现违反安全规定的事件，要为安全管理员提供一套易于使用的基本分析工具。实时安全报警。扩展现有管理工作的

27、能力并将它们与数据链路驱动程序和本地审计能力结合起来，当发生与安全有关的事件对，安全管理员就会接到警报。利用安全审计日志进行监控是一种更为主动的监督管理形式，它也是一种检测触犯安全规定事件的手段。出于它自身的重要性，安全审计日志和监控功能本身给安全带来了额外的威胁，因此必须加强对这类信息的保护。对安全审计日志和监控功能的使用也必须做审计记录，否则蓄谋作案的内部人员将有机可乘，逃脱审查。安全审计与报警是不可分割的。安全审计和报警服务位于开放系统互联安全框架I S O I E C l 0 1 8 1 7 中，安全框架只涉及对提供系统和系统对象保护的方法以及系统间交互作用的定义，并不涉及构成系统或机

28、制的方法。安全审计与报警的目的是根据适当安全机构的安全策略，确保与开放系统互联的安全有关的事件得到处理，与其他安全服务一样，安全审计只在定义的安全策略范围内提供。安全审计允许安全策略的充分性受到评价，帮助检测安全违规，促使每个人对自己的(或对代表他们行为的实体的)行为负责，协助检测滥用资源，以及阻蔓堕堂皇堂堕堡兰三堡塞止那些可能企图毁坏系统的个人。安全审计机制并不直接参与阻止安全违规，它们只是参与对安全事件的检测、记录和分析。这就允许被执行的操作程序进行修改，这些程序是用来响应诸如安全违规这类非正常事件的。安全报警的产生是检测到任何符合已定义报警条件的安全相关事件的结果，这可能包括达到预定义阈

29、值的情况。有些事件也许需要立即采取矫正行动，另一些事件则可能需要迸一步调查研究，以便确定是否需要采取某些行动。安全审计和报警的实现，可能需要使用其他安全服务来支持安全审计和报警服务，并确保它们正确而有把握地运行。正如安全的其他方面一样，通过特定的安全审计需求设计，可以在系统运行中获得最大的安全效果。因此，系统开发者应当考虑在设计过程和系统开发过程两个过程中都需要可审计性(即准备好检测和分析)。安全审计和报警服务与其他安全服务的不同之处在于没有单个的特定安全机制可以用于提供这种服务。审计机制也许可以特征化为大量管理和操作方法的处理过程。安全审计跟踪是一种很有价值的安全机制，可以通过事后的安全审计

30、来检测和调查安全策略执行的情况以及安全遭到破坏的情况。安全对系统记录和活动进行独立评估、考核，以测试系统控制是否充分，确保与既定策略和操作规程相一致，有助于对入侵进行评估，并指出控制、策略和程序的变化。安全审计需要安全审计跟踪中与安全有关的记录信息，以及从安全审计跟踪中得到的分析和报告信息。日志或记录被视为一种安全机制，而分析和报告则被视为一种安全管理功能。通过指明所记录的与安全有关的事件的类别，收集的安全审计跟踪信息可适应各种需要。安全审计跟踪的存在对潜在的安全攻击可以起到威慑作用。开放系统互联安全审计跟踪，将考虑哪些信息应被记录，在什么条件下对信息进行记录以及用于交换安全审计跟踪信息的语法

31、和语法定义。2 2 安全审计系统的基本模型一个审计系统的基本模型包括两个部分：审计数据采集器，它用于采集审计数据；审计数据分析器，它负责对审计数据采集器发送给它的数据进行分析。安全审计系统的基本模型如图2 1 所示。图2 1 安全审计系统的基本模型-白茎壅墅皇兰堕堡圭笙苎通常，从数据采集器向数据分析器传送审计数据，是由一个文件来完成的。当从不同的系统采集审计数据时，就会产生问题。这是因为对安全审计来说，缺少一个标准的接1：3。为安全审计的数据格式和内容开发相关的标准，是人们正在研究的一个课题。一般情况下，安全审计系统包括审计控制器、日志记录器、审计日志信息、审计存储部件和审计分析工具，如图2，

32、2 所示。系统管理员可以根据需要预先配置审计控制器，选择所需记录的事件类型。2 3 安全审计分类圈22 审计系统的组成图目前，计算枫的安全审计系统分为以下几种：(1)系统级的审计：主要是利用计算机操作系统和网络操作系统的审计功能记录主机和网络上发生的所有事件。对系统审计的事件包括：文件的增加、删除、修改和拷贝的操作、文件打印、拨号、上网登录、从计算机的并口、串口和U S B1：3 增加外部设备、对网络服务器的操作和用户安装和运行那些软件等等。这些行为都是与信息系统的安全有直接的关系。(2)专用软件系统的审计：有些数据库系统(如O R A C L E，S Y B A S E 等)和一些专用的办公

33、室系统(如W O R D，W P S 等)，它们是在操作系统之上运行的，操作系统的审计是无法审计到用户在这些专用系统内的行为。一般这些专用系统也会提供专门的审计功能，但这些审计功能往往不能满足用户的需求。对这些系统的审计就要依靠专门的审计软件。(3)应用级的审计：在一些应用系统的开发中同样需要审计功锯。例如财务管理软件，它就需要记录下操作员对帐本的所有操作。应用级的审计是审计系统的最高层次。它无法归纳成统一的格式，也不可能在编制应用系统的同时设计和编制审计功能模块。本文将综合以上三种方式，对网络服务器进行全方位的审计。2 4 安全审计领域的一些研究热点目前，国内外许多学者都在安全审计领域展开了

34、广泛的研究，所研究的课题重庆邮电学院硕士论文包括以下五个方面：(1)审计内容a 此研究领域旨在确定用于检测计算机入侵和误用的审计数据的格式和内容。(2)审计分析。此研究领域讨论了诸如自动分析、分布式分析以及审计分析的更有效方法。(3)窜计压缩。此研究领域旨在开发先进的技术，并最终形成工具以减少审计数掘，其目的不仅是为了节省存储空间，而且是为了提取用来进行安全管理的更高层次、更有用的信息。(4)审计信息的防篡改。此领域的研究旨在保护审计日志不被篡改。(5)审计系统的自防护。此领域的研究旨在保护审计系统在运行中不会被破坏和关闭。下面将分别就审计内容、审计分析、审计信息的防篡改和审计系统的自防护的研

35、究现状作简要描述。2 4 1 审计内容在安全审计系统中，采集审计数据是审计系统工作的笫一步。为审计数据的格式和内容开发获得广泛认同的审计追踪标准用以支持安全目标，是克服非兼容性的重要一步。当前关于这些标准的研究，主要有如下几种：1 格式标准广泛认同的标准格式将有利于克服非兼容性和互操作性，而非兼容性和互操作性是审计数据分析系统的开发者所面临的主要问题。采用标准的格式也有利于来自不同审计系统的审计数据的交换，并促进网络环境下对数据的协同分析。关于审计追踪的格式，有以下几个标准：(1)B i s h o p 的标准审计追踪格式B i s h o p 提出，一个标准的格式必须是既可扩充又可移植的，以

36、满足不同的多种系统的需求，以及跨越各种系统和网络协议的可移植性。B i s h o p 定义了标准的日志记录格式，它既可移植，又可扩展。在此标准格式中，每个目志记录包含一些域，域之间由域分割符“#”分开，由启动和终止符号S 和“E”来定界。域的数目是不固定的，以满足扩展性的需要。全部的数值都是A S C I I 代码串，这就避免了字节排序和浮点格式的问题。然而，这一格式没有对审计追踪记录的域进行标准化。(2)归一化的审计数据格式归一化的审计数据格式(N A D F)是由A S A X 误用检测系统的开发者所定义的，旨在提供一定程度的操作系统独立性。N A D F 审计追踪是有序的N A D F

37、 记录文件，任何审计追踪都能转化成N A D F 格式。在转换时，对本地审计追踪的审计记录被-8-一重垦塑皇兰堕竺主堡三抽象成为一系列审计数据值。每个审计数据值存放在一个独立的N A D F 记录中。每条记录包括以下三个域：识别符，审计数据值的类型：长度，审计数据值的长度；值，审计数据值。(3)S V R 4+通用审计追踪互交换格式这是一个专为U N I X 系统设计的标准。一条审计记录中所输入的属性组包括：时间、事件类型、进程识别符、结果、用户和用户组信息、会话识别符、进程的标号信息。以及有关目标和各种数据的其它一些信息，这些属性组均以A S C II 代码的形式表示。这一标准的优点是更接近

38、可移植性，缺点是缺少了可扩展性的某些特征。2 内容标准审计数据的内容也需要标准化，这将有利于对来自不同审计源的审计数据进行分析，并且可以提高网络环境下的互操作性。已提出的标准有如下几种：(i)D o D 的可信计算机系统评估规范：是由美国国家计算机安全中心创立的，旨在对计算机系统的安全性进行评估。这一标准有四类规范，分别称为A，B，C和D。满足最高划分的规范(A)的系统能够提供最高等级的安全保证，在B 和c类中，又包含一些子类。c 2 到A 1 等级要求在系统中具有审计安全相关活动的能力。这一标准阐述了何种事件需要审计，每审计事件要含有哪些内容。此外，每一审计事件的内容应当包括下面的信息：事件

39、的日期和事件；用户识别符；事件的类型：事件的成功和失败：发出鉴别和认证事件请求的源点；导入删除事件的对象名称。(2)分布系统的安全规范：是由美国防护分析协会在1 9 9 5 年制定的。这一标准规定了各种需要审计的事件。这些事件可以划分为六类：访问控制和管理策略事件；数据机密性和完整性策略事件；非自主的策略事件；可用性策略事件：密码策略事件；缺省和从属性事件。它规定了对每一事件要记录的信息，他们分别是：日期和时间；主体的属性信息；对生成审计记录的主机的识别；事件的种类；此类事件的识别符；事件的结果(成功或失败)。2 4 2 审计分析审计追踪需要进行分析以确定脆弱性，建立可计算性，评估损失和恢复系

40、统运行。对审计追踪的人工分析虽然十分麻烦，但经常使用，因为要从审计记录中提取综合的信息来形成查询是非常困难的一件事。在浏览审计时，可以借助于许多工具。在开发有效的审计分析工具时，所遇到的主要障碍是需要处理日志机制生成的大量数据。目前，人们已经在自动审计分析领域中做了大量工作，主要是以检测入侵为目的。这些工具将审计数据作为输入，而把审计分析后所生成的结果作为输出。里垦堕皇兰堕堡主丝三这些工具主要基于三种分析方法：一是统计分析。这种分析方法定期收集与合法用户行为有关的数据，而后用于对观察的行为进行统计检验，以高可信度决定是否与合法用户行为相符；二是基于规则的专家系统。自动专家系统(诸如I D E

41、S 的部分功能，D I D S，W&S 和数字签名分析)采用了不同的方法，这些系统与“异态检测”的区别是，通过采用预先设定的规则来进行“误用检测”，而这些规则都是由入侵检测专家们所预先设计好的；三是枕器自动学习。采用会自动学习入侵检测问题的机器进行自动审计分析，是一种相对来说较新的方法，能学会监视和学习用户的正常活动。审计分析实现方式有如下三种：一是集中式审计。所有多用户操作系统都有一个统计软件，用于采集用户活动信息。集中式审计可以用其实现安全审计追踪，但它要么不一定含有安全所需的信息，要么格式不便使用；二是专用审计记录。它只记录入侵检测系统所需的审计数据。它可以独立于各种其体操作系统单独运行

42、、便于实现安全审计；三是分布式审计。分布式审计允许从网络中的异型系统中采集审计数据，这是在网络环境中保证安全性所必须的。因为在同一个网络中所发生的用户活动的相关性有可能呈现出某个恶意的行为，而相同的行为在单个主杌层面上可能看起来是合法的。分布式审计分析对于网络安全来说是必需的，因为像前面提到过的，发生在不同主机上的用户活动的相关性能够导致某个恶意的行为，而这些活动在单个主机层面上看可能是合法的。它比集中式的审计追踪分析有以下优点：与集中式相比，大量地降低了网络数据的流量，因为在集中式分析中，所有的审计数据都要发往中心主机进行处理；它能够使多个分析主机的C P U 负荷得到均衡。它不像集中式审计

43、分析那样，所有的负荷全部由中心主机进行处理，而是由多个主机分担。2 4 3 审计信息的防篡改防止审计信息被篡改的最有效办法是将审计信息与网络隔离起来。这种技术就是网络隔离技术。网络隔离技术的目标是确保把有害的攻击隔离，在可信网络之外和保证可信网络内部信息不外泄的前提下，完成网问数据的安全交换。网络隔离技术是在原有安全技术的基础上发展起来的，它弥补了原有安全技术的不足，突出了自己的优势。网络隔离，英文名为N e t w o r kI s o l a t i o n，主要是指把两个或两个以上可路由的网络(如：T C P I P)通过不可路由的协议(如：I P X S P X、N e t B E U

44、 I 等)进行数据交换而达到隔离目的。由于其原理主要是采用了不同的协议，所以通常也一一兰垦堕塑兰堕!坚主笙兰叫协议隔离(P r o t o c o lI s o l a t i o n)。1 9 9 7 年，信息安全专家M a r kJ o s e p hE d w a r d s在他编写的 U n d e r s t a n d i n gN e t w o r kS e c u r i t y 书中，他就对协议隔离进行了归类。在书中他明确地指出了协议隔离和防火墙不属于同类产品。隔离概念是在为了保护高安全度网络环境的情况下产生的；隔离产品的大量出现，也是经历了五代隔离技术不断的实践和理论相结

45、合后得来的。第一代隔离技术完全的隔离。此方法使褥网络处于信息孤岛状态，做到了完全的物理隔离，需要至少两套网络和系统，更重要的是信息交流的不便和成本的提高，这样给维护和使用带来了极大的不便。第二代隔离技术颂件卡隔离。在客户端增加一块硬件卡，客户端硬盘或其他存储设备首先连接到该卡，然后再转接到主板上，通过该卡能控制客户端硬盘或其他存储设备。而在选择不同的硬盘时，同时选择了该卡上不同的网络接口，连接到不同的网络。但是，这种隔离产品有的仍然需要网络布线为双网线结构，产品存在着较大的安全隐患。第三代隔离技术数据转播隔离。利用转播系统分时复制文件的途径来实现隔离，切换时间非常之久，甚至需要手工完成，不仅明

46、显地减缓了访问速度，更不支持常见的网络应用，失去了网络存在的意义。第四代隔离技术空气开关隔离。它是通过使用单刀双掷开关，使得内外部网络分时访问临时缓存器来完成数据交换的，但在安全和性能上存在有许多问题。第五代隔离技术安全通道隔离。此技术通过专用通信硬件和专有安全协议等安全机制，来实现内外部网络的隔离和数据交换，不仅解决了以前隔离技术存在的问题，并有效地把内外部网络隔离开来，而且高效地实现了内外网数据的安全交换，透明支持多种网络应用，成为当前隔离技术的发展方向。2 4 4 审计系统的自防护自身安全是网络安全系统的一个重要特性“，如果没有完善的自身防护体系作为保障，即使拥有再强大的功能也无法实现。

47、如同其他信息安全产品一样，审计系统的自防护问题也是实际研发和应用中的一个热点问题。目前安全审计系统的自防护体系仅仅把其作为一般的信息系统考虑，而在实际的网络安全防御系统中，安全审计系统，特别是其审计数据采集模块，工作在复杂的网络环境下，随时会成为黑客的攻击目标。它的自防护除了考虑作为一般信息防御系统的自防护外，还必须考虑在攻防对抗环境下的安全审计系统的生存问题。当前国内这方面的研究刚刚起步，理论还不够完善，需要进一步研究a重庆邮电学院硕上论文2 5W 1 N D O W S2 0 0 0 的安全性由于本项目是在微软操作系统W I N D O W S2 0 0 0S E R V E R 平台下利

48、用v c 开发的，因此有必要对W I N D O W S2 0 0 0 的安全性特征作一个说明。2 5。1 安全性特征严格意义上讲，微软操作系统还是一个比较优秀的操作系统，其安全性设施也很丰富。从总体上讲，微软操作系统的安全性特征可以包括以下内容：1 登录认证的安全微软操作系统存在着一个用户名口令的加密数据库，通过比较匹配的方法确认用户登录的合法性。2 用户的权限作为用户，可以通过操作系统管理员授权，确定用户的资源访问权限。3 资源管理从安全的角度看，计算机的资源分为三种：文件资源的访问控制。这包括打开文件、关闭文件、创建和删除文件、读写文件、加解密文件等等；注册表文件。注册表文件的内容五花八

49、门，它包括了计算机的配置、访问记录、网络、设备等计算机信息；进程资源。进程是计算机完成预定义任务的程序。计算机的每一个动作都是由进程发出的。所以进程也是黑客和病毒攻击的主要目标。与W I N D O W SN T4 0 一样，N T F S 对W I N D O W S2 0 0 0 也非常重要。如果用户没有在W I N D O W S2 0 0 0 主域控制器中安装N T F S，将无法保证安全性。微软在W I N D O W S2 0 0 0 中特别关注安全保护并集成了活动目录服务，使得W I N D O W S2 0 0 0 比以前的系统更安全。下面阐述几点W I N D O W S2

50、0 0 0 中新改进的安全特性：(1)最重要的是活动目录(A c t i v eD i r e c t o r y)。它是f f I N D O W S2 0 0 0 安全模型灵活性的核心内容，它能够提供网络中所有对象的信息。它是W I N D O W S2 0 0 0分布式网络的基础，适合集中式管理策略，如组策略和远程操作系统操作等。活动目录替代安全帐户管理数据库(S A M)来保存域中有关安全保护的信息如用户帐户、口令和组。因此活动目录是本地安全认证(L o c a lS e c u r i t yA u t b o r i t y，L S A)的可信任模块。活动目录存储器用于访问资源认证