基于STAT技术的安全事件管理系统的研究与实现

论文摘要

随着互联网的发展以及信息化程度的逐步提高,信息安全威胁也呈现出多元化、复杂化的趋势。依靠单一的安全技术已经很难解决现有的信息安全问题,信息安全要靠一个包括防火墙、防病毒、VPN、入侵检测、漏洞扫描器等多项技术和安全产品组成的安全体系来实现。但是根据专业机构的调查显示,在使用了多种安全产品和技术的企业或机构中,安全事件仍然居高不下。这引起了大家的反思,人们开始意识到信息安全管理的重要性,信息安全的重心开始由“技术”转移到“管理”上来。信息安全管理系统应运而生。信息安全管理系统一般至少包括以下子系统:事件管理、策略管理、资产管理、身份管理、应急响应。安全事件管理系统是信息安全管理系统的核心子系统,它行使事件采集、事件分析处理、风险评估、事件审计等功能。它既可以与其他子系统协作构成完整的信息安全管理系统,也可以作为独立的信息安全管理产品单独运行。本文设计了一个安全事件管理系统（Security Event Management System,SEMS）,并利用STAT（StateTransitionAnalyseTechnology）技术实现了该系统。SEMS能够支持对各种类型、各种品牌的安全产品的事件管理;能够对各种安全事件进行采集,并实现事件标准化、过滤和归并操作;能够使用“资产关联”、“聚类关联”、“事件序列关联”等多种方法进行事件关联分析处理;能够对事件进行实时监控、审计和态势分析。在整个论文过程中,从信息安全的内容和目标以及信息安全所面临的问题入手,对安全事件管理系统进行需求分析。并在此基础上,做了以下的工作:（1）定义了一个事件标准模型。在对安全事件管理系统进行细化分析,对关键技术进行调研的过程中,改进IDMEF数据模型,为安全事件管理系统定义了一个事件标准模型。该模型适用于各种异构的事件源,包括不同采集方式的事件信息、不同信息源的事件信息、不同类型的事件信息等。（2）定义了一个事件关联模型,在该模型中采用了包括事件过滤、事件归并、资产关联、聚类关联、事件序列关联的多种关联方法。能有效的减少事件量,降低误报率和漏报率,发现分布式和组合式攻击。（3）在此基础之上设计并实现了一个安全事件管理系统-SEMS。对SEMS的总体框架以及各个模块的功能及实现做了具体的阐述。（4）以一个DDOS攻击的实际数据进一步说明SEMS的功能,并验证了SEMS的可行性及其在减少事件量,降低误报率和漏报率,发现分布式和组合式攻击上的有效性。

论文目录

• 摘要
• ABSTRACT
• 目录
• 第一章 引言
• 1.1 研究背景
• 1.1.1 信息安全及信息安全管理
• 1.1.2 信息安全面临的问题
• 1.1.3 信息安全管理系统及事件管理系统
• 1.2 本文的研究目标和研究内容
• 1.3 本文的组织结构
• 第二章 技术基础
• 2.1 本章提要
• 2.2 IDMEF
• 2.2.1 IDMEF数据模型
• 2.2.2 使用XML描述IDMEF文档标记
• 2.3 STAT技术
• 2.3.1 STAT框架结构
• 2.3.2 STATL语言
• 2.4 事件关联
• 2.4.1 事件关联的定义
• 2.4.2 常用的事件关联方法
• 第三章 安全事件管理系统的分析
• 3.1 本章提要
• 3.2 事件采集
• 3.2.1 事件采集模式
• 3.2.2 采集的信息源
• 3.3 事件标准化
• 3.4 事件关联
• 3.4.1 事件预处理层
• 3.4.2 一级关联层
• 3.4.3 二级关联层
• 3.4.4 事件响应层
• 第四章 基于STAT技术的安全事件管理系统的设计与实现
• 4.1 本章提要
• 4.2 总体设计
• 4.2.1 系统流程图
• 4.2.2 模块结构图
• 4.3 SENSOR
• 4.4 PRESTAT
• 4.5 CLUSTERSTAT
• 4.6 SEQSTAT
• 4.7 CONSOLE
• 第五章 试验
• 5.1 试验环境
• 5.2 试验结果及分析
• 5.3 试验结论
• 第六章 总结和展望
• 6.1 本文总结
• 6.2 进一步的工作
• 参考文献
• 致谢
• 攻读学位期间发表的学术论文目录