信息系统安全技术之安全审计与日志

信息系统安全技术

--安全审计与日志分析何长龙高级工程师目录专业安全审计系统体系结构分析网络信息系统安全审计综述审计与日志分析审计结果分析安全审计系统的必要性一旦我们采用的防御体系被突破怎么办？至少我们必须知道系统是怎样遭到攻击的，这样才能恢复系统，此外我们还要知道系统存在什么漏洞，如何能使系统在受到攻击时有所察觉，如何获取攻击者留下的证据。网络安全审计的概念就是在这样的需求下被提出的，它相当于飞机上使用的“黑匣子”。

安全审计系统的必要性（续）在TCSEC和CC等安全认证体系中，网络安全审计的功能都是方在首要位置的，它是评判一个系统是否真正安全的重要尺码。因此在一个安全网络系统中的安全审计功能是必不可少的一部分。网络安全审计系统能帮助我们对网络安全进行实时监控，及时发现整个网络上的动态，发现网络入侵和违规行为，忠实记录网络上发生的一切，提供取证手段。它是保证网络安全十分重要的一种手段。

CC标准中的网络安全审计功能定义

网络安全审计包括识别、记录、存储、分析与安全相关行为有关的信息。国际标准化组织(ISO)和国际电工委员会(IEC)发表了【信息技术安全性评估通用准则2.0版】(ISO/IEC15408)，俗称CC准则，目前它已被广泛地用于评估一个系统的安全性。在这个标准中对网络审计定义了一套完整的功能，有：安全审计自动响应、安全审计数据生成、安全审计分析、安全审计浏览、安全审计事件存储、安全审计事件选择等。

安全审计自动响应

安全审计自动响应定义在被测事件指示出一个潜在的安全攻击时作出的响应，它是管理审计事件的需要，这些需要包括报警或行动，例如包括实时报警的生成、违例进程的终止、中断服务、用户帐号的失效等。根据审计事件的不同系统将作出不同的响应。其响应方式可作增加、删除、修改等操作。

安全审计数据生成

该功能要求记录与安全相关事件的出现，包括鉴别审计层次、列举可被审计的事件类型、以及鉴别由各种审计记录类型提供的相关审计信息的最小集合。系统可定义可审计事件清单，每个可审计事件对应于某个事件级别，如低级、中级、高级。

产生的审计数据有以下几方面

对于敏感数据项（例如，口令通行字等）的访问目标对象的删除访问权限或能力的授予和废除改变主体或目标的安全属性标识定义和用户授权认证功能的使用审计功能的启动和关闭

每一条审计记录中至少应所含以下信息：事件发生的日期、时间、事件类型、主题标识、执行结果（成功、失败）、引起此事件的用户的标识以及对每一个审计事件与该事件有关的审计信息。

安全审计分析

此部分功能定义了分析系统活动和审计数据来寻找可能的或真正的安全违规操作。它可以用于入侵检测或对安全违规的自动响应。当一个审计事件集出现或累计出现一定次数时可以确定一个违规的发生，并执行审计分析。事件的集合能够由经授权的用户进行增加、修改或删除等操作。

安全审计计分析类类型潜在攻击击分析基于模板板的异常常检测简单攻击击试探复杂攻击击试探等几种类类型。安全审计计分析类类型（续续）潜在攻击击分析：：系统能能用一系系列的规规则监控控审计事事件，并并根据这这些规则则指示系系统的潜潜在攻击击；基于模板板的异常常检测：：检测系系统不同同等级用用户的行行动记录录，当用用户的活活动等级级超过其其限定的的登记时时，应指指示出此此为一个个潜在的的攻击；；简单攻击击试探：：当发现现一个系系统事件件与一个个表示对对系统潜潜在攻击击的签名名事件匹匹配时，，应指示示出此为为一个潜潜在的攻攻击；复杂攻击击试探：：当发现现一个系系统事件件或事迹迹序列与与一个表表示对系系统潜在在攻击的的签名事事件匹配配时，应应指示出出此为一一个潜在在的攻击击。安全审计计浏览该功能要要求审计计系统能能够使授授权的用用户有效效地浏览览审计数数据。包包括：审审计浏览览、有限限审计浏浏览、可可选审计计浏览。。审计浏览览提提供从审审计记录录中读取取信息的的服务；；有限审计计浏览要要求求除注册册用户外外，其他他用户不不能读取取信息；；可选审计计信息要要求求审计浏浏览工具具根据相相应的判判断标准准选择需需浏览的的审计数数据。安全审计计事件选选择系统能够够维护、、检查或或修改审审计事件件的集合合，能够够选择对对哪些安安全属性性进行审审计，例例如：与与目标标标识、用用户标识识、主体体标识、、主机标标识或事事件类型型有关的的属性。。系统管管理员将将能够有有选择地地在个人人识别的的基础上上审计任任何一个个用户或或多个用用的动作作。安全审计计事件存存储系统将提提供控制制措施以以防止由由于资源源的不可可用丢失失审计数数据。能能够创造造、维护护、访问问它所保保护的对对象的审审计踪迹迹，并保保护其不不被修改改、非授授权访问问或破坏坏。审计计数据将将受到保保护直至至授权用用户对它它进行的的访问。。安全审计计事件存存储（续续）它可保证证某个指指定量度度的审计计记录被被维护，，并不受受以下事事件的影影响：审计存储储用尽；；审计存储储故障；；非法攻击击；其他任何何非预期期事件。。系统能够够在审计计存储发发生故障障时采取取相应的的动作，，能够在在审计存存储即将将用尽时时采取相相应的动动作。网络安全全审计层层次结构构图网络层审审计系统层审审计应用层审审计TCP/IP、、ATM…UNIX、Windows9x/NT、、ODBC审计总控控CA发证证操作主页更新新监视…安全审计计系统体体系结构构示意图图安全审计系统统的典型型配置示示意图

MailServer

DNSServer

DBServer

ApplicationServer

Workstation

路由器

防火墙

审计设备1

审计设备2

审计软件Agent

服务网

内部网

ApplicationServer

WebServer

SearchServer

审计中心

审计与日日志分析析审计与日日志分析析的参考考标准防火墙和和路由器器等网络络和网络络安全设设备日志志通用操作作系统日日志日志过滤滤可疑的活活动分析析审计结果果参考审计计执行过过程建立设计计报告库库安全审计计和安全全标准建议性审审计解决决方案建议审计计执行过过程为了能够够确定安安全策略略和实施施情况的的差距，，建议采采用特定定方法继继续进行行有效的的审计；；抵御和清清除病毒毒，蠕虫虫和木马马，修补补系统漏漏洞；建议改善善和增强强如下内内容：重新配置置路由器器；添加和重重新配置置防火墙墙规则；；升级操作作系统补补丁类型型；升级已有有的和不不安全的的服务；；加强网络络审核；；自动实施施和集中中管理网网络内部部和边界界安全；；建议改善善和增强强如下内内容（续续）增加入侵侵检测和和网络监监控产品品；增强物理理安全；；加强反病病毒扫描描；加强用户户级别的的加密；；删除不必必要的用用户账号号，程序序和服务务；等等具体改善善建议分类改善防火墙保证访问控制规则为最小、正确和有效的设置；保证NAT、冲定向等为最小、正确和有效设置；扫描DMZ区域内有问题的主机和服务器。入侵检测随时升级和更新入侵检测系统的规则；识别需要检测的内容。主机和个人安全实施用户级别的加密；在单个客户端上安装“个人防火墙”来锁定端口和减小风险。强制实施安全策略安装监视软件，如Axrent的企业级安全管理器；对物理安全进行有规律的审计。建议设计计审计报报告库在安全审审计报告告中应该该包括：：总体评价价现在的的安全级级别：你你应该给给出低、、中、高高的结论论，包括括你监视视的网络络设备的的简要评评价（例例如：大大型机、、路由器器、NT系统、、UNIX系统统等等））；对偶然的的、有经经验的和和专家级级的黑客客入侵系系统作出出时间上上的估计计；简要总结结出你的的最重要要的建议议；在安全审审计报告告中应该该包括（（续）详细列举举你在审审计过程程中的步步骤：此此时可以以提及一一些在侦侦查、渗渗透和控控制阶段段你发现现的有趣趣问题；；对各种网网络元素素提出建建议，包包括路由由器、端端口、服服务、登登陆账户户、物理理安全等等等；讨论物理理安全：：许多网网络对重重要设备备的摆放放都不注注意。例例如，有有的公司司把文件件服务器器置于接接待台的的桌子后后，一旦旦接待人人员离开开，则服服务器便便暴露在在网络攻攻击下。。有一次次，安全全设计人人员抱着着机器离离开，安安全守卫卫还帮了了忙；安全审计计领域内内使用的的术语。。在安全审审计报告告中应该该包括（（续）最后，记记着递交交你的审审计报告告。因为为安全审审计涉及及了商业业和技术术行为，，所以应应该把你你的报告告递交给给两方面面的负责责人。如如果你采采用电子子邮件的的方式递递交报告告，最好好对报告告进行数数字签名名和加密密。持续审计计的可以以采取的的有效步步骤定义安全全策略建立对特特定任务务负责的的内部组组织对网络资源进进行分类为雇员建立安安全指导确保个人和网网络系统的物物理安全保障网络主机机的服务和操操作系统安全全持续审计的可可以采取的有有效步骤加强访问控制制机制建立和维护系系统确保网络满足足商业目标保持安全策略略的一致性重复的过程安全审计和安安全标准安全审计可参参考的标准ISO7498-2英国标准7799（BS7799）ISO15408（（CommonCriteria，CC）ISO7498英国标准7799（BS7799）BS7799文档的标标题是《ACodeofPracticeForInformationSecurityManagement》，论论述了如何确确保网络系统统安全。1999年的的版本有两个个部分，BS7799-1论述了了确保网络安安全所采取的的步骤；BS7799-2讨论论了在实施信信息安全管理理系统（ISMS）是应应采取的步骤骤。ISO17799虽然BS7799是英英国标准，但但由于它可以以帮助网络专专家设计实施施计划并提交交结果，所以以很多非英国国的安全人士士也接受这一一标准。ISO17799于于2000年年12月出版版，它是适用用于所有的组组织，建议成成为强制性的的安全标准。。它是基于BS7799之上的的，BS77991995年2月月首版，最后后一次修订和和改进是在1999年5月ISO17799概述述ISO17799在在安全问题的的范围上是全全面的。它包包含大量实质质性的控制要要求,有些是是极其复杂的的。要符合ISO17799，或其他他真正的任何何详细安全标标准，都不是是一项简单的的事情。甚至至对于最有安安全意识的组组织来说，认认证就更令人人头痛了。什么是ISO17799？ISO17799是一一个详细的安安全标准。包包括安全内容容的所有准则则，由十个独独立的部分组组成，每一一节都覆盖了了不同的主题题和区域。1、商业持续续规划这节的主要内内容包括：1）防止商业业活动的中断断；2）防止关键键商业过程免免受重大失误误或灾难的影影响。2、系统访问问控制——这节的主要内内容有：1）控制访问问信息；2）阻止非法法访问信息系系统；3）确保网络络服务得到保保护；4）阻止非法法访问计算机机；5）检测非法法行为；6）保证在使使用移动计算算机和远程网网络设备时信信息的安全3、系统开发发和维护这节的主要内内容有：1)确保保信息安全保保护深入到操操作系统中；；2)阻止止应用系统中中的用户数据据的丢失，修修改或误用；；3)确保保信息的保密密性，可靠性性和完整性；；4)确保保IT项目工工程及其支持持活动是在安安全的方式下下进行的；5)维护护应用程序软软件和数据的的安全。4、物理和环环境安全这部分的主要要内容有：阻止对业务机机密和信息非非法的访问，，损坏干扰；；阻止资产的丢丢失，损坏或或遭受危险，，使业务活动动免受干扰；；阻止信息和信信息处理设备备的免受损坏坏或盗窃。5、符合性这部分的主要要内容有：避免违背刑法法、民法、条条例或契约责责任、以及各各种安全要求求；确保组织系统统符合安全方方针和标准；；使系统审查过过程的绩效最最大化，并将将干扰因素降降到最小。6、人员安全全这部分的主要要内容包括：：减少错误，偷偷窃，欺骗或或资源误用等等人为风险；；确保使用者了了解信息安全全的威胁和，，在他们的正正常的工作中中有相应的训训练，以便利利于信息安全全政策的贯彻彻和实施；通过从以前事事件和故障中中汲取教训，，最大限度降降低安全的损损失。7、安全组织织这节的主要内内容包括：在公司内部管管理信息安全全；保持组织的信信息采集设施施和可被第三三方利用的信信息资产的安安全性；当信息处理的的责任需借助助于外力是时时，维持信息息的安全。8、计算机与与网络管理这节的目的是是：确保信息处理理设备的正确确和安全的操操作；降低系统失效效的风险到最最小；保护软件和信信息的完整性性；维护信息处理理和通讯的完完整性和可用用性；确保网络信息息的安全措施施和支持基础础结构的保护护；防止资产被损损坏和业务活活动被干扰中中断；防止组织间的的交易信息遭遭受损坏，修修改或误用。。9、资产分类类和控制这节的主要阐阐述了：对于共同的资资产给予适当当的保护并且且确保那些信信息资产得到到适当水平的的保护。10.安全全政策这节的目的是是：为信息安全提提供管理方向向和支持。在完善ISMS时，应遵遵循以下步骤骤定义安全策略略为你的信息安安全管理系统统（ISMS）定义范围围风险评估对已知的风险险进行排序和和管理BS7799和ISO7498-2建议的的步骤发布安全策略略公布负责人名名单培训公司人员员的信息安全全意识定义汇报事件件的程序建立有效的反反病毒保护措措施确保实施的策策略与公司商商业目标的一一致性BS7799和ISO7498-2建议的的步骤制定规范以确确保雇员不会会为了完成任任务而破坏软软件许可规则则物理上确保对对网络操作记记录的安全建立系统来保保护公司数据据的安全实施能够衡量量规定的安全全策略与实际际遵守情况的的等级的机制制和过程ISO15408（CC）CC提供了有有助于你选择择和发展网络络安全解决方方案的全球统统一标准CC出现实际际上是为了统统一ITSEC和TCSEC，并取取代“OrangeBook”。。ISO15408由三三个部分组成成第一部分：定定义了如何创创建安全目标标和需求，还还提供了一个个术语的概述述第二部分：定定义了如何建建立能够使商商业通信更安安全的需求列列表第三部分：提提出了如何建建立能够达到到公司安全需需求的“保险险内容”的过过程。ISO15408的第第三部分第三部分的内内容描述很仔仔细和复杂，，作为审计人人员只需要理理解这些条款款的基本内容容即可。许多多专家用它们们来：作为厂商需要要的特殊设置置提供了审计人人员和IT专专家在商业和和技术交流中中常用的术语语定义了为更新新网络或特殊殊产品而建立立特殊过程的的需求需要由软件和和硬件厂商声声明的证明能能力与安全审计员员有关的概念念和术语术语描述ProtectionProfile（PP）需要的网络服务和元素的项系列表，包括安全目标SecurityObjectives列出如何提出特别的弱点的书面描述。这是一种总体的陈述。安全需求比目标陈述更具体SecurityTarget（ST）由生产厂商提供的描述安全工具的用处的一组声明。与安全目标和安全需求不同。安全需求是由厂商实施在软硬件上的，而安全目标只是由IT部门和网络审计人员定义的目标与安全审计员员有关的概念念和术语术语描述TargetofEvaluation（TOE）你将要审计的某个操作系统，网络，分布式的程序或软件。使用安全目标和安全对象，你可以确定系统是否满足了目标以及对象是否达到了声明的功