CN101826993A - 一种安全事件监测方法、系统及装置 - Google Patents

Abstract

本发明公开了一种安全事件监测方法、系统及装置，涉及网络安全领域，用以解决现有网络信息安全事件监测技术的通用性较差的问题。方法包括：事件采集客户端对节点的事件日志进行实时采集；事件采集客户端向安全事件监测中心上传采集到事件日志数据；安全事件监测中心对所述上传的事件日志数据进行收集，并整理为统一格式。系统包括：节点日志服务器，部署于节点日志服务器上的事件采集客户端，以及与事件采集客户端相互通信的安全事件监测中心。事件采集客户端包括：采集单元和上传单元。

Description

一种安全事件监测方法、系统及装置

技术领域

本发明涉及网络安全领域，特别是涉及一种安全事件监测方法、系统及装置。

背景技术

信息网络的发展为社会生产、生活带来极大的方便，也引发了不少问题，一是计算机病毒和木马传播感染严重。2009年全国半年内有1.95亿网民遇到过病毒和木马的攻击，1.1亿网民在上网过程中遇到过病毒和木马的攻击，1.1亿网民遇到过账号或密码被盗问题。二是网络攻击活动频繁，2009年6月以来，土耳其某黑客组织攻破我国境内200多个网站，其中我省网站有多家，造成不良的社会影响。

为了应对信息安全威胁，信息网络运营、使用单位采取了安装防火墙、入侵检测、防病毒、防挂马、防网页篡改等安全系统。但是，由于未建立起整体的安全监测和预警体系，对信息安全事件进行及时监测和预警，监管部门对安全事件总体定位、预防、实时反应还存在很多不足。

部分安全厂家已经针对自身的安全产品开发了相应的日志收集器及日志分析系统，但是存在如下问题：

各厂家安全产品技术不尽相同，功能参差不齐，日志格式、接口程序也有自己的规格，且已经在市面上部署多年，无法互相兼容；如果直接修改各设备的接口程序与安全事件监测中心直接对接，工程浩大；大量日志涌向中心服务器，对服务器的处理性能和网络带宽都会有很大的压力；安全产品与中心直接对接的方式在安全性保障方面也有很大隐患，可能发生中途数据遭“劫持”，更严重者由于安全系统自身安全漏洞被黑客利用，恶意破坏监测中心；采用厂家自有接口程序，未来接口的升级存在一定困难。

综上，现有网络信息安全事件监测技术的通用性较差。

发明内容

本发明提供了一种安全事件监测方法、系统及装置，用以解决现有网络信息安全事件监测技术的通用性较差的问题。

本发明的一种安全事件监测方法，包括下列步骤：采集步骤：事件采集客户端对节点的事件日志进行实时采集；上传步骤：事件采集客户端向安全事件监测中心上传采集到事件日志数据；整理步骤：安全事件监测中心对所述上传的事件日志数据进行收集，并整理为统一格式。

本发明的一种安全事件监测系统，包括：节点日志服务器，部署于节点日志服务器上的事件采集客户端，以及与事件采集客户端相互通信的安全事件监测中心；其中，节点日志服务器，用于收集本节点的事件日志；事件采集客户端，用于对其所属的节点日志服务器收集的事件日志进行实时采集，并向安全事件监测中心上传采集到事件日志数据；安全事件监测中心，用于对所述上传的事件日志数据进行收集，并整理为统一格式。

本发明的一种事件采集客户端，包括：采集单元，用于对其所属节点的事件日志进行实时采集；上传单元，用于向安全事件监测中心上传采集到事件日志数据。

本发明有益效果如下：

本发明通过事件采集客户端采集各节点中的事件日志，并上传到安全事件监测中心，之后由安全事件监测中心整理为统一格式的事件日志数据，从而提高了网络信息安全事件监测技术的通用性。

附图说明

图1为本发明实施例中的系统架构图；

图2为本发明实施例中的事件采集客户端的模块化逻辑结构图；

图3为本发明实施例中事件采集客户端部署于节点日志服务器的架构图；

图4为本发明实施例中安全事件监测中心SERVER端的架构图；

图5为本发明实施例中的方法步骤流程图。

具体实施方式

为了解决现有网络信息安全事件监测技术的通用性较差的问题，本发明提供了一种通用型安全事件监测方案。

参见图1所示，为本发明实施例中的系统架构图，其采用分层处理及事件采集客户端(代理Agent软件)插件的方式设计。

数据采集方式采用分层处理，首先按厂家、地区、行业划分，由各个厂家自行收集部署的边界安全产品日志到厂家、地区、行业日志收集分析中心中，具体由节点日志服务器收集边界安全产品日志(即本节点管辖的安全产品的事件日志)，并存储于节点日志数据库中。

在节点日志服务器上部署事件采集客户端(可为插件方式)，对其所属的节点日志服务器收集的事件日志进行实时采集，并通过加密传送方式向安全事件监测中心上传采集到事件日志数据。

安全事件监测中心(SERVER端)的中心事件服务器组对上传的事件日志数据进行收集，并整理为统一格式，存储于中心事件数据库组中，并可进一步进行实时处理、通过网页或短信等方式告警、报表、备份存储、管理等操作。

以下分别描述组成本发明系统的事件采集客户端以及安全事件监测中心。

参见图2所示，本发明实施例中的事件采集客户端包括如下逻辑单元：

采集单元，用于对其所属节点的事件日志进行实时采集。

上传单元，用于向安全事件监测中心上传采集到事件日志数据。

进一步还可选择性包括：加密单元，用于以安全事件监测中心下发的密钥对事件日志数据加密。过滤单元，用于根据安全事件监测中心下发的日志过滤指令，控制采集单元有选择的采集事件日志。

参见图3所示，为本发明实施例中事件采集客户端部署于节点日志服务器的架构图。

事件采集客户端是个跨平台软件，可安装在厂家、地区、行业日志收集分析中心的服务器主机(以下称为“节点”)上，对节点的节点日志服务器收集并储存于节点日志数据库中的事件日志进行实时采集。由于节点已经是汇聚了所管辖边界安全设备的日志，满足《MSTL_JGF_04-0190101-2006信息安全技术安全管理平台产品检验规范》，支持SNMP(Simple Network ManagementProtocol，简单网络管理协议)、SYSLOG(系统日志或系统记录)格式以及ODBC(Open Database Connectivity，开放数据库互连)。通过事件采集客户端(可为Agent程序，以下不再赘述)直接读取SNMP、SYSLOG或数据库的事件日志信息进行事件日志采集。采集到事件日志数据后，经过打包压缩和数据格式整理成为数据流，并通过数据收发接口加密传送到安全事件监测中心SERVER端。具体可以是实时上传、定时上传或按需上传。

在传输过程中，由于日志来源在日志体中是一个非常重要的信息，因此，对应每一个事件采集客户端，安全事件监测中心需要分配一个识别ID，同时需要为每个事件采集客户端分配一个传输密钥用于加密传输。由于各种日志格式和表现形式的不同，单一的事件采集客户端无法完成在同一台节点服务器上采集多种日志的任务，因而，将事件采集客户端做成独立运行的一个守护进程，在节点主机上，利用守护进程调用不同的采集模块(程序或协议)来采集不同格式的日志。例如：在Windows上，将采集模块做成动态链接库，在类Unix上，将采集模块做成module的形式，即.so文件。这样做还可以达到动态升级的目的，即当需要采集新类型的事件日志或改变采集方式时，只需要下载更新包，更新包会自动升级Agent程序。

除此之外，事件采集客户端可以具有日志过滤功能，即通过安全事件监测中心下达的日志过滤指令，有选择的采集事件日志，可以有效减轻中心层的事件日志收集负载。

参见图4所示，为本发明实施例中安全事件监测中心SERVER端的架构图。

通过数据收发接口对外收发数据；通过中心事件服务器组收集事件日志数据，并由中心事件数据库组进行存储。之后，还可实现若干功能，具体如下。

安全事件监测中心的主要功能包括：

标识分配及节点验证：如上所述为每一事件采集客户端分配一个识别ID；安全事件监测中心先对通过数据收发接口传来的事件日志数据的事件采集客户端进行ID验证，验证通过后再收集所述事件日志数据。

下发事件收集规则、收集指令或日志过滤指令：例如安全事件监测中心向事件采集客户端下发日志过滤指令，事件采集客户端根据日志过滤指令有选择的采集事件日志。

密钥分配及解密：如上所述为每一事件采集客户端分配一个传输密钥；安全事件监测中心需对通过数据收发接口传来的事件日志数据进行解密。

日志收集：通过部署在厂家、地区、行业日志收集分析中心的服务器主机上事件采集客户端(Agent软件)对节点上传的日志进行收集，并整理为统一格式。

实时处理：对采集到的事件日志进行实时处理分析，然后根据规则库产生相应警告，交由安全事件监管人员进行后续处理。更为具体的，实时审计处理引擎通过加载规则库，并在内存中建立规则树，向安全事件监测中心提供过滤接口。日志过滤接口将每一条日志在规则树中匹配，当安全事件监测中心接收到的日志数据命中规则树中的某条规则，则根据规则中定义的动作或者产生告警或者跳转至另一条规则，如果需要产生告警，则通过用户选择的告警手段(短信、E-MAIL或MSN、QQ等方式)向指定告警组发送告警消息，并形成文档。

报表：对采集到的日志进行数据挖掘、关联分析处理，并产生周期性报表。更为具体的，报表生成为系统的后台任务，与后台查询相同，需要在用户提交请求后的一定时间内返回结果，用户无须再登录时等待结果，可在一定时间后登录系统来获得报表。

存储：对采集到的日志进行定时备份存储，并支持各种日志格式导入导出。主要用于维护安全事件监测中心的中心事件数据库，并提供导入导出数据的接口，例如SAMBA接口，可将日志数据导出到Windows服务器上存储备份。同时，为中心事件服务器组接收到的每一条日志进行统一编号，确保每一条日志拥有不同的编号。

管理：为用户提供管理界面，采用B/S架构，因此用户可以直接通过浏览器来管理配置系统，并支持高效的组合条件查询库存日志。具体包括系统管理：提供用户管理整个系统的接口，其中包括系统用户管理，主要用于安全事件系统用户的管理；Agent管理：主要用于配置Agent客户端的各项参数，例如Agent的添加、更新，Agent优先级设定和参数设定等；应用配置管理：主要用于管理日志源；规则管理：主要用于编辑系统的规则库。

事件日志分类：事件日志种类可分为4大类，包括原始事件日志、重要事件日志、告警事件日志和安全接入设备自身状态日志。当安全事件监测中心接收到Agent加密传输来的日志数据流，立即将其解密并还原为日志结构体，并同时根据安全事件监测中心的规则库对其进行过滤，再根据过滤的结果将他们分别录入中心事件数据库组中的原始事件日志库、重要事件日志库、告警事件日志库及安全接入设备状态日志库。

数据查询接口：此接口缓存一部分日志数据，缓存的标准为：近期录入的数据和经常被用户查询的数据。同时，此接口需要给用户高效检索日志库的接口。查询分为前台查询和后台查询，前台查询是指用户查询的数据已经全部缓存在界面管理服务，而后台查询是指用户查询的数据在界面管理服务器上没有缓存，需要到日志数据库上去请求。前台查询在用户提交查询请求后可立即将结果返回给用户，而后台查询需要在用户提交查询请求后在一定时间内返回结果，在这种情况下，用户无须在登录时等待结果，可在一定时间之后来查看结果。

系统其他接口：包括告警接口，此接口主要用于当系统产生告警时，通过E-mail、MSN、QQ或短信向告警组成员发送告警消息；备份接口，由于在一段时间过后，日志的数量会非常巨大，因此可能需要将日志数据导出备份。同时，当用户需要查询历史数据时，可能需要将已经备份到其他介质上的日志数据导入到中心服务器。

参见图5所示，本发明实施例中的方法包括下列主要步骤：

S1、事件采集客户端对节点的事件日志进行实时采集；

S2、事件采集客户端向安全事件监测中心上传采集到事件日志数据；

S3、安全事件监测中心对所述上传的事件日志数据进行收集，并整理为统一格式。

更为具体的，S1中，事件采集客户端以独立运行的守护进程的方式调用不同的程序或协议来采集不同格式的事件日志。

S1中在上传之前安全事件监测中心可为事件采集客户端分配密钥；事件采集客户端对采集到事件日志数据打包成为数据流，并以该密钥对数据流加密。

为了进一步加大安全保障力度，安全事件监测中心可为每一事件采集客户端分配唯一对应的标识，S3中安全事件监测中心先对上传事件日志数据的事件采集客户端进行标识验证，验证通过后再收集所述事件日志数据。

S3中对上传的事件日志数据进行收集的过程中，安全事件监测中心可根据规则库对上传的事件日志数据进行过滤。

安全事件监测中心向事件采集客户端下发日志过滤指令，则S1中事件采集客户端根据日志过滤指令有选择的采集事件日志。

方法实施例中的其它细节内容可从上述已详述的系统、事件采集客户端、安全事件监测中心的内容中提取或导出，可用以解释本发明的方法，在此不再赘述。

综上，本发明方案采取分层处理，有效解决监测中心的性能和带宽压力；采用插件方式，无需在各厂家边界产品上做更改，具有良好的兼容性；插件以Agent形式安装到厂家或地区日志中心(节点)的服务器上或厂家产品上；Agent是个独立运行的程序，无需修改节点服务器上的数据结构，可以动态对储存在节点上的事件日志进行查询、格式调整、数据压缩、安全通道传送等功能；通过本系统独立对每个Agent的传输日志进行独立加解密，可以避免由于某个厂家的传输协议外泄而产生的信息泄漏或中途劫持等问题；通过Agent-Server方式，可以很容易实现双向通讯，实时传送、定时传送、按需查询传送等灵活的通讯方式；Agent方式可以支持各厂家、地区部署的节点服务器，不需要节点服务器做任何修改；无论Agent和Server都可以动态升级，而不会影响到业已部署的各厂家安全设备及节点服务器的功能。

可见，本发明是一套分布式、跨平台的通用型网络信息安全事件监测方案。依托互联网接收各重点单位安装的入侵检测系统、防火墙系统、漏洞扫描系统、计算机病毒防治系统等专用安全产品自动发送的网络攻击、木马、病毒、漏洞等安全事件信息，为信息安全系统的全面分析和预警提供依据。它支持对互联网上各种网络安全设备在运行过程中产生的日志、消息、状态等信息进行实时及定时收集，在实时分析的基础上，监测各种网络安全事件，及时发现可能进一步扩展的网络安全事件，进行预警，实行“一点发现，启动全网防范”；对存储的日志数据进行数据挖掘和关联分析，向监管部门(如网络警察)提供准确、详尽的统计分析数据和异常分析报告，协助管理人员及时发现安全漏洞，采取有效措施，提高各单位的安全等级。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (10)

1.一种安全事件监测方法，其特征在于，包括下列步骤：

采集步骤：事件采集客户端对节点的事件日志进行实时采集；

上传步骤：事件采集客户端向安全事件监测中心上传采集到事件日志数据；

整理步骤：安全事件监测中心对所述上传的事件日志数据进行收集，并整理为统一格式。

2.如权利要求1所述的安全事件监测方法，其特征在于，所述上传步骤中在上传之前还包括：

安全事件监测中心为事件采集客户端分配密钥；

对采集到事件日志数据打包成为数据流；以及

以所述密钥对数据流加密。

3.如权利要求1所述的安全事件监测方法，其特征在于，安全事件监测中心为每一事件采集客户端分配唯一对应的标识；

在整理步骤中还包括：安全事件监测中心先对上传事件日志数据的事件采集客户端进行验证，验证通过后再收集所述事件日志数据。

4.如权利要求1所述的安全事件监测方法，其特征在于，所述采集步骤中，事件采集客户端以独立运行的守护进程的方式调用不同的程序或协议来采集不同格式的事件日志。

5.如权利要求1所述的安全事件监测方法，其特征在于，整理步骤中所述对上传的事件日志数据进行收集的过程包括：安全事件监测中心根据规则库对上传的事件日志数据进行过滤。

6.如权利要求1所述的安全事件监测方法，其特征在于，安全事件监测中心向事件采集客户端下发日志过滤指令；

在所述采集步骤中还包括：事件采集客户端根据所述日志过滤指令有选择的采集事件日志。

7.一种安全事件监测系统，其特征在于，包括：节点日志服务器，部署于节点日志服务器上的事件采集客户端，以及与事件采集客户端相互通信的安全事件监测中心；

其中，节点日志服务器，用于收集本节点的事件日志；

事件采集客户端，用于对其所属的节点日志服务器收集的事件日志进行实时采集，并向安全事件监测中心上传采集到事件日志数据；

安全事件监测中心，用于对所述上传的事件日志数据进行收集，并整理为统一格式。

8.一种事件采集客户端，其特征在于，包括：

采集单元，用于对其所属节点的事件日志进行实时采集；

上传单元，用于向安全事件监测中心上传采集到事件日志数据。

9.如权利要求8所述的事件采集客户端，其特征在于，还包括：

加密单元，用于以安全事件监测中心下发的密钥对所述事件日志数据加密。

10.如权利要求8所述的事件采集客户端，其特征在于，还包括：

过滤单元，用于根据安全事件监测中心下发的日志过滤指令，控制采集单元有选择的采集事件日志。

Images