CN108270716A - 一种基于云计算的信息安全审计方法 - Google Patents

Abstract

本发明是为了解决云计算环境的信息安全审计，实现云计算环境下分散日志采集、分析、检测，并通过电子数据进行签名保全。还提供对审计信息的浏览、导出、删除、分析等操作的信息安全审计方法。云计算技术在其数据计算、存储和管理方面，结合信息安全审计难题，既要具备全网安全态势感知能力，通过采取网络取证的思路，全面采集各网络设备的原始流量以及各终端和服务器上的日志，然后进行集中的海量数据存储和深入分析｡利用分布在网络内部各个位置的不同安全设备对网络攻击各个阶段的一些看似相互独立低危报警，通过全面分析这些报警事件之间的关联分析来还原整个网络信息攻击场景和过程，达到信息安全审计的目的。

Description

一种基于云计算的信息安全审计方法

技术领域

本发明属于云计算技术领域，涉及一种信息安全审计方法，具体涉及一种基于云计算的信息安全审计方法。

背景技术

云计算是一种基于互联网通过虚拟化方式共享信息资源的新型计算模式，云计算作为新一代信息技术和产业的重要发展方向，正在展示出强大的生命力。鉴于云计算的强大计算能力和互联网的便捷性，其为数据计算、存储和管理提供了虚拟资源空间和超强计算能力，可使用户低成本、高效率、灵活地分享信息技术的发展成果，更好地获取和使用知识，减少数字鸿沟，加强科技创新，提高公共服务水平。云计算为用户提供可靠的、自定义的、最大化资源利用的服务，是一种崭新的分布式计算模式。

为了全面理解云计算，进一步分析云计算的关键特征，具体如下：

（1）网络接入。云计算通过网络提供服务能力，支持各种标准设备接口。

（2）按需提供。云计算可以根据用户需求的改变，快速动态地分配和回收资源，既保证忙时用户需求地及时满足，又保证闲时资源地及时回收。

（3）按量计费。云计算提供对计算、存储、网络和其他各类资源的测量能力，能够统计某个用户在某段时间对某类资源或者服务的使用情况。

（4）用户自服务。用户可以自服务的方式配置和调用云服务。例如，配置服务器时间和网络存储容量。

（5）多租户。云计算提供者可以同时为多个使用者提供服务，利用规模经济提高资源利用率。

（6）可靠性。云计算通过异地备份、多副本备份等策略增强服务可靠性。

云服务主要包括SaaS、PaaS、IaaS以及三种服务的组合。如图1所示。SaaS是指将某些特定应用软件功能封装成服务，对于服务使用者而言购买的是软件的使用权而不是其所有权；PaaS是指将一个完整的应用开发平台，包括应用设计、应用开发、应用测试和应用托管都作为一种服务提供给客户；IaaS是将硬件设备等基础资源，包括计算、存储和网络等，封装成服务供用户使用。

信息安全审计是IT审计的一部分内容，是对计划、执行、维护等各个层面上的风险进行识别和检查的一种方法和措施。而且信息安全审计作为传统的信息安全防护手段一种补充，是信息安全体系中不可缺少的措施之一，同时也是收集、评估证据的重要方式；用以决定网络与信息系统是否能够有效、合理地保护资产、维护信息的完整性和可用性，防止有意或无意的人为错误，防范和发现计算机网络犯罪活动。

要实现信息安全审计，保障计算机信息系统中信息的机密性、完整性、可控性、可用性和不可否认性(抗抵赖)，我们需要对计算机信息系统中的所有网络资源(包括数据库、主机、操作系统、网络设备、安全设备等)进行安全审计，记录所有发生的事件，提供给系统管理员作为系统维护以及安全防范的依据。将云计算这种崭新的分布式计算模式与信息安全审计技术结合，可以解决信息安全审计中海量流量识别，还原问题和网络入侵检测关键技术。同时使用云计算技术对安全设备的日志进行关联分析，达到安全事件管理。

发明内容

本发明是为了解决面向云计算环境的信息安全审计问题，实现对云计算环境下分散的日志进行实时的采集、分析、检测，并通过电子数据进行元组签名和分片签名，进行证据保全。同时，提供对审计信息的浏览、导出、删除、分析等操作，提出一种基于云计算的信息安全审计方法。

本发明信息安全审计方法的特点：

1.采用面向隐私保护的云计算架构和协议，进行云计算的密文数据访问和搜索，同时进行虚拟化技术、密文计算、云端数据完整性验证等；

2.基于云计算参考架构和SLA规范，实现了对云计算环境下分散的日志进行实时的采集，从云端的大容量并发服务和基于大数据的安全数据服务，到最终达成云端与终端的互动；

3. 采用面向云环境的密文数据共享和分发技术，推动云计算向高集成化、高可靠性及广泛服务等最终云形态进化；

4.采用虚拟机自省技术，实现云端数据异常监控和故障监测，完成虚拟域间跨域数据流（包括内存使用情况、磁盘空间的使用情况、以及操作系统日志文件的数据等等）的监控、限制和更改；

5.基于可信计算的安全认证和安全管控机制，采用多输入功能加密技术，在云环境中需要从不同的云服务提供商获取隐私数据，针对这一需求，提供非交互式的方法来计算多个密文（来自不同的云）的多元函数，确保云服务中的数据隐私；

6.基于以上特点，采用电子证据保全技术和通信安全中间件技术，依托多层次的融合通信架构，支持强大的移动互联网业务，成功的融合了话音、短信、分组数据、视频、即时通讯、移动邮件等各种安全通信方式，通过元组签名和分片签名，进行证据保全，达到信息安全审计的目的。

基于云计算的信息安全审计动态检测系统包括网络流量识别和提取、主机信息提取和大数据分析子系统、软件行为异常检测子系统、集成分析子系统、数据还原、事件追述、可视化子系统，以及管理子系统等构成。

1.网络流量识别和提取、主机信息提取提取和大数据分析子系统

采用网络分流器等设备，分流网络流量，实现从大量的网络流量中识别出各个流量的类型，还原出各流量的负载，才能对其负载内容进行检测。设计和实现大数据的安全设备日志关联分析算法，能够将分散的安全要素信息（异构海量数据如事件、流、网络原始流量、文件等信息）进行集中、存储、分析、可视化，对分析的结果进行分发，对分析的任务进行调度。

2.异常行为检测子系统

恶意代码行为检测技术是当前动态行为分析的最主要的技术手段。恶意文件和恶意文档通过正常的网络通信协议(例如HTTP、FTP、SMTP、POP3、IMAP等)进入到企业内部网络成为了网络攻击事件中的主流进入手段，本系统对所有网络流量中识别和提取出来的代码和文档进行行为分析是否包含恶意攻击意图。

3.集成分析子系统

集成分析子系统即关联分析系统。安全设备日志关联分析技术通过分析各类安全设备采集的大量实时数据，发现隐藏在数据之中的关联信息，提升安全事件的检测精度和处理力度。

4.数据还原、事件追述与可视化子系统

此系统主要负责对网络攻击事件的还原及历史追溯以及当前系统其他模块的工作状态进行实时可视化显示，有利于安全人员快速定位网络攻击行为。

5.管理子系统

管理系统主要负责对用户权限、策略制定、报表、应急报警响应等进行管理。

本发明方法提出基于云计算的信息安全审计，能突破黑白名单的收集与匹配技术的限制，在基于行为特征的面向网络及终端的动态检测等一系列检测关键技术上决定网络与信息系统是否能够有效、合理地保护资产、维护信息的完整性和可用性，防止有意或无意的人为错误，防范和发现计算机网络犯罪活动。

附图说明

图1是现有技术的云计算服务模式图；

图2是本发明的动态检测技术流程图；

图3是本发明的集群分析和模拟分析流程图。

具体实施方式

下面对本发明进行详细说明。本发明基于云计算的信息安全审计方法是通过系统划分的四个层次结构来进行审计检测的，包括采集层、预处理层、分析层和响应层。结合图2来看：

采集层主要负责对从互联网直接获取的实时数据流的预处理和存储管理工作。对实时数据流首先进行传输层的会话还原，消除因网络条件造成的乱序、重传、延迟等对后续分析的干扰；

预处理层主要进行应用协议识别，判断数据流上所承载的具体应用;最终从非结构化的数据流中抽取结构化的元数据信息，以便后续的各类统计和关联分析。预处理后的原始数据流，既包括完整的全流量数据，又包括提取后的元数据。考虑到海量数据的存储压力，可对不同类型的数据采取灵活的管理策略：

(1) 对于全流量数据，进行窗口长度为星期级的存储。由于全流量数据会占用海量存储空间，不宜进行长期存储，但全流量数据对于后续的回溯分析又是必须的。为此采用折中的存储策略：只存储最近几周(例如1-2周)的全流量信息，对于超期的数据进行降解处理。

(2) 对于元数据，进行年度级的存储。提取后的元数据只包含应用层会话的关键信息，其数据量大约相当于全流量信息的5%，这类信息对后续的统计、关联和数据挖掘具有重要的作用，且占用的空间在可接受范围内，因此在平台中进行长期存储。

分析层完成行为检测和动态关联分析等工作，从预处理层的到的负载以及日志等信息进行负载行为分析以及日志关联分析，如果有异常行为则交由响应层处理。分析层的处理方法主要包括：

(1) 对于能引起网络流量显著异常的攻击，如DDoS、扫描、蠕虫传播等，可通过异常流量检测和统计分析的方式进行识别。通过建立全面、完整的安全基准指标体系，可以快速识别网络流量异常;通过统计分析，可准确定位异常的位置和原因。

(2) 对于不引起流量异常的未知攻击，可通过可疑行为建模的方式进行识别。例如对于尚未提取特征的木马，其连接控制端的时候可能会存在未知的加密传输、疑似心跳信号的间歇性连接、恶意域名访问、异常的上下行流量比等行为，通过对这些可疑行为进行关联，就有可能检测到木马连接行为。

(3) 对于通过异常检测模块产生的各类报警，由于缺乏攻击签名信息进行验证，其准确度往往低于基于特征匹配的误用检测。为此还需要结合原始报文，对报警的有效性进一步确认。通过报文所承载的应用层对象做细粒度的协议解析和还原，可辅助分析人员判定会话内容是否包含攻击数据，从而进一步产生精确报警。

响应层主要完成事件报警以及安全事件管理的任务，从孤立的攻击报警信息生成完整的攻击场景的关联，并提供可视化分析前端工具，帮助分析人员从存储的海量历史数据中获取知识。对于攻击场景关联，常见的方法是基于关联规则匹配攻击场景。由于APT攻击手段的复杂性，在实际环境中往往会因为报警事件的缺失导致无法进行完整攻击路径图的匹配，进而导致建立APT场景失败，为此要解决基于不完整攻击路径的攻击场景匹配问题。对于多维数据可视化分析，要提供给分析人员一套能从地址、端口、协议类型等维度对数据进行统计展示的工具，并支持按照不同的粒度对数据进行钻取，方便分析人员在大数据中定位可疑行为。

如图3所示的集群分析和模拟分析流程图，是基于云计算的信息安全审计动态检测系统核心流程，其中包括网络流量识别和提取、主机信息提取和大数据分析子系统、软件行为异常检测子系统、集成分析子系统、数据还原、事件追述、可视化子系统，以及管理子系统等构成。

分别采用网络分流器等设备，分流网络流量，实现从大量的网络流量中识别出各个流量的类型，还原出各流量的负载，能够将分散的安全要素信息（异构海量数据如事件、流、网络原始流量、文件等信息）进行集中、存储、分析、可视化，对分析的结果进行分发，对分析的任务进行调度。恶意代码行为检测技术是当前动态行为分析的最主要的技术手段，本系统对所有网络流量中识别和提取出来的代码和文档进行行为分析是否包含恶意攻击意图。安全设备日志关联分析技术通过分析各类安全设备采集的大量实时数据，发现隐藏在数据之中的关联信息，提升安全事件的检测精度和处理力度。数据还原、事件追述与可视化，主要负责对网络攻击事件的还原及历史追溯以及当前系统其他模块的工作状态进行实时可视化显示，有利于安全人员快速定位网络攻击行为，突破了黑白名单的收集与匹配技术的限制，在基于行为特征的面向网络及终端的动态检测等一系列检测关键技术上决定网络与信息系统是否能够有效、合理地保护资产、维护信息的完整性和可用性，防止有意或无意的人为错误，防范和发现计算机网络犯罪活动。

云计算技术在其数据计算、存储和管理方面表现出的优势，对安全设备日志的关联分析可利用其虚拟资源空间和超强的计算能力实现，信息安全审计难题要求网络检测和防御系统的构建者，要具备全网安全态势感知能力，通过采取网络取证的思路，全面采集各网络设备的原始流量以及各终端和服务器上的日志，然后进行集中的海量数据存储和深入分析｡借助分布在网络内部各个位置的不同安全设备对网络攻击各个阶段的一些看似相互独立低危报警，通过全面分析这些报警事件之间的关联分析来还原整个网络信息攻击场景和过程，达到信息安全审计的目的。

Claims (2)

1.一种基于云计算的信息安全审计方法，其特征在于，该方法包括：

首先采用面向隐私保护的云计算架构和协议，进行云计算的密文数据访问和搜索，同时进行虚拟化技术、密文计算、云端数据完整性验证，已达到对数据的获取过程；之后基于云计算参考架构和SLA规范，实现对云计算环境下分散日志进行实时采集，从云端的大容量并发服务和基于大数据的安全数据服务，到最终达成云端与终端的互动；接下来采用面向云环境的密文数据共享和分发技术，推动云计算向高集成化、高可靠性及广泛服务等最终云形态进化；同时采用虚拟机自省技术，实现云端数据异常监控和故障监测，完成虚拟域间跨域数据流（包括内存使用情况、磁盘空间的使用情况、以及操作系统日志文件的数据等等）的监控、限制和更改；最后基于可信计算的安全认证和安全管控机制，采用多输入功能加密技术，在云环境中需要从不同的云服务提供商获取隐私数据，针对这一需求，提供非交互式的方法来计算多个密文（来自不同的云）的多元函数，确保云服务中的数据隐私；基于以上特点，采用电子证据保全技术和通信安全中间件技术，依托多层次的融合通信架构，支持强大的移动互联网业务，成功的融合了话音、短信、分组数据、视频、即时通讯、移动邮件等各种安全通信方式，通过元组签名和分片签名，进行证据保全，完成信息安全审计。

2.一种基于云计算的信息安全审计动态检测系统，其特征在于，该系统包括：

网络流量识别和提取、主机信息提取提取和大数据分析，采用网络分流器等设备，分流网络流量，实现从大量的网络流量中识别出各个流量的类型，还原出各流量的负载，才能对其负载内容进行检测；设计和实现云计算的安全设备日志关联分析算法，能够将分散的安全要素信息（异构海量数据如事件、流、网络原始流量、文件等信息）进行集中、存储、分析、可视化，对分析的结果进行分发，对分析的任务进行调度；异常行为检测，恶意代码行为检测技术是当前动态行为分析的最主要的技术手段，恶意文件和恶意文档通过正常的网络通信协议(例如HTTP、FTP、SMTP、POP3、IMAP等)进入到企业内部网络成为了攻击事件中的主流进入手段，本过程对所有网络流量中识别和提取出来的代码和文档进行分析是否包含恶意攻击意图；集成分析即关联分析，安全设备日志关联分析技术通过分析各类安全设备采集的大量实时数据，发现隐藏在数据之中的关联信息，提升安全事件的检测精度和处理力度；

数据还原、事件追述与可视化模块，主要负责对事件的还原及历史追溯以及当前系统其他模块的工作状态进行实时可视化显示，有利于安全人员快速定位恶意攻击行为；管理模块主要负责对用户权限、策略制定、报表、应急报警响应等进行管理；系统能突破黑白名单的收集与匹配技术的限制，在基于行为特征的面向网络及终端的动态检测等一系列检测关键技术上决定网络与信息系统是否能够有效、合理地保护资产、维护信息的完整性和可用性，防止有意或无意的人为错误，防范和发现计算机网络犯罪活动。