日志[精品]-企业集中日志采集服务器的构建及信息安全防御

防御服务器  时间:2021-04-28  阅读:()

封面

主题企业集中日志采集服务器的构建及信息安全防御

Word格式可编辑含目录

精心整理放心阅读欢迎下载

文档信息

企业集中日志采集服务器的构建及信息安全防御目录

一引言

二模型描述

三集中日志采集服务器的构建

1.支持syslog格式设备的日志采集

2.Linux服务器的日志采集

(1)配置产生log的链

(2)配置iptables的22端口 log

3.Windows服务器日志的收集

4.交换机设备的日志的采集

五攻击行为的分析与记录

六动态生成和部署ACL(Access Control List. . .

一旦发现攻击行为将对攻击源实行全面的封锁

七结语

正文

一引言

随着互联网应用的蓬勃发展企业网信息服务快速增长 网络环境日益复杂。 为了保障企业网的高效安全运行 网络安全问题也越来越重要。 由于企业网服务对象的特殊性 对于企业网网络攻击经常来自网络内部。

常规的防火墙、入侵监测等安全防护设备很难针对来自内网的攻击起到应有的保护效果。 即使这些设备发现了某些入侵的迹象进行预警还需要网络管理人员根据相关信息手动地部署防御措施工作量大效率比较低导致网络防御的延迟给入侵者实施入侵提供了足够多的时间。

二模型描述

针对上述问题我们提出并实现了一种基于集中日志分析的企业网智能网络安全防御模型如图1所示。 该模型主要由日志集中采集、 日志处理与分析、动态部署网络安全策略组成。

对服务器、防火墙、交换机等关键设备日志进行集中管理然后针对相关日志进行有效的分析根据日志分析结果对入侵行为进行预警 并及时自动地部署相应的防御策略ACL(AccessControl List) 。该模型能够在网络入侵者真正实现入侵之前及时地、有针对性地实施网络安全控制策略从而提供有力的网络的安全保证。 【图1】

三集中日志采集服务器的构建

日志采集服务采用符合RFC 3164规范的yslog使用or-acle作为后台数据库。 yslog兼容传统的syslog程序 但是yslog支持多线程支持数据库存储支持定制化的模块添加这些特性使得yslog适合做集中的日志服务器而且对非标准的日志格式具有良好的适应性和扩展性。

1.支持syslog格式设备的日志采集。 支持syslog格式设备需要在该设备中配置集中日志采集服务器的IP地址和端口以及对应的传输协议并根据关心的安全问题在对应的策略上开启日志服务即可。

2.Li nux服务器的日志采集。 L inux服务器日志系统默认采用的是syslog根据安全策略的需求可以精简日志信息发送相关的日志信息到集中日志采集服务器。 需要配置/-文件例如kern.warning @ 日志采集服务器IP地址在Linux环境上 一般是采用iptables作为服务器的防火墙来实施的。 例如如果关心ssh的远程登录情况 当非法IP尝试SSH登录将产生警告日志

(1)配置产生log的链。iptables -N LOG_DROPiptables -A LOG_ACCEPT -j LOG --log-level 4 --log-pref ix "[IPTABLES ACCEPT] : " #--log-prefix添加日志前

缀--log-level指定日志等级 4的含义为warning

iptables -A LOG_DROP -j RETURN

(2)配置iptables的22端口 log。iptables -A INPUT -s .x -p tcp --dport 22 -j AC-

CEPT #允许访问的i piptables -A INPUT -p tcp -m tcp --dport 22 -j

LOG_DROP #非法ip访问22端口产生日志iptables -A INPUT -j DROP

#拒绝其他ip访问22端口

3.Windows服务器日志的收集。 Windows的系统日志格式、 日志记录方式与RFC 3164标准不同。 所以需要第三方软件来将windows系统的日志转换成syslog类型的日志类型然后转发给日志采集服务器。 这里采用evtsys来实现。

4.交换机设备的日志的采集。 交换机的日志格式与sys-log的日志格式相同只需指定接收日志的服务器即可。 具体的配置需要参考相关的交换机设备的配置文档。 例如华为交换机的相关配置命令如下:info-center logbuffer向内部缓冲区输出信息info-centerlogbuffer size定义输出信息的内部缓冲区大小info-centerloghost IP地址向日志服务器输出信息四 日志的预处理和存储。

日志数据来自不同类型的设备并且每种类型的设备日志所包含的日志信息也不一样 因此根据不同的日志来源和日志信息进行分类然后分别进行存储。 为了提高效率 日志的预处理和分类存储工作在oracle数据库中进行。 通过or-acle存储过程实现对日志进行分类和存储。 通过任务队列DBMS_JOB定期执行表数据清理、转存等工作减少运行数据库的数据量提供系统的数据处理响应速度。

例如Li nux服务 iptab les防火墙22端口产生的日志如下

2011 -12 -05T15:28:46.480798 +08:00 .201kernel: [IPTABLES DROP] : IN=eth0 OUT= MAC=08:00:27:ab:18:e8:78:1d:ba:89:a5:9d:08:00 SRC =. 78 DST =

. 201 LEN=48 TOS =0x00 PREC =0x00 TTL =126

ID =48406 DF PROTO =TCP SPT =1886 DPT =22 WIN-

DOW=65535 RES=0x00 SYN URGP=0

如前所述 Linux服务器日志收集时在其连接日志前端添加了日志前缀[IPTABLES DROP] 所以存储过程可以根据这个对这条日志的解析选择将此条日志记录的信息保存到对应的存储表中提供给后面的日志分析程序使用。

五攻击行为的分析与记录

根据网络攻击行为的特性或者利用已有的网络攻击行为的特征生成对应的攻击行为识别规则库。 通过规则库与集中日志服务采集到的信息进行匹配若某些日志信息符合规则库中的某条规则则判断为网络攻击行为。 这个匹配工作 由日志分析程序实时读取日志信息来完成。 一旦发现攻击行为将攻击行为的来源、攻击对象等信息记录到网络攻击信息表中并以短信、电子邮件方式通知系统管理员。

由于日志信息一般记录了应用层网络行为所以 网络攻击行为识别规则库主要是标记一些危险的网络行为例如端口扫描、密码探测等而不会涉及数据包的分解和重组。 例如针对Linux系统SSH的22端口的攻击的识别规则如下

在一段时间T 内同一IP地址通过ssh方式连接一台服务器或者多台服务器失败次数超过N次 视该IP地址发起了网络攻击行为。

更全面、更细致地确定网络攻击行为就需要解析一些危险数据报文的信息。 为此 可以在被保护的设备前部署类似snort的入侵检测系统而入侵检测系统的日志信息也要发送给集中日志服务器统一管理这些攻击行为信息。 日志分析程序可以直接依据入侵检测系统的日志信息进行网络攻击行为判定并做出相应的动作。

六动态生成和部署ACL(Access Control List)

一旦发现攻击行为将对攻击源实行全面的封锁不允许其任何数据流出靠近其的支持ACL网络设备。 当日志分析程序确定网络攻击行

为后 调用网络攻击处理程序进行处理。 该程序根据攻击源的IP地址信息通过事先定制的ACL模板生成对应的ACL规则并通过telnet或者ssh方式自动登录后 将这些规则应用到离攻击源最近的支持ACL的网络设备上 阻止该网络攻击行为进一步发生。 对于Linux服务器而言 可以动态地生成iptables规则 阻止攻击源IP访问该服务器。

系统管理员通过告警显示界面对网络攻击行为及ACL执行的情况进行查询。 一旦网络攻击行为被处理和解决再通过网络攻击处理程序撤销原先在网络设备上部署的ACL策略。

ACL模板依据不同设备的不同ACL语法定制每个设备的ACL模板包含应用ACL和撤销ACL两种模板。 网络攻击处理程序根据日志分析程序产生的攻击源的IP地址信息模板中的攻击源IP进行替换生成对应的ACL语句。 例如华为交换机的ACL模板如下system-view进入系统模式acl 3000进入ACL列表rule deny ip source ATTACKIP 0添加ACL规则quit退出ACL列表

重新部署ACLtraffic-filter vlan 1 inbound acl 3000

江苏云服务器 2H2G 20M 79元/月 大宽带159元/月 高性能挂机宝6元/月 香港CN2 GIA、美国200G防御 CN2 GIA 折后18元/月 御速云

介绍:御速云成立于2021年的国人商家,深圳市御速信息技术有限公司旗下品牌,为您提供安全可靠的弹性计算服务,随着业务需求的变化,您可以实时扩展或缩减计算资源,使用弹性云计算可以极大降低您的软硬件采购成本,简化IT运维工作。主要从事VPS、虚拟主机、CDN等云计算产品业务,适合建站、新手上车的值得选择,拥有华东江苏、华东山东等国内优质云产品;香港三网直连(电信CN2GIA联通移动CN2直连);美国高...

BuyVM($5/月)不限流量流媒体优化VPS主机 1GB内存

BuyVM商家属于比较老牌的服务商,早年有提供低价年付便宜VPS主机还记得曾经半夜的时候抢购的。但是由于这个商家风控非常严格,即便是有些是正常的操作也会导致被封账户,所以后来陆续无人去理睬,估计被我们风控的抢购低价VPS主机已经手足无措。这两年商家重新调整,而且风控也比较规范,比如才入手他们新上线的流媒体优化VPS主机也没有不适的提示。目前,BuyVM商家有提供新泽西、迈阿密等四个机房的VPS主机...

RAKsmart含站群服务器/10G带宽不限流量首月半价

RAKsmart 商家估摸着前段时间服务器囤货较多,这两个月的促销活动好像有点针对独立服务器。前面才整理到七月份的服务器活动在有一些配置上比上个月折扣力度是大很多,而且今天看到再来部分的服务器首月半价,一般这样的促销有可能是商家库存充裕。比如近期有一些服务商挖矿服务器销售不好,也都会采用这些策略,就好比电脑硬件最近也有下降。不管如何,我们选择服务器或者VPS主机要本着符合自己需求,如果业务不需要,...

防御服务器为你推荐
combininggoogle深圳做网站-确认收货手太快网店发来空箱子之路android支持ipad支持ipad联通iphone4iphone4想换联通的卡 是普通联通的卡都能开通3G么 还是得换联通3G卡 联通都有什么套餐 我是北京的谷歌sb在谷歌里搜SB为什么结果中第一个是百度googleadsensegoogle adsense 和google adwords有什么区别?适合什么样的人群?ios11.0.2ios11.0.2 怎么降级支付宝白领日记芝麻信用分不够750怎么加入校园日记和白领日记 怎么评论
青岛虚拟主机 抗投诉vps主机 外国空间 12306抢票攻略 回程路由 贵州电信宽带测速 512m内存 国内加速器 本网站服务器在美国 权嘉云 789电视 阿里校园 100mbps 国外ip加速器 架设邮件服务器 论坛主机 网页加速 工信部icp备案查询 带宽测试 中国电信宽带测速 更多