第九章安全審計與計算機取證技術(shù)-安全審計計算機系統(tǒng)與網(wǎng)絡安全技術(shù)安全審計是根據(jù)一定的策略監(jiān)測和記錄信息系統(tǒng)的各種事件及行為比如，記錄用戶登錄賬戶、登錄時間、終端以及所訪問的文件、存取操作等，并以系統(tǒng)日志的形式進行保存。通過分析記錄的審計數(shù)據(jù)，安全審計可以發(fā)現(xiàn)和判定信息安全事件如多次使用錯誤口令登錄系統(tǒng)的嘗試并針對特定事件及行為采取相應響應動作如切斷網(wǎng)絡連接和報警安全審計技術(shù)安全審計安全審計與計算機取證技術(shù)安全審計分類安全審計按響應方式分類按部署方式分類按審計對象分類按審計數(shù)據(jù)源分類安全審計與計算機取證技術(shù)安全審計按響應方式分類主動式主動式審計系統(tǒng)對違規(guī)的結(jié)果進行主動地響應，包括強制違規(guī)用戶退出系統(tǒng)，關(guān)閉相關(guān)服務等被動式被動式只是對審計出的異常進行報警安全審計與計算機取證技術(shù)安全審計按部署方式分類集中式：集中式體系結(jié)構(gòu)采用集中的方法，收集、分析數(shù)據(jù)源(網(wǎng)絡各主機的原始審計記錄)，并對審計數(shù)據(jù)進行集中處理。分布式：分布式系統(tǒng)結(jié)構(gòu)的安全審計任務由分布于網(wǎng)絡各處的審計單元協(xié)作完成。安全審計與計算機取證技術(shù)安全審計按審計對象分類系統(tǒng)級審計用戶級審計應用級審計安全審計與計算機取證技術(shù)安全審計系統(tǒng)級審計系統(tǒng)級審計系統(tǒng)級的審計：是操作系統(tǒng)的審計、設(shè)備的審計與網(wǎng)絡應用的審計的總稱主要是利用計算機操作系統(tǒng)和網(wǎng)絡操作系統(tǒng)的審計功能記錄主機和網(wǎng)絡上發(fā)生的所有事件。對系統(tǒng)審計的事件包括：使用認證機制（如注冊過程)；文件的增加、刪除、修改和拷貝的操作；文件打?。粨芴?、上網(wǎng)登錄；從計算機的并口、串口和USB口增加外部設(shè)備；對網(wǎng)絡服務器的操作；用戶安裝和運行哪些軟件等。安全審計與計算機取證技術(shù)安全審計應用級審計應用級審計應用程序?qū)徲嫞菏菍μ囟☉贸绦虻倪\行狀態(tài)、輸入輸出等進行記錄和審計。有些數(shù)據(jù)庫系統(tǒng)，如ORACLE，SYBASE等，和一些專用的辦公系統(tǒng)，如WORD、WPS等，它們是在操作系統(tǒng)之上運行的操作系統(tǒng)的審計無法審計到用戶在這些應用系統(tǒng)內(nèi)的行為。一般這些專用系統(tǒng)也會提供專門的審計功能，但這些審計功能往往不能滿足用戶的需求。對這些應用系統(tǒng)的審計就要依靠專門的審計軟件。如：對于數(shù)據(jù)庫系統(tǒng)，審計的主要任務是對應用程序或用戶使用資源以及數(shù)據(jù)的情況進行記錄和審查，以保證數(shù)據(jù)的安全。安全審計與計算機取證技術(shù)安全審計用戶級審計用戶級審計內(nèi)容用戶級審計：對特定用戶使用計算機系統(tǒng)的行為進行記錄和審計。用戶級審計的內(nèi)容通常包括：用戶直接啟動的所有命令、用戶所有的鑒別和認證嘗試、用戶所訪問的文件和資源等。安全審計與計算機取證技術(shù)日志審計123主機審計網(wǎng)絡審計安全審計按審計數(shù)據(jù)源分類安全審計與計算機取證技術(shù)安全審計日志審計日志審計通過SNMP、SYSLOG或者其它的日志接口從各種網(wǎng)絡設(shè)備、服務器、用戶電腦、數(shù)據(jù)庫、應用系統(tǒng)和網(wǎng)絡安全設(shè)備中收集日志，進行統(tǒng)一管理、分析和報警。日志審計以其它審計對象生成的日志為基礎(chǔ)。安全審計與計算機取證技術(shù)安全審計主機審計主機審計通過在服務器、用戶電腦或其它審計對象中安裝客戶端的方式來進行審計，可達到審計安全漏洞、審計合法和非法入侵操作、監(jiān)控上網(wǎng)行為和內(nèi)容以及向外拷貝文件行為、監(jiān)控用戶非工作行為等目的。事實上主機審計已經(jīng)包括了主機日志審計、主機漏洞掃描產(chǎn)品、主機防火墻和主機IDS/IPS的安全審計功能、主機上網(wǎng)和上機行為監(jiān)控等類型的產(chǎn)品。安全審計與計算機取證技術(shù)安全審計網(wǎng)絡審計網(wǎng)絡審計通過旁路和串接的方式實現(xiàn)對網(wǎng)絡數(shù)據(jù)包的捕獲，而且進行協(xié)議分析和還原，可達到審計服務器、用戶電腦、數(shù)據(jù)庫、應用系統(tǒng)的審計安全漏洞、合法和非法入侵操作、監(jiān)控上網(wǎng)行為和內(nèi)容、監(jiān)控用戶非工作行為等目的。網(wǎng)絡審計包括了網(wǎng)絡漏洞掃描產(chǎn)品、防火墻和IDS/IPS中的安全審計功能、互聯(lián)網(wǎng)行為監(jiān)控等類型的產(chǎn)品。安全審計與計算機取證技術(shù)