基于IDMEF的信息安全事件标准化模型研究

唐湘滟 朱幸辉 盛立新 陈晓珍 程杰仁

1湖南农业大学信息科学技术学院 湖南 410128 2湖南省标准化研究院 湖南 410007 3湘南学院计算机系 湖南 423000

0 引言

互联网的信息安全事件日益频繁。安全事件的证据往往分散在不同的日志中，如Win32安全日志、Linux系统日志、WWW服务器日志、防火墙日志、入侵检测系统日志等。这些日志种类繁多，格式不一，形成不了统一协作的防御系统。随着计算机网络资源共享的进一步加强，网络规模的扩大，网络攻击的方式、类型、特征各不相同，仅靠单一检测系统，已经难以胜任工作。当前，信息技术快速发展，空间数据库的安全事件日志规模呈级数增长，为了使这些激增而又分散的安全事件日志能够有机地汇集、整合，使得不同的检测系统与访问控制、应急、入侵追踪等系统(如 IDS、FireWall、HoneyPot等)之间及时交换信息，发挥各自的处理能力，形成一个整体有效的安全保障系统，因此需要对信息安全事件进行标准化技术研究与实现。

1 信息安全事件标准化模型

信息安全事件标准化模型是基于 IDMEF标准对多源信息安全事件进行规范，构建面向对象的数据模型。其具体处理过程是对异构的安全事件进行搜索，提取有用信息并根据信息安全事件标准化模型的格式进行重组和格式规范，形成标准的安全事件 XML数据文档，继而将标准的安全事件XML数据文档存储到安全事件数据库中。信息安全事件标准化模型要满足以下基本要求：

（1）应当准确描述各种安全事件。……