这并不是什么高技术的构架与方式 。这仅仅是我本人在工作上融合现阶段手里的网络资源

开展了一点融合。或许完成这类要求的方式 有很多,钱多的能够思考Splunk,没有钱的有产品研

发的队伍的能够上Flink、Esper。

 

 

要求考虑到防御对战的更新,根据形式化的数据库难以随时肯定攻击是不是顺利。因而,大家必

须融合很多个数据库开展安全事件的关系,从这当中分离出来可信性较高的安全防护报警开展人

工服务清查。比如:针对WebShell上传图片类的,能够根据数据流量+终端设备开展关系;针对网

站攻击类,能够根据WAF+NlUD的事情关系,获得BypassWAF的安全防护报警。处理构思，尽管

Wcuh实际上具有安全事件的关系潜质,但在过去的布署构架中,一般 是由WcuhAgent将安全事

件发送至WcuhManager,根据Manager开展安全事件的关系报警。考虑到缺乏了对数据信息开

展SRA,促使WcuhManager难以对结构数据信息开展关系。因而,大家必须根据Logstlad完成对

数据信息的规范化,并将规范化后的数据信息根据Syslog的方法发送至WcuhManager,进而开展

结构数据信息的关系。

 

 

坑点:
 

1.此次改良采取了Syslog的方法将数据信息发送至WcuhManager端开展数据信息关系。考虑

到Syslog初始采取了udp协议端口开展传送数据,当数据信息上传过大时可能造成数据信息断开

的出错。针对此情况,需改成TCP的方法开展数据信息上传的方法。

 

2.WcuhManager局部报警缺乏”必要性“关系字段名的状况。如:Wcuhsyscheck报警事情,初始

不易带上srCIP的字段名,针对此情况能够根据在Manager上编辑1个归一化处理代码来处理。


针对WebShell关系监测,现阶段采取的是同源IP及其脉宽的关系,较为可靠的应该是根据Res

ult的核对。这儿要调侃一会儿Suridaet初始的weninfo,难以自定导出,要是启用可被复原的端口

都是会导出fileinfo的事情。正是如此,信息量一大Wcuh的模块负担会非常大。我试着根据Lua

来自定义1个文件审计类的事情,好像也一样难以区别端口更不要说针对https过滤系统必要条

件开展自定的过滤系统导出了。考虑到随机森林算法实际上是根据最底层很多个安全事件开

展层面的关系提高报警的可信性。因而,最底层安全事件不足准确无误一样会让顶层的随机森

林算法产生很多乱报。针对最底层安全事件的提升也是必须连续开展的。

 

3.Wcuhv3.12.3采取Syslog收到大系统日志时,会开启memoryvgpiolation造成ossec-rtemote

d系统进程重新启动,该情况已向小区信息反馈下一个版本升级中会处理。