日志安全

日志安全（通用12篇）

日志安全 篇1

1 前言

WLAN(Wireless Local Area Network无线局域网), 是指以无线信道作传输媒介的计算机局域网,是有线联网方式的重要补充和延伸,并逐渐成为计算机网络中一个至关重要的组成部分,广泛适用于需要可移动数据处理或无法进行物理传输介质布线的领域,成功的广泛应用于众多行业,如高校、写字楼、政府机关、酒店、机场等[1]。

WLAN网络设备普遍支持的SYSLOG日志主动发送机制,实时发送设备当前的状态、性能、告警、配置、操作等各方面数据。WLAN网络设备面临着多方面的安全威胁,通过接收和分析WLAN网络设备发送的日志,能满足对数据来源的各种要求,能完成各项数据查询和系统运行配置调整指令接收和处理结果反馈,对日志的提取和存储数据分析,掌握网络情况及时发现缺陷,提供故障辅助分析,提高网络安全预警能力和安全防御针对性,较好运维WLAN网络。

2 WLAN AC日志概述

WLAN现网设备厂家较多,涉及的设备类型复杂,既包含AC,又包含汇聚交换机,即有一体化AC设备,又包含独立板卡式AC,不同厂家的设备差异很大,日志上报的具体信息千差万别,WLAN日志安全应用管理,基于现有设备的特性,结合WLAN网络实际,解决设备管理的日志记录和分析,实现日志的采集、过滤、转换、存储和分析应用。设备本身并不存储和处理SYSLOG日志,故对设备的运行影响很小,WLAN AC日志数据全面,涵盖包括设备状态、性能、告警、配置、操作等各方面数据,具备数据原生分类及事件级别。

(1)日志分类

操作日志:设备的主要操作信息;

登录日志:登入登出设备记录;

状态日志:设备当前状态、如AP在线状态等;

性能日志:设备CPU、内存、接口、流量等;

配置日志:设备主配置、无线配置等;

事件日志:设备重要事件和告警数据,如端口断开等。

(2)日志级别

目前,基本网络设备都可以通过syslog协议,将日志信息以用户数据报协议(UDP)方式传送到远端服务器, 该方式通用性高,灵活性强,实时性强。可以配置网络设备每产生一条日志信息,就向服务器端转发一条相应的日志。应用AC日志要解决以下三大问题。

(1)数据量大。一个中等地市1天将产生超过5千万条日志,日志数量是海量的,除了日志过滤以外,还必须使用灵活和科学的存储手段,方能保证日志系统的实用性。

(2)可读性差。AC日志为二进制代码,无法直接阅读,系统会对某些原始日志进行解析,以精简、有效的形式展现出来,提供可运维的信息使用分析。

(3)记录不连续。AC日志是根据事件发生时间进行记录,任一环节的信息都是离散存放;对不同类别和级别的日志,使用不同的存储分类策略。

3 WLAN AC日志安全应用探讨

现有网管系统通过采用数据库节点修改的方式来实现[2],设备本身对操作、运行状态改变和配置改变会产生相关系统日志并缓存在设备内。但是对设备配置通常采用Web页面、SSH、TELNET方式,现有系统无法对这类操作进行操作记录功能;网管系统不支持设备配置的配置文件的保存功能,也不能直接保留和存储设备系统数据库及操作记录;无法提供网络组网拓扑展现等功能。且设备系统日志存在两大缺陷:

(1)缓存记录文件大小有限,追溯性差。由于设备硬件限制,设备缓存往往有限,为了不影响设备运行,且不建议长时间直接通过设备查看和缓存信息;

(2)缓存没有对日志信息进行分类整理。往往是根据时间先后直接记录设备变动或者运行信息,其可读性较差,较难长时间连续分析运行异常。

系统日志的上述缺陷导致无法直接在设备上读取日志来监督设备操作维护和配置变更,无法实时对设备配置特别是关键配置实施高效核查和备份,部分重要日志,如配置变动,操作记录,相关告警等,需要有合理的机制保证网络正常运作。

基于WLAN AC日志安全应用管理就是为提高网络运行安全维护,分析解决网络安全和业务故障排查应用问题。由WLAN网络设备通过syslog协议将日志信息输出到日志服务器,由外置式syslog服务器收集并记录设备运行日志,并将全部功能整合为现有网优e栈服务器(系统Web后台),用户通过客户端访问e栈的相关功能模块, 由e栈服务器发起对应的网络指令到日志平台返回相关查询结果,后台原始syslog的收集和解析、系统配置备份均由日志平台独立完成。

其组网图如图1:

3.1系统结构与接口

日志采集模块由控制器、采集器、解析器和处理器组成。

采集后台:系统Windows2008,数据库MSSERVER2008,中间件Tomcat,采集后台实现语言:JAVA

系统接口:

系统通过定制syslog采集日志数据;

系统通过telnet采集AC的配置文件;

系统提供接口可供外部导入其他格式的配置备份文件;

系统Web后台(e栈服务器上)通过Http协议与E栈客户端进行通信;

系统Web后台通过55555端口控制采集后台;

Web后台能过TCP 1433端口和数据库进行通信。

3.2 系统设计

3.2.1 系统架构设计

系统架构总体设计基于显示层、中间层、服务层三方面,具体如下:

(1) 显示层

显示层是应用和用户之间的接口,它负责将应用显现给用户和显示模型的状态。显示层接受用户提交的输入请求, 通过对业务逻辑层的访问,获得并向用户输出可视化响应。显示层使用C#开发(客户端),使用DevExpress控件开发视图组件,通过Hessian与中间层进行数据传输,传输数据格式为JSON。

(2)中间层

中间层接受从显示层输入的用户请求,将其转化为业务逻辑过程能够理解的方式,根据特定的业务逻辑有序地向存储层发送数据请求,并将存储层返回的数据解释及组合成用户所需信息,返回给中间层,是整个应用软件系统中业务逻辑的实现和处理核心。业务中间层运行在WEB容器中。

中间层包含会话外观(Session)、逻辑Bean和和数据存取Bean(Data Access Bean)等三个逻辑组件。使用JAVA实现,能过能过Hessian与显示层通信;通过RMI与采集层通信。数据存取Bean通过JDBC访问数据库服务。

(3)服务层

数据采集是实现网络管理的前提和基础,面对大量需要采集的管理信息,构建一个稳定高效的数据采集模块对于实施可靠的网络管理具有举足轻重的作用。

服务层主要基于经下三点进行设计开发

(1)可配置性:通过配置对日志,指标,配置等原始数据进行解析;

(2)可扩展性:对新增采集或功能对模块前期功能不产生影响;

(3)可靠性:保证采集数据的准备性与完整性不底于98%

服务层数据采集使用的技术主要有:基于Syslog的日志采集、基于简单网络管理协议(SNMP)的指标采集、基于Telnet配置采集,通过RMI与中间层进行通信。

3.2.2 系统模块设计

(1) 日志收集模块设计

日志收集模块由控制器、采集器组成。采集器通过监听相关端口对WLAN网络日志进行采集,控制器对接收到的日志放进日志队列里,等待解析器和处理器进行处理。由设备主动输入设备日志,系统建立临时文件存储, 对长期无日志的设备产生告警。

(2) 日志解析分析模块设计

日志解析分析模块对原始日志进行处理。使用线程池技术,从而可以更快的处理日志,而且,解析器使用可配置技术,能通过修改配置文件方式对不同厂家的日志进行解析。对日志格式化保存,并按要求输出登录登出、执行指令、的格式化数据。

(3) 采集和存储模块

采集器通过设置好的时间调度每隔N分钟对设备进行一次数据采集,控制器对采集到的指标和配置放进队列里,等待解析器和处理器进行处理。输入设备IP、厂家、型号、帐号密码、采集的配置类型,对Snmp团体字和Telnet帐号密码解密,对配置做变更分析,并保存相关日志记录、配置文件等。

4 WLAN AC日志应用管理

基于WLAN AC日志安全应用管理,重点解析设备运行安全日志,包含设备管理连接,设备登录、退出记录, 操作维护记录,用于评估AC运行安全和追溯操作配置, 解析用户网络业务异常日志,用于用户业务故障分析和网络隐患排查。

4.1 结合网络拓扑图,实现可视化管理功能

Syslog功能模块支持网元设备、功能模块、自定义关键字等多维度归类与分析功能;对事件反应及时,独立于SNMP,对现有网管告警数据具有较高的实用性。设备运行指标的数据分析,完整展现设备健康状况和资源可用性,输出各项网络设备指标,以及较详细的用户使用结果数据。

4.2 日志的统一收集、分类,协助快速定位网络设备故障

(1) 原始日志

原始日志信息内容包括了生成时间、日志级别、设备名称、IP地址、厂家、原始日志等信息。其中,日志级别分七个等级,按严重级别顺序分别为:警报、临界、错误、警告、通知、信息、调试;可以按IP地址、日志级别等相关条件进行设定来查询更细分的日志数据。

(2) 日志审计

系统会对设备发过来的登录登出及执行指令等日志进行解析,以精简、有效的形式展现出来,记录帐号对设备执行的指令,有利于管理员及时发现违规操作,也能够为设备故障分析提供数据支持。

各审计模块以从起止时间、设备IP、客户端地址、登录帐号、登录状态、登录动作、审计说明、审计起止时间、审计状态、审计人等方面实现操作审计,可根据指定相关字段内容查询分析相关日志。

4.3 设备配置的收集管理,实现配置的追溯

系统支持对网络设备的运行参数进行采集和变更分析。系统会自动根据管理员创建的采集模板对设备进行周期性采集,形成网络设备在不同时间点上的运行快照,该快照反映了该设备在当前时间点上的运行状态。系统自动将当前采集到的快照与上一次的快照进行设备配置运行数据分析,判断其是否有变化,形成快照的历史变化轨迹, 并发送相应告警。设备配置的自动收集和集中管理,提供配置定时备份与离线保存功能,实现配置定时备份保存及相关追溯。

4.4 日志异常分析,提高设备网络安全隐患防范

(1) 日志特征库

日志特征库对系统产生的日志进行智能匹配分析。日志特征库能够分析设备硬件故障、网络故障等系统敏感事件,系统监控网络设备发送过来的日志,并跟特征库里的特征关键词进行匹配,系统会根据该特征的严重级别做不同的处理,比如发送告警等。系统自带部分日志特征项,也支持运维人员手动添加日志特征做分析管理。

(2) 运行指标异动分析

网络运行指标是指反映网络设备运行时的负荷、性能、健康程度等方面的指标,如CPU占用率,端口带宽占用率等。网络运行指标异动分析功能对运行指标进行异动分析,记录异动情况,系统将呈现给出指标异动图表。

4.5 实现业务日志有效支撑体系,提高业务故障分 析排查效率

针对用户业务使用结合网络配置数据提供用户使用的全面分析;对用户应用流量构成开展分析,应用业务的构成分析到用户热点;对用户的认证信令提供关键性能统计等。在用户业务日志之间建立起逻辑关系,将用户信息、用户上网行为、用户关联的设备信息完整的结合在一起,有效处理支撑用户业务运维体系。

5 小结

基于WLAN AC日志安全应用管理,解决配置的变动无法有效跟踪,操作日志无存档,事后无法追查等问题, 将杂乱无章的AC日志进行分析,完成各项日志的采集、过滤、转换、存储和分析应用,提供相关数据分析,及时发现问题,有效排查故障,提高网络安全预警能力和安全防御针对性,较好运维WLAN网络。支撑WLAN网络运营,从被动网络故障、应用投诉等实现到主动优化运维, 减少现场巡检,直观了解整个网络质量运行情况。

摘要：WLAN网络能提供具有可移动性的上网功能,能快速、方便地解决有线方式实现不了的可移动性问题,主要承载笔记本电脑、手机及第三方WiFi终端的互联网数据业务。WLAN网络中AC设备运行的安全性面临着互联网安全攻击、设备运行异常、配置误操作等安全威胁,WLAN AC日志安全应用管理能收集并解析相关设备的运行日志,用于评估AC运行安全和追溯操作配置,用于用户业务故障分析和网络隐患排查等。

关键词：WLAN,日志,安全

日志安全 篇2

安全日志主要要描述今天各个班组人员数量，在哪个部位从事什么施工项目，人身安全、设备安全、工作安全方面的相关事项，比如人身安全预想、嘱咐的话、安保措施。然后是施工的部位，有哪些特殊工种作业，那里需要有动火作业，那里有外脚手架作业。哪些地方存在隐患，限时整改。对现场爆破作业情况（哪个部位放炮，人员撤离疏散及不及时，有没有撤离到安全距离外）；临时用电的检查情况（电线有无裸露，需要架空或埋设，电箱有无关闭，有没有贴警示标识）。

有领导来检查要出来陪同一起检查，记录领导检查中提出的问题。尽快与工区安全员协商整改领导提出的问题。

安全影像资料收集（需要照相的情况）：有工人在做防护、有隐患的施工位置或施工操作过程，需要整改的施工过程或地点（整改前和整改后的照片）

年轻总裁日志 篇3

一次偶然，我在中国企业论坛里看到这样一段文字：我是一家年轻公司的总裁，现在公司的规模与成就赢得了业内的尊重，可谁会想到三年前我还是一个不达标的打工仔。我是96年大学毕业来到的深圳，8年多换了17份工作，搬了13次家，被炒鱿鱼11次，所在公司经营不下去而离开5次，只有最后一次是自己主动炒了老板。创业的三年，发展可谓深圳特色，第一年产值16万，利润7万；第二年产值140万，利润80万；今年产值500万，利润320万。我的成长与这个论坛结下了不解之缘，我习惯在一天的忙碌之后来此寻找点灵感。

我特地查阅了这位总裁最近几年在论坛上发的帖，他总是习惯每天晚上拨冗在论坛里写下点什么，以日志的形式，坚持不懈。文字，恰如一盏灯塔将他的创业之路照亮。

这位年轻老总于2005年1月21日星期五在论坛里写道：使命激励——杰出的领导者能够以他们强大而激动人心的远景去激励员工，为他们带来明确的目标感和对工作的自豪感。

寥寥50字，写出了他对领导工作的些许感悟。透过文字，我想，他必定是善于用远景来激励员工的。也许，在每次的员工会议上，他都会描绘一番公司的美好未来和光明前景，或在办公室的墙壁上贴上公司的远景规划图，以激励员工。他能让员工明确看到目标以及与目标的距离，员工因此而感到有奔头，并感到离目标越来越近了。

关于目标的重要性，我想举个例子：如果走8公里的路，不告诉行者路程有多远，路上也没有路标，行者就容易疲劳；当告诉行者目的地是8公里时，行者心里有谱，就能克服暂时的疲倦；如果不仅告诉了路程，而且路上每一公里都竖有一个里程碑，行者每见到一个新的路标都会觉得离目的地越来越近了，走起路来也就更有劲。可见，同样8公里，有没有目标感和距离感，是会产生不同的效果的。日常工作中领导能把目标告诉员工那会是多么有意义的事情，这位年轻总裁的日志总让人思考良多。

这位年轻老总于2005年1月24日星期一（三天后）继续写道：很多企业在奖赏员工时看到的只是业绩，还应该重视奖赏员工行为。某些行为虽然没有直接产生价值，但这种逐渐形成的行为习惯往往主宰了企业的未来。鼓励良好行为不仅仅是以长远的眼光来规划企业竞争力，而且通过鼓励良好行为能有效遏制不良行为的发生，有效防范问题。

这段文字也令我颇有同感：通常一个企业的领导总是注重员工的业绩。奖励一般看业绩而定，实行业绩与奖励挂钩，看业绩给提成回扣或给效益奖金。这显然是不够的，因为忽略员工的行为，等于忽略了很多细节和手段。为了目的而不择手段往往会给公司埋下许多隐患和危机。

例如：某煤矿采煤，矿工只顾多出煤，多得奖金，而不考虑拼命开采有什么副作用，也忽略了生产存在的安全隐患。表面上可能暂时风平浪静，但由于不符合科学开采的要求，塌方、瓦斯爆炸等潜在事故都可能发生，十年里只要发生一次矿难就够一个煤矿赔得倾家荡产了。

若平时注重员工行为的规范和奖赏，科学开采，安全生产，就可以大大减少矿难发生。出现险情，员工那种临危挺身而出的行为，也往往可以扭转一场灾难。所以，不能忽略那些没有直接产生价值的员工行为。

我通过浏览这位老总在中国企业论坛上留下的日志点滴，看到了很多宝贵的创业经验和创新理念。他每日每周积累起来的帖子，就是他一步一个脚印成功创业的心路足迹。

（编辑 乔恩）

基于安全文档管理的日志系统设计 篇4

随着安全技术的不断发展和成熟,数字签名技术被广泛应用于电子商务、金融、政治等领域,成为保护个人隐私的重要技术手段。在安全领域,数字签名保证了数据的完整性、不可抵赖性,而日志系统对于安全来说,同样非常重要。日志系统可以记录系统使用者的操作记录,可以通过它来检查错误发生的原因,或者受到攻击时攻击者留下的痕迹。数字签名和日志系统二者结合可以实现数据的安全记录。

1 用户模块的设计

用户通过注册建立自己的个人信息,登录以后可以通过用户管理,进行用户信息的修改。用户注册后就建立其个人文件夹,得到一定大小的用户空间,可以存储用户上传的文件。用户通过文件管理功能,可以进行文件的上传和删除操作。同时,用户还可以共享上传的文件。用户还可以通过消息管理给其他用户发送消息,通过备忘录管理书写备忘录。

1.1 用户注册和登录功能

用户注册后建立自己的个人信息,用注册过的用户名和密码,用户可以登录系统。

用户注册之后,可以用注册的帐号的密码登入系统,在登录视图填写登录信息,把登入请求提交给登录控制器,控制器调用DataStore验证信息,并把验证的结果返回给用户,验证通过则进入系统,验证失败则提示失败信息。

1.2 用户操作功能

在系统中,采用了4个业务类Client Management、ClientFilemanagement、ClientMessage和ClientRemind分别来提供用户信息管理、用户文件管理、用户消息管理和用户备忘录管理,同时通过控制器ChooseAction进行功能切换。Login.jsp视图中输出4个链接的选项,分别对应4个主要的用户功能。用户通过点击不同的链接可以选择不同的功能。

1.2.1 用户信息管理功能

用户管理功能主要由业务类Clientmanagement来实现。用户从用户管理页面中点击修改用户个人信息链接,调用控制器ModifyAction,ModifyAction提供了重定向功能,使用户进入修改用户信息视图。在修改信息视图中填写要修改的用户信息,然后提交给信息修改控制器ModifySubmitAction,该控制器经过相应的验证后通过调用DataStore完成修改,保存修改的信息,并把修改的结果返回给用户功能视图。

1.2.2 用户文件管理功能

进入用户文件管理,可以进行用户文件查看、新文件上传以及文件删除操作。上传的文件存储在用户注册时分配到的空间。

用户进入上传文件的视图,选择要上传的文件,然后把上传的请求交给上传控制器,上传控制器调用数据库类DataStore执行上传文件的操作,执行文件表和文件空间表的插入和更新操作,并把上传结果返回给用户,显示在用户文件列表上。上传成功则显示文件上传成功界面,上传失败,则提示出错。

用户共享操作可以和其他用户共享自己上传的文件,进入共享文件列表可以查看各个用户共享的文件,并可以根据需要进行下载。同时,用户可以进行撤销共享操作,对于没有设置共享的文件,只有上传该文件的用户可以查看该文件。用户还可以删除自己上传的文件,操作流程和共享文件类似。

1.2.3 用户消息功能

消息业务类为用户提供发送和删除消息的功能,进入消息管理界面,用户可以给其他用户发送消息。

用户可以在自己的消息页面中查看其他用户发送给自己的消息,并且可以删除没有用的消息。删除消息不需要填写表单,直接将请求提交给删除控制器RemoveMessageAction,调用DataStore从数据库中删除信息。

1.2.4 用户备忘录功能

进入备忘录管理界面,用户可以添加新的备忘录。控制器对用户填写的表单信息进行验证,验证出错则返回输出错误信息,验证通过则将备忘录信息存入数据库,并将结果返回给用户。同时,用户可以删除过期的备忘录。

2 管理员模块的设计

系统为管理员提供了登录、注销、查看用户信息,删除用户信息,查看用户操作日志和查找文件的功能。

管理员登录之后,通过AdminLogAction控制器调用searchClient()方法从数据库中循环读出每一个用户的信息,并将用户信息保存在Vector中,然后将Vector中的用户信息存到session中。控制器最后返回到视图页面,视图页面从session中获取用户信息,放入Vector中,然后从Vector循环读出每一个用户的信息,显示在页面上,管理员即可浏览用户信息。

点击进入日志系统,管理员可以进入查看用户的操作日志。通过LogSys控制器,调用Log类中写好的searchLog()方法,从数据库中读出数据。最后转发到getLog.jsp页面上,将日志显示出来。

3 日志系统的设计

系统中用户的操作日志只有管理员可以进行查看。为了实现日志信息的记录,并使每个操作的日志记录都可以调用同一个类,实现代码的复用,专门写了一个日志信息记录的类Log.java。Log.java中包含了日志信息的数字签名、日志读取和记录日志的操作。

3.1 日志信息的产生

当用户进入系统进行操作时,包括用户的登录、文件操作、注销和用户信息修改等,日志系统都会记录相应的日志信息。根据MVC模式,用户的每次操作都由表单记录相应的信息、参数,通过模型收集信息,并将其传送给控制器Action进行处理。在每次动作的执行就会产生相应的操作日志信息,将信息作为参数,并调用Log类中的signLog()对日志信息进行数字签名,得出签名的结果。将操作信息和签名的结果作为参数传给Log类的recordLog()方法,在每次动作的最后调用该方法,产生用户操作的一条完整的日志信息,将这些信息存入到数据库中。同时,调用然后将日志信息写入到数据库中,签名的结果同样也保存在数据库中。

3.2 对日志信息的数字签名

3.2.1 非对称密钥对的产生

系统中利用非对称密钥加密算法进行数字签名,首先必须完成的工作就是密钥对的生成。Java中的KeyPairGenertor类提供了创建用于非对称加密的密钥对的方法,密钥对创建好后封装在KeyPair类型的对象中。具体过程如下:

1)创建密钥对生成器

首先,通过工厂类KeyPairGenerator的静态方法getInstance()生成一个KeyPairGenerator类的对象,传入的参数为非对称加密所使用的算法,常用的有RSA、DSA等,这里使用RSA算法。

2)初始化密钥对生成器

通过KeyPairGenerator类中的initialize初始化,传入的两个参数为强度和随机数源,强度一般为1024,随机数源由SecureRandom类的对象自动生成一个原始值。

3)生成密钥对

将生成的密钥对保存在KeyPair类的一个实例中,其中包含了一对公钥和私钥的信息。

4)获取公钥和私钥

将生成的密钥对保存好,用户操作时利用私钥对日志信息进行加密,然后将签名和日志信息一起存入数据库。管理员要查看日志时,用公钥进行验证签名。

3.2.2 使用私钥对日志信息进行数字签名

日志信息产生后,利用MD5强加密消息散列算法对信息计算消息摘要,然后利用RSA非对称加密算法进行数字签名。Java.security包中的Signature类提供了进行数字签名的方法。Signature对象的initSign()方法传入私钥,执行update()方法可以将原始数据传递给Signature对象,然后执行sign()方法即可得到消息验证码。具体过程如下:

1)获取要签名的数据

用户的每一次系统操作都将产生操作记录,将用户的用户名、操作类型、操作的文件名、操作时间,作为一条操作记录,存在message.dat文件中,通过文件输入流将其读入字节类型数组data中。

2)获取私钥

生成的私钥保存在private_key.dat文件中,通过文件流读入私钥存放在RSAPrivateKey类型的变量中,用于加密日志信息。

3)获取Signature对象

通过Signature的getInstance()方法获取对象,方法的参数指定了签名所用的算法,包含了计算消息摘要所用的算法和加密消息摘要所用的算法。系统中使用的是MD5和RSA算法。

4)用私钥初始化Signature对象

使用Signature对象的initSign()方法初始化Signature对象,参数为加密使用的私钥,以后就可以用此加密日志信息。

5)传入要数字签名的数据

将保存在data数组中的用户操作信息传入,进行数字签名。

6)执行数字签名签名

签名之后,得到的签名信息是二进制代码,通过编码类将二进制的信息转化成String类型,然后将String类型的签名结果保存在日志信息表中,以便于日志查看时进行验证。

3.3 日志查看功能

管理员通过登录,可以进入日志系统,查看日志信息。为了验证日志信息有没有被修改,需要对记录日志时产生的数字签名进行验证。当管理员进行查看时,触发控制器LogSysAction,该控制器从数据库中读出操作信息,并调用Log类中的checkSign()方法,利用公钥对签名进行验证,即对签名过的信息进行解密,将解密过的结果和原始信息进行对比,对比结果一致说明验证通过,不一致说明验证没有通过。验证结果同时显示在页面上,Check Pass表示通过验证,即日志信息没有被修改过;Check Fail表示没有通过验证,即日志信息已经被修改过。

日志系统提供给管理员按用户查看日志信息的功能。管理员输入用户名,日志系统可以将该用户的操作日志显示出来。

4 结束语

日志系统中,提供利用Java安全机制实现了数字签名,对于用户的操作日志签名保证了日志信息的完整性,及时了解日志信息是否被修改。对于系统中用户包括管理员的身份认证,用户权限以及用户操作的授权管理方面等可以做一进步的工作,使得系统的安全性更强。

参考文献

[1]Cay S.Horstmann,GaryCornell.王建华,董志敏,杨保明,等译.Java核心技术卷II[M].北京:机械工业出版社,2005.

[2]Jim D’Anjou,Dan Kehn,John Kellerman,等.束尧,丁凡,许国梁,译.Eclipse权威开发指南[M].北京:清华大学出版社,2006.

[3]Joseph Schmuller.李虎,赵龙刚,译.UML基础、案例与应用[M].北京:人民邮电出版社,2005.

[4]Vivek Chopra,Jon Eaves,Rupert Jones,等.朱涛江,张文静,等译.JSP高级程序设计[M].北京:人民邮电出版社,2006.

[5]Abraham Silberschatz,Henry F.Korth,S.Sudarshan.杨冬青,唐世渭,等译.数据库系统概念[M].北京:机械工业出版社.

[6]Revist R L,Shamir A,Adleman L.A method for obtainingdigital signatures and public-key cryptosystems[J].Communications of the ACM,1978,21(2):120-126.

[7]徐迎晓.Java安全性编程实例[M].北京:清华大学出版社,2003.

[8]Christopher Steel,Ramesh Nagappan,RayLai.陈秋萍,罗邓,袁国忠,等译.安全模式[M].北京:机械工业出版社,2006.

[9]肖文,尹建伟,陈刚,等.基于J2EE的日志管理中间件的设计和实现[J].计算机应用研究,2003,(10):173-175.

安全检查日志 篇5

1.现场施工作业人员均正确穿戴安全防护用品。

2.现场施工管理人员无违章指挥，作业人员无违章操作。

3.临电设备设施运转正常。

4.现场各机械设备运行正常。

一、万福路及Z2

基坑开挖：

1.基坑坑壁无裂痕，无坍塌迹象。

2.基坑四周有临边防护，并张贴安全警示标示。

钢筋绑扎：

1.特种作业人员均持证上岗，且严格按照安全操作规程进行作业。下雨的话可以写今日下雨，第二日则写下面内容：

1.坑内有少量积水，已开始用水泵抽出。

2.将淤泥挖运到场外，并重新回填。

3.现在临电设备均正常运行。

4.基坑坑壁完好无损坏。

清表：

1.挖掘机及冲击锤严格按照安全操作规程执行作业，作业人员均持证上岗。

二、渝新二支路：

现场封闭施工，门口张贴安全警示标语。

脚手架严格按照设计规范要求搭建。

现场临建宿舍干净整齐。

电焊工均持证上岗并严格按照安全操作规程规定内容执行作业。

现场临电设施运转正常。

灌桩：现在泵车进出场均有专人指挥。

高空作业人员均按要求佩戴安全带。

基坑开挖同上。

伟伟的保险日志 篇6

伟伟是工行某支行的保险业务咨询员，出于工作的需要，她每天都要写工作日志，以便详细记录与每个客户沟通的情况。从业两年来，她一直坚持着，日志已经满满两大本，其中写尽了她银行保险生活的酸甜苦辣，也许从中你也能看到自己的影子。

2007年4月5日

今天是从公司接受完培训后，自己第一次单独带网点，一切都很陌生。

原来一直跟老客户经理实习，自己一个人还真有点害怕，刚刚认识了银行行长和银行柜员，也不知道跟他们聊什么，银行办业务的客户不少，自己不太敢上去讲，终于遇见一位阿姨上前咨询业务，在帮她填好单子的同时与她交谈了几句，顺便说了一下我们公司的新产品，

奇怪，竟然不紧张了。

终于不再脸红紧张了，可以主动跟客户说话了，给自己的进步一个掌声。

2007年8月5日

来银行一段时间了，终于一切都熟悉起来，希望一切越来越好。

最近客户的投资热情很高，人们对基金股票特别感兴趣，我们的投连产品也跟着走入了人们的视线。

一位要买基金的客户听到我的介绍后很感兴趣，正要买时，一位银行工作人员却给客户说基金更适合，并且随手扔掉了我给客户的宣传单页。我愣在那里，一句话也说不出来。

心情真的很郁闷，不明白银行的姐姐为什么要这样做，平时关系挺好的啊，后来才明白，原来还是自己简单，要想获得每个人的支持自己的路还很长。

不要泄气，继续努力。

2007年12月5日

今年的理财市场太火了，银行里挤满了买银行理财产品的人。今天又是银行理财集中到期的日子，忙的我嗓子都哑了。

其实说来我们银行保险业务咨询员更多的是在充当替补大堂经理的作用，应该说80％的精力都在为银行服务，而不是为保险公司服务。客户投资热情很高，我们产品卖得也很好，这个月200万的任务应该问题不大。

一位以前谈过产品的叔叔来找我，我将我们的产品又仔细给他讲了一遍，包括风险，费用等，他决定要买时，旁边一位阿姨听了觉得不错也要买，但阿姨明年要买房子，于是我就告诉阿姨，这个产品适合长线，不适合她。那位叔叔觉得我很诚实，竟然又多买了10万。

哈哈，真诚远比金钱更重要。做我们这行更是这样。

2008年4月20日

月底到了，还信用卡的特别多，攀谈中了解到，他们中居然有一大半人都是“月光族”，这样如果继续下去的话，倒是为国家“GDP”做贡献了，可是将来结婚、买房怎么办，难道真当“啃老族”。更别说疾病、失业的情况出现了，在我的影响下，我的一些朋友已经开始强制储蓄，并为自己准备好了足够的疾病和养老保障，我也算为他们略尽朋友之意；可是如何帮助到更多人，才是我的工作意义所在。

2008年8月13日

早上10时，正是行里忙得热火朝天的时候，我也临时帮理财经理刘姐做一些填单之类的服务工作。这时，一位先生把我叫住，向我咨询一下过往理财产品的收益状况。攀谈过程中，我了解到这位先生姓王，是一位私营装饰公司老板，几年下来，也积攒了一些钱，买了不少银行理财产品和股票，正准备进军房地产。

我们越聊越投机，我说实业投资风险远高于理财产品，并且房地产市场的不稳定性已经凸显出来。我说，其实理财的方式有很多种，财务管理最重要的一条准则就是财务风险分散，俗称“不要将鸡蛋放在同一个篮子里”。在若干种理财方式中，位于金字塔最底层并承担着主要风险分散作用的应该是银行存款和人寿保险。存款的作用不言而喻，而人寿保险却是人们常常忽略的理财工具。而位于金字塔较为靠上一点位置的理财方式则应该依次是自用住宅、教育金、养老金、债券、基金和股票或其他投资方式，越往上，投资收益率越高，投资风险也会随之增长。

王先生颇为赞同我的见解，他说从没有人这样清晰、透彻地为他分析过理财状况，他还主动掏出名片要和我交个朋友，约个时间再详谈。我也将名片取出来和他互换。

谁知，他一看到我的名片上印着“保险客户经理”的字样，立刻变了脸色，还说，保险业务员都是骗人的，说这么多不过是要向他推销保险而已。这真是让我哭笑不得。其实，我是绝对不会向客户硬性推销的。刚才讲这些，也不过是闲聊时无意中涉及到我的专业，多说了两句而已，谁知却引来这么大误会。正当我想为自己辩解几句时，刘姐走过来帮我解了围。她向王先生详细解释了我的工作性质和职责，王先生也为刚才的莽撞向我道了歉，我也就不再介意了。

2008年12月8日

今天发生了一件意想不到的事情，让我终身铭记。几个月之前认识的那个对我有偏见的王先生一大早就打电话给我，叫我有空的时候去一下他的办公室，说有重要事情和我谈。我赶到他那里后，王先生谈起了最近发生在他朋友车总身上的一件不幸的事。

王先生的好友车总是一位外资企业的部门经理，今年35岁，和王先生同岁，有一个3岁的小孩，太太是一位小学老师。去年初，他们在济南一次性付款购置了一套170平米的复式大房，准备把老人接来一起住。谁知天有不测风云，今年5月，车总被发现患上了胃癌，然而几十万元的治疗费却不得不让他们最后变卖了房子。讲到这里，王先生叹了口气说，假设在此之前购买了重大疾病保险，也许就不至于卖房治病了。

就因为这件事，王先生想起了我，当时我关于风险管理的讲解，给他留下了深刻的印象，朋友的事情更触动他要认真考虑规避自身的风险。

接下来的时间，我为他量身定做了一份需求分析报告，并根据他的切实情况推荐了一份保障计划，这份计划不但可以让王先生拥有每年3万元、最高领至80周岁、保证领取20年的养老金，同时还能享受到保险提供的全方位终身健康保障，使王先生和家人无后顾之忧。

在我讲解的过程中，王先生一直聚精会神地听着，还不时地点点头。当听我介绍完整个计划的7大优势后，王先生毫不犹豫地拿起笔在建议书最后一栏签下名字，并填写了投保书，完成了整个投保过程。

最后，当我准备离开王先生办公室时，我向他询问为何最终选择我成为他的保险代理人，王先生笑了笑回答说：“只有两个原因：第一，老车的事情教育我天有不测风云、风险无处不在，保险谁都需要；第二，你给了我非常深刻的专业印象，既然保险始终要买，何不在你那里买，买个明白、放心呢?我对你很信任。”

日志安全 篇7

目前,尽管入侵检测系统被广泛应用于检测和确保系统的安全,但是仍旧有一些系统很容易的被入侵者侵入[1]。一旦入侵者进入系统之后,便会在系统中安装木马等危险程序来窃取信息。为了掩盖其踪迹,入侵者在离开系统之前会对记录其踪迹的系统日志进行修改或者删除。因此,系统日志的实时备份对于系统安全分析及后来的调查取证工作显得异常重要。

当前备份系统日志的方法很多,最为流行的就是通过网络将日志备份在远程主机上。但是,入侵者同样可以利用tcpdump[2]来获取在网络上传输的数据,而且备份系统日志的远程主机同样容易受到攻击。为了克服以上不足之处,本文提出了一种安全高效率的系统日志备份方法,并且给出了相关的实验结果及分析。

1 Xen

Xen是目前最流行的一种虚拟化解决方案,它采用了半虚拟化技术,虚拟机管理器为上层虚拟机给出提供了与底层硬件设备相似的抽象层[3]。运行在x86平台上的Xen借助了IA32的4个优先级(Ring0到Ring3)。在传统的体系结构中,只有操作系统运行在最高优先级(Ring0),普通的应用程序运行在Ring3,而Ring1和Ring2都没有使用。在Xen体系结构中,Xen虚拟机管理器处在最高优先级Ring0,而用户域和特权域的操作系统运行在Ring1,运行在这些客户操作系统上的应用程序运行在Ring3[5]。

1.1 Xen的特点

构建基于Xen的日志实时备份模型,用到Xen的以下两个特性[6]:

1)隔离性运行在某个域上的软件不能对运行在其他域上的软件进行访问或修改。即使入侵者已将该域的操作系统完全破坏,仍然不会危及其他域的操作系统的安全。

2)监控能力Xen可以监控所有虚拟机实例的所有状态:CPU状态(例如注册表状态)、所有的存储器、I/O设备状态(例如存储设备的容量以及I/O控制器的注册表状态)。

1.2 超级调用

超级调用是Xen提供给客户OS的程序接口,它被客户OS调用,就象常规操作系统的系统调用被调用一样[3]。调用超级调用时,软中断指令被发布,其中断向量入口地址在Xen中。在IA-32 x86架构中,超级调用对应的指令是“int$82”,硬件IDT表(Interrupt Descriptor Table)被设置,以便超级调用指令仅仅能从Ring 1被发布。如表1所示。

1.3 事件通道

事件通道是Xen用于用户域和虚拟机监视器VMM(Virtual Machine Monitor)之间、用户域和用户域之间的一种异步事件通知机制[3]。

Xen为每个域在其shared_info中定义了一个128字节的数据结构,其中每一个位被称为一个事件通道,所以每个域中只有1024个事件通道。

每个事件通道在shared_info中有两个附加位[4]:

Pending位:通知该域外有一个事件需要处理,处理后可将其清0。

Masking位:该位为1时,所有的事件都被屏蔽;该位为0时,如果申请位为1,在Xen从Ring 0向Ring1返回时将触发域中的事件调用处理,这与Unix中的信号机制类似。

1.4 Xen域的共享内存

Xen在创建域时,为每个域分配了一个物理页(在x86架构下大小为4kb)作为与该域的共享内存,用域控制块的shared_info字段表示[4]。shared_info被映射到Xen的虚拟地址空间中,能被Xen访问;Xen启动域时,把shared_info作为参数传递给该域,该域的操作系统初始化时,shared_info被映射到该操作系统的虚拟地址空间中,从而能被该操作系统内核访问。特权域Dom0取得其所创建的用户域的shared_info物理页号,把shared_info映射到Dom0 OS的虚拟地址空间中,使之也能被Dom0 OS内核访问。总之,用户域的shared_info被Xen、Dom0以及其他的用户域所共享。

2 系统设计与实现

本文的体系结构如图1所示,设计有Dom0和Dom U,Dom U被Dom0创建。在Dom U上运行Xeno Linux U,在Dom0上运行Xeno Linux0。由syslogd记录Dom U产生的日志数据,并保存在/dev/xenlog文件中。Dom ULog模块对/dev/xenlog进行实时监控。一旦有新的日志数据写入到/dev/xenlog中,Dom ULog模块便会把新增加的日志数据写入共享内存,然后通知Dom0上的Dom0Log模块从共享内存中读出日志,把日志存入Dom0上的文件系统中。

2.1 DomU模块

在Linux操作系统中,syslogd是常用的日志服务后台进程[7]。Syslogd接受请求,并且把日志信息记录到指定文件中。通过配置/etc/syslog.conf将应用程序产生的日志记录到文件xenlog中,配置如下:

DomULog模块负责对/dev/xenlog进行监控,当检测到有新的日志数据写入后,其负责将新写入的日志写入到共享内存之中。

当XenoLinuxU启动时,Dom ULog模块随之启动。DomULog模块的工作流程如下:

1)DomULog分配共享内存,并取得该共享内存的物理地址phyaddr;

2)为了能够与Xeno Linux0中的Dom0Log模块进行同步通信,DomULog必须首先设置一个尚未绑定的Event-Channel Port;

3)Dom ULog将phyaddr、Event-ChannelPort和自己所在域的ID号通过XenBus发送到位于Dom0的XenStore中;

4)注意,此时DomULog与Dom0Log之间还没有建立起事件通道,而且Dom0Log还没有将Dom ULog申请的共享内存映射到Dom0的地址空间上;

5)如果DomULog收到了Dom0Log发送来的“事件通道已创建”和“共享内存已映射”的通知,DomULog就开始对/dev/xenlog文件进行实时监控;

6)如果有新的日志数据写入到/dev/xenlog文件中,DomU-Log就会把新写入的日志数据写入到共享内存之中,并向Dom0Log发送“数据已就绪,请取数据”的通知;

7)在收到Dom0Log发送的“数据已经取出”的通知后,DomULog会按照需要看是否要继续往共享内存中写数据。

2.2 共享内存

共享内存的设计是用来暂时的存储DomULog模块写入的日志数据,然后等待Dom0Log模块将日志数据读取。在XenoL-inuxU内核中已经分配了共享内存的大小,当写入的日志数据过大会导致共享内存缓冲区的数据溢出;同时如果同时对共享内存缓冲区进行读写操作,这样不会造成上述的情况,但是,同时对共享内存缓冲区进行读写操作,必然会导致竞争。

为了解除上述的这种竞争,使两个模块可以同时读写共享内存,我们将共享内存设计成一个环形的缓冲区:有两个入口,一个读数据,一个写数据,当到达缓冲区的尾部时,它们会自动自陷。写数据的时候会占用缓冲区的空间,但是读取数据后会自动释放这些空间,等待着下一次写请求的到来。缓冲区的数据结构如下所示:

2.3 Dom0模块

Dom0Log模块在初始化的时候,会注册XenBus Watch用来监听XenStore的变化。如果有Dom ULog往XenStore相应的目录处写入内容(即:phyaddr、Event-ChannlePort和domID),则Dom0Log模块会完成以下工作:

1)将phyaddr映射到自己所在域(即:Dom0)的地址空间;

2)将DomULog模块发送过来的Event-Channel Port与自己某个尚未绑定的Port进行绑定,从而建立事件通道;

3)利用DomULog模块发送来的domID,在Domain0相应的目录下创建以domID为名称的日志文件;

4)利用事件通道,向DomULog模块发送“事件通道已创建”和“共享内存已映射”通知;

5)等待DomULog模块发送“数据已就绪,请取数据”的通知;

6)接收到“数据已就绪,请取数据”的通知后,就从共享内存中读取日志数据,并存放到相应的日志文件中;

7)接收完日志数据后,向DomULog发送“数据已经取出”通知;

8)继续等待。

3 实验结果及评估

综上所述,基于Xen虚拟机的系统日志备份方法在将日志数据传输到xenolinx0的文件系统的过程中,并没有通过网络传输,大大地降低了日志数据被网络上的木马程序窃取的可能性,提高了日志数据传输过程的安全性。

在本文所提出的方法中,日志数据是通过Dom U和Dom0间的共享内存传输,通过共享内存传输数据的效率比传统的通过网络传输数据的效率高出许多。我们用这两种方法传输大小为100kb的数据,通过计算传输所需时间可以很明显地看出效率的高低。实验所用计算机的配置如下:Intel Pentium 4 CPU3.0 GHz,DDR 512M内存,80G硬盘。Dom0 OS内核版本为2.6.18-1(Fedora Core Linux),Dom U OS内核版本为2.6.18-1(Fedora Core Linux),Xen为3.0版本,系统启动给客户操作系统分配了192M内存,2G大小的文件系统,以及512M的交换分区。实验结果数据如表2所示,单位为秒(相同实验每种方法分别测试十次,取十次的平均值)。

由表2的数据可知,通过共享内存传输数据的平均时间为0.085383秒,通过网络传输数据的平均时间为0.728681秒,通过网络传输数据所用时间是通过内存传输数据所用时间的8.5倍。可见,通过共享内存传输日志数据的效率比起传统的传输日志数据方法的效率高出许多。

4 结论

传统的备份日志数据是将日志数据通过网络传输到一个专用的日志服务器,这种方法会造成一些重要的日志数据在网络上被窃取、篡改。本文提出的基于Xen虚拟机的系统日志备份方法通过共享内存传输日志数据,日志数据传输的整个过程都是通过Dom U和Dom0之间的共享内存,避免了在网络传输过程中被截获的危险。

同时,由于Xen提供的Dom0和DomU之间的完全隔离性,使得即使DomU OS已经被攻击者攻破,要破坏备份在Dom0OS文件系统上的日志数据也是很难的。

摘要：系统日志对于计算机系统的安全至关重要。为了确保系统日志的安全,通常的做法是通过网络将系统日志备份到远程主机上,但其在传输过程中容易被截获。提出一个运行于Xen之上的日志实时备份模型,通过系统实例之间的共享内存来传输系统日志,这样可以避免日志数据在传输过程中被暴露在网络上所带来的风险。实验表明,该方法不仅增强了系统日志的安全性,而且传输效率也非常高。

关键词：Xen,虚拟机,日志安全,共享内存,超级调用

参考文献

[1]陈晓梅.入侵检测产品的评价研究[J].微电子学与计算机,2005,22(9):74-76.

[2]The tcpdump program.2007.http://www.tcpdump.org.

[3]Xen Project.Xen Interface Manual.March2007.http://www.cl.cam.ac.uk/Research/SR.G/notes/xen/readmes/interface/interface/inter-face.html.

[4]David Cisnall.The definitive guide to the Xen hypervisor.PRENTICE HALL.2007.

[5]Tim Abels,Puneet Dhawan,Balasubramanian Chandrasekaran.An O-verview of Xen Virtualization.March2007.http://www.dell.com/downloads/global/power/ps3q05-20050191-Abels.pdf.

[6]Whitaker A J.Building Robust Systems with Virtual Machine Monitors.Univ.Washington Generals Examination,2004.

计算机系统的日志文件安全性分析 篇8

随着各种各样的计算机系统安全入侵事件层出不穷的出现, 目前计算机系统普遍存在的脆弱性给计算机的安全应用带来了极大的安全威胁。针对这些安全威胁我们正在采用各种办法来防御不安全事件的发生。如加强计算机操作系统的安全配置, 给计算机系统安装安全软件等方法。除此之外, 为了维护系统的正常运行, 在计算机平台及应用系统中, 还存在着的相应的日志记录文件也是我们实现安全事件防御的工具, 这些日志信息对计算机取证非常有用, 是分析计算机系统状况的重要文件之一。日志文件的设计思想是:跟踪记录计算机系统的变化, 并将变化内容录入日志。日志文件的存在对于安全来说, 是非常重要的, 他记录了系统每天发生的各种各样的事情, 可以通过这些记录来检查错误发生的原因, 或者受到攻击时攻击者留下的痕迹。

1 系统日志介绍

计算机系统的日志文件是系统所指定对象的某些操作和其操作结果按时间有序的集合, 每个日志文件由日志记录组成, 每条日志记录描述了一次单独的系统事件, 日志文件为服务器、工作站、防火墙和应用软件等资源相关活动记录必要的、有价值的信息, 这对计算机系统监控、查询、报表和安全审计是十分重要的。要保护和提高计算机系统的安全, 由各种操作系统、应用程序、设备和安全产品的日志文件数据能够帮助我们提前发现和避开灾难, 并且找到安全事件的根本原因。

日志文件系统的思想来自于大型数据库系统。数据库操作由多个相关的、相互依赖的子操作组成, 任何一个子操作的失败都意味着整个操作的无效性, 所以对数据的任何修改都要求回复到操作以前的状态。日志文件系统采用了类似的技术。

2 系统日志文件的功能及特点

系统日志文件所记录的信息的主要功能体现在:监控系统资源;审计用户行为;对可疑行为进行告警;确定入侵行为的范围;为恢复系统提供帮助;生成调查报告;为打击计算机犯罪提供证据来源。

系统日志文件记录着系统中特定事件的相关活动信息, 我们从计算机取证角度看, 日志文件主要有以下特点:

(1) 不易读懂

虽然大部分系统的日志都以文本的形式记录, 但由于各系统日志格式不一致, 不熟悉各类日志格式就很难获取有用的信息。同时有相当部分应用系统并不采用文本格式记录着日志信息, 必须借助专用的工具分析这些日志, 否则很难读懂其中的日志信息。

(2) 数据量大

通常对外服务产生的日志文件如Web服务日志、防火墙、入侵检测系统日志和数据库日志以及各类服务器日志等都很大, 一个日志文件一天产生的容量少则几十兆、几百兆, 多则有几个G, 几十个G, 这使得获取和分析日志信息变得很困难。

(3) 不易获取

由于网络中不同的操作系统、应用软件、网络设备和服务产生不同的日志文件, 即使相同的服务如IIS也可采用不同格式的日志文件记录日志信息。目前国际上还没有形成标准的日志格式, 各系统开发商和网络设备生产商往往根据各自的需要制定自己的日志格式, 使得不同系统的日志格式和存储方式有所差别。如何获取各类不同系统产生的不同日志文件作为打击计算机犯罪者的电子证据变得尤为困难。

(4) 不同日志之间存在某种必然的联系

一个系统的日志是对本系统涉及的运行状况的信息按时间顺序作一简单的记录, 仅反映本系统的某些特定事件的操作情况, 并不完全反映某一用户的整个活动情况。一个用户在网络活动的过程中会在很多的系统日志中留下痕迹, 如防火墙IDS日志、操作系统日志等, 这些不同的日志之间存在某种必然的联系来反映用户的活动情况。只有将多个系统的日志结合起来分析, 才能准确反映用户活动情况。

(5) 容易被修改、破坏甚至伪造

产生系统日志的软件通常为应用系统而不是作为操作系统的子系统运行, 所产生的日志记录容易遭到恶意的破坏或修改。系统日志通常存储在系统未经保护的目录中, 并以文本方式存储, 未经加密和校验处理, 没有提供防止恶意篡改的有效保护机制。因此, 日志文件并不一定是可靠的, 入侵者可能会篡改日志文件, 从而不能被视为有效的证据。由于日志是直接反映入侵者痕迹的, 在计算机取证中扮演着重要的角色, 入侵者获取系统权限窃取机密信息或破坏重要数据后往往会修改或删除与其相关的日志信息, 甚至根据系统的漏洞伪造日志以迷惑系统管理员和审计。

3 Windows XP系统下的日志文件

3.1 应用程序日志

该日志记着应用程序所产生的事件, 通过这些信息, 可以了解哪些应用程序成功运行, 产生了哪些错误和潜在的错误。比如应用程序加载DLL失败的信息被记录到日志文件中去。

3.2 安全日志

该日志记录网络服务的登录或退出、改变访问权限及系统启动和关闭等事件及与创建、打开或删除文件等资源使用相关的事件。比如有效和无效的登录尝试等事件, 通过查看某些安全审核的结果成功还是失败及失败的原因, 且可通过失败的原因, 查找可能发生的安全攻击和非法的安全扫描。

3.3 系统日志

该日志记录着系统组件所产生的事件, 了解某项功能配置或运行成功的信息, 了解系统的某些功能运行失败或不稳定的原因。比如在启动过程加载驱动程序错误或其他系统组件失败, 这些事件都将记录到系统日志中。

应用程序日志、安全日志、系统日志默认位置在“c:windowssystem32config”中, 应用程序日志文件App Event.EVT, 安全日志文件SecEvent.EVT, 系统日志文件SysEvent.EVT, 默认文件大小是512KB。可以通过系统“控制面板”中的“事件查看器”来管理这些系统日志文件。如图1所示。查看某个日志记录也很简单, 在左栏中选中某个类型的日志, 如应用程序, 接着在右栏中列出该类型日志的所有记录, 双击其中某个记录, 弹出“事件属性”对话框, 显示出该记录的详细信息, 这样我们就能准确的掌握系统中到底发生了什么事情, 是否影响Windows的正常运行, 一旦出现问题, 及时查找排除。

3.4 ICF日志

Windows XP SP2以后的版本还有Internet防火墙 (ICF) 日志, ICF的日志可以分为两类:一类是ICF审核通过的IP数据包, 而一类是ICF抛弃的IP数据包。日志一般存于Windows目录之下, 文件名是pfirewall.log。其文件格式符合W3C扩展日志文件格式 (W3C Extended Log File Format) , 分为两部分, 分别是文件头 (Head Information) 和文件主体 (Body Information) 。文件头主要是关于Pfirewall.log这个文件的说明, 需要注意的主要是文件主体部分。文件主体部分记录有每一个成功通过ICF审核或者被ICF所抛弃的IP数据包的信息, 包括源地址、目的地址、端口、时间、协议以及其他一些信息。理解这些信息需要较多的TCP/IP协议的知识。ICF生成安全日志时使用的格式是W3C扩展日志文件格式, 这与在常用日志分析工具中使用的格式类似。

4 系统日志文件的保护

日志文件对我们如此重要, 因此不能忽视对它的保护。

4.1 修改日志文件存放目录

Windows日志文件默认路径是“%systemroot%system32config”, 我们可以通过修改注册表来改变它的存储目录, 来增强对日志的保护。

点击“开始→运行”, 在对话框中输入“Regedit”, 回车后弹出注册表编辑器, 依次展开“HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Eventlog”后, 下面的Application、Security、System几个子项分别对应应用程序日志、安全日志、系统日志。现以应用程序日志为例, 将其转移到“d:log”目录下。选中Application子项, 如图2所示, 在右栏中找到F i l e键, 其键值为应用程序日志文件的路径“%System Root%system32configApp Event.Evt”, 将它修改为“d:logAppEvent.Evt”。接着在D盘新建“LOG”目录, 将“AppEvent.Evt”拷贝到该目录下, 重新启动系统, 完成应用程序日志文件存放目录的修改。其它类型日志文件路径修改方法相同, 只是在不同的子项下操作。

4.2 设置文件访问权限

修改了日志文件的存放目录后, 日志还是可以被清空的, 下面通过修改日志文件访问权限, 防止这种事情发生, 前提是Windows系统要采用NTFS文件系统格式。

右键点击D盘的LOG目录, 选择“属性”, 切换到“安全”标签页后, 首先取消“允许将来自父系的可继承权限传播给该对象”选项勾选。接着在账号列表框中选中“Everyone”账号, 只给它赋予“读取”权限;然后点击“添加”按钮, 将“System”账号添加到账号列表框中, 赋予除“完全控制”和“修改”以外的所有权限, 最后点击“确定”按钮。这样当用户清除Windows日志时, 就会弹出错误对话框。

4.3 日志文件的备份

以上两种方法虽然在一定程度上能保护系统日志的安全, 但只要黑客有足够的权限, 还是能够通过更改日志文件夹的安全权限来达到清除日志的目的。对于系统日志文件的安全保护来说要经常备份日志也是实现日志文件保护的重要手段。备份的方法可以通过手工或用脚本工具来备份系统日志。备份日志工具可用微软Resource Kit工具箱中的dumpel.exe工具备份日志文件, 其格式为:dumpel-f file[-sserver][-l log[-msource]][-e n1 n2 n3..][-r][-t][-dx]

-sserver输出远程计算机日志, 如果是本地可以省略。

-f filename输出日志的位置和文件名。

-l log log可选为System, Security, Application, 可能还有别的如DNS等。

如要通过dumpel工具备份目标服务器Server上的系统日志转存为Systemlog.log可以用如下格式:

dumpel-sserver-l system-f BackupSystemlog.log。

利用dumpel实现日志备份如果觉得手工输入很麻烦, 还可以用BAT来写个脚本, 当需要备份日志的时候运行。以本地备份为例内容如下:

上述代码保存BAT文件运行即可。

如果利用计划任务还可以实现定期备份系统日志。

5 结论

我们知道日志是网络管理员的帮手。一个小小日志能为网络管理员提供更可靠信息, 同时也为网络运行提供可靠保障。要想利用好日志, 必须要了解日志、认识日志, 更要熟悉日志结构, 这样很快就能提取所需相关信息, 来处理相关的网络故障。充分利用日志功能, 可以大大的降低网络管理人员的工作量, 日志不是操作系统的系统日志。网络管理人员可以根据日志文件在发生错误现象时, 能够预先知道征兆, 也是解决网络故障根本依据。可见, 日志能给我们的工作提供很大保障。随着网络不断扩大, 设备数量不断地增加, 不可能对所管理区域定期登录到设备上察看日志信息, 就不可能提前知道问题存在, 如果别人试图利用VPN服务器非法访问企业内部的网络, 这些都会在日志上留下痕迹。网络管理人员若不能够从日志上得知这些信息的话, 则就不能够采取相关的措施, 来预防下次的攻击。

参考文献

[1]邓吉, 张奎亭, 罗诗尧.网络安全攻防实战.电子工业出版社.2003.

[2]孙成“.细心呵护”Windows日志.电脑报.2004.

日志安全 篇9

由于在SYSLOG协议设计实现时, 最初主要考虑用于记录本地主机和设备的事件消息, 因此在协议安全性方面目前考虑的不是很多。其在安全性方面存在以下三个不足: (1) 传输协议:SYSLOG协议规定采用UDP协议传输日志数据, 并使用固定的514端口。由于UDP协议不保证数据传输的顺序, 不对数据传输者身份进行确认, 传输协议的不可靠导致接收方得到不可靠的SYSLOG日志数据;使用固定的端口使得攻击者很容易对其进行破坏性攻击。 (2) 数据安全性:SYSLOG协议规定日志消息是以明文方式进行传输, 数据发送方不对数据进行加密等处理, 数据接收方也不对数据发送者进行鉴别和确认;由于数据交换双方并不提供任何身份认证, 数据本身也不进行安全加密, 因此日志数据的保密性没有保证, 如果消息被窃取将会导致严重后果;因此, 数据通信双方之间没有信任检查机制, 发送方不对数据进行签名, 接收方无法对数据内容真实性进行判断。 (3) 数据存储:SYSLOG协议在实现过程中, 日志数据主要采用文件方式进行存储, 虽然写入速度比较快, 但是安全强度较低;并且由于文件在磁盘上进行存储, 如果系统受木马攻击, 还可能造成信息泄露。以上安全性不足的原因使得采取合适的安全机制来增强SYSLOG日志数据的安全传输就显得尤为重要。

1 BEEP协议分析

1.1 BEEP协议简介

BEEP协议也称块扩展交换协议 (block extensible exchange protoco1) , 是Marsball T Rose设计并于2001年由国际工程任务小组 (Internet Engineering Task Force, IEFE) 颁布的, 标准化编号为RFC3080。BEEP协议是一个基于连接的用于异步交互的应用协议框架;协议包括BEEP核心 (BEEP Core, RFC3080) 以及一系列的协议子集。BEEP核心定义了在BEEP对等端点之间同时进行相互独立的报文交换的基本通信规程;安全认证、加密以及具体应用相关的规范都在协议子集中详细定义。

BEEP协议是一个端到端的、面向连接的、异步交换数据的框架, BEEP框架本身通过定义一些Profile、一个管理Profile、一簇SASLProfile、一个SSL/TLS Profile来完成对应用层的应用提供安全传输保证。BEEP框架不对所传输的数据类型进行描述, 而由具体的应用协议Profile负责, 各Peer之间通过建立不同的通道 (Channel) 来进行信息的通信, 不同的通道内的通信规程由各自协商的不同Profile配置文件来确定。

1.2 BEEP工作原理分析

BEEP协议基本工作原理如图1示。所有的报文交换都在通道 (channel) 中进行, 每个通道都对应一个配置文件 (Profile) , 由这个配置文件集来定义通道中交换的报文的语法和语义, 并决定了该通道在应用中的具体用途, 诸如传输安全、用户认证或是数据交换。

在BEEP会话建立之初, 两个对等的BEEP端点通告对方自己所支持的配置文件, 然后在建立通道的时候, 发起方提供一个或多个期望用于建立此通道的配置文件, 如果接受方无法从中选取可接受的配置文件, 就拒绝建立通道, 否则就选取一个配置文件集并在响应报文中指出。一个BEEP会话中的所有通信发生在一个或多个信道中, 对等端之间只需要一个IP连接, 这个连接随后被多路复用以创建多个独立的信道。所有的交换都是在信道的上下文中发生的。在信息交换的过程中, 两个对等的BEEP端的所有信息交换都在通道 (Channel) 中进行。

一次会话一旦建立, Channel 0随之产生来对配置文件进行管理。它支持BEEP管理配置文件, 该配置文件用来协商多个独立通道的设置。所支持的配置文件决定具体信道中端之间的精确交互。BEEP Core中定义了BEEP信道管理配置文件和TLS传输安全配置文件和SASL (简单认证和安全层) 配置文件如图2所示。其他的用于数据交换的配置文件 (如本中使用的SYSLOG协议) 可由用户自己定义使用, 按照BEEP Core的通信规程要求将配置文件加载于BEEP框架上实现数据的安全通信。

在基于BEEP安全通信框架分析的基础上, 本文通过引入BEEP协议, 将SYSLOG应用协议和相关安全协议作为其规范中的配置文件 (Profile) 加载于BEEP框架之上来完成的Syslog日志数据的安全交互问题, 如图3所示。

2 基于BEEP的SYSLOG日志数据安全传输机制设计与实现

2.1 基于BEEP协议的SYSLOG日志安全传输框架设计

通过以上对BEEP协议的分析我们可以基于BEEP安全通信框架将SYSLOG作为BEEP的配置文件 (Profile) 引入到框架之上, 利用BEEP Core提供的通信规程以及通过协商建立安全配置文件来实现对SYSLOG日志数据传输安全性的增强, 其传输机制的框架如图4所示。

图4所描述的安全传输框架可以分为两部分:一是BEEP Core, 它用来定义在基于BEEP的对等端之间进行会话建立并进行报文交换的通信规程;二是SYSLOG应用层协议和SSL/TLS、SASL等安全协议和协议族, 其中SYSLOG协议为基于SYSLOG的客户端和服务器端采集符合Syslog格式的应用日志和系统日志数据, 而SSL/TLS和SASL协议族为基于BEEP的SYSLOG的客户端和服务器端提供传输过程中的机密性、完整性和不可否认性等安全保障。

2.2 基于BEEP协议的Syslog日志数据安全传输机制的实现

基于BEEP协议建立的Syslog日志数据安全传输机制的实现流程如图5所示。其中生成日志数据的客户端主动向服务器发起连接请求, 并提供其支持的配置文件 (Profile) , 主要用来提供加密和进行认证;服务器端则会根据自己所支持的配置文件进行判断, 如果能够提供相同的配置文件支持, 则会响应这个请求。客户端收到响应后, 则会在双方协商好的传输通道中进行数据的传输。数据在传输过程中, 程序会调用双方协商好的配置文件对数据进行加密;同时根据配置文件中对认证配置文件的协商进行通信双方的身份认证等操作。当数据传送完毕时, 客户端会向服务器端发送NULL息表示消息已发送完毕, 此时通信双方可以通过发送CLOSE消息提出结束本次会话的请求, 或发起一个新的会话。

基于BEEP的SYSLOG客户端代码如图6所示。

基于BEEP的SYSLOG服务器端代码如图7所示。

2.3 BEEP机制实现

SYSLOG分级日志数据的安全传输机制是建立在BEEP机制己实现基础之上的, 本文通过调用beepcore-c函数库中的API, 来实现基于BEEP的通信。

实现BEEP的步骤以及其主要库函数表述如下:

2.4 SYSLOG Profile的实现

SYSLOG Profile是建立在上述BEEP通信框架基础之上的其架构如图8所示, 通过调用beepcore-c函数库中API来实现Syslog日志数据的安全传输的。

SYSLOG Profile实现用到的主要函数如下。

3 基于B E E P框架建立的SY SL O G安全传输机制评估

基于B E E P的SY SL O G安全传输机制安全性能分析:

(1) 基于B E E P的通信传输机制提高了安全性, 采用T CP协议提高面向连接的服务, 避免了数据的丢失和无序性;协商数据加密算法, 可以实现数据的安全性;协商认证协议, 使通信双方的身份得以确认。

(2) 基于B E E P的通信传输机制, 在B E E P的多通道机制可以实现Sy slog分级日志数据的传输的同时也可以按不同的安全需求对不同服务及的Sy slog分级日志数据分强度进行可定制安全保障。例如基于Sy slog的高服务级的数据可以在安全协商安全策略的过程中考虑数据机密性、完整性、不可否认等属性而基于Sy slog的低服务级的数据则只需要在协商安全策略的过程中采用明文进行对数据的发送等。

本文所提出的安全通信框架具有以下特点:

(1) 可靠传输SY SL O G建立在B E E P之上, 而B E E P又是建立在面向连接的可靠的传输协议 (T CP) 之上的, 增强了数据传输的可靠性;

(2) 高效传输基于B E E P框架提供的多通道机制可以为Sy slog不同服务级别 (Servity) 的日志数据实现分类传输和分敏感级进行安全保护;

(3) 安全、可靠性高通过B E E P的安全配置文件协议可以为SY SL O G提供诸如身份认证、机密性、消息完整性等安全保证;

(4) 自定制能力强基于B E E P建立的安全传输框架, 其安全配置的灵活性高、用户的自定制能力强。

4 结束语

本文基于传统SY SL O G协议在安全传输机制上存在的不足, 通过引入B E E P协议并将SY SL O G应用作为B E E P配置文件引入其中, 利用B E E P Core的通信规程和安全配置协商机制实现了对SY SL O G安全传输机制的增强。下一步在此设计基础之上, 将考虑如何将B E E P协议与SY SL O G协议进行集成生成一个新的安全SY SL O G协议。

参考文献

[1]The syslog Protocol.draft-ietf-syslog-protocol-15[S].2005.

[2]Marsball T.Rose.BEEP权威 (英文影印版) .2002.

[3]Reliable Delivery for Syslog Rfc3195.http://.ietf.org, 2001.

日志安全 篇10

本文使用集中管理的方式对企业学校所有上线的服务器进行监控, 对服务器所产生的日志大数据进行统一分析回溯。

在日常的运维中, 可能只有几G或者上百G的日志, 当出现攻击行为时, 利用服务器自带的命令就可以进行分析。但是, 第一, 这些都是偏向事后分析。第二, 安全是一个整体, 针对大规模的DDOS攻击最好的方法是让已方已经线上的系统全部屏蔽攻击者的ip。

1 需求与解决方案

现阶段来讲, 一个企业的线上系统少则数个多则不可计数。如果将这些系统的日志统一起来, 每天的日志量上亿或者上十几亿都有可能。无论是提高性能、收集商业情报还是检测安全威胁, 日志管理可以归结为三个步骤:收集日志、存储数据和分析数据来发现模式。然而, 虽然收集和分析日志数据是企业确定的关键安全控制点之一, 是大多数企业并没有。

系统总体框架。大数据时代给我们带来了很多针对大量数据处理的方案比如hive (离线分析) , storm (实时分析框架) , impala (实时计算引擎) , haddop (分布式计算) , 以及hbase, spark。

2 数据搜集

2.1 日志基本处理

在web应用发展的最开始的时候, 存在纯文本的内容, 但是伴随着互联网技术的不断发展, 目前web应用的内容和业务已经今非昔比。网页中除了单纯的文字以外, 还有其他丰富的资源, 比如音频, 视频 (流媒体) , 图像等。而当使用者使用浏览器访问网页的时候, web系统会根据受到请求的资源记录下多条日志。

2.2 日志标准

标准的web日志是纯文本格式, 对应与浏览器对web服务器上资源的一次访问。

典型的日志格式包括客户端地址、访问日期、访问时间、访问方法、访问目标、使用协议、结果状态等等。这里以现在常见的nginx和Apache为例。

(1) nginx的日志规则有如下:

log_format combined '$remote_addr - $remote_user[$time_local]''"$request"$status$body_bytes_sent''"$http_referer" "$http_user_agent"';

其中对于恶意攻击日志, 主要分析$request、$status、$body_bytes_sent、$http_user_anent等关键字。

(2) Apache的日志规则如下:

'%h' '%l' '%u' '%t' '%r' '%>s' '%b' '%{Referer}i''%{User-Agent}i'

其中对于恶意攻击日志, 主要分析'%>s'、'%{Referer}i'、'%r'、'%h'等关键字。

2.3 日志分析方法

通过格式化整理工作, 拥护了大量数据后, 我们需要针对获取到的数据进行分析。

对于基本的过滤, 我们主要关注两个方面, 其一疑似成功的入侵, 其二不成功的入侵。而这些都是可以通过日志判断的。

对于疑似成功的入侵我们需要关注的有:

http状态码:200 500等等

对于疑似不成功的入侵我们关注的有:

http状态码:403 404 502 301

2.4 规则制定

通过规则制定, 可以结合攻防经验加之前分析过程中发现的问题整理成为规则, 加到storm实时分析job中, 来发现攻击行为, 将攻击行为入库, 发现的多少, 完全取决于规则的多少与精准, 包括正则的编写, 规则的制定等等。

Storm规则捕获:

在Storm里的实现方式有很多种, 比如通过正则表达式匹配关键字, 比如:phpinfo。

Storm里的数据流向是通过storm发送到Kafka topic, 我们可以通过tupple收到接收的数据, 同时将数据做预处理。

这个部分storm是使用prepare来做预处理, 这里可以将正则表达式写入到prepare里。而有了数据的预处理后, 需要执行搜索, 正则表达式的逻辑就是, 非黑即白, 有就匹配没有就忽略, 这里同时忽略大小写 (/i) 。

Storm使用execute来做执行层的逻辑判断, 通过匹配tupple里是否包含Phpinfo, 如果是则显示已找到phpinfo, 如果不是则不会返回结果。

3 日志搜集中需要注意的事项

3.1 可靠性

节点出现故障时候, 日志能够被传送到其他节点上而不不会丢失。Flume提供了三种级别的可靠性保障, 从强到弱依次分别为:end-to-end, Store on failure, Best effort。

3.2 可扩展性

Flume采用了三层架构, 分别为agent, collector和storage, 每一层均可以水平扩展。其中, 所有agent和collector由master统一管理, 这使得系统容易监控和维护, 且master允许有多个 (使用Zoo Keeper进行管理和负载均衡) , 这就避免了单点故障问题。

3.3 可管理性

所有agent和colletor由master统一管理, 这使得系统便于维护。多master情况, Flume利用Zoo Keeper和gossip, 保证动态配置数据的一致性。用户可以在master上查看各个数据源或者数据流执行情况, 且可以对各个数据源配置和动态加载。Flume提供了web和shell script command两种形式对数据流进行管理。

3.4 日志搜集部署

1集群上的每台机器上安装flume

2一个或多个节点当做master

3改静态配置文件

4至少一台机器上启动一个master, 所有节点启动flumenode

5动态配置

3.5 可能出现的问题

上述节点有如下几类:master、agent、collector、storage, 针对每类节点我们看一下高可用和有没有可能引起性能瓶颈问题。

4 web 日志结构

在上文, 已经介绍了常见的服务器日志规范 (nginx和Apache) , 这里再着重说一下Web日志的结构, 以及分析的规范。

从目前的主流Web服务器支持的日志类型来看, 常见的有两类:

Apache采用的NCSA日志格式。其中, NCSA日志格式又分为NCSA普通日志格式 (CLF) 和NCSA扩展日志格式 (ECLF) 两类, 具体使用哪一种可以在Web服务器配置文件中定义。Apache也支持自定义日志格式, 用户可以在配置文件中自定义日志格式, 如在Apache中可以通过修改httpd.conf配置文件来实现。

Apache规定了四种日志类型错误日志、访问日志、传输日志、Cookie日志。其中传输日志和Cookie日志已经被Apache2.0认为已经过时。所以本文仅仅讨论错误日志和访问日志。同时错误日志和访问日志被Apache2.0默认设置。

错误日志包含:获取无效链接、获取CGI错误、获取用户认证错误。

访问日志包含:访问服务器的远程机器的地址、浏览者访问的资源、浏览者的浏览时间、浏览者使用的浏览器。

5 日志预警分析

据已征进行分析和拦截, 在针对服务器的各种监控系统中, 有的是以中间件的形式存在的, 而这其中也是利弊参有的规则和特半。而伴随着各种新型的安全攻击出现, 安全防护设备并不能完全能够让服务器管理员高枕无忧, 针对各种可能出现的安全威胁, 需要管理员在防护的基础上能够发现一些新的情况和问题, 更好的把握服务器中可能会出现的安全状况, 能够及时做出相应的防护处理。本系统的目标是通过对安全日志进行分析, 通过链接服务器面临的各种安全威胁以及目前的安全状态。

5.1 分析提炼

检查结果写入数据库 (Mysql) , 通过数据库查询方式将日志筛选, 提炼出攻击时间, 攻击ip, 攻击次数, ip来源归属地以及每一天有那些时间段攻击最多。

判断攻击者的技术能力, 是否是常客, 以及作案动机是什么, 但比较悲观的是及时分析了这些, 对于攻击行为还是需要采取一定的行为, 比如把前top20提取出来屏蔽掉。

其次, 就是攻击行为是否可进一步分析?如果只是这样分析人人都会发现, 需要将这些数据结合漏洞来分析, 比如近期爆出的shellshocke漏洞 (CVE-2014-6271) 是否能发现?经过一段时间的分析是可以分析出一个趋势的。

5.2 确认分析范围

我们所有的分析都是从安全的角度来进行的, 比如通过对user_agent的分析 (以nginx为例) , 对于awvs这款扫描器不能修改user_agent。我们可以采集出常用的awvs的user_agent讲其写入到规则中。

再比如, 常见攻击者喜欢的"zip"、"bak"等等备份文件, 一经发现立刻切断链接。

5.3 分析思路

(1) 首先确认受到攻击、入侵的时间范围, 以此为线索, 查找这个时间范围内可疑的日志, 进一步排查, 最终确定攻击者, 还原过程。

(2) 一般攻击者在入侵网站后, 通常会上传一个后门文件, 以方便自己以后访问, 我们也可以以该文件为线索来展开分析。

(3) 数据库层面的压力比较大, 使用Mysql对于千万级别的数据库查询有点不太适合, 后续会考虑hbase等来处理。贝叶斯算法来对历史数据进行评分及策略调整。

参考文献

[1]钱秀槟, 李锦川, 方星.信息安全事件定位中的Web日志分析方法[J].信息网络安全.2010 (06) .

[2]梁文员.分布式Web安全监控系统的设计与实现[D].中南大学, 2013.

世博礼宾日志(续一) 篇11

7月4日,卢旺达国家馆日。卢旺达总理贝纳尔·马库扎出席馆日活动。

官方仪式时,我和坐在身边的一名男士攀谈起来。他是乌干达旅游局的官员,第一次来到中国,上海大都市的繁华与现代化给他留下了深刻印象。他问我:“上海有Village吗?”我以为他说的是度假村,便毫不犹豫地回答:“有许多。”只见他满脸疑惑,又追问了一句:“真的有rural areas吗?”我这才明白他说的是“村庄”的意思。我告诉他:“在我儿时,上海郊区确实有很多村庄,但现在近郊基本没有村庄了。”对上海城市化的发展速度,他赞叹良久。令人惊喜的是,当天下午参观完卢旺达馆后,总理一行前往乌干达馆的时候,我隐约感到乌干达馆馆长的背影很熟悉,等他转过身来,我才发现居然就是上午的那位先生!见到我时,他也立刻认出了我,和我热情地握手:“Hi, my friend!”

卢旺达馆和乌干达馆,都位于上海世博会最大的联合馆——非洲联合馆内。展馆外立面的图案设计具有鲜明的非洲元素和特征:繁茂葱郁的非洲树木、沙漠、非洲特有的动物和建筑物,共同勾勒出非洲大陆自然而具有多样性的风貌,象征着古老又充满生机的非洲大陆。代表团一行走进联合馆后,浓浓的非洲风情扑面而来——人类共同的母亲“露西”正咧着她那厚厚的嘴唇,展示着“非洲的微笑”。广播里也用中、英、法三国语言反复播送:“今天是我们43个国家馆之一的卢旺达国家馆日,欢迎各位贵宾来参加我们的活动。”似乎在时刻提醒游人要享受今天这个节日。

43个国家和非洲联盟入驻非洲联合馆,这是历届世博会上数量最多的一次。除了44个独立展馆外,馆内还建了个“非洲集市”,每个参展国都有一个售卖点,游客们可以寻获来自非洲本土的艺术品。视觉、味觉、触觉、听觉、动感在这里汇集,让参观者全方位地互动,感受到生机和活力,亲身体验非洲的质朴和纯真,自始自终沉浸在浓浓的非洲氛围里。

7月8日的加纳国家馆日,同样也是一场“非洲风情秀”。这一天,加纳贸易工业部长汉娜·特塔赫女士率代表团出席馆日活动。

加纳人杰地灵,联合国前秘书长科菲·安南就是加纳人。而加纳首任总统恩克鲁玛的思想影响了整整一代非洲人,他不仅是加纳共和国的缔造者,也是非洲民族解放运动的先驱。恩克鲁玛一生奉行和平中立和不结盟政策,积极支持非洲民族独立运动,提倡非洲统一。1957年加纳的独立,也宣告了20世纪第一个非洲黑人独立国家的诞生,掀开了非洲历史新的一页。

下午到非洲联合馆巡馆时,加纳馆的现场工作人员在不停地散发小册子,内容多是“到加纳投资指南”、“如何到加纳投资”。发放小册子的工作人员看到我,向我挥手,走近后,他微笑着把小册子塞给我。待我转了一圈回来,另一位工作人员又朝我挥挥手,出于礼貌,我走上前去,他又塞给我一本小册子。一下子被塞了两本小册子,看来我还颇有一副“商人相”。

加纳素有“可可之乡”的美誉,是世界最大的可可生产国和出口国。据说,世界上每三块巧克力糖中就有一块是用加纳的可可制成的。当加纳馆的工作人员送我小册子的同时,自然也不忘推介一下本国的巧克力。当我看到一盘颜色鲜艳的食品,便问:“这是什么?”对方非常热情地回答:“当然是巧克力!来尝尝我们加纳的巧克力吧!”他一边说着,一边剥开一颗,让我品尝。巧克力味道偏甜,但这颗饱蘸着加纳人热忱、率真和友谊的巧克力于我而言还是别有一番滋味的。

这股滋味还未淡去,短短几天之后,便再一次迎来了“非洲盛典”——7月14日,刚刚与中国建交两年多的马拉维迎来馆日活动,马拉维旅游、野生动物与文化部长安娜·卡奇科率团出席。

从马方外交官那里了解到,虽然中马建交仅两年多,但两国关系发展已取得长足进步。现在马拉维有5000多名中国人,有做劳务输出的,也有做产业投资的。但是马拉维人觉得,5000人太少了!所以他们正在努力推介本国良好的投资环境,希望中国的企业、商人多去那里投资。部长女士说:“我们马拉维人民天性善良,乐于助人,也非常好学,而中国人历来以智慧和勤劳著称,马拉维人可以从中国人身上学到很多东西。”

官方仪式结束后,一个马拉维国家级舞蹈团进行了民族艺术表演。我第一次非常用心地欣赏起非洲大陆的艺术表现形式来。舞台上站着三个壮小伙,他们以手掌击鼓,鼓分两种,一种是夹在两腿中间,另一种则挂在腰间。三个小伙演奏每首曲子都要把三面鼓轮换一次。在撤哈拉以南的非洲,最重要的乐器可能就是鼓了。非洲音乐中,节奏是主导者,一个好的鼓手会受到格外的尊敬。这三个小伙子就让我见识了非洲鼓点的变幻与多彩——虽然只是三面鼓,但每一首曲子的韵律都有差别。

伴随着三名鼓手的激昂鼓点,四对男女舞者在台前动感十足地摆动起来。演员们对服装做了精心准备,第一套服装是非洲风情的花布衣服,有几分“原生态”的味道;第二套是衬衫、西裤、小领带,非常富有时尚感;第三次出场,穿的是军人服装,据说这种舞蹈是由退役军人根据阅兵动作创作的——马拉维人可真是“无意不可舞,无事不可舞”。此外,他们还喜欢用口哨来做伴奏。他们一边表演,一边口中念念有词:“马拉维是个美丽的国家”、“马拉维欢迎你”。

最后,他们戴上黑色木质面具,身扎彩色布条,跳起了一种好似占卜师作法的舞蹈,颇有几分图腾崇拜的意味。常听人们说,非洲人的生活和音乐密不可分,他们的生老病死、婚丧典礼,乃至巫师治病、祈福求雨都和音乐息息相关。所以非洲的音乐就成了一种多样化的表演,经常是音乐结合舞蹈,舞蹈结合面具,面具结合巫术。可想而知,这样的艺术形态,互动性很强,部长女士也一时兴起,走上舞台,跟舞者们一起舞动起来。

下午参观了马拉维馆。它占地面积并不大,整个馆是以马拉维国旗的黑、红、绿三色为主色调。一进门是个大屏幕,里面放映着马拉维的简介短片,旁边有一些招贴画,展示着马拉维广袤的森林和草原。馆中间有一个鱼缸,养的是远道而来的马拉维湖特产——慈鲷鱼。旁边还有一个小池子,工作人员说这象征着马拉维湖。马拉维湖是非洲第三大湖、世界第四深湖,和纵贯马拉维全境的东非大裂谷一样,都是马拉维的骄傲。“马拉维”的国名就源自马拉维湖,仅这一湖之水,就占了国土面积的1/3,也正是因这一泊湖水,马拉维的气候变得温润,几乎四季如春。

据说,马拉维湖还是一个神奇的湖泊。有的时候,湖水会按时消退,直至出现浅滩才罢休。然而只要“休息”上四个小时,湖水便会渐渐恢复丰盈,傍晚湖水又会不安分地四处漫溢,直到夜里,马拉维湖才最终风平浪静。这种涨落有序的奇特现象至今都是一个让科学家和地理学家执着破解的谜题。

拉美风情篇

7月16日,是上海出梅前的最后一个雨天,从早晨开始,天空就淅淅沥沥地下起了雨。由于昨夜在机场送机,一直工作到凌晨两点半,身体略感疲惫,但是,一接触到活力四射的拉美风情,我就感觉立刻被注入了活力。

哥伦比亚馆的外墙以蝴蝶作装饰,还没进馆,一股热带风情就扑面而来,而进门之后,咖啡的香浓又令人陶醉——在这里可以品尝到正宗的哥伦比亚咖啡,喝完一口,确实满口留香,名不虚传!

据说,哥伦比亚这次参加世博会,带来了三件“国宝”,其一就是咖啡。咖啡是哥伦比亚一张独具特色的名片,哥伦比亚每年咖啡的出口就占到了出口总额的一半。哥伦比亚历史上就是以生产咖啡为主的农业国,号称拥有世界上最好的软咖啡。

如果说咖啡尚有巴西可与哥伦比亚匹敌,那么提起绿宝石,哥伦比亚就是当仁不让的世界冠军了,甚至有人说,哥伦比亚就是顶级祖母绿的代名词。哥伦比亚馆内的“第二宝”就是摆在展柜里熠熠生辉的绿宝石了。

除了咖啡、绿宝石等特产,馆内还展示了一些相当有特色的展品,比如当地的帽子,居然是可以折叠的。他们用一条钢丝圈做帽子的骨架,当帽子折叠起来时,只有巴掌大,但是打开后,就是一顶拉美风情的大沿儿帽了。我忽然想到,哥伦比亚的国徽上就有一顶象征自由和解放的“自由之帽”,不知道哥伦比亚人和帽子有多深的不解之缘。

哥伦比亚的“第三宝”自然就是拉丁音乐了,而这,也是当天最令我印象深刻的活动。

当晚,曾在2006年得过格莱美奖的哥伦比亚艺术家丰塞卡在世博中心红厅内举行了一场名为“哥伦比亚的感觉”的音乐会。丰塞卡一身黑色的衬衫、长裤,背着一把褐色的吉他,很有大牌风范。音乐乍一响起,台下就有三三两两的女观众站起身来想随乐起舞,但周围无人响应,她们只得坐下。仅隔了几秒,又按捺不住激情地站了起来。如此反复了数次后,终于在场的拉美人几乎全都站立起来,挤到舞台前。狭小的空间里,人头攒动,至少有上百人!台上的歌手唱得声情并茂,台下的歌迷们则是手舞足蹈。自始至终一个半小时,全场歌迷舞动着,和唱着,现场气氛一直处于沸腾状态。

在演唱会中间,一名在沪工作的哥伦比亚人和我攀谈起来。我问他:“现在台上的是你们哥伦比亚非常著名的歌手吧?”他说:“NO!他不只是在哥伦比亚,而是在整个南美都非常著名!”后来我才知道,丰塞卡2002年推出了他的首张专辑,到2006年就已经家喻户晓,实现“双白金”销量了。他把流行音乐和哥伦比亚的传统音乐进行融合,在哥伦比亚国内,他的演唱会总是一票难求。看到很多中国观众也被丰塞卡的歌曲感染,随着节奏舞动起来,我不禁感慨:世博会真是一个可以跨越距离、让各种艺术相互交融的大舞台!

如果说哥伦比亚馆日让人领略到了拉美大陆的富饶与奔放,那么加勒比共同体日,则使人感受到了激情洋溢的海岛风情。

7月17日,加勒比共同体的14个成员国共同举办馆日活动。

加共体是加勒比地区的重要经济组织,成立于1973年。自成立以来,为加勒比地区消除贫困、促进社会经济进步做出了卓有成效的成绩。今年年初的海地地震,将负责世博会事务的海地工商部大楼震塌,多名工作人员丧生,然而很快,加共体秘书处就派员协调,从而推进了海地参展上海世博会的工作。现在,海地的展馆也和其他成员国的展馆一同矗立在加勒比共同体联合馆内。

今天的升旗仪式有所不同。以往升旗仪式都是“升国旗、奏国歌”,但今天是“升旗、奏乐”。

先说“升旗”,因为有14个国家,不可能升14面国旗,所以升的是加共体的旗帜,旗帜上两个大C,代表“Caribbean Community”;再说“奏乐”,我们的军乐团突然演奏起加勒比海滩风情的鼓点,而且几乎没用其他的乐器,全部是用鼓点,那节奏听了使人有翩翩起舞的冲动!这段音乐持续了足足一分钟。当鼓声响起的瞬间,很多人都向军乐团投去了惊喜的目光。

事后我特意请教了世博局官员。原来,在筹备过程中,演奏乐曲的曲目成为了一个棘手的问题。首先,奏一国国歌势必不行,奏全部国家的国歌也行不通。于是有人提议演奏上海世博会会歌,起初加共体方面接受了这个建议,但随后外方希望更换曲目。外方提出可依据加勒比共同体国家的特点和风俗,自行编曲一首。临“危”受命的军乐队不负众望,接到任务后,将加共体国家的音乐曲风一一研究,在规定时限内准时完成了编曲,当把乐曲小样试放给加共体官员时,外方代表一致叫好!

赠礼的时候,中方主人、上海市委书记俞正声向客人们介绍青花瓷瓶上绘制的上海景观,圭亚那总统贾格迪奥立刻幽默地问:“这还是现在的景色吗?你们上海发展得太快啦,这会不会已经成为过去时了?”

当晚,世博中心红厅举办了一场有着浓郁加勒比风情的文艺演出。表演内容非常丰富,其中巴巴多斯的林波舞给我留下了最难忘的印象。这种舞蹈的特点就是舞者要向后仰着跳舞——面前摆着杆子,舞者就后仰着从这根杆子下面穿过。表演的难度非常大,第一次的难度完全是热身,杆子只放到舞者的肩,第二次的位置在腰部,第三次是到大腿位置,最后一次最难,杆子放低到了小腿的中间,舞者整个人后仰着“蹲”下去,身体与地面平行,是贴着杆子“滑”过去的,整个过程中,她还要伴随着旋律跳舞!对于这一系列比杂技还难的舞蹈动作,全场观众掌声雷动,喝彩声四起。

在演出后的招待会上,我遇到了多位上海外办的联络员,她们大部分是年轻的女孩。虽然已经晚上十点多了,为接待代表团而忙碌了多日的她们依旧神采奕奕。有个女孩手持一台宝丽来快速成相相机,其余几个女孩都争先恐后地上前摆Pose照相,瞧那一脸的兴奋劲儿,颇有过节的感觉!

我忽然发现,世博会其实就是在让人愉快地工作着、享受着。如同受到了better city, better life的感召,虽然工作很累,很辛苦,但每个人的情绪都特别高昂,有一种发自内心的精神愉悦。

浅谈日志文件 篇12

JFS体系结构可从磁盘布局特性的角度进行说明。

(1) 逻辑卷

所有文件系统讨论的基础是某种类型的逻辑卷。这可以是一个物理磁盘, 或物理磁盘空间的某个子集, 例如:一个FDISK分区。逻辑卷也称为磁盘分区。

聚集和文件集

文件系统创建实用程序mkfs, 创建了完全包含在分区内的聚集。聚集是包含一种特定格式的磁盘块阵列, 其格式包括超级块和分配映射表。超级块将分区标识成JFS聚集, 而分配映射表描述聚集内每个数据块的分配状态。格式还包括描述它所必需的初始文件集和控制结构。文件集是可安装的实体。

(2) 文件、目录、inode与寻址结构

文件集包含文件和目录。文件和目录由inode持续表示;每个inode描述文件或目录的属性, 并作为查找磁盘上文件或目录数据的起始点。JFS还使用inode来表示其它文件系统对象, 如描述文件集中每个inode的分配状态和磁盘位置的映射表。

目录将用户特定的名称映射到为文件和目录所分配的inode上, 并且形成传统的命名层次。文件包含用户数据, 用户数据中没有隐含任何限制或格式。也就是说, JFS将用户数据看成是未解释的字节流。根植于inode基于盘区的寻址结构用来将文件数据映射到磁盘。聚集超级块和磁盘分配映射表、文件描述符和inode映射表、inode、目录以及寻址结构一起表示了JFS控制结构或元数据。

(3) 日志

在每个聚集中维护JFS日志, 并且用来记录元数据的操作信息。日志有一种同样由文件系统创

实用程序设置的格式。聚集内多个安装的文件集可以同时使用一个日志。

2 设计特性

JFS从一开始就设计成完全集成了日志记录, 而不是在现有文件系统上添加日志记录。JFS的许多特性使之区别于其它文件系统。

(1) 日志处理

JFS提供了改进的结构化一致性和可恢复性, 以及比非日志文件系统 (例如:HPFS、ext2和传统UNIX文件系统) 快得多的系统重启时间。发生系统故障时非日志文件系统容易崩溃, 是由于一个逻辑写文件操作通常占用多个媒体I/O来完成, 且在任何给定时间, 可能没有完全反映在媒体上。这些文件系统依靠重启实用程序 (也就是fsck) , fsck检查文件系统的所有元数据 (例如:目录和磁盘寻址结构) 以检测和修复结构完整性问题。这是一个耗时并且容易出错的过程, 在最糟糕的情况下, 它还可能丢失或放错数据。

相反, JFS使用原来为数据库开发的技术, 记录了文件系统元数据上执行的操作 (即原子事务) 信息。如果发生系统故障, 可通过重放日志并对适当的事务应用日志记录, 来使文件系统恢复到一致状态。由于重放实用程序只需检查文件系统最近活动所产生的运行记录, 而不是检查所有文件系统的元数据, 因此, 与这种基于日志的方法相关的文件系统恢复时间要快得多。

基于日志恢复的其它几个方面也值得注意。首先, JFS只记录元数据上的操作, 因此, 重放这些日志只能恢复文件系统中结构关系和资源分配状态的一致性。它没有记录文件数据, 也没有将这些数据恢复到一致状态。因此, 恢复后某些文件数据可能丢失或失效, 对数据一致性有关键性需求的用户应该使用同步I/O。面对媒体出错, 日志记录不是特别有效。特别地, 在将日志或元数据写入磁盘的期间发生的I/O错误, 意味着在系统崩溃后, 要将文件系统恢复到一致状态, 需要耗时并且有可能强加的全面完整性检查。这暗示着, 坏块重定位是任何驻留在JFS下的存储管理器或设备的一个关键特性。JFS日志记录的语义如下:当涉及元数据更改的文件系统操作--例如, unlink () --返回成功执行的返回码时, 操作的结果已经提交到文件系统, 即使系统崩溃了也可以发现。例如, 一旦成功删除了文件, 即使系统崩溃然后重启, 它仍然是删除的并且不会再重新出现。

日志记录风格将同步写入日志磁盘引入每个修改元数据的inode或vfs操作。 (对数据库专家而言, 这是一种使用非剥夺缓冲区策略的仅重做的、物理残留映象、提前写的日志记录协议。) 在性能方面, 与依赖 (多个) 谨慎的同步元数据写操作以获得一致性的许多非日志文件系统相比, 这种方法较好。但是, 与其它日志文件系统相比, 它在性能上处于劣势。其它日志文件系统, 如Veritas VxFS和Transarc Episode, 使用不同的日志风格并且缓慢地将日志数据写入磁盘。在执行多个并行操作的服务器环境中, 通过将多个同步写操作组合成单一写操作的组提交来减少这种性能损失。JFS日志记录风格随着时间推移而得到不断改进, 现在提供了异步日志记录, 异步日志记录提高了文件系统的性能。

(2) 基于盘区的寻址结构

JFS使用基于盘区的寻址结构, 连同主动的块分配策略, 产生紧凑、高效、可伸缩的结构, 以将文件中的逻辑偏移量映射成磁盘上的物理地址。盘区是象一个单元那样分配给文件的相连块序列, 可用一个由<逻辑偏移量, 长度, 物理地址>组成的三元组来描述。寻址结构是一棵B+树, 该树由盘区描述符 (上面提到的三元组) 填充, 根在inode中, 键为文件中的逻辑偏移量。可变的块尺寸。按文件系统分, JFS支持512、1024、2048和4096字节的块尺寸, 以允许用户根据应用环境优化空间利用率。较小的块尺寸减少了文件和目录中内部存储碎片的数量, 空间利用率更高。但是, 小块可能会增加路径长度, 与使用大的块尺寸相比, 小块的块分配活动可能更频繁发生。因为服务器系统通常主要考虑的是性能, 而不是空间利用率, 所以缺省块尺寸为4096字节。

(3) 动态磁盘inode分配

JFS按需为磁盘inode动态地分配空间, 同时释放不再需要的空间。这一支持避开了在文件系统创建期间, 为磁盘inode保留固定数量空间的传统方法, 因此用户不再需要估计文件系统包含的文件和目录最大数目。另外, 这一支持使磁盘inode与固定磁盘位置分离。

摘要：随着互联网技术的飞速发展与日渐成熟, 安全问题越来越被人们所重视。由于普通的文件系统在处理网络问题时总是力不从心且漏洞百出, 人们开发出了JFS这种文件系统。它自身的优点已经得到人们的普遍欢迎, 并被广泛应用于军事, 经济, 社会公共领域。

关键词：日志文件系统,日志文件

参考文献

[1]Netra NFS SmartServe1.3User’s Manual, [USA]Weather SpoonSun Microsystems.

[2]周巍松.Linux系统分析与高级编程技术

[3][美]Arman Danesh, Michael.Red Hat Linux7从入门到精通