【正文】 以通過ftp備份到遠(yuǎn)程服務(wù)器，也可以備份到掛載磁盤中。 系統(tǒng)架構(gòu)數(shù)據(jù)庫審計(jì)系統(tǒng)分為后臺和前臺兩個部分，后臺程序的用途有：l 抓取網(wǎng)絡(luò)包l 協(xié)議解析l 分析SQL語義l 匹配審計(jì)規(guī)則前臺提供對后臺程序的管理，以及上一節(jié)分析的所有功能。前后臺通過數(shù)據(jù)庫和Shell進(jìn)行通信。本論文主要關(guān)注前臺系統(tǒng)的設(shè)計(jì)與開發(fā)，以及數(shù)據(jù)庫和shell腳本的開發(fā)。數(shù)據(jù)庫Shell數(shù)據(jù)包抓取器協(xié)議解析器分析器數(shù)據(jù)庫評估備份與歸檔系統(tǒng)配置審計(jì)規(guī)則配置審計(jì)與監(jiān)控報警與風(fēng)險入侵檢測配置統(tǒng)計(jì)報告審計(jì)日志管理訪問控制軟件授權(quán) 系統(tǒng)框架圖 系統(tǒng)組織結(jié)構(gòu)圖 數(shù)據(jù)庫設(shè)計(jì)審計(jì)系統(tǒng)使用數(shù)據(jù)庫作為相關(guān)數(shù)據(jù)的存儲方式。在審計(jì)系統(tǒng)的運(yùn)行過程中，審計(jì)策略和審計(jì)規(guī)則、數(shù)據(jù)庫定義、審計(jì)事件記錄、用戶信息、權(quán)限信息等數(shù)據(jù)都通過數(shù)據(jù)庫進(jìn)行存儲。后臺程序從數(shù)據(jù)庫中讀取配置信息、審計(jì)規(guī)則等信息對被審計(jì)數(shù)據(jù)庫進(jìn)行監(jiān)控和分析，并將監(jiān)控到的數(shù)據(jù)庫事件記錄到數(shù)據(jù)庫中。系統(tǒng)前臺通過讀取數(shù)據(jù)庫中的記錄對數(shù)據(jù)庫事件進(jìn)行審計(jì)，統(tǒng)計(jì)并分析數(shù)據(jù)庫訪問的情況。因此，在本系統(tǒng)中數(shù)據(jù)庫也是前后臺程序進(jìn)行通信的重要媒介。根據(jù)系統(tǒng)的特點(diǎn)，數(shù)據(jù)庫主要按三個方面進(jìn)行設(shè)計(jì)：1）審計(jì)規(guī)則配置，2）審計(jì)結(jié)果記錄，3）用戶權(quán)限。 審計(jì)規(guī)則配置審計(jì)系統(tǒng)的規(guī)則分為入侵檢測規(guī)則和事件審計(jì)規(guī)則。針對事件審計(jì)規(guī)則，用戶可以定義審計(jì)策略，每個審計(jì)策略由一組審計(jì)規(guī)則組成。在一個審計(jì)策略中，用戶可以自定義審計(jì)規(guī)則，每個自定義規(guī)則可以審計(jì)一組數(shù)據(jù)庫對象。因此，事件審計(jì)規(guī)則有審計(jì)策略表、審計(jì)規(guī)則表、對象表和對象組、審計(jì)策略白名單表等幾個表以及其映射關(guān)系組成。入侵檢測規(guī)則分為專家?guī)煲?guī)則、系統(tǒng)分析的用戶行為模式規(guī)則和數(shù)據(jù)庫用戶權(quán)限規(guī)則三部分，因此入侵檢測規(guī)則有入侵檢測規(guī)則總表、內(nèi)置規(guī)則表、數(shù)據(jù)挖掘表和用戶權(quán)限規(guī)則表以及入侵檢測白名單表組成。 審計(jì)規(guī)則ER圖 審計(jì)事件記錄系統(tǒng)在對抓獲的數(shù)據(jù)包進(jìn)行解析后，將用戶的會話記錄記錄到會話表中。在本系統(tǒng)中，系統(tǒng)不僅會記錄數(shù)據(jù)庫操作的會話，還會記錄FTP、Telnet等遠(yuǎn)程訪問的會話信息，分別記錄到數(shù)據(jù)庫操作表和非數(shù)據(jù)庫會話表中。對于數(shù)據(jù)庫操作會話，系統(tǒng)會根據(jù)定義的審計(jì)策略檢測用戶會話的合法性和合規(guī)則性，并將符合審計(jì)規(guī)則的會話記錄到審計(jì)結(jié)果表中。 審計(jì)事件記錄相關(guān)ER圖 用戶權(quán)限設(shè)置用戶訪問權(quán)限是審計(jì)系統(tǒng)自身操作安全的最主要的保障方式之一，在本系統(tǒng)中，為了實(shí)現(xiàn)管理員、審計(jì)員和系統(tǒng)安全審計(jì)員三者三權(quán)分立，以實(shí)現(xiàn)相互監(jiān)督、相互制約的安全策略，將系統(tǒng)功能分為互不重疊的三個權(quán)限組。在本系統(tǒng)實(shí)現(xiàn)的基于角色的訪問控制系統(tǒng)中，每個角色只能擁有其中的一組權(quán)限中的子集。對于訪問控制的具體實(shí)現(xiàn)將在第5章進(jìn)行說明。 審計(jì)事件記錄相關(guān)ER圖 本章總結(jié)本章對審計(jì)系統(tǒng)的需求進(jìn)行了分析，確定了系統(tǒng)的功能模塊。根據(jù)審計(jì)系統(tǒng)的功能需求和安全需求，設(shè)計(jì)了系統(tǒng)的架構(gòu)和組織結(jié)構(gòu)。最后介紹了系統(tǒng)中用到的主要的數(shù)據(jù)庫表結(jié)構(gòu)及其邏輯關(guān)系。第4章 數(shù)據(jù)庫審計(jì)管理系統(tǒng)的界面設(shè)計(jì)數(shù)據(jù)庫審計(jì)管理系統(tǒng)是B/S結(jié)構(gòu)的系統(tǒng)管理平臺，用戶通過平臺可以定義審計(jì)規(guī)則、執(zhí)行審計(jì)任務(wù)、分析審計(jì)結(jié)果、生成審計(jì)報告等。向用戶提供設(shè)計(jì)良好的系統(tǒng)界面能夠降低用戶的視覺疲勞，提高用戶對系統(tǒng)的友好度。通過合理的頁面布局和導(dǎo)航降低用戶操作的復(fù)雜性，也可以降低用戶對系統(tǒng)的學(xué)習(xí)成本。一個操作更易上手，感覺更親切的系統(tǒng)往往更容易得到用戶的青睞。Douglas和James在《網(wǎng)站交互設(shè)計(jì)模式》[28]一書中指出，人們不再訪問一個網(wǎng)站，往往是如下原因：1） 有挫折感。系統(tǒng)的使用門檻太高，需要用戶記憶的操作太多或太繁瑣，往往使用戶在使用過程中產(chǎn)生挫折感，因而不再喜歡訪問這樣的系統(tǒng)。2） 認(rèn)為網(wǎng)站的導(dǎo)航太難用。系統(tǒng)導(dǎo)航應(yīng)該能夠使用戶隨時知道自己是在訪問系統(tǒng)的哪個模塊，并且能夠方便的帶領(lǐng)用戶到達(dá)想要訪問的地方。系統(tǒng)導(dǎo)航太難用往往會使用戶在使用系統(tǒng)時產(chǎn)生困惑。3） 認(rèn)為沒有所需要的產(chǎn)品或者服務(wù)。系統(tǒng)應(yīng)該將用戶最關(guān)心的功能或服務(wù)放在最顯眼的地方，使用戶能夠?qū)ο到y(tǒng)提供的功能一目了然。否則會給用戶造成系統(tǒng)功能不夠豐富的第一印象。4） 得到了一個不大喜歡的“大驚喜”。系統(tǒng)的設(shè)計(jì)應(yīng)該風(fēng)格統(tǒng)一，盡量接近用戶的工作習(xí)慣，過于花哨或與系統(tǒng)功能不匹配的界面容易給用戶帶來視覺疲勞。向用戶提供一些毫無用處且容易產(chǎn)生使用障礙的功能也會使用戶對系統(tǒng)失去耐心。5） 鏈接到網(wǎng)站的頁面太慢。系統(tǒng)的響應(yīng)速度不僅影響到用戶的直觀感受，而且會影響到用戶的工作效率。因此響應(yīng)過慢的系統(tǒng)最終會被用戶拋棄。Theo Mandel 在他的書中提出了界面設(shè)計(jì)的三條黃金法則[29]，這些規(guī)則在實(shí)際中成為指導(dǎo)用戶界面設(shè)計(jì)的基礎(chǔ)：l 置界面于用戶控制之下，不強(qiáng)迫用戶進(jìn)入不必要的交互模式，提供靈活的交互手段，使用戶隔離內(nèi)部技術(shù)細(xì)節(jié)l 使用戶對界面“見面知其義”，減少用戶的記憶負(fù)擔(dān)，從而降低用戶對系統(tǒng)的學(xué)習(xí)曲線。設(shè)置有意義的缺省值，頁面布局應(yīng)基于真實(shí)世界的隱喻l 保持界面的一致本章將介紹數(shù)據(jù)庫審計(jì)管理系統(tǒng)界面設(shè)計(jì)的理念和實(shí)現(xiàn)效果。 結(jié)構(gòu)設(shè)計(jì)結(jié)構(gòu)設(shè)計(jì)決定整個系統(tǒng)界面的骨架。數(shù)據(jù)庫審計(jì)系統(tǒng)是向數(shù)據(jù)庫安全用戶提供的功能性系統(tǒng)，因此界面結(jié)構(gòu)應(yīng)以功能為中心，簡單明了，避免在頁面上堆積過多的信息。界面總體結(jié)構(gòu)由三部分組成：l 系統(tǒng)導(dǎo)航欄，顯示用戶當(dāng)前正在使用的功能，用戶登錄信息等；l 功能導(dǎo)航，用戶使用具體功能的入口；l 功能操作區(qū)，用戶使用功能的操作區(qū)域。綜上，系統(tǒng)界面采用表格式布局，這樣布局的好處是整個系統(tǒng)的視覺結(jié)構(gòu)一致，系統(tǒng)導(dǎo)航欄和功能導(dǎo)航都是固定的，除了系統(tǒng)導(dǎo)航欄的當(dāng)前位置提示外，這兩部分的內(nèi)容不隨功能操作區(qū)域內(nèi)容的變化而變動，這樣給用戶提供一個統(tǒng)一的布局，使用戶可以很方便地了解自己正在使用的是什么功能，需要點(diǎn)擊哪里去進(jìn)入其他的功能模塊。在界面劃分上，界面首先采用上下結(jié)構(gòu)，上部放置系統(tǒng)的LOGO和系統(tǒng)導(dǎo)航欄。下部放置功能導(dǎo)航欄和功能顯示區(qū)。系統(tǒng)導(dǎo)航欄和功能導(dǎo)航欄分離使界面上的導(dǎo)航信息更加清晰，用戶能夠更加清楚的看到當(dāng)前狀態(tài)，更加明確的找到功能導(dǎo)航的位置。界面的下部采用左右結(jié)構(gòu)，左側(cè)是功能導(dǎo)航欄，右側(cè)是功能操作區(qū)。采用左右結(jié)構(gòu)使功能入口和功能操作的聯(lián)系更加密切。功能操作區(qū)的內(nèi)容采用AJAX技術(shù)或者IFrame加載，避免了進(jìn)入某個功能模塊時整個頁面加載。從用戶體驗(yàn)上可以達(dá)到功能模塊無縫切換的效果，使用戶在各個功能模塊之間切換時更加平滑，由于加載的頁面內(nèi)容比較少，頁面的響應(yīng)速度也會比較高。功能操作區(qū)是用戶對審計(jì)系統(tǒng)進(jìn)行操作的主要工作區(qū)域，展示區(qū)的面積應(yīng)該占到整個界面的70%80%以上。功能操作區(qū)的主要內(nèi)容有列表、查詢表單、配置表單等，因此功能展示區(qū)內(nèi)的內(nèi)容以上下結(jié)構(gòu)為主。例如在查詢頁面，既要有查詢表單，以便用戶提交查詢條件，又要有查詢結(jié)果的內(nèi)容列表。兩塊內(nèi)容放在同一個頁面上能夠減少頁面的跳轉(zhuǎn)次數(shù)，方便用戶多次查詢。這時，將查詢表單和內(nèi)容列表上下排列是比較合適的。由于查詢表單的內(nèi)容通常比列表要短很多，而且又是查詢的入口，因此放在功能展示區(qū)的上部比較符合用戶的操作習(xí)慣。當(dāng)查詢表單的內(nèi)容比較多時，要考慮對部分查詢條件實(shí)現(xiàn)隱藏/顯示的效果，使用戶更關(guān)心的查詢結(jié)果在界面的第一屏中得到更多的展示。功能操作區(qū)的內(nèi)容塊與四個邊界間適當(dāng)留白，會使操作區(qū)與導(dǎo)航區(qū)的分隔更加明顯，也會使內(nèi)容不會顯得擁擠，提高視覺效果。 界面框架圖 交互設(shè)計(jì)交互設(shè)計(jì)的目的在于使用戶更簡單、友好地與系統(tǒng)進(jìn)行交互。在交互設(shè)計(jì)中，要仔細(xì)了解用戶的行為習(xí)慣，精確描述用戶以及用戶希望達(dá)到的目的。使系統(tǒng)的功能和行為在滿足用戶期望的基礎(chǔ)上提高與用戶交互的效率和友好性。在對系統(tǒng)進(jìn)行交互設(shè)計(jì)時，可以遵循以下的準(zhǔn)則：1) 可視性2) 反饋3) 限制4) 映射5) 一致性6) 啟發(fā)性在數(shù)據(jù)庫審計(jì)管理系統(tǒng)中用戶通過功能導(dǎo)航菜單進(jìn)入功能模塊，在功能模塊中根據(jù)系統(tǒng)提示或用戶說明進(jìn)行操作。用戶與系統(tǒng)的交互主要集中在導(dǎo)航、信息提示、輸入輸出操作等過程中。在頁面框架中，系統(tǒng)導(dǎo)航欄的位置信息提示了用戶當(dāng)前所在的位置。用戶通過位置導(dǎo)航能夠清楚地知道自己所在的位置，并能夠以此決定下一步的操作。功能導(dǎo)航欄向用戶提供了進(jìn)入具體功能模塊的入口導(dǎo)航，用戶通過導(dǎo)航菜單進(jìn)入功能界面。對于復(fù)雜的功能模塊，可能是通過多個頁面組合跳轉(zhuǎn)來完成的。用戶往往需要在頁面上點(diǎn)擊多次才能到達(dá)最終頁面。良好的頁面跳轉(zhuǎn)應(yīng)該使用戶到達(dá)目的頁的點(diǎn)擊不超過3次。同時，過多的導(dǎo)航菜單會給用戶帶來繁雜的感覺，也增加了用戶尋找某個功能入口的時間。因此有效地組合、簡化導(dǎo)航菜單是有必要的。通過實(shí)踐統(tǒng)計(jì)，在界面中一級導(dǎo)航菜單不超過8個時給用戶的視覺感受要比多過8個時好得多；二級菜單在35個時更容易使用戶精確定位到需要的功能。然而，導(dǎo)航菜單的精簡必然會導(dǎo)致某些功能無法從導(dǎo)航菜單點(diǎn)擊進(jìn)入。這時，在功能組織上可以將功能相似或邏輯關(guān)系相近的功能模塊在同一個頁面中以標(biāo)簽切換的形式組織。通過響應(yīng)用戶鼠標(biāo)滑過標(biāo)簽或點(diǎn)擊標(biāo)簽的操作實(shí)現(xiàn)內(nèi)容的切換。系統(tǒng)自主學(xué)習(xí)有用戶行為模式分析和數(shù)據(jù)庫用戶權(quán)限分析兩部分內(nèi)容，系統(tǒng)需要對兩個學(xué)習(xí)內(nèi)容進(jìn)行配置。因此在導(dǎo)航菜單中通過統(tǒng)一的“自主學(xué)習(xí)配置”入口進(jìn)入配置頁面，通過頁面右上角的兩個標(biāo)簽響應(yīng)鼠標(biāo)滑過事件實(shí)現(xiàn)配置內(nèi)容的切換，即當(dāng)鼠標(biāo)滑過“行為模式”標(biāo)簽時顯示用戶行為模式分析的配置信息，當(dāng)鼠標(biāo)滑過“權(quán)限分析”標(biāo)簽時顯示數(shù)據(jù)庫用戶權(quán)限分析的配置信息。 通過標(biāo)簽實(shí)現(xiàn)頁面內(nèi)容切換信息提示是系統(tǒng)對用戶行為進(jìn)行反饋的主要方式，用戶通過信息提示判斷當(dāng)前操作的結(jié)果。在數(shù)據(jù)庫審計(jì)管理系統(tǒng)中，信息提示的方式主要有文字提示和彈出窗口兩種方式。文字提示應(yīng)用于用戶提交表單的有效性驗(yàn)證。，在用戶管理中，新添加用戶時需要判斷用戶名是否已存在，兩次輸入的密碼是否一致等。使用文字信息提示既可以讓用戶明確地注意到錯誤輸入的位置，又會省去彈出窗口時用戶必須點(diǎn)擊鼠標(biāo)關(guān)閉窗口的操作。這會使用戶的輸入更加順暢。彈出窗口提示大多出現(xiàn)在必須通過用戶響應(yīng)才能進(jìn)行下一步操作，或者需要更加醒目的提示用戶注意時使用。 文字信息提示 視覺設(shè)計(jì)視覺設(shè)計(jì)主要考慮的是界面的顏色、字體、圖片等，以使用戶賞心悅目。出眾的用戶界面往往具有與系統(tǒng)內(nèi)容相匹配的色彩和字體，配以適當(dāng)?shù)膱D片，使用戶從視覺上就能夠了解系統(tǒng)的功能，是視覺設(shè)計(jì)需要達(dá)到的目標(biāo)。數(shù)據(jù)庫審計(jì)系統(tǒng)是數(shù)據(jù)安全管理軟件的一種，因此系統(tǒng)的總體顏色風(fēng)格應(yīng)偏重于穩(wěn)重、嚴(yán)肅。在界面設(shè)計(jì)中我們采用藍(lán)色作為系統(tǒng)的主色調(diào)，配以淺灰、白色等輔助顏色達(dá)到頁面的整體嚴(yán)謹(jǐn)?shù)男Ч?。?shù)據(jù)分析和統(tǒng)計(jì)是審計(jì)系統(tǒng)的一個主要功能，如何讓用戶對被審計(jì)數(shù)據(jù)庫的運(yùn)行狀態(tài)一目了然也是視覺設(shè)計(jì)中要考慮的問題。目前，對數(shù)據(jù)統(tǒng)計(jì)的表達(dá)方式主要是通過圖表的方式，根據(jù)數(shù)據(jù)源的不同，可以向用戶提供峰值圖、柱狀圖、餅圖等多種圖表。用戶通過圖表可以對數(shù)據(jù)產(chǎn)生更加直觀的了解。Open Flash Chart是一款開源的生成圖表的插件，F(xiàn)lash格式的圖表能夠提供更豐富的色彩展示和動態(tài)效果。在系統(tǒng)監(jiān)控模塊中使用Open Flash Chart實(shí)時監(jiān)控服務(wù)器的CPU和內(nèi)存使用率達(dá)到了很好的效果。 Flash Chart實(shí)時監(jiān)控CPU和內(nèi)存使用率隨時間變化的曲線圖。通過柱狀圖可以清晰地看到每個被審計(jì)數(shù)據(jù)庫的報警事件的分布情況。 登錄界面 系統(tǒng)主頁 使用Open Flash Chart實(shí)現(xiàn)CPU和內(nèi)存占用率的實(shí)時曲線圖 表格和圖表相結(jié)合的數(shù)據(jù)展現(xiàn)方式 本章總結(jié)本章介紹了系統(tǒng)界面設(shè)計(jì)的原則，以及這些原則在數(shù)據(jù)庫審計(jì)管理系統(tǒng)中的應(yīng)用。然后從結(jié)構(gòu)設(shè)計(jì)、交互設(shè)計(jì)和視覺設(shè)計(jì)三個層次介紹了數(shù)據(jù)庫審計(jì)管理系統(tǒng)的界面設(shè)計(jì)過程和顯示效果。第5章 統(tǒng)計(jì)報告的設(shè)計(jì)與實(shí)現(xiàn)統(tǒng)計(jì)報告以簡明、直觀的形式向用戶提供數(shù)據(jù)庫運(yùn)行狀態(tài)、評估結(jié)果、數(shù)據(jù)庫用戶分布情況、風(fēng)險事件或者符合審計(jì)規(guī)則事件的發(fā)生概率等信息。由于不同的用戶根據(jù)其業(yè)務(wù)關(guān)心的統(tǒng)計(jì)內(nèi)容可能會不同，數(shù)據(jù)庫審計(jì)管理系統(tǒng)必須提供用戶可定制的統(tǒng)計(jì)報告模板。用戶通過自定義報告模板，選擇自己關(guān)心的內(nèi)容組織報告，設(shè)置報告的形式和圖表的樣式。系統(tǒng)根據(jù)報告模板向用戶提供審計(jì)報告。此外，系統(tǒng)提供RSS數(shù)據(jù)源，方便用戶借助于支持RSS的聚合工具軟件，訂閱比較關(guān)心的審計(jì)數(shù)據(jù)。用戶可以使用手機(jī)、平板電腦等移動設(shè)備，在不打開審計(jì)管理系統(tǒng)內(nèi)容頁面的情況下隨時查看訂閱的審計(jì)數(shù)據(jù)。除了展現(xiàn)方式，從內(nèi)容上看，不同的用戶對報告模板中提供的數(shù)據(jù)源的需求是不一樣的。某些用戶認(rèn)為不必要，甚至是不應(yīng)該出現(xiàn)在系統(tǒng)中的數(shù)據(jù)源可能對某些用戶來說是必要的。同時，隨著系統(tǒng)在實(shí)際環(huán)境中的應(yīng)用，用戶可能會需要新的統(tǒng)計(jì)數(shù)據(jù)。因此在一開始就為用戶提供必要且足夠的數(shù)據(jù)源是不太現(xiàn)實(shí)的。這就需要在系統(tǒng)設(shè)計(jì)中充分考慮未來的變化和系統(tǒng)的可擴(kuò)展性，使得由于對數(shù)據(jù)源增減而產(chǎn)生的系統(tǒng)修改開銷降到最低。因此，統(tǒng)計(jì)報告模塊的設(shè)計(jì)與實(shí)現(xiàn)主要從兩個方面考慮：1）用戶自定義，提供報告模版，由用戶決定報告的內(nèi)容；2）可擴(kuò)展性，系統(tǒng)的設(shè)計(jì)要能夠方便地添加或修改數(shù)據(jù)源。本章在第一節(jié)中介紹了統(tǒng)計(jì)報告模塊的設(shè)計(jì)思想，通過面向?qū)ο蟮脑O(shè)計(jì)方法提高了模塊的可擴(kuò)展性。隨后介紹了用戶模版和RSS源的實(shí)現(xiàn)，在實(shí)現(xiàn)中應(yīng)用了大量的jQuery、。 模塊設(shè)計(jì)統(tǒng)計(jì)報告模塊的設(shè)計(jì)思想是：系統(tǒng)向用戶提供各種基本數(shù)據(jù)源；用戶選擇需要的數(shù)據(jù)源，并設(shè)定相關(guān)參數(shù)，設(shè)置顯示方式等；由這些數(shù)據(jù)源組成報告模板；用戶定義報告的名稱、導(dǎo)出格式、自動生成和發(fā)送配置等完成一個報告的配置。 用戶定義模版順序圖 生成報告順序圖用戶通過定義好的模版生成審計(jì)報告：在模版列表界面上，用戶通過選擇需要生成報告的模版，進(jìn)入該模版生成的報告列表頁，用戶可以查看以前生成的報告，也可以選擇生成新的報告。當(dāng)用戶選擇生成新報告，報告生成器會根據(jù)報告模版和用戶輸入的參數(shù)（時間范圍等）讀取數(shù)據(jù)源，生成報告。此外，報告還可以由定時器自動生成并通過郵件系統(tǒng)發(fā)送。自動發(fā)送設(shè)置和郵件接收人設(shè)置在用戶創(chuàng)建報告模版