對于做網(wǎng)絡(luò)安全技術(shù)的人來說，有一個很頭疼的問題，就是每天要查看設(shè)備所產(chǎn)生的日志信息。現(xiàn)在每個設(shè)備都會產(chǎn)生大量的數(shù)據(jù)信息，如操作系統(tǒng)的日志，防火墻的事件信息，數(shù)據(jù)庫的訪問信息等等。出于安全的考慮，安全技術(shù)人員需要定時的對這些信息進行查看、整理。這些信息對于網(wǎng)絡(luò)安全來說，是非常重要的，因為其可以反映出，是否有人在未經(jīng)授權(quán)的情況下試圖登陸其沒有權(quán)利登陸的設(shè)備。但是，現(xiàn)在的問題就是，這么多設(shè)備所反映出來的信息，若在沒有其他手段的幫助下，靠技術(shù)人員手工處理的話，那工作量是非常龐大的，信息超載問題是網(wǎng)絡(luò)安全技術(shù)人員所面臨的一個新的挑戰(zhàn)。

下面我結(jié)合自己的信息管理經(jīng)驗，談?wù)勎以谶@方面的處理方式。

根據(jù)信息所反映內(nèi)容的重要級別不同，有區(qū)別的對待

一般來說，無論是硬件設(shè)備，如防火墻或者路由器，還是軟件設(shè)備，如操作系統(tǒng)，其所記錄的信息，并不是沒有任何規(guī)律的。為了網(wǎng)絡(luò)管理人員在遇到問題時，能夠在系設(shè)備的日志信息中查到有用的資料，系統(tǒng)一般都對自身所記錄的信息，做了歸類。一般來手，可以分為三類。

第一類是事件，他以流水帳的形式記錄了設(shè)備在一定時期內(nèi)進行了哪些操作。如有哪個用戶在什么時間登陸上了數(shù)據(jù)庫，進行了什么操作等等。除了這些信息外，還可以反映出設(shè)備運行的一些基本信息。這些事件信息，可以讓我們安全管理人員了解系統(tǒng)運行的狀況，了解有哪些授權(quán)用戶訪問了設(shè)備。在遇到問題時，我們也可以迅速的找到問題的創(chuàng)作者。如有一次，我公司的一個文件服務(wù)器突然中斷了，全部員工都不能訪問文件服務(wù)器，但是，網(wǎng)絡(luò)是通的。一開始我以為是病毒原因，我查看了文件服務(wù)器的事件日志，發(fā)現(xiàn)是在這中間有人以管理員的身份登陸過這個文件服務(wù)器，修改了相關(guān)的配置所造成的。我把相關(guān)的配置修改回來，又一切正常了。所以，這些事件信息的時候，平時可能對于我們的使用價值不大，但是，當(dāng)出現(xiàn)了什么問題時，如服務(wù)器受到攻擊或者其他原因?qū)е虏荒茉L問的，我們可以從這個事件信息中看出一點端倪來。故設(shè)備記錄每天的時間是非常必要的，但是，定期、不定期的對這些信息進行查看、整理卻是一件很頭痛的事情。

第二類是警報數(shù)據(jù)，這些數(shù)據(jù)是當(dāng)設(shè)備出現(xiàn)一些可疑的攻擊時，系統(tǒng)所產(chǎn)生的一些信息。這些警報信息我們可以自己設(shè)置，也可以由系統(tǒng)產(chǎn)生。如我們在以管理員身份登陸文件服務(wù)器的過程中，若成功登陸的話，在文件服務(wù)器上只會記錄事件信息，而不會有這個行為的警報信息。若我們在嘗試登陸的過程中，密碼輸入錯誤，若只是第一次輸入錯誤的話，我們可以認(rèn)為是正常的，那么也可以不用在警報數(shù)據(jù)中顯示這個信息，而只在事件信息中進行記錄;但是，若有人連續(xù)輸入三次及三次以上密碼都錯誤的話，那么我們就有理由相信這是一次惡意的攻擊行為，有非法訪問者想通過猜密碼的方式非法登陸到文件服務(wù)器上，進行一些不可告人的目的，這個就是警報信息。根據(jù)密碼策略，密碼錯誤超過三次，該用戶名無效。同時，也會把這條信息記錄下來，其系統(tǒng)會自動歸類為警報信息。而用戶連續(xù)輸入兩次錯誤密碼，但是第三次密碼正確的話，則系統(tǒng)認(rèn)為這是正常的，則只會在記錄事件中進行反映，而不會在警報信息中反映出來。所以，作為企業(yè)網(wǎng)絡(luò)的安全管理人員，要能夠追蹤所有的警報信息，因為這些信息可以反映出是否有人在惡意的攻擊網(wǎng)絡(luò)。

第三類是事故信息。這類信息是比較嚴(yán)重的信息，如文件服務(wù)器遭受到RPC等欺騙攻擊導(dǎo)致文件服務(wù)器癱瘓等等。這類信息記錄著企業(yè)的網(wǎng)絡(luò)設(shè)備的一些重大變故，如網(wǎng)絡(luò)設(shè)備遇到問題重啟或者網(wǎng)絡(luò)流量突然增大所導(dǎo)致的數(shù)據(jù)訪問癱瘓等等。

這三類信息對于我們網(wǎng)絡(luò)安全管理人員來說，其價值是不同的。事故信息，就好象是“110”指令一樣，收到這個信息之后，我們要馬上出發(fā)解決問題。而對于警報數(shù)據(jù)，在手頭上有其他重要事情要處理的話，我們雖然可以暫時放放，但是，時間不能拖的太長，要盡快處理。對于事件信息的話，我們一般可以通過系統(tǒng)配置讓其記錄這些信息，在遇到事故信息或者報警信息的時候，再回過頭去查看具體的事件信息，看看在警報信息或者事故信息發(fā)生的前后，設(shè)備在干什么。