search query: @keyword log file monitoring / total: 1
reference: 1 / 1
« previous | next »
Author:Harjama, Esko
Title:Investigation and Evaluation of Systems for Generating Automatic Alerts Using Honeynet Data
Publication type:Master's thesis
Publication year:2005
Pages:(11) + 69 s. + liitt. 17      Language:   eng
Department/School:Sähkö- ja tietoliikennetekniikan osasto
Main subject:Tietoverkkotekniikka   (S-38)
Supervisor:Ott, Jörg ; Urvoy-Keller, Guillaume
Instructor:Kvernevik, Idar
OEVS:
Electronic archive copy is available via Aalto Thesis Database.
Instructions

Reading digital theses in the closed network of the Aalto University Harald Herlin Learning Centre

In the closed network of Learning Centre you can read digital and digitized theses not available in the open network.

The Learning Centre contact details and opening hours: https://learningcentre.aalto.fi/en/harald-herlin-learning-centre/

You can read theses on the Learning Centre customer computers, which are available on all floors.

Logging on to the customer computers

  • Aalto University staff members log on to the customer computer using the Aalto username and password.
  • Other customers log on using a shared username and password.

Opening a thesis

  • On the desktop of the customer computers, you will find an icon titled:

    Aalto Thesis Database

  • Click on the icon to search for and open the thesis you are looking for from Aaltodoc database. You can find the thesis file by clicking the link on the OEV or OEVS field.

Reading the thesis

  • You can either print the thesis or read it on the customer computer screen.
  • You cannot save the thesis file on a flash drive or email it.
  • You cannot copy text or images from the file.
  • You cannot edit the file.

Printing the thesis

  • You can print the thesis for your personal study or research use.
  • Aalto University students and staff members may print black-and-white prints on the PrintingPoint devices when using the computer with personal Aalto username and password. Color printing is possible using the printer u90203-psc3, which is located near the customer service. Color printing is subject to a charge to Aalto University students and staff members.
  • Other customers can use the printer u90203-psc3. All printing is subject to a charge to non-University members.
Location:P1 Ark Aalto  7433   | Archive
Keywords:Honeypot
Honeynet
intrusion detection
alerting
log file monitoring
alert correlation
Abstract (fin):Honeynet-järjestelmät ovat hyödyllisiä työkaluja tietoturvatutkijoille ja tietoverkkojen ylläpitäjille.
Yhdessä hyökkäyksenhavaitsemisjärjestelmien, järjestelmälogien ja muun informaation avulla Honeynet-järjestelmiä voidaan käyttää tehokkaasti uuden tiedon hankkimiseksi Internet- hyökkäyksistä.
Koska Honeynet-järjestelmien aktiivinen valvonta ei useinkaan ole mahdollista, on tarpeen tutkia parempia tapoja tärkeistä tapahtumista kertovien hälytysten vasteaikojen lyhentämiseksi.
Tämän diplomityön tavoitteena oli tutkia ja arvioida järjestelmiä automaattisten hälytysten luomiseksi Honeynet-järjestelmästä saatavien tietojen avulla.

Työssä tutkittiin eri työkaluja ja tapoja hälytysten luomiseksi.
Parhaana ratkaisuna esivalittujen työkalujen joukosta valittiin ohjelma nimeltä Simple Event Correlator (SEC) luomaan hälytyksiä referenssiympäristössä.
Tätä sovellusta voidaan käyttää tehokkaasti eri lähteiden valvontaan lokitiedostojen välityksellä.
SEC:n säännöt perustuvat "regular expression" -tekniikkaan, jolla määritellään ehdot hälytysten luomiseksi.
Eri tapoja luotujen hälytysten jatkokäsittelyyn on useita, hälytykset voidaan mm. ohjata toiselle sovellukselle tai scriptille edelleen käsiteltäväksi.
Myös sähköpostia lähettävää sovellusta voidaan käyttää komentoriviltä, käyttäen SEC:stä lähetettyjä tietoja parametreinä.
SEC:n toimintaa tukemaan valittiin sovellus nimeltä Pig Sentry, joka ilmoittaa uusista hälytyksistä sekä nopeasti kasvaneista hälytysluvuista.

Valittua järjestelmää testattiin referenssiympäristössä ja testauksen tuloksia arvioitiin.
Joukko sääntöjä kehitettiin hälytysten luomiseksi ja näitä sääntöjä parannettiin testitulosten perusteella.
Tulosten perusteella järjestelmä täyttää sille asetetut kriteerit ja sitä voidaan käyttää tarkoitukseensa, eli hälytysten luomiseen Honeynet-järjestelmästä saatujen tietojen avulla.
Tarkempien ja kattavampien hälytyksiin tarvittavien sääntöjen ja mallien luominen jätettiin jatkotutkimuksen aiheeksi.
ED:2006-01-19
INSSI record number: 30520
+ add basket
« previous | next »
INSSI