多源异构网络安全关联分析

（1）主机日志数据 

多源异构网络安全数据主要包括主机日志数据、网络流量数据、安全告警数据、威胁情报数据等主机日志数据是指发生在主机运行过程中的各类审计日志记录，其中各个日志条目是对主机运行状况的监测结果，其中包括操作系统、应用程序、网络通信、安全告警等各类数据记录,包括系统信息（服务器、网络设备、操作系统、应用软件）、各种传感器等各类审计信息。主机日志记录反映了用户操作及操作系统日常行为，日志数据是识别和发现针对主机的攻击活动的最直接数据对象，也是攻击事件追溯过程中不可或缺的信息来源，下面以 Linux 系统为例说明主机日志数据的主要内容，其中主要包括内核及系统日志、用户日志、应用程序日志等。 
  内核及系统日志： 
Linux 系统内核及系统日志由操作系统内核中带有的 rsyslog 服务统一记录，日志记录内容和位置在/etc/rsyslog.conf 中给出具体配置信息，也有部分系统应用会将日志记录内容交由 rsyslog 进程管理，其日志记录方式与系统日志类似。 
  用户日志： 
用户日志数据是指系统用户登录 Linux 系统和进行日常操作的日志记录，用户日志内容包括系统登录、执行命令、文件操作等行为情况，日志记录包括 IP 地址、操作时间、操作用户名、执行结果等行为信息。 
  应用程序日志： 
不同应用程序的日志管理方式不同，部分应用程序会将程序行为日志交由 Linux 日志服务 rsyslog 进行统一管理，而部分应用程序则根据自身业务需求记录日志，由于不同应用程序日志记录方式不同，记录日志格式也不尽相同，在处理多个应用程序日志数据时需要对其进行日志格式解析和归一化处理，

 

（2）网络流量数据 
多数 APT 攻击案例中也带有僵尸网络攻击ÿ