[发明专利]基于方差的防火墙异常日志检测方法

说明书

技术领域

本发明涉及属于信息技术领域，尤其涉及一种针对防火墙日志的分析方法。

背景技术

目前，防火墙在计算机网络安全上得到了广泛应用。防火墙都具有日志记录功能，能够记录下所有经过防火墙访问内网和外网的情况。日志的内容主要包括时间、源IP地址、源端口、目的IP地址、目的端口，统称为网络访问的五元组。对防火墙日志进行采集、管理和分析，从而发现异常网络访问行为，是网络安全管理的普遍做法。尽管防火墙日志中包含了大量有用的信息，但是这些日志只有在经过深入分析后才能够发挥作用。虽然防火墙厂家大多提供防火墙日志管理系统，但只侧重于日志的统一采集、存储、查询和统计，日志的分析能力比较弱，很难发现日志中的异常情况。通常是在发生严重安全事件的情况下采取人工观察的方式搜查日志记录，从中获取有用信息。由于防火墙每天产生大量的日志记录，日志量非常庞大，管理员关注的信息往往淹没在大量普通的信息中，采用人工方式对防火墙日志进行分析，工作量异常繁重，效率也很低。同时，防火墙日志都是记录的对某些主机、某些应用服务的访问，至于对这些主机、这些服务的访问是否正常，防火墙日志本身无法体现。而网络安全管理中需要经常针对网络访问的异常情况进行分析，需要从表面上看似正常的防火墙日志中分析挖掘出异常的行为。

现在已有一些对防火墙日志进行管理的工具，但这些工具通常只针对某种特定防火墙的日志进行管理，例如天融信日志管理系统，主要针对天融信防火墙日志进行管理，同时主要功能集中在日志采集、存储、展示和查询，而没有对异常日志的分析功能，无法从大量日志中挖掘异常行为的信息。

方差（Variance）是各个数据与平均数之差的平方的平均数，在概率论和数理统计中，方差用来度量随机变量和其数学期望（即均值）之间的偏离程度。在许多实际问题中，研究随机变量和均值之间的偏离程度有着很重要的意义。

若为一组数据x₁，x₂，x₃…x_n的平均数，S²为这组数据的方差，则有：

S2=1n[(x1-x‾)2+(x2-x‾)2+···+(xn-x‾)2]=1n[x12+x22+···+xn2)-nx‾2]]]>