安全审计的基础知识
《审计基础知识》课件
05
CHAPTER
内部控制与审计测试
内部控制的概念、要素及其在审计中的重要性
总结词
内部控制是指组织为了实现其目标，维护资产安全完整，保证会计信息资料正确可靠，确保经营方针得到贯彻执行，保证经济活动的经济性、效率性和效果性而在组织内部采取的一系列控制措施的总称。内部控制包括控制环境、风险评估、控制活动、信息与沟通、监控等五个要素。
审计风险与重要性之间存在密切关系，重要性水平越高，审计风险越低；反之亦然。
在确定重要性水平时，注册会计师需要综合考虑财务报表使用者对财务报表的信赖程度、被审计单位的经营环境、内部控制的有效性等因素。
在评估审计风险时，注册会计师需要考虑被审计单位的经营环境、内部控制的有效性、管理层诚信度等因素，以合理确定可接受的审计风险水平。
审计发现记录
03
CHAPTER
审计证据与工作底稿
询问
观察
检查
重新计算
01
02
03
04
通过与被审计单位相关人员沟通交流，了解情况，获取口头或书面回答。
对被审计单位的经营场所、实物资产等进行实地观察，了解实际情况。
对被审计单位的财务报表、凭证、合同等资料进行审查核对。
对被审计单位的财务报表数据进行重新计算，验证其准确性。
04
CHAPTER
审计风险与重要性
指财务报表存在重大错报而注册会计师发表不恰当审计意见的可能性。
审计风险
财务报表在审计前存在重大错报的可能性；
重大错报风险
财务报表存在重大错报，但注册会计师未发现这种错报的可能性。
检查风险
判断审计重要性的因素
错报的性质；
错报发生的环境。
错报的金额大小；
安全法的安全审计
安全法的安全审计安全审计是指对安全法的执行情况进行全面、客观、公正的评估与审查，以确保安全法规定的各项措施得以有效落实，从而提升社会的整体安全水平。
本文将从安全审计的定义、目的、程序和重要性等方面进行论述。
一、定义安全审计是政府、企事业单位和社会组织等相关主体对安全法执行情况进行监督、评估和检查的一种制度性安全管理方式。
通过对安全法规定的各项内容进行全面检查，评估法律执行的情况是否合规，并为进一步提升安全管理水平提供决策依据。
二、目的1. 评估执行情况：通过安全审计，可以全面了解安全法的执行情况，包括各项安全措施的贯彻落实程度，以及是否存在执行偏差等问题，为解决存在的问题提供依据和措施。
2. 发现安全隐患：安全审计有助于发现潜在的安全隐患，包括物理设施、技术措施和人员安全等方面的隐患，并及时采取措施进行整改，以降低事故风险。
3. 推动安全管理改进：安全审计结果可以为相关单位推动安全管理改进提供决策依据，包括优化管理制度、加强人员培训和完善设施设备等方面的改进。
三、程序1. 前期准备：明确安全审计的目标和范围，确定审计的时间、地点和审计组成员，制定审计方案。
2. 审计实施：按照审计方案，对安全法执行情况进行全面、客观的调查和检查，包括实地考察、查阅相关资料和采访相关人员等。
3. 结果报告：根据审计情况，编制安全审计结果报告，详细描述发现的问题和存在的风险，并提出改进和整改意见。
4. 后续跟踪：监督被审计单位的整改落实情况，确保发现的问题得到及时解决，隐患得到消除，并提供持续改进的指导和建议。
四、重要性安全审计在现代社会中具有重要的意义和价值，主要体现在以下几个方面：1. 提升安全管理水平：通过安全审计，可以发现和解决存在的安全问题，完善安全管理制度和措施，提升安全管理水平，保障人们的生命财产安全。
2. 审计公正性：安全审计应该依据法律法规进行，客观公正地评估和检查相关单位的执行情况，保证审计结果的公正性和可信度。
中级信息系统监理师之信息系统安全审计
中级信息系统监理师之信息系统安全审计信息系统安全审计是对企业信息系统及其相关组件进行检查、验证和评估的过程，以确保其满足安全策略、合规要求和最佳实践。
作为中级信息系统监理师，深入了解信息系统安全审计的重要性和流程，并具备相关技能和知识，将为企业提供保障和指导。
本文将介绍信息系统安全审计的基本概念、流程以及常见的安全审计技术。
1. 信息系统安全审计概述信息系统安全审计是通过对信息系统进行检查、验证和评估，发现和修复潜在的安全漏洞和风险，确保信息系统的完整性、可用性和机密性。
信息系统安全审计的目标是评估信息系统的安全策略、安全运行状况和合规性，为企业决策提供准确可靠的信息。
信息系统安全审计通常包括风险评估、漏洞扫描、安全策略检查、日志分析等环节。
2. 信息系统安全审计流程（1）前期准备：确定审计的范围和目标，收集相关文档和信息，并制定审计计划。
（2）风险评估：对信息系统进行风险评估，识别潜在的安全威胁和漏洞。
（3）漏洞扫描：使用专业的软件工具扫描信息系统，发现潜在的漏洞和安全隐患。
（4）安全策略检查：审查企业的安全策略和政策文件，评估其合规性和有效性。
（5）日志分析：分析信息系统的日志记录，发现异常活动和安全事件。
（6）安全漏洞修复：针对发现的漏洞和安全隐患制定修复方案，并跟踪修复进度。
（7）审计报告编写：根据审计结果撰写详细的审计报告，并向相关部门进行汇报。
3. 信息系统安全审计技术（1）漏洞扫描技术：使用漏洞扫描软件对信息系统进行主动扫描，识别系统中的漏洞和弱点。
（2）入侵检测系统（IDS）：通过实时监控网络流量和日志，检测并报警潜在的入侵行为。
（3）蜜罐技术：搭建虚拟的蜜罐系统吸引攻击者，以便获取攻击者的战术策略和手段。
（4）数据包分析：通过对网络数据包的分析，检测网络中的异常流量和攻击行为。
（5）日志分析工具：使用专业的日志分析工具对信息系统的日志进行分析，发现隐藏的安全事件和攻击行为。
结语信息系统安全审计是确保企业信息系统安全性的重要手段，中级信息系统监理师应具备相关的技能和知识，能够独立进行信息系统的安全审计工作。
网络安全审计教育培训课件
全威胁。
安全审计实践
制定安全审计计划
明确审计目标、范围和时间表，确保审计工 作的顺利进行。
问题验证与修复
验证发现的问题，及时修复并测试修复效果 。
数据收集与分析
收集必要的数据，进行分析，发现潜在的安 全问题。
报告编写与汇报
编写详细的安全审计报告，向相关人员汇报 审计结果和建议。
Wireshark
一款网络协议分析器，用于捕 获和分析网络流量，帮助发现
潜在的安全威胁。
安全审计技术
漏洞扫描
通过自动或手动的方式检查系 统或网络中存在的安全漏洞。
配置审计
检查系统或网络的配置，确的异常行 为，及时发现并阻止潜在的攻 击。
安全审计日志分析
3. 确定恶意软件来源和目的。
在此添加您的文本16字
1. 识别恶意软件传播途径和感染迹象。
在此添加您的文本16字
4. 清除恶意软件并采取防范措施。
案例三：数据泄露的安全审计
数据泄露概述：数据泄露是指未经授权的访问、使用或 披露敏感信息，可能导致数据损坏、丢失或滥用。
1. 识别数据泄露事件和影响范围。
漏洞扫描
使用专业的漏洞扫描工具对网 络系统进行扫描，发现潜在的 安全风险和漏洞。
制定建议
根据分析评估结果，制定相应 的安全建议和措施，帮助组织 提高网络系统的安全性。
02
网络安全审计基础知识
网络协议基础
TCP/IP协议族
介绍TCP/IP协议族的组成，包括IP协 议、TCP协议、UDP协议等，以及它 们在网络通信中的作用。
OSI参考模型
介绍OSI参考模型的七个层次，包括物 理层、数据链路层、网络层、传输层 、会话层、表示层和应用层，以及各 层次在网络中的作用。
安全审计企业必备知识
安全审计企业必备知识随着信息技术的不断发展，网络安全问题日益突出，安全审计作为保障企业信息系统安全的重要手段，扮演着至关重要的角色。
安全审计旨在评估和监控信息系统的安全性，发现潜在的风险和漏洞，为企业提供有效的安全保障。
在进行安全审计时，企业需要掌握一些必备知识，以确保审计工作的顺利进行和有效实施。
本文将介绍安全审计企业必备的知识，帮助企业更好地进行安全审计工作。
一、安全审计概述安全审计是指对企业信息系统进行全面、系统的检查和评估，以发现潜在的安全风险和漏洞，并提出改进建议，保障信息系统的安全性和稳定性。
安全审计主要包括网络安全审计、系统安全审计、数据库安全审计等内容，通过对系统的配置、日志、权限、访问控制等方面进行审查，确保信息系统的安全运行。
二、安全审计的重要性1. 保障信息系统安全：安全审计可以帮助企业及时发现系统存在的安全隐患，及时采取措施加以修复，保障信息系统的安全性，防止信息泄露和数据丢失。
2. 遵守法律法规：随着信息安全法律法规的不断完善，企业需要进行安全审计以确保企业信息系统的合规性，避免因违规操作而受到处罚。
3. 提升企业形象：通过安全审计，企业可以及时发现并解决安全问题，提升企业的安全形象和信誉，增强客户和合作伙伴的信任度。
三、安全审计企业必备知识1. 网络安全知识：了解网络安全的基本原理和常见攻击手段，掌握网络安全设备的配置和使用方法，能够有效防范网络攻击和入侵。
2. 系统安全知识：熟悉各类操作系统的安全设置和加固方法，了解系统漏洞的利用方式和防范措施，确保系统的安全性和稳定性。
3. 数据库安全知识：掌握数据库安全的基本概念和原理，了解数据库的安全配置和权限管理，保护数据库中重要数据的安全性和完整性。
4. 安全审计工具：熟练掌握各类安全审计工具的使用方法，如漏洞扫描工具、入侵检测系统、日志分析工具等，能够有效地进行安全审计工作。
5. 安全审计流程：了解安全审计的整体流程和方法，包括准备工作、信息收集、安全扫描、风险评估、报告编写等环节，确保审计工作的有序进行。
审计简答知识点总结
审计简答知识点总结一、审计基础知识1. 审计定义审计是一种系统性的独立活动，通过收集、分析和评估证据，为利益相关方提供关于所审计对象的信息的过程。
2. 审计目的审计的目的在于验证和评估所审计对象的财务报表是否真实准确地反映了所审计对象的财务状况、经营成果和现金流量等信息。
3. 审计程序审计程序是进行审计工作的方法和程序，包括了审计计划、内部控制评价、风险评估、审计程序设计、证据收集、报告编制等内容。
4. 审计证据审计证据是审计师用以支持其意见的信息，包括了财务报表、会计记录、询证函、确认函、计算等。
5. 审计报告审计报告是审计师最终向利益相关方提供的意见和评价，包括了对财务报表的审计意见、审计师对内部控制的评价、发现的异常情况等内容。
二、内部控制1. 内部控制定义内部控制是一个组织对其财务、业务目标所实施的、以经济效率为导向的процесс。
这个过程包括了控制环境、风险评估、控制活动、信息与沟通、监督等组成部分。
2. 内部控制的目的内部控制的目的在于确保企业能够达成其财务和运营目标，同时保护企业的资源免受欺诈和误用。
3. 内部控制框架内部控制框架是一个用来指导企业建立、实施和评估内部控制的体系。
常见的内部控制框架包括了COSO框架和COBIT框架。
4. 内部控制评价审计师在审计过程中需要对企业的内部控制进行评价，以确定其可靠性和有效性，评价的方法包括了流程分析、文件检查、沟通等。
三、风险评估1. 风险定义风险是指不确定事件对企业目标达成的影响。
2. 风险评估的方法审计师在审计过程中需要进行风险评估，以确定审计程序的重点和范围。
风险评估的方法包括了专家判断、历史数据分析、模型建立等。
3. 风险控制审计师在审计过程中需要对发现的重大风险进行控制，包括了调整审计程序、增加审计程序深度、加强对关键事项的审计等。
四、财务报表审计1. 财务报表审计目标财务报表审计的目标在于确定财务报表是否真实准确地反映了所审计对象的财务状况、经营成果和现金流量。
安全工作中的安全审计
安全工作中的安全审计在当今社会中，安全问题成为了各行各业关注的焦点。
无论是企业还是个人，都需要采取一系列措施来确保安全。
安全审计作为其中的一种重要手段，在安全工作中发挥了重要作用。
本文将探讨安全工作中的安全审计的定义、重要性以及实施过程，以期为读者提供了解和应用安全审计的基础知识。
一、安全审计的定义安全审计是指对某项工作、系统、组织或者网络等进行全面检查和评估，旨在发现潜在的安全隐患或违规行为，为制定和改进安全策略提供数据支持。
安全审计不仅仅关注技术层面的安全性，还包括人员、政策和流程等方面的安全性评估。
通过安全审计，可以及时发现并纠正存在的问题，提高安全工作的效果和效率。
二、安全审计的重要性1. 提高安全意识：安全审计通过对安全工作的全面检查，可以对组织中的安全意识进行普及和强化，促使员工始终保持警惕和关注安全问题。
2. 预防安全事故：安全审计可以发现潜在的安全隐患，提前采取措施进行改进，避免安全事故的发生，减少了潜在的损失。
3. 合规要求：安全审计有助于组织满足相关法律法规和行业标准的合规要求，确保企业运营符合规范，降低法律风险。
4. 优化安全策略：通过对安全工作的评估，可以发现现有安全策略的不足之处，从而优化安全策略，提高安全工作的效果和效率。
三、安全审计的实施过程1. 确定审计范围：根据实际需要，确定需要进行安全审计的对象范围，例如网络系统、物理设备等。
2. 制定审计计划：在确定范围后，制定详细的审计计划，包括审计目标、方法和时间等。
确保安全审计能够有条不紊地进行。
3. 收集相关信息：收集与审计对象相关的信息，包括配置文件、访问日志、安全策略和规程等。
这些信息将被用于分析和评估安全性。
4. 进行审计分析：对收集到的信息进行仔细分析和评估，发现潜在的安全问题，并进行风险评估和等级排查。
5. 提出改进建议：根据审计分析的结果，提出具体的改进建议，包括技术措施、人员培训和流程改进等。
确保安全问题得到有效解决和预防。
安全生产审计要点及方法
安全生产审计要点及方法安全生产审计是对企业的安全生产工作进行全面检查和评估的一种管理方法。
通过安全生产审计，可以及时发现安全隐患和管理漏洞，为企业的安全生产工作提供参考和改进的方向。
下面我将为您介绍安全生产审计的要点及方法。
一、安全生产审计的要点1. 审计目标明确：在进行安全生产审计时，需要明确审计的目标和范围，确定审计的重点和关注的问题，通过审计可以得出客观、全面、准确的结论。
2. 审计方法科学：安全生产审计需要采用科学的方法和手段进行，可以有现场检查、问卷调查、资料分析等。
通过多种方法的综合运用，可以获取更全面、准确的信息和数据。
3. 审计程序规范：在进行安全生产审计时，需要按照一定的程序和步骤进行，确保审计工作的有序进行。
包括审计准备、审计实施、审计总结等环节，每个环节都要根据实际情况制定相应的工作方案和时间安排。
4. 审计报告全面：安全生产审计的结果需要通过审计报告进行书面记录。
审计报告应包括审计的目的、范围、方法、结论、建议等内容，报告要全面、客观、准确地反映审计的结果和问题。
二、安全生产审计的方法1. 现场检查：现场检查是安全生产审计中的重要环节之一，通过现场检查可以直观地了解企业的安全生产情况。
审计人员可以检查现场的设施设备、人员配备、操作规范等，观察是否存在安全隐患。
2. 问卷调查：问卷调查是获取员工对安全生产工作的意见和建议的一种方法。
审计人员可以设计相应的问卷，针对企业的不同岗位和部门进行调查，了解员工对安全生产工作的认识和看法，以及存在的问题和需求。
3. 资料分析：资料分析是从历史数据和记录中找出问题和趋势的方法。
审计人员可以通过查阅安全生产记录、事故报告、培训资料等相关资料，分析企业的安全生产历史和现状，发现存在的问题和改进的空间。
4. 专家评审：审计人员可以邀请安全生产领域的专家参与安全生产审计工作，对企业的安全生产工作进行评审。
专家可以通过自己的经验和知识，对企业的安全生产管理进行指导和改进，提供有针对性的建议。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
（2） 日志应该记录任何必要的事件，以检测异常的攻击模式。
（3） 日志应该记录关于记录系统连续可靠工作的信息。
日志的内容
• 审计功能的启动和关闭 • 使用身份鉴别机制 • 将客体引入主体的地址空间 • 删除客体 • 管理员、安全员、审计员和一般操作人员的操作 • 其他专门定义志由一系列的事件记录组成， 每一个事件记录分为三个功能部分：头、事件描述和 可选的附加数据项。如下表显示了一个事件记录的结 构。安全日志的入口通常由头和事件描述组成。
记录头
事件描述 附加数据
数据
时间
用户名 计算机名
事件ID
源
类型
种类
可变内容,依赖于事件。可以使问题的文本解释和纠正措施的建议
连接时间日志：
loginlog文件，Unix system V版本中可以把不成功的登陆行 为记录在/var/adm/loginlog中。如果某个入侵者直到一个系 统的用户名，同时又想猜出密码，/var/adm/loginlog就会记 录他的失败的登陆尝试。 utmp、wtmp和lastlog日志文件是多数Unix日志系统的关键--记录用户的登陆和推出信息。有关当前登陆用户的信息记录 在utmp中。等和推出记录在文件wtmp中。最后一次登陆文 件可以用lastlog命令察看。数据交换和重启也记录在wtmp文 件中。所有的记录都包括时间戳。这些文件（lastlog通常不 大）在具有大量用户的系统中增长十分迅速.wtmp和utmp都 是为二进制文件，不能被诸如tail命令剪贴或合并（使用cat 命令）。用户可以通过who,w,users,last和ac来使用这两个文 件包含的信息。
应用实例
Windows NT 中的安全审计
4. NT安全日志的审计策略
NT安全日志由审计策略支配，审计策略可以通过配置审计策 略对话框中的选项来建立。
NT的审计规则如下（既可以审计成功的操作，又可以审计失 败的操作）：
（1）登陆及注销（2）用户及组管理（3）文件及对象访问 （4）安全性规则更改（5）重新启动、关机及系统级事件 （6）进程追踪（7）文件和目录审计
5.管理和维护NT审计
通常情况下，Windows NT 不是将所有的事件都记录 日志，而需要手动启动审计的功能。这是首先需要从开始 菜单中选择程序，然后再选择管理工具。从管理工具紫菜 单选择用户管理器，显示出用户管理起窗口。然后从用户 管理器的菜单中单击policies(策略)，再单击audit(审计)， 审计策略窗口就出现了。接着选择单选框”audit thest events”(审计这些事件)。最后选择需要启动事件的按OK， 然后关闭用户管理器。值得注意的是在启动Windows NT 的审计功能时，需要仔细选择审计的内容。
日志系统根据安全要求记录上面事件的部分或全部。 通常，对于一个事件，日志应包括事件发生的日期和时 间、引发事件的用户（地址）事件、和源目的的位置、 事件类型、事件成败等。
记录机制
不同的系统可采用不同的机制记录日志。但大多情况可 用系统调用Syslog来记录日志，也可用SNMP记录。下面 简单介绍下Syslog：
应用实例
Unix/Linux 中的安全审计
连接时间日志
连接时间日志由多个程序程序执行，把记录写 入到/var/log/wtm和/var/run/utmp中并通过 login等程序更新wtmp和utmp文件，使系统管 理员能够跟踪谁在何时登录到系统。
连接时间日志：
lastlog文件，Unix在lastlog 日志文件中记录 每一个用户注册进入系统的最后时间，在每 一次进入系统是，系统会显示这个信息。告 诉用户和对一下最后注册进入系统的时间是 否正确，若系统显示的时间与上次 进入系统 的时间不服，说明发生了非授权用户注册。
安全审计
安全审计
• 审计技术出现在计算机技术之前，是产生和记录
并检查按时间顺序排列的系统事件记录过程。安 全审计是计算机和网络安全的重要组成部分。
• 安全审计提供的功能服务于直接和间接两方面的
安全目标：
1.直接的安全目标包括跟踪和监测系统中的异常事件 2.间接的安全目标是检测系统中其他安全机制的运行
或失败审计已经被许可。
3. NT事件日志管理特征
Windows NT提供了大量特征给系统管理员区管理操 作系统事件日志机制。例如：管理员能限制日志的大小 并规定当文档达到容量上限时，如何去处理这些文件。 选项包括：用新纪录去冲掉最老的纪录，停止系统直到 事件日志备受共清除。
当系统开始运行时，系统和应用事件日志也自动开始。当日 志文件满并且系统配置规定它们必须备受共清除时，日志停 止。另一方面，安全事件日志必须由具有管理者权限的人启 动。利用NT得用户管理器，可以设置安全审计规则。要启动 安全审计的功能，只需在规则菜单下选择审计，然后通过察 看NT记录的安全事件日志中的安全性事件，既可以跟踪所选 用户的操作。
（3）简单攻击探测：对重大威胁特征有明确描述，当攻 击现象出现，能及时指出。
（4）复杂攻击检测：要求高的日志分析系统还应能检测
到多部入侵序列，当攻击序列出现，能预测其发生的步骤。
审计事件查阅
由于审计系统是追踪、恢复的直接依据，甚至是司法 依据，因此其自身的安全性十分重要。审计系统的安全性 主要是查阅和存储的安全。
审计事件存储
审计事件的存储也有安全性的要求，具体有如 下几种情况。
（1）受保护的审计踪迹存储：即要求存储系统对
日志事件具有防护功能，防止未授权的修改和删除，并具 有检测修改和删除的能力。
（2）审计数据的可用性保证：在审计存储系统遭
受意外时，能防止或检测审计记录的修改，在存储介质存 满或存储失败时，能确保记录不被破坏。
（1）Application Log：包括用NT Security authority注册的应用程序产生 的信息。
（2）Security Log：包括有关通过NT可识别安全提供者和客户的系统访 问信息。
（3）System Log: 包含所有系统相关事件的信息。
应用实例
Windows NT 中的安全审计
附加域。如果采用的话，包含可以字节或字显示的二进制数据及 事件记录的源应用产生的信息
时间记录头有下列域组成：
（1）日期：事件的日期标识。 （2）时间：事件的时间标识。 （3）用户名：表识事件是有谁触发的。
（4）计算机名：事件所在的计算机名。当用户在整个企业范围内集中 安全管理时，该信息大大简化了审计信息的回顾。
5.管理和维护NT审计
审计日志将产生大量的数据，因此较为合理的方法是首先 设置进行简单审计，然后在监视系统的情况下逐步增加复 杂的审计要求。当需要审查审计日志以跟踪网络或机器上 的异常事件时，采用一些第三方提供的工具是一个叫有效 率的选择。
最后介绍一下Windows NT的三个日志文件的物理位置。 系统日志： %systemroot%\system32\config\sysevent.evt 安全日志： %systemroot%\system32\config\secevent.evt 应用程序日志： %systemroot%\system32\config\appevent.evt
审计事件的查阅应该受到严格的限制，不能篡改日 志。通常通过以下不同的层次来保证查阅的安全。
（1）审计查阅：审计系统以可理解的方式为授权用户提 供查阅日志和分析结果的功能。
（2）有限审计查阅：审计系统只能提供对内容的读权限， 因此应拒绝具有读以外权限的用户访问审计系统。
（3）可选审计查阅：在有限审计查阅的基础上限制查阅 的范围。
1.NT审计子系统结构
察看器可以在Administrative tool程序组中找到。系统 管理员可以使用事件察看器的Filter选项根据一定条件 选择要查看的日志条目。查看条件条件包括类别、拥 护和消息类型。
Windows NT的日志文件很多，但主要是系统日志、安全日志和应 用日志三个。这三个审计日志是审计一Windows NT系统的核心。默 认安装时安全日志不打开。 Windows NT中所有可被审计的事件都存 入了其中的一个日志。
Syslog由Syslog守护程序、Syslog规则集及Syslog系统 调用三部分组成，如下图：
安全审计分析
日志分析就是在日志中寻找模式，其主要内容：
（1）潜在侵害分析：日志分析应能用一些规则去监控审 计事件，并根据规则发现潜在的入侵。
（2）基于异常检测的轮廓：确定正常行为轮廓，当日
志中的事件违反它或超出他的一定门限，能指出将要发生 的威胁。
• loginlog 不良的登录尝试记录
• messages 输出到系统主控台的消息
• utmp
当前登录的每个用户
• wtmp
每一次用户登录和注销的历史信息
• vold.log 使用外部介质出现的错误
• xferkig Ftp的存取情况
• acct
每个用户使用过的命令
• aculog 拨出自动呼叫记录
应用实例
Unix/Linux 中的安全审计
进程统计日志
进程统计日志由系统 内核执行。当一个进 程终止时，系统往进 程统计文件中写一个 记录。其目的是为系 统中的基本服务提供 命令使用统计。
进程系统日志：
与连接按日志不同，进程统计子系统缺省为不激 活，必须通过启动来激活。在Unix/Linux系统中 启动进程统计使用accton命令，必须用root身份 来运行。accton命令的形式为accton file，file必 须先存在。然后运行 accton:accton/var/log/pacct。进程日志系统可 以跟踪每个用户运行的每条命令，并且对跟踪一 个入侵者有帮助。，进程系统一个问题是pacct 文件可能增长得十分迅速。这是需要交互式或经 过corn机制运行sa命名来保持日志数据在系统控 制的范围内。