基于ELK的电力信息监控日志审计系统实现.docVIP

基于ELK的电力信息监控日志审计系统实现 　　摘要：为电力信息系统实现日志审计和日志分析，已经成为电力信息化管理部门首先需要解决的问题。本文设计并实现了一个基于ELK的电力信息监控日志审计系统。系统通过logstash、redis、elasticsearch实现对操作行为日志、设备运行日志、上网行为日志、维护记录日志的分布式采集存储，经过数据格式化、用户识别、会话识别、路径补充等于处理后，利用并行化的K-Means聚类算法对日志进行审计分析，发现和捕获海量日志中的异常行为和违规行为。实验表明，系统可以实现电力企业信息系统的安全审计功能。 　　关键词：日志审计； ELK； 安全监控； K-Means； 异常检测 　　中图分类号：TP274 文献标识码：A 文章编号：1009-3044（2016）30-0061-04 　　The Implementation of Electricity Information Monitoring Log Audit System Based ELK 　　LIU Si-yao，LI Bin 　　（State Grid Ningxia Electric Power Company， Yinchuan 750001， China） 　　Abstract： Electric information system’s logs audit has become the main issues of information management department. This paper design and implement an electricity information monitoring log audit system based ELK. It applies logstash， redis， elasticsearch to collect and store operational behavior logs， equipment operation logs， Internet behavior log， the maintenance log. After the pre-processing such as data formatting， user identification， session identification， path supplement， the parallel K-Means clustering algorithm is used to discover abnormal behavior and irregularities from massive log. Experimental results show that the system can achieve security audit functions for electric enterprise information system. 　　Key words：log audit； ELK； security monitoring； K-Means ； anomaly detection 　　1 概述 　　电力产业是典型的技术密集型和设备密集型行业[1]，随着智能电网的建设和推进，通讯、计算机、自动化等信息化技术在电网中得到了广泛深入的应用。目前，信息化技术已经在电力行业的生产、调度、传输、管理等多个业务层面上得到了深度应用，如电力数据采集、系统监控、故障管理、能力管理等信息化系统已被广泛接受。然而，信息化技术同时也为电力行业带来了众多困扰和问题。信息化系统的开放性会导致越来越多的非法访问、黑客攻击等外部入侵问题，以及非法操作、越权操作、信息泄露等内部安全问题。特别是，智能电网更加注重网络化、智能化和集约化，各种业务均需要在信息系统、互联网络开展，电力企业面临着严重的信息安全隐患问题。因此，为电力信息系统实现日志审计和日志分析，通过业务系统的运行日志分析系统中存在的安全隐患，已经成为电力信息化管理部门首先需要解决的问题。 　　电力企业的设备和信息系统每天都产生海量日志，而且由于设备众多产生的日志格式不一、种类多样，亟需建立统一的日志分析平台，进行统一维护。根据电力行业信息系统和网络应用的特点，日志主要包含四类：1）操作行为日志，即对电力关键信息系统以及关键业务的操作行为日志；2）设备运行日志，即电力信息化系统所包括的如防火墙、入侵检测、小型机、业务系统的运行日志；3）上网行为日志，即内部业务人员的网络访问行为及外部的访问行为；4）维护记录日志，即对关键设备的维护过程、违规操作行为的记录。本文针对这些异构日志，采用ELK技术搭建实时日志分析平?_，使得电力运