1、.藍盾防火墻日志管理系統一、 系統概述通過分析藍盾防火墻等系列安全產品的特點，我們將日志服務作為一個獨立系統分離出來。為了便于管理和使用，以及日志服務的性能出發，又將日志系統設計成客戶和服務模式，服務端是日志服務器，客戶端是日志管理，服務端是服務程序，有兩種版本，一種是以文件的方式存儲日志，一種是以數據庫(SQL SERVER)存儲的日志，客戶只有一種版本，對文件和數據庫的管理操作方式是一致。客戶端即日志管理，是以插件的形式提供，在日志安全中心添加一個插件設備具體操作參考3.1的“新建安全設備”來實現，客戶端本身也以插件方式實現，用插件來解釋日志字段，日志顯示也是動態，所以本系具有通用性，可用

2、于適用實現多種日志設備的管理。日志管理可以安裝于任一臺電腦進行管理，也可以進行遠程管理。二、 系統安裝與卸載雙擊藍盾日志管理安裝程序bdlogsetup.exe，出現如下圖所示，單擊下一步。單擊“下一步”按鈕，出現如下圖所示：如需要更改安裝目錄，單擊“瀏覽”按鈕，確認安裝目錄后，單擊“下一步”按鈕，出現如下圖所示：在系統的“開始”菜單的“程序”菜單中添加一項菜單，確認菜單名稱后，一直單擊“下一步”按鈕即可，可能要一兩分鐘，最后出現如下圖所示表示安裝成功完成。卸載：直接單擊控制中心菜單下的“卸載藍盾日志管理”或在“控制面板”中，選中“藍盾日志管理”，然后單旁邊的“更改與刪除”按鈕，出現如下圖所示

3、： 單擊“下一步”按鈕，然后單擊“完成”按鈕即可。三、 系統操作先啟動藍盾安全控制中心，啟動后的出現如下圖所示：輸入登錄藍盾控制中心的用戶名和密碼，按確定登錄，按退出取消登錄并結束程序，登錄成功后出現如下圖所示：如上圖所示，界面主要包含六個部分：頂部的菜單、工具條、左邊的功能導航欄、右邊的操作界面、下邊消息提示框、底邊是狀態條。3 菜單管理31 文件菜單：如上圖所示。新建安全設備新建一個安全設備，本系統的安全設備是藍盾日志管理，單擊新建安全設備后出現如下圖所示界面，設備類型：安全設備的類型，單擊右邊的下拉列表框，選中藍盾日志管理。設備名稱：安全設備名稱，用戶自己定義，名字要規范一點，可以是漢字

4、或英文。地址族：本系統支持Ipv4和Ipv6兩種版本，一般設置為Ipv4。IP地址、端口號：是安裝了藍盾日志服務器的計算機IP地址和日志服務器的管理端口號，其中：端口號為9999。備注：用戶輸入的信息。工作路徑：存放安全設備的插件和相關文件的工作路徑，用戶可手工輸入也可以通過單擊瀏覽按鈕從目錄樹中選擇已經存在的目錄。取消：放棄本次創建設備操作。確定：系統會自動在功能導航欄中添加一個設備。添加設備成功將會出現如下圖所示。刪除安全設備刪除一個已經存的安全設備，刪除內容包含此設備相關的插件、配置文件等其它文件。先在功能導航欄中選中要刪除的安全設備，然后單擊刪除安全設備出現如下圖所示的提示消息對話框：

5、如上圖所示，按是刪除，否取消。如按是將出如下圖的提示對話框：提示是否刪除該設備工作路徑，按是，將刪除目錄下的所有與設備相的插件和文件。登錄安全設備與安全設備相連接，這里是與藍盾日志服務器進行連接和登錄認證，登錄成功會在功能導航欄中創功能樹，用戶從功能導航中選擇要使用的安全設備，單擊登錄安全設備，將出現如下圖所示登錄窗口： 用戶名、密碼：登錄藍盾日志服務器的用戶名和密碼，登錄成功后會自動從日志服務器中接收功能菜單并在導航欄中創建功能樹。結果如下圖所示：在線狀態離線狀態：表示用戶與日志服務器斷開，如上圖所示的安全設備圖標是。在線狀態：表示用戶與日志服務器相連，如上圖所示的安全設備圖標是 。注銷安全

6、設備 斷開與日志服務器的連接，如果安全設備狀態為在線狀態，用戶可以通過單擊注銷安全設備來斷開與日志服務器的連接。退出系統 關閉程序。32 查看菜單 如下圖所示包含有工具欄、狀態欄、導航欄、信息欄、屬性幾個菜單項。分別表示開啟工具欄、開啟狀態欄、開啟導航欄、開啟信息欄、打開屬性對話框。在它們的左邊包含有“”的標志表示開，否則就表示關。單擊屬性出現如下圖所示對話框： 如上圖所示，顯示了安全設備的屬性，這屬性是用戶創建安全設備時配置的參數，除了設備名稱和工作路徑不能更改外，其他參數都可以更改，修改方法如下。修改設備屬性 用戶單擊屬性菜單，出現如上圖，單擊修改，將出現如下圖所示： 各項含義與創建安全設

7、備“新建安全設備”時是一致的，保存修改再單擊“修改”按鈕，退出修改單擊關閉。33 設置菜單插件管理 如上圖所示，列表框中顯示當前所使用的插件信息，包括：插件ID、插件描述、插件版本、插件庫、插件庫版本。導入：從插件配置文件中導入插件系統。導出：把插件輸出到指定的目標目錄。刪除：把插件從系統中刪除，此操作必須慎重。關閉：關閉此對話框。用戶管理如下圖示，功能包含：添加用戶組、添加用戶、修改用戶。所具用戶組和用戶的權限作用域僅是本地控制中心，用于登錄控制中心，新建、刪除、修改安全設備，插件管理等。左邊是一個用戶組和用戶的樹形列表，根結點是用戶組，子結點是用戶名，右邊顯示當前樹形列表具有焦點的用戶組或

8、用戶名的相關信息，通單擊左邊的列表視圖的結點，可以實現顯示用戶組或用戶名的相關信息。圖a-a新增組 新增一個用戶組，定義組的權限和允許操作的設備，單擊“新增組”可以開始添加新用戶，此時名稱、描述、權限、設備列表均由灰變成可用狀態，同時出現兩個按鈕：“確定”、“取消”，名稱表示用戶名，描述表示名稱的額外信息。全局管理權限表示組具有權限，包括四種權限：設備管理、用戶管理、插件管理、日志管理。按“確定”將添加一個新的用戶組，按“取消”將放棄本次操作。新增用戶 往選定的用戶組添加新的用戶，在上圖的左邊選擇一個用戶組，按“新增用戶”按鈕，將出現如下圖所示：常規：包括名稱、描述、密碼、確認密碼，其中名稱是

9、用戶名稱，密碼和確認密碼必須一致。屬性：包括用戶不能更改密碼，密碼永不過期，帳號已停用，可以選上多個屬性。使用期限：包括開始日期和終止日期。用戶在屬性欄中未選擇“密碼永過期”，則由灰變成可用戶狀態，這樣使用期限才有效。確定：輸入完成，確認要添加新用戶，單擊“確定”取消：取消添加新用戶并關閉對話框。刪除 刪除一個用戶組或一個用戶，在上圖a-a(“用戶管理”)中選中要刪除的用戶或組，單擊“刪除”按鈕。修改修改一個用戶組或用戶，在上圖a-a(“用戶管理”)中選中要修改的用戶或組，如果是修改用戶組，將出如下圖示：如上圖示，用戶單擊修改，常規、全局管理權限、設備操作權限將由灰變成可用狀態，確認修改按“確

10、定”，取消修改按“取消“。如果是修改用戶，將出現如下圖所示： 單擊修改，常規、屬性、使用期限、隸屬于，其中：隸屬于表示隸屬于那些組，一個用戶可以同時隸屬多個組，“修改用戶密碼”單擊“更改密碼”按鈕，將出現如下圖所示，操作方法與“新增用戶”一樣，確認修改按“確定”按鈕，取消修改按“取消”按鈕。更改密碼 更改當前登錄控制的用戶的密碼，用戶需要輸入原來的密碼，如下圖：34 日志管理 這是本系的核心功能模塊，如下圖，主要功能包括系統管理、實時信息、日志分析、用戶管理和服務器狀態，系統管理維護日志服務器的系統參數和系統相關信息，實時信息主要包括實時流量、日志實時顯示和實時統計等，日志分析主要是事后日志查

11、看、檢索、統計功能和報表輸出。用戶管理主要是添加、修改、刪除用戶，這里的用戶指的是登錄到日志服務器與日志管理服務端相連接時的用戶。服務器狀態是所有志日服務器的包接收的狀態的統計。341 系統管理包括參數設置、設備管理、操作審計、插件管理。參數設置用戶單擊參數設置，首先出現如下圖所示對話框，從服務端接收參數信息。定義系統的服務端的日志接收端口、管理端口、日志文件的保存路徑、系統管理客戶端的IP范圍。接收端口：定義日志管理服務端接收設備日志的協議和端口，用于服務端與日志設備之間通信，協議通過下拉列表框選擇, “添加”：添加一個服務端接收設備日志的端口，“刪除”：刪除一個服務端接收設備日志的端口。管

12、理端口：服務端開放的端口號，用于服務端與客戶端之間通信。日志文件的保存路徑：定義服務端保存日志文件的路徑。管理客戶端地址限制：定義管理客戶端的IP地址，啟用表示允許管理客戶端程序與服務端連接通信，表示禁止管理客戶端程序與服務端連接通信。“添加”：添加一個新的客戶管理端IP，添加成功自動在客戶端地址列表框中添加一條記錄，“刪除”刪除一個客戶管理端IP。客戶端地址列表：表示管理客戶端IP地址列表，在列表中未標明的IP或標明禁用的IP是禁止管理客戶端程序與服務端連接通信。下載：從服務端下載保存參數配置的文件到客戶端，用戶單擊下載將出現如下所示通用文件選取對話框，選擇一個文件用于保存從服務端發來的參數

13、配置文件內容。如果選擇的是一個現有的文件將會覆蓋此文件，如果是一個新文件將自動創建。 上傳：從本地選擇一個參數配置文件上傳到服務端，用戶單擊“上傳”將出現如下圖所示的通用文件擇取對話框，從本地選擇一個參數配置文件。設備管理用于添加、刪除日志設備和修改日志設備參數，日志設備參數包括：設備名稱、IP地址、配置文件名稱、文件名規則、緩存大小、加密插件、分析插件、鑒別插件。用戶單擊設備管理，將從服務器中接收日志設備列表，顯示如下所示。導入：先清除當前列表框記錄，然后從一個設備列表文件中讀取記錄信息并添加到列表框中。導出：將列表框中的記錄保存到一個設備列表文件中。添加：添加一個新的日志設備到服務端日志設

14、備列表文件中，同時添加一個記錄到列表框中。單擊添加將出現如下圖所示的對話框。如上圖所示，主機地址是設備的IP地址，配置文件是存放字段信息的文件名，此字段為空表示缺省，文件名規則是日志文件名命名規則，默認為四位年兩位月兩位日(yyyymmdd)，即一天一個日志文件，緩沖存大小0表示缺省，加密插件是服務端與客戶端之間進行通信時數據解密和加密插件，分析插件是對數據包進行解釋的插件，鑒別插件是對數據包合法性進行鑒定的插件。加密插件選擇，從加密插件樹形列表中雙擊要選中的項，如果出現符號“”表示選中，出現符號“”表示取消選中，在樹形列表中只能有一個項現“”符號。分析插件和鑒別插件的選擇方法與加密插件一致。

15、確認添加按“確定”按鈕，取消本次操作按“取消”按鈕，設備添加成功以后需要斷開設備重新登錄后新的設備才會添加到導航菜單，如下圖所示,其中就是剛才添加的新的日志設備。 刪除：從服務端日志設備列表配置文件中刪除一條記錄，操作方法：從列表框中選中一項，單擊“刪除”按鈕。編輯：修服務端日志設備列表配置文件中的一條指定的記錄，操作方法：從列表框中選中一項，單擊“編輯”按鈕，將出現類似上圖的修改設備對話框，操作步驟參考“增加”。操作審計查看每天客戶端登錄到服務端的日志記錄和管理操作記錄。單擊操作審計出現如下圖所示，首先從服務器中接收當天客戶端登錄到服務端的日志記錄和管理操作記錄，列表框

16、顯示與當前時間控件日期一致的管理操作日志記錄。查看其日期的操作記錄，單擊日期控件并選中日期，將從服務端接收該天的操作記錄并顯示到下面列表框中。設置列項：用來顯示和隱藏某一列，單擊“設置列項”出現如下圖所示，對話框中顯示所有列項的名稱，打上標記“”表示顯示，否則表示隱藏，通過單擊該復選按鈕來切換顯示與隱藏，確認操作按“確定”按鈕，取消操作按“取消按鈕”。插件管理顯示當前服務端的插件信息和上傳、下傳插件，包括名稱、中文名稱、版本、大小。如下圖所示：下載：從服務端中下載一個插件到本地，操作方法，從列表框中選擇一個記錄，單擊“下載”按鈕，然后系統會顯示一個文件保存對話框，用戶輸入一個新的文件或選擇一個

17、已經存在的文件，單擊保存開始下載。下載完成或失敗都有提示。上傳:從本地選取一個插件上傳到服務端指定的目錄和文件，操作方法，單擊“上傳”按鈕，出現通用文件打開對話框，如上圖所示，選擇一個本地插件文件，單擊“打開”按鈕，然后系統顯示一個確認對話提示是否則啟用新的名稱或覆蓋現有的文件，單擊“確定”按鈕開始上傳，放棄操作按“取消”銨鈕，上傳成功會有提示。啟用新名稱：單擊“啟用新的名字”后，在文件名稱欄輸入新的文件名。341 實時信息 單擊日志設備后出現如下菜單和下圖的該設備的狀態對話。實時分析的功能菜單如上圖所示，包括管理日志流水、警報日志流水、信息日志流水、數據包日志流水、流量

18、日志流水、數據包統計表。流量圖表參數設置：用于設流量曲線圖的縱坐標的范圍和單位，如果確認修改按“保存修改”按鈕。狀態信息：從服務端接收該設備的狀態，包括收到的總字節、收到的總包數、丟失的總包數，“刷新”重新發請求包來獲取最新的狀態信息。設置流水過濾條件：用于設置實時流過的過濾條件，如果有過濾條件存在，那么只符合條件的日志記錄才會顯示在實時信息列表框中，系統僅提供數據包日志和警報日志具有此功能，操作方法：在下拉列表框中選擇日志類型，然后按“設置”按鈕。1、設備數據包日志的設置，從下拉列表中選擇“設備數據包日志”項，單擊設置，顯示對話框如下圖所示：如上所示，為灰色項表示禁用。首先系統會將上一次的設

19、定填充到控件中。此對話包含六個可用的過濾條件，其中協議和動作是通過下拉列表進行選擇，其它自己直接輸入，源端口和目標端口是數值型，“刷新”表示清除所控件的內容重新輸入，按“確定”保存設置，按“取消”放棄操作。其中：動作下拉列表框中的英文對照如下：SCRUB - 流量整形、PASS - 通過、BLOCK - 攔截、NAT 地址轉換、BINAT 1:1映射、RDR 重定向。2、設備警報日志的設置，從下拉列表中選擇“設備警報日志”，單擊設置，顯示如下對話框，系統提供一種過濾條件，即報警級別，通過單擊下拉列表框選擇，“確定” - 保存設置，“取消” - 放棄操作。數據包日志流水IP包日志記錄實時信息，下

20、圖是數據包日志流水列表框，列表會不斷向下滾動來顯示新的實時記錄信息，在列表框內任務一處單右鍵鼠標來切換列表框靜止和滾動，靜止狀態時不再接收新的實時信息，滾動狀態只要有新的記錄信息到來就會添加到列表首行，并滾動列表框。數據包日志流水包括：時間、規則、動作、原地址、目標地址、協議、IP版本、總長度、包ID、校驗、原端口、目標端口、長度、包類型、數據等信息,列表框的列項字段是不固定，其中動作部分單詞的解析：scrub- 流量整形、pass - 通過、block - 攔截、nat - 地址轉換、binat - 1:1映射、rdr - 重定向、out - 流出、in 流入、on e0由網卡e0發出的動作

21、。警報日志流水顯示防火墻的IDS（入侵檢測）的日志實時信息，包括來源設備、設備ID、時間、設備名稱、用戶、報警級別、進程、版本、發送者、以太網原地址、以太網目標地址、IP原地址、IP目標地址、IPTTL、TCP原端口、TCP目標端口、TCP標志、TCPSEQ、TCPACK、TCPWIN、HTTP方法、HTTP主機、URI查詢、信息、ICMP類型、ICMP編碼、UDP原端口、UDP目標端口、UDP長度等。列表框的列項字段是不固定,因此這些字段不一定完全出現。在列表框內任務一處單右鍵鼠標來切換列表框靜止和滾動，靜止狀態時不再接收新的實時信息，滾動狀態只要有新的記錄信息到來就會添加到列表首行，并滾動

22、列表框。管理日志流水如下圖所示，管理日志流水顯示管理防火墻的操作日志實時信息，字段包括來源設備、設備ID、時間、名稱、用戶、客戶、命令級別、命令、操作結果。在列表框內任務一處單右鍵鼠標來切換列表框靜止和滾動，靜止狀態時不再接收新的實時信息，滾動狀態只要有新的記錄信息到來就會添加到列表首行，并滾動列表框。信息日志流水如下圖所示，信息日志流水顯示FTP、NAT等其他一些日志實時信息，字段包括來源設備、設備ID、時間、名稱、用戶、客戶、cmdset、信息。在列表框內任務一處單右鍵鼠標來切換列表框靜止和滾動，靜止狀態時不再接收新的實時信息，滾動狀態只要有新的記錄信息到來就會添加到列表首行，并滾動列表框

23、。流量日志流水如下圖所示，流量日志流水顯示流量實時曲線圖和表格，根據用戶定的單位和坐標計算出每秒鐘的流量，然后以曲線圖和表格的形容顯示。曲線圖，單位是kb,坐標0-150.表格圖數據包統計表如下圖所示，數據包統計表顯示實時統計信息，分別對針對動作、流向、協議來進行統計，統計字段包括次數和字節。在列表框中單擊鼠標右鍵，彈出一個菜單如下圖，動作示圖、流向示圖、協議示圖分別顯示動作實時統計餅圖、流向實時統計餅圖、協議實時統計餅圖。“刷新”從重進行一次實時統計，刪除原來表格中的記錄并將最近統計結果顯示，“導出”將列表框中的記錄保存到一個文件中，“打印”將統計結果輸出到打印機。342 日志分析日志分析是

24、事后分析，從日志服務端的文件中讀取記錄，主要功能包事后日志瀏覽、搜索、統計和統計報表打印。雙擊導航欄的分析結點，將出現設備結點列表，然后雙擊設備“”結點，將出現如下圖的菜單樹。包括管理日志、警報日志、信息日志、數據包日志、流量日志。數據包日志單擊“數據包日志”，出現如下圖所示的瀏覽界面。如上圖所示，時間控件是日志文件的日期，瀏覽進度是當前頁號與總頁數的百分比。瀏覽：將界面切換成瀏覽狀態，并從日志服務器中與時間控件所對應的日志文件中讀取第一頁記錄，每頁大小為1000條記錄，如下圖所示：如果當前界面是瀏覽界面，單擊時間控件可切換瀏覽其它日期的第一頁的日志記錄。上一頁：從日志服

25、務器中與時間控件所對應的日志文件中讀取上一頁的日志記錄。跳到：從日志服務器中與時間控件所對應的日志文件中讀取指定頁碼的日志記錄。下一頁：從日志服務器中與時間控件所對應的日志文件中讀取下一頁的日志記錄。復制：在列表框內單擊鼠標右鍵菜單，彈出如下圖所示的菜單：拷貝一條記錄是把鼠標點擊行的記錄拷貝到粘貼板。拷貝列表框的所有記錄是把列表框中的所有記錄拷貝到粘貼板。可以通過“記事本”等文字處理軟件粘貼到文件中。統計：根據不同字段對次數和字節進行統計，有的統計結果會只有次數或字節，統計界面如下圖。操作方法：第一、單擊“啟動”按鈕，出現如下圖所示，提交用戶：當前登錄服務端的用戶名會自動添加到這個編輯控件。提

26、交時間：當前操作時間，不可更改。日志時間：日志記錄的日期，即日志文件的時間，通過日期控件選取。統計字段：日志記錄的字段，以此字段作為統計字段，通過下拉列表框選取。確定：按確定將自動添加一條記錄到任務列表框中并發送指令到服務端開始進行統計，如果日志記錄以文件的形容保存的話，可能會很多字段不能統計，如果不支持此字段，服務端會返回一個提示信息。第二、單擊“瀏覽結果”如上圖所示是對協議進行統計的結果，左邊結果表格示圖，表格是按字節列進行排序，右邊表格記錄前10條記錄的次數和字節餅圖，每條記錄對應一種顏色，將鼠標移到餅圖區域內，系統自動彈出提示條，提示條內容為該條記錄的關鍵字、次數或字節值、所占的百分比

27、。如果是柱形圖，若最大次數和最大字節超過2024000次，系統會將柱形圖的單位自動換算成千次和MB，在表格內右擊鼠標出現如下菜單。第三、菜單功能菜單會自動增加和刪除最下面三個項，如果單擊前兩項，那么下次菜單會刪除最下面的三項，如果單擊相匹配的記錄，那么下次菜單會增加最下面三項。如果在協議(UDP)記錄所在行單擊右鍵鼠標，然后單擊相匹配的記錄，系統將會向服務端發送一條搜索協議等于UDP的指令并開始進行搜索，如下圖所示，上一頁：從搜索的結果后退翻頁。跳到：從搜索的結果直接跳到某一頁。下一頁：從搜索的結果向前翻頁。第四、導出和打印導出：將統計結果輸出到一個文本。單擊“導出”按鈕出現如下圖所示的通用保

28、存對話，用戶選擇一個目錄和填入一個新的文本文件。打印：預覽和打印統計結果，單擊“打印”按鈕出現如下圖所示預覽圖：如下圖所示的包含工具條： ，工具條包含按鈕：首頁、后退、跳到、前進、最后一頁、縮小、放大、打印、打印設置、關閉。檢索：從日志服務器中與時間控件所對應的日志文件中搜索符合條件的記錄。單擊“檢索”銨鈕，出現如下圖所示。系統會自動把原來設定的搜索的條件顯示到對話框中。起始時間、終止時間：如果要設置時間條件，可以包含起始時間和終止時間，單擊起始時間的復選按鈕和終止時間的復選按鈕，如果只選擇起始時間，則系統會自動追加一個終止時間“23:59:59”；如果只選擇終止時間，那么系統會追加一個起始時間“00:00:00”。源IP地址、源端口、目標IP地址、目標端口、規則：這條件直接在編輯框中輸入。協議：包括應用層協議FTP、TELENET、POP3、SMTP、HTTP和常用的協議。這個條件通過單擊下拉列表框選擇。類型：TCP包的標志位，僅對TCP包有效，URG、ACK、PSH、RST、SYN、FIN復選按鈕只能單選。刷新：將對話框中的內容清除。確定：如果檢索條件不