OSSIM5.0 重要日志加入到知识库

    OSSIM系统中采用了共享信息的接口，称之为知识库（KBD），知识库是具有一定智能的信息安全管理软件，在开源领域中目前只有OSSIM系统具有基于知识的系统。在此 之前进行安全评估和漏洞分析时，经常会碰到对于海量信息查找缓慢，查找效率底下等问题，如今在Ossim中使用了知识库提高了我们分析问题的速度。知识库往往通过关联分析引擎联动，为应急响应提供了知识保障。

  应用之一是可以将漏洞扫描的结果作为IDS系统的数据源。我们打开SIEM控制台查看事件信息就能发现。如下图，

  我们单击第一条可以看到

    图中原始日志是日志规范化过程中的一部分，原始日志是必须保留的。下面我们看看它提供了哪些信息，事件的下方知识库信息，这些信息可以由用户自己添加。

  首先，通过选择日志左侧方框选项，在单击右键就能加入到相应的知识库中，如下图所示。

   

  

进入到Configuration下面的threat Intelligence，点击最后面的Knowledge Base，点击下面的New Document,向知识库中添加新的条目。如下图：

点击new Document之后的效果：

在新增的知识库中的条目还可以上传图片，可以是系统的故障图。

通过收集这些日志信息，并放到OSSIM的知识库中，长期积累，是一笔宝贵财富，也为今后网络故障诊断和取证留下重要的判断依据。

参考书目：开源安全运维平台Ossim最佳实战，李晨光著。