随着计算机科学的髙速推广,IT系统的告警日志数量呈几何的趋势增长,告警日志中记录着攻击行为的相关信息,通过日志分析可以及时修复系统中存在的安全漏洞,对于系统防护具有十分重要的地位。日志检索模型负责告警日志的安全存储和快速检索,随着日志文件的迅速积累,传统的日志检索模型在存储和检索上存在较多不足。首先,告警日志是攻击者的首要目标,攻击者通常会篡改告警日志来遮挡攻击行为的相关信息,传统的日志检索模型通常无法保证告警日志的数据完整性,导致日志分析的准确性不高。其次,由于告警日志内容简单、格式复杂,告警日志的检索操作往往会提取到大量的无关告警,这些告警日志不包含攻击行为的相关信息,使得后续日志分析的效率低下。为解决告警日志的安全存储和密文检索两方面的问题,提出了一种基于告警关联的日志密文检索方案,通过对攻击源地址的威胁评估,提取出威胁程度更高的告警日志,构建密文索引结构,并使用告警关联的方法对告警日志进行相关性分析,将同一攻击场景的告警日志进行关联检索。为了保证告警日志的数据完整性,使用基于区块链的分布式存储结构保存告警日志,并将日志索引结构存放在数据区块中,提供告警日志的密文检索。采用查询区块索引库的方式代替传统的区块链顺序检索,提高了告警日志的检索效率。从实验结果可知,基于告警关联的日志密文检索方案能够保证告警日志的存储安全性并获得具有攻击意图的告警日志。主要研究工作如下:首先,为了获取具有分析需求的告警日志,定义了一个源地址威胁程度的计算公式,通过威胁评估提取威胁程度更高的源地址和相应告警日志,构建安全索引提供告警日志的检索,并通过分析告警日志的相关性,提取出属于同一个攻击场景的告警日志构建索引结构,提供攻击场景日志的关联检索。其次,通过使用分布式存储系统存储告警日志解决日志数量太大而不利于保存的问题,从告警日志中提取出日志Hash值与日志文件名称组成元数据,并基于区块链不易篡改的特性将日志元数据存储在数据区块中,保护告警日志的关键信息,并将索引结构存放在区块头中,提供告警日志的密文检索。最后,为了提高告警日志的检索效率,设计一个记录数据区块存储位置的区块索引库代替传统的链式查询,采用密文检索的方式安全提取告警日志,能够通过查询区块索引库得到目标区块,从而在数据区块的索引结构中获取告警日志的文件名称,并对日志检索结果进行完整性验证。通过实验分析可知,基于告警关联的日志密文检索方案的检索效率较高,数据区块的生成耗时并不会由于索引构建而快速增长,并证明了检索方案能够保证告警日志的检索安全性,同时分析了日志检索结果的召回率和准确率证明基于告警关联的日志密文检索方案能够用于检索攻击场景的告警日志。