网络信息安全问题越来越受到人们的关注,安全审计技术的研究成为解决这一问题的有效途径之一。安全审计的研究主要集中在对审计采集技术,审计分析技术和体系结构的研究。分布式的安全审计系统是安全审计体系结构设计的一个趋势。本文设计和实现了一种分布式的安全审计框架,把审计中心设计成一种服务模型,并以接口的形式为其他各模块提供服务。这样的模型设计满足审计系统跨平台、跨编程语言的要求。在整体框架中融入了过滤器模块,实现了过滤器的动态和静态设置,这在其他安全审计系统中还是少见的。为了管理和分析的便利,本文分析其他常用的日志格式,确定了一种通用审计日志格式,并定义了各种安全审计事件。在审计分析方面可以采用报警关联技术和其他审计分析技术相结合,这种方法有利于审计分析。报警关联技术包括合并重复的、删除无意义和错误的、组合琐碎的告警,使得安全审计分析和响应更加有效。在这方面本文主要研究了报警关联分析,为了表达攻击发生的前提条件和结果之间的逻辑关系,采用了能力模型的概念,并使用基于能力模型的报警关联机制来自动关联属于同一次多阶段攻击中的报警。最后,在结合分布式安全审计系统设计了报警关联器。