组织：中国互动出版网（http://www.china-pub.com/）<br />
RFC文档中文翻译计划（http://www.china-pub.com/compters/emook/aboutemook.htm）<br />
E-mail：ouyang@china-pub.com<br />
译者：郝国生（booking&nbsp;&nbsp;gs_hao@263.net）&nbsp;<br />
译文发布时间：2002-1-18<br />
版权：本中文翻译文档版权归中国互动出版网所有。可以用于非商业用途自由转载，但必须<br />
保留本文档的翻译及版权信息。<br />
<br />
<br />
<br />
Network&nbsp;Working&nbsp;Group&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;J.&nbsp;Arvidsson<br />
Request&nbsp;for&nbsp;Comments:&nbsp;3067&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Telia&nbsp;CERT<br />
Category:&nbsp;Informational&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;A.&nbsp;Cormack<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;JANET-CERT<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Y.&nbsp;Demchenko<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;TERENA<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;J.&nbsp;Meijer<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;SURFnet<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;February&nbsp;2001<br />
TERENA'S事件对象描述和转换格式要求&nbsp;<br />
(RFC3067—TERENA's&nbsp;Incident&nbsp;Object&nbsp;Description&nbsp;and&nbsp;Exchange&nbsp;Format&nbsp;equirements)<br />
<br />
备忘录状态<br />
该备忘录专为Internet&nbsp;组织提供信息。它不指定任何类型的Internet&nbsp;标准。本备忘录的<br />
发行不受任何限制。<br />
版权声明<br />
Copyright&nbsp;(C)&nbsp;The&nbsp;Internet&nbsp;Society&nbsp;(2001).&nbsp;&nbsp;All&nbsp;Rights&nbsp;Reserved.<br />
摘要<br />
事件对象描述和转换格式的目的是要定义通用数据格式，该数据格式用于CSIRTs（计<br />
算机安全事件响应组）（包括：报警、事件调查、存档、统计、报告等）之间事件信息的描<br />
述、存档和转换。本文献描述了对于这样一种事件对象描述和转换格式的高级要求，包括那<br />
些要求的原因。并在必要的地方引用例子对这些要求进一步解释。<br />
目录<br />
1本文献约定使用	3<br />
2介绍	3<br />
2.1基本原理	3<br />
2.2事件描述术语	4<br />
2.2.1攻击	4<br />
2.2.2攻击者	4<br />
2.2.3&nbsp;CSIRT	4<br />
2.2.4损害	4<br />
2.2.5事件（Event）	4<br />
2.2.6证据	5<br />
2.2.7事件（Incident）	5<br />
2.2.8效果	5<br />
2.2.9目标	5<br />
2.2.10受害者	6<br />
2.2.11缺陷	6<br />
2.2.12其它术语	6<br />
3综合要求	6<br />
4描述格式	6<br />
4.1&nbsp;IODEF将支持完全国际化和地方化	6<br />
4.2&nbsp;IODEF必须支持事件描述的模块化以允许数据集合与过滤	7<br />
4.3&nbsp;IODEF必须支持对每一个元件访问限制策略的应用	7<br />
5通信机制要求	7<br />
IODEF转换将通常由使用标准协议的人发起，例如，e-mail,&nbsp;WWW/HTTP,	7<br />
6信息内容	8<br />
6.1&nbsp;IO描述的根部件应当包括唯一的辨别数字（或者标识符）、IO目标以及缺省许<br />
可级别	8<br />
6.2&nbsp;IODEF描述的内容应当包括攻击的类型，如果攻击是可知的	8<br />
6.3&nbsp;IODEF描述必须结构化以便那些诸如来自CERT/CC,&nbsp;CVE的任何相关的咨询都<br />
可以涉及到	8<br />
6.4&nbsp;IODEF可以包括引起当前事件攻击的详细描述	8<br />
6.5&nbsp;IODEF描述必须包括或者能够涉及与明确的优先事件/行为相关的额外详细数<br />
据以及经常提到的证据	9<br />
6.6&nbsp;IODEF描述必须包括对攻击者和受害者的描述	9<br />
6.7&nbsp;IODEF描述必须支持设备地址不同类型的表述，例如IP地址（版本4.0或6.0）<br />
和国际互联网名称	9<br />
6.8&nbsp;IODEF必须包括事件对象创建者（CSIRT或其他权威）的身份	9<br />
6.9&nbsp;IODEF描述必须包括事件对目标可能影响的说明	9<br />
6.10&nbsp;IODEF必须能够声明在报告信息中的可信度	10<br />
6.11&nbsp;IODEF描述必须提供关于事件过程中以前的CSIRTs采取措施的信息	10<br />
6.12&nbsp;IODEF必须支持沿事件生命周期全阶段的时间报告	10<br />
6.13&nbsp;时间应视作当地时间和来自UTC的时区偏移	10<br />
6.14&nbsp;报告日期的格式必须适应全部的当前标准2000年翻转法，并且必须有足够的<br />
容量持续记录直到2038年的日期有效值	10<br />
6.15&nbsp;IO时间参数中的时间间隔尺寸将不由IODEF确定	11<br />
6.16&nbsp;IODEF应当支持描述内容的机密性	11<br />
6.17&nbsp;IODEF应当确保描述内容的完整性	11<br />
6.18&nbsp;IODEF应当确保信息内容的真实性和非批判性	11<br />
6.19&nbsp;IODEF描述必须支持可能被执行者使用的扩展机制	11<br />
6.20&nbsp;必须适当定义IODEF描述的语义学	12<br />
7&nbsp;IODEF扩展性	12<br />
IODEF自身必须是可扩展的	12<br />
8&nbsp;安全考虑	12<br />
9&nbsp;参考文献	12<br />
致谢	13<br />
作者地址	14<br />
全部版权声明	14<br />
认证	14<br />
<br />
1本文献约定使用<br />
在本文献中使用的关键字"MUST",&nbsp;"MUST&nbsp;NOT",&nbsp;"REQUIRED",&nbsp;"SHALL",&nbsp;"SHALL&nbsp;NOT",<br />
"SHOULD",&nbsp;"SHOULD&nbsp;NOT",&nbsp;RECOMMENDED",&nbsp;"MAY",&nbsp;and&nbsp;"OPTIONAL"&nbsp;将按照在<br />
RFC&nbsp;2119&nbsp;[1]中所描述的那样来解释。<br />
2介绍<br />
本文献定义了事件对象描述和转换格式(IODEF)的要求，这些要求是事件分类工作组<br />
(ITDWG)&nbsp;在TERENA&nbsp;[2]方面所期望的产物。IODEF计划将成为一种标准，该标准允许<br />
CSIRTs转换可操作和可统计的信息。这一标准也可能为兼容的和可互联操作工具的发展提<br />
供一种基础，这些工具则用于事件记录、跟踪和转换。<br />
另一个目标是把IETF&nbsp;IDWG的工作（当前主要集中在侵入检测转换格式和通讯协议两<br />
方面）扩展到和网络安全中较高级元件相同事件的描述。这一方案将涉及到CSIRTs以及与<br />
他们的支持者相关的诸多问题。<br />
本文献将第一次包括文献类的IODEF设置，IODEF数据模版和XML&nbsp;DTD说明。关于<br />
该文献进一步的讨论请与以下邮件地址联系：incident-taxonomy@terena.nl或者&nbsp;<br />
iodef@terena.nl&nbsp;，相关文档可以通过以下网址得到：<br />
http://hypermail.terena.nl/incident-taxonomy-list/mail-archive/&nbsp;&nbsp;以及<br />
http://hypermail.terena.nl/iodef-list/mail-archive/&nbsp;。<br />
2.1基本原理<br />
工作是以试图建立合作和信息转换为基础的，该合作以及信息转换将在欧洲最主要的/<br />
高级的CSIRTs和FIRST团体之间完成。这些CSIRTs懂得信息转换以及合作在处理、跟<br />
踪和调查安全事件中的优势所在。<br />
计算机事件正在逐渐变为分布式和国际化的事件，许多CSIRTs事件突破了国界、语言<br />
和文化的约束。对于未来事件的预防和国际互联网安全性的改善来说，邮递事件信息以及统<br />
计学转换便显得尤为重要。在所有这些事件中，信息转换的关键因素在于事件（对象）描述<br />
的通用格式方面。<br />
IODEF的进一步发展或者执行可能会用于辩论的目的，这意味着事件描述必须明确，并<br />
且允许将来保管（档案/文件）这些特征。<br />
把开发IODEF作为目标的另一方面原因是需要有比IDS（侵入检测系统）将要提出的和<br />
IDEF（侵入检测转换格式）所建议的更高水平的事件描述和转换格式。与IDEF以及其他相<br />
关标准的兼容性将由IODEF对模块化和扩展性的要求给予满足。IODEF应当与IDMEF纵<br />
向兼容，IODEF可以能够包括或者参照IDMEF报警信息作为关于事件的初始信息。<br />
2.2事件描述术语<br />
下面清楚地给出了本文献其余部分所使用主要术语的定义。<br />
其中，可能使用一些现有的定义。许多定义需要附加细节和进一步考虑。<br />
由TERENA's&nbsp;ITDWG&nbsp;[2]创建的计算机安全事件相关术语分类法在[12]中被介绍。<br />
2.2.1攻击<br />
是指对系统安全的侵袭，这种袭击来源于一种智能威胁，例如，经过深思熟虑试图躲避<br />
安全服务、避开系统安全策略的这样一种智能行为。<br />
攻击可能是主动的也可能是被动的，可能是内部知情人员也可能是外部毫不相关人员，<br />
或者是经由攻击的中间人员。<br />
2.2.2攻击者<br />
攻击者是指为达到某种（些）目的而尝试一次或多次攻击的个别人员。<br />
对于IODEF的目的，可通过其网络身份来描述攻击者，网络身份组织是引起网络/计算<br />
机攻击和物理位置信息（任意）的所在。<br />
2.2.3&nbsp;CSIRT<br />
CSIRT（计算机安全事件响应序列）在IODEF被用于提及权威人士处理事件和创建事件<br />
对象描述。CSIRT也可能涉及到证据的收集和保管以及事件维护等。<br />
在IODEF&nbsp;CSIRT中通过其身份、支持者、公共键等呈现出来。<br />
2.2.4损害<br />
是指影响目标系统或服务正常操作的攻击所产生的有意或无意后果。损害描述可以包括<br />
实际攻击效果免费文本描述，如果可能，还会包括独特被破坏的系统、子系统或者服务的结<br />
构化信息。<br />
2.2.5事件（Event）<br />
是指直接面对目标的一种行为，这种行为会趋向于引起目标状态（情形）的变化。从事<br />
件起源的观点来看，该术语可以被定义为系统或网络中任何可见事件，而该事件会导致即将<br />
产生的报警事件的发生。例如，在10秒钟时间内连续3次登录失败，就可能显示强行登录<br />
攻击事件。<br />
2.2.6证据<br />
证据是指与事件相关的信息，该信息用来证明或支持关于事件的结论。对于安全事件（事<br />
件），可能包括以下内容，但不局限于以下内容：由侵入检测系统(IDS)创建的数据累积、来<br />
自系统日志文件的数据、要点统计、高速缓存、存储、临时文件系统或者其它引起报警或在<br />
事件发生后收集的数据。<br />
当存储、存档证据的时候必须采用专用的规则，必须十分小心，特别要保护证据的完整<br />
性。必要的时候，证据应当加密存储。<br />
根据证据收集和存档的指导方针，证据必须被严格保护。一系列证据保管需要被清楚证<br />
明。<br />
根据当地的法律进行收集、存档和保护证据是必不可少的。<br />
2.2.7事件（Incident）<br />
该术语是指涉及到安全违例的安全事件。事件可以定义为单个或群体攻击，无论单个或<br />
群体攻击都可以通过攻击方法区分开来，如攻击者身份、受害者、地点、目标或定时等。<br />
事件是指IODEF的根组件。在IODEF的上下文中，所使用的术语事件是指计算机安全<br />
事件或者IT安全事件。<br />
然而我们应当在事件的真正定义之间加以区分，事件Incident是指可能引起损害或者损<br />
害不太严重的事件event，接下来给出安全事件、IT安全事件的定义。<br />
a)	安全事件incident是指涉及安全违例的事件event。这可能是指违反安全策略、<br />
UAP、规则以及权限等的事件event。安全事件incident也可能是指已经升级到安<br />
全事件的事件incident。安全事件比事件incident对安全或组织中的影响更糟糕。<br />
安全事件可能是逻辑的、物理的或者组织的，例如计算机入侵、秘密暴露、信息丢<br />
失、火警或者不能正常工作的警报等。安全事件可能是有目的的引起，也可能是不<br />
经意间产生。后者产生的可能情况是忘记锁门或者忘记激活路由器中的访问列表。<br />
b)	IT安全事件根据[9]定义为任何真实的或令人怀疑的与计算机或计算机网络安全相<br />
关的不利事件event。在IT领域的典型安全事件是：计算机入侵、拒绝服务攻击、<br />
信息丢失或者数据非法操作等。<br />
2.2.8效果<br />
效果用来根据用户群体所表述的描述攻击的结果，例如财政方面的花费或者其他破坏。<br />
2.2.9目标<br />
是指计算机或者网络逻辑实体（说明、进程或数据）或物理实体（组件、计算机、网络<br />
或国际互联网）。<br />
2.2.10受害者<br />
受害者是指遭受攻击的个人或组织，这种攻击在事件报告中给予描述。<br />
对于IODEF的这种目的，受害者可以通过其网络身份、组织以及位置信息来描述。<br />
2.2.11缺陷<br />
是指在系统的设计、执行或者操作、管理中的缺点或弱点，这些缺点或弱点可能会引起<br />
违反系统的安全策略的事件发生。<br />
大多数系统都有某些类型的缺陷，但是这并不意味着系统太差而不能使用。并不是每一<br />
次攻击都会产生致命的结果，也并不是每一次攻击都会成功。成功攻击取决于缺陷的程度、<br />
攻击的力度以及采用对策的有效度。如果攻击需要突破的缺陷非常难于逾越，那么这样的缺<br />
陷是可以容忍的。如果对于攻击者来说仅得到非常小的利益，那么甚至容易被突破的缺陷也<br />
是可以接受的。然而，如果攻击容易理解，易于实施，并且易受到攻击的系统被大范围内的<br />
用户突破，那么实施攻击的人极有可能会得到足够多的利益。<br />
2.2.12其它术语<br />
其它使用的术语有：报警、行为、IDS、安全策略等，它们在相关的I-Ds,&nbsp;RFCs&nbsp;和&nbsp;<br />
standards&nbsp;[3,&nbsp;6,&nbsp;7,&nbsp;8,&nbsp;9,&nbsp;10]中被定义。<br />
3综合要求<br />
IODEF将可能涉及和使用当前出版的RFCs&nbsp;。<br />
评论<br />
IETF已经在网络和安全领域开发了大量的标准，这些标准已经在目前的国际互联网中得<br />
到实际配置。考虑到当前的标准为IODEF和其它相关技术的兼容性提供框架，有必要在实<br />
际中操作/执行IODEF。对于IODEF兼容性的另一个问题，是当前IETF&nbsp;IDEWG正在开发<br />
的与IDEF的兼容性。出于对时间和兼容性的考虑，已定义的和公认的标准应当在任何可能<br />
的地方使用。<br />
特别地，IODEF分类协议应当主要依靠现有的计算机通讯、加密技术和语言标准，当然，<br />
如果可能的话。<br />
4描述格式<br />
4.1&nbsp;IODEF将支持完全国际化和地方化<br />
评论<br />
既然许多事件需要来自不同国家、不同文化、不同地理区域CSIRTs的参与，因此必须<br />
形成IODEF描述，以便这些事件可以被使用地方语言并坚持采用地方陈述方式的操作员引<br />
用。<br />
尽管对于IODEF标识符和标签的分析语言考虑采用英语，但是如果有必要的话，地方<br />
IODEF的执行可以把分析语言标识符和标签翻译成当地语言并给予陈述。<br />
可能也需要日期、时间、名称的地方化表述。在信息包括文本串和名称的情况下就需要<br />
不同于Latin-1(or&nbsp;ISO&nbsp;8859-1)的特点，信息应当更适宜使用ISO/IEC&nbsp;IS&nbsp;10646-1字符集被<br />
重新提出，应用UTF-8转换格式进行编码，并且可以自由使用地方字符集和编码[13]。<br />
4.2&nbsp;IODEF必须支持事件描述的模块化以允许数据集合与过滤<br />
评论<br />
这表明带有IODEF的事件描述可以包括外部信息，例如，来自IDS或者涉及外部存储<br />
证据保管数据，或者可能从当前IODEF描述被除去的那些信息，比如秘密和安全目的。对<br />
于该要求的另一种实际/真实目的在于为CSIRTs/管理者提供可能性，用以实现对IODEF<br />
描述的过滤和/或数据集合功能，而IODEF描述则是为了统计、报告以及CSIRTs和/或他<br />
们的支持者和赞助者之间的高水平事件信息转换。<br />
因此IODEF描述必须结构化以简化这些操作。这也意味着要加强IODEF语义学。<br />
4.3&nbsp;IODEF必须支持对每一个元件访问限制策略的应用<br />
评论<br />
IODEF事件描述潜在地包括敏感和私人信息（例如密码、个人/组织标识符或者辩论信息<br />
（证据数据）），在某些情况下这些信息可能会暴露给未经授权的个人。特别地，在CSIRTs<br />
或者其他涉及到的实体之间进行事件信息转换的情况下，这样的情形可能会出现。在某些情<br />
况下可以通过加密IODEF组件来完成处理，然而事情不可能总是这样。<br />
因此，为了防止敏感数据的意外泄漏，IODEF对象的部分必须用访问限制属性来标记。<br />
当和自动操作处理系统一起使用的时候这些标记将会非常有用。<br />
5通信机制要求<br />
&nbsp;IODEF转换将通常由使用标准协议的人发起，例如，e-mail,&nbsp;<br />
WWW/HTTP,<br />
LDAP.<br />
评论<br />
IODEF描述通常是由使用专用的或标准的文本编辑器的人创建的。IODEF以通过自动操作<br />
事件处理系统实现处理为目标，但是对于人来说仍然必须是易读、可见和可用标准工具（例<br />
如，浏览器或电子桌面处理器或类似于微软Excel&nbsp;或者Access的数据库工具）浏览的。事<br />
件信息转换将通常需要操作人员或者CSIRT管理人员的认可，因此并不是期望的那样自动<br />
发起。事件处理系统的作用是为实现转换提供帮助和工具。<br />
把机制易读、可交换的IDEF侵入信息格式、人员导向和创建IODEF事件描述各自的目<br />
的区分开来是非常重要的。<br />
通信安全要求根据地方策略将单独应用，因此在本文献中没有给出定义。<br />
6信息内容<br />
6.1&nbsp;IO描述的根部件应当包括唯一的辨别数字（或者标识符）、IO目<br />
标以及缺省许可级别<br />
评论<br />
唯一的辨别数字（或者标识符）对于把一个事件与另一个事件区分开来是非常必要的。<br />
这意味着唯一的辨别数字将至少包括关于IO创建者的信息，例如CSIRT或相关实体。事件<br />
的分类也可能被用来形成唯一的辨别数字。IO目的是将实际控制那些包含在IODEF对象中<br />
的元件。这些目的可能包括事件报警/注册、事件处理、存档、报告或统计。目的、事件类<br />
型或事件研究的状态可能需要事件信息访问许可的不同级别。<br />
IODEF的根元件将看作事件&lt;INCIDENT&gt;，而额外的信息将被看作根元件的属性。<br />
6.2&nbsp;IODEF描述的内容应当包括攻击的类型，如果攻击是可知的<br />
期望攻击类型能够从事件的标准列表中提取到，如果事件的类型还没有被标准化，则事<br />
件的新类型可以使用暂时实行的特别类型。<br />
评论<br />
事件处理可能会涉及到许多不同的职员成员或工作组。因此必不可少地使用通用术语来<br />
描述事件。<br />
如果事件类型还没有标准化，暂时的类型定义可以由IO的创建组提供。期望新的类型名<br />
将会是自解释性的并且来自类似现有的类型定义。<br />
6.3&nbsp;IODEF描述必须结构化以便那些诸如来自CERT/CC,&nbsp;CVE的任<br />
何相关的咨询都可以涉及到<br />
评论<br />
使用标准咨询以及可知攻击和缺陷的列表将允许应用它们对事件处理/预防的评论。这样<br />
的信息可能会作为攻击或缺陷类型定义的属性被包括进来。<br />
6.4&nbsp;IODEF可以包括引起当前事件攻击的详细描述<br />
评论<br />
攻击的描述包括关于攻击者和受害人的信息、攻击的表现现象以及可能的影响。在侵入<br />
的初期阶段，报警和事件处理可能是最小的信息，在事件的处理过程中，对于事件调查和补<br />
救来说这一信息将会逐渐变得足够大。元件攻击应当是事件描述的主要部分之一。<br />
6.5&nbsp;IODEF描述必须包括或者能够涉及与明确的优先事件/行为相关<br />
的额外详细数据以及经常提到的证据<br />
评论<br />
许多目的事件描述并不需要导致事件发生的明确事件/行为的详细信息，这种信息可以被<br />
参考作外部信息（通过URL方式）。在某些情况下可以方便地分别存储有不同访问许可的证<br />
据。可以预测另一个将要被提议的标准针对证据保管[5]。<br />
6.6&nbsp;IODEF描述必须包括对攻击者和受害者的描述<br />
评论<br />
为了辨别攻击的来源和目标，信息是所必需的。关于攻击者和受害者的最少信息是他们<br />
的IP或者网络地址，扩展信息将识别他们的组织，允许CSIRTs为他们的独特支持者采取<br />
适当的保护措施。<br />
6.7&nbsp;IODEF描述必须支持设备地址不同类型的表述，例如IP地址（版<br />
本4.0或6.0）和国际互联网名称<br />
评论<br />
发起攻击的站点可能在网络协议层的不同层次（例如，数据层2&nbsp;MAC地址，网络层3&nbsp;IP<br />
地址）都有地址。另外，涉及到入侵事件的设备可以使用非IP中央的地址，例如ATM地址。<br />
容易理解，关于攻击的来源和目标的信息可以从IDS中得到，并且包括IP地址或MAC地<br />
址，或者两者都有。<br />
6.8&nbsp;IODEF必须包括事件对象创建者（CSIRT或其他权威）的身份<br />
这可能是信息转换的发送者或当前处理事件的队列。<br />
评论<br />
事件描述创建者的身份对于事件响应来说通常是有价值的信息。在某一种可能的情况下，<br />
攻击可能贯穿整个网络取得进展，通过比较不同权威记录的相应事件可能会获得某些关于攻<br />
击来源的额外信息。这也是在传递事件信息处理/转换阶段的有用信息。<br />
6.9&nbsp;IODEF描述必须包括事件对目标可能影响的说明<br />
如果攻击被看作是可知的，或者是由可靠CSIRT组成员用公开语言表述的，则该领域的<br />
价值应当从标准列表的评价中得出。<br />
评论<br />
关于事件对目标可能影响的信息，系统提供对攻击者试图所要做的说明，提供CSIRTs<br />
用来完成损害评估的关键数据的说明。如果没有可靠的参考信息（咨询委员会），该领域可<br />
以基于CSIRT工作组的经验予以实现。<br />
根据当今的资讯委员会（例如，那些来自CERT/CC,&nbsp;CVE等），预计大多数CSIRTs将<br />
会开发事件处理支持系统。这些咨询委员会通常包括识别攻击可能影响的列表。<br />
这也与IDEF的开发有关，IDEF将会在智能IDS中得以实现，并能够从遭受攻击和带有<br />
缺陷的标准数据库中重新找回信息[3]。<br />
6.10&nbsp;IODEF必须能够声明在报告信息中的可信度<br />
评论<br />
在事件的创建阶段包含这一信息是必不可少的，特别是在智能自动化IDS或专用系统被<br />
使用的情况下。这些通常使用统计方法用来估计事件的可能性。<br />
6.11&nbsp;IODEF描述必须提供关于事件过程中以前的CSIRTs采取措施<br />
的信息<br />
评论<br />
IODEF对事件的描述贯穿其始终，从报警开始一直到结束和存档。跟踪全部相关成员采<br />
取的措施是必不可少的。这将有助于确定进一步采取什么样的措施，如果需要的话。这对于<br />
在CSIRTs调查过程之间的事件信息转换来说尤其重要。<br />
6.12&nbsp;IODEF必须支持沿事件生命周期全阶段的时间报告<br />
评论<br />
从报告和意见的相关点来说时间都是非常重要的。如果事件或攻击来自许多个站点或遍<br />
布整个互联网络，时间是能够辨别相同事件或攻击的主要组成部分之一。对于能够跟踪事件<br />
的全过程来说事件也是不可或缺的，这事件包括在CSIRTs调查过程之间的事件转换。<br />
6.13&nbsp;时间应视作当地时间和来自UTC的时区偏移<br />
（注意：参见RFC&nbsp;1902报告时间指导方针）<br />
评论<br />
对于事件相关性目的来说，管理者能够规范化记录在IODEF描述中的时间信息是非常重<br />
要的。<br />
6.14&nbsp;报告日期的格式必须适应全部的当前标准2000年翻转法，并<br />
且必须有足够的容量持续记录直到2038年的日期有效值<br />
评论<br />
由IODEF的目标所确定，IODEF将贯穿描述事件的整个生命周期。在事件存档的情况<br />
下，这一持续时间可以是无限的。因此，必须避免限制时间有效值（例如，在"Unix&nbsp;time"<br />
中注明2038日期表述限制）表达的执行。<br />
6.15&nbsp;IO时间参数中的时间间隔尺寸将不由IODEF确定<br />
评论<br />
通过现有的信息系统IODEF描述可以包括时间数据，重新找回事件报告信息或者从IDS<br />
数据中得到或者是其它的注册工具。这些事件中的每一种都可以有它自己不同的时间间隔尺<br />
寸。为了实现这一目的，根据当地系统的性能应该可以在不同的阶段处理时间。<br />
6.16&nbsp;IODEF应当支持描述内容的机密性<br />
所选的设计应该能够支持加密算法的多样性和必须适应环境的广泛多样性。<br />
评论<br />
IODEF事件描述潜在地包含敏感和私人信息（例如，辩论数据（证据数据）、密码或者<br />
个人/组织标识符等），这些信息对攻击者或犯罪分子有着极大诱惑力。事件信息通常会存储<br />
在网络化的计算机上，而网络化的计算机可能潜在地暴露给攻击者。事件信息可以通过不受<br />
控制的网段进行传送。因此，防止内容被未经授权访问和修改是非常重要的。另外，由于隐<br />
私和加密技术会随着地区和国家的不同而有所差别，并且经常发生变化，所以，已选择的设<br />
计能够支持大量的加密选项并可以适应用户和环境的多样性是非常重要的。为确保通信过程<br />
中事件的安全，可采用额外的措施，但是这个问题超出了IODEF的范围，因为这意味着IO<br />
的常规存档和存储会有更多的规则。<br />
6.17&nbsp;IODEF应当确保描述内容的完整性<br />
所选的设计应当能够支持完整性机制的多样性，并且必须适应环境的广泛多样性。<br />
评论<br />
应当采取专门的措施防止恶意的IO变化。<br />
为确保通信过程中事件的安全，可采用额外的措施，但是这个问题超出了IODEF的范围。<br />
6.18&nbsp;IODEF应当确保信息内容的真实性和非批判性<br />
评论<br />
信息内容的真实性和可说明性是许多工作组所需要的，特别是提供要求自动处理Ios的<br />
工作组，因此，真实性和可说明性必须包括在IODEF中。由于IO真实性和非批判性对于<br />
众多工作组的重要性，尤其是在工作组之间进行通信的情况下，因此强烈建议实现真实性和<br />
非批判要求。<br />
6.19&nbsp;IODEF描述必须支持可能被执行者使用的扩展机制<br />
这一点承认将来的执行细节或者实验数据。执行者必须指明如何解释任何包括在内的扩<br />
展。<br />
评论<br />
执行者可能希望支持额外的信息，诸如内在的目的信息或者他们的事件处理系统的独特<br />
实现所必需的信息。这些数据可能被删除或者并不在客观的通信中，但是把它们标记为额外<br />
的信息用以防止不同系统的错误解释是必不可少的。<br />
6.20&nbsp;必须适当定义IODEF描述的语义学<br />
评论<br />
对于事件描述来说IODEF是一种人为导向格式，并且IODEF描述应该能够被人为的阅<br />
读。自动解析工具可以用于预测，但是不应当将其视作是非常必要的。因此，IODEF必须<br />
提供良好的语义学，该语义学将是理解描述所包括内容的关键因素。在某些情况下，IODEF<br />
描述将用作自动确定决断，因此正确解释描述非常重要。这是使用基于语言的语义学的论据。<br />
IODEF标识符和标签的语言分析用的语言被建议使用英语，如果需要，地方的IODEF执行<br />
可以能够把语言分析用的语言标识符和标签翻译成当地语言和表述方法。<br />
7&nbsp;IODEF扩展性<br />
IODEF自身必须是可扩展的<br />
当使用新技术和开发自动化事件处理系统的时候，对IODEF扩展性的需要是必不可少<br />
的，IODEF将能够包括新的信息。<br />
评论<br />
除了需要扩展IODEF支持新的事件处理工具外，也意味着IODEF将合并来自相关标准<br />
化区域的新的发展，相关标准化区域如IDS的IDEF或者证据保管的专用格式开发。扩展程<br />
序应当基于CSIRT/IODEF委员会接受/承认。<br />
8&nbsp;安全考虑<br />
&nbsp;本备忘录介绍了对事件对象描述和转换格式的一些要求，并尝试为事件描述定义通用数<br />
据格式，存档以及CSIRTs（包括报警、事件调查、存档、统计、报告等）之间关于事件信<br />
息的转换。在IODEF执行的另一方面是出于对安全考虑的主题。访问限制指出的特殊安全<br />
要求在4.3节给出了讨论，对事件描述的机密性、完整性、真实性和非批判性要求在6.16,&nbsp;<br />
6.17,&nbsp;6.18节给出了相应的描述。<br />
9&nbsp;参考文献<br />
&nbsp;&nbsp;&nbsp;&nbsp;[1]&nbsp;&nbsp;Bradner,&nbsp;S.,&nbsp;"Key&nbsp;words&nbsp;for&nbsp;use&nbsp;in&nbsp;RFCs&nbsp;to&nbsp;Indicate&nbsp;Requirement<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Levels",&nbsp;BCP&nbsp;14,&nbsp;RFC&nbsp;2119,&nbsp;March&nbsp;1997.<br />
&nbsp;&nbsp;&nbsp;&nbsp;[2]&nbsp;&nbsp;Incident&nbsp;Taxonomy&nbsp;and&nbsp;Description&nbsp;Working&nbsp;Group&nbsp;Charter&nbsp;-<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;http://www.terena.nl/task-forces/tf-csirt/i-taxonomy/<br />
&nbsp;&nbsp;&nbsp;&nbsp;[3]&nbsp;&nbsp;Intrusion&nbsp;Detection&nbsp;Exchange&nbsp;Format&nbsp;Requirements&nbsp;by&nbsp;Wood,&nbsp;M.&nbsp;-<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;December&nbsp;2000,&nbsp;Work&nbsp;in&nbsp;Progress.<br />
&nbsp;&nbsp;&nbsp;&nbsp;[4]&nbsp;&nbsp;Intrusion&nbsp;Detection&nbsp;Message&nbsp;Exchange&nbsp;Format&nbsp;Extensible&nbsp;Markup<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Language&nbsp;(XML)&nbsp;Document&nbsp;Type&nbsp;Definition&nbsp;by&nbsp;D.&nbsp;Curry,&nbsp;H.&nbsp;Debar&nbsp;-<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;February&nbsp;2001,&nbsp;Work&nbsp;in&nbsp;Progress.<br />
&nbsp;&nbsp;&nbsp;&nbsp;[5]&nbsp;&nbsp;Guidelines&nbsp;for&nbsp;Evidence&nbsp;Collection&nbsp;and&nbsp;Archiving&nbsp;by&nbsp;Dominique<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Brezinski,&nbsp;Tom&nbsp;Killalea&nbsp;-&nbsp;July&nbsp;2000,&nbsp;Work&nbsp;in&nbsp;Progress.<br />
&nbsp;&nbsp;&nbsp;&nbsp;[6]&nbsp;&nbsp;Brownlee,&nbsp;N.&nbsp;and&nbsp;E.&nbsp;Guttman,&nbsp;"Expectations&nbsp;for&nbsp;Computer&nbsp;Security<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Incident&nbsp;Response",&nbsp;BCP&nbsp;21,&nbsp;RFC&nbsp;2350,&nbsp;June&nbsp;1998.<br />
&nbsp;&nbsp;&nbsp;&nbsp;[7]&nbsp;&nbsp;Shirey,&nbsp;R.,&nbsp;"Internet&nbsp;Security&nbsp;Glossary",&nbsp;FYI&nbsp;36,&nbsp;RFC&nbsp;2828,&nbsp;May<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;2000.<br />
&nbsp;&nbsp;&nbsp;&nbsp;[8]&nbsp;&nbsp;Establishing&nbsp;a&nbsp;Computer&nbsp;Security&nbsp;Incident&nbsp;Response&nbsp;Capability<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;(CSIRC).&nbsp;NIST&nbsp;Special&nbsp;Publication&nbsp;800-3,&nbsp;November,&nbsp;1991<br />
&nbsp;&nbsp;&nbsp;&nbsp;[9]&nbsp;&nbsp;Handbook&nbsp;for&nbsp;Computer&nbsp;Security&nbsp;Incident&nbsp;Response&nbsp;Teams&nbsp;(CSIRTs),<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Moira&nbsp;J.&nbsp;West-Brown,&nbsp;Don&nbsp;Stikvoort,&nbsp;Klaus-Peter&nbsp;Kossakowski.&nbsp;-<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;CMU/SEI-98-HB-001.&nbsp;-&nbsp;Pittsburgh,&nbsp;PA:&nbsp;Carnegie&nbsp;Mellon&nbsp;University,<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;1998.<br />
&nbsp;&nbsp;&nbsp;&nbsp;[10]&nbsp;A&nbsp;Common&nbsp;Language&nbsp;for&nbsp;Computer&nbsp;Security&nbsp;Incidents&nbsp;by&nbsp;John&nbsp;D.<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Howard&nbsp;and&nbsp;Thomas&nbsp;A.&nbsp;Longstaff.&nbsp;-&nbsp;&nbsp;Sandia&nbsp;Report:&nbsp;SAND98-8667,<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Sandia&nbsp;National&nbsp;Laboratories&nbsp;-<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;http://www.cert.org/research/taxonomy_988667.pdf<br />
&nbsp;&nbsp;&nbsp;&nbsp;[11]&nbsp;Best&nbsp;Current&nbsp;Practice&nbsp;of&nbsp;incident&nbsp;classification&nbsp;and&nbsp;reporting<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;schemes&nbsp;currently&nbsp;used&nbsp;by&nbsp;active&nbsp;CSIRTs.&nbsp;-<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;http://www.terena.nl/task-forces/tf-csirt/i-<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;taxonomy/docs/BCPreport1.rtf<br />
&nbsp;&nbsp;&nbsp;&nbsp;[12]&nbsp;Taxonomy&nbsp;of&nbsp;the&nbsp;Computer&nbsp;Security&nbsp;Incident&nbsp;related&nbsp;terminology&nbsp;-<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;http://www.terena.nl/task-forces/tf-csirt/i-taxonomy/docs/i-<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;taxonomy_terms.html<br />
&nbsp;&nbsp;&nbsp;&nbsp;[13]&nbsp;Multilingual&nbsp;Support&nbsp;in&nbsp;Internet/IT&nbsp;Applications.&nbsp;-<br />
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;http://www.terena.nl/projects/multiling/<br />
致谢<br />
本文献在事件分类和描述工作组研讨会上被讨论，(http://www.terena.nl/task-forces/tf-<br />
csirt/tf-csirt000929prg.html#itdwg)，采用TERENA&nbsp;任务组TF-CSIRT&nbsp;(http://www.-<br />
terena.nl/task-forces/tf-csirt/)结构。可以通过以下邮件列表与在TERENA的事件分类和描<br />
述工作组联系：<br />
incident-taxonomy@terena.nl或者iodef@terena.nl<br />
文档可以通过以下相关网址得到：<br />
http://hypermail.terena.nl/incident-taxonomy-list/mail-archive/&nbsp;和<br />
http://hypermail.terena.nl/iodef-list/mail-archive/<br />
作者地址<br />
Jimmy&nbsp;Arvidsson<br />
&nbsp;&nbsp;&nbsp;Telia&nbsp;CERT<br />
&nbsp;&nbsp;&nbsp;EMail:&nbsp;Jimmy.J.Arvidsson@telia.se<br />
&nbsp;&nbsp;&nbsp;Andrew&nbsp;Cormack<br />
&nbsp;&nbsp;&nbsp;JANET-CERT<br />
&nbsp;&nbsp;&nbsp;EMail:&nbsp;Andrew.Cormack@ukerna.ac.uk<br />
&nbsp;&nbsp;&nbsp;Yuri&nbsp;Demchenko<br />
&nbsp;&nbsp;&nbsp;TERENA<br />
&nbsp;&nbsp;&nbsp;EMail:&nbsp;demch@terena.nl<br />
&nbsp;&nbsp;&nbsp;Jan&nbsp;Meijer<br />
&nbsp;&nbsp;&nbsp;SURFnet<br />
&nbsp;&nbsp;&nbsp;EMail:&nbsp;jan.meijer@surfnet.nl<br />
全部版权声明<br />
Copyright&nbsp;(C)&nbsp;The&nbsp;Internet&nbsp;Society&nbsp;(2001).&nbsp;All&nbsp;Rights&nbsp;Reserved.<br />
&nbsp;该文献及其译文可能被其他人员拷贝或转载，由此而产生的对本文献的评论或者其它不<br />
同的解释或者对其执行的帮助等作品，可能会被筹备、复制、出版以及发布，假如上述版权<br />
声明以及本段内容被包括在此类拷贝和派生作品中，则从整体或者局部来说，都没有任何类<br />
型的限制。然而，除为发展Internet标准目的所需之外，本文献自身不可以采取任何形式进<br />
行修改，诸如删除版权声明或者Internet协会或其它Internet组织，这种情况下，版权定义<br />
程序必须遵循Internet标准进行，或者必须将其翻译成英语之外的其它语言。<br />
上述有限许可的授予是永久的，不会被Internet协会、其继承者或者其委派者所废除。<br />
本文献及包括于此的信息是基于“参见”和INTERNET协会以及INTERNET工程任务<br />
组放弃的所有依据、表示或者暗示等，包括但不局限于任何依据，在此信息的使用将不违反<br />
任何规则或任何商业性暗示依据或适用于特别的目的。<br />
认证<br />
RFC编辑功能基金当前由Internet协会提供。<br />
RFC3067——TERENA's&nbsp;Incident&nbsp;Object&nbsp;Description&nbsp;and&nbsp;Exchange&nbsp;Format&nbsp;equirements<br />
TERENA'S事件对象描述和转换格式要求<br />
<br />
<br />
1<br />
RFC文档中文翻译计划<br />