Система активного аудита

[crazy~driver]

Привет, для своего диплома хочу написать модуль системы активного аудита.
Идея заключается в следующем:
1) логировать все действия удачно залогинвшегося юзера
2) разработать определенные правила, по которым бы обнаруживались действия юзера направленных на взлом
3) проверять по этим правилам действия юзера
3) если юзер выполняет более, например, 30% (тут еще надо подумать) запрещенных действий блокировать его.
дипломка на php.

Если кто сталкивался с таким или подобным подскажите откуда начать рыть. Да и вообще хотелось бы услышать Ваше мнение о таком модуле.


З.Ы. Это не весь диплом, а только часть его.Если есть готовые скрипты, не предлагайте, хочу сам.

[@D_]

Ну а чего тут думать =) не нужен никакой алгоритм, достаточно проверять uri запрошенные пользователем. Если антихак планируется как отдельное ПО, да и вообще, для экономии ресурсов, проще это делать постфактум. По крону раз в час. Скрипт бегает по логам в указанном месте и анализирует их на наличие запросов по словарю cgi уязвимостей, попыток mysql-inj, php-inj, xss, svn(git, hg, bzr etc) bug итп. Вот и всё.

[FireFenix]

Привет, для своего диплома хочу написать модуль системы активного аудита.
Идея заключается в следующем:
1) логировать все действия удачно залогинвшегося юзера
2) разработать определенные правила, по которым бы обнаруживались действия юзера направленных на взлом
3) проверять по этим правилам действия юзера
3) если юзер выполняет более, например, 30% (тут еще надо подумать) запрещенных действий блокировать его.
дипломка на php.

Если кто сталкивался с таким или подобным подскажите откуда начать рыть. Да и вообще хотелось бы услышать Ваше мнение о таком модуле.


З.Ы. Это не весь диплом, а только часть его.Если есть готовые скрипты, не предлагайте, хочу сам.
Рыть штольню в сторону мануалов и www.php.net

всё довольно легко решается
1) думаю тут разжовывать нечего
2) принимать $_POST и $_GET и парсить на наличие спецсимволов (кавычка, кавычки, треугольные скобки и т.д.)
3.1) тофтология
3.2) в базе данных у таблицы аккуантов приделать поле нарушений и инкрементировать его за каждое нарушение, которое проверяется в п.2 и при достижения какого-либо числа - банить или каратать, также можно распять