淺談高校校園網(wǎng)的安全運營

裴彩燕　陳春霞　張　帥

[摘要]網(wǎng)絡(luò)安全越來越受到人們的重視，校園網(wǎng)絡(luò)包括圖書館，內(nèi)部網(wǎng)等亦會受到病毒，惡意攻擊等網(wǎng)絡(luò)威脅的侵害。從網(wǎng)絡(luò)安全策略的角度對校園網(wǎng)絡(luò)管理中的安全問題進行分析和探討。

[關(guān)鍵詞]校園網(wǎng) 網(wǎng)絡(luò)安全 安全策略 防火墻

中圖分類號：TP3文獻標(biāo)識碼：A文章編號：1671－7597（2009）0510

與一般的企業(yè)網(wǎng)應(yīng)用不同，校園網(wǎng)在使用行為特征和性能需求上有著獨有的規(guī)律。首先，網(wǎng)絡(luò)在學(xué)校里被用得很充分，校園網(wǎng)既有常規(guī)的應(yīng)用，也有很多非常規(guī)的應(yīng)用。特別是一些新的應(yīng)用，更是在校園網(wǎng)中層出不窮。有些新應(yīng)用目前在技術(shù)上可能還不是很成熟，但是在校園網(wǎng)中常常有普遍的使用。另外，學(xué)生喜歡挑戰(zhàn)網(wǎng)絡(luò)。由于使用圖書館網(wǎng)絡(luò)的大部分是學(xué)生，他們的好奇心都是很重，并且現(xiàn)在各種攻擊手段的教材隨處可見，所以有少數(shù)學(xué)生就把圖書館網(wǎng)絡(luò)作為攻擊的對象。學(xué)生選擇攻擊圖書館網(wǎng)絡(luò)是因為圖書館網(wǎng)絡(luò)對于他們來說是內(nèi)網(wǎng)，學(xué)校的IP地址基本是在學(xué)校內(nèi)部公開的，這樣可以很方便的隱藏學(xué)生自己的IP地址，對圖書館網(wǎng)絡(luò)進行泛洪等的基本攻擊，并可以很快見到他們攻擊所能帶來的危害。

一、安全的概念

包括物理安全和邏輯安全。物理安全指網(wǎng)絡(luò)系統(tǒng)中各通信計算機設(shè)備以及相關(guān)設(shè)備的物理保護，免予破壞、丟失等；邏輯安全包括信息完整性、保密性和可用性。保密性是指信息不泄漏給未經(jīng)授權(quán)的人，完整性是指計算機系統(tǒng)能夠防止非法修改和刪除數(shù)據(jù)和程序，可用性是指系統(tǒng)能夠防止非法獨占計算機資源和數(shù)據(jù)，合法用戶的正常請求能及時、正確、安全的得到服務(wù)或回應(yīng)。

網(wǎng)絡(luò)計算機中安全威脅主要有：身份竊取，身份假冒、數(shù)據(jù)竊取、數(shù)據(jù)篡改，操作否認(rèn)、非授權(quán)訪問、病毒等。

二、解決方案的分類

解決網(wǎng)絡(luò)安全問題涉及的范圍廣泛；不安全因素主要集中在網(wǎng)絡(luò)傳播介質(zhì)及網(wǎng)絡(luò)協(xié)議的缺陷、密碼系統(tǒng)的缺陷、主機操作系統(tǒng)的缺陷上，因此在安全策略方面重點考慮：

（一）基礎(chǔ)結(jié)構(gòu)安全

主要包括：操作系統(tǒng)選擇和問題規(guī)避；帳號設(shè)置、口令強度、網(wǎng)絡(luò)參數(shù)、文件監(jiān)測保護在現(xiàn)實運作中，密碼系統(tǒng)已經(jīng)非常完善，標(biāo)準(zhǔn)的DES、RSA和 其他相關(guān)認(rèn)證體系已經(jīng)成為公認(rèn)的具有計算復(fù)雜性安全的密碼標(biāo)準(zhǔn)協(xié)議，這個標(biāo)準(zhǔn)的健壯性也經(jīng)受了成千上萬網(wǎng)絡(luò)主機的考驗，但是在網(wǎng)絡(luò)協(xié)議與操作系統(tǒng)本身上，仍然有很多可被攻擊的入口。很多網(wǎng)絡(luò)安全中的問題集中在操作系統(tǒng)的缺陷上。Unix及類 Unix操作系統(tǒng)是在 Internet中非常普遍的操作系統(tǒng)，主要用于網(wǎng)絡(luò)服務(wù)。它的源代碼是公開的，所以在很多場合下使用者可以定制自己的Unix，操作系統(tǒng)，使它更適合網(wǎng)絡(luò)相關(guān)的服務(wù)要求。

由于網(wǎng)絡(luò)協(xié)議是獨立與操作系統(tǒng)的，它的體系結(jié)構(gòu)與操作系統(tǒng)端是無關(guān)的，網(wǎng)絡(luò)協(xié)議所存在的安全隱患也是獨立于操作系統(tǒng)來修正的。

（二）管理安全

安全管理是網(wǎng)絡(luò)必須考慮的，主要包括：權(quán)限管理，單點登錄，安全管理中心等。

管理的技術(shù)手段很多，通過采用加強身份確認(rèn)的方法獲得網(wǎng)上資源控制權(quán)提供安全的遠程接入手段；采用虛擬專網(wǎng)技術(shù)如網(wǎng)絡(luò)保密機解決數(shù)據(jù)在公網(wǎng)傳輸?shù)陌踩?；安全郵件和安全Web服務(wù)器也是一類重要的安全產(chǎn)品。然而，對一個具體的網(wǎng)絡(luò)系統(tǒng)，我們在安全風(fēng)險評估確定合適的安全需求后，從技術(shù)上講可以架構(gòu)一個滿足基本要求的安全設(shè)備平臺。但是發(fā)生最頻繁的安全威脅實際上是非技術(shù)因素，安全管理漏洞和疏忽才是最大的安全隱患。只有把安全管理制度與安全管理技術(shù)手段結(jié)合起來，這個網(wǎng)絡(luò)信息系統(tǒng)的安全性才有保障。因此，采用集中統(tǒng)一的管理策略，以技術(shù)手段實現(xiàn)非技術(shù)的安全管理，主要由安全管理中心實現(xiàn)。

（三）邊界安全

校園網(wǎng)絡(luò)與外界的邊界劃分是否科學(xué)?IT系統(tǒng)與外界、內(nèi)部關(guān)鍵部門之間是否安全隔離?這都屬于邊界安全范圍。可以在關(guān)心的實體之間安裝防火墻產(chǎn)品和攻擊檢測軟件，來加強邊界安全，實施攻擊防御方案。關(guān)于防火墻技術(shù)的使用成功與否對網(wǎng)絡(luò)的安全有決定性作用，對此我們進行主要討論。

1．防火墻的概念

所謂“防火墻”，是指一種將內(nèi)部網(wǎng)和公眾訪問網(wǎng)（Internet）分開的方法，實際上是一種隔離技術(shù)。防火墻是在兩個網(wǎng)絡(luò)通訊時執(zhí)行的一種訪問控制尺度，它能允許你“同意”的人和數(shù)據(jù)進入你的網(wǎng)絡(luò)，同時將你“不同意”的人和數(shù)據(jù)拒之門外，最大限度地阻止網(wǎng)絡(luò)中的黑客來訪問你的網(wǎng)絡(luò)，防止他們更改、拷貝、毀壞你的重要信息

2．防火墻在網(wǎng)絡(luò)中的位置

為了達到對網(wǎng)絡(luò)數(shù)據(jù)傳輸進行監(jiān)視的目的，防火墻一般位于局域網(wǎng)和廣域網(wǎng)之間或局域網(wǎng)與局域網(wǎng)之間。

在這種情況之下，防火墻的主要作用是允許局域網(wǎng)內(nèi)的用戶訪問Internet，如瀏覽WWW網(wǎng)站，收發(fā)E-mail，并且禁止來自于Internet上的未知用戶闖入局網(wǎng)進行破壞或竊取機密信息。

在這種情況下，防火墻的作用是允許公用信息在兩個網(wǎng)絡(luò)中傳輸，保證每個網(wǎng)段的私有信息不被對方訪問。

可以看出無論哪一種形式，防火墻都是數(shù)據(jù)報文進出網(wǎng)絡(luò)的必經(jīng)之路，這樣才能保證防火墻對網(wǎng)絡(luò)的監(jiān)視保護作用。

3．防火墻的分類

從防火墻的軟、硬件形式來分的話，防火墻可以分為軟件防火墻和硬件防火墻以及芯片級防火墻。

（1）軟件防火墻

軟件防火墻運行于特定的計算機上，它需要客戶預(yù)先安裝好的計算機操作系統(tǒng)的支持，一般來說這臺計算機就是整個網(wǎng)絡(luò)的網(wǎng)關(guān)。俗稱“個人防火墻”。軟件防火墻就像其它的軟件產(chǎn)品一樣需要先在計算機上安裝并做好配置才可以使用。防火墻廠商中做網(wǎng)絡(luò)版軟件防火墻最出名的莫過于Checkpoint。使用這類防火墻，需要網(wǎng)管對所工作的操作系統(tǒng)平臺比較熟悉。

（2）硬件防火墻

這里說的硬件防火墻是指“所謂的硬件防火墻”。之所以加上“所謂”二字是針對芯片級防火墻說的了。它們最大的差別在于是否基于專用的硬件平臺。目前市場上大多數(shù)防火墻都是這種所謂的硬件防火墻，他們都基于PC架構(gòu)，就是說，它們和普通的家庭用的PC沒有太大區(qū)別。值得注意的是，由于此類防火墻采用的依然是別人的內(nèi)核，因此依然會受到OS（操作系統(tǒng)）本身的安全性影響。

傳統(tǒng)硬件防火墻一般至少應(yīng)具備三個端口，分別接內(nèi)網(wǎng)，外網(wǎng)和DMZ區(qū)（非軍事化區(qū)），現(xiàn)在一些新的硬件防火墻往往擴展了端口，常見四端口防火墻一般將第四個端口作為配置口、管理端口。很多防火墻還可以進一步擴展端口數(shù)目。

（3）芯片級防火墻

芯片級防火墻基于專門的硬件平臺，沒有操作系統(tǒng)。專有的ASIC芯片促使它們比其他種類的防火墻速度更快，處理能力更強，性能更高。這類防火墻由于是專用OS（操作系統(tǒng)），因此防火墻本身的漏洞比較少，不過價格相對比較高昂

4．防火墻集中的主要功能

創(chuàng)建一個阻塞點；

離不同網(wǎng)絡(luò)，防止內(nèi)部信息的外泄；

強化安全策略；

有效地審計和記錄內(nèi)、外部網(wǎng)絡(luò)上的活動。

（1）創(chuàng)建一個阻塞點

防火墻在一個公司內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)間建立一個檢查點。這種實現(xiàn)要求所有的流量都要通過這個檢查點。一旦這些檢查點清楚地建立，防火墻設(shè)備就可以監(jiān)視，過濾和檢查所有進來和出去的流量。這樣一個檢查點，在網(wǎng)絡(luò)安全行業(yè)中稱之為“阻塞點”。通過強制所有進出流量都通過這些檢查點，網(wǎng)絡(luò)管理員可以集中在較少的地方來實現(xiàn)安全目的。如果沒有這樣一個供監(jiān)視和控制信息的點，系統(tǒng)或安全管理員則要在大量的地方來進行監(jiān)測。

（2）隔離不同網(wǎng)絡(luò)，防止內(nèi)部信息的外泄

這是防火墻最基本的功能，它通過隔離內(nèi)、外部網(wǎng)絡(luò)來確保內(nèi)部網(wǎng)絡(luò)的安全。也限制了局部重點或敏感網(wǎng)絡(luò)安全問題對全局網(wǎng)絡(luò)造成的影響。企業(yè)秘密是大家普遍非常關(guān)心的問題，一個內(nèi)部網(wǎng)絡(luò)中不引人注意的細節(jié)可能包含了有關(guān)安全的線索而引起外部攻擊者的興趣，甚至因此而暴露了內(nèi)部網(wǎng)絡(luò)的某些安全漏洞。使用防火墻就可以隱蔽那些透漏內(nèi)部細節(jié)如Finger，DNS等服務(wù)。Finger顯示了主機的所有用戶的注冊名、真名，最后登錄時間和使用shell類型等。但是Finger顯示的信息非常容易被攻擊者所截獲，攻擊者通過所獲取的信息可以知道一個系統(tǒng)使用的頻繁程度，這個系統(tǒng)是否有用戶正在連線上網(wǎng)等信息。防火墻可以同樣阻塞有關(guān)內(nèi)部網(wǎng)絡(luò)中的DNS信息，這樣一臺主機的域名和IP地址就不會被外界所了解。

（3）強化網(wǎng)絡(luò)安全策略

通過以防火墻為中心的安全方案配置，能將所有安全軟件（如口令、加密、身份認(rèn)證、審計等）配置在防火墻上。與將網(wǎng)絡(luò)安全問題分散到各個主機上相比，防火墻的集中安全管理更經(jīng)濟。各種安全措施的有機結(jié)合，更能有效地對網(wǎng)絡(luò)安全性能起到加強作用。

有效地審計和記錄內(nèi)、外部網(wǎng)絡(luò)上的活動

（4）防火墻可以對內(nèi)、外部網(wǎng)絡(luò)存取和訪問進行監(jiān)控審計。如果所有的訪問都經(jīng)過防火墻，那么，防火墻就能記錄下這些訪問并進行日志記錄，同時也能提供網(wǎng)絡(luò)使用情況的統(tǒng)計數(shù)據(jù)。當(dāng)發(fā)生可疑動作時，防火墻能進行適當(dāng)?shù)膱缶⑻峁┚W(wǎng)絡(luò)是否受到監(jiān)測和攻擊的詳細信息。這為網(wǎng)絡(luò)管理人員提供非常重要的安全管理信息，可以使管理員清楚防火墻是否能夠抵擋攻擊者的探測和攻擊，并且清楚防火墻的控制是否充足

三、安全方案實施的生命周期

安全管理的方案的實施需要正確的方法和次序，全面的網(wǎng)絡(luò)信息安全方案需要在正確的企業(yè)安全策略的指導(dǎo)下按部就班地進行實施。網(wǎng)絡(luò)安全方案實施生命周期如下所示：

風(fēng)險評估――＞方案設(shè)計――＞方案實施――＞人員培訓(xùn)――＞安全監(jiān)控――＞信息反饋――>重新評估

安全管理方案的核心是制定的安全策略。任何安全產(chǎn)品和方案都必須服從此安全策略。應(yīng)由安全管理專家與領(lǐng)導(dǎo)者一同制定系統(tǒng)的安全管理策略。

在安全方案實施的第一步，是實施方案的風(fēng)險評估。即對目前網(wǎng)絡(luò)環(huán)境進行綜合考察， 發(fā)現(xiàn)安全隱患，分析可能面臨的不安全因素，從而為將來的安全方案提供總體策略。 從信息安全的角度來為校園IT環(huán)境進行合理劃分，找出邊界因素，對癥下藥，并對指定的安全策略進行方案設(shè)計和具體實施。 在實施的過程中或?qū)嵤┲?，必須重視人的因素。要對用戶和相關(guān)人員進行有效的培訓(xùn)。為網(wǎng)絡(luò)信息安全培養(yǎng)安全管理人員是安全方案中非常重要的一個方面。 實施企業(yè)安全方案，對安全性進行總體監(jiān)控是網(wǎng)絡(luò)安全生命周期中的執(zhí)行階段，如果發(fā)生不安全事件，檢查是否能夠?qū)嵤┢髽I(yè)安全策略，能否進行正確的反應(yīng)：安全 防范的強度是否足夠；是否有未能防止的入侵事件。定時或隨時進行園區(qū)網(wǎng)絡(luò)安全策略的檢查，及時反饋安全信息，針對漏洞重新進行安全評估，網(wǎng)絡(luò)安全方案周期重新開始。

參考文獻：

[1]梁世玲、鄧保國，高校圖書館網(wǎng)絡(luò)信息安全的風(fēng)險與對策，農(nóng)業(yè)網(wǎng)絡(luò)信息，2006(8):53-55.

[2]楊學(xué)梅，數(shù)字圖書館的網(wǎng)絡(luò)完全與防范措施，科技情報開發(fā)與科技，2006(16）:34-35.