基于PDRR的校園網(wǎng)絡(luò)安全體系研究

鐘彩虹

摘 要：隨著信息化技術(shù)的發(fā)展，校園網(wǎng)絡(luò)安全問題變得日益突出。單一的解決辦法已經(jīng)不能保證學(xué)校網(wǎng)絡(luò)這樣一個(gè)復(fù)雜的網(wǎng)絡(luò)環(huán)境的安全需要。PDRR模型是一個(gè)最常用的網(wǎng)絡(luò)安全模型，該模型把網(wǎng)絡(luò)體系結(jié)構(gòu)劃分為防護(hù)、檢測(cè)、響應(yīng)、恢復(fù)四個(gè)部分。本文準(zhǔn)備基于PDRR網(wǎng)絡(luò)安全模型，在此基礎(chǔ)上探討構(gòu)建適合學(xué)校網(wǎng)絡(luò)環(huán)境的網(wǎng)絡(luò)安全體系。

關(guān)鍵詞：校園網(wǎng)；網(wǎng)絡(luò)安全；PDRR

Research on campus network security system based on PDRR

Zhong Caihong（Zhejiang Zhuji technical school，Zhejiang Zhuji 311800）

Abstract：With the development of information technology，the campus network security problems is becoming more and more outstanding.Single solution can't guarantee the network of schools to such a complex network environment security needs.The model of PDRR is the most useful model of network security network architecrure is divided into four parts by this model： protection， detection，response and recovery.This article prepared for network security model based on PDRR，on the basis of constructing the network security system for campus network environment.

Key words：campus network；network security；PDRR

隨著時(shí)代的發(fā)展，Internet的不斷普及，網(wǎng)絡(luò)已經(jīng)成為信息資源的海洋，給人們帶來了極大的方便。但由于Internet是一個(gè)開放的、無控制機(jī)構(gòu)的網(wǎng)絡(luò)，經(jīng)常會(huì)受到黑客、計(jì)算機(jī)病毒、木馬等的侵襲，因此，計(jì)算機(jī)網(wǎng)絡(luò)安全問題必須放在首位。

1 校園網(wǎng)網(wǎng)絡(luò)安全問題分析

校園網(wǎng)具有速度快、規(guī)模大，計(jì)算機(jī)系統(tǒng)管理復(fù)雜，隨著其應(yīng)用的深入，校園網(wǎng)絡(luò)的安全問題也逐漸突出，直接影響著學(xué)校各項(xiàng)工作的正常開展。因此，在全面了解校園網(wǎng)的安全現(xiàn)狀基礎(chǔ)上，合理構(gòu)建安全體系結(jié)構(gòu)，改善網(wǎng)絡(luò)應(yīng)用環(huán)境的工作迫在眉睫。當(dāng)前，校園網(wǎng)絡(luò)常見的安全隱患有以下幾種：⑴計(jì)算機(jī)系統(tǒng)缺陷。⑵計(jì)算機(jī)病毒的破壞。⑶來自網(wǎng)絡(luò)外部的入侵、攻擊等惡意破壞行為。⑷校園網(wǎng)用戶對(duì)網(wǎng)絡(luò)資源的濫用。⑸非正常途徑訪問或內(nèi)部破壞。⑹校園網(wǎng)安全管理有缺陷。

2 構(gòu)建校園網(wǎng)絡(luò)安全管理體系模型

根據(jù)上述存在的實(shí)際情況，一般而言，學(xué)校目前普遍采用PDRR模型來構(gòu)建安全防御體系。因?yàn)镻DRR網(wǎng)絡(luò)安全模型簡(jiǎn)單并且容易實(shí)施，不需要考慮網(wǎng)絡(luò)安全的底層問題，并且對(duì)于學(xué)校而言 PDRR網(wǎng)絡(luò)安全模型更加適用。

PDRR模型就是4個(gè)英文單詞的頭字符：Protection（防護(hù)）、Detection（檢測(cè)）、Response（響應(yīng)）、Recovery（恢復(fù)）。這四個(gè)部分組成了一個(gè)動(dòng)態(tài)的信息安全周期，如圖：

安全策略的每一部分包括一組相應(yīng)的安全措施來實(shí)施一定的安全功能。安全策略的第一個(gè)戰(zhàn)線是防護(hù)。根據(jù)系統(tǒng)已知的所有安全問題做出防護(hù)的措施，如打補(bǔ)丁、訪問控制、數(shù)據(jù)加密等等。安全策略的第二個(gè)戰(zhàn)線就是檢測(cè)。攻擊者如果穿過了防護(hù)系統(tǒng)，檢測(cè)系統(tǒng)就會(huì)檢測(cè)出來。這個(gè)安全戰(zhàn)線的功能就是檢測(cè)出入侵者的身份，包括攻擊源、系統(tǒng)損失等。一旦檢測(cè)出入侵，響應(yīng)系統(tǒng)開始響應(yīng)包括事件處理和其他業(yè)務(wù)。安全策略的最后一個(gè)戰(zhàn)線就是恢復(fù)。在入侵事件發(fā)生后，把系統(tǒng)和數(shù)據(jù)恢復(fù)到原來的狀態(tài)。每次發(fā)生入侵事件，防御系統(tǒng)都要更新，保證相同類型的入侵事件不能再發(fā)，所以整個(gè)安全策略包括防護(hù)、檢測(cè)、響應(yīng)和恢復(fù)，這四個(gè)方面組成了一個(gè)信息安全周期。

3 基于安全體系的學(xué)校網(wǎng)絡(luò)安全解決方案研究

從嚴(yán)格的意義上來講，100%的安全網(wǎng)絡(luò)系統(tǒng)是沒有的，網(wǎng)絡(luò)安全工作是一個(gè)循序漸進(jìn)、不斷完善的過程。校園網(wǎng)的安全問題是一個(gè)較為復(fù)雜的系統(tǒng)工程，根據(jù)PDRR模型，全面考慮綜合運(yùn)用防火墻、入侵檢測(cè)、殺毒軟件等多項(xiàng)技術(shù)來構(gòu)建網(wǎng)絡(luò)安全防范體系。

3.1 定義網(wǎng)絡(luò)安全防范體系

一般來說，我們將網(wǎng)絡(luò)受到一次攻擊分為三個(gè)階段，攻擊前，攻擊中，攻擊后。攻擊前主要要做的工作就是防護(hù)，也是PDRR模型中最重要的部分。攻擊中主要負(fù)責(zé)對(duì)實(shí)時(shí)的攻擊做出反應(yīng)，入侵檢測(cè)系統(tǒng)檢測(cè)所有經(jīng)過防火墻進(jìn)入到內(nèi)網(wǎng)的數(shù)據(jù)，綜合分析各種信息，分析各種連接，動(dòng)態(tài)的分析出這些攻擊，并且立刻做出反應(yīng)。攻擊后主要是恢復(fù)系統(tǒng)與數(shù)據(jù)，并且及時(shí)打好補(bǔ)丁，以防下次攻擊。根據(jù)此規(guī)律，結(jié)合PDRR模型構(gòu)建出如圖2所示的網(wǎng)絡(luò)安全防范體系。

3.2 校園網(wǎng)絡(luò)安全體系的部署與實(shí)施方案研究

我們?cè)谶M(jìn)行網(wǎng)絡(luò)的安全解決方案的時(shí)候，采用了易操作性、適用性、靈活性、多重保護(hù)性、綜合性整體性、職權(quán)分立等原則。

3.2.1 網(wǎng)絡(luò)安全隔離策略

提供Internet上網(wǎng)服務(wù)是網(wǎng)絡(luò)所必須提供的服務(wù)之一，但是必須制定相關(guān)的策略來保證對(duì)Internet訪問的安全。防火墻是一個(gè)保護(hù)裝置，能有效地實(shí)現(xiàn)網(wǎng)絡(luò)訪問控制、身份認(rèn)證、代理服務(wù)，從而保護(hù)內(nèi)部網(wǎng)的訪問安全。作為網(wǎng)絡(luò)的總出入口，可以設(shè)置高性能的硬件防火墻，可以按照服務(wù)功能的不同制定特定的策略。作為校園網(wǎng)絡(luò)中的計(jì)算機(jī)可以安裝天網(wǎng)、瑞星等防火墻軟件。

3.2.2 安全漏洞防范策略

安全漏洞掃描技術(shù)是一類重要的網(wǎng)絡(luò)安全技術(shù)。通過對(duì)網(wǎng)絡(luò)的掃描，可以了解網(wǎng)絡(luò)的安全配置和運(yùn)行的應(yīng)用服務(wù)，及時(shí)發(fā)現(xiàn)安全漏洞，客觀評(píng)估網(wǎng)絡(luò)風(fēng)險(xiǎn)等級(jí)；還可以根據(jù)掃描的結(jié)果更正網(wǎng)絡(luò)安全漏洞和系統(tǒng)中的錯(cuò)誤配置，在黑客攻擊前進(jìn)行防范。網(wǎng)絡(luò)安全漏洞掃描工具可以采用俄羅斯SSS軟件。SSS可以對(duì)很大范圍內(nèi)的系統(tǒng)漏洞進(jìn)行安全、高效、可靠的安全檢測(cè)，對(duì)系統(tǒng)全部掃描之后，SSS可以對(duì)收集的信息進(jìn)行分析，發(fā)現(xiàn)系統(tǒng)設(shè)置中容易被攻擊的地方和可能的錯(cuò)誤，得出對(duì)發(fā)現(xiàn)問題的可能的解決方法。

3.2.3 計(jì)算機(jī)病毒防范策略

⑴校園網(wǎng)絡(luò)系統(tǒng)要使用安全策略。

⑵選擇合適的防病毒軟件，及時(shí)更新病毒庫。防病毒軟件分為兩大類：網(wǎng)絡(luò)版和單機(jī)版。

⑶計(jì)算機(jī)用戶要增強(qiáng)網(wǎng)絡(luò)安全意識(shí)。不要輕易使用盜版和存在安全隱患的軟件；不輕易瀏覽一些缺乏可信度的網(wǎng)站；不要隨便打開不明來歷的電子郵件。

3.2.4 身份認(rèn)證與訪問權(quán)限策略

⑴身份認(rèn)證。身份認(rèn)證是對(duì)通信方進(jìn)行身份確認(rèn)來阻止非授權(quán)用戶進(jìn)入。常用的身份認(rèn)證方法有口令認(rèn)證法。主要是給帳戶設(shè)置足夠復(fù)雜的強(qiáng)密碼，最好是字母+數(shù)字+符號(hào)的組合；口令應(yīng)嚴(yán)格管理，不定期地予以更換。

⑵訪問權(quán)限。訪問權(quán)限即每個(gè)不同的群組所能訪問的網(wǎng)絡(luò)資源不同。根據(jù)訪問權(quán)限的不同，能訪問的相應(yīng)的資源不同，如普通老師子網(wǎng)的群組不允許訪問學(xué)校高層子網(wǎng)的資源。

3.2.5 入侵檢測(cè)及防御策略

入侵檢測(cè)系統(tǒng)（IDS，Intrusion Detection System）的布置可以分為兩個(gè)層次，首先為NDIS，主要啟用防火墻的IDS模塊功能。另外啟用HIDS功能及服務(wù)器上安裝個(gè)人防火墻設(shè)置?？梢詾榘惭bMICROSOFT ISA 2006。為了檢測(cè)有害的入侵者，ISA Server將網(wǎng)絡(luò)通信以及日志項(xiàng)與熟知的攻擊方法進(jìn)行比較。如發(fā)現(xiàn)可疑的行為會(huì)觸發(fā)一組預(yù)先設(shè)定的措施或者警報(bào)。這些措施包括終止鏈接、終止服務(wù)、電子郵件警報(bào)、記入日志、以及運(yùn)行一個(gè)選定的程序。

入侵防御系統(tǒng)（IPS，Intrusion Prevention System），可以深度感知并檢測(cè)流經(jīng)的數(shù)據(jù)流量，對(duì)惡意報(bào)文進(jìn)行丟棄以阻斷攻擊，對(duì)濫用報(bào)文進(jìn)行限流以保護(hù)網(wǎng)絡(luò)帶寬資源。對(duì)于部署在數(shù)據(jù)轉(zhuǎn)發(fā)路徑上的IPS，可以根據(jù)預(yù)先設(shè)定的安全策略，對(duì)流經(jīng)的每個(gè)報(bào)文進(jìn)行深度檢測(cè)（協(xié)議分析跟蹤、特征匹配、流量統(tǒng)計(jì)分析、事件關(guān)聯(lián)分析等），如果一旦發(fā)現(xiàn)隱藏于其中網(wǎng)絡(luò)攻擊，可以根據(jù)該攻擊的威脅級(jí)別立即采取抵御措施，這些措施包括（按照處理力度）：向管事中心告警；丟棄該報(bào)文；切斷此次應(yīng)用會(huì)話；切斷此次TCP連接?？梢栽谛@網(wǎng)與外部網(wǎng)絡(luò)的連接部位（入口/出口）；重要服務(wù)器集群前端；校園網(wǎng)內(nèi)部接入層部署IPS。至于其它區(qū)域，可以根據(jù)實(shí)際情況與重要程度，酌情部署。

3.2.6 應(yīng)急響應(yīng)處理策略

應(yīng)急響應(yīng)（Emergency Response）通常是指一個(gè)組織為了應(yīng)對(duì)各種意外事件的發(fā)生所做的準(zhǔn)備以及在事件發(fā)生后所采取的措施。應(yīng)急響應(yīng)處理主要包括兩個(gè)方面：

第一、未雨綢繆，即在事件發(fā)生前事先做好準(zhǔn)備，比如風(fēng)險(xiǎn)評(píng)估、制定安全計(jì)劃、安全意識(shí)的培訓(xùn)、以發(fā)布安全通告的方式進(jìn)行的預(yù)警、以及各種防范措施；

第二、亡羊補(bǔ)牢，即在事件發(fā)生后采取的措施，其目的在于把事件造成的損失降到最小。這些行動(dòng)措施可能來自于人，也可能來自系統(tǒng)，發(fā)現(xiàn)事件發(fā)生后，采取系統(tǒng)備份、病毒檢測(cè)、后門檢測(cè)、清除病毒或后門、隔離、系統(tǒng)恢復(fù)、調(diào)查與追蹤、入侵者取證等一系列操作。

以上兩個(gè)方面的工作要相互補(bǔ)充。首先，事前的計(jì)劃和準(zhǔn)備為事件發(fā)生后的響應(yīng)動(dòng)作提供了指導(dǎo)框架，否則，響應(yīng)動(dòng)作將陷入混亂，而這些毫無章法的響應(yīng)動(dòng)作有可能造成比事件本身更大的損失；其次，事后的響應(yīng)可能發(fā)現(xiàn)事前計(jì)劃的不足，吸取教訓(xùn)，從而進(jìn)一步完善安全計(jì)劃。因此，這兩個(gè)方面應(yīng)該形成一種正反饋的機(jī)制，逐步強(qiáng)化組織的安全防范體系，建立應(yīng)急響應(yīng)預(yù)案。

3.2.7 系統(tǒng)恢復(fù)策略

如果要想系統(tǒng)和數(shù)據(jù)能夠恢復(fù)到受攻擊前，那么最重要的就是做好數(shù)據(jù)備份，包括網(wǎng)絡(luò)配置（路由表、DNS服務(wù)器數(shù)據(jù)備份）、服務(wù)器數(shù)據(jù)庫等數(shù)據(jù)的備份。如果手動(dòng)備份工作量太大，現(xiàn)在一般都采用軟件來進(jìn)行備份，可以使用IBM Tivoli Storage Manager 6.1軟件。TSM能夠?yàn)橛脩籼峁┢髽I(yè)級(jí)的存儲(chǔ)數(shù)據(jù)管理解決方案，包括備份、歸檔、空間管理以及災(zāi)難恢復(fù)管理等功能。

4 結(jié)束語

校園網(wǎng)的安全問題是一個(gè)較為復(fù)雜的系統(tǒng)工程，需要全方位防范，防范不僅是被動(dòng)的，更要主動(dòng)進(jìn)行。PDRR模型主要強(qiáng)調(diào)的是技術(shù)方面的，在網(wǎng)絡(luò)安全日益影響到校園網(wǎng)運(yùn)行的情況下，更要完善校園網(wǎng)管理制度，對(duì)相關(guān)的校園網(wǎng)管理人員進(jìn)行培訓(xùn)，對(duì)學(xué)生進(jìn)行網(wǎng)絡(luò)道德的教育，提高公德意識(shí)；安裝最新的防病毒軟件和病毒防火墻，不斷安裝軟件補(bǔ)丁更新系統(tǒng)漏洞，對(duì)重要文件要進(jìn)行備份，從多個(gè)方面進(jìn)行防范，盡一切可能去制止、減小一切非法的訪問和操作，把校園網(wǎng)不安全因素降到最少。

[參考文獻(xiàn)]

[1]代建軍，揭金良.一種改進(jìn)的PDRR模型[J].電腦與科學(xué)技術(shù)，第6期，2003年.

[2]汪宇光.計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急響應(yīng)和主要技術(shù)[J].電子材料與電子技術(shù)評(píng)論，第三期，2004年.

[3]張千里，陳光英，編著.網(wǎng)絡(luò)安全新技術(shù).北京：清華大學(xué)出版社，2003.

[4]田暢，鄭少仁.計(jì)算機(jī)病毒計(jì)算模型的研究[J].計(jì)算機(jī)學(xué)報(bào)，2001（2），158-163.

[5]鄒紅霞，等.網(wǎng)絡(luò)系統(tǒng)數(shù)據(jù)備份策略分析與實(shí)現(xiàn)[J].裝備指揮技術(shù)學(xué)院學(xué)報(bào)，2003，（4）：95～99.