基于云計(jì)算的智慧校園安全架構(gòu)

□文/張 天 劉 蕾 朱煥芝 廖志江 王彥英 張榮庚

（河北聯(lián)合大學(xué) 河北·唐山）

一、智慧校園的概念

2010年在信息化“十二五”規(guī)劃中由浙江大學(xué)提出的一個(gè)概念：無(wú)處不在的網(wǎng)絡(luò)學(xué)習(xí)、融合創(chuàng)新的網(wǎng)絡(luò)科研、透明高效的校務(wù)治理、豐富多彩的校園文化、方便周到的校園生活，這就是所謂的——智慧校園。它具有三大建設(shè)目標(biāo)：一是為廣大師生提供一個(gè)智能感知環(huán)境和綜合信息服務(wù)平臺(tái)；二是基于計(jì)算機(jī)網(wǎng)絡(luò)的信息服務(wù)實(shí)現(xiàn)互聯(lián)和協(xié)作；三是通過(guò)智能感知環(huán)境和綜合信息服務(wù)平臺(tái)，為學(xué)校與外部世界提供一個(gè)相互交流和相互感知的接口。

智慧校園首先需要一個(gè)基礎(chǔ)設(shè)施平臺(tái)，其次需要一個(gè)信息服務(wù)平臺(tái)。為實(shí)現(xiàn)上述目標(biāo)，促進(jìn)學(xué)校數(shù)字化建設(shè)，目前已經(jīng)可以利用云計(jì)算、虛擬化技術(shù)構(gòu)建“校園云”，結(jié)合物聯(lián)網(wǎng)技術(shù)實(shí)現(xiàn)智慧校園。例如，在智慧校園中，手機(jī)一卡通正逐漸取代學(xué)生證、就餐卡、圖書證等各種證件，實(shí)現(xiàn)包括門禁、考勤、消費(fèi)、數(shù)字化圖書館等功能。通過(guò)云計(jì)算搭建“教育云”平臺(tái)，共享豐富的教學(xué)內(nèi)容，提高教學(xué)內(nèi)容的直觀性，增加教學(xué)的互動(dòng)性，激發(fā)學(xué)生的學(xué)習(xí)興趣；“教育云”平臺(tái)還可以提高學(xué)校的行政管理能力，整合學(xué)校的各種信息化管理系統(tǒng)，如辦公自動(dòng)化系統(tǒng)、教務(wù)管理系統(tǒng)、學(xué)生管理系統(tǒng)等，通過(guò)整合，學(xué)校管理者可以有效地監(jiān)控教學(xué)效果，進(jìn)而可以強(qiáng)化教學(xué)效果。

二、云計(jì)算及其特征

云計(jì)算是當(dāng)前信息技術(shù)領(lǐng)域的熱門話題之一，它是一種新興的計(jì)算模式，是分布式計(jì)算、并行計(jì)算和網(wǎng)格計(jì)算的發(fā)展。維基百科認(rèn)為，云計(jì)算是一種將動(dòng)態(tài)伸縮的虛擬化資源通過(guò)互聯(lián)網(wǎng)以服務(wù)的方式提供給用戶的計(jì)算模式，用戶不需要知道如何管理那些支持云計(jì)算的基礎(chǔ)設(shè)施。在云計(jì)算環(huán)境中計(jì)算機(jī)硬件和軟件都是資源并被封裝成服務(wù)，這些資源在物理上以分布式的共享方式存在，但在邏輯上以單一整體的形式呈現(xiàn)，根據(jù)需要進(jìn)行動(dòng)態(tài)擴(kuò)展和配置，用戶可以通過(guò)互聯(lián)網(wǎng)按需訪問(wèn)和使用云中的資源，按實(shí)際使用量付費(fèi)，并且不需要管理它們。

云計(jì)算具備5 個(gè)基本特征：虛擬化的資源池，基于網(wǎng)絡(luò)訪問(wèn)，按需自助式服務(wù)，使用服務(wù)可計(jì)量，快速?gòu)椥?。目前，Amazon、Google、IBM 等國(guó)際大型IT 公司已紛紛建立并對(duì)外提供各種云計(jì)算服務(wù)。云計(jì)算為用戶提供基礎(chǔ)設(shè)施及服務(wù)、平臺(tái)及服務(wù)和軟件及服務(wù)三項(xiàng)服務(wù)。云計(jì)算安全體系架構(gòu)智慧校園可以通過(guò)云計(jì)算平臺(tái)實(shí)現(xiàn)高效的資源共享，減少資源重復(fù)建設(shè)。云計(jì)算平臺(tái)能夠整合管理各種資源，使用起來(lái)不再受地域、時(shí)間的限制，使智慧校園網(wǎng)的搭建更加流暢、簡(jiǎn)單?；谠朴?jì)算的智慧校園系統(tǒng)不再要求高性能的服務(wù)器，節(jié)約了成本。在云計(jì)算環(huán)境中，學(xué)校不再擁有基礎(chǔ)設(shè)施的硬件資源，軟件都運(yùn)行在云中，業(yè)務(wù)數(shù)據(jù)也存儲(chǔ)在云中。因此，云計(jì)算在給智慧校園帶來(lái)便利的同時(shí)，也面臨著一系列的安全問(wèn)題，除了存在已久的信息安全問(wèn)題，還有云計(jì)算帶來(lái)的新型安全問(wèn)題，比如云計(jì)算環(huán)境下多租戶共存帶來(lái)的潛在風(fēng)險(xiǎn)、數(shù)據(jù)分散存儲(chǔ)和云服務(wù)的開(kāi)放性等，這些都對(duì)現(xiàn)有的安全體系帶來(lái)了新的挑戰(zhàn)，其安全關(guān)系到云計(jì)算是否能在智慧校園中被應(yīng)用。結(jié)合云計(jì)算的特點(diǎn)和技術(shù)，根據(jù)智慧校園的實(shí)際情況，物理環(huán)境、網(wǎng)絡(luò)、數(shù)據(jù)、管理等方面構(gòu)建層次化的云安全體系架構(gòu)，從而保證智慧校園網(wǎng)的安全。

（一）物理安全。物理安全是非常重要的，它是整個(gè)云安全的前提，主要包括物理設(shè)備的安全、網(wǎng)絡(luò)環(huán)境的安全等。機(jī)房、計(jì)算機(jī)設(shè)備、監(jiān)控等場(chǎng)地設(shè)施和周圍環(huán)境及消防安全，應(yīng)符合國(guó)家相關(guān)標(biāo)準(zhǔn)，并滿足網(wǎng)絡(luò)平臺(tái)運(yùn)行的要求。在如有可能的情況下，學(xué)?？赏ㄟ^(guò)額外的電池盒UPS 電源調(diào)節(jié)電流量，防止尖峰、浪涌，以及用電管制。

（二）網(wǎng)絡(luò)安全。云服務(wù)基于網(wǎng)絡(luò)提供服務(wù)，因此云服務(wù)提供商的網(wǎng)絡(luò)安全是否可靠是正常、持續(xù)提供服務(wù)的關(guān)鍵。網(wǎng)絡(luò)安全主要在網(wǎng)絡(luò)拓?fù)浒踩?、安全域的劃分及邊界防護(hù)、網(wǎng)絡(luò)資源的訪問(wèn)控制、入侵檢測(cè)的手段、網(wǎng)絡(luò)設(shè)施防病毒等方面加以保證。網(wǎng)絡(luò)拓?fù)浒踩捎眯滦偷木W(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，如VL2、Port．Land、DCel 等，使得節(jié)點(diǎn)之間的連通性與容錯(cuò)能力更高，易于負(fù)載均衡。在云計(jì)算平臺(tái)中，物理的安全邊界逐步消失，取而代之的是邏輯的安全邊界，應(yīng)通過(guò)采用VPN（虛擬專用網(wǎng)絡(luò)）和數(shù)據(jù)加密等技術(shù)，保證用戶數(shù)據(jù)的傳輸安全性；在云計(jì)算數(shù)據(jù)中心內(nèi)部，采用VLAN 以及分布式虛擬交換機(jī)等技術(shù)實(shí)現(xiàn)用戶系統(tǒng)和用戶網(wǎng)絡(luò)的隔離；采用分布式入侵檢測(cè)和病毒防護(hù)系統(tǒng)抵御來(lái)自校園外網(wǎng)的攻擊；除此之外，還可以采取其他的安全措施和技術(shù)，如端口綁定、構(gòu)建虛擬防火墻、提供Anti-DDos 服務(wù)、設(shè)計(jì)適合于云計(jì)算的訪問(wèn)控制機(jī)制等，確保每個(gè)虛擬服務(wù)器上只運(yùn)行一個(gè)網(wǎng)絡(luò)服務(wù)，不能直接訪問(wèn)最敏感的數(shù)據(jù)，服務(wù)器上只開(kāi)發(fā)支撐服務(wù)絕對(duì)必需的端口，其余一律關(guān)閉。學(xué)校網(wǎng)絡(luò)管理員熟悉路由器、交換機(jī)和服務(wù)器等各種設(shè)備的網(wǎng)絡(luò)配置，了解網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，在發(fā)現(xiàn)問(wèn)題后迅速定位，還要進(jìn)行訪問(wèn)流量的統(tǒng)計(jì)，識(shí)別非正常使用情況并加以封禁。

（三）數(shù)據(jù)信息安全。傳統(tǒng)的形式是將數(shù)據(jù)保存在學(xué)?？煽刂频沫h(huán)境中，而在云計(jì)算環(huán)境中，數(shù)據(jù)保存在云計(jì)算平臺(tái)中，學(xué)校數(shù)據(jù)面臨的安全威脅更加突出。針對(duì)云計(jì)算環(huán)境下的數(shù)據(jù)信息安全標(biāo)準(zhǔn)要求，需要從數(shù)據(jù)隔離、訪問(wèn)控制、數(shù)據(jù)加密、數(shù)據(jù)殘留等技術(shù)手段，來(lái)保證學(xué)校數(shù)據(jù)的安全性、完整性、可用性和私密性。因此需要權(quán)衡服務(wù)性能需求和數(shù)據(jù)保護(hù)需求，既方便云的管理，又提供更高的安全性。

（四）管理安全。對(duì)于一個(gè)龐大且復(fù)雜的云計(jì)算平臺(tái)，管理尤其需要重視。為了保證數(shù)據(jù)的安全性、服務(wù)的連續(xù)性，根據(jù)學(xué)校的實(shí)際情況，制定安全管理制度，建立安全審計(jì)系統(tǒng)，能夠在檢測(cè)到入侵事件時(shí)自動(dòng)響應(yīng)，記錄和維護(hù)好各類日志內(nèi)容，以提高對(duì)違規(guī)溯源的事后審查能力。

［1］雷萬(wàn)云.云計(jì)算技術(shù)、平臺(tái)及應(yīng)用案例［M］.北京：清華大學(xué)出版社，2011.

［2］薄明霞，陳軍.云計(jì)算安全體系架構(gòu)研究［J］.信息網(wǎng)絡(luò)安全，2011.8.