論整體構建校園網(wǎng)絡安全體系的方法及實現(xiàn)

余 輝

（四川省水產(chǎn)學校 四川 611730）

0 引言

在詳細分析校園網(wǎng)絡的基礎上，設計了校園網(wǎng)絡安全體系的總體結(jié)構，如圖1所示。網(wǎng)絡的各種安全因素都涵蓋在這一體系結(jié)構之內(nèi)，尤其是重大的安全問題和安全隱患更是不會缺少的。從區(qū)域角度考慮，校園網(wǎng)絡安全體系被劃分成了公網(wǎng)區(qū)域、安全基礎設施區(qū)域、外單位區(qū)域以及專用區(qū)域四個域，公共安全區(qū)域包括的內(nèi)容主要有邊界訪問控制和入侵檢測系統(tǒng)，還有公共服務層、網(wǎng)頁保護、抗DOS以及防火墻等；安全基礎設施區(qū)域主要包含三大體系：應急響應和支援體系、基于PKI/PMI的認證和授權管理體系以及網(wǎng)絡病毒防治服務體系；外單位區(qū)域主要有網(wǎng)絡隔離、信息交換層、邊界網(wǎng)絡控制以及VPN等；專網(wǎng)區(qū)域涵蓋的內(nèi)容是比較多的，主要有辦公業(yè)務層、多重認證與授權及強審計、系統(tǒng)鏡像、防火墻、漏洞掃描以及入侵檢測等，共同組成了校園網(wǎng)絡安全體系，為校園網(wǎng)絡的安全性提供了可靠性的保障。

圖1 校園網(wǎng)絡安全體系子系統(tǒng)構成示意圖

1 VPN網(wǎng)絡子系統(tǒng)功能

VPN網(wǎng)絡實現(xiàn)的載體是電信公司提供的地域網(wǎng)，校園網(wǎng)絡運用的是獨立的VLAN。為了使各辦學點不同的業(yè)務能夠正常地進行，既可以采用ACL訪問控制列表進行業(yè)務的控制，也可以采用VLAN、MAC地址綁定的方法實現(xiàn)。辦公內(nèi)部網(wǎng)絡系統(tǒng)的數(shù)據(jù)、學院業(yè)務系統(tǒng)的數(shù)據(jù)大都是通過 VPN隧道傳輸?shù)?，VPN隧道主要是由IPSec VPN技術從網(wǎng)點路由器到中心路由器建立的。VPN網(wǎng)絡子系統(tǒng)能夠?qū)Ω鬓k學點設備的安全以及辦學點到中心多業(yè)務數(shù)據(jù)的安全可靠傳輸進行有效的控制，以確保安全傳輸?shù)陌踩浴PN虛擬專用網(wǎng)是由IPSEC組建的。

2 安全檢測子系統(tǒng)功能

網(wǎng)絡安全檢測子系統(tǒng)主要應用于校園網(wǎng)的Email服務器、校園網(wǎng)的WWW服務器等各種服務器，能夠?qū)崿F(xiàn)對互聯(lián)網(wǎng)的信息進行實時地跟蹤和監(jiān)視，可以將互聯(lián)網(wǎng)上傳輸?shù)母鞣N類型的內(nèi)容進行及時截獲，并將這些內(nèi)容還原成完整的Telnet、WWW、FTP以及Email等應用內(nèi)容，建立相應的數(shù)據(jù)庫并使這些記錄得到很好的保存。當網(wǎng)絡上有非法的內(nèi)容進行傳輸時，應將這些內(nèi)容及時地告知給上級安全網(wǎng)絡中心，以便能夠及時采取措施使問題得到有效解決。在數(shù)據(jù)庫中保存的訪問日志利用專門的日志分析工具可以進行統(tǒng)計并且繪制成統(tǒng)計圖，然后能夠認真地分析訪問地址和流量，便能夠及時地了解到明顯的攻擊行為。

3 入侵檢測子系統(tǒng)功能

入侵檢測技術是一種能夠及時發(fā)現(xiàn)并報告系統(tǒng)中未經(jīng)授權或異?，F(xiàn)象的技術，能夠為計算機系統(tǒng)提供安全性的保障。入侵檢測系統(tǒng)能夠使各個安全區(qū)域的安全保障工作得到有效的解決。在校園網(wǎng)中最好從網(wǎng)絡的入侵檢測和主機的入侵檢測兩方面進行檢測，即采用混合入侵檢測，以確保校園網(wǎng)絡的安全。入侵檢測系統(tǒng)主要分為探測引擎（也叫傳感器Sensor）和控制中心（可分級）兩大部分?？刂浦行囊话闶强刂票镜鼗蜻h程網(wǎng)絡中的主機代理引擎、網(wǎng)絡探測引擎活動的管理系統(tǒng)。這一系統(tǒng)能夠代理引擎和各種探測引擎配置策略進行警戒的、日志的管理?？刂浦行哪軌蛎鞔_地顯示出入侵者的源IP地址、目的端口、當前用戶和進程以及目的IP地址等入侵報警信息，同時還能夠?qū)κ录M行阻斷、報警等多種響應設置。探測引擎的重要組成策略驅(qū)動的分析系統(tǒng)和網(wǎng)絡監(jiān)聽系統(tǒng)。對物理網(wǎng)絡上的所有通信信息，探測引擎能夠進行實時地監(jiān)聽和分析，還能夠及時地告知控制中心所分析的結(jié)果，同時需要認真做好控制中心指令的接受和響應工作。IDS部署的方式是采用網(wǎng)絡探測引擎且在相應的交換機上開一個鏡像端口，然后利用旁路偵聽的方法對網(wǎng)絡上流過的所有數(shù)據(jù)包進行動態(tài)性地監(jiān)測。在探測器和控制中心相互作用以及探測引擎和控制中心都設置密保的情況下，不僅能夠避免被騙的問題，還能夠防止在策略、日志等在傳輸?shù)倪^程中被其他人私自修改。不僅如此，所有的端口和服務都已經(jīng)被關閉了，所以不僅讓IDS這一設備對于外界而言變得更加透明，并且也讓對IDS提供了安全性的保障。通過實踐應用，能夠?qū)^濾和分析的范圍進行合理地調(diào)整，以實現(xiàn)數(shù)據(jù)包數(shù)量減少的目的。

4 漏洞掃描子系統(tǒng)功能

網(wǎng)絡層安全問題的解決首先需要明確網(wǎng)絡中存在的各種安全隱患。由于大型網(wǎng)絡具有變化速度快、復雜程度較高等特點，在尋找安全漏洞、做風險評估時單純地依靠網(wǎng)絡管理員的技術和經(jīng)驗是不能使問題得到有效解決的。比較有效的方法是尋找一種能夠檢查網(wǎng)絡漏洞、對網(wǎng)絡問題進行評估以及提出修改意見的網(wǎng)絡安全掃描工具，在解決網(wǎng)絡最新的安全漏洞和去除安全隱患時，可以通過系統(tǒng)配置、打補丁等多種方法使出現(xiàn)的上述問題得到有效的解決。

5 WUSU子系統(tǒng)功能

WUSU補丁通過自動分發(fā)系統(tǒng)使內(nèi)網(wǎng)PC補丁得到了統(tǒng)一升級，使病毒得到有效地防范。當WUSU服務器被配置在內(nèi)網(wǎng)之中，就可以被用作內(nèi)網(wǎng)的控制臺和升級服務器。升級數(shù)據(jù)是由獨立的外網(wǎng)的WSUS服務器升級后導出的，然后通過存儲介質(zhì)就可以數(shù)據(jù)文件導入到內(nèi)網(wǎng)的WUSU服務器上，從首實現(xiàn)服務器升級的目的。

6 管理制度子系統(tǒng)功能

在對每個安全層次進行研究和分析之后，分別制訂了切實可行的規(guī)章制度，主要有《計算機安全組織及安全責任制》《運行中心管理制度》《計算機文檔管理制度》《安全教育及培訓制度》以及《計算機安全防范系統(tǒng)管理制度》等，不僅使各項安全措施真正落實到位，還使其自身的作用得到最大限度地發(fā)揮。

[1]江鐵.網(wǎng)絡安全綜述[J].電腦知識與技術.2008（36）

[2]江鐵，匡慜.網(wǎng)絡安全現(xiàn)狀及對策[J].警官文苑.2010（04）

[3]周喆.計算機網(wǎng)絡安全的防范策略分析[J].電腦知識與技術.2009（05）