試析基于用戶特征的職業(yè)院校校園信息安全體系模型

張濤 畢超 張陸

摘要：近年來，盡管各類職業(yè)院校逐步加強(qiáng)校園信息安全管理的建設(shè)，但松散的安全管理方式使得各類管理信息平臺面臨巨大的安全挑戰(zhàn)。為進(jìn)一步提高管理信息平臺的安全性，本文提出了基于用戶特征的校園信息安全體系模型。通過對各管理信息平臺訪問用戶的特征進(jìn)行分析，對管理信息平臺的安全需求進(jìn)行歸類，分別提出相應(yīng)的安全管理體系，并綜合形成完整的信息安全體系模型。分析表明，該信息安全體系能夠在很大程度上提高職業(yè)院校校園信息平臺的安全性。

關(guān)鍵詞：職業(yè)院校；信息安全體系；用戶特征；用戶管理；網(wǎng)絡(luò)管理

中圖分類號：G717 文獻(xiàn)標(biāo)識碼： A 文章編號：1672-5727（2016）06-0043-04

隨著職業(yè)院校信息化建設(shè)的深入，各種管理信息平臺陸續(xù)使用，信息資源不斷豐富，校園信息安全建設(shè)的重要性凸顯。病毒攻擊、黑客入侵、后門木馬等網(wǎng)絡(luò)安全問題已經(jīng)嚴(yán)重威脅各種管理信息平臺的正常使用。因此，建立并完善校園信息安全體系已經(jīng)成為校園信息化工作的重要內(nèi)容。

一、校園信息安全的需求分析

盡管各種管理信息平臺已經(jīng)遍布職業(yè)院校的教學(xué)、管理、生活等各種校園活動，信息安全的重要性也逐步得到了認(rèn)識和重視，但信息安全仍然存在很多問題，如各種安全設(shè)備（防火墻、入侵防護(hù)系統(tǒng)、Web應(yīng)用防火墻等）沒有形成統(tǒng)一的安全防護(hù)體系；管理信息平臺本身存在安全缺陷，并且在部署時沒有采取有效的安全措施；一些管理信息平臺訪問日志不夠詳細(xì)或者缺乏訪問日志；仍有一些用戶安全意識淡薄，存在使用非常簡單的密碼，輕易把用戶信息告訴他人等現(xiàn)象。特別是沒有對應(yīng)用平臺做有針對性的安全需求分析，在很多時候都使用相同的安全防護(hù)措施，從而大大降低了安全性。

為了改進(jìn)校園信息安全管理中存在的問題，從用戶人群、訪問地點以及是否需要認(rèn)證三個特征對主要的校園管理信息平臺進(jìn)行分析，如表1所示。

根據(jù)表1，可以把各種管理信息平臺安全需求管理分成三種情況，如表2所示，為了便于描述，分別用A、B、C表示。

二、管理信息平臺安全管理體系分析

（一）A類管理信息平臺的安全管理體系

A類管理信息平臺的用戶特征在于任何用戶在任何地點、不需要認(rèn)證就可以訪問該服務(wù)，通常需要開放80端口提供服務(wù)。這類管理信息平臺主要存在端口掃描、病毒攻擊、篡改頁面等安全隱患。根據(jù)上述情況，可以采取如圖1所示的信息安全管理體系。

1.使用首頁服務(wù)

在首頁上提供其他管理信息平臺的網(wǎng)址鏈接。開放首頁服務(wù)器的80端口，其他管理信息平臺則使用其他非80端口，這種模式可以減少病毒對默認(rèn)端口的掃描和攻擊。

2.使用防篡改服務(wù)

網(wǎng)頁被篡改是門戶網(wǎng)頁面臨的最為嚴(yán)重的問題，它不但關(guān)系著信息安全問題，同時也嚴(yán)重影響學(xué)校的形象。目前，有很多關(guān)于網(wǎng)頁防篡改和自動恢復(fù)技術(shù)的研究，并且逐步得到應(yīng)用推廣。網(wǎng)頁防篡改服務(wù)能夠以多種方式監(jiān)控頁面是否被篡改，并及時將被篡改的頁面恢復(fù)，以防止惡意頁面被廣泛傳播。

3.在管理信息平臺前端使用防火墻、入侵防御系統(tǒng)、Web應(yīng)用防火墻等網(wǎng)絡(luò)安全設(shè)備

防火墻是一種隔離技術(shù)，是在兩個網(wǎng)絡(luò)通訊時執(zhí)行的一種訪問控制策略，只有符合安全策略的數(shù)據(jù)流才能通過防火墻。入侵防御系統(tǒng)是一種主動的入侵檢測和防御系統(tǒng)，目前在校園信息化建設(shè)中也逐步得到了推廣應(yīng)用。入侵防御系統(tǒng)的作用是在數(shù)據(jù)進(jìn)入受保護(hù)網(wǎng)絡(luò)之前對可疑數(shù)據(jù)、非法入侵和各種攻擊進(jìn)行攔截。近些年，Web應(yīng)用防火墻技術(shù)開始得到重視和廣泛研究，其產(chǎn)品也開始得到應(yīng)用和實踐。Web應(yīng)用防火墻是針對HTTP/HTTPS的安全策略專門為Web應(yīng)用提供保護(hù)的安全產(chǎn)品，它可以通過對HTTP的請求進(jìn)行異常檢測，拒絕不符合HTTP標(biāo)準(zhǔn)的請求，也可以只允許HTTP協(xié)議的部分選項通過，從而減少攻擊的影響范圍等。

4.數(shù)據(jù)庫服務(wù)、防篡改服務(wù)等不需要用戶直接訪問的服務(wù)平臺可以使用內(nèi)部IP地址

這樣，可以從而防止黑客直接對這些服務(wù)進(jìn)行攻擊。

（二）B類管理信息平臺的安全管理體系

B類管理信息平臺的用戶特征在于教工、學(xué)生在任何地點都可以通過身份認(rèn)證后訪問其服務(wù)。這類管理信息平臺的安全問題在于，雖然合法用戶需要通過身份認(rèn)證后才能訪問服務(wù)平臺，但是服務(wù)器直接暴露在公共網(wǎng)絡(luò)中，允許任何人員在任何地點嘗試登陸，允許任何IP地址訪問服務(wù)器IP地址。這種管理模式給管理信息平臺的安全帶來了很多問題，如應(yīng)用平臺漏洞容易被黑客利用，黑客可以直接攻擊服務(wù)器，網(wǎng)絡(luò)病毒能夠直接威脅服務(wù)器安全，用戶訪問日志不健全，出現(xiàn)安全問題后很難查找問題所在等等。

由于這類管理信息平臺的訪問用戶都是學(xué)校的教工和學(xué)生，用戶人群是確定的，因此可以在A類管理信息平臺安全管理體系的基礎(chǔ)上部署用戶管理網(wǎng)關(guān)（如VPN網(wǎng)關(guān)、行為管理網(wǎng)關(guān)等），其作用主要是完成用戶身份驗證，針對不同用戶對管理信息平臺分配不同的訪問權(quán)限，記錄用戶的網(wǎng)絡(luò)訪問日志等。通過對這類管理信息平臺進(jìn)行用戶訪問管理，防止學(xué)校教工和學(xué)生以外的其他人群訪問平臺，并且也限制了公網(wǎng)IP地址隨意訪問服務(wù)器IP地址。在很多情況下，管理信息平臺的安全威脅來自于用戶本身，如教工安全意識淡薄、學(xué)生惡意攻擊等等，因此，加強(qiáng)管理信息平臺的用戶身份驗證和訪問日志管理，也是對教工和學(xué)生用戶正常使用管理信息平臺的約束，任何不良的操作行為都將被記錄在訪問日志中?？梢姡谶@個位置部署用戶管理網(wǎng)關(guān)就相當(dāng)于建立一個有效的安全屏障，如圖2所示。

（三）C類管理信息平臺的安全管理體系

一卡通系統(tǒng)、財務(wù)管理系統(tǒng)是最常見的兩個C類管理信息平臺，其用戶特征在于少數(shù)管理人員在固定地點訪問、管理應(yīng)用平臺，其他教工和學(xué)生用戶僅通過信息查詢前置服務(wù)查詢工資信息和消費信息等。由于這兩個服務(wù)系統(tǒng)都關(guān)系到財務(wù)管理，因此，這兩個系統(tǒng)通常都采用獨立的網(wǎng)絡(luò)環(huán)境，或者在現(xiàn)有網(wǎng)絡(luò)設(shè)備中劃分出專用的虛擬局域網(wǎng)絡(luò)。C類管理信息平臺的安全管理體系可以在B類管理信息平臺安全管理體系的基礎(chǔ)上部署網(wǎng)絡(luò)安全隔離系統(tǒng)，俗稱網(wǎng)閘，如圖3所示。網(wǎng)閘的基本功能是實現(xiàn)內(nèi)網(wǎng)與外網(wǎng)的文件交換、網(wǎng)頁單向瀏覽、數(shù)據(jù)庫交互等。它是由帶有多種控制功能專用硬件在電路上切斷網(wǎng)絡(luò)之間的鏈路層連接，并能夠在網(wǎng)絡(luò)間進(jìn)行安全適度的應(yīng)用數(shù)據(jù)交換的網(wǎng)絡(luò)安全設(shè)備，在任一時刻點僅連接內(nèi)網(wǎng)或外網(wǎng)。

由于C類管理信息平臺使用專用的網(wǎng)絡(luò)環(huán)境，系統(tǒng)受到外界網(wǎng)絡(luò)的影響較小，因此，管理人員的安全意識是這類管理平臺的主要安全因素，如不隨意地把非系統(tǒng)計算機(jī)接入專用網(wǎng)絡(luò)，不隨意地在專用計算機(jī)上接入個人U盤、移動硬盤等存儲設(shè)備。

三、融合的信息安全體系模型

通過上述分析可以看出，A、B、C三類管理信息平臺的安全管理體系層層遞進(jìn)，越來越嚴(yán)格，因此，可以說這三類管理信息平臺的安全需求等級是逐步提高的。將這三種安全管理體系融合，則可以清楚地得到校園網(wǎng)絡(luò)服務(wù)的信息安全體系模型，如圖4所示。在該體系模型中，用戶管理網(wǎng)關(guān)、防火墻、網(wǎng)閘是關(guān)鍵設(shè)備，其中在網(wǎng)絡(luò)出口設(shè)備和核心交換機(jī)之間部署的用戶管理網(wǎng)關(guān)M，是目前很多學(xué)校的部署方式，如身份認(rèn)證系統(tǒng)、網(wǎng)絡(luò)計費管理系統(tǒng)等用戶管理網(wǎng)關(guān)，而在管理信息平臺之前的用戶管理網(wǎng)關(guān)N則使用得不是很廣泛，但是在該位置部署用戶管理網(wǎng)關(guān)能夠起到有效的安全管理作用。入侵防護(hù)系統(tǒng)、Web應(yīng)用防火墻可以根據(jù)實際需要進(jìn)行部署，在此基礎(chǔ)上也可以添加其他安全系統(tǒng)，如防毒墻、漏洞掃描系統(tǒng)等。

通過分析各種用戶訪問職業(yè)院校校園網(wǎng)絡(luò)信息服務(wù)的特征，建立以用戶特征為基礎(chǔ)的管理信息平臺安全管理體系。該安全管理體系模型為校園網(wǎng)應(yīng)用平臺的安全管理建設(shè)提供了有效的實施方案，在此基礎(chǔ)上也可以根據(jù)實際需求進(jìn)行簡化或拓展。在該安全體系模型中，使用用戶管理網(wǎng)關(guān)，嚴(yán)格管理訪問各管理信息平臺的用戶范圍，限制訪問IP地址，并詳細(xì)記錄用戶的訪問日志，能夠有效提高管理信息平臺的安全性，是該安全體系模型的重要組成和關(guān)鍵部署。

參考文獻(xiàn)：

[1]冶忠林，王相龍.網(wǎng)頁防篡改和自動恢復(fù)系統(tǒng)[J].計算機(jī)系統(tǒng)應(yīng)用，2012（2）：225-228.

[2]羅躍國.一種網(wǎng)頁防篡改技術(shù)在校園網(wǎng)中的實現(xiàn)[J].西安文理學(xué)院學(xué)報（自然科學(xué)版），2011（1）：96-99.

[3]張鑫，閃永強(qiáng).一種新型網(wǎng)頁防篡改策略的研究與部署[J].河南師范大學(xué)學(xué)報（自然科學(xué)版），2011（5）：157-160.

[4]段國云，陳浩，黃文，唐亞純.一種Web程序防篡改系統(tǒng)的設(shè)計與實現(xiàn)[J].計算機(jī)工程，2014（5）：149-153.

[5]張慧.入侵防御系統(tǒng)在數(shù)字化校園的應(yīng)用[J].電腦知識與技術(shù)，2010（17）：4631-4632.

[6]盧旭霞.基于IPS的校園局域網(wǎng)安全體系研究與實現(xiàn)[J].信息安全與技術(shù)，2012（3）：23-25.

[7]劉志光. Web應(yīng)用防火墻技術(shù)分析[J].情報探索，2014（3）：103-105.

[8]魏濤. Web應(yīng)用防火墻的應(yīng)用與研究[J].現(xiàn)代商貿(mào)工業(yè)，2012（24）：213-214.

[9]孫曉林，文杰.一種基于雙網(wǎng)關(guān)和radius認(rèn)證的VPN部署方法[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2014（2）：127-128.

[10]黃家林，梅震琨，劉海韜，甘妙金.基于用戶行為管理的園區(qū)網(wǎng)管理模型[J].計算機(jī)工程與設(shè)計，2009（15）：3653-3656.

[11]包益民.淺談網(wǎng)絡(luò)安全隔離產(chǎn)品[J].數(shù)字技術(shù)與應(yīng)用，2011（10）：218-220.

[12]劉冬梅.安全隔離網(wǎng)閘在公安交通信息系統(tǒng)中的應(yīng)用[J].計算機(jī)安全，2009（11）：83-85.

[13]熊志堅.網(wǎng)絡(luò)隔離技術(shù)與信息安全管理淺析[J].通信與信息技術(shù)，2013（5）：61-62.