基于校園網的網絡安全風險及防護方案設計

郝亞平

摘要：隨著各行各業(yè)信息化程度的提高，尤其在高校教學改革中信息化的普遍使用，帶動了高校學生信息化水平的提高，但是隨之而來的卻是信息安全問題。如何構建一個安全的校園網環(huán)境是目前各個學校面臨的一個迫切的問題，文章通過對校園網絡的安全風險分析，給出一個校園網絡安全防護方案。

關鍵詞：信息化； 校園網； 網絡安全； 風險分析； 防護方案

中圖分類號：TP393 文獻標識碼：A 文章編號：1009-3044（2017）29-0018-02

Abstract： With the improvement of information technology in all walks of life， especially in the teaching reform in Colleges and universities， the widespread use of information has led to the improvement of the university students' information level， but it has been followed by information security problems. How to build a safe campus network environment is an urgent problem for all schools. This paper gives a campus network security protection scheme through the analysis of campus network security risk.

Key words： information technology；campus network；network security；risk analysis；protection scheme

1 概述

在校園網中，無論是學生有意無意或是好奇與嘗試引起的誤操作，都可能給校園網信息系統(tǒng)帶來損失。攻擊者能監(jiān)聽網絡上傳輸的信息、修改數據庫里的數據信息、偽造用戶的簽名，更嚴重的是攻擊者可以破壞網絡節(jié)點、上傳電腦病毒等。校園網信息系統(tǒng)管理人員可以更改系統(tǒng)配置、操作核心管理數據，任何誤操作都可能會導致信息系統(tǒng)的崩潰從而導致校園網穩(wěn)定性受到影響。

2 校園網安全設計目標

1） 網絡系統(tǒng)保密性

保證校園網中的信息資源不會被越權訪問，做到信息系統(tǒng)訪問可控，只有授權用戶才可以對信息系統(tǒng)管理、配置及數據操作。

2） 網絡系統(tǒng)可用性

確保校園網合法使用者可以安全及時地在需要時候訪問校園網相關網絡資源。

3） 網絡系統(tǒng)完整性

保證校園網內的信息資源的完整性及準確性。

3 校園網安全風險分析

根據校園網信息安全的分析具體情況，從信息系統(tǒng)弱點、安全威脅等方面出發(fā)，歸納出校園網存在的潛在的安全風險，從而引導出校園網絡防護需求。

3.1風險分析方法

根據標準化組織的ISO13335網絡安全風險的方法，從網絡威脅、系統(tǒng)漏洞、信息資產及安全風險等多個要素進行評估（如圖1所示）。

根據模型分析可推導出以下結論：

1） 校園網安全面臨的風險大小對應校園網具有的信息資產，而信息資產增加了安全風險的等級；

2） 校園網信息系統(tǒng)總會存在漏洞，而這些漏洞被利用后，會造成網絡安全風險的增加；

3） 對于校園網的信息資源，會有一些人為或非人為的安全因素，在利用了信息資源的弱點之后會把安全因素轉換為安全風險；

4） 為降低校園網絡存在安全風險，校園網管理部門要做好網絡安全防護；采取必要的安全措施保障校園網的正常運行。

3.2安全風險分析

針對校園網安全威脅特點，從各個角度對信息資源安全分析，提出校園網安全防范措施方案，用于保障校園網信息的完整性、可用性及保密性。

1） 網絡層安全風險

由于校園網使用的TCP/ IP網絡協(xié)議自身就存在一些安全隱患，導致很多網絡安全問題都是通過網絡層來進行傳播，網絡黑客會利用協(xié)議上漏洞發(fā)起網絡攻擊，有些嚴重的攻擊行會導致校園網癱瘓，影響師生工作與學習造成不良的影響。

2） 系統(tǒng)層安全風險

在校園網中，所有的信息系統(tǒng)應用都是基于各種網絡操作系統(tǒng)，而很多操作系統(tǒng)自身就存在許多安全漏洞。操作系統(tǒng)的參數配置及其應用內容決定了操作系統(tǒng)的安全程度，如果操作系統(tǒng)沒有完善相關的安全配置，則漏洞就會被入侵者利用，給校園網的正常運行造成極大的破壞。操作系統(tǒng)是各種信息系統(tǒng)的重要支撐，如果因各種原因受到入侵和破壞，則很容易對信息系統(tǒng)在安全性方面造成威脅，產生信息外泄或者系統(tǒng)癱瘓的結果，使整個學校無法開展正常的教學任務。

3） 應用層安全風險

對支撐校園網內重要業(yè)務的信息系統(tǒng)，如WEB、郵件系統(tǒng)、域名解析服務等網絡基本服務以及各業(yè)務系統(tǒng)如OA、財務系統(tǒng)、教務系統(tǒng)等構成了最重要的校園網信息資源，因為這些信息系統(tǒng)與整個校園內的各業(yè)務關聯(lián)緊密，當受到入侵后將影響學校的正常教學活動，所以要重點加以防護。

目前業(yè)務系統(tǒng)的安全依賴于網絡層、操作系統(tǒng)及數據庫的安全，因為業(yè)務系統(tǒng)種類繁多，現(xiàn)在還沒有特定的安全解決方案來完全解決所有業(yè)務系統(tǒng)的安全問題。

4 校園網安全防護設計

4.1設計原則

校園網安全體系的構建應參照教育行業(yè)等級保護的要求和國家信息安全保障體系建設的原則，按照統(tǒng)一標準、統(tǒng)一規(guī)劃、適度超前，重點部門推進、分步實施；以業(yè)務安全需求為導向，遵從以下的信息系統(tǒng)建設原則：endprint

1） 堅持綜合防范的原則

通過主動防御、全面防范的策略，增強信息系統(tǒng)安全防護能力，重點防護校園網主干網絡和關鍵業(yè)務系統(tǒng)的安全，凈化校園網絡環(huán)境，保障信息化發(fā)展，保護校園網信息資產的安全，維護國家信息安全。

2） 管理與技術并進的原則

校園網是一個技術含量相對較高的綜合工程，要做到校園網即有較高的運行速度又要保障其安全，需要采用先進的網絡安全防護策略，對已建立的信息系統(tǒng)實施高效管理。在進行項目建設時應建立相應的安全管理機制。

3） 經濟實用性原則

在做安全整體規(guī)劃時，不僅要考慮校園網絡安全風險和需求，還要考慮建設成本。在滿足校園網安全的前提下，盡量減少不必要的人力及物力的投入，優(yōu)化安全體系設計，合理的配置信息系統(tǒng)各項參數，使用的安全產品要實用高效便于操作。

4） 標準化原則

標準化是校園網信息系統(tǒng)建設的前提條件。校園網的安全體系建設是一個涉及面比較廣的系統(tǒng)工程，安全設備種類多，網絡拓撲結構復雜，各種業(yè)務應用多種多樣。為了確保業(yè)務系統(tǒng)的信息能安全的互通互連，保障校園網絡安全體系建設，要嚴格遵循有關部門關于信息系統(tǒng)安全管理和建設規(guī)范，按照統(tǒng)一的標準規(guī)劃設計。

5） 適度安全原則

在安全規(guī)劃建設時不能做到校園網中的信息系統(tǒng)都絕對的安全，所以在安全體系規(guī)劃設計時，在滿足安全需求、降低安全風險和安全成本之間進行平衡和折中，過量的安全需要會造成系統(tǒng)運行的復雜性和建設成本的迅速增加。

6） 分期分步實施原則

校園網信息安全體系建設是一個龐大的、復雜的系統(tǒng)工程，安全體系建設時需要根據校園網運行的實際情況提出項目應分系統(tǒng)、分階段實施。

4.2 業(yè)務系統(tǒng)安全防護設計

1） 網絡安全邊界設計

校園網的出入口安全是校園網安全建設的重點之一，需要在互聯(lián)網總出口部署防火墻系統(tǒng)，以便根據不同安全要求設定相應的安全規(guī)則，在保障內外網絡通訊的同時阻止非法用戶的入侵和破壞行為。

2） 網絡入侵防御設計

入侵防御系統(tǒng)主要防范網絡攻擊行為，特別是對網絡應用層協(xié)議分析，能阻斷惡意攻擊。入侵防御系統(tǒng)可以提供主動防御，預先對入侵行為和攻擊性數據包進行阻攔，防止網絡信息系統(tǒng)造成損失，在惡意網絡流量通過時發(fā)出警報。

3） 網絡入侵檢測設計

入侵檢測系統(tǒng)（IDS）能根據特征庫自動識別業(yè)務系統(tǒng)被入侵的狀態(tài)，它可以監(jiān)視活動的網絡流量，發(fā)現(xiàn)有攻擊意圖和非法的訪問活動。使用入侵檢測系統(tǒng)的目的是防止業(yè)務系統(tǒng)被入侵及入侵時提供相應的防護措施。入侵檢測系統(tǒng)以主動防御、動態(tài)檢測及實時響應為特點，很好地填補了防火墻等安全設備動態(tài)防御功能的不足。

4） 上網行為管理設計

校園網絡管理人員可以通過上網行為管理系統(tǒng)了解網絡使用帶寬資源的情況，并根據網絡帶寬使用情況制定管理策略，驗證策略有效性。上網行為管理系統(tǒng)可以保障核心用戶及核心業(yè)務所需帶寬，同時可以在網絡帶寬利用率低時實現(xiàn)資源再分配，以充分利用網絡資源。

5） 漏洞掃描設計

校園網信息系統(tǒng)的安全是動態(tài)變化發(fā)展的，選用合適的防火墻與制定安全策略是系統(tǒng)安全防護的開始，這種方式能解決60%至80%的網絡安全問題，剩下的仍需其他安全系統(tǒng)來配合。漏洞掃描是對網絡信息系統(tǒng)進行風險評估的重要手段，通過掃描，能及時發(fā)現(xiàn)網絡信息系統(tǒng)中薄弱的環(huán)節(jié)，檢查存在的不安全配置及漏洞，并給出對應安全解決策略和補救措施，從而達到保障業(yè)務信息系統(tǒng)安全的目的。

6） 網站防護系統(tǒng)設計

網站防護系統(tǒng)（WAF）主要用于保護B/S架構業(yè)務系統(tǒng)的安全性和可靠性，提升網站型業(yè)務系統(tǒng)的運行質量。WAF可以監(jiān)視網站型業(yè)務系統(tǒng)的流量、運行動態(tài)，資源使用情況，實時監(jiān)測服務質量和服務能力，并建立網絡安全威脅預警機制。從網站威脅防御、防篡改、防拒絕服務攻擊和網站應用優(yōu)化等多個角度保障業(yè)務系統(tǒng)網站的運行質量。

7） 日志審計系統(tǒng)部署設計

日志審計系統(tǒng)建設應能采集和分析操作系統(tǒng)、網絡設備、安全設備、應用系統(tǒng)等多種產品及系統(tǒng)的日志數據，當系統(tǒng)出現(xiàn)異常時能根據日志記錄信息還原事件發(fā)生經過。

8） 流量控制系統(tǒng)設計

流量控制系統(tǒng)可以通過對數據包檢測及流量狀態(tài)監(jiān)測等方式對校園網絡的應用深度解析，實現(xiàn)從數據鏈路層到應用層的應用識別分類、流量策略管理、流量屬性分析、分類統(tǒng)計報告以及安全狀態(tài)預警等多種功能。通過對業(yè)務系統(tǒng)網絡流量分析從而達到控制的目的，增強網絡的安全管理能力。

9） 網絡安全管理系統(tǒng)

校園網的管理是網絡構建中非常重要的組成部分。一個良好的網絡管理系統(tǒng)可以在很大程度上幫助校園網系統(tǒng)管理人員優(yōu)化網絡結構、預防和及時排除故障，減少網絡的維護費用。校園網如果缺少網絡管理和網絡控制的功能將導致網絡運行效率低下，難以診斷網絡故障及運行狀態(tài)，也難以實現(xiàn)網絡計費等功能。

5 結束語

在校園網中部署安全防護系統(tǒng)以一種立體的組合型角度從數據鏈路層到應用層全面地保護了整個應用系統(tǒng)的運行。但是校園網安全會隨著應用環(huán)境、使用時間的變化而變化的，在特定的環(huán)境下是安全的系統(tǒng)，如果環(huán)境發(fā)生變化，原來安全的信息系統(tǒng)可能就會變的不安全了。在特定時間里安全的信息系統(tǒng)，如果時間發(fā)生變化了，原來的信息系統(tǒng)就會變的不安全，因此在新的安全系統(tǒng)部署的同時，安全服務和策略調整也要隨之跟上。建立好的校園網安全體系結構不是一勞永逸的事情，只有好的安全系統(tǒng)與安全管理相結合才能保證安全技術得到正確、合理和及時的使用，三分技術，七分管理就是這樣來的。應當通過安全管理和安全技術的有效結合，實現(xiàn)動態(tài)的、可持續(xù)發(fā)展的安全循環(huán)。

參考文獻：

[1] 李海光. 計算機網絡安全技術與防范策略[J]. 電子技術與軟件工程， 2017，（01）：210-211.

[2] 韓雨橋， 范宏. 校園網中網絡安全技術的應用策略[J]. 網絡安全技術與應用， 2016（03）：91-91.

[3] 謝暉輝. 網絡安全技術在校園網中的應用[J]. 電腦知識與技術， 2009， 5（9）：2087-2088.

[4] 辛皓煒. 校園網中網絡安全技術及策略的應用研究[J]. 網絡安全技術與應用， 2015（05）：91-93.endprint