淺談高校校園網(wǎng)的安全運(yùn)營(yíng)

裴彩燕　陳春霞　張　帥

[摘要]網(wǎng)絡(luò)安全越來越受到人們的重視，校園網(wǎng)絡(luò)包括圖書館，內(nèi)部網(wǎng)等亦會(huì)受到病毒，惡意攻擊等網(wǎng)絡(luò)威脅的侵害。從網(wǎng)絡(luò)安全策略的角度對(duì)校園網(wǎng)絡(luò)管理中的安全問題進(jìn)行分析和探討。

[關(guān)鍵詞]校園網(wǎng) 網(wǎng)絡(luò)安全 安全策略 防火墻

中圖分類號(hào)：TP3文獻(xiàn)標(biāo)識(shí)碼：A文章編號(hào)：1671－7597（2009）0510

與一般的企業(yè)網(wǎng)應(yīng)用不同，校園網(wǎng)在使用行為特征和性能需求上有著獨(dú)有的規(guī)律。首先，網(wǎng)絡(luò)在學(xué)校里被用得很充分，校園網(wǎng)既有常規(guī)的應(yīng)用，也有很多非常規(guī)的應(yīng)用。特別是一些新的應(yīng)用，更是在校園網(wǎng)中層出不窮。有些新應(yīng)用目前在技術(shù)上可能還不是很成熟，但是在校園網(wǎng)中常常有普遍的使用。另外，學(xué)生喜歡挑戰(zhàn)網(wǎng)絡(luò)。由于使用圖書館網(wǎng)絡(luò)的大部分是學(xué)生，他們的好奇心都是很重，并且現(xiàn)在各種攻擊手段的教材隨處可見，所以有少數(shù)學(xué)生就把圖書館網(wǎng)絡(luò)作為攻擊的對(duì)象。學(xué)生選擇攻擊圖書館網(wǎng)絡(luò)是因?yàn)閳D書館網(wǎng)絡(luò)對(duì)于他們來說是內(nèi)網(wǎng)，學(xué)校的IP地址基本是在學(xué)校內(nèi)部公開的，這樣可以很方便的隱藏學(xué)生自己的IP地址，對(duì)圖書館網(wǎng)絡(luò)進(jìn)行泛洪等的基本攻擊，并可以很快見到他們攻擊所能帶來的危害。

一、安全的概念

包括物理安全和邏輯安全。物理安全指網(wǎng)絡(luò)系統(tǒng)中各通信計(jì)算機(jī)設(shè)備以及相關(guān)設(shè)備的物理保護(hù)，免予破壞、丟失等；邏輯安全包括信息完整性、保密性和可用性。保密性是指信息不泄漏給未經(jīng)授權(quán)的人，完整性是指計(jì)算機(jī)系統(tǒng)能夠防止非法修改和刪除數(shù)據(jù)和程序，可用性是指系統(tǒng)能夠防止非法獨(dú)占計(jì)算機(jī)資源和數(shù)據(jù)，合法用戶的正常請(qǐng)求能及時(shí)、正確、安全的得到服務(wù)或回應(yīng)。

網(wǎng)絡(luò)計(jì)算機(jī)中安全威脅主要有：身份竊取，身份假冒、數(shù)據(jù)竊取、數(shù)據(jù)篡改，操作否認(rèn)、非授權(quán)訪問、病毒等。

二、解決方案的分類

解決網(wǎng)絡(luò)安全問題涉及的范圍廣泛；不安全因素主要集中在網(wǎng)絡(luò)傳播介質(zhì)及網(wǎng)絡(luò)協(xié)議的缺陷、密碼系統(tǒng)的缺陷、主機(jī)操作系統(tǒng)的缺陷上，因此在安全策略方面重點(diǎn)考慮：

（一）基礎(chǔ)結(jié)構(gòu)安全

主要包括：操作系統(tǒng)選擇和問題規(guī)避；帳號(hào)設(shè)置、口令強(qiáng)度、網(wǎng)絡(luò)參數(shù)、文件監(jiān)測(cè)保護(hù)在現(xiàn)實(shí)運(yùn)作中，密碼系統(tǒng)已經(jīng)非常完善，標(biāo)準(zhǔn)的DES、RSA和 其他相關(guān)認(rèn)證體系已經(jīng)成為公認(rèn)的具有計(jì)算復(fù)雜性安全的密碼標(biāo)準(zhǔn)協(xié)議，這個(gè)標(biāo)準(zhǔn)的健壯性也經(jīng)受了成千上萬網(wǎng)絡(luò)主機(jī)的考驗(yàn)，但是在網(wǎng)絡(luò)協(xié)議與操作系統(tǒng)本身上，仍然有很多可被攻擊的入口。很多網(wǎng)絡(luò)安全中的問題集中在操作系統(tǒng)的缺陷上。Unix及類 Unix操作系統(tǒng)是在 Internet中非常普遍的操作系統(tǒng)，主要用于網(wǎng)絡(luò)服務(wù)。它的源代碼是公開的，所以在很多場(chǎng)合下使用者可以定制自己的Unix，操作系統(tǒng)，使它更適合網(wǎng)絡(luò)相關(guān)的服務(wù)要求。

由于網(wǎng)絡(luò)協(xié)議是獨(dú)立與操作系統(tǒng)的，它的體系結(jié)構(gòu)與操作系統(tǒng)端是無關(guān)的，網(wǎng)絡(luò)協(xié)議所存在的安全隱患也是獨(dú)立于操作系統(tǒng)來修正的。

（二）管理安全

安全管理是網(wǎng)絡(luò)必須考慮的，主要包括：權(quán)限管理，單點(diǎn)登錄，安全管理中心等。

管理的技術(shù)手段很多，通過采用加強(qiáng)身份確認(rèn)的方法獲得網(wǎng)上資源控制權(quán)提供安全的遠(yuǎn)程接入手段；采用虛擬專網(wǎng)技術(shù)如網(wǎng)絡(luò)保密機(jī)解決數(shù)據(jù)在公網(wǎng)傳輸?shù)陌踩裕话踩]件和安全Web服務(wù)器也是一類重要的安全產(chǎn)品。然而，對(duì)一個(gè)具體的網(wǎng)絡(luò)系統(tǒng)，我們?cè)诎踩L(fēng)險(xiǎn)評(píng)估確定合適的安全需求后，從技術(shù)上講可以架構(gòu)一個(gè)滿足基本要求的安全設(shè)備平臺(tái)。但是發(fā)生最頻繁的安全威脅實(shí)際上是非技術(shù)因素，安全管理漏洞和疏忽才是最大的安全隱患。只有把安全管理制度與安全管理技術(shù)手段結(jié)合起來，這個(gè)網(wǎng)絡(luò)信息系統(tǒng)的安全性才有保障。因此，采用集中統(tǒng)一的管理策略，以技術(shù)手段實(shí)現(xiàn)非技術(shù)的安全管理，主要由安全管理中心實(shí)現(xiàn)。

（三）邊界安全

校園網(wǎng)絡(luò)與外界的邊界劃分是否科學(xué)?IT系統(tǒng)與外界、內(nèi)部關(guān)鍵部門之間是否安全隔離?這都屬于邊界安全范圍。可以在關(guān)心的實(shí)體之間安裝防火墻產(chǎn)品和攻擊檢測(cè)軟件，來加強(qiáng)邊界安全，實(shí)施攻擊防御方案。關(guān)于防火墻技術(shù)的使用成功與否對(duì)網(wǎng)絡(luò)的安全有決定性作用，對(duì)此我們進(jìn)行主要討論。

1．防火墻的概念

所謂“防火墻”，是指一種將內(nèi)部網(wǎng)和公眾訪問網(wǎng)（Internet）分開的方法，實(shí)際上是一種隔離技術(shù)。防火墻是在兩個(gè)網(wǎng)絡(luò)通訊時(shí)執(zhí)行的一種訪問控制尺度，它能允許你“同意”的人和數(shù)據(jù)進(jìn)入你的網(wǎng)絡(luò)，同時(shí)將你“不同意”的人和數(shù)據(jù)拒之門外，最大限度地阻止網(wǎng)絡(luò)中的黑客來訪問你的網(wǎng)絡(luò)，防止他們更改、拷貝、毀壞你的重要信息

2．防火墻在網(wǎng)絡(luò)中的位置

為了達(dá)到對(duì)網(wǎng)絡(luò)數(shù)據(jù)傳輸進(jìn)行監(jiān)視的目的，防火墻一般位于局域網(wǎng)和廣域網(wǎng)之間或局域網(wǎng)與局域網(wǎng)之間。

在這種情況之下，防火墻的主要作用是允許局域網(wǎng)內(nèi)的用戶訪問Internet，如瀏覽WWW網(wǎng)站，收發(fā)E-mail，并且禁止來自于Internet上的未知用戶闖入局網(wǎng)進(jìn)行破壞或竊取機(jī)密信息。

在這種情況下，防火墻的作用是允許公用信息在兩個(gè)網(wǎng)絡(luò)中傳輸，保證每個(gè)網(wǎng)段的私有信息不被對(duì)方訪問。

可以看出無論哪一種形式，防火墻都是數(shù)據(jù)報(bào)文進(jìn)出網(wǎng)絡(luò)的必經(jīng)之路，這樣才能保證防火墻對(duì)網(wǎng)絡(luò)的監(jiān)視保護(hù)作用。

3．防火墻的分類

從防火墻的軟、硬件形式來分的話，防火墻可以分為軟件防火墻和硬件防火墻以及芯片級(jí)防火墻。

（1）軟件防火墻

軟件防火墻運(yùn)行于特定的計(jì)算機(jī)上，它需要客戶預(yù)先安裝好的計(jì)算機(jī)操作系統(tǒng)的支持，一般來說這臺(tái)計(jì)算機(jī)就是整個(gè)網(wǎng)絡(luò)的網(wǎng)關(guān)。俗稱“個(gè)人防火墻”。軟件防火墻就像其它的軟件產(chǎn)品一樣需要先在計(jì)算機(jī)上安裝并做好配置才可以使用。防火墻廠商中做網(wǎng)絡(luò)版軟件防火墻最出名的莫過于Checkpoint。使用這類防火墻，需要網(wǎng)管對(duì)所工作的操作系統(tǒng)平臺(tái)比較熟悉。

（2）硬件防火墻

這里說的硬件防火墻是指“所謂的硬件防火墻”。之所以加上“所謂”二字是針對(duì)芯片級(jí)防火墻說的了。它們最大的差別在于是否基于專用的硬件平臺(tái)。目前市場(chǎng)上大多數(shù)防火墻都是這種所謂的硬件防火墻，他們都基于PC架構(gòu)，就是說，它們和普通的家庭用的PC沒有太大區(qū)別。值得注意的是，由于此類防火墻采用的依然是別人的內(nèi)核，因此依然會(huì)受到OS（操作系統(tǒng)）本身的安全性影響。

傳統(tǒng)硬件防火墻一般至少應(yīng)具備三個(gè)端口，分別接內(nèi)網(wǎng)，外網(wǎng)和DMZ區(qū)（非軍事化區(qū)），現(xiàn)在一些新的硬件防火墻往往擴(kuò)展了端口，常見四端口防火墻一般將第四個(gè)端口作為配置口、管理端口。很多防火墻還可以進(jìn)一步擴(kuò)展端口數(shù)目。

（3）芯片級(jí)防火墻

芯片級(jí)防火墻基于專門的硬件平臺(tái)，沒有操作系統(tǒng)。專有的ASIC芯片促使它們比其他種類的防火墻速度更快，處理能力更強(qiáng)，性能更高。這類防火墻由于是專用OS（操作系統(tǒng)），因此防火墻本身的漏洞比較少，不過價(jià)格相對(duì)比較高昂

4．防火墻集中的主要功能

創(chuàng)建一個(gè)阻塞點(diǎn)；

離不同網(wǎng)絡(luò)，防止內(nèi)部信息的外泄；

強(qiáng)化安全策略；

有效地審計(jì)和記錄內(nèi)、外部網(wǎng)絡(luò)上的活動(dòng)。

（1）創(chuàng)建一個(gè)阻塞點(diǎn)

防火墻在一個(gè)公司內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)間建立一個(gè)檢查點(diǎn)。這種實(shí)現(xiàn)要求所有的流量都要通過這個(gè)檢查點(diǎn)。一旦這些檢查點(diǎn)清楚地建立，防火墻設(shè)備就可以監(jiān)視，過濾和檢查所有進(jìn)來和出去的流量。這樣一個(gè)檢查點(diǎn)，在網(wǎng)絡(luò)安全行業(yè)中稱之為“阻塞點(diǎn)”。通過強(qiáng)制所有進(jìn)出流量都通過這些檢查點(diǎn)，網(wǎng)絡(luò)管理員可以集中在較少的地方來實(shí)現(xiàn)安全目的。如果沒有這樣一個(gè)供監(jiān)視和控制信息的點(diǎn)，系統(tǒng)或安全管理員則要在大量的地方來進(jìn)行監(jiān)測(cè)。

（2）隔離不同網(wǎng)絡(luò)，防止內(nèi)部信息的外泄

這是防火墻最基本的功能，它通過隔離內(nèi)、外部網(wǎng)絡(luò)來確保內(nèi)部網(wǎng)絡(luò)的安全。也限制了局部重點(diǎn)或敏感網(wǎng)絡(luò)安全問題對(duì)全局網(wǎng)絡(luò)造成的影響。企業(yè)秘密是大家普遍非常關(guān)心的問題，一個(gè)內(nèi)部網(wǎng)絡(luò)中不引人注意的細(xì)節(jié)可能包含了有關(guān)安全的線索而引起外部攻擊者的興趣，甚至因此而暴露了內(nèi)部網(wǎng)絡(luò)的某些安全漏洞。使用防火墻就可以隱蔽那些透漏內(nèi)部細(xì)節(jié)如Finger，DNS等服務(wù)。Finger顯示了主機(jī)的所有用戶的注冊(cè)名、真名，最后登錄時(shí)間和使用shell類型等。但是Finger顯示的信息非常容易被攻擊者所截獲，攻擊者通過所獲取的信息可以知道一個(gè)系統(tǒng)使用的頻繁程度，這個(gè)系統(tǒng)是否有用戶正在連線上網(wǎng)等信息。防火墻可以同樣阻塞有關(guān)內(nèi)部網(wǎng)絡(luò)中的DNS信息，這樣一臺(tái)主機(jī)的域名和IP地址就不會(huì)被外界所了解。

（3）強(qiáng)化網(wǎng)絡(luò)安全策略

通過以防火墻為中心的安全方案配置，能將所有安全軟件（如口令、加密、身份認(rèn)證、審計(jì)等）配置在防火墻上。與將網(wǎng)絡(luò)安全問題分散到各個(gè)主機(jī)上相比，防火墻的集中安全管理更經(jīng)濟(jì)。各種安全措施的有機(jī)結(jié)合，更能有效地對(duì)網(wǎng)絡(luò)安全性能起到加強(qiáng)作用。

有效地審計(jì)和記錄內(nèi)、外部網(wǎng)絡(luò)上的活動(dòng)

（4）防火墻可以對(duì)內(nèi)、外部網(wǎng)絡(luò)存取和訪問進(jìn)行監(jiān)控審計(jì)。如果所有的訪問都經(jīng)過防火墻，那么，防火墻就能記錄下這些訪問并進(jìn)行日志記錄，同時(shí)也能提供網(wǎng)絡(luò)使用情況的統(tǒng)計(jì)數(shù)據(jù)。當(dāng)發(fā)生可疑動(dòng)作時(shí)，防火墻能進(jìn)行適當(dāng)?shù)膱?bào)警，并提供網(wǎng)絡(luò)是否受到監(jiān)測(cè)和攻擊的詳細(xì)信息。這為網(wǎng)絡(luò)管理人員提供非常重要的安全管理信息，可以使管理員清楚防火墻是否能夠抵擋攻擊者的探測(cè)和攻擊，并且清楚防火墻的控制是否充足

三、安全方案實(shí)施的生命周期

安全管理的方案的實(shí)施需要正確的方法和次序，全面的網(wǎng)絡(luò)信息安全方案需要在正確的企業(yè)安全策略的指導(dǎo)下按部就班地進(jìn)行實(shí)施。網(wǎng)絡(luò)安全方案實(shí)施生命周期如下所示：

風(fēng)險(xiǎn)評(píng)估――＞方案設(shè)計(jì)――＞方案實(shí)施――＞人員培訓(xùn)――＞安全監(jiān)控――＞信息反饋――>重新評(píng)估

安全管理方案的核心是制定的安全策略。任何安全產(chǎn)品和方案都必須服從此安全策略。應(yīng)由安全管理專家與領(lǐng)導(dǎo)者一同制定系統(tǒng)的安全管理策略。

在安全方案實(shí)施的第一步，是實(shí)施方案的風(fēng)險(xiǎn)評(píng)估。即對(duì)目前網(wǎng)絡(luò)環(huán)境進(jìn)行綜合考察， 發(fā)現(xiàn)安全隱患，分析可能面臨的不安全因素，從而為將來的安全方案提供總體策略。 從信息安全的角度來為校園IT環(huán)境進(jìn)行合理劃分，找出邊界因素，對(duì)癥下藥，并對(duì)指定的安全策略進(jìn)行方案設(shè)計(jì)和具體實(shí)施。 在實(shí)施的過程中或?qū)嵤┲螅仨氈匾暼说囊蛩亍Ｒ獙?duì)用戶和相關(guān)人員進(jìn)行有效的培訓(xùn)。為網(wǎng)絡(luò)信息安全培養(yǎng)安全管理人員是安全方案中非常重要的一個(gè)方面。 實(shí)施企業(yè)安全方案，對(duì)安全性進(jìn)行總體監(jiān)控是網(wǎng)絡(luò)安全生命周期中的執(zhí)行階段，如果發(fā)生不安全事件，檢查是否能夠?qū)嵤┢髽I(yè)安全策略，能否進(jìn)行正確的反應(yīng)：安全 防范的強(qiáng)度是否足夠；是否有未能防止的入侵事件。定時(shí)或隨時(shí)進(jìn)行園區(qū)網(wǎng)絡(luò)安全策略的檢查，及時(shí)反饋安全信息，針對(duì)漏洞重新進(jìn)行安全評(píng)估，網(wǎng)絡(luò)安全方案周期重新開始。

參考文獻(xiàn)：

[1]梁世玲、鄧保國(guó)，高校圖書館網(wǎng)絡(luò)信息安全的風(fēng)險(xiǎn)與對(duì)策，農(nóng)業(yè)網(wǎng)絡(luò)信息，2006(8):53-55.

[2]楊學(xué)梅，數(shù)字圖書館的網(wǎng)絡(luò)完全與防范措施，科技情報(bào)開發(fā)與科技，2006(16）:34-35.