基于PDRR的校園網絡安全體系研究

鐘彩虹

摘 要：隨著信息化技術的發展，校園網絡安全問題變得日益突出。單一的解決辦法已經不能保證學校網絡這樣一個復雜的網絡環境的安全需要。PDRR模型是一個最常用的網絡安全模型，該模型把網絡體系結構劃分為防護、檢測、響應、恢復四個部分。本文準備基于PDRR網絡安全模型，在此基礎上探討構建適合學校網絡環境的網絡安全體系。

關鍵詞：校園網；網絡安全；PDRR

Research on campus network security system based on PDRR

Zhong Caihong（Zhejiang Zhuji technical school，Zhejiang Zhuji 311800）

Abstract：With the development of information technology，the campus network security problems is becoming more and more outstanding.Single solution can't guarantee the network of schools to such a complex network environment security needs.The model of PDRR is the most useful model of network security network architecrure is divided into four parts by this model： protection， detection，response and recovery.This article prepared for network security model based on PDRR，on the basis of constructing the network security system for campus network environment.

Key words：campus network；network security；PDRR

隨著時代的發展，Internet的不斷普及，網絡已經成為信息資源的海洋，給人們帶來了極大的方便。但由于Internet是一個開放的、無控制機構的網絡，經常會受到黑客、計算機病毒、木馬等的侵襲，因此，計算機網絡安全問題必須放在首位。

1 校園網網絡安全問題分析

校園網具有速度快、規模大，計算機系統管理復雜，隨著其應用的深入，校園網絡的安全問題也逐漸突出，直接影響著學校各項工作的正常開展。因此，在全面了解校園網的安全現狀基礎上，合理構建安全體系結構，改善網絡應用環境的工作迫在眉睫。當前，校園網絡常見的安全隱患有以下幾種：⑴計算機系統缺陷。⑵計算機病毒的破壞。⑶來自網絡外部的入侵、攻擊等惡意破壞行為。⑷校園網用戶對網絡資源的濫用。⑸非正常途徑訪問或內部破壞。⑹校園網安全管理有缺陷。

2 構建校園網絡安全管理體系模型

根據上述存在的實際情況，一般而言，學校目前普遍采用PDRR模型來構建安全防御體系。因為PDRR網絡安全模型簡單并且容易實施，不需要考慮網絡安全的底層問題，并且對于學校而言 PDRR網絡安全模型更加適用。

PDRR模型就是4個英文單詞的頭字符：Protection（防護）、Detection（檢測）、Response（響應）、Recovery（恢復）。這四個部分組成了一個動態的信息安全周期，如圖：

安全策略的每一部分包括一組相應的安全措施來實施一定的安全功能。安全策略的第一個戰線是防護。根據系統已知的所有安全問題做出防護的措施，如打補丁、訪問控制、數據加密等等。安全策略的第二個戰線就是檢測。攻擊者如果穿過了防護系統，檢測系統就會檢測出來。這個安全戰線的功能就是檢測出入侵者的身份，包括攻擊源、系統損失等。一旦檢測出入侵，響應系統開始響應包括事件處理和其他業務。安全策略的最后一個戰線就是恢復。在入侵事件發生后，把系統和數據恢復到原來的狀態。每次發生入侵事件，防御系統都要更新，保證相同類型的入侵事件不能再發，所以整個安全策略包括防護、檢測、響應和恢復，這四個方面組成了一個信息安全周期。

3 基于安全體系的學校網絡安全解決方案研究

從嚴格的意義上來講，100%的安全網絡系統是沒有的，網絡安全工作是一個循序漸進、不斷完善的過程。校園網的安全問題是一個較為復雜的系統工程，根據PDRR模型，全面考慮綜合運用防火墻、入侵檢測、殺毒軟件等多項技術來構建網絡安全防范體系。

3.1 定義網絡安全防范體系

一般來說，我們將網絡受到一次攻擊分為三個階段，攻擊前，攻擊中，攻擊后。攻擊前主要要做的工作就是防護，也是PDRR模型中最重要的部分。攻擊中主要負責對實時的攻擊做出反應，入侵檢測系統檢測所有經過防火墻進入到內網的數據，綜合分析各種信息，分析各種連接，動態的分析出這些攻擊，并且立刻做出反應。攻擊后主要是恢復系統與數據，并且及時打好補丁，以防下次攻擊。根據此規律，結合PDRR模型構建出如圖2所示的網絡安全防范體系。

3.2 校園網絡安全體系的部署與實施方案研究

我們在進行網絡的安全解決方案的時候，采用了易操作性、適用性、靈活性、多重保護性、綜合性整體性、職權分立等原則。

3.2.1 網絡安全隔離策略

提供Internet上網服務是網絡所必須提供的服務之一，但是必須制定相關的策略來保證對Internet訪問的安全。防火墻是一個保護裝置，能有效地實現網絡訪問控制、身份認證、代理服務，從而保護內部網的訪問安全。作為網絡的總出入口，可以設置高性能的硬件防火墻，可以按照服務功能的不同制定特定的策略。作為校園網絡中的計算機可以安裝天網、瑞星等防火墻軟件。

3.2.2 安全漏洞防范策略

安全漏洞掃描技術是一類重要的網絡安全技術。通過對網絡的掃描，可以了解網絡的安全配置和運行的應用服務，及時發現安全漏洞，客觀評估網絡風險等級；還可以根據掃描的結果更正網絡安全漏洞和系統中的錯誤配置，在黑客攻擊前進行防范。網絡安全漏洞掃描工具可以采用俄羅斯SSS軟件。SSS可以對很大范圍內的系統漏洞進行安全、高效、可靠的安全檢測，對系統全部掃描之后，SSS可以對收集的信息進行分析，發現系統設置中容易被攻擊的地方和可能的錯誤，得出對發現問題的可能的解決方法。

3.2.3 計算機病毒防范策略

⑴校園網絡系統要使用安全策略。

⑵選擇合適的防病毒軟件，及時更新病毒庫。防病毒軟件分為兩大類：網絡版和單機版。

⑶計算機用戶要增強網絡安全意識。不要輕易使用盜版和存在安全隱患的軟件；不輕易瀏覽一些缺乏可信度的網站；不要隨便打開不明來歷的電子郵件。

3.2.4 身份認證與訪問權限策略

⑴身份認證。身份認證是對通信方進行身份確認來阻止非授權用戶進入。常用的身份認證方法有口令認證法。主要是給帳戶設置足夠復雜的強密碼，最好是字母+數字+符號的組合；口令應嚴格管理，不定期地予以更換。

⑵訪問權限。訪問權限即每個不同的群組所能訪問的網絡資源不同。根據訪問權限的不同，能訪問的相應的資源不同，如普通老師子網的群組不允許訪問學校高層子網的資源。

3.2.5 入侵檢測及防御策略

入侵檢測系統（IDS，Intrusion Detection System）的布置可以分為兩個層次，首先為NDIS，主要啟用防火墻的IDS模塊功能。另外啟用HIDS功能及服務器上安裝個人防火墻設置。可以為安裝MICROSOFT ISA 2006。為了檢測有害的入侵者，ISA Server將網絡通信以及日志項與熟知的攻擊方法進行比較。如發現可疑的行為會觸發一組預先設定的措施或者警報。這些措施包括終止鏈接、終止服務、電子郵件警報、記入日志、以及運行一個選定的程序。

入侵防御系統（IPS，Intrusion Prevention System），可以深度感知并檢測流經的數據流量，對惡意報文進行丟棄以阻斷攻擊，對濫用報文進行限流以保護網絡帶寬資源。對于部署在數據轉發路徑上的IPS，可以根據預先設定的安全策略，對流經的每個報文進行深度檢測（協議分析跟蹤、特征匹配、流量統計分析、事件關聯分析等），如果一旦發現隱藏于其中網絡攻擊，可以根據該攻擊的威脅級別立即采取抵御措施，這些措施包括（按照處理力度）：向管事中心告警；丟棄該報文；切斷此次應用會話；切斷此次TCP連接。可以在校園網與外部網絡的連接部位（入口/出口）；重要服務器集群前端；校園網內部接入層部署IPS。至于其它區域，可以根據實際情況與重要程度，酌情部署。

3.2.6 應急響應處理策略

應急響應（Emergency Response）通常是指一個組織為了應對各種意外事件的發生所做的準備以及在事件發生后所采取的措施。應急響應處理主要包括兩個方面：

第一、未雨綢繆，即在事件發生前事先做好準備，比如風險評估、制定安全計劃、安全意識的培訓、以發布安全通告的方式進行的預警、以及各種防范措施；

第二、亡羊補牢，即在事件發生后采取的措施，其目的在于把事件造成的損失降到最小。這些行動措施可能來自于人，也可能來自系統，發現事件發生后，采取系統備份、病毒檢測、后門檢測、清除病毒或后門、隔離、系統恢復、調查與追蹤、入侵者取證等一系列操作。

以上兩個方面的工作要相互補充。首先，事前的計劃和準備為事件發生后的響應動作提供了指導框架，否則，響應動作將陷入混亂，而這些毫無章法的響應動作有可能造成比事件本身更大的損失；其次，事后的響應可能發現事前計劃的不足，吸取教訓，從而進一步完善安全計劃。因此，這兩個方面應該形成一種正反饋的機制，逐步強化組織的安全防范體系，建立應急響應預案。

3.2.7 系統恢復策略

如果要想系統和數據能夠恢復到受攻擊前，那么最重要的就是做好數據備份，包括網絡配置（路由表、DNS服務器數據備份）、服務器數據庫等數據的備份。如果手動備份工作量太大，現在一般都采用軟件來進行備份，可以使用IBM Tivoli Storage Manager 6.1軟件。TSM能夠為用戶提供企業級的存儲數據管理解決方案，包括備份、歸檔、空間管理以及災難恢復管理等功能。

4 結束語

校園網的安全問題是一個較為復雜的系統工程，需要全方位防范，防范不僅是被動的，更要主動進行。PDRR模型主要強調的是技術方面的，在網絡安全日益影響到校園網運行的情況下，更要完善校園網管理制度，對相關的校園網管理人員進行培訓，對學生進行網絡道德的教育，提高公德意識；安裝最新的防病毒軟件和病毒防火墻，不斷安裝軟件補丁更新系統漏洞，對重要文件要進行備份，從多個方面進行防范，盡一切可能去制止、減小一切非法的訪問和操作，把校園網不安全因素降到最少。

[參考文獻]

[1]代建軍，揭金良.一種改進的PDRR模型[J].電腦與科學技術，第6期，2003年.

[2]汪宇光.計算機網絡應急響應和主要技術[J].電子材料與電子技術評論，第三期，2004年.

[3]張千里，陳光英，編著.網絡安全新技術.北京：清華大學出版社，2003.

[4]田暢，鄭少仁.計算機病毒計算模型的研究[J].計算機學報，2001（2），158-163.

[5]鄒紅霞，等.網絡系統數據備份策略分析與實現[J].裝備指揮技術學院學報，2003，（4）：95～99.