數(shù)字圖書館網(wǎng)絡(luò)安全體系研究

於建偉

（武漢船舶職業(yè)技術(shù)學(xué)院，湖北武漢 430050）

互聯(lián)網(wǎng)的發(fā)展與普及，促進(jìn)了圖書館館藏信息數(shù)字化的快速發(fā)展，基于網(wǎng)絡(luò)服務(wù)的數(shù)字圖書館應(yīng)用方案已成為圖書館極其重要的服務(wù)手段和方式。全局的網(wǎng)絡(luò)安全策略，是數(shù)字圖書館“優(yōu)質(zhì)服務(wù)”的基本保障，本文從遠(yuǎn)程接入安全、網(wǎng)絡(luò)邊界安全、館域網(wǎng)安全、信息中心安全、上網(wǎng)行為監(jiān)督管理、全網(wǎng)安全管理等方面論述了數(shù)字圖書館網(wǎng)絡(luò)安全體系的構(gòu)建要素，并提出了一套解決方案。

1 網(wǎng)絡(luò)安全體系概述

一般來說，網(wǎng)絡(luò)安全就是指網(wǎng)絡(luò)中信息的安全，是指計算機網(wǎng)絡(luò)系統(tǒng)軟、硬件及系統(tǒng)中數(shù)據(jù)得到保護(hù)，不被更改、泄露，應(yīng)用系統(tǒng)可以正常運行，網(wǎng)絡(luò)服務(wù)不被干擾或中斷。

隨著互聯(lián)網(wǎng)技術(shù)的發(fā)展，我們在充分感受信息高速互通為我們生活、工作帶來便捷的同時，也時刻面臨著各種各樣的網(wǎng)絡(luò)攻擊和威脅，例如：非法用戶進(jìn)行非法訪問、竊密和失密、篡改信息、黑客入侵、計算機病毒、用戶不合理上網(wǎng)行為等。

目前，絕對的網(wǎng)絡(luò)安全是不存在的，只能通過綜合運用源于人、技術(shù)、管理等因素形成的網(wǎng)絡(luò)保護(hù)能力、檢測能力、反應(yīng)能力和恢復(fù)能力，形成相對的網(wǎng)絡(luò)安全。

數(shù)字圖書館基于其自身應(yīng)用的特殊性，其網(wǎng)絡(luò)安全體系至少分為兩個方面：一是網(wǎng)絡(luò)自身安全，二是網(wǎng)絡(luò)業(yè)務(wù)安全。一個“稱職”的數(shù)字圖書館網(wǎng)絡(luò)安全方案需要滿足：與圖書館網(wǎng)絡(luò)內(nèi)部通信模式無縫耦合，根據(jù)相關(guān)行為模式制定配合性安全策略，最后將這套策略強制實施到數(shù)字圖書館館域網(wǎng)的每一個角落。

2 網(wǎng)絡(luò)安全體系要素分析

2.1 遠(yuǎn)程接入安全

目前，遠(yuǎn)程接入主要有三種方式：反向代理服務(wù)、VPN（虛擬專用網(wǎng)）、反向代理與VPN相結(jié)合的方式。反向代理服務(wù)的優(yōu)勢在于成本，VPN成本相對較高，但應(yīng)用時更安全、穩(wěn)定與高效。

（1）反向代理服務(wù)。一般而言，代理服務(wù)的作用是用于代理來源于內(nèi)網(wǎng)的針對外網(wǎng)資源的連接請求，而不接受外網(wǎng)對內(nèi)網(wǎng)的訪問。如果某一種方式可以代理來源于外網(wǎng)的針對內(nèi)網(wǎng)資源的連接請求，這種代理服務(wù)就稱為反向代理。

反向代理服務(wù)的實現(xiàn)較為簡單，只需要在局域網(wǎng)內(nèi)的一臺服務(wù)器上運行相應(yīng)的代理服務(wù)器軟件即可，通用服務(wù)器甚至是PC級服務(wù)都能完全勝任，但這種方式支持的用戶數(shù)少，不適合當(dāng)前數(shù)字圖書館應(yīng)用需要。

（2）VPN技術(shù)。虛擬專用網(wǎng)VPN，指的是在公用網(wǎng)絡(luò)上建立專用網(wǎng)絡(luò)的技術(shù)，由經(jīng)過相互授權(quán)的通信雙方在公用網(wǎng)上建立的一種安全通信隧道，數(shù)據(jù)可以在安全通信隧道中加密傳輸。

目前的VPN技術(shù)有：IPSec VPN技術(shù)和SSL VPN技術(shù)兩種。

IPSec即Internet Protocol Security（因特網(wǎng)安全協(xié)議），IPSec VPN技術(shù)是建立在IPSec協(xié)議基礎(chǔ)上的虛擬專網(wǎng)技術(shù)；SSL即Secure Sockets Layer（安全套接層），是Netscape公司提出的一種基于Web的安全類協(xié)議。SSL VPN與IPSec VPN一樣，用戶遠(yuǎn)程使用時與在內(nèi)網(wǎng)中體驗一致，使用時與具體應(yīng)用無關(guān)，外網(wǎng)用戶只需要打開IE瀏覽器，即可訪問網(wǎng)絡(luò)。

SSL VPN技術(shù)關(guān)注于應(yīng)用軟件的安全，因此多用于Web遠(yuǎn)程接入，而IPSec VPN主要解決的是互聯(lián)網(wǎng)上不同位置兩個局域網(wǎng)之間的安全連接，技術(shù)上更注重于保護(hù)點對點通信。

2.2 網(wǎng)絡(luò)邊界安全

數(shù)字圖書館的網(wǎng)絡(luò)邊界是網(wǎng)絡(luò)安全的第一道防護(hù)，涉及的邊界主要有用戶終端與網(wǎng)絡(luò)之間的邊界、數(shù)字圖書館與互聯(lián)網(wǎng)／內(nèi)網(wǎng)的邊界等。如圖1所示：

圖1 數(shù)字圖書館的網(wǎng)絡(luò)邊界

終端邊界和網(wǎng)關(guān)邊界是數(shù)字圖書館的兩個網(wǎng)絡(luò)邊界，一般我們更注重網(wǎng)關(guān)邊界的安全。在網(wǎng)關(guān)邊界，我們需抵抗外網(wǎng)非法入侵與網(wǎng)絡(luò)病毒，需要針對不同級別安全域互訪進(jìn)行有效控制；網(wǎng)關(guān)的另一功能是過濾外網(wǎng)信息，對內(nèi)網(wǎng)用戶訪問互聯(lián)網(wǎng)進(jìn)行監(jiān)管；同時，網(wǎng)關(guān)也是內(nèi)／外信息必經(jīng)之路，通常通過對網(wǎng)關(guān)記錄日志的分析，為網(wǎng)絡(luò)安全管理提供決策支持。

數(shù)字圖書館的安全隱患可能更多來源于終端邊界，例如：用戶終端接入館域網(wǎng)后，隨意掃描內(nèi)網(wǎng)的各種重要資源，如一些重要應(yīng)用或服務(wù)器資源；用戶終端的軟件系統(tǒng)由于沒能及時修復(fù)漏洞，成為黑客攻擊網(wǎng)絡(luò)的“幫兇”；用戶終端不及時更新殺毒軟件導(dǎo)致病毒防御能力的喪失；用戶隨意在終端安裝非法應(yīng)用軟件等。

通常來說，完整的網(wǎng)絡(luò)邊界安全系統(tǒng)至少應(yīng)該包含：防火墻、反病毒系統(tǒng)、網(wǎng)絡(luò)安全監(jiān)控、入侵檢測與防御等。

2.3 館域網(wǎng)安全

數(shù)字圖書館館域網(wǎng)的安全問題至少包含：環(huán)境與物理層安全機制；操作系統(tǒng)和應(yīng)用軟件的安全機制；內(nèi)部機構(gòu)互訪控制的安全機制等。

（1）環(huán)境與物理層安全

任何網(wǎng)絡(luò)系統(tǒng)對外部環(huán)境都有一定要求。當(dāng)外部環(huán)境不符合相關(guān)標(biāo)準(zhǔn)時會影響到數(shù)字圖書館的信息安全，具體如：數(shù)字圖書館中心機房及用戶終端安置環(huán)境不合要求；中心機房設(shè)計、建造不合理或不符合標(biāo)準(zhǔn)；機房電源穩(wěn)定性差；溫度不合要求；抗靜電、抗電磁干擾差；防火、防塵、防雷擊設(shè)施不到位等。

（2）操作系統(tǒng)和應(yīng)用軟件安全

盡量選用漏洞少的操作系統(tǒng)和應(yīng)用軟件平臺，及時更新系統(tǒng)補丁，定期掃描操作系統(tǒng)的配置以進(jìn)行全面監(jiān)測，都是保障操作系統(tǒng)及應(yīng)用軟件安全的有效措施。同時，還可在數(shù)字圖書館館域安裝內(nèi)網(wǎng)安全風(fēng)險管理與審計軟件，進(jìn)行有效的終端準(zhǔn)入控制、終端安全控制、桌面合規(guī)管理、移動存儲管理等。

（3）內(nèi)部互訪控制

我們一般通過在二層交換機上劃分VLAN來實現(xiàn)內(nèi)部互訪控制。但這種傳統(tǒng)的互訪控制較為粗放，因為VLAN主要是通過配置ACL來實現(xiàn)互訪，當(dāng)互訪控制要求較高時，過多的ACL條目會明顯的影響交換機性能。數(shù)字圖書館內(nèi)部互訪控制需要更為精細(xì)的安全管理技術(shù)。

2.4 信息中心安全

信息中心是數(shù)字圖書館中數(shù)據(jù)流動最為頻繁的區(qū)域，該區(qū)域核心設(shè)備資源密集，任何軟、硬件故障或其他安全問題都有可能導(dǎo)致不可預(yù)估的損失。

目前信息中心所面臨的安全威脅除內(nèi)部管理因素外，主要是指面向網(wǎng)絡(luò)層或應(yīng)用層的攻擊。面向網(wǎng)絡(luò)層的攻擊主要是指DOC／DdoS攻擊，這種攻擊利用了互聯(lián)網(wǎng)開放性等特點，主要是采取導(dǎo)致網(wǎng)絡(luò)擁塞的方式迫使網(wǎng)絡(luò)癱瘓。面向應(yīng)用層的攻擊則主要是利用一些軟件系統(tǒng)漏洞，以各種方式繞過傳統(tǒng)防火墻來入侵系統(tǒng)。常見的如蠕蟲、木馬、緩沖溢出代碼等。

信息中心的安全需要采用多層防御、分層部署的思路應(yīng)對。例如，設(shè)置防火墻來應(yīng)對面向網(wǎng)絡(luò)層的攻擊；部署入侵檢測／防御設(shè)備來對抗應(yīng)用層攻擊；使用安全特性更高的匯聚層、接入層交換機來實現(xiàn)基礎(chǔ)性網(wǎng)絡(luò)安全防范等。

2.5 上網(wǎng)行為監(jiān)管

上網(wǎng)行為安全主要涉及數(shù)字圖書館內(nèi)部用戶一些上網(wǎng)行為的規(guī)范。涉及到的安全需求有：內(nèi)容過濾、流量控制、防范機密信息外泄、非法應(yīng)用識別等。例如對P2P軟件的全面管控；支持動態(tài)保證、預(yù)留保證、最高限制、平均分配、自由競爭等功能的帶寬資源分配；URL的識別與控制；關(guān)鍵字網(wǎng)頁過濾；HTTP／FTP上傳下載識別與控制；郵件訪問控制；代理識別等。一般通過在網(wǎng)絡(luò)上部署上網(wǎng)行為監(jiān)管設(shè)備來實現(xiàn)數(shù)字圖書館內(nèi)部上網(wǎng)行為的安全管理。

2.6 統(tǒng)一管理安全

安全是一個體系，任何環(huán)節(jié)的缺失都會導(dǎo)致安全體系的崩潰。因此，必須要求全網(wǎng)設(shè)備的統(tǒng)一安全管理。數(shù)字圖書館的應(yīng)用需要有統(tǒng)一的、系統(tǒng)化的管理機制，因此需要在數(shù)字圖書館網(wǎng)絡(luò)中部署安全管理中心。安全管理中心并不是威脅抵御的直接實施者，而是一個策略制定的首腦。一般來說，安全管理中心應(yīng)具備以下功能：

（1）旁路部署，在整個數(shù)字圖書館系統(tǒng)中透明化；

（2）可進(jìn)行廣泛的日志采集，可以對網(wǎng)絡(luò)中的所有設(shè)備，包括防火墻、入侵防御系統(tǒng)、用戶終端、路由設(shè)備、服務(wù)器集群等設(shè)備進(jìn)行日志分析；

（3）對安全威脅、網(wǎng)絡(luò)流量的實時監(jiān)控、告警；

（4）提供拓?fù)浒l(fā)現(xiàn)功能，迅速定位網(wǎng)絡(luò)故障；

（5）對歷史數(shù)據(jù)可提供高效的查詢機制、報表等。

一般可通過在網(wǎng)絡(luò)中部署一臺安全管理中心設(shè)備來實現(xiàn)網(wǎng)絡(luò)設(shè)備的統(tǒng)一安全管理。

3 數(shù)字圖書館網(wǎng)絡(luò)安全體系構(gòu)建

一套完整的數(shù)字圖書館網(wǎng)絡(luò)安全方案至少應(yīng)該兼顧：遠(yuǎn)程接入安全、邊界安全、內(nèi)網(wǎng)安全、信息中心安全、上網(wǎng)行為安全與統(tǒng)一管理安全。以下是筆者針對國內(nèi)某高職院校數(shù)字圖書館制定的網(wǎng)絡(luò)安全方案，設(shè)計的拓?fù)鋱D如圖2所示。

核心交換機采用H3CS12508核心交換機兩臺，雙機冗余，保障數(shù)字圖書館網(wǎng)絡(luò)通信安全，匯聚、接入層分別采用RG－S5750系列及RGS2628系列交換機。部署集成了IPS、防火墻、行為監(jiān)管、VPN網(wǎng)關(guān)、反病毒模塊、垃圾郵件防護(hù)的綠盟NSF－PROD－SG安全網(wǎng)關(guān)設(shè)備兩臺作為安全中心，實現(xiàn)網(wǎng)絡(luò)安全管理雙保險。

遠(yuǎn)程接入安全實現(xiàn)：考慮到遠(yuǎn)程接入的移動性特點，目前主要是使用SSL VPN方案來實現(xiàn)數(shù)字圖書館遠(yuǎn)程接入安全。整個SSL VPN方案基于B／S架構(gòu)，客戶端不需要安裝特殊軟件，只需通過IE瀏覽器，驗證口令后即可安全的訪問數(shù)字圖書館內(nèi)部資源。綠盟NSF－PROD－SG安全網(wǎng)關(guān)集成了IPSec VPN、SSL VPN等多種VPN技術(shù)，可滿足不同的VPN接入方式，例如：遠(yuǎn)程客戶端－網(wǎng)關(guān)、網(wǎng)關(guān)－網(wǎng)關(guān)、網(wǎng)關(guān)－網(wǎng)關(guān)－客戶端等VPN組網(wǎng)方式，實現(xiàn)了VPN安全性與易用性的統(tǒng)一。

邊界安全實現(xiàn)：邊界安全由綠盟NSFPROD－SG安全網(wǎng)關(guān)產(chǎn)品的IPS模塊、FireWall模塊、防病毒模塊實現(xiàn)。NSF－PROD－SG安全網(wǎng)關(guān)采用智能狀態(tài)監(jiān)測技術(shù)，支持路由、透明、混合模式部署，支持基于策略的雙向NAT、動態(tài)／靜態(tài)NAT、端口PAT；IPS模塊采用虛擬補丁技術(shù)，可防護(hù)遠(yuǎn)程掃描、暴力破解、蠕蟲病毒、木馬后門、SQL注入、跨站腳本等各種攻擊；防病毒模塊采用雙防病毒引擎技術(shù)，支持NSFOCUS和Kaspersky的防病毒引擎，采用基于特征掃描的啟發(fā)式掃描技術(shù)，可對利用 HTTP、POP3、SMTP、FTP、IM等多種協(xié)議的病毒進(jìn)行處理。

內(nèi)網(wǎng)安全實現(xiàn)：對數(shù)字圖書館中心機房進(jìn)行改造，增強防電磁輻射、防靜電、防雷擊、防火、防水、防潮相關(guān)措施，確保機房安全；建立和完善網(wǎng)絡(luò)安全防范的規(guī)章制度：館域網(wǎng)計算機操作規(guī)程、信息中心管理制度等，建立制度化的員工網(wǎng)絡(luò)安全培訓(xùn)機制、并有效實施；為解決傳統(tǒng)二層VLAN隔離技術(shù)的不足，采用以防火墻技術(shù)為核心的內(nèi)網(wǎng)訪問控制解決方案：NSF－PROD－SG安全網(wǎng)關(guān)防火墻模塊支持對VLAN的訪問控制，可實現(xiàn)數(shù)字圖書館館域網(wǎng)中不同VLAN互訪的精細(xì)化控制。

服務(wù)器群安全：數(shù)字圖書館的服務(wù)器群主要涉及對外服務(wù)中心：WEB、電子郵件系統(tǒng)等服務(wù)器群；信息中心：認(rèn)證、日志、數(shù)字圖書館資源服務(wù)器群。兩部分服務(wù)器群分別通過兩臺NSFPROD－SG安全網(wǎng)關(guān)中單獨的IPS、防火墻、行為監(jiān)管模塊與核心交換機互連，實現(xiàn)信息中心從底層到高層的安全防護(hù)。

上網(wǎng)行為安全：NSF－PROD－SG安全網(wǎng)關(guān)內(nèi)置行為監(jiān)管模塊采用智能協(xié)議識別和關(guān)聯(lián)技術(shù)，提供了較為深入的協(xié)議分析、用戶認(rèn)證功能，可針對用戶上網(wǎng)行為、網(wǎng)絡(luò)應(yīng)用行為和業(yè)務(wù)運維行為進(jìn)行智能多維度網(wǎng)絡(luò)行為管理，可支持基于IP地址、用戶／用戶組、協(xié)議、時間、關(guān)鍵字等多種組合策略，支持對即時通訊、在線視頻、P2P下載、網(wǎng)游、股票、文件上傳下載等行為進(jìn)行全面監(jiān)控管理。

統(tǒng)一安全管理：采用綠盟安全產(chǎn)品配套的安全系統(tǒng)進(jìn)行統(tǒng)一網(wǎng)絡(luò)管理，實現(xiàn)對整個數(shù)字圖書館館域網(wǎng)設(shè)備的集中配置、監(jiān)視和控制。

1 徐波濤.校園網(wǎng)網(wǎng)絡(luò)安全方案設(shè)計與工程實踐［D］.北京：北京郵電大學(xué)，2012

2 焦坤.高校圖書館遠(yuǎn)程接入方式比較與選擇［J］，上海工程技術(shù)大學(xué)教育研究，2009（3）

3 劉杰等.淺談數(shù)字圖書館的網(wǎng)絡(luò)信息安全［J］.現(xiàn)代情報，2005（12）

4 張孝飛等.高校數(shù)字圖書館網(wǎng)絡(luò)安全分析與防護(hù)策略［J］.情報探索，2011（8）

5 尹志清.高校圖書館網(wǎng)絡(luò)安全體系的構(gòu)建［J］.武漢船舶職業(yè)技術(shù)學(xué)院學(xué)報，2007（1）