構建“互聯網”環境下圖書館新型網絡安全防御體系

路龍惠

(國家圖書館　北京　100081)

?

路龍惠

(國家圖書館北京100081)

摘要：“互聯網?”環境下，信息技術基礎設施的變化、高級威脅的出現、網絡安全管理思維的陳舊，給圖書館的網絡安全帶來新的隱患。構建新型網絡安全防御架構、進行網絡安全策略調整以及加強網絡安全管理措施，是解決“互聯網?”環境下新型安全隱患、構建圖書館新型網絡安全防御體系的有效途徑。

關鍵詞：互聯網?；圖書館；網絡安全

圖書館作為公共文化服務的重要陣地和信息資源的存儲與傳播中心，具有高度的開放性。如此快速的發展，使各個圖書館對網絡環境的依賴程度與日俱增。在信息化建設深入開展的同時，圖書館也存在著巨大的網絡安全風險和隱患，主要包括網絡攻擊、安全漏洞、安全對策問題等。圖書館如何在“互聯網”環境下，構建防御能力較強的網絡安全體系，保證服務正常開展與業務的良好發展，成為亟需研究的一個問題。

通過對前人研究成果的歸納，傳統互聯網環境下的圖書館網絡安全主要存在的問題有病毒傳播、黑客破壞、信息系統安全、制度和管理等。“互聯網”環境下，信息技術基礎設施的變化、高級威脅的出現、網絡安全管理思維的陳舊等，給圖書館的網絡安全帶來新的隱患。

1.1信息技術基礎設施變化給傳統邊界防護帶來了挑戰

傳統的互聯網邊界防護是指在圖書館內網及互聯網之間建立起來的防護措施，用于保護圖書館內網用戶的安全性。然而，移動辦公的興起、云計算、云存儲的實現、以及圖書館業務的外包與合作的加強等等，這些信息技術基礎設施的變化給網絡攻擊者帶來了新的突破口，利用自己開發或已有的工具尋找漏洞、實施攻擊，一旦攻擊成功，可以作為攻入圖書館內網的跳板，任意修改、刪除圖書館數據庫中的參數或數據，復制、破壞網站文件，阻止正常用戶對某項服務的合法利用。如定制木馬、社交網絡攻擊、魚叉式網絡釣魚、水坑攻擊等新型攻擊方式的出現使得傳統的防護措施無法應對新型數字圖書館業務辦公、業界合作及讀者服務模式。

1.2高級威脅層出不窮給圖書館安全監測帶來了壓力

近些年，一個個讀者服務系統的建立，使得各個圖書館在讀者服務方面取得了很大的進步，然而，這也使得各個圖書館潛在的安全威脅日益增多。除了傳統的威脅外，近幾年的網絡安全高級威脅也層出不窮，如Heart Bleed、Gun Bash等0-DAY漏洞的出現；如以網絡應用為載體的SA賬號的口令破解，基于HTTP、FTP應用的惡意程序植入等。變種、零日漏洞、地址掃描等手段復合運用、體系化的運作方式使得圖書館網絡安全監測設備無法對攻擊進行識別，讓管理者越來越難以發現威脅的存在。

傳統安全方法論是一種靜態的、被動的、防御性的戰略思維，防御體系建立好之后，就一成不變，就像是圖書館網絡安全管理者站在圖書館的大門前，舉著各種防護盾牌，日復一日地等著攻擊者的出現。然而，未知的風險和威脅是無法通過固態防護措施就可以做到萬無一失的，被動防御式安全管理思維已不適用于“互聯網”的網絡環境。

2.1新型圖書館網絡安全防御架構

2.1.1采用雙機主備模式增加互聯網邊界安全性

由于在互聯網邊界安全防御中，上網行為管理系統、IPS系統、防火墻系統等等安全設備是必不可缺的，而這些設備的網絡安全控制功能的實現需要將其串接到邊界的骨干網中，而不能采用旁路模式，這就導致在互聯網邊界上串聯的安全設備較多，有時達到七八種之多。每種安全設備如果出了問題，將導致整個圖書館出現斷網的情況。因此，可以采用雙機主備的方式，在同種安全設備出現問題時，采用OSPF協議，實現同種安全設備之間的自動切換，保證網絡鏈路的通暢。在現實操作中需要注意的是，每臺安全設備在部署到雙機主備的網絡中時，都需要關閉旁路模塊，這樣才能在安全設備出現問題時不自動切換到旁路模式，而是觸發報警啟用OSPF協議，從而實現雙路的自動切換。

2.1.2采用雙上聯的方式避免單點故障

在圖書館內網，核心交換機、匯聚交換機及分支交換機之間如果采用單模塊、單上聯的方式很容易造成單點故障，即某個模塊、某根光纖或某臺交換機出現問題，將影響這個交換機下的所有業務的網絡。因此，為了增加終端連接網絡的安全性，可以通過雙上聯的方式，規避單點故障的發生。

2.1.3通過劃分安全域加強圖書館內網安全

安全域的劃分是構建新型圖書館網絡安全防御架構的關鍵點。通過梳理本圖書館的內部業務，采用劃分安全域的形式，將業務層面隔離開，而各個安全域之間的訪問基于不同的安全訪問策略，可將網絡安全隱患大大降低。如圖1所示給出了一般圖書館的安全域劃分適用模型。各個安全域采用防火墻來實現網絡控制與隔離。第一，需要將網絡安全管理單獨劃分出來，作為安全管理域。在安全管理域中，一般放置堡壘機、主機防病毒系統、審計平臺以及網絡監控系統。堡壘機可用來記錄服務器、網絡設備、安全設備管理員或黑客對圖書館機房設備的操作記錄，在出現黑客攻擊時可做到有跡可循；審計平臺可對設備或服務器自身的日志進行收集、分析，為網絡安全管理員提供分析報告及全面的預警，可根據預警得知是否存在網絡攻擊前的入侵行為；網絡監控系統可對網絡設備進行實時的監控，如某個交換機端口down機即可報警，CPU利用率超過某一閾值也可報警等等。安全管理域是整個圖書館網絡安全中最嚴密的安全域，因此其防火墻的訪問控制策略較為嚴格，比如只允許某幾個內網IP地址訪問等等。第二，將終端計算機根據員工用機及讀者用機進行區分，分別設立員工辦公安全域及電子閱覽室安全域。對電子閱覽室安全域加裝讀者管理系統、計算機還原卡等，加強對讀者區域的網絡安全管理。第三，將業務信息系統按照前端服務及后端數據劃分為對外服務系統安全域及信息系統數據安全域。這是由于黑客進行入侵的最終目的是信息系統的數據(應用類數據、管理類數據等)，通過篡改數據、植入木馬等進行不法活動，因此將信息系統的對外服務端與后臺數據端分別放置在不同的安全域中加以保護，如采用WEB應用防火墻加強對對外服務端的防護，采用數據訪問策略加強對信息系統數據端的防護。第四，設立內部系統安全域。在這個安全域中可以將館內財務系統、檔案系統、人員管理系統等重要的館內部的系統放置在這個安全域進行單獨管理。

除了雙機主備、雙上聯、劃分安全域之外，還可通過增加防病毒網關及負載均衡設備來增加網絡的安全性。防病毒網關不同于主機防病毒系統，等級保護三級要求網絡內有兩種防病毒系統且不能是同一廠家，因此，可以在互聯網邊界防護中增加防病毒網關來達到規避絕大多數病毒的入侵。負載均衡設備可增加網絡的動態靈活性，提高網絡訪問速度。可通過雙上聯二層交換機與互聯網相連，實現網絡的動態選路。

2.2新型圖書館網絡安全防御技術策略

傳統的圖書館網絡安全防御技術策略主要有以下三點：一是通過在防火墻上面實施訪問控制策略，將本單位內部網絡與外部網絡隔離開，對內網服務器開放的端口、協議進行訪問控制；二是通過在交換機上部署訪問控制列表、啟用生成樹協議、劃分VLAN等對內部網絡按照業務需求劃分成不同的網絡區域，實施邏輯隔離，內部網絡區域之間的訪問通過配置訪問控制列表加強安全防護，減少

圖1“互聯網”環境下新型圖書館網絡安全防御架構

由某一區域的安全問題而影響到更多的區域；三是通過流量控制系統跟IP地址段的不同配置不同的流量控制策略，來杜絕因某一IP流量過大而引起的內部網絡癱瘓。新型的圖書館網絡安全防御技術策略在維持原有策略的基礎上，除了根據圖1對各個安全域之間的訪問做策略變更外，還有如下策略參考。

2.2.1無線網安全策略細化

隨著智能設備的普及，近幾年來，大部分圖書館都建設了自己的無線局域網，為讀者提供無線網服務。在提供便利的同時，無線網也給各圖書館帶來了一定安全隱患。接入無線網的設備不同于讀者電子閱覽室的計算機，每個接入設備是否安全，是否攜帶計算機病毒都是未知的。因此，需要細化無線網安全策略，如加強讀者認證策略強度、劃分每個SSID的適用范圍、屏蔽網絡設備的訪問權限、實施對非法AP及釣魚WIFI的追蹤等。

2.2.2網絡安全策略一致性檢測

隨著圖書館業務的多樣性發展，訪問控制、認證等網絡安全策略的配置也變的復雜多樣，各個安全域之間的策略配置存在不匹配的情況。因此，在圖書館局域網內部同時執行多條不同的網絡安全策略時，應當特別注意網絡安全策略間的一致性。安全策略求精是一個包含安全策略一致性檢測與沖突消解的細化過程。根據安全策略定義和求精管理需要，結合網絡安全防護的邏輯結構特點，將網絡安全管理分為不同的安全級，增強網絡安全自動化防御能力[1]。各圖書館可根據自身的情況進行網絡安全策略求精檢測。

2.2.3蜜罐陷阱策略

蜜罐(Honeypot)以及蜜罐延伸技術當前十分流行。它已不是一種新的技術，可以說是一大進步的安全策略[1]。它是將防火墻的被動防御策略變為主動防御。通過模擬不同的操作系統并預先設置一些漏洞，以誘攻擊，使黑客們的精力集中在對蜜罐的攻擊上，一但攻取又掉入罐中，確保我們局域網絡的安全[2]。

2.3新型圖書館網絡安全管理防御手段

傳統圖書館網絡安全防御體系并不注重管理手段的建立，往往重視技術防御而忽略管理防御，新型圖書館網絡安全管理防御手段的靈感來自新的“木桶原理”觀點。該觀點認為，木桶的盛水量不是木板長短(技術措施)那么簡單，把木板圍在一起的桶箍(管理措施)也很重要，沒有桶箍，木板都沒法成為木桶。即每種技術措施都可以看成是木板，而管理措施則構成了桶箍，木板和桶箍一起構成了完整的木桶，同樣技術措施和管理措施構成了完整的網絡安全防御體系。因此，圖書館網絡安全防御體系應該從管理跟技術兩大點出發，管理與技術并重，形成有效的綜合預防、追查及應急響應體系。

2.3.1深度梳理網絡安全制度體系

各圖書館應在了解互聯網新型攻擊手段的前提下，結合本館業務及服務情況，深度梳理現有網絡安全制度體系。首先要制定適合本館的網絡安全總體方針，綱領性的描述數字圖書館網絡信息安全策略的目的、適用范圍、管理意圖、支持目標以及指導原則；在網絡安全管理制度體系中，將網絡安全管理辦法分為人員安全管理、環境安全管理、網絡接入安全管理、網絡行為安全管理、介質安全管理、設備安全管理、防病毒安全管理、賬號口令安全管理、資產安全管理、系統建設安全管理、系統運行安全管理以及備份與恢復安全管理等來規范，進一步建立健全網絡信息安全制度體系建設工作。

圖2　網絡安全事件技術處理流程

2.3.2完善網絡安全事件技術處理流程

由于網絡信息安全事件的突發性、未知性，而應急預案本身無法對所有的網絡信息安全事件進行規定，因此，需要完善技術應急處置流程。圖2給出了一般網絡安全事件的技術應急處置流程。

2.3.3規范重點信息系統應急處置

隨著圖書館信息化建設的開展，大量信息系統投入運行，為讀者及員工提供服務。一旦系統遭到攻擊或篡改，將會給圖書館帶來非常惡劣的影響。因此，各館應重視重點信息系統的網絡安全防護，規范應急處置流程,如圖3。

圖3　信息系統應急處置流程

3結語

參考文獻

[1]倪俊,陳曉蘇,劉輝宇,等.網絡安全策略求精一致性檢測和沖突消解機制的研究[J].計算機科學,2011,38(2):32-37.

[2]崔志磊,房嵐,陶文林.一種全新的網絡安全策略——蜜罐及其技術[J].計算機應用與軟件,2004,(2):99-101.

中圖分類號：G250

文獻標識碼：A

(收稿日期：2016-01-20責任編輯：劉麗斌)