摘要：
信息安全是一个复杂的系统工程,涉及到了系统软件、硬件、环境以及人员等各种因素.本文以赤峰学院为研究对象,详细讨论了一般高校信息安全风险点,及网络安全技术在解决校园网络安全问题中的应用,并提出了综合利用各种网络安全技术保障校园网络安全的具体措施.
关键词：
校园网络；网络安全；安全技术
当前互联网发展迅速,高校的校园网建设也随之快速发展,一方面有力推进我国高校现代化建设进程,另一方面有效促进了高校教学、办公、科研和学术交流等方面的发展.但是这也使得办公系统、教务管理系统、信息门户、校园一卡通系统等内网服务都直接暴露在开放式的网络环境之下运行,这无疑给黑客提供攻击机会,造成病毒入侵、信息泄露等不良后果.在高校校园网中,参与人员情况十分复杂,不仅有校园内部的老师和同学,还有一些外来办事及培训访学人员,这种参与人员成分的复杂性决定了校园网络管理的难度增大.当然,由于校园网络其本身种种特殊性,除了上面提到的互联网和校园网内部人员的威胁之外,还有其本身体系结构的网络安全问题值得警惕.这对建立校园网络的工作人员提出了较高要求,需要进行充分的调研与考量,采取正确的设计与布置模式,建立一个安全合理有效的校园网络.本文所讲正是根据自己几年来在校园网络的运行与维护的工作经验总结而来,以校园网络的配置和网络体系设计为基础,对校园网络的运行风险进行分析,并对相应的安全保护措施进行详细研究.在分析校园网络的运行风险时,不仅考虑到校园网络本身的体系结构安全问题,也要考虑到网络配置时的软硬件安全、技术安全、使用和管理安全等等,在这些方面都需要制定详细的安全保护规则,在实际操作中严格遵守,使校园网络的安全性得到保障,最终建立一个真正让人放心使用的安全校园网络.
1校园网安全面临的风险分析
1.1硬件安全
众所周知,信息系统的运行之初就是要建立一个合格标准的机房———系统核心硬件的所在地,所以,机房要严格按照国家相关标准进行建设,包括机房本身的防火防水防盗等问题,机房所在楼板的承受力问题,机房位置选择问题等等,只有这样才能保证机房内设施不受侵害,对其安全性进行充分的考虑,确保信息系统的平稳安全运行.另一方面,信息系统运行的硬件设备还对周围环境有着较高要求,例如湿度、温度、空气颗粒物浓度、周围磁场强度等等,所以要对机房配备专门的管理人员监测环境问题,保证一个合理有效的硬件运行环境.
1.2系统及数据库安全
对于校园网络来说,由于资金有限,很多服务器或者相关系统硬件都会被延期使用,一旦硬件没有得到及时更新,过度使用,就会导致其稳定性不可预估,例如发生断电时,这些非法关机形式的发生,都会使得相关数据或者运行系统发生异常,从而导致进一步的不可预测性的异常工作形态发生.
1.3网络安全
赤峰学院的网络建设已经告一段落,有线网方面,光纤直通各个楼宇办公室及宿舍楼区域的弱电井,千兆入户;无线网方面,已经实现包括教学区、宿舍、运动场、食堂等位置的全校覆盖.但是,随着网络速度的不断提高,网络覆盖范围的不断扩大,网络内容和资源的不断丰富,也伴随着网络安全问题显得日益突出,需要我们给予高度重视.
a、漏洞注入威胁
无论是网络系统也好,还是各种软件的形成,其都是由相关代码编写人员进行开发,这无可避免的会产生一些漏洞问题,这些漏洞的存在就是一种潜在的安全威胁,没有及时地修补漏洞,就会有可能导致安全问题.而且这种威胁一旦发生,就会从某一台主机,通过网络,对网络内其他主机产生安全威胁,这会是一个连锁反应,情况进一步恶化,会直接造成整个网络的瘫痪.近些年来,在操作系统上,Linux和Win-dows都在不断地各种网络漏洞补丁,如校园网内的绝大部分主机系统都是Windows系统,因此,如果Windows系统漏洞被发现而没有及时更新漏洞补丁进行修复,很有可能被不法分子进行攻击,最终影响到整个校园网络的安全.
b、DDOS攻击（DistributedDenialofService)）.
DDOS攻击,即分布式拒绝服务攻击,它是指通过借助一系列工具或手段,把许多个计算机联合起来构成一个平台,针对一个或者多个目标发动DOS攻击.DOS攻击最基本的方式就是发送合法的服务请求,以便占用目标主机的大量的服务资源,目标主机的资源一旦被大量占用,其他正常用户将无法正常访问该主机.DOS攻击必须占有大量的带宽,这样的话,对于攻击者本身很难实现这一目标,于是攻击者就通过其他攻击手段先把很多主机变成“肉鸡”,再通过这些“肉鸡”一起对目标发起攻击,最终使得目标主机无法正常工作乃至处于瘫痪的状态.
c、ARP攻击（Addressresolutionprotocolspoofing）.
ARP协议（地址解析协议）,就是根据目标IP地址,转换为相应的MAC物理地址.我们所谈的校园网络,更多的主机是基于MAC地址进行传输的,这样就造成了ARP协议就更多地发挥着使两台主机之间进行通信的作用.黑客正是利用了这一原理,一方面,可以通过实时监测,拦截窃听如A主机某一节点信息,获得相应的IP地址和MAC地址,然后就可以伪装A主机,给其他主机信息,为自己获得有用信息.另一方面,黑客还可以完全伪造一个MAC地址和IP地址信息,使其在局域网内传播,在网络上会产生网络风暴效应,使网络通信变得异常堵塞,也很有可能造成网络的失效或者瘫痪.
d、病毒、木马
高校的办公电脑分为几类:专属电脑、多媒体教室教学电脑、还有学工办、教学办等非专用的办公电脑.这些电脑在使用的过程中,由于很多人员并没有专业的计算机基础知识,或者电脑安全意识并不高,导致U盘使用、非法网站下载等可能导致病毒攻击的行为偶有发生,再加之电脑系统的杀毒软件等防护措施并没有及时更新与使用,最终这些主机很容易被黑客利用,成为“肉鸡”,进而使得校园网络安全出现问题.
1.4人员管理
a、安全管理安全管理是一项十分重要的内容.在所有安全措施的发生有效影响之前,安全管理就是这一切的前提.一个健全的安全体系是需要建立十分详尽并且能被严格执行的安全规范,安全体系在建设过程中,人、设备、技术都是必须要考量的因素,这些安全规范或者规则要在所有安全设备部署和具体施工过程中进行约束,所以安全管理不仅是一种表面行为上的规范,也是对人、技术、设备、架构等等的一种深层次要求.
b、安全意识在高校的校园网络里,主体使用人员就是学生和教职人员,这个群体的计算机应用水平有高有低,更多的人是缺乏计算机网络安全意识的.例如,某些老师和学生往往在使用计算机网络时,设置一些十分简单易破解的密码,这就是一种缺乏安全意识的表现,黑客很容易抓住这一点,通过某些破解方法获得密码,进而获取计算机中对他们有用的信息,可能会进一步产生盗用银行卡、诈骗、透漏个人重要信息等等不法行为；另外,当前计算机网络快速发展,计算机病毒等木马程序也在呈现出多方式、多渠道的攻击模式,如U盘传播、移动端传播、局域网内传播等等,这些问题一旦发生,就会产生一些不良后果.因此,我们需要提高用户的网络安全意识,增强其网络使用规范,并让用户学习一些基本的网络安全知识,这都是当代网络管理人员需要注意的问题.
2校园网安全的防护措施
2.1硬件防护
(1)防火墙
我校于2012年校园网络建成后在出口处用功能和安全性更高的华为下一代防火墙（华为USG5500）代替原来的防火墙（华为Eudemon）,同时在出口链路上加装了入侵检测设备(华为NIP5100),以防止外网对内网及数据中心的入侵攻击,将替代下来的防火墙部署在数据中心服务器存储和内网之间,这样加强出口链路安全的同时,也进一步提升了内网的数据安全.
(2)流量控制设备
我校使用锐捷ACE流量控制设备,ACE可以有效防止各种关键应用（如ERP、CRM、OA系统、视频会议系统等）受到其它网络应用（P2P等）的冲击,导致这些关键业务的应用得不到保障.同时,通过对网络异常流量和网络攻击进行预先防护,大大提高了网络的可靠性和稳定性.
(3)行为审计
校园网络配置行为审计设备.可以针对网页访问过滤、网络应用控制、带宽流量管理、信息收发审计、用户行为分析.用户所有访问的网页地址都会被系统监控、追踪及记录,如果是设定为合法地址的访问则不做限制,如果是非法地址则会被禁止或发出警告,而且每一次对访问行为的监控都是具体到每一个人的.
(4)防毒墙
计算机病毒的日益猖狂,尽管许多企业已经具有了一定的安全防范意识,并且部署了网络版杀毒软件和硬件防火墙,但是在面对诸如SQLSlammer等新的蠕虫病毒时,仍然显得力不从心.我校针对上网人数多,使用网络人员能力参差不齐,网络蠕虫病毒传播广泛,控制吃力的情况,主干网络配置防毒墙,用来解决对诸如SQLSlammer等新的蠕虫病毒.
(5)DDOS防护
DDOS攻击通过大量合法的请求占用大量网络资源,以达到瘫痪网络的目的.而我校校园网络配置DDOS防护设备,可解决通过使网络过载来干扰甚至阻断正常的网络通讯;通过向服务器提交大量请求,使服务器超负荷;阻断某一用户访问服务器;阻断某服务与特定系统或个人的通讯等情况.
(6)UPS不间断电源
我校中心机房、图书馆机房及灾备机房都配备UPS不间断电源,在学校断电时为机房内的服务器供电,延长服务器工作时间,同时能够防止服务器因为断电导致的物理故障、数据丢失问题.
2.2VPN的管理
VPN是在公用网络上建立专用网络,进行加密通讯,而我校的数字化应用系统及数字图书馆资源等重要的信息系统均使用深信服公司的专业的SSLVPN设备为所有供教职工、学生提供校外访问.我校对对校内应用系统和资源都作了内网IP地址的锁定,保证了网络访问的安全控制,进一步提高校内信息系统的安全指数.同时,针对不同的厂商及使用者的身份,区分访问权限,做到严格控制VPN的使用人员,保证只有操作相关业务系统的人员才可获得相应权限.比如:在校教职工使用工号及密码登陆后只可以访问基础资源及业务系统,不能访问服务器等敏感网段；工程师需要通过实名制注册,并使用真实手机号码接受随机验证码及管理员指定的用户名和密码（复杂密码）进行访问,并且不同的厂商只能访问跟自己业务相关的网段(目前正在建设中)；其他使用人员需要严格遵守申请流程就行审批.
2.3软件防护
(1)校园网认证系统
我校使用专业的校园网认证系统,该系统能够对接入校园网络的所有用户进行访问控制管理,同时,我校教职工用工号登陆,学生用学号进行登录,校外人员需要提供有效证件并且获得相关部门的统一方可获得由网络中心统一发放的上网账号,我校的网络认证系统配有日志服务器,能够对用户的上网行为实时记录,并且保存用户上网行为日志90天以上.
(2)机房服务器安全
赤峰学院机房的服务器使用两套虚拟化软件（华为Fu-sionComputeV100R005C00SPC300和曙光虚拟化软件）动态分配部署,用虚拟计算、虚拟存储、虚拟网络等技术,完成计算资源、存储资源、网络资源的虚拟化；同时通过统一的接口,对这些虚拟资源进行集中调度和管理.系统通过获取异常日志和程序堆栈,缩短问题定位时间,快速解决异常问题.支持自动化健康检查.系统通过自动化的健康状态检查,及时发现故障并预警,确保虚拟机可运营管理.
(3)存储（数据）安全
我校的存储设备用专业的软件做RAID6,做完RAID6,在存储中任意一个硬盘故障时,仍可读出数据,在数据重构时,将数据经计算后重新置入新硬盘中从而保证了数据安全.同时,华为虚拟化软件具备快照功能,可以记录某一时间点的系统情况,并且可以手动恢复到快照的时间点,保证系统的运行安全.
(4)运维系统
我校使用校园网络运维管理系统,能够实时监控机房的温度湿度,工作人员可进行水灾、火灾的防控,同时,可以对校园网各个设备的运行情况进行实时监控,可随时查看某一线路的带宽、设备在线情况等.如遇问题可在一时间收到短信通知,将风险降到最低.
3校园网络安全管理策略
3.1信息系统定级备案
我校坚持严格执行备案制度的原则,分别于赤峰市宣传部、联通公司、电信公司做了网站备案,严格管理,校内一切网络资源只限于教职工和学生工作学习使用,坚决禁止一切商务等盈利用途.赤峰学院主页及二级网站使用统一建站系统CMS,使用统一建站系统能有效管理网站访问者的登陆权限,使内网数据库不受攻击,并且前端静态页面显示,同时,服务器安装了正版的网页防篡改软件一套,能够定期升级版本,确保了信息的安全.
3.2信息安全事件应急处置
制定健全的应急预案,如:《赤峰学院校园网络信息安全应急预案》、《数据中心机房突发事件应急预案》、《信息技术安全事件的应急报告与处置流程》等,周末及节假日有相关的值班人员每天对应用系统及机房进行检监测,以保证紧急事件紧急处理.
4小结
校园网络安全建设是一个不断推进、不断深入、不断完善的动态过程.需要清楚当前学校的网络情况及风险点,面对多种多样的安全威胁,从安全技术手段的角度出发,确保校园网络安全体系满足防护、检测、响应模式,从而降低安全风险,实现校园网络稳定可靠运行.
作者：吉岚 辛欣 单位：内蒙古广播电视大学 赤峰学院网络与信息管理处
参考文献：
〔1〕齐菊红,李春霞.校园网网络安全分析[J].兰州文理学院学报（自然科学版）,2014,28（1）:69-74.
〔2〕李小志.高校校园网络安全分析及解决方案[J].现代教育技术,2008,18（3）:91-93．
〔3〕胡光民,柯立新.校园网络安全与准入身份认证[J].上海海洋大学学报,2010,19（2）:271-274．
〔4〕包金锋.校园网络安全建设与管理方法浅谈[J].信息安全与技术,2013,10（1）:37-38．
〔5〕罗国富,王乙明.校园网络安全防范体系研究与应用[J].现代教育技术,2012,22（9）:53-56.
