網(wǎng)絡(luò)教育站點(diǎn)安全性能的改進(jìn)

1、網(wǎng)絡(luò)教育站點(diǎn)平安性能的改良摘要：網(wǎng)絡(luò)教育站點(diǎn)的平安是網(wǎng)絡(luò)教育機(jī)構(gòu)組織不得不嚴(yán)肅考慮的問(wèn)題。除了建立網(wǎng)絡(luò)平安策略用于指導(dǎo)和標(biāo)準(zhǔn)各網(wǎng)絡(luò)教育管理人員的網(wǎng)絡(luò)平安管理職責(zé)外，對(duì)網(wǎng)絡(luò)教育站點(diǎn)的平安改良是使站點(diǎn)平安運(yùn)行的重要方法。本文從效勞器主機(jī)選擇、虛擬網(wǎng)絡(luò)VLAN運(yùn)用和劃分原那么、效勞器主機(jī)和效勞器軟件的配置、效勞器管理等四方面闡述了如何對(duì)網(wǎng)絡(luò)教育站點(diǎn)進(jìn)展平安改良。關(guān)鍵詞：VLAN；網(wǎng)絡(luò)隔離；效勞器；平安形式AbstratTheseurityfnetrkeduatinEBsitesisaprblehihnetrkeduatinrganizatinshuldnsider.Theiprveentfthese

2、urityntheEBsitesisaniprtantayfrtheperatinfthesites,besidestheephasisftheestablishedstrategiesfrguidaneanddutyfrkingstaff.Inthispaper,theiprveentsntheseurityftheEBsitesarerevieedbasedntheseletinfservers,srtingfnetrk,appliatinfVLAN,nfiguratinfserver-hardareandsftare,andanageentfservers.KeyrdsVLAN;Isla

3、tednetrk;server;safedel1教育站點(diǎn)效勞器主機(jī)的選擇在選擇教育站點(diǎn)效勞器主機(jī)時(shí)，除了考慮諸如功能、性能和價(jià)格等因素外，更重要的要考慮平安需求，效勞器很多，但它們的平安性能是不一樣的，要使教育站點(diǎn)具有平安性就必須選擇滿足平安需求的效勞器，網(wǎng)絡(luò)教育站點(diǎn)的平安需求一般包括：較小的易受攻擊性只能由受權(quán)用戶進(jìn)展管理的限制才能回絕訪問(wèn)效勞器中沒(méi)有發(fā)布的信息的才能關(guān)閉操作系統(tǒng)或效勞器軟件中不必要的網(wǎng)絡(luò)效勞的才能訪問(wèn)各種外部可執(zhí)行程序如GIsripts、效勞器plug-ins的可控才能為偵測(cè)入侵或企圖入侵，記錄教育站點(diǎn)效勞器活動(dòng)的才能2教育網(wǎng)絡(luò)分段及虛擬網(wǎng)絡(luò)VLAN運(yùn)用和劃分原那么對(duì)局域網(wǎng)

4、來(lái)說(shuō)，網(wǎng)絡(luò)分段和VLAN的運(yùn)用是保證教育網(wǎng)絡(luò)平安的有效措施。2.1教育網(wǎng)絡(luò)分段改善平安性能。教育網(wǎng)絡(luò)分段是保證平安的一項(xiàng)重要措施，同時(shí)也是一項(xiàng)根本措施，其指導(dǎo)思想在于將非法用戶與網(wǎng)絡(luò)資源互相隔離，從而到達(dá)限制用戶非法訪問(wèn)的目的。教育網(wǎng)絡(luò)分段可分為物理分段和邏輯分段兩種方式：物理分段通常是指將網(wǎng)絡(luò)從物理層和數(shù)據(jù)鏈路層(IS/SI模型中的第一層和第二層)上分為假設(shè)干網(wǎng)段,各網(wǎng)段互相之間無(wú)法直接通訊。目前，許多交換機(jī)都有一定的訪問(wèn)控制才能，可實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)的物理分段。邏輯分段那么是指將整個(gè)系統(tǒng)在網(wǎng)絡(luò)層IS/SI模型中的第三層上進(jìn)展分段。例如，對(duì)于TP/IP網(wǎng)絡(luò)，可把網(wǎng)絡(luò)分成假設(shè)干IP子網(wǎng)，各子網(wǎng)間必須通

5、過(guò)路由器、路由交換機(jī)、網(wǎng)關(guān)或防火墻等設(shè)備進(jìn)展連接，利用這些中間設(shè)備含軟件、硬件的平安機(jī)制來(lái)控制各自網(wǎng)間的訪問(wèn)。在實(shí)際應(yīng)用過(guò)程中可采取物理分段與邏輯分段相結(jié)合的方法來(lái)實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)系統(tǒng)的平安性能控制。2.2運(yùn)用VLAN改變平安性能以太網(wǎng)從本質(zhì)基于播送機(jī)制，但應(yīng)用了交換和VLAN技術(shù)后，實(shí)際上轉(zhuǎn)變?yōu)辄c(diǎn)到點(diǎn)通訊，除非設(shè)置了監(jiān)聽(tīng)口，信息交換也不會(huì)存在監(jiān)聽(tīng)和插入改變問(wèn)題。由以上運(yùn)行機(jī)制帶來(lái)的網(wǎng)絡(luò)平安的好處是顯而易見(jiàn)的：信息只到達(dá)應(yīng)該到達(dá)的地點(diǎn)。因此、防止了大局部基于網(wǎng)絡(luò)監(jiān)聽(tīng)的入侵手段。通過(guò)虛擬網(wǎng)設(shè)置的訪問(wèn)控制，使在虛擬網(wǎng)外的網(wǎng)絡(luò)節(jié)點(diǎn)不能直接訪問(wèn)虛擬網(wǎng)內(nèi)節(jié)點(diǎn)。2.3VLAN之間的劃分原那么VLAN的劃分方式的

6、目的是保證系統(tǒng)的平安性。因此，可以按照系統(tǒng)的平安性來(lái)劃分VLAN；可以將主要的效勞器系統(tǒng)單獨(dú)劃分作一個(gè)VLAN，如數(shù)據(jù)庫(kù)效勞器、電子郵件效勞器等。也可以按照教育機(jī)構(gòu)、對(duì)象的設(shè)置來(lái)劃分VLAN，如可以按照教育機(jī)構(gòu)效勞器管理員所在的網(wǎng)絡(luò)單獨(dú)作為一個(gè)leaderVLAN(LVLAN)，其它層次的分別作為另一個(gè)或幾個(gè)VLAN，并且控制LVLAN與其他VLAN之間的單向信息流向，即允許LVLAN查看其他VLAN的相關(guān)信息，其他VLAN不能訪問(wèn)LVLAN的信息。VLAN之內(nèi)的連接采用交換實(shí)現(xiàn)，VLAN與VLAN之間采用路由實(shí)現(xiàn)。3效勞器主機(jī)和效勞器軟件的配置3.1教育站點(diǎn)效勞器與內(nèi)部網(wǎng)絡(luò)隔離公用效勞器主機(jī)

7、是一個(gè)供公眾訪問(wèn)的計(jì)算機(jī)，無(wú)論主機(jī)及其應(yīng)用軟件配置的如何好，總會(huì)有人發(fā)現(xiàn)新的入侵點(diǎn)，入侵者可以觀察或捕獲到內(nèi)部主機(jī)之間的網(wǎng)絡(luò)通信，也可能進(jìn)入內(nèi)部主機(jī)，獲得更詳細(xì)的信息，為此需要把效勞器主機(jī)與內(nèi)部網(wǎng)絡(luò)隔離，如圖1所示。圖1EB效勞器網(wǎng)絡(luò)構(gòu)造3.2在一個(gè)更平安的主機(jī)上維持一個(gè)可靠的教育站點(diǎn)內(nèi)容拷貝。當(dāng)效勞器上的信息完好性受到破壞時(shí)，需要一個(gè)可信賴的拷貝來(lái)恢復(fù)建議把一個(gè)可靠的信息拷貝存貯于與效勞器主機(jī)隔離的更平安的主機(jī)上即放在網(wǎng)絡(luò)防火墻內(nèi)的內(nèi)部網(wǎng)絡(luò)上，并且除了教育站點(diǎn)管理員可以訪問(wèn)這個(gè)拷貝外，其它用戶無(wú)論是內(nèi)部還是外部的都不能訪問(wèn)拷貝。3.3教育站點(diǎn)效勞器主機(jī)只提供根本的網(wǎng)絡(luò)效勞現(xiàn)代的計(jì)算機(jī)具有可提

8、供多種效勞和應(yīng)用的功能，假如多項(xiàng)效勞和應(yīng)用同時(shí)在一臺(tái)主機(jī)上提供，會(huì)使主機(jī)的平安性能減弱，為此，應(yīng)該按以下方法來(lái)配置教育站點(diǎn)效勞器：盡可能多地關(guān)掉效勞和應(yīng)用，然后有選擇地翻開(kāi)那些根本的教育效勞；確定你打算支持教育效勞器的功能如GI腳本；假如有其它的方法提供同樣功能，選擇更平安的方法；一旦最少的教育效勞和應(yīng)用確定后，確保它們?cè)谥鳈C(jī)上是可用的；當(dāng)所有配置選項(xiàng)確定后，為關(guān)鍵系統(tǒng)軟件生成并記錄加密校驗(yàn)或其它完好校驗(yàn)信息。3.4配置教育站點(diǎn)效勞器，增加平安性由于不同的機(jī)構(gòu)組織對(duì)公用站點(diǎn)的需求是不一樣的，因此效勞器軟件已提供了各種軟件配置選項(xiàng)以滿足不同站點(diǎn)的需求省缺的配置設(shè)定可能是對(duì)“典型站點(diǎn)的最優(yōu)設(shè)定，當(dāng)

9、然這是銷(xiāo)售商想象的最優(yōu)化，一般是基于性能需求或容易安裝來(lái)設(shè)定的但在安裝教育站點(diǎn)效勞器軟件時(shí)，必須認(rèn)真仔細(xì)地按平安需求配置效勞器配置教育站點(diǎn)效勞器日志才能教育站點(diǎn)效勞器日志文件記錄著效勞器對(duì)每一懇求的響應(yīng)行為信息，分析這些日志可以得到有用的用戶信息和平安信息目前有許多日志文件分析工具，大局部可對(duì)兩種標(biāo)準(zhǔn)日志文件格式進(jìn)展分析，這兩種格式是“nLgFrat和“ExtendednLgFrat，效勞器應(yīng)該配置成能生成兩種格式中任意一種格式的日志文件。.配置教育站點(diǎn)效勞器的輔助網(wǎng)絡(luò)效勞一般教育站點(diǎn)效勞器可同時(shí)提供其它的網(wǎng)絡(luò)效勞，如文件傳輸協(xié)議FTP，gpher協(xié)議，電子郵件或按受從客戶機(jī)來(lái)的文件上載等，為

10、增加教育站點(diǎn)效勞器的平安性，在確定不需要這些效勞的條件下,建議關(guān)閉所有的輔助效勞.配置教育站點(diǎn)效勞器的本地或遠(yuǎn)程管理利用教育站點(diǎn)主機(jī)控制臺(tái)來(lái)管理教育站點(diǎn)，這樣可以控制在教育站點(diǎn)效勞器防火墻外與管理工作站防火墻內(nèi)之間的網(wǎng)絡(luò)傳輸，以增加平安性。但是在許多情況下，教育站點(diǎn)效勞器管理不得不從遠(yuǎn)程進(jìn)展管理，這時(shí)必需要保證：.效勞器主機(jī)有很強(qiáng)的驗(yàn)證用戶身份才能，特別要防止傳送明文口令，除非這是一個(gè)一次性口令。.效勞器主機(jī)只允許從某個(gè)特定遠(yuǎn)程主機(jī)進(jìn)展遠(yuǎn)程管理.在管理主機(jī)與效勞器之間的網(wǎng)絡(luò)傳輸不應(yīng)有這樣的信息，這些信息假如入侵者截獲后，可訪問(wèn)到效勞器或內(nèi)部網(wǎng)絡(luò)。確定操作系統(tǒng)提供什么樣的訪問(wèn)控制有些操作系統(tǒng)可以

11、對(duì)教育站點(diǎn)效勞的遠(yuǎn)程訪問(wèn)文件加以限制，這些進(jìn)程可以限制為對(duì)某些文件的只讀訪問(wèn)，而對(duì)一些文件不允許訪問(wèn)。.利用文件訪問(wèn)控制來(lái)實(shí)現(xiàn)：.公用教育站點(diǎn)的內(nèi)容文件只能讀，不能由效勞器管理進(jìn)程來(lái)寫(xiě).存貯教育站點(diǎn)內(nèi)容的目錄不能由效勞器管理進(jìn)程來(lái)寫(xiě).公用教育站點(diǎn)內(nèi)容文件只能由效勞器管理進(jìn)程來(lái)寫(xiě).教育站點(diǎn)效勞器日志文件可由效勞器進(jìn)程寫(xiě)，但不能作為教育站點(diǎn)內(nèi)容來(lái)讀.教育站點(diǎn)效勞器日志文件只能由管理進(jìn)程讀.任何由教育站點(diǎn)效勞器進(jìn)程生成的臨時(shí)文件如在生成動(dòng)態(tài)頁(yè)面時(shí)所需的臨時(shí)文件必須限制在某個(gè)特定的子目錄下。不允許目錄列表效勞按照教育站點(diǎn)協(xié)議 ，一個(gè)以斜杠完畢的URL是懇求列出一個(gè)目錄中的文件。按一般的規(guī)那么，即使該目

12、錄下的所有文件都是準(zhǔn)備發(fā)布的文件，也不允許效勞器對(duì)這類(lèi)懇求有響應(yīng)。這類(lèi)懇求表示試圖用非教育站點(diǎn)提供的方法來(lái)定位信息，當(dāng)閱讀有困難或鏈接斷裂了，用戶就可能企圖重新排序。入侵者可用此方法定位那些由教育站點(diǎn)接口隱藏的信息?？梢詮男谄魅罩疚募胁槌鲞@類(lèi)懇求。配置效勞器使之不能提供指定文件目錄數(shù)以外文件的效勞。詳細(xì)的實(shí)現(xiàn)可以通過(guò)效勞器軟件本身的配置選擇，也可以通過(guò)操作系統(tǒng)選擇。必須防止在文件目錄樹(shù)中使用鏈接或別名，因?yàn)樗赋隽诵谄髦鳈C(jī)或網(wǎng)絡(luò)中的其它文件。.確保效勞器日志文件或配置文件不能作為公用教育站點(diǎn)內(nèi)容文件。日志文件應(yīng)該存貯在效勞器主機(jī)上，而不是傳送到內(nèi)部網(wǎng)絡(luò)的另一臺(tái)主機(jī)上，同樣，效勞器配置文件

13、或參考文件也應(yīng)保持在效勞器主機(jī)上。利用效勞器配置選項(xiàng)和操作系統(tǒng)訪問(wèn)控制，確保這些文件不能傳送給用戶，即使用戶知道這些文件的名字URLs。假如可能，把這些文件放在公用數(shù)據(jù)目錄樹(shù)以外的地方。.當(dāng)所有的的配置選擇完成好后，要為效勞器軟件生成一個(gè)密碼校驗(yàn)或其它的完好檢驗(yàn)基準(zhǔn)信息。轉(zhuǎn)貼于論文聯(lián)盟.ll.4網(wǎng)絡(luò)教育站點(diǎn)效勞器管理4.1用平安形式管理教育站點(diǎn)效勞器教育站點(diǎn)效勞器管理包括為效勞器增加新內(nèi)容，檢查效勞器日志，安裝新的外部程序以及改變效勞器配置等等。這些管理可以在效勞器控制臺(tái)上完成，也可以通過(guò)網(wǎng)絡(luò)在另一主機(jī)上來(lái)管理，無(wú)論從哪里來(lái)管，一定要確保其平安性，特別是以遠(yuǎn)程主機(jī)管理效勞器時(shí)，平安更加重要。中

14、選用遠(yuǎn)程主機(jī)來(lái)管理教育站點(diǎn)效勞器時(shí)，應(yīng)選用平安的方式來(lái)管理教育站點(diǎn)效勞器主機(jī)應(yīng)有很強(qiáng)的用戶身份驗(yàn)證功能，要防止使用明文形式傳輸密碼口令。教育站點(diǎn)效勞器從某一特定主機(jī)進(jìn)展管理，主機(jī)的驗(yàn)證不依賴于網(wǎng)絡(luò)解析信息，如IP地址或DNS名等。在管理員主機(jī)與效勞器之間的網(wǎng)絡(luò)傳輸過(guò)程中，不應(yīng)給入侵者提供訪問(wèn)效勞器或內(nèi)部網(wǎng)絡(luò)的信息。假如允許，可使用活動(dòng)存貯介質(zhì)把教育站點(diǎn)的內(nèi)容拷貝到教育站點(diǎn)效勞器上。當(dāng)需要在另一臺(tái)主機(jī)上檢查效勞器的日志文件時(shí)，要用平安方法把日志文件傳送到那臺(tái)主機(jī)上。當(dāng)效勞器的配置或站點(diǎn)內(nèi)容改變后，要生成一個(gè)新的加密校驗(yàn)或其它的完好校驗(yàn)信息。4.2檢查目錄和文件有無(wú)意外的改變網(wǎng)絡(luò)環(huán)境中的文件系統(tǒng)包

15、括了大量軟件和數(shù)據(jù)文件，目錄和文件的意外改變，特別是那些訪問(wèn)受到限制的目錄和文件的意外改變，說(shuō)明發(fā)生了某種入侵。入侵者為了隱藏他們?cè)谙到y(tǒng)中的存在，通常用一樣功能的程序交換系統(tǒng)的原有程序并修改日志文件，或在系統(tǒng)中生成新的文件。所以，利用檢查系統(tǒng)的目錄和文件的更改信息的方法，可盡早發(fā)現(xiàn)入侵。.為系統(tǒng)文件建立優(yōu)先級(jí)和檢查時(shí)間表。.對(duì)關(guān)鍵文件和目錄一個(gè)權(quán)威參考數(shù)據(jù)，這些數(shù)據(jù)包括：在文件系統(tǒng)中的位置可選擇的途徑文件的內(nèi)容、目錄的入口實(shí)際長(zhǎng)度、如可能還應(yīng)有分配的單元文件和目錄生成和最后修改的時(shí)間、日期所屬權(quán)和訪問(wèn)答應(yīng)設(shè)定.按照建立的方案，用權(quán)威參考數(shù)據(jù)比擬文件的屬性和內(nèi)容，查驗(yàn)?zāi)夸浐臀募耐旰眯?。查?yàn)喪失

16、的文件或目錄查驗(yàn)任何新的文件和目錄調(diào)查已發(fā)現(xiàn)的任何意外改變的原因4.3檢查系統(tǒng)和網(wǎng)絡(luò)日志日志文件記錄了系統(tǒng)和網(wǎng)絡(luò)中發(fā)生的異常和意外活動(dòng)，入侵者經(jīng)常在日志文件中留下了其活動(dòng)的足跡，因此定期地檢查系統(tǒng)和網(wǎng)絡(luò)日志是發(fā)現(xiàn)入侵者的方法之一。日志文件依操作系統(tǒng)、運(yùn)行的應(yīng)用軟件和配置的不同而不同，表1給出了典型的日志文件包含的信息。表1日志文件的信息活動(dòng)類(lèi)型日志包含的信息用戶活動(dòng)登記活動(dòng)用戶身份改變用戶訪問(wèn)文件受權(quán)信息驗(yàn)證信息處理活動(dòng)用戶運(yùn)行的命令運(yùn)行進(jìn)程信息，包括程序名、用戶、開(kāi)場(chǎng)和停頓時(shí)間、以及執(zhí)行參數(shù)系統(tǒng)活動(dòng)系統(tǒng)的啟動(dòng)和關(guān)閉管理登錄網(wǎng)絡(luò)連接試圖與系統(tǒng)連接、已經(jīng)與系統(tǒng)連接的細(xì)節(jié)時(shí)間、地點(diǎn)、類(lèi)型從系統(tǒng)建立

17、連接的細(xì)節(jié)網(wǎng)絡(luò)通訊監(jiān)控所有網(wǎng)絡(luò)通訊事務(wù)的記錄EB效勞活動(dòng)遠(yuǎn)程主機(jī)名或IP地址、懇求的日期和時(shí)間懇求成功與否的答復(fù)碼用戶的遠(yuǎn)程登錄名日志文件至少每天檢查一次，當(dāng)發(fā)現(xiàn)任何異常或意外的活動(dòng)，應(yīng)做好記錄，并對(duì)這些活動(dòng)進(jìn)展分析，以確定是否確有入侵者入侵。經(jīng)過(guò)一定時(shí)間的定期檢查后，就會(huì)熟悉正常和期望的活動(dòng)跡象，使識(shí)別異常和意外變得容易，表2總結(jié)了各種日志文件可能報(bào)告的異常或意外的活動(dòng)。表2異?；蛞馔獾幕顒?dòng)日志類(lèi)型異?；蛞馔饣顒?dòng)用戶活動(dòng)連續(xù)登錄失敗從一個(gè)意外的地點(diǎn)登錄在某一異常的時(shí)間登錄異常地企圖改變用戶標(biāo)識(shí)用戶運(yùn)行的異常進(jìn)程未經(jīng)受權(quán)企圖訪問(wèn)受限文件進(jìn)程活動(dòng)在意外的時(shí)間內(nèi)運(yùn)行的進(jìn)程過(guò)早中止的進(jìn)程異常的進(jìn)程系

18、統(tǒng)活動(dòng)意外的關(guān)機(jī)意外的再啟動(dòng)網(wǎng)絡(luò)連接與或從異常的接點(diǎn)連接連續(xù)的連接失敗在異常的時(shí)間進(jìn)展的連接意外的網(wǎng)絡(luò)通信如：與你的防火墻配置相反，或意外的通信量網(wǎng)絡(luò)通訊監(jiān)控掃描各種效勞的網(wǎng)絡(luò)地址空間，說(shuō)明企圖識(shí)別你的網(wǎng)絡(luò)和效勞器主機(jī)連續(xù)地半翻開(kāi)連接說(shuō)明企圖IP欺騙或效勞活動(dòng)回絕成功地連接到網(wǎng)絡(luò)主機(jī)的異常效勞起源于你的網(wǎng)絡(luò)外部的事務(wù)，而其目的也是網(wǎng)絡(luò)的外部說(shuō)明該通信不應(yīng)該橫穿你的網(wǎng)絡(luò)連續(xù)地連接某個(gè)特定效勞，說(shuō)明有人企圖運(yùn)用網(wǎng)絡(luò)探測(cè)工具來(lái)對(duì)付你的網(wǎng)絡(luò)系統(tǒng)EB效勞器活動(dòng)連續(xù)企圖濫用效勞器說(shuō)明有人想破壞站點(diǎn)引起回絕效勞的大量活動(dòng)注意遠(yuǎn)程主機(jī)名或IP地址5完畢語(yǔ)假如網(wǎng)絡(luò)教育站點(diǎn)不能很好地設(shè)置和管理，將使網(wǎng)絡(luò)教育機(jī)構(gòu)組織受到各種平安問(wèn)題的困擾，使自身的網(wǎng)絡(luò)教育機(jī)構(gòu)組織處于非常窘迫的處境。公用網(wǎng)絡(luò)教育站點(diǎn)也是入侵者入侵教育站點(diǎn)機(jī)構(gòu)組織內(nèi)部網(wǎng)絡(luò)的入口，通過(guò)它使得機(jī)構(gòu)組織的重要信息泄露，使網(wǎng)絡(luò)教育機(jī)構(gòu)組織的數(shù)據(jù)蒙受宏大的損失，所以如何改良公用網(wǎng)絡(luò)教育站點(diǎn)的平安，對(duì)網(wǎng)絡(luò)教育站點(diǎn)進(jìn)展平安有效地維護(hù)和管理，是網(wǎng)絡(luò)教育系統(tǒng)平安正常運(yùn)行的關(guān)鍵。網(wǎng)絡(luò)教育站點(diǎn)效勞器主機(jī)選擇、教育網(wǎng)絡(luò)分段及VLAN的運(yùn)用、教育站點(diǎn)效勞器主機(jī)和效勞器軟件的配置、效勞器管理是進(jìn)步教育站點(diǎn)平安的有效方法。只有加強(qiáng)教育站點(diǎn)效勞器管理，才能