校園網(wǎng)系統(tǒng)安全設(shè)計與實(shí)現(xiàn)

本科畢業(yè)論文本科畢業(yè)設(shè)計延邊大學(xué)（題目：校園網(wǎng)系統(tǒng)安全設(shè)計與實(shí)現(xiàn)學(xué)生姓名：趙哲俊學(xué)院：工學(xué)院專業(yè)：計算機(jī)科學(xué)與技術(shù)班級：2004級指導(dǎo)教師：王齊講師二〇08摘要開放式一體化網(wǎng)絡(luò)的安全問題涉及到很多方面，是一個集技術(shù)、管理、法規(guī)于一體的復(fù)雜系統(tǒng)工程。目前國內(nèi)在這些方面的研究還不能跟上網(wǎng)絡(luò)技術(shù)的發(fā)展。網(wǎng)絡(luò)上大量存在的計算機(jī)病毒、黑客行為、木馬等安全威脅，無時無刻不在影響著校園網(wǎng)絡(luò)的健康發(fā)展，利用何種技術(shù)措施保證校園網(wǎng)安全、高效地運(yùn)行，已成為目前許多學(xué)校急需解決的研究課題。目前，常采用的保護(hù)網(wǎng)絡(luò)安全的技術(shù)主要有數(shù)據(jù)加密，防火墻，入侵檢測、殺毒、訪問控制等。這些技術(shù)分別在一方面或多方面抵御著來自網(wǎng)絡(luò)的安全威脅。然而，威脅網(wǎng)絡(luò)安全的計算機(jī)病毒技術(shù)、黑客技術(shù)、木馬技術(shù)等卻在不斷的發(fā)展變化之中。在校園網(wǎng)的建設(shè)實(shí)踐中，追求百分之百的網(wǎng)絡(luò)安全是辦不到的，綜合運(yùn)用多種網(wǎng)絡(luò)安全技術(shù)建成一個相對安全的、符合一定安全需求的校園網(wǎng)才是明智的選擇。在對各種網(wǎng)絡(luò)安全技術(shù)進(jìn)行深入地探討后，具體分析了延邊大學(xué)校園網(wǎng)存在的安全問題，針對校園網(wǎng)在運(yùn)行中所遇到的實(shí)際問題，在信息系統(tǒng)安全理論的指導(dǎo)下，設(shè)計了總體網(wǎng)絡(luò)安全體系方案。在方案中，特別對防火墻、入侵檢測、病毒防治等多方面給出了具體的解決方案。另外，在安全管理方面，給出了對校園網(wǎng)的管理意見。關(guān)鍵詞：校園網(wǎng)；網(wǎng)絡(luò)安全；安全需求；安全策略AbstractThesecurityoftheOpeningNetworkisaproblemconcerningmanyareasandalsoacomplexprojectofsystemengineeringwhichinvolvestechniques,managementandlaws.Domesticstudiescannotyetkeepupwiththerapiddevelopmentofnetworktechniques.Thethreateningofthecomputervirusandhackersareaffectingthehealthdevelopmentofthecampusnetwork.Andhowtoassurethesecurityandtheefficiencyofthecampusnetworkisbecomingtheemergenceresearchtopicinlotsofcolleges.Recently,thepopulartechnologiesofprotectingnetworkincludedata-encrypting、firewall、IDS、killing-virus、access-controllingandsoon.Thesetechnologiesresistthesecuritythreateningfromnetworkinoneaspectandsomeaspectsrespectively.However,thetechnologiesofcomputervirusandhackerarealsodeveloped.Inthebuildingofthecampusnetwork,itisimpossibletohavethetotallysecurity.Usingalotofnetworksecuritytechnologiestobuildarelativelysafenetworkwhichsatisfiesthesecurityrequesttocertainextentisawiseway.Afterthediscussingofseveralnetworksecuritytechnologies,thesecurityproblemoftheCampusNetworkofYanbianUniversityisanalysedindetail.AccordingtotherealproblemwhentheCampusNetworkisrunningandbasedonusingtheguidanceofsafetheoryofinformationsystem,aoverallsecuritysolutionisputforwardinthisthesis.Especially,thenecessarysecurityassurancemeasuresaredesignedindetail,includingfirewall,intrusiondetection,anti-virusandsoon.Meanwhile,suggestionforeffectivesecuritymanagementisputforward.Keywords：Campusnetwork;NetworkSecurity;Securityrequirement;Securitypolicy目錄引言.....................................................................................................................................1第一章系統(tǒng)概述.................................................................................................................2第二章系統(tǒng)風(fēng)險分析.........................................................................................................42.1物理安全風(fēng)險分析................................................................................................42.2鏈路層脆弱性分析................................................................................................42.3網(wǎng)絡(luò)層脆弱性分析................................................................................................42.4操作系統(tǒng)的脆弱性分析........................................................................................62.5應(yīng)用層安全風(fēng)險分析............................................................................................62.6管理的安全風(fēng)險分析............................................................................................7第三章系統(tǒng)安全需求.........................................................................................................83.1安全需求說明........................................................................................................83.2系統(tǒng)安全目標(biāo)........................................................................................................9第四章系統(tǒng)安全設(shè)計.......................................................................................................104.1安全設(shè)計原則......................................................................................................104.2安全設(shè)計標(biāo)準(zhǔn)......................................................................................................104.3安全方案..............................................................................................................104.3.1物理安全...................................................................................................114.3.2網(wǎng)絡(luò)安全...................................................................................................124.3.3業(yè)務(wù)應(yīng)用安全...........................................................................................154.3.4安全管理與服務(wù).......................................................................................164.4安全方案特點(diǎn)......................................................................................................16第五章系統(tǒng)安全測試與實(shí)現(xiàn)...........................................................................................175.1系統(tǒng)安全測試......................................................................................................175.2系統(tǒng)安全技術(shù)實(shí)現(xiàn)..............................................................................................19第六章總結(jié).......................................................................................................................23參考文獻(xiàn).............................................................................................................................24謝辭...................................................................................................................................25引言知識經(jīng)濟(jì)時代的到來和信息技術(shù)的飛速發(fā)展，以及全球經(jīng)濟(jì)一體化的加劇，信息傳輸?shù)耐緩皆絹碓揭蕾囉陔娦啪W(wǎng)，尤其是計算機(jī)互聯(lián)網(wǎng)。近十幾年來，信息技術(shù)尤其是計算機(jī)網(wǎng)絡(luò)技術(shù)得到了飛速發(fā)展?；ヂ?lián)網(wǎng)提供的WWW、電子郵件等服務(wù)為人們提供了前所未有的交流便利，把“地球村”的居民緊密地聯(lián)系在一起。在改變?nèi)藗內(nèi)粘Ｉ畹耐瑫r，網(wǎng)絡(luò)技術(shù)對經(jīng)濟(jì)發(fā)展帶來了巨大的沖擊。這種沖擊也帶動了單位系統(tǒng)的信息化建設(shè)向網(wǎng)絡(luò)化快速的發(fā)展，隨著這種發(fā)展的不斷繼續(xù)和升級，各方面對于信息技術(shù)，特別是計算機(jī)網(wǎng)絡(luò)技術(shù)依賴越來越大，有越來越多的重要信息通過網(wǎng)絡(luò)傳遞。然而，凡事“有一利必有一弊”。人們在得益于信息革命帶來的巨大機(jī)遇的同時，不得不面對信息安全問題的嚴(yán)峻考驗(yàn)。信息系統(tǒng)安全，是指為信息處理系統(tǒng)建立所采取的技術(shù)和管理的安全保護(hù)措施，以保護(hù)計算機(jī)系統(tǒng)中的硬件、軟件及數(shù)據(jù)，防止其因偶然或惡意的原因而使系統(tǒng)或信息遭到破壞、更改或泄露。信息系統(tǒng)安全的內(nèi)容包括了計算機(jī)安全技術(shù)、安全管理、安全評價和安全產(chǎn)品、計算機(jī)犯罪與偵察、計算機(jī)安全、安全監(jiān)察，以及計算機(jī)安全理論與策略。信息系統(tǒng)的可靠運(yùn)轉(zhuǎn)是基于通信子網(wǎng)、計算機(jī)硬件和操作系統(tǒng)及各種應(yīng)用軟件等各方面、各層次的良好運(yùn)行。因此，它的風(fēng)險將來自對網(wǎng)絡(luò)的各個關(guān)鍵點(diǎn)可能造成的威脅，這些威脅可能造成總體功能的失效。相對于過去的局域網(wǎng)、主機(jī)環(huán)境、單機(jī)環(huán)境，目前網(wǎng)絡(luò)的規(guī)模龐大，結(jié)構(gòu)復(fù)雜，網(wǎng)絡(luò)上運(yùn)行著各種各樣的主機(jī)和應(yīng)用程序，使用了多種網(wǎng)絡(luò)設(shè)備；同時，由于多種業(yè)務(wù)的需要，又和許多其它網(wǎng)絡(luò)進(jìn)行連按，使安全問題變得越來越復(fù)雜和突出。延邊大學(xué)對信息化建設(shè)極其重視，先后制定了信息化建設(shè)的發(fā)展戰(zhàn)略、總體規(guī)劃、實(shí)施方案以及有關(guān)制度、標(biāo)準(zhǔn)及規(guī)范等。經(jīng)過多年建設(shè)后，已經(jīng)形成了比較完善的校園網(wǎng)，整體結(jié)構(gòu)是一個通過WAN連接的多級LAN網(wǎng)絡(luò)，在網(wǎng)絡(luò)每一級的節(jié)點(diǎn)上具有一個局域網(wǎng)?；谶@種情況，考慮到延邊大學(xué)學(xué)生人數(shù)較多，應(yīng)用系統(tǒng)復(fù)雜，為保障校園網(wǎng)運(yùn)行安全，有必要統(tǒng)一規(guī)劃，設(shè)計一個延邊大學(xué)校園網(wǎng)安全解決方案。本文擬對校園網(wǎng)的安全威脅進(jìn)行分析，基于其安全需求，在研究己有安全體系結(jié)構(gòu)的基礎(chǔ)上，分析信息系統(tǒng)安全特點(diǎn)，根據(jù)延邊大學(xué)校園網(wǎng)的實(shí)際安全要求，提出一個安全解決方案，探討如何保障大學(xué)校園網(wǎng)的應(yīng)用安全。第一章系統(tǒng)概述延邊大學(xué)成立于1949年3月20日，地處有“教育之鄉(xiāng)”美譽(yù)的吉林省延邊朝鮮族自治州首府延吉市，是一所具有鮮明民族特色的綜合性大學(xué)，是國家“211工程”重點(diǎn)建設(shè)大學(xué)、西部開發(fā)重點(diǎn)建設(shè)院校、吉林省和教育部共同重點(diǎn)支持建設(shè)大學(xué)。經(jīng)過幾年的辛苦努力，目前已建成了連接校本部、醫(yī)學(xué)院校區(qū)、藝術(shù)學(xué)院校區(qū)、科技學(xué)院校區(qū)和農(nóng)學(xué)院校區(qū)五個校區(qū)的校園網(wǎng)基礎(chǔ)網(wǎng)絡(luò)，該網(wǎng)絡(luò)覆蓋了五校區(qū)絕大部分的教學(xué)、行政辦公區(qū)域和全部的學(xué)生宿舍。因?yàn)閮蓚€區(qū)域都是為全校的教學(xué)、科研、管理和生活服務(wù)的，所以合稱為校園網(wǎng)。校園網(wǎng)拓?fù)淙鐖D1所示。圖1延邊大學(xué)校園網(wǎng)拓?fù)鋱D從圖１可見，延邊大學(xué)校園網(wǎng)分為校本部、醫(yī)學(xué)院校區(qū)、藝術(shù)學(xué)院校區(qū)、科技學(xué)院校區(qū)和農(nóng)學(xué)院校區(qū)五個大型子網(wǎng)，五個校區(qū)通過神州數(shù)碼DCRS-7608交換機(jī)進(jìn)行連接。利用千兆網(wǎng)絡(luò)防火墻DCFW-1800G實(shí)現(xiàn)了內(nèi)、外網(wǎng)隔離，外網(wǎng)可通過VPN訪問內(nèi)網(wǎng)。校本部由校部教學(xué)辦公區(qū)、校部圖書館區(qū)、校部宿舍區(qū)和信息與網(wǎng)絡(luò)中心組成。教師/學(xué)生通過Cisco7609經(jīng)由網(wǎng)通或教育網(wǎng)接入Internet，同時，通過校園網(wǎng)路由器，教師/學(xué)生也可以直接訪問校園網(wǎng)內(nèi)的資源；網(wǎng)管中心負(fù)責(zé)對整個校園網(wǎng)進(jìn)行監(jiān)測，及時排除故障，確保校園網(wǎng)健康運(yùn)行。在校本部網(wǎng)絡(luò)中，還包括給公眾提供信息服務(wù)（WWW服務(wù)、FTP服務(wù)、E-MAIL服務(wù)等）的局域網(wǎng)。第二章系統(tǒng)風(fēng)險分析一般認(rèn)為，信息系統(tǒng)風(fēng)險是系統(tǒng)脆弱性和/或漏洞，以及以系統(tǒng)為目標(biāo)的威脅的總稱。解決信息系統(tǒng)安全，首先需要了解風(fēng)險來自何處？如何產(chǎn)生？導(dǎo)致什么樣的危害？根據(jù)脆弱性分析和威脅分析的結(jié)果，分析利用這些薄弱環(huán)節(jié)進(jìn)行攻擊的可能性，評估如果攻擊成功所帶來的后果，根據(jù)涉密信息系統(tǒng)所能承受風(fēng)險確定涉密信息系統(tǒng)的防護(hù)重點(diǎn)。延邊大學(xué)校園網(wǎng)是一套以TCP/IP協(xié)議為架構(gòu)的大型局域網(wǎng)，TCP/IP系統(tǒng)實(shí)際上由物理層、鏈路層、網(wǎng)絡(luò)層、傳輸層和應(yīng)用層構(gòu)成，每一層既為通信服務(wù)，同時也是風(fēng)險點(diǎn)。其次，應(yīng)用層軟件在操作系統(tǒng)之上運(yùn)行，作為整個計算機(jī)系統(tǒng)的基礎(chǔ)，操作系統(tǒng)與風(fēng)險的發(fā)生密切相關(guān)。最后，安全管理機(jī)制和對網(wǎng)絡(luò)安全政策及防護(hù)意識的認(rèn)識不足所帶來的風(fēng)險也不容忽視。下面從物理層安全、鏈路層安全、網(wǎng)絡(luò)層安全、操作系統(tǒng)安全、應(yīng)用層安全及管理安全進(jìn)行分類描述：[2]2.1物理安全風(fēng)險分析網(wǎng)絡(luò)物理安全是整個網(wǎng)絡(luò)系統(tǒng)安全的前提，包括環(huán)境安全、設(shè)備安全和介質(zhì)安全。對于延邊大學(xué)校園網(wǎng)而言，物理安全風(fēng)險可能導(dǎo)致網(wǎng)絡(luò)平臺或網(wǎng)絡(luò)內(nèi)數(shù)據(jù)資源的損毀，主要表現(xiàn)在如下幾個方面：●地震、水災(zāi)、火災(zāi)等環(huán)境事故造成整個系統(tǒng)毀滅；●電源故障造成設(shè)備斷電以至操作系統(tǒng)引導(dǎo)失敗或數(shù)據(jù)庫信息丟失；●設(shè)備被盜、被毀造成數(shù)據(jù)丟失或信息泄漏；●電磁輻射可能造成數(shù)據(jù)信息被竊取或偷閱；●報警系統(tǒng)的設(shè)計不足可能造成原本可以防止但實(shí)際發(fā)生了的事故。2.2鏈路層脆弱性分析鏈路層的脆弱性主要體現(xiàn)在兩個方面：(1)LAN內(nèi)部的嗅探。通過嗅探，攻擊者可以通過網(wǎng)卡獲取所在LAN內(nèi)傳輸?shù)拿魑臄?shù)據(jù)，再通過數(shù)據(jù)解析/還原，可以竊取LAN內(nèi)的通信信息；(2)基于ARP協(xié)議的欺騙。通過偽造ARP數(shù)據(jù)包，可以干擾LAN的正常通信，影響或破壞LAN的使用。2.3網(wǎng)絡(luò)層脆弱性分析延邊大學(xué)校園網(wǎng)是基于TCP/IP協(xié)議的網(wǎng)絡(luò)，由于TCP/IP協(xié)議最初并非基于安全系統(tǒng)而設(shè)計，在安全上有先天不足，使整個計算機(jī)網(wǎng)絡(luò)在網(wǎng)絡(luò)層可能受到以下幾方面的安全威脅。(1)明文傳輸所面臨的威脅當(dāng)在一個以太網(wǎng)上傳輸數(shù)據(jù)時，同一個子網(wǎng)的每個網(wǎng)絡(luò)設(shè)備都會收到這個包，因此數(shù)據(jù)信息很容易被在線竊聽。最關(guān)鍵的是TCP/IP網(wǎng)絡(luò)上的數(shù)據(jù)傳輸都是采用明文的方式進(jìn)行傳輸，特別是在使用FTP、Telnet或電子郵件時，用戶的帳號和口令都沒有加密，攻擊者很容易從截取的數(shù)據(jù)包中獲得用戶帳號和口令，達(dá)到非法訪問的目的。如果，獲得其它一些關(guān)鍵帳號和口令，對系統(tǒng)造成更大的危害。(2)IP地址欺騙/假冒TCP/IP協(xié)議是采用IP地址來作為網(wǎng)絡(luò)節(jié)點(diǎn)的唯一標(biāo)識，但是節(jié)點(diǎn)的IP地址又是不固定的，是一個公共數(shù)據(jù)，因此攻擊者可以直接修改節(jié)點(diǎn)的IP地址，冒充某個可信節(jié)點(diǎn)的IP地址，進(jìn)行攻擊。IP地址欺騙/假冒在校園網(wǎng)中更為突出，因?yàn)槭褂眯@網(wǎng)的主要生力軍是大學(xué)生，學(xué)生數(shù)量多，冒險意識強(qiáng)，IP地址欺騙/假冒的現(xiàn)象出現(xiàn)的比較多，對校園網(wǎng)正常的通信秩序構(gòu)成威脅。(3)源地址路由欺騙TCP/IP協(xié)議中，IP數(shù)據(jù)包設(shè)置了一個選項(xiàng)—IPSourceRouting，該選項(xiàng)可以由發(fā)送方直接指明達(dá)到節(jié)點(diǎn)的路由。攻擊者可以冒充某個可信節(jié)點(diǎn)的IP地址，構(gòu)造一個通往某個服務(wù)的直接路徑和返回的路徑，利用可信用戶作為通往服務(wù)器的路由中的最后一站，就可以非法和服務(wù)器建立連接，對其進(jìn)行攻擊。(4)端口掃描威脅在TCP/IP網(wǎng)絡(luò)中，所有的網(wǎng)絡(luò)服務(wù)都通過一個端口向外提供服務(wù)，客戶端在連接這些端口時，TCP/IP在網(wǎng)絡(luò)層和傳輸層都不對這些連接請求進(jìn)行身份驗(yàn)證，而且在任何狀態(tài)下都會返回應(yīng)答數(shù)據(jù)包。因此，攻擊者很容易通過連接所有端口的結(jié)果獲得目標(biāo)主機(jī)上存在那些服務(wù)，然后在根據(jù)服務(wù)本身的漏洞進(jìn)行進(jìn)一步的攻擊。(5)TCP序列號欺騙由于TCP序列號可以預(yù)測，因此攻擊者可以構(gòu)造一個TCP包序列，這種方式可以用于擾亂正常的通信，也可以用于偽造、篡改通信的數(shù)據(jù)，甚至可以用于接管一個己經(jīng)通過身份認(rèn)證的會話連接，以對某個目標(biāo)進(jìn)行攻擊。(6)TCP同步轟炸TCP是一個面向連接、可靠的傳輸層協(xié)議，通信雙方必須通過一個三次握手方式建立一條連接，即SYN，SYN+ACK和ACK三個協(xié)議數(shù)據(jù)包。如果連接請求方偽造一個不存在的IP源地址發(fā)送SYN數(shù)據(jù)包請求連接，目標(biāo)主機(jī)將無法將SYN+ACK包回送到[3]這個實(shí)際上不存在的IP地址，最終只能等待超時，而這會長時間占用系統(tǒng)的資源。如果攻擊者連續(xù)地發(fā)送這種數(shù)據(jù)包，目標(biāo)主機(jī)最終將資源耗盡，導(dǎo)致死機(jī)。2.4操作系統(tǒng)的脆弱性分析操作系統(tǒng)安全是指網(wǎng)絡(luò)操作系統(tǒng)及其提供服務(wù)的安全。目前的操作系統(tǒng)無論是Windows、Linux還是其它商用UNIX操作系統(tǒng)，由于整體設(shè)計的缺陷和其軟件代碼的巨大開發(fā)規(guī)模，系統(tǒng)本身存在安全漏洞也在所難免。這些安全漏洞都將存在重大安全隱患。WindowsNT/2000和Unix雖都屬于C2級安全操作系統(tǒng)[4]，擁有用戶標(biāo)識、身份認(rèn)證、存儲控制和審計跟蹤等功能，但是，即使在不考慮產(chǎn)品代碼本身存在漏洞的情況下，這些安全體系仍然漏洞百出，非常容易被攻擊。(1)配置不當(dāng)系統(tǒng)的安全程度與系統(tǒng)配置有很大關(guān)系，用戶如果沒有采用適當(dāng)?shù)南到y(tǒng)配置將產(chǎn)生很大的安全隱患。例如，沒有設(shè)置用戶口令或者口令強(qiáng)度不夠；重要文件的權(quán)限限制過寬；有意、無意把硬盤中重要信息目錄共享，長期暴露在網(wǎng)絡(luò)上。(2)系統(tǒng)服務(wù)操作系統(tǒng)對外提供的一些網(wǎng)絡(luò)服務(wù)，如RPC服務(wù)、Daemon進(jìn)程，為入侵者的攻擊提供了一些有用的系統(tǒng)信息，入侵者也可能通過這些服務(wù)存在的漏洞獲得系統(tǒng)的訪問權(quán)限，甚至是超級用戶的控制權(quán)，從而進(jìn)一步實(shí)現(xiàn)攻擊目的。(3)病毒病毒是針對操作系統(tǒng)在體系結(jié)構(gòu)的一些特點(diǎn)而設(shè)計的可執(zhí)行程序，存在于Windows，Unix，Netware等各種平臺之上，具有隱蔽性、傳播快、可復(fù)制、破壞力強(qiáng)等特點(diǎn)。病毒程序可以通過網(wǎng)上下載、電子郵件、使用盜版光盤或軟盤、人為投放等傳播途徑潛入內(nèi)部網(wǎng)。病毒的危害不容忽視，網(wǎng)絡(luò)中一旦有一臺主機(jī)受病毒感染，則病毒程序就完全可能在極短的時間內(nèi)迅速擴(kuò)散，傳播到網(wǎng)絡(luò)上的所有主機(jī)，造成信息泄漏、文件丟失、機(jī)器死機(jī)等不安全因素。2.5應(yīng)用層安全風(fēng)險分析延邊大學(xué)校園網(wǎng)校本部網(wǎng)絡(luò)內(nèi)有提供公眾信息服務(wù)的服務(wù)器，如WWW服務(wù)、FTP服務(wù)、E-MAlL服務(wù)等。和操作系統(tǒng)提供的系統(tǒng)服務(wù)一樣，這些應(yīng)用服務(wù)如果存在漏洞也會給系統(tǒng)的安全帶來極大的隱患。(1)WWW服務(wù)作為延邊大學(xué)宣傳的重要窗口，WWW服務(wù)扮演了重要的角色。如果WWW服務(wù)器存在漏洞，可能造成的危害有：(a)攻擊者非法篡改延邊大學(xué)WWW頁面；(b)攻擊者通過DoS技術(shù)攻擊WWW服務(wù)器，干擾其正常運(yùn)行。(2)電子郵件服務(wù)電子郵件服務(wù)給人們提供了一種便宜、方便和快捷的服務(wù)，如果E-MAIL服務(wù)器存在漏洞，攻擊者可以利用這些漏洞控制E-MIAL服務(wù)器，這將給使用E-MAIL服務(wù)器的用戶構(gòu)成極大的威脅。(3)FTP服務(wù)FTP服務(wù)用于傳輸文件。如果使用了匿名FTP服務(wù)，就不需要口令，這時，匿名FTP服務(wù)的安全很大程度上決定于一個系統(tǒng)管理員的水平，一個低水平的系統(tǒng)管理員很可能會錯誤配置權(quán)限，從而被黑客利用而破壞整個系統(tǒng)?；蛘?，如果提供FTP服務(wù)的軟件存在漏洞，則也存在安全風(fēng)險。(4)數(shù)據(jù)庫服務(wù)無論在校本部網(wǎng)管中心、各教學(xué)單位或行政辦公網(wǎng)絡(luò)中，都存在數(shù)據(jù)庫管理服務(wù)器。如果數(shù)據(jù)庫服務(wù)器存在安全漏洞(如：空口令等)，攻擊者可以利用這些漏洞，控制數(shù)據(jù)庫服務(wù)器，從而獲取數(shù)據(jù)庫中保存的信息，引起信息泄露。2.6管理的安全風(fēng)險分析管理是信息網(wǎng)絡(luò)中安全最重要的部分。責(zé)權(quán)不明，管理混亂、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的風(fēng)險，主在體現(xiàn)在以下幾點(diǎn)：●內(nèi)部管理人員或員工把內(nèi)部網(wǎng)絡(luò)結(jié)構(gòu)、管理員用戶名及口令以及系統(tǒng)的一些重要信息傳播給外人帶來信息泄漏風(fēng)險?！駲C(jī)房出入管理不嚴(yán)格，使入侵者能夠接近重要設(shè)備而帶來信息安全風(fēng)險?！裥膽巡粷M的內(nèi)部員工，由于熟悉服務(wù)器、小程序、腳本和系統(tǒng)的弱點(diǎn)，進(jìn)行如復(fù)制、刪除數(shù)據(jù)等非法數(shù)據(jù)操作，造成極大的安全風(fēng)險?！癞?dāng)網(wǎng)絡(luò)出現(xiàn)攻擊行為或網(wǎng)絡(luò)受到其它一些安全威脅時(如內(nèi)部人員的違規(guī)操作等)，無法進(jìn)行實(shí)時的檢測、監(jiān)控、報告與預(yù)警。同時，當(dāng)事故發(fā)生后，也無法提供攻擊者攻擊行為的追蹤線索及破案依據(jù)，即缺乏對網(wǎng)絡(luò)的可控性與可審查性。建立全新網(wǎng)絡(luò)安全機(jī)制，必須深刻理解網(wǎng)絡(luò)并能提供直接的解決方案，因此，最可行的做法是管理制度和管理解決方案的結(jié)合。第三章系統(tǒng)安全需求3.1安全需求說明通過對延邊大學(xué)校園網(wǎng)的調(diào)研、分析，延邊大學(xué)校園網(wǎng)的安全需求具體體現(xiàn)在以下幾個方面：(1)用戶安全用戶安全分成兩個層次的安全，一是管理員層用戶安全，二是業(yè)務(wù)層用戶安全?！窆芾韱T層用戶擁有延邊大學(xué)校園網(wǎng)的最高執(zhí)行權(quán)力，因此對信息系統(tǒng)安個負(fù)有最大的執(zhí)行責(zé)任。為此要求信息系統(tǒng)管理員人選必須具有忠于國家、忠于職守的良好政治素質(zhì)以及精通網(wǎng)絡(luò)信息系統(tǒng)安全技術(shù)和管理的精湛業(yè)務(wù)素質(zhì)；●對管理員層用戶必須有可操作的嚴(yán)格的行為規(guī)范約束，對涉及延邊大學(xué)校園網(wǎng)安全策略配置、調(diào)整，審計信息調(diào)閱等重要操作，應(yīng)實(shí)行多人參與措施；●業(yè)務(wù)層用戶必須在管理員分配的權(quán)限內(nèi)使用延邊大學(xué)校園網(wǎng)資源和進(jìn)行操作，嚴(yán)禁超越權(quán)限使用系統(tǒng)資源，嚴(yán)禁利用合法權(quán)限從事與本職業(yè)務(wù)工作無關(guān)的操作，嚴(yán)禁泄露和轉(zhuǎn)讓合法權(quán)限。(2)網(wǎng)絡(luò)平臺安全網(wǎng)絡(luò)平臺安全包括基礎(chǔ)設(shè)施安全和網(wǎng)絡(luò)安全兩部分。1)基礎(chǔ)設(shè)施安全●物理環(huán)境及物理保障安全(機(jī)房條件/電磁輻射控制與防護(hù)/電力供應(yīng)及應(yīng)急措施/防災(zāi)難措施/介質(zhì)存貯場地安全/災(zāi)難恢復(fù)措施等)；●硬件設(shè)施自身的物理、機(jī)械安全；●對專用業(yè)務(wù)子網(wǎng)提供電子門禁系統(tǒng)，對出入人員進(jìn)行控制和記錄。2)網(wǎng)絡(luò)安全●校園網(wǎng)本部網(wǎng)絡(luò)與教育網(wǎng)的網(wǎng)絡(luò)連接安全：需要在連接處，對進(jìn)/出的數(shù)據(jù)包進(jìn)行訪問控制與隔離，重點(diǎn)對源地址為教育網(wǎng)，而目的地址為延邊大學(xué)校園網(wǎng)的數(shù)據(jù)包進(jìn)行嚴(yán)格的控制；●校園網(wǎng)本部網(wǎng)絡(luò)與其他校區(qū)網(wǎng)絡(luò)的網(wǎng)絡(luò)連接安全；●校園網(wǎng)本部網(wǎng)絡(luò)中，學(xué)生宿舍網(wǎng)絡(luò)與其他網(wǎng)絡(luò)的網(wǎng)絡(luò)連接安全；●校園網(wǎng)本部網(wǎng)絡(luò)中，教學(xué)行政單位網(wǎng)絡(luò)與其他網(wǎng)絡(luò)的網(wǎng)絡(luò)連接安全；●校園網(wǎng)本部網(wǎng)絡(luò)中，網(wǎng)管中心網(wǎng)絡(luò)與其他網(wǎng)絡(luò)的網(wǎng)絡(luò)連接安全；●校園網(wǎng)本部網(wǎng)絡(luò)中，公眾服務(wù)器所在網(wǎng)絡(luò)與其他網(wǎng)絡(luò)的網(wǎng)絡(luò)連接安全；●各專用業(yè)務(wù)子網(wǎng)的安全：按信息敏感程度，將各教學(xué)單位網(wǎng)絡(luò)和行政辦公網(wǎng)絡(luò)[5]劃分為多個子網(wǎng)，如：專用業(yè)務(wù)子網(wǎng)(財務(wù)處、組織部、人事處、教務(wù)處等)和普通子網(wǎng)，對各專用業(yè)務(wù)子網(wǎng)提供網(wǎng)絡(luò)連接控制?！駥W(xué)生宿舍區(qū)網(wǎng)絡(luò)內(nèi)的IP地址假冒或欺騙防范。(3)傳輸安全數(shù)據(jù)傳輸安全包括：●校園網(wǎng)本部網(wǎng)絡(luò)與其他校區(qū)網(wǎng)絡(luò)的數(shù)據(jù)傳輸安全；(4)應(yīng)用環(huán)境安全對一些專用業(yè)務(wù)子網(wǎng)(財務(wù)處、組織部、人事處、教務(wù)處等)，由于保存有敏感信息，必須確保應(yīng)用安全。包括：●防病毒；●數(shù)據(jù)備份與災(zāi)難恢復(fù)；●規(guī)范網(wǎng)絡(luò)通信秩序；(5)組織管理安全組織管理安全是信息系統(tǒng)安全的重要部分[６]。根據(jù)《中華人民共和國計算機(jī)信息系統(tǒng)安全保護(hù)條例》規(guī)定，結(jié)合延邊大學(xué)校園網(wǎng)的安全要求，自上而下建立與網(wǎng)絡(luò)層級相應(yīng)的安全管理機(jī)構(gòu)，全面負(fù)責(zé)延邊大學(xué)校園網(wǎng)的安全。安全管理機(jī)構(gòu)實(shí)行上級對下級的權(quán)威制。3.2系統(tǒng)安全目標(biāo)本網(wǎng)絡(luò)安全設(shè)計方案要滿足以下網(wǎng)絡(luò)安全目標(biāo)：(1)確保延邊大學(xué)校園網(wǎng)校本部網(wǎng)絡(luò)與教育網(wǎng)互連的安全，并必須能防范來自外部的各種形式的攻擊，提供公共信息服務(wù)的服務(wù)器能可靠運(yùn)行。(2)確保延邊大學(xué)校園網(wǎng)校本部與其他校區(qū)網(wǎng)絡(luò)之間的通信安全，數(shù)據(jù)在交換過程中保持完整、真實(shí)、可用，不被非法泄露；(3)確保教學(xué)單位網(wǎng)絡(luò)和行政辦公網(wǎng)絡(luò)的可靠運(yùn)行；(4)確保教學(xué)單位網(wǎng)絡(luò)和行政辦公網(wǎng)絡(luò)中的專用業(yè)務(wù)子網(wǎng)的安全，確保敏感信息不會被泄露；(5)對安全相關(guān)的所有事件，各個安全子系統(tǒng)都能進(jìn)行完整的記錄，并可用于特定的安全審計；(6)建立安全保障體系后，能確保整個網(wǎng)絡(luò)系統(tǒng)的穩(wěn)定、安全運(yùn)行。第四章系統(tǒng)安全設(shè)計4.1安全設(shè)計原則延邊大學(xué)校園網(wǎng)安全方案設(shè)計，遵循以下原則：(1)適度安全原則在安全策略制定上，要盡量考慮安全機(jī)制的合理性，對重點(diǎn)信息資源，一定要實(shí)現(xiàn)重點(diǎn)保護(hù)。在保證安全的前提下，應(yīng)盡量減少安全機(jī)制的規(guī)模和復(fù)雜性，使之具有可操作性，避免因過于復(fù)雜而導(dǎo)致安全措施難以執(zhí)行。(2)經(jīng)濟(jì)合理性原則信息系統(tǒng)的安全保密建設(shè)要以實(shí)際安全保密需求作為設(shè)計依據(jù)，在不影響安全保密效果的前提下，在安全保密方案的制訂、產(chǎn)品及技術(shù)選型、服務(wù)等方面都應(yīng)盡可能體現(xiàn)經(jīng)濟(jì)性原則，特別加強(qiáng)對安全保密重點(diǎn)部位的保護(hù)，使有限的資源發(fā)揮重要的作用，使最小的投入獲取最大的效益。(3)保障系統(tǒng)運(yùn)行性能原則信息系統(tǒng)安全保密建設(shè)的目的是保證網(wǎng)絡(luò)系統(tǒng)的安全運(yùn)行，應(yīng)當(dāng)最大限度地服務(wù)于系統(tǒng)業(yè)務(wù)的高效運(yùn)行，要最大限度保護(hù)系統(tǒng)的可靠性、穩(wěn)定性、可用性；保證數(shù)據(jù)流動的真實(shí)性；保證訪問者身份的真實(shí)性；保證數(shù)據(jù)交互和訪問的合法性。(4)系統(tǒng)可擴(kuò)展性原則隨著技術(shù)發(fā)展和網(wǎng)絡(luò)應(yīng)用的開展，延邊大學(xué)校園網(wǎng)系統(tǒng)必然面臨著不斷改進(jìn)、擴(kuò)展的需求。因而，在延邊大學(xué)校園網(wǎng)安全建設(shè)過程中，必須考慮到信息系統(tǒng)應(yīng)用及安全需求的擴(kuò)展，安全系統(tǒng)應(yīng)具有較強(qiáng)的擴(kuò)充、升級兼容能力，以滿足系統(tǒng)業(yè)務(wù)高速發(fā)展的需要。4.2安全設(shè)計標(biāo)準(zhǔn)設(shè)計延邊大學(xué)校園網(wǎng)安全方案時遵循如下一些標(biāo)準(zhǔn)和法規(guī)[７]：●國家標(biāo)準(zhǔn)GB17859-1999《計算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則》●國家標(biāo)準(zhǔn)GB9361-1988《計算機(jī)場地安全要求》●國務(wù)院令147號《中華人民共和國計算機(jī)信息系統(tǒng)安全保護(hù)條例》●國家保密局文件《計算機(jī)信息系統(tǒng)保密管理暫行規(guī)定》(國保發(fā)[1998]1號)4.3安全方案基于延邊大學(xué)校園網(wǎng)的安全需求和安全目標(biāo)，提出安全方案，包括：物理安全、網(wǎng)絡(luò)安全、業(yè)務(wù)應(yīng)用安全和安全管理四個層次，其完整配置示意圖如圖2所示：圖２延邊大學(xué)校園網(wǎng)安全設(shè)備配置圖下面詳細(xì)描述安全方案。4.3.1物理安全物理安全是保護(hù)計算機(jī)網(wǎng)絡(luò)設(shè)備、設(shè)施以及其它媒體免遭地震、水災(zāi)、火災(zāi)等環(huán)境事故以及人為操作失誤或錯誤及各種計算機(jī)犯罪行為導(dǎo)致的破壞過程。保證延邊大學(xué)校園網(wǎng)各種設(shè)備的物理安全是實(shí)現(xiàn)系統(tǒng)安全控制的前提。物理安全包括通信線路的安全，物理設(shè)備的安全，機(jī)房環(huán)境的安全：(1)通信線路的安全學(xué)校保衛(wèi)處要負(fù)責(zé)組織校園巡邏隊(duì)對校園進(jìn)行24小時巡邏，防止通信線路被竊取。(2)物理設(shè)備安全主要包括：設(shè)備防盜、防毀、防電磁信息輻射泄漏、抗電磁干擾等。(3)機(jī)房環(huán)境安全機(jī)房、監(jiān)控等場地設(shè)施和環(huán)境安全設(shè)計：必須符合國家標(biāo)準(zhǔn)并滿足應(yīng)用系統(tǒng)24小時不間斷運(yùn)行的特殊要求。機(jī)房的位置應(yīng)力求減少無關(guān)人員進(jìn)入的機(jī)會，設(shè)備的位置遠(yuǎn)離主要通道，同時，機(jī)房的窗戶也應(yīng)避免直接面臨街道。另外還需提供如供配電系統(tǒng)、防雷接地系統(tǒng)、消防報警及自動滅火系統(tǒng)、門禁系統(tǒng)和保安監(jiān)控系統(tǒng)等安全設(shè)計。4.3.2網(wǎng)絡(luò)安全延邊大學(xué)校園網(wǎng)的網(wǎng)絡(luò)安全重點(diǎn)解決網(wǎng)絡(luò)層和傳輸層的通信安全，它包括三個層次：不同局域網(wǎng)之間的隔離與訪問控制、公共網(wǎng)絡(luò)上的數(shù)據(jù)傳輸安全和網(wǎng)絡(luò)入侵檢測系統(tǒng)。隔離與訪問控制基于網(wǎng)絡(luò)安全的需求，在延邊大學(xué)校園網(wǎng)的部分網(wǎng)絡(luò)邊界處采用防火墻(FireWall)技術(shù)來實(shí)現(xiàn)隔離與訪問控制。防火墻實(shí)質(zhì)上就是一種隔離控制技術(shù)，它要求內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間的所有數(shù)據(jù)或者信息交換都必須經(jīng)過防火墻，并且只有被允許通過的數(shù)據(jù)或信息才能穿越防火墻。防火墻自身應(yīng)具有非常強(qiáng)的抗攻擊免疫力，能夠記錄有關(guān)連接的信息以及試圖闖入者的任何企圖，方便管理員進(jìn)行監(jiān)測和跟蹤。在延邊大學(xué)校園網(wǎng)系統(tǒng)中配置防火墻的示意圖如圖3所示：圖3延邊大學(xué)防火墻配置示意圖由圖3可見，在中心交換機(jī)連接學(xué)生宿舍網(wǎng)絡(luò)、教學(xué)辦公網(wǎng)絡(luò)、圖書館網(wǎng)絡(luò)和服務(wù)器群網(wǎng)絡(luò)４個接口處，配置防火墻，對４個網(wǎng)絡(luò)進(jìn)行隔離并對進(jìn)/出的數(shù)據(jù)進(jìn)行訪問控制。通過對教學(xué)行政網(wǎng)絡(luò)提供保護(hù)，防止攻擊者對教學(xué)和辦公網(wǎng)絡(luò)進(jìn)行騷擾破壞。在學(xué)生宿舍區(qū)進(jìn)行隔離可防止學(xué)生在宿舍對其他網(wǎng)絡(luò)內(nèi)的資源進(jìn)行越權(quán)操作。原有的神州數(shù)碼DCFW-1800G防火墻的存在，隔離公眾服務(wù)器，對進(jìn)入公眾服務(wù)器的所有數(shù)據(jù)包進(jìn)行嚴(yán)格控制，防止攻擊者攻擊服務(wù)器從而破壞或影響服務(wù)器的可用性。網(wǎng)絡(luò)傳輸安全延邊大學(xué)校本部網(wǎng)絡(luò)與其他校區(qū)網(wǎng)絡(luò)之間是通過專線連接起來的，當(dāng)這五個大型局域網(wǎng)通過專線交互數(shù)據(jù)時，面臨的安全威脅有：(1)如何防范惡意攻擊？(2)如何確保數(shù)據(jù)在專線上傳輸時的安全性？可以采用的安全技術(shù)是VPN技術(shù)。VPN是英文VirtualPrivateNetwork的縮寫，中文意思為虛擬專用網(wǎng)絡(luò)或虛擬私有網(wǎng)絡(luò)。VPN通過共享公共通信基礎(chǔ)設(shè)施為用戶提供網(wǎng)絡(luò)連接，當(dāng)一個組織機(jī)構(gòu)利用這種虛擬連接技術(shù)組成自己的“專用”網(wǎng)絡(luò)時，在這個專用網(wǎng)絡(luò)內(nèi)，所有用戶共享相同的安全性、優(yōu)先權(quán)服務(wù)、可靠性和可管理性策略。VPN技術(shù)采用隧道技術(shù)和特殊配置技術(shù)措施，仿真點(diǎn)到點(diǎn)的連接。簡潔地說，VPN是一種利用公共通信網(wǎng)絡(luò)(設(shè)施)的組網(wǎng)技術(shù)，提供了某種程度的通信保密性和虛擬性，通常與鑒別認(rèn)證、訪問控制和密碼技術(shù)等集成在一起組成安全VPN系統(tǒng)。換句話說，就是使用已有的公共設(shè)施，通過一定的安全措施和策略，讓用戶感到自己是在使用專有的、獨(dú)享的和安全的服務(wù)。由于VPN是一種利用公共網(wǎng)絡(luò)基礎(chǔ)設(shè)施的網(wǎng)絡(luò)虛擬連接技術(shù)，也存在傳輸數(shù)據(jù)的公開性和傳輸通道的暴露性，因此VPN并不等于安全，如果能找到一種VPN方法，既能保證傳輸數(shù)據(jù)的不可理解性，又能保證傳輸通道的隱秘性，同時對傳輸?shù)臄?shù)據(jù)具有完整性校驗(yàn)機(jī)制，這樣的VPN才是安全的VPN?；贗PSec的ESP(封裝安全載荷協(xié)議，EncapsulatingSecurityPayload)封裝的加密隧道構(gòu)成的VPN就是安全VPN之一。IPSec是IPsecurity的通俗寫法，其意為互聯(lián)網(wǎng)絡(luò)協(xié)議安全。IPSec是由網(wǎng)際工程任務(wù)組(IETF)下屬的一個IPSec工作組起草的，在IP協(xié)議層上保證數(shù)據(jù)分組在Internet網(wǎng)絡(luò)中具有互操作性、高可靠性和基于密碼技術(shù)的安全服務(wù)標(biāo)準(zhǔn)。IPSec為IP網(wǎng)絡(luò)通信提供透明的安全服務(wù)，保護(hù)TCP/IP通信免遭竊聽和篡改，可有效抵御網(wǎng)絡(luò)攻擊。IPSec通過認(rèn)證、數(shù)據(jù)完整以及機(jī)密性這三種不同的形式來保護(hù)通過外部網(wǎng)絡(luò)或內(nèi)部網(wǎng)絡(luò)之間傳送的數(shù)據(jù)和信息，彌補(bǔ)了由于TCP/IP協(xié)議體系自身帶來的安全漏洞。IPSec有兩個基本目標(biāo)：保護(hù)IP數(shù)據(jù)包安全、為抵御網(wǎng)絡(luò)攻擊提供防護(hù)措施[８]。在延邊大學(xué)校園網(wǎng)中配置VPN系統(tǒng)的示意圖如圖４所示：圖４延邊大學(xué)校園網(wǎng)中配置VPN示意圖在中心交換機(jī)和四個分校區(qū)的網(wǎng)絡(luò)通信線路上配置VPN網(wǎng)關(guān)，在中心交換機(jī)上安裝VPN管理器。通過VPN網(wǎng)關(guān)，可以在專線上構(gòu)建安全通道，對通信數(shù)據(jù)提供安全保護(hù)；同時，VPN網(wǎng)關(guān)還能起到網(wǎng)絡(luò)隔離作用，如果有攻擊者預(yù)借助專線接入延邊大學(xué)校園網(wǎng)，由于其訪問數(shù)據(jù)不能走安全通道，因而VPN網(wǎng)關(guān)可以對來自非安全通道內(nèi)的數(shù)據(jù)自動進(jìn)行過濾，阻止非法數(shù)據(jù)通信，保證通信數(shù)據(jù)安全。網(wǎng)絡(luò)入侵檢測系統(tǒng)入侵檢測系統(tǒng)(IntrusionDetectionSystem)，簡稱IDS，用于對入侵行為進(jìn)行識別，它通過從計算機(jī)網(wǎng)絡(luò)或計算機(jī)系統(tǒng)的關(guān)鍵點(diǎn)收集信息并進(jìn)行分析，從中發(fā)現(xiàn)網(wǎng)絡(luò)或系統(tǒng)中是否有違反安全策略的行為和被攻擊的跡象。網(wǎng)絡(luò)入侵檢測系統(tǒng)NIDS主要由兩部分組成，控制中心和探測引擎?？刂浦行氖钦麄€網(wǎng)絡(luò)預(yù)警監(jiān)控系統(tǒng)的集中顯示和控制軟件系統(tǒng)，它負(fù)責(zé)接收分布在TCP/IP網(wǎng)絡(luò)上的探測引擎?zhèn)魉偷木W(wǎng)絡(luò)預(yù)警信息，處理這些信息，并提供報警顯示，同時它還要負(fù)責(zé)控制探測器系統(tǒng)的運(yùn)行狀態(tài)，提供對預(yù)警信息的記錄和檢索、統(tǒng)計功能。探測引擎實(shí)際是入侵檢測系統(tǒng)運(yùn)行的核心，它監(jiān)聽該引擎所在的物理網(wǎng)絡(luò)上的所有通信信息，分析這些網(wǎng)絡(luò)通信信息，將分析結(jié)果與探測引擎上運(yùn)行的策略集相匹配，依照匹配結(jié)果對網(wǎng)絡(luò)信息的交換執(zhí)行報警、阻斷、日志等功能。同時它還需要完成對控制中心指令的接收和響應(yīng)工作。探測引擎是由策略驅(qū)動的網(wǎng)絡(luò)監(jiān)聽和分析系統(tǒng)。但大多數(shù)NIDS只報告是否有攻擊行為發(fā)生，而不報告攻擊是否成功，這就需要安全管理員手工檢查受攻擊的主機(jī)，以確定主機(jī)是否被入侵。在延邊大學(xué)校園網(wǎng)中配置網(wǎng)絡(luò)入侵檢測系統(tǒng)的示意圖如圖5所示：[８]圖5延邊大學(xué)校園網(wǎng)中配置IDS示意圖由圖5可見，IDS配置在兩個地方：(1)校園網(wǎng)和外網(wǎng)的連接處：用于對進(jìn)/出外網(wǎng)的數(shù)據(jù)進(jìn)行監(jiān)視，既監(jiān)測并阻斷來自外網(wǎng)對延邊大學(xué)校園網(wǎng)的攻擊，同時又監(jiān)測并阻斷延邊大學(xué)校園網(wǎng)內(nèi)用戶對外網(wǎng)的攻擊數(shù)據(jù)包；(2)學(xué)生宿舍網(wǎng)絡(luò)和校園網(wǎng)中心交換機(jī)的連接處：學(xué)生是校園網(wǎng)的主要使用者，但鑒于大學(xué)生思維活躍，有一定的冒險意識，所以必須對其的網(wǎng)絡(luò)行為進(jìn)行必要的控制，在學(xué)生宿舍網(wǎng)絡(luò)接入校園網(wǎng)的入口配置IDS，可以實(shí)時監(jiān)測學(xué)生對校園網(wǎng)資源訪問時的數(shù)據(jù)包，防止惡意數(shù)據(jù)包對校園網(wǎng)通信秩序的破壞。4.3.3業(yè)務(wù)應(yīng)用安全業(yè)務(wù)應(yīng)用安全是確保延邊大學(xué)校園網(wǎng)內(nèi)各業(yè)務(wù)應(yīng)用系統(tǒng)(如：教務(wù)處業(yè)務(wù)、財務(wù)處業(yè)務(wù)、人事處業(yè)務(wù)、組織部業(yè)務(wù)等)的安全，確保各業(yè)務(wù)系統(tǒng)網(wǎng)絡(luò)健康、可靠的運(yùn)行。業(yè)務(wù)應(yīng)用安全包括四個層次：業(yè)務(wù)系統(tǒng)內(nèi)操作系統(tǒng)安全配置、針對重要服務(wù)器的數(shù)據(jù)備份與災(zāi)難恢復(fù)、辦公機(jī)器的病毒防護(hù)、在專用業(yè)務(wù)子網(wǎng)內(nèi)構(gòu)建主機(jī)資源監(jiān)控與審計系統(tǒng)。鑒于學(xué)校各業(yè)務(wù)系統(tǒng)中的辦公用機(jī)都是用windows操作系統(tǒng)，由于很大一部分比例教師不是學(xué)計算機(jī)專業(yè)，因此從軟件角度來看，確保信息系統(tǒng)安全的第一要事便是采取措施保證操作系統(tǒng)配置安全。操作系統(tǒng)的安全主要包括以下幾個方面的內(nèi)容：口令的安全和操作系統(tǒng)所提供的服務(wù)的安全(如資源共享權(quán)限）。另外為保證校園網(wǎng)專用業(yè)務(wù)系統(tǒng)關(guān)鍵數(shù)據(jù)的安全性和應(yīng)用業(yè)務(wù)不間斷性，有必要提供全方位數(shù)據(jù)安全存儲備份和災(zāi)難恢復(fù)解決方案。理想的備份系統(tǒng)應(yīng)該盡量滿足全方位、多層次的要求。依靠硬件備份防止物理性故障，在此基礎(chǔ)上用軟件方式和人工結(jié)合的方式解決因軟件包或誤操作造成的數(shù)據(jù)邏輯性破壞，從而構(gòu)成多級防護(hù)。另外各骨干節(jié)點(diǎn)備份與其相連的網(wǎng)絡(luò)內(nèi)的所有需要備份的數(shù)據(jù)，這樣所有節(jié)點(diǎn)的數(shù)據(jù)都實(shí)現(xiàn)了異地網(wǎng)絡(luò)備份，滿足災(zāi)難恢復(fù)的條件。因?yàn)椴《驹诰W(wǎng)絡(luò)中存儲、傳播、感染的方式各異且途徑多種多樣，因而應(yīng)實(shí)施“層層設(shè)防、集中控制、以防為主、防殺結(jié)合”的策略。目前延邊大學(xué)采用安博士V3系列網(wǎng)絡(luò)防病毒系統(tǒng)，對整個校園網(wǎng)中易感染病毒的Windows系列服務(wù)器和600多個重點(diǎn)用戶計算機(jī)進(jìn)行統(tǒng)一查殺病毒管理。同時采用業(yè)界頂級的卡巴斯基反病毒引擎和病毒庫，結(jié)合快客電郵反病毒引擎和病毒庫組成了雙重防郵件病毒體系，同時郵件系統(tǒng)中捆綁了防垃圾郵件系統(tǒng)。4.3.4安全管理與服務(wù)給延邊大學(xué)校園網(wǎng)制定一個合適的安全管理制度和安全策略是十分必要的。按照相應(yīng)安全管理?xiàng)l例進(jìn)行管理，從管理手段上保證網(wǎng)絡(luò)安全策略切實(shí)可行，同時對每項(xiàng)工作實(shí)行多人負(fù)責(zé)原則。網(wǎng)絡(luò)安全是動態(tài)的、整體的，并不是簡單的安全產(chǎn)品集成就可以解決問題。隨著時間的推移，新的安全風(fēng)險又將隨著產(chǎn)生。因此一個完整的安全解決方案還必須包括長期的、與系統(tǒng)相關(guān)的信息安全服務(wù)。[９]4.4安全方案特點(diǎn)延邊大學(xué)校園網(wǎng)安全方案體現(xiàn)出如下幾個特點(diǎn)：(1)整體安全性本方案針對延邊大學(xué)校園網(wǎng)提供了較為全面的、完整的安全性設(shè)計?！裎锢戆踩O(shè)計從底層保證了系統(tǒng)的通信介質(zhì)、通信設(shè)備安全；●網(wǎng)絡(luò)安全設(shè)計從網(wǎng)絡(luò)層和傳輸層保證了校園網(wǎng)的通信安全；●結(jié)合校園網(wǎng)中的具體業(yè)務(wù)應(yīng)用特點(diǎn)而設(shè)計的業(yè)務(wù)應(yīng)用安全方案，保證了系統(tǒng)內(nèi)業(yè)務(wù)的可靠運(yùn)行；(2)通用性本安全方案不但適用于延邊大學(xué)校園網(wǎng)，同時也適用于其他大學(xué)的校園網(wǎng)。當(dāng)應(yīng)用于其他大學(xué)校園網(wǎng)時，只需要根據(jù)其網(wǎng)絡(luò)結(jié)構(gòu)不同稍做調(diào)整即可。第五章系統(tǒng)安全測試與實(shí)現(xiàn)由于設(shè)計本安全方案時是基于延邊大學(xué)校園網(wǎng)整體安全需求，因而安全方案滿足了系統(tǒng)各層次的安全需求。但鑒于經(jīng)費(fèi)因素的制約，在實(shí)施時，可以分階段、分步驟進(jìn)行。(1)第一階段：基本安全需求第一階段的目標(biāo)是利用己有的技術(shù)，首先滿足校園網(wǎng)最迫切的安全需求，如物理安全、防火墻、網(wǎng)絡(luò)入侵檢測系統(tǒng)(IDS)、病毒防護(hù)、系統(tǒng)安全配置。(2)第二階段：滿足系統(tǒng)較高的安全需求這一階段的目標(biāo)是確保重要業(yè)務(wù)系統(tǒng)的不間斷運(yùn)行，保證重要信息的連續(xù)使用所涉及的安全內(nèi)容有網(wǎng)絡(luò)傳輸安全(VPN)和數(shù)據(jù)備份與災(zāi)難恢復(fù)系統(tǒng)。5.1系統(tǒng)安全測試鑒于當(dāng)前校園網(wǎng)配置已基本符合安全應(yīng)用的標(biāo)準(zhǔn)，我們在這里使用安全工具X-Scan。X-Scan是國內(nèi)最著名的綜合掃描器之一，主要由國內(nèi)著名的民間入侵者組織“安全焦點(diǎn)”（）完成，從2000年的內(nèi)部測試版X-ScanV0.2到目前的最新版本X-Scan3.3都凝聚了國內(nèi)眾多入侵者的心血。最值得一提的是，X-Scan把掃描報告和安全焦點(diǎn)網(wǎng)站相連接，對掃描到的每個漏洞進(jìn)行“風(fēng)險等級”評估，并提供漏洞描述、漏洞溢出程序，方便網(wǎng)管測試、修補(bǔ)漏洞。我們隨機(jī)選擇了2個校園網(wǎng)內(nèi)IP進(jìn)行安全檢測，結(jié)果如下：以上分別為路由器和服務(wù)器主機(jī)IP，我們可以看到分別都有不同的安全漏洞提示。因此，當(dāng)前校園網(wǎng)系統(tǒng)應(yīng)主要加強(qiáng)對設(shè)備進(jìn)行合理的配置。另外鑒于校園網(wǎng)系統(tǒng)中大量的信息流量，我們在有關(guān)機(jī)器上進(jìn)行了流量分析，使用的工具是snifferpro4.70，該軟件在網(wǎng)絡(luò)信息流量分析方面占有大量市場。測試結(jié)果如圖6所示：圖6延邊大學(xué)校園網(wǎng)流量分析圖從上圖可以看到，延邊大學(xué)校園網(wǎng)主要應(yīng)用的是IP協(xié)議，其次部分含有IP-ARP協(xié)議，并同時列出了應(yīng)用IP協(xié)議的具體列表；圖中同樣列出了流量最多的10臺機(jī)器，若日后校園網(wǎng)流量異常，則可從長期占據(jù)流量最多的幾臺入手；同時根據(jù)圖中的警報日志，我們看到廣播/多播風(fēng)暴占據(jù)了大部分內(nèi)容。因此以上信息也對以后校園網(wǎng)性能優(yōu)化啟到了輔助作用，幫助我們決定了哪里需要安裝防火墻或者IDS設(shè)備。5.2系統(tǒng)安全技術(shù)實(shí)現(xiàn)應(yīng)用在路由器及交換機(jī)上的技術(shù)實(shí)現(xiàn)方法:常見的應(yīng)用在路由器上的技術(shù)措施有設(shè)置路由口令、設(shè)置訪問控制表和路由協(xié)議設(shè)置。實(shí)現(xiàn)方法：(1)設(shè)置路由口令Cisco系列路由器一般有Console和Ethernet口可登陸到路由器對其進(jìn)行配置，這給不速之客提供了可乘之機(jī)。為了拒不速之客于門外，應(yīng)該通過給相應(yīng)的端口加上口令實(shí)施最基本的安全控制。主要配置如下[10]：router#conftrouter(config)#linevty04（為telnet連接建立一個口令）router(config-line)#pssword******router(config-line)#loginrouter(config)#linecon0(為控制臺建立一個口令)router(config-line)#password******而使用Cisco專用的CDP協(xié)議，則可以發(fā)現(xiàn)相鄰的設(shè)備的相關(guān)信息。router(config)#cdprun（開啟CDP）router(config)#showcdpneighbor(2)設(shè)置標(biāo)準(zhǔn)訪問控制表主要配置如下：router(config)#access-list10deny55(定義ACL號和網(wǎng)段范圍)router(config)#access-list10permitanyrouter(config)#inte1(應(yīng)用訪問控制列表于端口)router(config-if)#ipaccess-group10out(3)設(shè)置路由協(xié)議常用的局域網(wǎng)路由協(xié)議主要有rip、eigrp和ospf。下面分別介紹在路由器上的設(shè)置。router(config)#routerriprouter(config-route)#networkrouter(config)#routereigrprouter(config-route)#network而用ospf路由協(xié)議是最常用的路由選擇協(xié)議，因?yàn)槠涫且环N由RFC2382定義的與廠商無關(guān)的協(xié)議。其通用性適用于所有的設(shè)備，也因此被廣泛地使用。router(config)#intloopback0router(config-if)#ipaddressrouter(config)#routerospf0router(config-route)#network55area0常見的應(yīng)用在交換機(jī)上的設(shè)置主要有VLAN。VLAN主要配置如下：switch>enswitch#conftswitch(config)#vlan2nameclassroom(創(chuàng)建vlan命名為classroom)switch(config)#vlan3namelabswitch(config)#exitswitch#shvlan(顯示vlan列表)(略)switch(config)#intf0/2(將端口分配給vlan2)switch(config-if)#switchportaccessvlan2switch(config-if)#intf0/3(將端口分配給vlan3)switch(config-if)#switchportaccessvlan3驗(yàn)證：switch#showvlanVLANNameStatusPorts-------------------------------------------------------------------------------------------------------1defaultactiveFa0/1,Fa0/4,Fa0/5,Fa0/6,2classroomactiveFa0/23labactiveFa0/3接口封裝方式配置：switch(config-if)#intf0/3switch(config-if)#switchportmodetrunkswitch(config-if)#^Zswitch#驗(yàn)證：switch#showrun（略）！interfaceFastEthernet0/3switchportmodetrunknoipaddress?。裕┡c此同時還可進(jìn)行配置的有VTP(VLANTrunkingProtocol)，主要目的是在一個交換性的環(huán)境中管理所有配置好的VLAN使所有的VLAN保持一致性，VTP允許增加，刪除和重命名VLAN，然后這些修改后的信息傳播到整個VTP域里面的所有switch上。默認(rèn)情況下都是server模式。為使VLAN間能夠互相通信，就必須使用router或者3層switch來連接。要在router的快速以太網(wǎng)接口支持ISL和802.1Q，要把接口劃分成許多邏輯接口（非物理），1個接口對應(yīng)一個VLAN（這些接口就叫做子接口）。配置如下：router(config)#intf0/0.1router(confg-subif)#encapsulationdot1q網(wǎng)絡(luò)升級整合、服務(wù)器負(fù)載均衡以及生成“虛擬服務(wù)器”方面，NAT是一個很有用的工具。在RFC1631中對NAT進(jìn)行了詳細(xì)的描述[11]。另外關(guān)于VPN的相關(guān)配置，配置如下：router(config)#aaanew-model(創(chuàng)建AAA認(rèn)證、授權(quán)和記賬)router(config)#aaaauthenticationppp(創(chuàng)建認(rèn)證類型的方法)router(config)#intf0/2（將方法列表應(yīng)用到接口上）router(config-if)#pppauthenticationchap這里只介紹了初級的配置，為了保證相關(guān)交換和路由設(shè)備的安全有效使用，高階的配置參考思科或神州數(shù)碼的相關(guān)技術(shù)手冊即可。第六章總結(jié)計算機(jī)網(wǎng)絡(luò)安全取決于安全技術(shù)與網(wǎng)絡(luò)管理兩大方面。從技術(shù)角度來講，計算機(jī)網(wǎng)絡(luò)安全又取決于網(wǎng)絡(luò)設(shè)備的硬件與軟件兩個方面，網(wǎng)絡(luò)設(shè)備的軟件和硬件互相配合才能較好地實(shí)現(xiàn)網(wǎng)絡(luò)安全。但是，由于網(wǎng)絡(luò)安全作為網(wǎng)絡(luò)對其上的信息提供的一種增值服務(wù)，人們往往發(fā)現(xiàn)軟件的處理速度成為網(wǎng)絡(luò)的瓶頸，因此，將網(wǎng)絡(luò)安全的密碼算法和安全協(xié)議用硬件實(shí)現(xiàn)，實(shí)現(xiàn)快速的安全處理仍然將是網(wǎng)絡(luò)安全發(fā)展的一個主要方向。另一方面，在安全技術(shù)不斷發(fā)展的同時，全面加強(qiáng)安全技術(shù)的應(yīng)用也是網(wǎng)絡(luò)安全發(fā)展的一個重要內(nèi)容。因?yàn)榧词褂辛司W(wǎng)絡(luò)安全的理論基礎(chǔ)，沒有對網(wǎng)絡(luò)安全的深刻認(rèn)識、沒有廣泛地將它應(yīng)用于網(wǎng)絡(luò)中，那么談再多的網(wǎng)絡(luò)安全也是無用的。同時，網(wǎng)絡(luò)安全不僅僅是防火墻，也不是防病毒、入侵檢測、防火墻、身份認(rèn)證、加密等產(chǎn)品的簡單堆砌，而是包括從系統(tǒng)到應(yīng)用、從設(shè)備到服務(wù)的比較完整的、體系性的安全系列產(chǎn)品的有機(jī)結(jié)合。除了網(wǎng)絡(luò)安全技術(shù)，還要強(qiáng)調(diào)網(wǎng)絡(luò)安全策略和管理手段的重要性。只有做到這些的綜合，才能確保網(wǎng)絡(luò)安全。該論文首先從多個角度研究了計算機(jī)網(wǎng)絡(luò)的安全性，針對各種不同的威脅與攻擊研究了解決它們的相應(yīng)安全技術(shù)與安全協(xié)議。接下來，在一般意義下制定計算機(jī)網(wǎng)絡(luò)安全系統(tǒng)設(shè)計的策略與原則，提出了計算機(jī)網(wǎng)絡(luò)安全的實(shí)現(xiàn)模型。在此工作的基礎(chǔ)上，經(jīng)過對延邊大學(xué)校園網(wǎng)安全狀況的分析，給出了延邊大學(xué)校園網(wǎng)的安全系統(tǒng)的設(shè)計與實(shí)現(xiàn)方案。本文所討論的延邊大學(xué)校園網(wǎng)安全方案是一個系統(tǒng)工程，需要全體網(wǎng)絡(luò)用戶、管理單位共同參與建設(shè)，并在后續(xù)的工作和實(shí)施中盡力推動延邊大學(xué)校園網(wǎng)安全保障框架的建設(shè)與完善。參考文獻(xiàn)[1]萬紅運(yùn)，許洪超.無線校園網(wǎng)安全策略及實(shí)施.網(wǎng)絡(luò)安全技術(shù)與應(yīng)用.2006，(10):93-94[2]JohnCox.Schoolsrethinknetworksecurity.[3]賈鋮鳳.淺析校園網(wǎng)的安全問題及防范對策,山西廣播電視大學(xué)學(xué)報,2007,(3):25[4]查貴庭,彭其軍,羅國富.校園網(wǎng)安全威脅及安全系統(tǒng)構(gòu)建,計算機(jī)應(yīng)用,2005,(3):150-152[5]守望校園網(wǎng)2007校園網(wǎng)安全現(xiàn)狀及需求調(diào)研分析,教育技術(shù)資訊,2007,(6):41-43[6]楊學(xué)富.構(gòu)建校園網(wǎng)絡(luò)安全系統(tǒng),華東交通大學(xué)學(xué)報,2004,(6):158-161[7]思科校園網(wǎng)絡(luò)安全解決方案./cn[8]數(shù)字化校園—從網(wǎng)絡(luò)開始./cn[9]ZhiqiangCui.SecurityIncidentsinanAcademicSetting:ACaseStudy.EastTennesseeStateUniversity,2002:27-28[10]RichardFroom.CCNP學(xué)習(xí)指南:BCMSN.人民郵電出版社.2007年11月[11]JeffDoyle,JenniferDeHavenCarroll.TCP/IP路由技術(shù)(第2卷).人民郵電出版社.2002年8月謝辭本論文是在導(dǎo)師王齊講師的悉心指導(dǎo)下完成的，在論文的選題、撰寫和定稿過程中，王老師給我提出了許多寶貴的意見，而且很耐心的指出需要改進(jìn)的地方以及微小的錯誤。王老師兢兢業(yè)業(yè)的工作作風(fēng)、嚴(yán)謹(jǐn)務(wù)實(shí)的教學(xué)風(fēng)范、耐心的教導(dǎo)方式，給了我莫大的啟迪和幫助。在此謹(jǐn)向王老師表示衷心的感謝和誠摯的敬意！在這里，我還要衷心地感謝延邊大學(xué)的各位領(lǐng)導(dǎo)和老師，正是由于他們的熱情關(guān)懷和幫助，才使我順利完成學(xué)業(yè)。最后對曾給予我鼓勵和幫助的所有同學(xué)、同事及朋友一并表示深深的感謝!基于C8051F單片機(jī)直流電動機(jī)反饋控制系統(tǒng)的設(shè)計與研究基于單片機(jī)的嵌入式Web服務(wù)器的研究MOTOROLA單片機(jī)MC68HC（8）05PV8/A內(nèi)嵌EEPROM的工藝和制程方法及對良率的影響研究基于模糊控制的電阻釬焊單片機(jī)溫度控制系統(tǒng)的研制基于MCS-51系列單片機(jī)的通用控制模塊的研究基于單片機(jī)實(shí)現(xiàn)的供暖系統(tǒng)最佳啟停自校正（STR）調(diào)節(jié)器單片機(jī)控制的二級倒立擺系統(tǒng)的研究基于增強(qiáng)型51系列單片機(jī)的TCP/IP協(xié)議棧的實(shí)現(xiàn)基于單片機(jī)的蓄電池自動監(jiān)測系統(tǒng)基于32位嵌入式單片機(jī)系統(tǒng)的圖像采集與處理技術(shù)的研究基于單片機(jī)的作物營養(yǎng)診斷專家系統(tǒng)的研究基于單片機(jī)的交流伺服電機(jī)運(yùn)動控制系統(tǒng)研究與開發(fā)基于單片機(jī)的泵管內(nèi)壁硬度測試儀的研制基于單片機(jī)的自動找平控制系統(tǒng)研究基于C8051F040單片機(jī)的嵌入式系統(tǒng)開發(fā)基于單片機(jī)的液壓動力系統(tǒng)狀態(tài)監(jiān)測儀開發(fā)模糊Smith智能控制方法的研究及其單片機(jī)實(shí)現(xiàn)一種基于單片機(jī)的軸快流CO〈,2〉激光器的手持控制面板的研制基于雙單片機(jī)沖床數(shù)控系統(tǒng)的研究基于CYGNAL單片機(jī)的在線間歇式濁度儀的研制基于單片機(jī)的噴油泵試驗(yàn)臺控制器的研制基于單片機(jī)的軟起動器的研究和設(shè)計基于單片機(jī)控制的高速快走絲電火花線切割機(jī)床短循環(huán)走絲方式研究基于單片機(jī)的機(jī)電產(chǎn)品控制系統(tǒng)開發(fā)基于PIC單片機(jī)的智能手機(jī)充電器基于單片機(jī)的實(shí)時內(nèi)核設(shè)計及其應(yīng)用研究基于單片機(jī)的遠(yuǎn)程抄表系統(tǒng)的設(shè)計與研究基于單片機(jī)的煙氣二氧化硫濃度檢測儀的研制基于微型光譜儀的單片機(jī)系統(tǒng)單片機(jī)系統(tǒng)軟件構(gòu)件開發(fā)的技術(shù)研究基于單片機(jī)的液體點(diǎn)滴速度自動檢測儀的研制基于單片機(jī)系統(tǒng)的多功能溫度測量儀的研制基于PIC單片機(jī)的電能采集終端的設(shè)計和應(yīng)用基于單片機(jī)的光纖光柵解調(diào)儀的研制氣壓式線性摩擦焊機(jī)單片機(jī)控制系統(tǒng)的研制基于單片機(jī)的數(shù)字磁通門傳感器基于單片機(jī)的旋轉(zhuǎn)變壓器-數(shù)字轉(zhuǎn)換器的研究基于單片機(jī)的光纖Bragg光柵解調(diào)系統(tǒng)的研究單片機(jī)控制的便攜式多功能乳腺治療儀的研制基于C8051F020單片機(jī)的多生理信號檢測儀基于單片機(jī)的電機(jī)運(yùn)動控制系統(tǒng)設(shè)計Pico專用單片機(jī)核的可測性設(shè)計研究基于MCS-51單片機(jī)的熱量計基于雙單片機(jī)的智能遙測微型氣象站MCS-51單片機(jī)構(gòu)建機(jī)器人的實(shí)踐研究基于單片機(jī)的輪軌力檢測基于單片機(jī)的GPS定位儀的研究與實(shí)現(xiàn)基于單片機(jī)的電液伺服控制系統(tǒng)用于單片機(jī)系統(tǒng)的MMC卡文件系統(tǒng)研制基于單片機(jī)的時控和計數(shù)系統(tǒng)性能優(yōu)化的研究基于單片機(jī)和CPLD的粗光柵位移測量系統(tǒng)研究單片機(jī)控制的后備式方波UPS提升高職學(xué)生單片機(jī)應(yīng)用能力的探究基于單片機(jī)控制的自動低頻減載裝置研究基于單片機(jī)控制的水下焊接電源的研究基于單片機(jī)的多通道數(shù)據(jù)采集系統(tǒng)基于uPSD3234單片機(jī)的氚表面污染測量儀的研制基于單片機(jī)的紅外測油儀的研究96系列單片機(jī)仿真器研究與設(shè)計基于單片機(jī)的單晶金剛石刀具刃磨設(shè)備的數(shù)控改造基于單片機(jī)的溫度智能控制系統(tǒng)的設(shè)計與實(shí)現(xiàn)基于MSP430單片機(jī)的電梯門機(jī)控制器的研制基于單片機(jī)的氣體測漏儀的研究基于三菱M16C/6N系列單片機(jī)的CAN/USB協(xié)議轉(zhuǎn)換器基于單片機(jī)和DSP的變壓器油色譜在線監(jiān)測技術(shù)研究基于單片機(jī)的膛壁溫度報警系統(tǒng)設(shè)計基于AVR單片機(jī)的低壓無功補(bǔ)償控制器的設(shè)計基于單片機(jī)船舶電力推進(jìn)電機(jī)監(jiān)測系統(tǒng)基于單片機(jī)網(wǎng)絡(luò)的振動信號的采集系統(tǒng)基于單片機(jī)的大容量數(shù)據(jù)存儲技術(shù)的應(yīng)用研究基于單片機(jī)的疊圖機(jī)研究與教學(xué)方法實(shí)踐基于單片機(jī)嵌入式Web服務(wù)器技術(shù)的研究及實(shí)現(xiàn)基于AT89S52單片機(jī)的通用數(shù)據(jù)采集系統(tǒng)基于單片機(jī)的多道脈沖幅度分