高校数字化校园信息安全策略探讨

《中国教育信息化》发行部：ｅｙｌ＠ｒ．ｏｅ．ｅｄｕ．ｅｎ　安全维护　高校数字化校园信息安全策略探讨　王阳　（上海出版印刷高等专科学校信息化办公室，上海２０００９３）　摘要：数字化校园信息安全是基于数字化校园的关键业务顺利开展的重要保证。本文从分析数字化校　园信息安全的现状入手，结合自身信息安全管理的经验，探讨了数字化校园信息安全的防御策略，并在此基础　上提出了典型的数字化校园信息安全的系统解决方案。　关键词：数字化校园：信息安全：策略　中图分类号：ＴＰ３０９　文献标识码：Ａ　文章编号：１６７３—８４５４（２０１　１）０５～００５９—０３　站、ＰＣ）和网络设施（交换机、路由器等）。在信息资源共享　《国家中长期教育改革和发展规划纲要（２０　２０—２０２０　年）》（以下简称“纲要”）明确指出，“加快终端设施普及，　的今天．网络设备生产厂商的技术资料大量解密．许多网　络设备的内在问题和漏洞日益凸现．导致针对交换机、路　推进数字化校园建设．实现多种方式接人互联网”．以“构　建先进、高效、实用的数字化教育基础设施”。数字化校园　作为高校信息服务的平台，承担着学校教学、科研、管理　和校内外信息服务的重要任务　随着高校数字化校园建　设的深入发展．数字化校园中的各种资源越来越丰富．接　人校同网的用户越来越多．各种应用系统的规模和性能　也变得异常庞大和复杂．与此同时．学校日常丁作的开展　由器和防火墙等网络设备的攻击越来越多　这些漏洞很　容易被黑客利用．如最常见的ＤＯＳ／ＤＤＯＳ攻击就是通过　消耗主机和网络设施的资源和信息处理能力．使其不能　处理正常的请求．造成无法访问甚至宕机等问题　２．学校网站面临的安全威胁　网站是学校对外信息交流的平台．是数字化校园的　有机组成部分　然而．高校网站被挂马和篡改的攻击事件　屡屡发生．成为数字化校园面临的最严重的安全威胁　据　对数字化校园的依赖程度也与日俱增．学校用户对业务　中断的敏感度更高．学校领导对数字化校园的服务质量　和建设成果也愈加关注　因而探讨数字化校园信息安全　的防御策略，保证数字化校同安全、可靠、畅通运行，不仅　北京大学计算机所信息安全中心的一项研究检测显示．　来自３１４个不同高校的５７７个网站被恶意挂马．挂马率　达３．１５％　ｌｊＪ造成网页被挂马的原因可能是服务程序本身　的漏洞，如Ａｐａｅｈｅ或ＩＩＳ的漏洞：可能是网页程序编写不　是信息化环境下学校日常工作与生活顺利开展的重要保　障，也与“纲要”中提出的“先进、高效、实用”的数字化校　园建设目标相适切　一完善导致的安全漏洞，如ＳＯＬ注入、缓冲区溢出、ＸＳＳ跨　站脚本攻击等：也可能是管理上的缺失．导致服务器感染　病毒而引起的　３．应用系统数据信息面临的威胁　、数字化校园信息安全现状　自２０００年以来．各高校纷纷完成了以校园网络为基　础．学校各级网站和各种应用系统为核心的数字化校同　建设。随着数字化校园应用的不断推进．广大师生对数字　化校园的依赖程度不断增强．学校网站和各种应用系统　高校的信息门户、教务、学Ｔ、人事、ＯＡ、财务、一卡　通等应用系统的重要数据是数字化校同信息安全防护的　的信息和数据的重要性日益增长　然而．由于各种因素的　影响．数字化校园信息安全的防御不尽如人意．网络设备　受到攻击导致校园网网速过慢甚至瘫痪．不少高校还出　现网站被挂马、教务管理和招生系统中学生成绩等重要　重中之重。这些重要数据一旦被篡改甚至丢失　其后果是　不堪设想的。目前应用系统数据信息面临的主要风险有：　数据库弱口令及默认用户名易被破解：ＤＢＡ的权限没有　严格的：有些权限控制功能嵌套在应用程序中．攻击　者很可能利用程序编写的漏洞将普通用户的权限转化为　管理员的权限：数据库管理方式和管理流程编制不得当．　信息被修改的现象　概括起来．目前数字化校园信息安全　面临的主要隐患和威胁体现在以下几个方面：　１．校园网络设备面临的安全威胁　造成数据不准和修改错误等　４．校园网内部用户的安全隐患　作为数字化校园的硬件基础．网络设备的安全是信　息安全的第一道防线。网络设备包括主机（服务器、工作　来自校园网内部用户的安全威胁同样是数字化校园　Ｃｈｉｎａ　Ｅｄｕｃａｔｉｏｎ　Ｉｎｆｏ　５９　安全维护　《中国教育信息化》编辑部：ｍｉｓ＠ｍｏｅ．ｅｄｕ．ｃｎ　信息安全不容忽视的一部分　一方面，数字化校同终端刚　户是校园网中木马、蠕虫、病毒传播的“主力军”．严重威　胁着校园网络的安全与稳定　另一方面．校阅网的出口带　这主要是由于防火墙一般处于网关的位置．若对进出的　攻击作太多的判断，就会严重影响到网络的性能。因而，　单一依靠防火墙来保护校园网的安全是远远不够的　这　种情况下．ＩＰＳ技术应运而生　与ＩＤＳ检测入侵行为相比．　ＩＰＳ是一种主动的、积极的入侵防范技术．其关注的是对　入侵行为的控制　ＩＰＳ的深度感知技术可以预先对入侵活　动和攻击性网络流量进行拦截．对恶意报文进行丢弃以　宽有限．以ＢＴ、迅雷为代表的Ｐ２Ｐ应用严重占用了校园　网的带宽资源．尤其是下载视音频和在线观看视频　Ｐ２Ｐ　应用的巨大流量造成了正常的＿［作时段校园网速变慢和　网络拥堵．从而导致基于网络的关键业务无法顺利开展．　影响了教学、科研、管理＿Ｔ作的正常进行　５．物理安全隐患　阻断攻击，对滥用报文进行限流以保护网络带宽资源．而　不是简单地在恶意流量传送时或传送后才发出警报　利　物理环境包括维持校园网络设备正常］一作的电力设　施、ＵＰＳ、空调等，若这些设备规划设计不合理，参数设置　不当或得不到有效的维护．也会问接对数字化校同信息　安全构成威胁　随着数字化校同业务的不断推进．网络设　备越来越多，ＵＰＳ和空调若不能及时进行扩容扩充．造成　供电不足或散热不利．很可能直接影响数字化校同的应　用或引发火灾等重大事故　二、数字化校园信息安全的防御策略　针对目前数字化校园信息安全所面临的主要威胁．　从物理安全、网络安全、主机安全、应用安全、数据安全五　个层面提出防御对策　１．物理安全　物理安全包括环境、设备及线路的安全．需做好防　火、防盗、防雷击等工作　除此之外，要尤为注意随着数字　化校同应用的不断增强．应根据接入网络设备的数量、功　耗和负载等及时地对ＵＰＳ、制冷等设备进行扩容扩充．而　且最好能够达到冗余备份功能　２．网络安全　一直以来．网络层面安全防御的重点都是阻断外部　用户的恶意攻击和非法访问．如利用传统防火墙进行网　络边界的访问控制：运用ＶＬＡＮ技术将内网划分为不同的　子网：部署入侵检测系统（ＩＤＳ）以检测网络上发生的入侵　行为和异常现象　：安装网络防病毒系统等。然而．ＩＴ技　术的日新月异要求我们必须在这些策略的基础上探讨新　的安全策略来抵御不断发展的安全威胁　（１）接入安全：统一身份认证　保证校园网中每一个接人用户都“合法”是数字化校　网安全的第一步．具体可通过ＩＰ＋ＭＡＣ绑定、Ｗｅｂ　Ｐｏｒｔａｌ　身份认证或基于８０２．１Ｘ身份认证等多种方法来确保校　园网用户的安全接人　（２）边界防护：防火墙＋入侵防御系统（ＩＰＳ）　在校园网边界部署网络防火墙．通过设置访问控制　规则来对内网的访问几乎是所有高校校园网边　界防护的主要措施　然而．面对层出不穷的网络攻击技术　和网络安全漏洞．传统的防火墙技术　得有些力不从心　６０中国教育信息化／２０１１　０５（高教职教　用ＩＰＳ能够快速终结ＤＯＳ／ＤＤＯＳ等攻击．避免异常应用　程序流量攻击所造成的网络断线或阻塞．保护防火墙和　核心交换机等网络设备免遭入侵和攻击　因而．通过在校　园网边界对防火墙和ＩＰＳ进行综合部署．可以有效的防　护校　网的边界安全　（３）内网安全管理：上网行为管理＋流量控制设备　针对校园网内部用户的安全问题．通过在校园网内　部部署ｆ：网行为管理和流量控制设备可以对在线炒股、　Ｐ２Ｐ、ｌ奴Ｊ络游戏、在线聊天、邮件外发及论坛发帖等各种网　络行为进行全面的控制和管理．．可以根据学校的实际．对　不同的刚户、不同网络行为、不同时间设置不同的管理策　略．从｜而保证在有限的带宽资源下数字化校园关键业务　的顺利开展　３．主机安全　主机安全是应用安全和数据安全的基石　可以从账　户安全、系统安全、访问控制、安全审计等几个方面来保　证主机安全　账户安全是指利用身份验证来鉴别用户身　份．＿｝＝｝｛户的口令应具有一定的复杂度并定期更换．非　法登录次数，设置登录连接超时处理：系统安全包括及时　更新补丁程序．定期进行系统漏洞扫描和病毒查杀．关闭　不必要的服务和端口等：访问控制可以通过终端的　登录方式和网络地址范围．单个用户的会话数等方　式来实现：安全审计内容包括审计每个操作系统用户的　行为、系统资源的异常使用和重要系统命令的使用等系　统内重要的安全相关事件．同时记录这些事件的日期、事　件、类型、主体标识（访问者账户、ＩＰ地址）和结果等。　４．应用安全　面对学校网站和各种基于Ｗｅｂ的应用系统面临的　安全威胁．可从以下三个方面着手进行安全防护：首先要　避免因设计上的不完善而导致的安全漏洞．比如未对合　法用户进行权限控制造成越权操作、缺乏资源控制能力　导致拒绝服务攻击等：其次．要避免因编程的不完善引起　的安全漏洞．如缓冲区溢出、ＳＱＬ注入等　［５１第三，可通过　部署Ｗｅｂ应用防火墙（ＷＡＦ１抵御来自应用层的攻击　传　统的防火墙工作在网络层．而对应用层的攻击则显得无　《中国教育信息化》发行部：ｃｙｌ＠ｍｏｅ．ｅｄｕ．ｃｎ　能为力　ＩＰＳ虽然也具有应用层防护的功能．但其主要是　通过深度检测技术检奁网络数据中的应用层流量行和攻　击特征库进行　配．从而识别出已知的网络攻击．对于未　知的攻击和将来才会出现的攻击．以及通过灵活编码和报　义分割来实现的廊用层攻击．ＩＰＳ同样不能有效防护　、㈣　而这恰是ＷＡＦ的优势。此外．ＷＡＦ还具备受到攻击后的　网页防篡改功能．从而使攻击者不能破坏网站数据．　．５．数据安全　数据安全包括数据传输安全、数据存储安全以及数　据的备份和恢复＿二个阶段　数据传输安全是指在传输过　程『ｆ１保护数据信息的机密性和完整性．以防被他人截获、　修改．具体可通过数槲加密技术、数字签名及ＶＰＮ等技　术ｌ来实现．数据存储安全是指要保证存储存服务器或加　密终端上的数据的安全．对丁要求保密的数据．如数字化　校同用户身份认证的口令．需采用加密的方式进行存储．　另外．保证存储介质的安全也是数据存储安全的一个重　要方面　数据备份和恢复可以确保存系统遭到攻击或因　自然因素导致数据不可ＨＪ时．利用备份的数据进行恢复．　避免数据丢失．具体呵采刷Ｅ｛增量、周全备等方式没置备　份策略　三、数字化校园信息安全的系统解决方案　根据以上数字化校冈信息安全防御策略的探讨．本　文从网络拓扑结构的角度提ｍ数字化校同信息安全的系　统解决方案．如图所示　・　图数字化校园信息安全的系统解决方案　安全维护　存上述解决方案中．首先通过防火墙实现内、　与ＤＭＺ　的隔离，通过设置ＡＣＬ访问控制规则、ＮＡＴ　等技术进行基本防护．而针对校园网中的ＤＯＳ攻击、　蠕虫、木马等的防范则需要在防火墙的前端部署入侵　防御系统（ＩＰＳ）．这样所有来自外部的数据都必须串行　通过ＩＰＳ．ＩＰＳ即可实时分析网络数据．发现攻击行为　立即予以阻断．保证来自外部的攻击数据不能通过网　络边界进入校园网　其次．通过在校园网出口串接　网　行为管理和流量控制设备规范校园网用户的上网行　为．保证校园网有限的带宽资源得到合理的利用　在　最外层部署负载均衡设备智能地优化的访问速　度　再次．通过在Ｗｅｂ服务器集群前端串接Ｗｅｂ心川　防火墙（ＷＡＦ）可有效地保护基于Ｗｅｂ的应用免受来　自应用层协议的攻击　最后．可在校园网出口设备上旁　路部署入侵检测或漏洞扫描设备．以及时发现网络入　侵行为和系统漏洞并给出报警　对于远程用户的接入　访问．则可通过部署ＶＰＮ网关设备．实现安全的远程　访问。　四、结束语　数字化校园信息安全是一项长期的、系统的１　程，　不仪要通过技术建立校园网的多层防护策略．还要建立　健全校同息安全管理机制．建立完善的安全责任制　度、中心机房管理制度、校同网运维管理制度以及突发　事件紧急预案等各项管理制度．并提高校园网用户的安　全意识　只有“技术”与“管理”两手抓．才能确保数字化　校园的安全、稳定、畅通运行．使学校的教学、管理、科研　和服务依托数字化校园实现信息化、管理规范化和决策　科学化　⑧　参考文献：　【１】诸葛建伟．高校二级网站遭遇严重挂马和篡改Ｕ】．中国　教育网络．２００９（１２）　ｆ２１张鸿军，张新刚．数字化校园中典型安全问题分析及防　御对策Ｕ】．中国电化教育，２００９（６）．　【３】王达光，甘井中．构建校园网安全体系的研究和实践…．　电化教育研究．２００８（１１．　【４］实例研究：使用防火墙，ＩＤＳ，ＩＰＳ构建企业级安全系统　［ＥＢ／ＯＬＩ．ｈｔｔｐ：／／ａｒｔｉｃｌｅｓ．ｅ—ｗｏｒｋｓ．ｎｅｔ　ｃｎ／Ｓｅｃｕｒｉｔｙ／Ａｒｔｉｃｌｅ７８　１　３２．ｈｔｍ　【５］吴海燕．清华大学：四层防护Ｗｅｂ应用Ｕ】．中国教育网　络．２００９（９）．　【６１网站防篡改，立即部署Ｗｅｂ应用防火　［ＥＢ／ＯＬ］ｈｔ￣：／／　１¨Ｉ　”　．ＣＦＩＷ．ＣＯ１ＴＩ．ＣＨ／ｓｅｃｕｒｉｔｙ—ｗｅｂｓｅｃｕｒｉｔｙ／ｈｔｍ２０１Ｏ／２０１００３２２１　９２６８４．ｓｈｔｍｌ　（编辑：金冉）　Ｃｈｉｎａ　Ｅｄｕｃａｔｏｉｎ　ｌｎｆｏ　６　１