【文章內(nèi)容簡介】 ，國內(nèi)百分之八十的垃圾郵件來源于校園網(wǎng)。除此以外，校園網(wǎng)絡(luò)還面臨著ARP攻擊等，總之，校園網(wǎng)絡(luò)面臨的安全威脅眾多。事實上，構(gòu)建校園網(wǎng)安全體系的原因在于保護校園的信息資產(chǎn)，在介紹校園網(wǎng)面臨的安全風險之前，先對校園的關(guān)鍵信息資產(chǎn)進行介紹。 關(guān)鍵信息資產(chǎn)分部關(guān)鍵資產(chǎn)分布區(qū)域固定資產(chǎn)、財務(wù)數(shù)據(jù)以及教職工信息數(shù)據(jù)中心日常辦公業(yè)務(wù)職能部門教學信息教學樓電子閱覽室圖書館學生個人信息宿舍區(qū)在了解了校園關(guān)鍵信息資產(chǎn)的分布之后，對校園信息流進行介紹。 校園數(shù)據(jù)流分析下面將按分布區(qū)域來對各區(qū)域面臨的安全風險進行說明，以便采取措施來提高校園網(wǎng)的安全性。 數(shù)據(jù)中心安全風險分析數(shù)據(jù)中心存儲著整個校園最核心的資產(chǎn)和信息，也是整個校園網(wǎng)的核心，其包含數(shù)據(jù)服務(wù)器、操作系統(tǒng)以及應用程序等軟硬件資源，因此數(shù)據(jù)中心面臨多層面的風險，下面進行具體分析：(1)物理層安全風險。物理層是整個校園網(wǎng)正常運行的基礎(chǔ)，軟硬件資源的損壞都會給校園網(wǎng)帶來風險，物理層面臨的風險主要包括如下幾方面：第一、自然因素或人為因素造成物理層設(shè)備的損壞。第二、數(shù)據(jù)庫損壞造成數(shù)據(jù)信息的丟失。(2)網(wǎng)絡(luò)層安全風險。網(wǎng)絡(luò)層負責網(wǎng)絡(luò)通信，校園數(shù)據(jù)流都通過網(wǎng)絡(luò)層進行傳輸，其面臨的安全風險主要包括如下幾個方面：第一、未采取有效措施來保障數(shù)據(jù)中心的安全，使其容易受到外部網(wǎng)絡(luò)的入侵和攻擊。第二、網(wǎng)絡(luò)鏈路安全風險，未實現(xiàn)對校園關(guān)鍵信息流的加密，由此信息流在網(wǎng)絡(luò)中進行傳輸時，容易被篡改或竊取。第三、病毒風險，校園網(wǎng)中存在上萬用戶，不同用戶的計算機水平不一樣，用戶容易引入病毒到校園網(wǎng)中，而病毒具備較強的傳染性，容易感染數(shù)據(jù)中心網(wǎng)絡(luò)，目前病毒已成為校園網(wǎng)中較大的風險。第四、網(wǎng)絡(luò)設(shè)備的自身安全性也是網(wǎng)絡(luò)安全的重要組成部分，大量路由器和交換機自身就有著眾多安全漏洞。(3)系統(tǒng)層安全風險。系統(tǒng)層安全風險來源于校園中各個應用，目前在高校中大部分教職工都采用盜版的操作系統(tǒng)以及應用軟件，盜版軟件存在的漏洞較多，且不具備修復的條件，如此容易成為不法份子的攻擊源。(4)應用層安全風險。數(shù)據(jù)中心是校園網(wǎng)各項應用程序和業(yè)務(wù)正常運營的基石，當前校園中的絕大部分應用都基于B/S模式進行實現(xiàn)，其與C/S模式相比最大的優(yōu)勢在于不受到地域的限制，只要在有網(wǎng)絡(luò)的地方就可以操作系統(tǒng)。但是其最大的缺陷在于安全性較低，存在很多的安全風險，具體表現(xiàn)在如下幾個方面：第一、未驗證輸入?；贐/S模式的應用程序都必須采取相應的措施來處理未驗證輸入的情況，若處理不當則會帶來巨大的安全隱患，如非法用戶可通過修改URL傳遞參數(shù)來進入系統(tǒng)篡改或竊取私密信息。第二、不完善的訪問控制。若校園網(wǎng)中的web程序權(quán)限控制不當或者權(quán)限混亂，則容易造成關(guān)鍵信息泄露，并且不法份子可通過提高權(quán)限來獲取更多關(guān)鍵信息。第三、不完善的認證和會話管理。會話令牌和用戶信任狀，比如密碼、鑰匙和會話cookies 需要得到保護，否則認證機制形同虛設(shè)。在更改密碼、獲取遺忘的密碼和更新帳戶信息的過程中，信任狀和令牌未能正確的處理，認證系統(tǒng)就存在很大的被攻擊危險。會話令牌需要在會話的整個周期內(nèi)受到保護，SSL 可以確保這點。但是SSL 經(jīng)常不能正確的實現(xiàn)，而且即使正確使用，攻擊者仍然可以通過跨站點腳本攻擊非法獲取令牌。第四、跨站點腳本攻擊（XSS）。瀏覽器執(zhí)行來自站點的代碼，比如javascript、flash 等。攻擊者將可執(zhí)行的惡意代碼腳本作為輸入的一部分傳給網(wǎng)站的web 應用，這些腳本然后在其他用戶的瀏覽器中運行，從而對使用它的其他用戶造成損害。造成的結(jié)果是盜取會話令牌，攻擊機器或者哄騙用戶。第五、緩沖區(qū)溢出。web 應用從用戶獲得各種各樣的輸入。如果沒有恰當?shù)姆秶鷻z查，輸入在緩沖區(qū)溢出，覆蓋堆棧，可以用來執(zhí)行任意代碼。比如c和c++中，此類錯誤往往是致命的。(5)數(shù)據(jù)層安全風險數(shù)據(jù)中心中最核心的數(shù)據(jù)都存在數(shù)據(jù)庫或者文件中,數(shù)據(jù)層面臨的安全風險主要包括如下幾個方面：第一、校園網(wǎng)中存在各種不同類型的數(shù)據(jù)庫管理系統(tǒng)，必須設(shè)置相應的安全策略來提高安全性，同時還需及時修復數(shù)據(jù)庫的漏洞。但是目前絕大部分高校沒有專門的系統(tǒng)管理員或者安全管理員，因此在這方面處理不夠及時、理想。第二、未采取加密算法對關(guān)鍵數(shù)據(jù)進行加密，導致數(shù)據(jù)容易被篡改。第三、缺乏統(tǒng)一的數(shù)據(jù)備份與容災策略。絕大部分高校在這方面考慮較少，大多只是利用數(shù)據(jù)庫的備份恢復功能，對容災方面考慮較少。 區(qū)域安全風險分析校園網(wǎng)處理數(shù)據(jù)中心以外，還存在職能部門、院系以及宿舍等區(qū)域，上述區(qū)域都必須采取相應的措施來保證網(wǎng)絡(luò)安全，下面從區(qū)域角度進行詳細分析。(1)職能部門的安全風險分析。職能部門通過沒有專門的服務(wù)器，其工作主要在數(shù)據(jù)中心的服務(wù)器上進行或者保存在本地辦公機上，因此其安全風險主要集中在黑客入侵以及病毒破壞等幾個方面。(2)院系的安全風險分析。院系一般沒有服務(wù)器，主要的信息資產(chǎn)存放在老師的科研用計算機上，主要面臨的安全風險是因為黑客入侵、病毒破壞而造成的信息泄漏和丟失。(3)宿舍區(qū)的安全風險分析。教學區(qū)和宿舍區(qū)以學生的個人PC 為主，主要的安全風險是因為病毒泛濫而造成的網(wǎng)絡(luò)故障。 校園安全風險主要問題據(jù)上一節(jié)分析可知，校園網(wǎng)有許多自己的特點，如物理網(wǎng)絡(luò)結(jié)構(gòu)復雜以及用戶類型較多等，并且對各區(qū)域的安全風險進行了分析，下面對校園面臨的安全問題進行總結(jié)， (1)校園網(wǎng)缺乏完善的安全體系設(shè)計。校園網(wǎng)經(jīng)歷了不同的發(fā)展階段，最開始在構(gòu)建校園網(wǎng)時，其提供的應用較為簡單，大多為信息發(fā)布以及互聯(lián)網(wǎng)接入等，為此較少考慮設(shè)計完整的安全體系。隨著計算機技術(shù)應用范圍的不斷擴大，目前校園日常辦公業(yè)務(wù)均已實現(xiàn)信息化建設(shè)，而現(xiàn)有安全體系已無法滿足需求，導致出現(xiàn)各種安全問題。(2)TCP/IP協(xié)議的開放性。校園網(wǎng)是基于TCP/IP協(xié)議進行構(gòu)建的，由于TCP/IP協(xié)議是開放的，因此其實現(xiàn)方式、優(yōu)點以及缺陷都已被研究透徹，許多不法份子會利用其存在的漏洞來實現(xiàn)入侵攻擊的目的，由此可知TCP/IP協(xié)議的開放性會引發(fā)校園網(wǎng)產(chǎn)生許多不可預知的安全問題。(3)操作系統(tǒng)及應用軟件漏洞。校園網(wǎng)中的服務(wù)器以及客戶機大多安裝盜版操作系統(tǒng)，其存在大量的安全漏洞，這些漏洞會給黑客和病毒帶來機會，使得服務(wù)器和客戶機處于危險狀態(tài)。除此以外，當前許多應用軟件都有后門，容易被開發(fā)者利用，成為校園網(wǎng)的攻擊源和病毒源。(4)病毒泛濫嚴重。當前校園網(wǎng)中病毒泛濫的原因主要包括如下三個方面：第一，校園網(wǎng)存在不同的應用需求，各應用之間存在較大差異，如此較難制定統(tǒng)一的安全防御策略，如由于學校機房安裝有還原卡，使得學校機房的安全性大大提高，很難感染病毒，但是在其他應用場景卻不能安裝還原卡。第二，許多機器安裝有還原卡，因此病毒入侵對本機的危害較少，但是若病毒感染教學區(qū)或生活區(qū)，則易引發(fā)網(wǎng)絡(luò)安全問題。第三，校園網(wǎng)中包含多種不同類型的用戶，各用戶的計算機水平參差不齊，許多用戶機器處于裸奔狀態(tài)，非常容易感染病毒，從而會成為校園網(wǎng)的病毒源。(5)網(wǎng)絡(luò)攻擊方面。網(wǎng)絡(luò)攻擊分為內(nèi)部攻擊和外部攻擊兩部分，通過部署防火墻可抵御絕大部分外部攻擊，但是內(nèi)部攻擊卻較難抵御。內(nèi)部攻擊大部分來源于木馬以及惡意程序，由于內(nèi)網(wǎng)機器擁有一定的網(wǎng)絡(luò)權(quán)限，使得其更易攻擊網(wǎng)絡(luò)服務(wù)器。除此以外，某些學生會模仿黑客攻擊學校服務(wù)器。正由于存在上述安全威脅，校園網(wǎng)更易受到攻擊。 校園網(wǎng)當前的安全措施由于校園網(wǎng)存在許多的安全問題，其采用了許多措施來提高校園網(wǎng)的安全，具體包括如下幾個方面：(1)在物理層面上，采取措施確保網(wǎng)絡(luò)連接設(shè)備、線路的安全和穩(wěn)定，并根據(jù)不同的安全需求來劃分不同的安全等級，并利用VLAN技術(shù)進行隔離，防止病毒或攻擊的傳染和擴散。(2)在網(wǎng)絡(luò)層面上，利用防火墻來實現(xiàn)數(shù)據(jù)包過濾，保證網(wǎng)絡(luò)訪問的安全性。(3)在應用層面上，通過部署上網(wǎng)行為管理軟件以及防病毒軟件來實現(xiàn)業(yè)務(wù)分類，對可能存在的病毒和攻擊進行防御。上述措施需要能達到提高校園網(wǎng)絡(luò)安全性的目的，但是都是各自為戰(zhàn)，并未從整體考慮，形成統(tǒng)一的防御體系。因此必須構(gòu)建一個整體的安全解決方案，發(fā)揮各種產(chǎn)品的優(yōu)勢來形成完整的防御體系。 校園網(wǎng)安全關(guān)鍵技術(shù)本節(jié)主要介紹校園網(wǎng)中可采取的安全技術(shù)，具體包括防火墻技術(shù)、數(shù)據(jù)加密技術(shù)、入侵檢測技術(shù)、認證技術(shù)以及安全掃描技術(shù)。 防火墻技術(shù)防火墻技術(shù)的主要作用在于通過設(shè)置各種策略來限制用戶訪問[32]，其通常被部署在網(wǎng)絡(luò)邊界，所有的訪問通道必須經(jīng)過防火墻，能起到提高網(wǎng)絡(luò)安全性的目的。正由于其具備較高的安全性，因此被廣泛應用在各種網(wǎng)絡(luò)中。下面對防火墻技術(shù)進行介紹。(1)防火墻特性。防火墻的特性主要包括如下幾個部分：第一，防火墻部署在網(wǎng)絡(luò)邊界，其是所有網(wǎng)絡(luò)數(shù)據(jù)流的必經(jīng)之道，只有滿足這一基本條件時，防火墻才能發(fā)揮相應的作用，保證內(nèi)部網(wǎng)絡(luò)的安全。第二，防火墻中可配置安全訪問策略，對于不滿足安全策略的網(wǎng)絡(luò)數(shù)據(jù)流會被阻擋，不讓進入內(nèi)部網(wǎng)絡(luò)。只有滿足要求的數(shù)據(jù)流才會通過防火墻，完成鏈路的轉(zhuǎn)換。第三，防火墻自身應具有非常強的抗攻擊免疫力。這是防火墻能擔當用戶內(nèi)部網(wǎng)絡(luò)安全防護重任的先決條件。(2)防火墻的作用。防火墻在整個安全防御體系中的作用包括如下幾個部分：第一，防火墻是安全防御體系中的一道屏障。防火墻若作為防御體系中的控制點則能大大提高內(nèi)部網(wǎng)絡(luò)的可靠性，其可通過設(shè)置相應的策略來阻塞不安全的應用，從而達到降低風險的目的。外部網(wǎng)絡(luò)若想進入內(nèi)部網(wǎng)絡(luò)，必須得到防火墻的運行，所以網(wǎng)絡(luò)環(huán)境變得更安全，如可在防火墻中設(shè)置禁止不阿全的NFS協(xié)議進出網(wǎng)絡(luò)，則所有利用此協(xié)議的應用都無法訪問到內(nèi)部網(wǎng)絡(luò)，如此不法份子也不能利用相關(guān)協(xié)議的缺陷來攻擊內(nèi)部網(wǎng)絡(luò)。除此以外，防火墻還能保護網(wǎng)絡(luò)免受基于路由的攻擊，如IP選項中的源路由攻擊和ICMP重定向中的重定向路徑。當防火墻接收到上述類型的攻擊后，會拒絕訪問請求，并產(chǎn)生告警提醒管理員進行處理，提高安全性。第二，在防火墻上可配置安全策略，對安全軟件進行集中式管理。防火墻管理員可將所有的安全軟件都安裝在防火墻上，實現(xiàn)集中式管理，其與傳統(tǒng)的安全軟件安裝在不同主機上的解決方案相比，具有很多的優(yōu)勢，如集中式管理模式成本較低，且易于管理以及為整個網(wǎng)絡(luò)設(shè)置統(tǒng)一的安全策略。比如在進行身份認證時，認證系統(tǒng)就可以集中部署在防火墻中，而不要安裝在不同的服務(wù)器上，如此可減少軟硬件的投入。第三，可監(jiān)控用戶對資源的訪問和存儲。在一個網(wǎng)絡(luò)中，若防火墻作為控制點，那么所有對內(nèi)部網(wǎng)絡(luò)的訪問都必須經(jīng)過防火墻，這樣勢必會在防火墻中留下痕跡，由此可通過特定的日志采集來獲取到用戶的操作行為。當出現(xiàn)不合法的操作時，防火墻可產(chǎn)生相應的告警提醒管理員進行及時的處理。除此以外，防火墻還可以統(tǒng)計當前網(wǎng)絡(luò)的使用情況，首先的理由是可以清楚防火墻是否能夠抵擋攻擊者的探測和攻擊，并且清楚防火墻的控制是否充足。而網(wǎng)絡(luò)使用統(tǒng)計對網(wǎng)絡(luò)需求分析和威脅分析等而言也是非常重要的。 第四，防止內(nèi)部信息的外泄。利用防火墻可將內(nèi)部網(wǎng)絡(luò)劃分為不同的網(wǎng)段，并為不同的網(wǎng)段設(shè)置不同的安全級別，甚至可以對重點網(wǎng)絡(luò)進行邏輯式隔離，從而非法用戶根本無法進行到相應的網(wǎng)段進行訪問操作。同時，信息安全是內(nèi)部網(wǎng)絡(luò)關(guān)注的重點，在某些情況下，一個小小的應用有可能為內(nèi)部網(wǎng)絡(luò)引入安全漏洞，成為攻擊者利用的對象，而使用防火墻可解決上述問題，其可隱蔽內(nèi)部網(wǎng)絡(luò)中的不安全服務(wù)。如禁止Finger服務(wù)展示內(nèi)部主機的相關(guān)信息等，事實上Finger獲取的信息很容易被不法分子得到。由此不法份子可了解許多有關(guān)主機的情況，如主機中是否有用戶在上網(wǎng)等。防火墻可以同樣阻塞有關(guān)內(nèi)部網(wǎng)絡(luò)中的DNS信息，這樣一臺主機的域名和IP地址就不會被外界所了解。(3)防火墻體系結(jié)構(gòu)。目前在防火墻中應用較多的體系結(jié)構(gòu)包括如下三種：第一種為雙重宿主結(jié)構(gòu)。在雙重宿主結(jié)構(gòu)中，雙宿主機通常情況在網(wǎng)絡(luò)中的充當路由器的作用，為了防止內(nèi)部網(wǎng)絡(luò)受到外部網(wǎng)絡(luò)的攻擊，可將防火墻的路由功能進行關(guān)閉，從而實現(xiàn)兩者的邏輯隔離。第二種為屏蔽主機。該結(jié)構(gòu)與雙重宿主結(jié)構(gòu)中的區(qū)別在于，其會額外配置路由器，該路由器負責與外部網(wǎng)絡(luò)的通信，由此外部網(wǎng)絡(luò)與內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)流必須經(jīng)過路由器和雙宿主機，不法份子若想攻擊內(nèi)網(wǎng)，則必須經(jīng)過雙重關(guān)卡，由此可知屏蔽主機結(jié)構(gòu)的可靠性更高。第三種為屏蔽子網(wǎng)。結(jié)構(gòu)比屏蔽主機結(jié)構(gòu)相比，安全性更高，主要原因在于其增加了一個安全層，利用安全層可實現(xiàn)內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)的嚴格隔離。 數(shù)據(jù)加密技術(shù)數(shù)據(jù)加密技術(shù)在提高網(wǎng)絡(luò)安全措施中起著舉足輕重的作用，其主要作用在于將關(guān)鍵信息轉(zhuǎn)換為另一種不易識別的格式，其他用戶只有具備密鑰的情況才能了解真實的信息。當前應用較多的加密技術(shù)包括對稱加密和非對稱加密兩種類型。(1)對稱加密技術(shù)。對稱加密技術(shù)的特點在于加密密鑰和解密密鑰一致，利用解密密鑰可獲得加密密鑰，反之亦然。利用對稱加密技術(shù)的雙方使用相同的共享密鑰，且由通信雙方協(xié)商獲得。目前應用較多的對稱加密技術(shù)包括DES、AES以及IEDA。(2)非對稱加密技術(shù)。非對稱加密技術(shù)與對稱加密技術(shù)存在較大區(qū)別，加密密鑰和解密密鑰不能相互推算，加密密鑰通常稱為公鑰，解密密鑰通常稱為私鑰，公鑰用于加密，私鑰用于解密，公鑰是公開的，私鑰是保密的，私鑰若泄露則會帶來較大的安全威脅。非對稱加密技術(shù)的加密速度較慢，但是安全性相對較高，通過應用在安全要求較高的場景。目前被認為是安全和有效的非對稱加密算法有：基于大整數(shù)因子分解困難性的RSA算法、基于離散對數(shù)計算困難性的橢圓曲線加密算法(ECC)、基于離散對數(shù)問題的數(shù)字簽名算法(DSA)等。 入侵檢測技術(shù)入侵檢測系統(tǒng)是網(wǎng)絡(luò)安全技術(shù)和信息技術(shù)結(jié)合的產(chǎn)物。使用入侵檢測技術(shù)可以實時監(jiān)視網(wǎng)絡(luò)系統(tǒng)的某些區(qū)域，當這些區(qū)域受到攻擊時，能夠及時檢測和立即響應。入侵檢測有動態(tài)和靜態(tài)之分，動態(tài)檢測用于預防和審計，靜態(tài)檢測用于恢復和評估。根據(jù)檢測對象的不同，入侵檢測系統(tǒng)可分為主機型和網(wǎng)絡(luò)型。 基于主機的監(jiān)測。主機型入侵檢測系統(tǒng)就是以系統(tǒng)日志、應用程序日志等作為數(shù)據(jù)源，當然也可以通過其他手段（如監(jiān)督系統(tǒng)調(diào)用）從所在的主機收集信息進行分析。主機型入侵檢測系統(tǒng)保護的一般是所在的系統(tǒng)。這種系統(tǒng)經(jīng)常運行在被監(jiān)測的系統(tǒng)之上，用以監(jiān)測系統(tǒng)上正在運行的進程是否合法。最近出現(xiàn)的一種ID（intrusio