【正文】 P包，或者在該網段路由器上對ICMP進行帶寬限制，控制其在一定的范圍內。（2）防止SYN數據段攻擊，我們應對系統(tǒng)設定相應的內核參數，使得系統(tǒng)強制對超時的SYN請求連接數據包復位，同時通過縮短超時常數和加長等候隊列使得系統(tǒng)能迅速處理無效的SYN請求數據包。（3）建議在網段的路由器上做起配置的調整，這些調整包括限制SYN半公開數據包的流量和廣數。（4）建議在路由器的前端做必要胡TCP攔截，使得只有完成TCP三次握手過程的數據包才可進入網段。第五章 校園網絡安全體系通過以上對網絡攻擊分析和防范的設計，校園網絡也會面臨同樣的威脅，所以我們在知道網絡功防基礎上應該構筑校園網絡安全體系，要從兩個方面著手：一是采用一定的技術；二是不斷改進管理方法。從技術角度看，目前常用的安全手段有內外網隔離技術、加密技術、身份認證、訪問控制、安全路由等，這些技術對防止非法入侵系統(tǒng)起到了一定的防御作用。防火墻作為一種將內外網隔離的技術，普遍運用于校園網安全建設中。 校園網絡安全規(guī)范 在校園網的需求來講，校園的網絡安全是指利用各種網絡監(jiān)控和管理技術措施，對網絡系統(tǒng)的硬件、軟件及系統(tǒng)中的數據資源實施保護，使其不會因為一些不利因素而遭到破壞，從而保證網絡系統(tǒng)連續(xù)、安全、可靠地運行。校園網分為內部網和互聯網兩部分，技術上采用虛擬網管理。一般用戶不提供與internet直接相連，需要直接連接的用戶應向校園網管理委員會提出申請，獲準后由網絡中心分配IP地址并提供相應的入網軟硬件，具有直接連接權限的用戶應與校園網管中心簽定保密協(xié)議書，并自覺接受網絡安全員的檢查。學校網絡中心負責網絡設備的運行管理，信息中心負責網絡資源，用戶帳戶肯安全管理，系統(tǒng)管理員口令絕對保密，根據用戶需求嚴格控制，合理分配用戶權限。網絡用戶口令應經常更新，防殺病毒軟件本身無毒，向學生開放的教學實驗室應禁止使用軟驅和光驅，以杜絕病毒的傳播。校園網絡信息系統(tǒng)以自行開發(fā)為主，系統(tǒng)軟件應對訪問權限嚴格限制，對不同操作人員，不同信息的內容需按等級分設口令。學校信息系統(tǒng)采用客戶/服務器結構，數據由網絡信息中心及網絡管理部門進行定期備份，對備份后的數據應有專人保管，確保發(fā)生意外情況時能及時恢復系統(tǒng)運行，加強監(jiān)督管理工作，使用過程中的重要信息記錄要保存到事故文件中，以便掌握使用情況，發(fā)生可疑現象，及時追查安全事故責任。 安全方案建議 校園網絡狀況分析（1）資源分布和應用服務體系校園網絡可向網絡用戶提供：域名服務（DNS），電子郵件服務（Email）,遠程登錄（telnet），文件傳輸服務（ftp）,電子廣告牌，BBS，電子新聞，WWW以及信息收集，存儲，交換，檢索等服務。（2）網絡結構的劃分整個網絡是由各網絡中心，和園區(qū)內部網絡通過各種通信方式互聯而成的，所有網絡可歸納為由連接子網、公共子網、服務子網、內部網四個部分組成。這四部分組成一個獨立單位的局域網，然后通過廣域連接與其他網絡連接。 網絡安全目標 為了增加網絡胡安全性，必須對信息資源加以保護，對服務資源加以控制肯管理。（1）信息資源 a:公眾信息；即不需要訪問控制。 b:內部信息；即需要身份驗證以及根據根據身份進行訪問控制。 C:敏感信息；即需要驗證身份和傳輸加密。（2）服務資源包括：內部服務資源、公眾服務資源 內部服務資源：面向已知客戶，管理和控制內部用戶對信息資源的訪問。 公眾服務資源：面向匿名客戶，防止和抵御外來的攻擊。 校園網絡安全技術的應用校園網的網絡攻擊主要來自internet中,所以對網絡的攻擊可以分為兩種基本的類型，即服務攻擊與非服務攻擊。（1）服務攻擊指對為網絡提供某種服 的服務器發(fā)起攻擊，遭成該網絡的“拒絕服務”，使網絡工作部正常。拒絕服務攻擊將會帶來消耗帶寬、消耗計算資源、使系統(tǒng)和應用崩潰等后果，它是阻止針對某種服務的合法使用者訪問他有權的服務。（2）非服務攻擊 非服務攻擊是針對網絡層等低層協(xié)議進行的，攻擊者可能使用各種方法對網絡通信設備發(fā)起攻擊，使得網絡通信設備工作嚴重阻塞或癱瘓，導致一個局域網或更多的網布能正常工作。與服務攻擊相比，非服務攻擊與特定服務無關，它往往利用協(xié)議或操作系統(tǒng)實現協(xié)議時的漏洞來達到目的。（3）非授權訪問 非授權訪問是指存儲在聯網計算機中的信息或服務被未授權的網絡用戶非法使用，或者被授權用戶越權濫用。網絡的非法用戶可以通過猜測用戶口令，竊取口令的辦法，或者設法繞過網絡安全認證系統(tǒng)來冒充合法用戶，非法查看、下載、修改、刪除未授權訪問的信息，以及使用未授權的網絡服務。訪問授權一般是由計算機操作系統(tǒng)、數據庫管理系統(tǒng)、應用軟件與網絡操作系統(tǒng)和防火墻來共同保障，通常采用的方法是用戶訪問權限設置、用戶口令加密、用戶身份認證、數據加密與結點地址過濾等。 建立網絡安全模型通信雙方在網絡上傳輸信息時，需要先在發(fā)送和接收方之間建立一條邏輯通道。為了在開放的網絡環(huán)境中安全地傳輸信息，需要對信息提供安全機制和安全服務，如圖51所示。圖 51 網絡安全模型信息的安全傳輸包括兩個基本部分： （1）對發(fā)送的信息進行安全轉換（如信息加密），實現信息的保密性?；蛘吒郊右恍┨卣餍畔ⅲ员氵M行發(fā)送方身份驗證。 （2）發(fā)送和接收雙方共享的某些信息（如加密密鑰），這些信息除了對可信任的第三方外，對于其他用戶是保密的。 為了信息的安全傳輸，通常需要一個可信任的第三方。第三方的作用是負責向通信雙方秘密信息，并在雙方發(fā)生爭議時進行仲裁。設計一個網絡安全方案時，需要完成以下四個基本任務：（1）設計一個算法，執(zhí)行安全相關的轉換；（2）生成該算法的秘密信息（如密鑰）；（3）研制秘密信息的分發(fā)與共享的方法；（4）設定兩個責任者使用的協(xié)議，利用算法和秘密信息取得安全服務。 數據備份方法 數據備份有多種實現形式，從不同的角度可以對備份進行不同的分類：從備份模式來看，可以分為物理備份和邏輯備份；從備份策略來看，可以分為完全備份、增量備份和差異備份；根據備份服務器在備份過程中是否可以接收用戶響應和數據更新，又可以分為離線備份和在線備份。（1）邏輯備份 邏輯備份也可以稱作“基于文件的備份”。每個文件都是由不同的邏輯塊組成的，每個邏輯塊存儲在連續(xù)的物理磁盤塊上，基于文件的備份系統(tǒng)能識別文件結構，并拷貝所有的文件和目錄到備份資源上。系統(tǒng)順序讀取每個文件的物理塊，然后備份軟件連續(xù)地將文件寫入到備份介質上，從而使得每個單獨文件的恢復變得更快。（2）物理備份。 物理又稱“基于塊的備份”或“基于設備的備份”，其在拷貝磁盤塊到備份介質上時忽略文件結構，從而提高備份的性能。因為備份軟件在執(zhí)行過程中，花費在搜索操作上的開銷很少。（3）完全備份 完全備份是指整個系統(tǒng)或用戶指定的所有文件數據進行一次全面的備份，這是一種最基本，也是最簡單的備份方式。這種備份方式的好處就是很直觀，容易理解。如果在備份間隔期間出現數據丟失等問題，可以只使用一份備份文件快速地恢復所丟失的數據。（4）增量備份為了解決上述完全備份的兩個缺點，出現了更快、更小的增量備份。增量備份只備份相對于上次備份操作以來新創(chuàng)建或者更新過的數據。因為在特定的時間段內只有少量的文件發(fā)生改變，沒有重復的備份數據，因此既節(jié)省空間，又縮短了備份的時間。因而這種備份方法比較經濟，可以頻繁地進行。（5）差異備份 差異備份即備份上一次完全備份后產生和更新的所有新的數據。它的主要目的是將完全恢復時涉及到備份記錄數量限制在兩個，以簡化恢復的復雜性。 防火墻技術防火墻是在網絡之間通過執(zhí)行控制策略來保護網絡的系統(tǒng)，它包括硬件和軟件。設置防火墻的目的是保護內部網絡資源不被外部非授權用戶使用。防火墻的功能包括：（1）檢查所有從外部網絡進入內部網絡流出到外部網絡的數據包。（2）執(zhí)行安全策略，限制所有不符合安全策略要求的數據包通過。（3）具有防攻擊能力，保證自身的安全性。防火墻是一個由軟件與硬件組成的系統(tǒng)。由于不同內部網的安全策略與防護目的不同，防火墻系統(tǒng)的配置與實現方式也有很大的區(qū)別。簡單的一個包過濾路由器或應用網關、應用代理服務器都可以作為防火墻使用。入侵檢測系統(tǒng)是對計算機和網絡資源的惡意使用行為進行識別的系統(tǒng)。它的目的是監(jiān)測和發(fā)現可能存在的攻擊行為，包括來自系統(tǒng)外部的入侵行為和來自內部的非法授權行為，并采取相應的防護手段。它的基本功能包括：（1）監(jiān)控、分析用戶和系統(tǒng)的行為。（2）檢查系統(tǒng)的配置和漏洞。（3）評估重要的系統(tǒng)和數據文件的完整性。（4）對異常行為的統(tǒng)計分析，識別攻擊類型，并向網絡管理人員報警。（5）對操作系統(tǒng)進行審計、跟蹤管理，識別違反授權的用戶活動。 網絡安全評估網絡安全評估系統(tǒng)是一種集網絡安全檢測、風險評估、修復、統(tǒng)計分析和網絡安全風險集中控制管理功能于一體的網絡安全設備。通過掃描某個網絡內的主機，再進行智能分析，得到該網絡的安全狀況分析圖表，以及每個機器的詳細的安全登記評估圖表。從本質來講評估技術就是一種檢測技術。網絡安全評估分析技術可以分為基于應用和基于網絡的兩種評估分析技術。 （1）基于應用的技術采用被動、非破壞的辦法檢測應用軟件包的設置，發(fā)現安全漏洞。（2）基于網絡的技術采用積極的、非破壞的辦法來檢驗系統(tǒng)是否有可能被攻擊。 校園安全隱患當時，校園網絡主要存在的安全隱患和漏洞有：（1）校園網通過CERNET與Internet相連，在享受Internet方便快捷的同時，也面臨著遭遇攻擊的風險。（2）校園網內部也存在很大的安全隱患，由于內部用戶對網絡的結構和應用模式都比較了解，因此來自內部的安全威脅更大一些。而現在，黑客攻擊工具在網上十分常見，一般人員并不需要很復雜的知識就能用，所以存在很大的危險。（3）目前使用的操作系統(tǒng)存在安全漏洞，對網絡安全構成了威脅。大學的網絡服務器安裝的操作系統(tǒng)有Windows2000/Windows200Unix、Linux等，這些系統(tǒng)安全風險級別不同，例如WIN2000/WIN2003的普遍性和可操作性使得它也是最不安全的系統(tǒng)：本身系統(tǒng)的漏洞、瀏覽器的漏洞、IIS的漏洞；Unix由于其技術的復雜性導致高級黑客對其進行攻擊：自身安全漏洞（RIP路由轉移等）、服務安全漏洞、Unix自身的病毒等等，這些都對原有網絡安全構成威脅。（4）隨著校園內計算機應用的大范圍普及，接入校園網節(jié)點日漸增多，而這些節(jié)點大部分都沒有采取一定的防護措施，隨時有可能造成病毒泛濫、信息丟失、數據損壞、網絡被攻擊、系統(tǒng)癱瘓等嚴重后果。由此可見，構筑具有必要的信息安全防護體系，建立一套有效的網絡安全體系顯得尤其重要。 校園網主動防御體系校園網的安全威脅既有來自校內的，也有來自校外的。在設計校園網網絡安全系統(tǒng)時，首先要了解學校的需要和目標，制定安全策略，需要注意的是，網絡上的業(yè)務目標、安全策略與安全設計之間的關系是一體的。因此網絡安全防范體系應該是動態(tài)變化的，在完成安全防范體系的設計后，必須不斷適應安全環(huán)境的變化，以保證網絡安全防范體系的良性發(fā)展，確保它的有效性和先進性。 P2DR模型美國國際互聯網安全系統(tǒng)公司( ISS )提出的 P 2 D R模型是指：策略 ( P o l i c y )、防護( P r o t e c t i o n )、檢測( D e t e c t i o n ) 和響應 ( R e s p o n s e )。P 2 D R模型強調防護、檢測和響應等環(huán)節(jié)的動態(tài)循環(huán)過程，通過這種過程達到保持網絡系統(tǒng)的相對安全。所以P 2 D R模型是“整體的、動態(tài)的”的安全循環(huán)，在安全策略整體的控制下指導下保證信息系統(tǒng)的安全。P 2 D R模型如圖52所示。 圖 52 P2DR模型P2DR模型是美國ISS公司提出的動態(tài)網絡安全體系的代表模型，也是動態(tài)安全模型的雛形。P2DR模型包括四個主要部分：Policy(安全策略)、Protection(防護)、Detection(檢測)和 Response(響應)。P2DR 模型是在整體的安全策略的控制和指導下，在綜合運用防護工具(如防火墻、操作系統(tǒng)身份認證、加密等)的同時，利用檢測工具(如漏洞評估、入侵檢測等)了解和評估系統(tǒng)的安全狀態(tài)，通過適當的反應將系統(tǒng)調整到“最安全”和“風險最低”的狀態(tài)。防護、檢測和響應組成了一個完整的、動態(tài)的安全循環(huán)，在安全策略的指導下保證信息系統(tǒng)的安全。該理論的最基本原理就是認為，信息安全相關的所有活動，不管是攻擊行為、防護行為、檢測行為和響應行為等等都要消耗時間。因此可以用時間來衡量一個體系的安全性和安全能力。作為一個防護體系，當入侵者要發(fā)起攻擊時，每一步都需要花費時間。當然攻擊成功花費的時間就是安全體系提供的防護時間Pt；在入侵發(fā)生的同時，檢測系統(tǒng)也在發(fā)揮作用，檢測到入侵行為也要花費時間―檢測時間Dt；在檢測到入侵后，系統(tǒng)會做出應有的響應動作，這也要花費時間―響應時間Rt。P2DR 模型就可以用一些典型的數學公式來表達安全的要求：（1）公式 1：Pt Dt + Rt 。Pt代表系統(tǒng)為了保護安全目標設置各種保護后的防護時間；或者理解為在這樣的保護方式下，黑客（入侵者）攻擊安全目標所花費的時間。Dt代表從入侵者開始發(fā)動入侵開始，系統(tǒng)能夠檢測到入侵行為所花費的時間。Rt代表從發(fā)現入侵行為開始，系統(tǒng)能夠做出足夠的響應，將系統(tǒng)調整到正常狀態(tài)的時間。那么，針對于需要保護的安全目標，如果上述數學公式滿足防護時間大于檢測時間加上響應時間，也就是在入侵者危害安全目標之前就能被檢測到并及時處理。（2）公式 2：Et = Dt + Rt，如果 Pt = 0。公式的前提是假設防護時間為0。Dt代表從入侵者破壞了安全目標系統(tǒng)開始，系統(tǒng)能夠檢測到破壞行為所花費的時間。Rt代表從發(fā)現遭到破壞開始，系統(tǒng)能夠做出足夠的響應，將系統(tǒng)調整到正常狀態(tài)的時間。比如，對Web Server被破壞的頁面進行恢復。那么，Dt與Rt的和就是該安全目標系統(tǒng)的暴露時間Et。針對于需要保護的安全