【正文】 6)系統(tǒng)維護(hù)人員應(yīng)定期進(jìn)行培訓(xùn)，以更新計(jì)算機(jī)知識(shí)，跟。 4)系統(tǒng)維護(hù)人員應(yīng)定期對(duì) 本系統(tǒng)進(jìn)行網(wǎng)絡(luò)安全檢測(cè)和入侵檢測(cè)，以便檢查本系統(tǒng)是否存在安全漏洞。 2)系統(tǒng)維護(hù)人員應(yīng)及時(shí)下載并更新各主機(jī)上的病毒庫和系統(tǒng)補(bǔ)丁。 人員安全。在這里，因?yàn)?數(shù)據(jù)量較大，我們采用帶庫備份的方式（即磁帶庫）來備份所 有服務(wù)器上 的數(shù)據(jù)，備份僅僅是數(shù)據(jù)備份，而不是系統(tǒng)備份，即只針對(duì)磁盤陣列上的數(shù)據(jù)，而不理會(huì)各服務(wù)器的系統(tǒng)。 吉首大學(xué)圖書館的 圖書 信息數(shù)據(jù) 和電子期刊的數(shù)據(jù)均裝在本地服務(wù)器上，如發(fā)生以外卻 沒有備份將是非?？膳碌氖虑?。任何操作系統(tǒng)都有漏洞，只有及時(shí)地到相關(guān)網(wǎng)站下載并安裝最新的補(bǔ)丁才能增加系統(tǒng)的安全性，增強(qiáng)系統(tǒng)抗攻擊能力。我館采用瑞星殺毒 。目前主流的反病毒軟件有 KV3000. KILL..瑞星、諾頓等，它們都各有所長(zhǎng)，如瑞星殺毒 2020支持多種平臺(tái)、功能全面 。 5)應(yīng)具有權(quán)威機(jī)構(gòu)提供的認(rèn)證。 3)自動(dòng)檢測(cè)清除壓縮文件病毒能力。即集防病毒入侵、檢測(cè)病毒、清除病毒功能于一身。隨著形形色色計(jì)算機(jī)病毒的出現(xiàn)，其破壞性、隱蔽性不斷增強(qiáng)， 反病毒產(chǎn)品也相繼大量涌現(xiàn)。 計(jì)算機(jī)病 毒對(duì)圖書館網(wǎng)絡(luò)具有不可估量的威脅 性和破壞力。 4)為了防止猜口令的非法用戶。定期檢查關(guān)鍵配置文件。 3)定期檢查。但是用戶平時(shí)使用到的服務(wù)組件畢竟有限 。 2)屏蔽不需要的服務(wù)組件。主流操作系統(tǒng)都存在一些安全上的問題，為了保證各操作系統(tǒng)在網(wǎng)絡(luò)應(yīng)用中的安全，杜絕配置和管理上的漏洞，應(yīng)該做好如下幾方面的工作 : 1)及時(shí)打好系統(tǒng)的補(bǔ)丁。對(duì)于本機(jī)的安全設(shè)置，需從操作系統(tǒng)的安全管理和安裝反病毒產(chǎn)品兩方面來考慮。 主 機(jī)上的安全設(shè)置 26 要使圖書館的網(wǎng)絡(luò)安全得到更進(jìn)一步的保障，本機(jī)上的安全設(shè)置非常重要。圖書館所有工作人員用機(jī)，除特殊需要外，不能向?qū)W校以外的網(wǎng)絡(luò)開放，這就從另一方面防止了病毒的感染和黑客的入侵。將以太網(wǎng)通信變?yōu)辄c(diǎn)到點(diǎn)通信，防止大部分基于網(wǎng)絡(luò)偵聽的入 侵進(jìn)行虛網(wǎng)劃分及訪問列表控制。 6)VLAN 劃分 在分布式網(wǎng)絡(luò)環(huán)境下，我們按機(jī)構(gòu)或部門的設(shè)置來劃分 VLAN。 防火墻提供的網(wǎng)絡(luò)地址轉(zhuǎn)換（ Network Address Translation ）功能不僅可以隱藏內(nèi)部網(wǎng)路地 址信息，使外界無法直接訪問內(nèi)部網(wǎng)絡(luò)設(shè)備，同時(shí)，它還幫助網(wǎng)絡(luò)可以超越地址的限制，合理地安排網(wǎng)絡(luò)中的公有 Inter 地址和私有 IP 地址的使用。 由于兩校區(qū)圖書館分屬于不同的 C 類地址段，就目前而言 為實(shí)現(xiàn)其他校區(qū)對(duì)新校區(qū)圖書館的業(yè)務(wù) 用機(jī) 訪問 ，我們可以施 MAC 地址綁定，將他其兩個(gè) 校區(qū)使用服務(wù)器的用戶的 IP 地址與其 MAC 地址綁定，即其他 校區(qū)工作用機(jī)被分配一個(gè) IP地址以后，防火墻系統(tǒng)接收到相應(yīng)的地址廣播，在防火墻系統(tǒng)上列出 IP 地址與相應(yīng)的 MAC 地址，并選擇把這個(gè) IP 地址與相應(yīng)的 MAC 地址綁定，這樣可限定 IP 地址只能在一臺(tái)指定的工作站上使用，可以防止 IP 地址冒用。即先關(guān)閉所有服務(wù)和端口，然后根據(jù)需要開放相應(yīng)服務(wù)和端口。 3 內(nèi)部私網(wǎng) 高 可自由訪問外部網(wǎng)絡(luò)資源；對(duì)外不可見。 1)依照網(wǎng)絡(luò)拓?fù)鋱D 看 ， 網(wǎng)絡(luò)通過連接校園網(wǎng)絡(luò)中心，接入 Inter 因此也劃入外DMZ 區(qū)（?；饏^(qū)）放置 WEB 服務(wù)器，媒體 點(diǎn) 播服務(wù)器，以及各種應(yīng) 用服務(wù)器，面向校內(nèi)用戶提供服務(wù)：內(nèi)部私網(wǎng)放置圖書館自動(dòng)化系統(tǒng)， 備份設(shè)備以及內(nèi)部工作用機(jī)。我將從四部分考慮：網(wǎng)絡(luò)安全、主機(jī)安全、數(shù)據(jù)安全、人員安全。整個(gè)為三個(gè)獨(dú)立的網(wǎng)絡(luò)，它們通過 Inter 相互連接。 8)在制定安全策略時(shí)還要注意遵循最小特權(quán)原則、縱深防御原則、阻塞點(diǎn)原則、 最薄弱鏈接原則和失效保護(hù)狀態(tài)原則。 7)分階段實(shí)施原則。 6)可管理性與擴(kuò)展性。 5)可用性。 4)設(shè)備的先進(jìn)性與成熟性。 3)簡(jiǎn)單化原則。安全模塊和設(shè)備的引入應(yīng)該體現(xiàn)系統(tǒng)運(yùn)行和管理的統(tǒng)一性。對(duì)任一 網(wǎng)絡(luò)，絕對(duì)的安全是不可能實(shí)現(xiàn)的，應(yīng)對(duì)一個(gè)網(wǎng)絡(luò)進(jìn)行實(shí)際研究 (包括任務(wù)、性能、結(jié)構(gòu)、可靠性、可維護(hù) 性等 )，并對(duì)網(wǎng)絡(luò)面臨的威脅及可能承擔(dān)的風(fēng)險(xiǎn)進(jìn)行定性與定量相結(jié)合的分析，然后制定 規(guī)范和措施，確定安全策略。 6)安全產(chǎn)品具有合法性，并便于安全管理單位的檢查與監(jiān)督。 4)進(jìn)一步完善網(wǎng)絡(luò)拓?fù)錂C(jī)構(gòu)，使之在安全性能上得到提高和改進(jìn)，并便于系統(tǒng) 結(jié) 構(gòu)和功能的擴(kuò)展。 2)保持網(wǎng)絡(luò)原有的性能特點(diǎn)，即對(duì)網(wǎng)絡(luò)協(xié)議和傳輸具有透明性。要考慮到 安全層次、技術(shù)難度、經(jīng)費(fèi)支出及性能價(jià)格比等因素。 為解決網(wǎng)絡(luò)系統(tǒng)中存在的安全隱患，保障網(wǎng)絡(luò)及信息的安全，我們?cè)O(shè)計(jì)了 吉大圖書館網(wǎng)絡(luò)安全解決方案，并將分階段組織實(shí)施。通過 IP地址限制，可拒絕校外用戶訪問，但對(duì)校內(nèi)用戶及館內(nèi)用戶的惡意攻擊缺少有效的監(jiān)控保護(hù)手段。 2)WINDOWS系列操作系統(tǒng)均存在安全漏洞。 現(xiàn)有網(wǎng)絡(luò)環(huán)境 吉首大學(xué)圖書館現(xiàn)有新校區(qū)、大田灣校區(qū)、張家界校區(qū)，主機(jī)房在新 校區(qū)。 然而 ,隨著數(shù)字圖書館的建設(shè)，各種數(shù)據(jù)庫的購置和推廣，使用數(shù)字圖書館的機(jī)構(gòu)也越來越多，各院系教師、科員人員以及學(xué)生對(duì)數(shù)字圖書館的依賴性也越來越強(qiáng)，網(wǎng)絡(luò)安全隱患也越來越嚴(yán)重，一旦服務(wù)器出現(xiàn)問題，致使服務(wù)中斷，將對(duì)使用者造成極大的影響。 Inter 外部過濾路由器 內(nèi)部過濾路由器 堡壘主機(jī) 信息服務(wù)器 22 防火墻的發(fā)展趨勢(shì) 現(xiàn)在防火墻技術(shù)正向著混合型發(fā)展，即其綜合了數(shù)據(jù)包過濾和代理系統(tǒng)的特點(diǎn)與功能，同時(shí)還兼有帶寬管理， NAT (Net Address Translation)，劃分 VLAN,完善的日志，動(dòng)態(tài)的數(shù)據(jù)包過濾，構(gòu)建 VPN虛通道等功能，隨著具有這些功能的防火墻的研制成功并上市，使得我們選擇的余地也越來越大。 DMZ區(qū) 內(nèi)網(wǎng) 屏蔽主機(jī)體系結(jié)構(gòu) 復(fù)合結(jié)構(gòu) 以上三種為防火墻的基本體系結(jié)構(gòu)，在實(shí)際應(yīng)用中，還可根據(jù)具體的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)以及資 Inter外部過濾路由器 。在該體系結(jié)構(gòu)中，信息服務(wù)器等公用服務(wù)器放在 DMZ網(wǎng) 絡(luò)中，供內(nèi)、外網(wǎng)使用，而內(nèi)網(wǎng)則又增加了一臺(tái)內(nèi)部包過濾路由器，該路由器與外部包過濾路由器的規(guī)則完全不同，且只接受源于堡壘主機(jī)的數(shù)據(jù)包，負(fù)責(zé)管理 DMZ與內(nèi)部網(wǎng)絡(luò)的通信。周邊防御網(wǎng)段所構(gòu)成的子網(wǎng)又被稱為“非軍事區(qū)(Demilitarized Zone)，即 DMZ區(qū)或?；饏^(qū)，它支持網(wǎng)絡(luò)層和應(yīng)用層的安全功能，這一網(wǎng)段所受到的威脅不會(huì)影響到內(nèi)部網(wǎng)絡(luò)。 屏蔽子網(wǎng)體系結(jié)構(gòu) 屏蔽子網(wǎng)體系結(jié)構(gòu)在屏蔽主機(jī)體系結(jié)構(gòu)基礎(chǔ)上增加 了一臺(tái)內(nèi)部包過濾路由器，堡壘主機(jī) 包過濾路由器 Inter 21 增設(shè)了一個(gè)周邊防御網(wǎng)段，用以進(jìn)一步隔離內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)。而且與雙宿主主機(jī)體系結(jié)構(gòu)一樣，如果侵襲者設(shè)法繞過防火墻侵入堡壘主機(jī)，則在堡壘主機(jī)和其余的內(nèi)部主機(jī)之間沒有任何保護(hù)網(wǎng)絡(luò)安全的東西存在。同理，內(nèi)網(wǎng)其他主機(jī)對(duì)外通信也必須先經(jīng)過堡壘主機(jī)的認(rèn)證和代理，然后將其數(shù)據(jù)轉(zhuǎn)發(fā)給防火墻，通過防火墻的審查后發(fā)送至外網(wǎng)。如圖所示，在屏蔽主機(jī)體系結(jié)構(gòu)中，數(shù)據(jù)流的方向是 :Inter?包過濾路由 器防火墻 ?堡壘主機(jī) ?內(nèi)網(wǎng)其他主機(jī)。包過濾路由 器位于內(nèi)外網(wǎng)的連接處，堡壘主機(jī)只有一塊網(wǎng)卡，位于內(nèi)部網(wǎng)內(nèi)。同時(shí)，由于雙宿主主機(jī)擔(dān)任了內(nèi)、外網(wǎng)通信的橋梁，因此，當(dāng)內(nèi)外網(wǎng)之間的信息量較大時(shí)，該主機(jī)將不可避免得成為此網(wǎng)絡(luò)通信的瓶頸。該主機(jī)運(yùn)行應(yīng)用代理程 序，充當(dāng)內(nèi)、 外網(wǎng)的轉(zhuǎn)發(fā)器，但其關(guān)閉了正常的 IP路由功能，即數(shù)據(jù)包不能從一個(gè)網(wǎng)絡(luò)直接發(fā)送到另一個(gè)網(wǎng)絡(luò)，而是要通過運(yùn)行在雙宿主主機(jī)上的代理服務(wù)程序來完成。所以，在實(shí)際使用時(shí)，出于對(duì)更高的安全性的要求，通常 把包過濾和代理服務(wù)技術(shù)結(jié)合起來使用，其基本的體系結(jié)構(gòu)有 . 雙宿主主機(jī)體系結(jié) 構(gòu) . 屏蔽主機(jī)體系結(jié)構(gòu) . 屏蔽子網(wǎng)體系結(jié)構(gòu) Sever Proxy client Proxy sever 訪問控制 client 堡壘主機(jī)對(duì)截獲的通信進(jìn)行檢測(cè)、過濾并進(jìn)行詳細(xì)的日記記錄 代理應(yīng)用程序 19 內(nèi) 網(wǎng) 雙 宿主主機(jī)體系結(jié)構(gòu) 雙宿主主機(jī)體系結(jié)構(gòu) 所謂多宿主主機(jī)是指具 有多個(gè)網(wǎng)絡(luò)接口卡的主機(jī)， 每個(gè)網(wǎng)卡都與網(wǎng)絡(luò)相連。 防火墻的實(shí)現(xiàn)方式 前面我們對(duì)防火墻的兩種基本技術(shù)一包過濾和代理服務(wù)進(jìn)行了詳細(xì)的討論。因此，每出現(xiàn)一個(gè)新的協(xié)議，必須為之開發(fā)一個(gè)相應(yīng)的新的應(yīng)用代理程序。同時(shí) ,代理服務(wù)器所具有的網(wǎng)絡(luò)地址轉(zhuǎn)換 (NAT)功能可以屏蔽內(nèi)網(wǎng)的 IP地址，使 Intra的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)對(duì)外界 Inter來講是不可見的。代理在發(fā)出請(qǐng)求的客戶和服務(wù)器之間復(fù)制數(shù)據(jù)，相當(dāng)于一個(gè)中繼。 在連接建立起來后，對(duì)客戶端來說，與代理服務(wù)器交談就像與真實(shí)的服務(wù)器交談一樣，此時(shí)，代理服務(wù)扮演服務(wù)器的角色 。如圖 53所示。具有訪問 Inter功能的主機(jī)充當(dāng)沒有該功能的主機(jī)的代理人來完成這些機(jī)器想做的事。 應(yīng) 用層網(wǎng)關(guān)又被稱之為代理服務(wù)器。他們的優(yōu)點(diǎn)是堡壘主機(jī)可以被設(shè)置成混合網(wǎng)關(guān)，對(duì)于內(nèi)連接支持應(yīng)用層網(wǎng)關(guān) (即代理服務(wù) ).而對(duì)外連接支持電路層功能。在調(diào)用期間，網(wǎng)關(guān)中繼程序復(fù)制往返的字節(jié)。電路層網(wǎng)關(guān)對(duì) TCP連接實(shí)行中繼。電路層網(wǎng)關(guān)是一個(gè)特殊的功能，可以由應(yīng)用層網(wǎng)關(guān)來完成。但正因?yàn)槠錄]有日志和審計(jì)功能，因此有很多信息不能提供，使得管理員不易對(duì)事件進(jìn)行跟蹤檢查，有可能受到欺騙性攻擊。只要丟棄所有協(xié)議類型為 TCP,且 IP片斷偏移值為 1的信息分組即可。 .IP殘片攻擊 。 .源路由攻擊 :源站指定了一個(gè)信息分組穿越 INTERNET時(shí)應(yīng)走的路徑。防止這類攻擊，在過濾規(guī)則中應(yīng)檢查特定 IP選項(xiàng)、檢驗(yàn)特殊片段偏移，下面是對(duì)幾種攻擊的對(duì)策 : .源 IP地址欺騙 :這類攻擊的形式是入侵者從偽裝成內(nèi)部主機(jī)的外部節(jié)點(diǎn) 傳送信息分組 。當(dāng)然，也可以將上述幾種方式組合起來制定過濾規(guī)則。 通過以上三個(gè)定義我們不難看出，過濾規(guī)則的設(shè)計(jì)主要依賴于數(shù)據(jù)包所提供的包頭信息。 分析分組的 IP,TCP,UCP 的頭域 分配下一個(gè)過濾規(guī) 如匹配則接受 如不匹配則拒絕 最后一條規(guī)則 轉(zhuǎn) 發(fā) 丟 棄 17 . 半連接 (half association):描述了連接的一端的信息，它可由一個(gè)三 元 組來定義 (協(xié)議類型、 IP地址、 TCP/UDP端口號(hào) )。 過濾規(guī)則設(shè)計(jì) 為完成數(shù)據(jù) 包過濾，需設(shè)計(jì)一套過濾規(guī)則以規(guī)定什么類型的數(shù)據(jù)包被轉(zhuǎn)發(fā)或被丟棄。如果沒有匹配原則，用戶配置的缺省參數(shù)會(huì)決定是轉(zhuǎn)發(fā)還是丟棄數(shù)據(jù)包。包的進(jìn)入接口和出接口如果有匹配并且規(guī)則允許該數(shù)據(jù)包，那么該數(shù)據(jù)包就會(huì)按照路由表中的信息被轉(zhuǎn)發(fā)。具體來說，路由器審查每個(gè)數(shù)據(jù)包以便確定其是否與某一條包過濾規(guī)則匹配。 3)封裝的協(xié)議類型 (TCP、 UDP、 ICMP等 ) 4) TCP或 UDP源端口 。 數(shù)據(jù)包過濾是針對(duì)分組的包 頭 信息來進(jìn)行的，每個(gè)數(shù)據(jù)包都包含有特定信息的一組包頭，其主要信息有 : 1)IP源地址 。 數(shù)據(jù)包過濾技術(shù)是以數(shù)據(jù)包頭為基礎(chǔ)，按照路由器配置中的一組規(guī) 則講數(shù)據(jù)包分類，然后在網(wǎng)絡(luò)層對(duì)數(shù)據(jù)包進(jìn)行選擇，選擇的依據(jù)是系統(tǒng)內(nèi)設(shè)置的過濾邏輯 (被稱為訪問控制列表 )。 15 防火墻的類型與運(yùn)行機(jī)制 目 前 ,從防火墻運(yùn)行的層次上來講，其主要有包過濾和代理兩大類，其中代理 (也稱為網(wǎng)關(guān) )又分為應(yīng)用層和電路層兩種。 。 。防火墻對(duì)企業(yè)內(nèi)部網(wǎng)實(shí)現(xiàn)集中的安全管理，在防火墻定義 的安全規(guī)則可以運(yùn)用于整個(gè)內(nèi)部網(wǎng)絡(luò)系統(tǒng)，而無需在內(nèi)部網(wǎng)每臺(tái)機(jī)器上分別設(shè) 立安 全策略。 IP地址，通過地 址轉(zhuǎn)換來解決 Inter IP地址不足的問題 。 。 Inter上的活動(dòng)。防火墻是站在內(nèi)網(wǎng)與外網(wǎng)交界處的“交通警察” ,它執(zhí)行站點(diǎn)的安全策略 ,僅僅允許認(rèn)可的和符合規(guī)則的請(qǐng)求通過。在確保防火墻安全或比較安全的前提下提高訪問效率是當(dāng)前防火墻技術(shù)研究和實(shí)現(xiàn)的熱點(diǎn)。現(xiàn)在多數(shù)防火墻都在這兩種之間采取折中措施。二是一切未被禁止的就是允許的。 防火墻一方面限制數(shù)據(jù)流通 ,一方面又允許數(shù)據(jù)流通，由于不同網(wǎng) 絡(luò)的安全要求和管理機(jī)制有差別，這對(duì)矛盾也有不同的表現(xiàn)形式。從邏輯上講，防火墻是分離器、限制器、分析器。 防火墻是近年來發(fā)展起來的重要安全技術(shù)，其特征是通過在網(wǎng)絡(luò)邊界上建立相應(yīng)的網(wǎng)絡(luò)通訊監(jiān)控系統(tǒng)來達(dá)到保障網(wǎng)絡(luò)安全的目的。為了提供一個(gè)安全的環(huán)