【正文】 全方位的從四個(gè)方面對(duì)整個(gè)校園網(wǎng)的安全進(jìn)行管理和維護(hù)： 1. 統(tǒng)一用戶管理： 對(duì)于一般高校來(lái)說(shuō)，校園網(wǎng)中一般已經(jīng)有很多基于不同平臺(tái)、不同開(kāi)發(fā)商、在不同時(shí)間開(kāi)發(fā)的各個(gè)應(yīng)用系統(tǒng)，形成一個(gè)個(gè)的 ―信息孤島 ‖。 統(tǒng)一用戶管理是指將校園內(nèi)各種人員在信息系統(tǒng)中的數(shù)字身份統(tǒng)一管理起來(lái)，實(shí)現(xiàn)各應(yīng)用系統(tǒng)的用戶身份信息整合，這是實(shí)現(xiàn)用戶權(quán)限管理，應(yīng)用集成，單點(diǎn)登錄的基礎(chǔ) 。所以，微軟在校園的安全和管理方案中桌面安全管理的概念， SMS服務(wù)器可以 實(shí)現(xiàn)軟件的自動(dòng)安裝與升級(jí)。于是極大程度上降低了校園網(wǎng)安全隱患出現(xiàn)的概率。這些服務(wù)器一旦當(dāng)機(jī)，會(huì)給學(xué)校正常的教學(xué)、工作、生活等帶來(lái)很不利的影響。 4. 網(wǎng)絡(luò)安全管理 校園網(wǎng)給學(xué)生和教師的學(xué)習(xí)和工作帶來(lái)巨大效益的同時(shí)，它帶來(lái)的一些負(fù)面影響也不容忽視。微軟推出了基于 ISA Server2020的 ―綠色校園網(wǎng) ‖信息過(guò)濾系統(tǒng)，實(shí)現(xiàn)了網(wǎng)頁(yè)內(nèi)容過(guò)濾，郵件過(guò)濾，應(yīng)用程序過(guò)濾和用戶控制等技術(shù)手段，有效地防止了上述現(xiàn)象在校園網(wǎng)內(nèi)的發(fā)生，還給校園網(wǎng)一片潔凈的天空。 5. 防病毒及垃圾郵件 近年來(lái)，由于計(jì)算機(jī)應(yīng)用的普及以及互聯(lián)網(wǎng)的廣泛應(yīng)用，高校中計(jì)算機(jī)病毒呈爆炸性增長(zhǎng)，導(dǎo)致了多次病毒爆發(fā)，這也反映出目前計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)應(yīng)用中的問(wèn)題，計(jì)算機(jī)病毒已經(jīng)成為全球性的安全問(wèn)題。 為 信息傳遞和協(xié)同環(huán)境提供綜合、全面的反病毒、內(nèi)容管理和電子郵件安全解決方案。 Sybari 將 Antigen 設(shè)計(jì)為，全面、徹底地明了 Exchange 和 Domino及 Windows SMTP用戶的特有問(wèn)題。 Antigen 的設(shè)計(jì)，為群件系統(tǒng) 信息傳遞和協(xié)同工作系統(tǒng)創(chuàng)造了最佳可能、最全面徹底的保護(hù)。 對(duì)于處于 ―信息孤島 ‖狀態(tài)的信息系統(tǒng)而言，用戶的身份認(rèn)證和權(quán)限管理是由各個(gè)系統(tǒng)自行管理的。這種狀況往往導(dǎo)致使用、管理、和系統(tǒng)安全方面的許多缺陷和問(wèn)題。 從實(shí)現(xiàn)的技術(shù)手段講，目前使用最多的技術(shù)是目錄系統(tǒng)（ Directory）。 統(tǒng)一的目錄系統(tǒng)是新一代校園網(wǎng)的關(guān)鍵基礎(chǔ)設(shè)施，是實(shí)現(xiàn)用戶單點(diǎn)登陸到不同應(yīng)用系統(tǒng)，統(tǒng)一管理用戶身份認(rèn)證和權(quán)限管理的基本條件。 同時(shí)，考慮到用戶信息存放地方與類(lèi)型的多樣性，如：有的存放在目錄系統(tǒng)中、有的存放在數(shù)據(jù)庫(kù)中、有的存放在文件中，必須有一個(gè)目錄整合服務(wù)的產(chǎn)品來(lái)實(shí)現(xiàn)對(duì)不同地方存放的用戶數(shù)據(jù)進(jìn)行整合，同時(shí)提供用戶身份信息的同步。負(fù)責(zé)校園網(wǎng)中系統(tǒng)用戶數(shù)字身份的認(rèn)證，網(wǎng)絡(luò)資源管理，應(yīng)用程序管 理，文件和打印管理以及系統(tǒng)配置管理等，實(shí)現(xiàn)單一登錄，安全認(rèn)證、用戶授權(quán)、系統(tǒng)策略和桌面安全管理等方面的功能需求。這是實(shí)現(xiàn)統(tǒng)一的用戶身份認(rèn)證、 ―單點(diǎn)登陸 ‖到不同應(yīng)用系統(tǒng)的基本條件。而對(duì)于安全級(jí)別較高的應(yīng)用，可以利用活動(dòng)目錄內(nèi)置的對(duì)智能卡技 術(shù)的支持，加強(qiáng)用戶登錄驗(yàn)證的控制。可以使用活動(dòng)目錄的組策略技術(shù)（ Group Policy）實(shí)現(xiàn)不同粒度的用戶權(quán)限管理，如控制普通用戶對(duì)桌面系統(tǒng)重要配置參數(shù)的修改能力、禁止用戶安裝不必要的軟件等。一般情況下子容器繼承父容器中所有的組策略。 ? 實(shí)現(xiàn)用戶與機(jī)器的分離 無(wú)論用戶在校園網(wǎng)使用的是哪一臺(tái)機(jī)器，只要使用同一個(gè)賬號(hào)登錄到域中，用戶保存的文檔和其他應(yīng)用環(huán)境都不會(huì)變化，保證用戶的工作可以繼續(xù)。一般來(lái)說(shuō)，用戶的角色不同，對(duì)系統(tǒng)的要求也不一樣。 ? 統(tǒng)一管理各種系統(tǒng)的基礎(chǔ)支撐 目前的主流桌 面系統(tǒng)自動(dòng)安全管理系統(tǒng)都需要目錄系統(tǒng)的支持。此外，目錄系統(tǒng)也是統(tǒng)一管理打印機(jī)、文件服務(wù)器等網(wǎng)絡(luò)資源的核心。不同的應(yīng)用系統(tǒng)均可以使用 LDAP協(xié)議訪問(wèn)活動(dòng)目錄的內(nèi)容，對(duì)活動(dòng)目錄進(jìn)行操作。下圖 2為在一般高校的單域活動(dòng)目錄部署圖： 圖 2 統(tǒng)一用戶身份和權(quán)限管理結(jié)構(gòu)圖 微軟活動(dòng)目錄 是一個(gè)有多年歷史、相當(dāng)成熟的技術(shù)，在國(guó)內(nèi)外電子政務(wù)建設(shè)和大量校園的信息與系統(tǒng)安全建設(shè)中得到廣泛應(yīng)用，產(chǎn)生了顯著的效益。還可整合多種儲(chǔ)存機(jī)制的識(shí)別信息、提供單一的管理接口，提高信息人員的生產(chǎn)力、降低管理成本。整個(gè)校園內(nèi)部的用戶身份數(shù)據(jù)可自動(dòng)保持在最新的狀態(tài)。例如，當(dāng)人力資源部門(mén)設(shè)置新的或刪除用戶賬戶時(shí)， MIIS可以根據(jù)人力資源系統(tǒng)數(shù)據(jù)庫(kù)的變更自動(dòng)同步更新其他系統(tǒng)的用戶 賬戶信息，有效地提高信息系統(tǒng)的安全性。 將 AD 與 MIIS 結(jié)合可以實(shí)現(xiàn)完整的統(tǒng)一用戶管理解決方案，實(shí)現(xiàn)用戶信息的同步、用戶身份管理、以及單點(diǎn)登錄等功能，提高校園網(wǎng)的信息安全水平以及教職員工的工作效率。實(shí)踐經(jīng)驗(yàn)也表明，大量信息安全問(wèn)題都是由于軟件漏 洞受到病毒感染和黑客攻擊造成的。經(jīng)常可見(jiàn)的情況是，很多社會(huì)上大規(guī)模爆發(fā)的病毒問(wèn)題平息之后，在校園網(wǎng)內(nèi)部仍會(huì)反復(fù)發(fā)作，導(dǎo)致校園網(wǎng)癱瘓，服務(wù)器宕機(jī)和系統(tǒng)崩潰等嚴(yán)重安全事故。 針對(duì)上述問(wèn)題，根據(jù)微軟多年的實(shí)踐經(jīng)驗(yàn)，我們建議校園網(wǎng)采用以下措施來(lái)提升 Windows計(jì)算機(jī)的安全水平： ? 努力實(shí)現(xiàn)桌面電腦操作系統(tǒng)的標(biāo)準(zhǔn)化 ：使用正版操作系統(tǒng)軟件，減少操作 系統(tǒng)軟件的版本種類(lèi)（最好能夠做到操作系統(tǒng)版本的統(tǒng)一），這是實(shí)現(xiàn)桌面電腦系統(tǒng)安全管理的基礎(chǔ)。 大學(xué)校園網(wǎng) 絡(luò) 安全與管理解決方案建議書(shū) 9 ? 在校園內(nèi)部署 能夠自動(dòng)安裝安全補(bǔ)丁軟件的系統(tǒng)和工具 ：從根本上解決安全補(bǔ)丁安裝和軟件分發(fā)的統(tǒng)一管理問(wèn)題 電腦系統(tǒng)補(bǔ)丁管理工具 –SMS 2020 隨著學(xué)校的不斷發(fā)展以及計(jì)算機(jī)系統(tǒng)的不斷擴(kuò)展， IT 管理人員花費(fèi)越來(lái)越多的精力在客戶機(jī)管理方面，包括：整理軟件，硬件清單并歸檔，防毒軟件和應(yīng)用軟件的版本升級(jí)，客戶端桌面服務(wù)，用戶權(quán)限控制等。建立一個(gè)更可管理且高效率的計(jì)算機(jī)系統(tǒng)已是勢(shì)在必行了。 SMS實(shí)現(xiàn)軟件的自動(dòng)安裝與升級(jí)。不僅如此，如果因?yàn)榫W(wǎng)絡(luò)故障或者其他原因造成軟件升級(jí)或補(bǔ)丁安裝的意外中斷， SMS服務(wù)器可從客戶端反饋回的報(bào)表中得知這次服務(wù)不成功，下次將會(huì)繼續(xù)對(duì)這 個(gè)客戶端進(jìn)行升級(jí)服務(wù)，直至服務(wù)成功為止。下圖 3為 SMS服務(wù)器自動(dòng)進(jìn)行軟件分發(fā)和補(bǔ)丁安裝的工作流程圖： 圖 3 SMS自動(dòng)進(jìn)行軟件分發(fā)和補(bǔ)丁安裝的流程圖 SMS 2020的主要安全管理功能特性 ? 定期進(jìn)行安全漏洞掃描 大學(xué)校園網(wǎng) 絡(luò) 安全與管理解決方案建議書(shū) 10 SMS 2020使用微軟的安全基礎(chǔ)掃描評(píng)估工具（ MBSA）定時(shí)對(duì)各系統(tǒng)進(jìn)行掃描，并對(duì)比微軟的最新補(bǔ)丁列表，以決定系統(tǒng)是否存在安全漏洞、是否需要安裝最新的補(bǔ)丁。 ? 自動(dòng)管理軟件的補(bǔ)丁與版本升級(jí) 微軟每月在固定時(shí)間會(huì)發(fā)布最新的系統(tǒng)和應(yīng)用補(bǔ)丁， SMS可以自動(dòng)下載最新補(bǔ)丁列表，對(duì)桌面系統(tǒng)和其他系統(tǒng)安裝新的補(bǔ)丁。 ? 全面細(xì)致的硬件、軟件資產(chǎn)管理 SMS 2020提供了信息收集功能，可以使管理員能夠及時(shí)、準(zhǔn)確地獲得系統(tǒng)所有設(shè)備的硬件、軟件信息，高效地進(jìn)行系統(tǒng)安全管理。如何保證這些關(guān)鍵系統(tǒng)的安全、高效、可靠運(yùn)行是高校 IT部門(mén)面臨的一大挑戰(zhàn)。 MOM 2020提供的主要功能特性有： ? 集中的服務(wù)器和應(yīng)用軟件運(yùn)維監(jiān)控 MOM 2020圖形化的系統(tǒng)監(jiān)控與管理操作界面，提供操作系統(tǒng)、關(guān)鍵業(yè) 務(wù)系統(tǒng)、服務(wù)運(yùn)行狀態(tài) (事件、運(yùn)行狀態(tài)、故障等 )的快速監(jiān)控管理手段。 ? 系統(tǒng)運(yùn)維知識(shí)專(zhuān)家?guī)? MOM 2020提供完整的系統(tǒng)運(yùn)維知識(shí)專(zhuān)家?guī)臁? 加強(qiáng)網(wǎng)絡(luò)安全防護(hù) – ISA 2020 隨著因特網(wǎng)技術(shù)和校園信息化應(yīng)用的發(fā)展，數(shù)字化校園應(yīng)用不只是局限于校園內(nèi)部，還需要通過(guò)因特網(wǎng)與校外應(yīng)用進(jìn)行信息交換。例如學(xué)生在校園網(wǎng)內(nèi)訪問(wèn)一些包含有害信息（黃色，賭博，涉毒，邪教等）的網(wǎng)站；用戶訪問(wèn)包含病毒等惡意代碼的網(wǎng)頁(yè)導(dǎo)致病毒進(jìn)入校園網(wǎng)；垃圾郵件，病毒郵件等通過(guò)電子郵件進(jìn)入校園網(wǎng)，嚴(yán)重影響了校園網(wǎng)的正常運(yùn)轉(zhuǎn)；以及學(xué)生在校園網(wǎng)內(nèi)濫用一些聊天軟件等對(duì)網(wǎng)絡(luò)的不當(dāng)使用行為。教育系統(tǒng)的 各級(jí)信息化部門(mén)都有責(zé)任 ―凈化網(wǎng)絡(luò)空間，實(shí)現(xiàn)綠色上網(wǎng) ‖。 Acceleration Server 2020（ ISA 2020），可用于進(jìn)一步提升系統(tǒng)的網(wǎng)絡(luò)安全水平