時(shí)間：2023-03-23 15:13:47
緒論：在尋找寫作靈感嗎？愛發(fā)表網(wǎng)為您精選了8篇網(wǎng)絡(luò)安全小論文，愿這些內(nèi)容能夠啟迪您的思維，激發(fā)您的創(chuàng)作熱情，歡迎您的閱讀與分享！
關(guān)鍵詞：校園網(wǎng)；網(wǎng)絡(luò)安全；防范措施；防火墻；VLAN技術(shù)
校園網(wǎng)是指利用網(wǎng)絡(luò)設(shè)備、通信介質(zhì)和適宜的組網(wǎng)技術(shù)與協(xié)議以及各類系統(tǒng)管理軟件和應(yīng)用軟件，將校園內(nèi)計(jì)算機(jī)和各種終端設(shè)備有機(jī)地集成在一起，用于教學(xué)、科研、管理、資源共享等方面的局域網(wǎng)絡(luò)系統(tǒng)。校園網(wǎng)絡(luò)安全是指學(xué)校網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護(hù)，不因偶然和惡意等因素而遭到破壞、更改、泄密，保障校園網(wǎng)的正常運(yùn)行。隨著“校校通”工程的深入實(shí)施，學(xué)校教育信息化、校園網(wǎng)絡(luò)化已經(jīng)成為網(wǎng)絡(luò)時(shí)代的教育的發(fā)展方向。目前校園網(wǎng)絡(luò)內(nèi)存在很大的安全隱患，建立一套切實(shí)可行的校園網(wǎng)絡(luò)防范措施，已成為校園網(wǎng)絡(luò)建設(shè)中面臨和亟待解決的重要問題。
一、校園網(wǎng)絡(luò)安全現(xiàn)狀分析
（一）網(wǎng)絡(luò)安全設(shè)施配備不夠
學(xué)校在建立自己的內(nèi)網(wǎng)時(shí)，由于意識(shí)薄弱與經(jīng)費(fèi)投入不足等方面的原因，比如將原有的單機(jī)互聯(lián)，使用原有的網(wǎng)絡(luò)設(shè)施；校園網(wǎng)絡(luò)的各種硬件設(shè)備以及保存數(shù)據(jù)的光盤等都有可能因?yàn)樽匀灰蛩氐膿p害而導(dǎo)致數(shù)據(jù)的丟失、泄露或網(wǎng)絡(luò)中斷；機(jī)房設(shè)計(jì)不合理，溫度、濕度不適應(yīng)以及無抗靜電、抗磁干擾等設(shè)施；網(wǎng)絡(luò)安全方面的投入嚴(yán)重不足，沒有系統(tǒng)的網(wǎng)絡(luò)安全設(shè)施配備等等；以上情況都使得校園網(wǎng)絡(luò)基本處在一個(gè)開放的狀態(tài)，沒有有效的安全預(yù)警手段和防范措施。
（二）學(xué)校校園網(wǎng)絡(luò)上的用戶網(wǎng)絡(luò)信息安全意識(shí)淡薄、管理制度不完善
學(xué)校師生對(duì)網(wǎng)絡(luò)安全知識(shí)甚少，安全意識(shí)淡薄，U盤、移動(dòng)硬盤、手機(jī)等存貯介質(zhì)隨意使用；學(xué)校網(wǎng)絡(luò)管理人員缺乏必要的專業(yè)知識(shí)，不能安全地配置和管理網(wǎng)絡(luò)；學(xué)校機(jī)房的登記管理制度不健全，允許不應(yīng)進(jìn)入的人進(jìn)入機(jī)房；學(xué)校師生上網(wǎng)身份無法唯一識(shí)別，不能有效的規(guī)范和約束師生的非法訪問行為；缺乏統(tǒng)一的網(wǎng)絡(luò)出口、網(wǎng)絡(luò)管理軟件和網(wǎng)絡(luò)監(jiān)控、日志系統(tǒng)，使學(xué)校的網(wǎng)絡(luò)管理混亂；缺乏校園師生上網(wǎng)的有效監(jiān)控和日志；計(jì)算機(jī)安裝還原卡或使用還原軟件，關(guān)機(jī)后啟動(dòng)即恢復(fù)到初始狀態(tài)，這些導(dǎo)致校園網(wǎng)形成很大的安全漏洞。
（三）學(xué)校校園網(wǎng)中各主機(jī)和各終端所使用的操作系統(tǒng)和應(yīng)用軟件均不可避免地存在各種安全“漏洞”或“后門”
大部分的黑客入侵網(wǎng)絡(luò)事件就是由系統(tǒng)的“漏洞”及“后門”所造成的。網(wǎng)絡(luò)中所使用的網(wǎng)管設(shè)備和軟件絕大多數(shù)是舶來品，加上系統(tǒng)管理員以及終端用戶在系統(tǒng)設(shè)置時(shí)可能存在各種不合理操作，在網(wǎng)絡(luò)上運(yùn)行時(shí)，這些網(wǎng)絡(luò)系統(tǒng)和接口都相應(yīng)增加網(wǎng)絡(luò)的不安全因素。
（四）計(jì)算機(jī)病毒、網(wǎng)絡(luò)病毒泛濫，造成網(wǎng)絡(luò)性能急劇下降，重要數(shù)據(jù)丟失
網(wǎng)絡(luò)病毒是指病毒突破網(wǎng)絡(luò)的安全性，傳播到網(wǎng)絡(luò)服務(wù)器，進(jìn)而在整個(gè)網(wǎng)絡(luò)上感染，危害極大。感染計(jì)算機(jī)病毒、蠕蟲和木馬程序是最突出的網(wǎng)絡(luò)安全情況，遭到端口掃描、黑客攻擊、網(wǎng)頁篡改或垃圾郵件次之。校園網(wǎng)中教師和學(xué)生對(duì)文件下載、電子郵件、QQ聊天的廣泛使用，使得校園網(wǎng)內(nèi)病毒泛濫。計(jì)算機(jī)病毒是一種人為編制的程序，它具有傳染性、隱蔽性、激發(fā)性、復(fù)制性、破壞性等特點(diǎn)。它的破壞性是巨大的，一旦學(xué)校網(wǎng)絡(luò)中的一臺(tái)電腦感染上病毒，就很可能在短短幾分鐘中內(nèi)使病毒蔓延到整個(gè)校園網(wǎng)絡(luò)，只要網(wǎng)絡(luò)中有幾臺(tái)電腦中毒，就會(huì)堵塞出口，導(dǎo)致網(wǎng)絡(luò)的“拒絕服務(wù)”，嚴(yán)重時(shí)會(huì)造成網(wǎng)絡(luò)癱瘓。《參考消息》1989年8月2日刊登的一則評(píng)論，列出了下個(gè)世紀(jì)的國際恐怖活動(dòng)將采用五種新式武器和手段，計(jì)算機(jī)病毒名列第二，這給未來的信息系統(tǒng)投上了一層陰影。從近期的“熊貓燒香”、“灰鴿子”、“仇英”、“艾妮”等網(wǎng)絡(luò)病毒的爆發(fā)中可以看出，網(wǎng)絡(luò)病毒的防范任務(wù)越來越嚴(yán)峻。
綜上所述，學(xué)校校園網(wǎng)絡(luò)的安全形勢(shì)非常嚴(yán)峻，在這種情況下，學(xué)校如何能夠保證網(wǎng)絡(luò)的安全運(yùn)行，同時(shí)又能提供豐富的網(wǎng)絡(luò)資源，保障辦公、教學(xué)以及學(xué)生上網(wǎng)的多種需求成為了一個(gè)難題。根據(jù)校園網(wǎng)絡(luò)面臨的安全問題，文章提出以下校園網(wǎng)絡(luò)安全防范措施。
二、校園網(wǎng)絡(luò)的主要防范措施
（一）服務(wù)器
學(xué)校在建校園網(wǎng)絡(luò)之時(shí)配置一臺(tái)服務(wù)器，它是校園網(wǎng)和互聯(lián)網(wǎng)之間的中介，在服務(wù)器上執(zhí)行服務(wù)的軟件應(yīng)用程序，對(duì)服務(wù)器進(jìn)行一些必要的設(shè)置。校園網(wǎng)內(nèi)用戶訪問Internet都是通過服務(wù)器，服務(wù)器會(huì)檢查用戶的訪問請(qǐng)求是否符合規(guī)定，才會(huì)到被用戶訪問的站點(diǎn)取回所需信息再轉(zhuǎn)發(fā)給用戶。這樣，既保護(hù)內(nèi)網(wǎng)資源不被外部非授權(quán)用戶非法訪問或破壞，也可以阻止內(nèi)部用戶對(duì)外部不良資源的濫用，外部網(wǎng)絡(luò)只能看到該服務(wù)器而無法獲知內(nèi)部網(wǎng)絡(luò)上的任何計(jì)算機(jī)信息，整個(gè)校園網(wǎng)絡(luò)只有服務(wù)器是可見的，從而大大增強(qiáng)了校園網(wǎng)絡(luò)的安全性。
（二）防火墻
防火墻系統(tǒng)是一種建立在現(xiàn)代通信網(wǎng)絡(luò)技術(shù)和信息安全技術(shù)基礎(chǔ)上的應(yīng)用性安全技術(shù)產(chǎn)品，是一種使用較早的、也是目前使用較廣泛的網(wǎng)絡(luò)安全防范產(chǎn)品之一。它是軟件或硬件設(shè)備的組合，通常被用來進(jìn)行網(wǎng)絡(luò)安全邊界的防護(hù)。防火墻通過控制和檢測(cè)網(wǎng)絡(luò)之中的信息交換和訪問行為來實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)安全的有效管理，在網(wǎng)絡(luò)間建立一個(gè)安全網(wǎng)關(guān)，對(duì)網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行過濾（允許/拒絕），控制數(shù)據(jù)包的進(jìn)出，封堵某些禁止行為，提供網(wǎng)絡(luò)使用狀況（網(wǎng)絡(luò)數(shù)據(jù)的實(shí)時(shí)/事后分析及處理，網(wǎng)絡(luò)數(shù)據(jù)流動(dòng)情況的監(jiān)控分析，通過日志分析，獲取時(shí)間、地址、協(xié)議和流量，網(wǎng)絡(luò)是否受到監(jiān)視和攻擊），對(duì)網(wǎng)絡(luò)攻擊行為進(jìn)行檢測(cè)和告警等等，最大限度地防止惡意或非法訪問存取，有效的阻止破壞者對(duì)計(jì)算機(jī)系統(tǒng)的破壞，可以最大限度地保證校園網(wǎng)應(yīng)用服務(wù)系統(tǒng)的安全工作。
（三）防治網(wǎng)絡(luò)病毒
校園網(wǎng)絡(luò)的安全必須在整個(gè)校園網(wǎng)絡(luò)內(nèi)形成完整的病毒防御體系，建立一整套網(wǎng)絡(luò)軟件及硬件的維護(hù)制度，定期對(duì)各工作站進(jìn)行維護(hù)，對(duì)操作系統(tǒng)和網(wǎng)絡(luò)系統(tǒng)軟件采取安全保密措施。為了實(shí)現(xiàn)在整個(gè)內(nèi)網(wǎng)杜絕病毒的感染、傳播和發(fā)作，學(xué)校應(yīng)在網(wǎng)內(nèi)有可能感染和傳播病毒的地方采用相應(yīng)的防病毒手段，在服務(wù)器和各辦公室、工作站上安裝瑞星殺毒軟件網(wǎng)絡(luò)版，對(duì)病毒進(jìn)行定時(shí)的掃描檢測(cè)及漏洞修復(fù)，定時(shí)升級(jí)文件并查毒殺毒，使整個(gè)校園網(wǎng)絡(luò)有防病毒能力。
（四）口令加密和訪問控制
校園網(wǎng)絡(luò)管理員通過對(duì)校園師生用戶設(shè)置用戶名和口令加密驗(yàn)證，加強(qiáng)對(duì)網(wǎng)絡(luò)的監(jiān)控以及對(duì)用戶的管理。網(wǎng)管理員要對(duì)校園網(wǎng)內(nèi)部網(wǎng)絡(luò)設(shè)備路由器、交換機(jī)、防火墻、服務(wù)器的配置均設(shè)有口令加密保護(hù)，賦予用戶一定的訪問存取權(quán)限、口令字等安全保密措施，用戶只能在其權(quán)限內(nèi)進(jìn)行操作，合理設(shè)置網(wǎng)絡(luò)共享文件，對(duì)各工作站的網(wǎng)絡(luò)軟件文件屬性可采取隱含、只讀等加密措施，建立嚴(yán)格的網(wǎng)絡(luò)安全日志和審查系統(tǒng)，建立詳細(xì)的用戶信息數(shù)據(jù)庫、網(wǎng)絡(luò)主機(jī)登錄日志、交換機(jī)及路由器日志、網(wǎng)絡(luò)服務(wù)器日志、內(nèi)部用戶非法活動(dòng)日志等，定時(shí)對(duì)其進(jìn)行審查分析，及時(shí)發(fā)現(xiàn)和解決網(wǎng)絡(luò)中發(fā)生的安全事故，有效地保護(hù)網(wǎng)絡(luò)安全。
（五）VLAN(虛擬局域網(wǎng))技術(shù)
VLAN(虛擬局域網(wǎng))技術(shù)，是指在交換局域網(wǎng)的基礎(chǔ)上，采用網(wǎng)絡(luò)管理軟件構(gòu)建的可跨越不同網(wǎng)段、不同網(wǎng)絡(luò)的端到端的邏輯網(wǎng)絡(luò)。根據(jù)實(shí)際需要?jiǎng)澐殖龆鄠€(gè)安全等級(jí)不同的網(wǎng)絡(luò)分段。學(xué)校要將不同類型的用戶劃分在不同的VLAN中，將校園網(wǎng)絡(luò)劃分成幾個(gè)子網(wǎng)。將用戶限制在其所在的VLAN里，防止各用戶之間隨意訪問資源。各個(gè)子網(wǎng)間通過路由器、交換機(jī)、網(wǎng)關(guān)或防火墻等設(shè)備進(jìn)行連接，網(wǎng)絡(luò)管理員借助VLAN技術(shù)管理整個(gè)網(wǎng)絡(luò)，通過設(shè)置命令，對(duì)每個(gè)子網(wǎng)進(jìn)行單獨(dú)管理，根據(jù)特定需要隔離故障，阻止非法用戶非法訪問，防止網(wǎng)絡(luò)病毒、木馬程序，從而在整個(gè)網(wǎng)絡(luò)環(huán)境下，計(jì)算機(jī)能安全運(yùn)行。
（六）系統(tǒng)備份和數(shù)據(jù)備份
雖然有各種防范手段，但仍會(huì)有突發(fā)事件給網(wǎng)絡(luò)系統(tǒng)帶來不可預(yù)知的災(zāi)難，對(duì)網(wǎng)絡(luò)系統(tǒng)軟件應(yīng)該有專人管理，定期做好服務(wù)器系統(tǒng)、網(wǎng)絡(luò)通信系統(tǒng)、應(yīng)用軟件及各種資料數(shù)據(jù)的數(shù)據(jù)備份工作，并建立網(wǎng)絡(luò)資源表和網(wǎng)絡(luò)設(shè)備檔案，對(duì)網(wǎng)上各工作站的資源分配情況、故障情況、維修記錄分別記錄在網(wǎng)絡(luò)資源表和網(wǎng)絡(luò)設(shè)備檔案上。這些都是保證網(wǎng)絡(luò)系統(tǒng)正常運(yùn)行的重要手段。
（七）入侵檢測(cè)系統(tǒng)（IntrusionDetectionSystem，IDS）
IDS是一種網(wǎng)絡(luò)安全系統(tǒng)，是對(duì)防火墻有益的補(bǔ)充。當(dāng)有敵人或者惡意用戶試圖通過Internet進(jìn)入網(wǎng)絡(luò)甚至計(jì)算機(jī)系統(tǒng)時(shí)，IDS能檢測(cè)和發(fā)現(xiàn)入侵行為并報(bào)警，通知網(wǎng)絡(luò)采取措施響應(yīng)。即使被入侵攻擊，IDS收集入侵攻擊的相關(guān)信息，記錄事件，自動(dòng)阻斷通信連接，重置路由器、防火墻，同時(shí)及時(shí)發(fā)現(xiàn)并提出解決方案，列出可參考的網(wǎng)絡(luò)和系統(tǒng)中易被黑客利用的薄弱環(huán)節(jié)，增強(qiáng)系統(tǒng)的防范能力，避免系統(tǒng)再次受到入侵。入侵檢測(cè)系統(tǒng)作為一種積極主動(dòng)的安全防護(hù)技術(shù)，提供了對(duì)內(nèi)部攻擊、外部攻擊和誤操作的實(shí)時(shí)保護(hù)，在網(wǎng)絡(luò)系統(tǒng)受到危害之前攔截和響應(yīng)入侵，大大提高了網(wǎng)絡(luò)的安全性。
（八）增強(qiáng)網(wǎng)絡(luò)安全意識(shí)、健全學(xué)校統(tǒng)一規(guī)范管理制度
根據(jù)學(xué)校實(shí)際情況，對(duì)師生進(jìn)行網(wǎng)絡(luò)安全防范意識(shí)教育，使他們具備基本的網(wǎng)絡(luò)安全知識(shí)。制定相關(guān)的網(wǎng)絡(luò)安全管理制度（網(wǎng)絡(luò)操作使用規(guī)程、人員出入機(jī)房管理制度、工作人員操作規(guī)程和保密制度等）。安排專人負(fù)責(zé)校園網(wǎng)絡(luò)的安全保護(hù)管理工作，對(duì)學(xué)校專業(yè)技術(shù)人員定期進(jìn)行安全教育和培訓(xùn)，提高工作人員的網(wǎng)絡(luò)安全的警惕性和自覺性，并安排專業(yè)技術(shù)人員定期對(duì)校園網(wǎng)進(jìn)行維護(hù)。
三、結(jié)論
校園網(wǎng)的安全問題是一個(gè)較為復(fù)雜的系統(tǒng)工程，長期以來，從病毒、黑客與防范措施的發(fā)展來看，總是“道高一尺，魔高一丈”，沒有絕對(duì)安全的網(wǎng)絡(luò)系統(tǒng)，只有通過綜合運(yùn)用多項(xiàng)措施，加強(qiáng)管理，建立一套真正適合校園網(wǎng)絡(luò)的安全體系，提高校園網(wǎng)絡(luò)的安全防范能力。
參考文獻(xiàn)：
1、王文壽,王珂.網(wǎng)管員必備寶典——網(wǎng)絡(luò)安全[M].清華大學(xué)出版社,2006.
2、張公忠.現(xiàn)代網(wǎng)絡(luò)技術(shù)教程[M].清華大學(xué)出版社,2004.
3、劉清山.網(wǎng)絡(luò)安全措施[M].電子工業(yè)出版社,2000.
4、謝希仁.計(jì)算機(jī)網(wǎng)絡(luò)[M].大連理工大學(xué)出版社,2000.
5、張冬梅.網(wǎng)絡(luò)信息安全的威脅與防范[J].湖南財(cái)經(jīng)高等專科學(xué)校學(xué)報(bào),2002(8).
6、李衛(wèi).計(jì)算機(jī)網(wǎng)絡(luò)安全與管理[M].清華大學(xué)出版社,2004.
（一）網(wǎng)絡(luò)安全設(shè)施配備不夠
學(xué)校在建立自己的內(nèi)網(wǎng)時(shí)，由于意識(shí)薄弱與經(jīng)費(fèi)投入不足等方面的原因，比如將原有的單機(jī)互聯(lián)，使用原有的網(wǎng)絡(luò)設(shè)施；校園網(wǎng)絡(luò)的各種硬件設(shè)備以及保存數(shù)據(jù)的光盤等都有可能因?yàn)樽匀灰蛩氐膿p害而導(dǎo)致數(shù)據(jù)的丟失、泄露或網(wǎng)絡(luò)中斷；機(jī)房設(shè)計(jì)不合理，溫度、濕度不適應(yīng)以及無抗靜電、抗磁干擾等設(shè)施；網(wǎng)絡(luò)安全方面的投入嚴(yán)重不足，沒有系統(tǒng)的網(wǎng)絡(luò)安全設(shè)施配備等等；以上情況都使得校園網(wǎng)絡(luò)基本處在一個(gè)開放的狀態(tài)，沒有有效的安全預(yù)警手段和防范措施。
（二）學(xué)校校園網(wǎng)絡(luò)上的用戶網(wǎng)絡(luò)信息安全意識(shí)淡薄、管理制度不完善
學(xué)校師生對(duì)網(wǎng)絡(luò)安全知識(shí)甚少，安全意識(shí)淡薄，U盤、移動(dòng)硬盤、手機(jī)等存貯介質(zhì)隨意使用；學(xué)校網(wǎng)絡(luò)管理人員缺乏必要的專業(yè)知識(shí)，不能安全地配置和管理網(wǎng)絡(luò)；學(xué)校機(jī)房的登記管理制度不健全，允許不應(yīng)進(jìn)入的人進(jìn)入機(jī)房；學(xué)校師生上網(wǎng)身份無法唯一識(shí)別，不能有效的規(guī)范和約束師生的非法訪問行為；缺乏統(tǒng)一的網(wǎng)絡(luò)出口、網(wǎng)絡(luò)管理軟件和網(wǎng)絡(luò)監(jiān)控、日志系統(tǒng)，使學(xué)校的網(wǎng)絡(luò)管理混亂；缺乏校園師生上網(wǎng)的有效監(jiān)控和日志；計(jì)算機(jī)安裝還原卡或使用還原軟件，關(guān)機(jī)后啟動(dòng)即恢復(fù)到初始狀態(tài)，這些導(dǎo)致校園網(wǎng)形成很大的安全漏洞。
（三）學(xué)校校園網(wǎng)中各主機(jī)和各終端所使用的操作系統(tǒng)和應(yīng)用軟件均不可避免地存在各種安全“漏洞”或“后門”
大部分的黑客入侵網(wǎng)絡(luò)事件就是由系統(tǒng)的“漏洞”及“后門”所造成的。網(wǎng)絡(luò)中所使用的網(wǎng)管設(shè)備和軟件絕大多數(shù)是舶來品，加上系統(tǒng)管理員以及終端用戶在系統(tǒng)設(shè)置時(shí)可能存在各種不合理操作，在網(wǎng)絡(luò)上運(yùn)行時(shí)，這些網(wǎng)絡(luò)系統(tǒng)和接口都相應(yīng)增加網(wǎng)絡(luò)的不安全因素。
（四）計(jì)算機(jī)病毒、網(wǎng)絡(luò)病毒泛濫，造成網(wǎng)絡(luò)性能急劇下降，重要數(shù)據(jù)丟失
網(wǎng)絡(luò)病毒是指病毒突破網(wǎng)絡(luò)的安全性，傳播到網(wǎng)絡(luò)服務(wù)器，進(jìn)而在整個(gè)網(wǎng)絡(luò)上感染，危害極大。感染計(jì)算機(jī)病毒、蠕蟲和木馬程序是最突出的網(wǎng)絡(luò)安全情況，遭到端口掃描、黑客攻擊、網(wǎng)頁篡改或垃圾郵件次之。校園網(wǎng)中教師和學(xué)生對(duì)文件下載、電子郵件、QQ聊天的廣泛使用，使得校園網(wǎng)內(nèi)病毒泛濫。計(jì)算機(jī)病毒是一種人為編制的程序，它具有傳染性、隱蔽性、激發(fā)性、復(fù)制性、破壞性等特點(diǎn)。它的破壞性是巨大的，一旦學(xué)校網(wǎng)絡(luò)中的一臺(tái)電腦感染上病毒，就很可能在短短幾分鐘中內(nèi)使病毒蔓延到整個(gè)校園網(wǎng)絡(luò)，只要網(wǎng)絡(luò)中有幾臺(tái)電腦中毒，就會(huì)堵塞出口，導(dǎo)致網(wǎng)絡(luò)的“拒絕服務(wù)”，嚴(yán)重時(shí)會(huì)造成網(wǎng)絡(luò)癱瘓。《參考消息》1989年8月2日刊登的一則評(píng)論，列出了下個(gè)世紀(jì)的國際恐怖活動(dòng)將采用五種新式武器和手段，計(jì)算機(jī)病毒名列第二，這給未來的信息系統(tǒng)投上了一層陰影。從近期的“熊貓燒香”、“灰鴿子”、“仇英”、“艾妮”等網(wǎng)絡(luò)病毒的爆發(fā)中可以看出，網(wǎng)絡(luò)病毒的防范任務(wù)越來越嚴(yán)峻。
綜上所述，學(xué)校校園網(wǎng)絡(luò)的安全形勢(shì)非常嚴(yán)峻，在這種情況下，學(xué)校如何能夠保證網(wǎng)絡(luò)的安全運(yùn)行，同時(shí)又能提供豐富的網(wǎng)絡(luò)資源，保障辦公、教學(xué)以及學(xué)生上網(wǎng)的多種需求成為了一個(gè)難題。根據(jù)校園網(wǎng)絡(luò)面臨的安全問題，文章提出以下校園網(wǎng)絡(luò)安全防范措施。
二、校園網(wǎng)絡(luò)的主要防范措施
（一）服務(wù)器
學(xué)校在建校園網(wǎng)絡(luò)之時(shí)配置一臺(tái)服務(wù)器，它是校園網(wǎng)和互聯(lián)網(wǎng)之間的中介，在服務(wù)器上執(zhí)行服務(wù)的軟件應(yīng)用程序，對(duì)服務(wù)器進(jìn)行一些必要的設(shè)置。校園網(wǎng)內(nèi)用戶訪問Internet都是通過服務(wù)器，服務(wù)器會(huì)檢查用戶的訪問請(qǐng)求是否符合規(guī)定，才會(huì)到被用戶訪問的站點(diǎn)取回所需信息再轉(zhuǎn)發(fā)給用戶。這樣，既保護(hù)內(nèi)網(wǎng)資源不被外部非授權(quán)用戶非法訪問或破壞，也可以阻止內(nèi)部用戶對(duì)外部不良資源的濫用，外部網(wǎng)絡(luò)只能看到該服務(wù)器而無法獲知內(nèi)部網(wǎng)絡(luò)上的任何計(jì)算機(jī)信息，整個(gè)校園網(wǎng)絡(luò)只有服務(wù)器是可見的，從而大大增強(qiáng)了校園網(wǎng)絡(luò)的安全性。（二）防火墻
防火墻系統(tǒng)是一種建立在現(xiàn)代通信網(wǎng)絡(luò)技術(shù)和信息安全技術(shù)基礎(chǔ)上的應(yīng)用性安全技術(shù)產(chǎn)品，是一種使用較早的、也是目前使用較廣泛的網(wǎng)絡(luò)安全防范產(chǎn)品之一。它是軟件或硬件設(shè)備的組合，通常被用來進(jìn)行網(wǎng)絡(luò)安全邊界的防護(hù)。防火墻通過控制和檢測(cè)網(wǎng)絡(luò)之中的信息交換和訪問行為來實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)安全的有效管理，在網(wǎng)絡(luò)間建立一個(gè)安全網(wǎng)關(guān)，對(duì)網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行過濾（允許/拒絕），控制數(shù)據(jù)包的進(jìn)出，封堵某些禁止行為，提供網(wǎng)絡(luò)使用狀況（網(wǎng)絡(luò)數(shù)據(jù)的實(shí)時(shí)/事后分析及處理，網(wǎng)絡(luò)數(shù)據(jù)流動(dòng)情況的監(jiān)控分析，通過日志分析，獲取時(shí)間、地址、協(xié)議和流量，網(wǎng)絡(luò)是否受到監(jiān)視和攻擊），對(duì)網(wǎng)絡(luò)攻擊行為進(jìn)行檢測(cè)和告警等等，最大限度地防止惡意或非法訪問存取，有效的阻止破壞者對(duì)計(jì)算機(jī)系統(tǒng)的破壞，可以最大限度地保證校園網(wǎng)應(yīng)用服務(wù)系統(tǒng)的安全工作。（三）防治網(wǎng)絡(luò)病毒
校園網(wǎng)絡(luò)的安全必須在整個(gè)校園網(wǎng)絡(luò)內(nèi)形成完整的病毒防御體系，建立一整套網(wǎng)絡(luò)軟件及硬件的維護(hù)制度，定期對(duì)各工作站進(jìn)行維護(hù)，對(duì)操作系統(tǒng)和網(wǎng)絡(luò)系統(tǒng)軟件采取安全保密措施。為了實(shí)現(xiàn)在整個(gè)內(nèi)網(wǎng)杜絕病毒的感染、傳播和發(fā)作，學(xué)校應(yīng)在網(wǎng)內(nèi)有可能感染和傳播病毒的地方采用相應(yīng)的防病毒手段，在服務(wù)器和各辦公室、工作站上安裝瑞星殺毒軟件網(wǎng)絡(luò)版，對(duì)病毒進(jìn)行定時(shí)的掃描檢測(cè)及漏洞修復(fù)，定時(shí)升級(jí)文件并查毒殺毒，使整個(gè)校園網(wǎng)絡(luò)有防病毒能力。
（四）口令加密和訪問控制
校園網(wǎng)絡(luò)管理員通過對(duì)校園師生用戶設(shè)置用戶名和口令加密驗(yàn)證，加強(qiáng)對(duì)網(wǎng)絡(luò)的監(jiān)控以及對(duì)用戶的管理。網(wǎng)管理員要對(duì)校園網(wǎng)內(nèi)部網(wǎng)絡(luò)設(shè)備路由器、交換機(jī)、防火墻、服務(wù)器的配置均設(shè)有口令加密保護(hù)，賦予用戶一定的訪問存取權(quán)限、口令字等安全保密措施，用戶只能在其權(quán)限內(nèi)進(jìn)行操作，合理設(shè)置網(wǎng)絡(luò)共享文件，對(duì)各工作站的網(wǎng)絡(luò)軟件文件屬性可采取隱含、只讀等加密措施，建立嚴(yán)格的網(wǎng)絡(luò)安全日志和審查系統(tǒng)，建立詳細(xì)的用戶信息數(shù)據(jù)庫、網(wǎng)絡(luò)主機(jī)登錄日志、交換機(jī)及路由器日志、網(wǎng)絡(luò)服務(wù)器日志、內(nèi)部用戶非法活動(dòng)日志等，定時(shí)對(duì)其進(jìn)行審查分析，及時(shí)發(fā)現(xiàn)和解決網(wǎng)絡(luò)中發(fā)生的安全事故，有效地保護(hù)網(wǎng)絡(luò)安全。
（五）VLAN(虛擬局域網(wǎng))技術(shù)
VLAN(虛擬局域網(wǎng))技術(shù)，是指在交換局域網(wǎng)的基礎(chǔ)上，采用網(wǎng)絡(luò)管理軟件構(gòu)建的可跨越不同網(wǎng)段、不同網(wǎng)絡(luò)的端到端的邏輯網(wǎng)絡(luò)。根據(jù)實(shí)際需要?jiǎng)澐殖龆鄠€(gè)安全等級(jí)不同的網(wǎng)絡(luò)分段。學(xué)校要將不同類型的用戶劃分在不同的VLAN中，將校園網(wǎng)絡(luò)劃分成幾個(gè)子網(wǎng)。將用戶限制在其所在的VLAN里，防止各用戶之間隨意訪問資源。各個(gè)子網(wǎng)間通過路由器、交換機(jī)、網(wǎng)關(guān)或防火墻等設(shè)備進(jìn)行連接，網(wǎng)絡(luò)管理員借助VLAN技
術(shù)管理整個(gè)網(wǎng)絡(luò)，通過設(shè)置命令，對(duì)每個(gè)子網(wǎng)進(jìn)行單獨(dú)管理，根據(jù)特定需要隔離故障，阻止非法用戶非法訪問，防止網(wǎng)絡(luò)病毒、木馬程序，從而在整個(gè)網(wǎng)絡(luò)環(huán)境下，計(jì)算機(jī)能安全運(yùn)行。
（六）系統(tǒng)備份和數(shù)據(jù)備份
雖然有各種防范手段，但仍會(huì)有突發(fā)事件給網(wǎng)絡(luò)系統(tǒng)帶來不可預(yù)知的災(zāi)難，對(duì)網(wǎng)絡(luò)系統(tǒng)軟件應(yīng)該有專人管理，定期做好服務(wù)器系統(tǒng)、網(wǎng)絡(luò)通信系統(tǒng)、應(yīng)用軟件及各種資料數(shù)據(jù)的數(shù)據(jù)備份工作，并建立網(wǎng)絡(luò)資源表和網(wǎng)絡(luò)設(shè)備檔案，對(duì)網(wǎng)上各工作站的資源分配情況、故障情況、維修記錄分別記錄在網(wǎng)絡(luò)資源表和網(wǎng)絡(luò)設(shè)備檔案上。這些都是保證網(wǎng)絡(luò)系統(tǒng)正常運(yùn)行的重要手段。
（七）入侵檢測(cè)系統(tǒng)（IntrusionDetectionSystem，IDS）
IDS是一種網(wǎng)絡(luò)安全系統(tǒng)，是對(duì)防火墻有益的補(bǔ)充。當(dāng)有敵人或者惡意用戶試圖通過Internet進(jìn)入網(wǎng)絡(luò)甚至計(jì)算機(jī)系統(tǒng)時(shí)，IDS能檢測(cè)和發(fā)現(xiàn)入侵行為并報(bào)警，通知網(wǎng)絡(luò)采取措施響應(yīng)。即使被入侵攻擊，IDS收集入侵攻擊的相關(guān)信息，記錄事件，自動(dòng)阻斷通信連接，重置路由器、防火墻，同時(shí)及時(shí)發(fā)現(xiàn)并提出解決方案，列出可參考的網(wǎng)絡(luò)和系統(tǒng)中易被黑客利用的薄弱環(huán)節(jié)，增強(qiáng)系統(tǒng)的防范能力，避免系統(tǒng)再次受到入侵。入侵檢測(cè)系統(tǒng)作為一種積極主動(dòng)的安全防護(hù)技術(shù)，提供了對(duì)內(nèi)部攻擊、外部攻擊和誤操作的實(shí)時(shí)保護(hù)，在網(wǎng)絡(luò)系統(tǒng)受到危害之前攔截和響應(yīng)入侵，大大提高了網(wǎng)絡(luò)的安全性。
（八）增強(qiáng)網(wǎng)絡(luò)安全意識(shí)、健全學(xué)校統(tǒng)一規(guī)范管理制度
根據(jù)學(xué)校實(shí)際情況，對(duì)師生進(jìn)行網(wǎng)絡(luò)安全防范意識(shí)教育，使他們具備基本的網(wǎng)絡(luò)安全知識(shí)。制定相關(guān)的網(wǎng)絡(luò)安全管理制度（網(wǎng)絡(luò)操作使用規(guī)程、人員出入機(jī)房管理制度、工作人員操作規(guī)程和保密制度等）。安排專人負(fù)責(zé)校園網(wǎng)絡(luò)的安全保護(hù)管理工作，對(duì)學(xué)校專業(yè)技術(shù)人員定期進(jìn)行安全教育和培訓(xùn)，提高工作人員的網(wǎng)絡(luò)安全的警惕性和自覺性，并安排專業(yè)技術(shù)人員定期對(duì)校園網(wǎng)進(jìn)行維護(hù)。
三、結(jié)論
校園網(wǎng)的安全問題是一個(gè)較為復(fù)雜的系統(tǒng)工程，長期以來，從病毒、黑客與防范措施的發(fā)展來看，總是“道高一尺，魔高一丈”，沒有絕對(duì)安全的網(wǎng)絡(luò)系統(tǒng)，只有通過綜合運(yùn)用多項(xiàng)措施，加強(qiáng)管理，建立一套真正適合校園網(wǎng)絡(luò)的安全體系，提高校園網(wǎng)絡(luò)的安全防范能力。
摘要：隨著“校校通”工程的深入實(shí)施，校園網(wǎng)作為學(xué)校重要的基礎(chǔ)設(shè)施，擔(dān)負(fù)著學(xué)校教學(xué)、教研、管理和對(duì)外交流等許多重要任務(wù)。校園網(wǎng)的安全問題，直接影響著學(xué)校的教學(xué)活動(dòng)。文章結(jié)合十幾年來校園網(wǎng)絡(luò)使用安全及防范措施等方面的經(jīng)驗(yàn)，對(duì)如何加強(qiáng)校園網(wǎng)絡(luò)安全作了分析和探討。
關(guān)鍵詞：校園網(wǎng)；網(wǎng)絡(luò)安全；防范措施；防火墻；VLAN技術(shù)
校園網(wǎng)是指利用網(wǎng)絡(luò)設(shè)備、通信介質(zhì)和適宜的組網(wǎng)技術(shù)與協(xié)議以及各類系統(tǒng)管理軟件和應(yīng)用軟件，將校園內(nèi)計(jì)算機(jī)和各種終端設(shè)備有機(jī)地集成在一起，用于教學(xué)、科研、管理、資源共享等方面的局域網(wǎng)絡(luò)系統(tǒng)。校園網(wǎng)絡(luò)安全是指學(xué)校網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護(hù)，不因偶然和惡意等因素而遭到破壞、更改、泄密，保障校園網(wǎng)的正常運(yùn)行。隨著“校校通”工程的深入實(shí)施，學(xué)校教育信息化、校園網(wǎng)絡(luò)化已經(jīng)成為網(wǎng)絡(luò)時(shí)代的教育的發(fā)展方向。目前校園網(wǎng)絡(luò)內(nèi)存在很大的安全隱患，建立一套切實(shí)可行的校園網(wǎng)絡(luò)防范措施，已成為校園網(wǎng)絡(luò)建設(shè)中面臨和亟待解決的重要問題。
參考文獻(xiàn)：
1、王文壽,王珂.網(wǎng)管員必備寶典——網(wǎng)絡(luò)安全[M].清華大學(xué)出版社,2006.
2、張公忠.現(xiàn)代網(wǎng)絡(luò)技術(shù)教程[M].清華大學(xué)出版社,2004.
3、劉清山.網(wǎng)絡(luò)安全措施[M].電子工業(yè)出版社,2000.
4、謝希仁.計(jì)算機(jī)網(wǎng)絡(luò)[M].大連理工大學(xué)出版社,2000.
5、張冬梅.網(wǎng)絡(luò)信息安全的威脅與防范[J].湖南財(cái)經(jīng)高等專科學(xué)校學(xué)報(bào),2002(8).
6、李衛(wèi).計(jì)算機(jī)網(wǎng)絡(luò)安全與管理[M].清華大學(xué)出版社,2004.
1.1加強(qiáng)網(wǎng)絡(luò)安全教育，增強(qiáng)校園網(wǎng)用戶安全意識(shí)及防護(hù)技能
目前，所有高校基本都普及了校園網(wǎng)絡(luò)，高校學(xué)生在校園內(nèi)部隨處都可以上網(wǎng)，教師和其它人員的工作也離不開網(wǎng)絡(luò)的輔助，高校內(nèi)部的網(wǎng)絡(luò)端口日益增多，上網(wǎng)的人數(shù)也是與日俱增，其中大多數(shù)人并不具備網(wǎng)絡(luò)安全方面相關(guān)知識(shí)，這為高校信息安全埋下了隱患，信息安全方面的教育勢(shì)在必行。用戶的流動(dòng)性強(qiáng)是校園網(wǎng)用戶群體的一個(gè)顯著特征，因此，學(xué)生的信息安全教育是一項(xiàng)重要并且需要長期堅(jiān)持的工作。學(xué)校應(yīng)將信息安全知識(shí)和防護(hù)技能的培訓(xùn)納入學(xué)生計(jì)算機(jī)基礎(chǔ)課程中，并將有關(guān)的教學(xué)內(nèi)容、實(shí)驗(yàn)與學(xué)校的信息安全工作聯(lián)系起來，在實(shí)現(xiàn)教學(xué)目標(biāo)的同時(shí)，也可以起到對(duì)學(xué)校信息安全的促進(jìn)與保障作用。目前，高校雖然已經(jīng)普遍開設(shè)了計(jì)算機(jī)應(yīng)用基礎(chǔ)課程，仍然有必要選擇性地開設(shè)網(wǎng)絡(luò)安全課程或?qū)ｎ}講座，宣傳網(wǎng)絡(luò)安全知識(shí)和網(wǎng)絡(luò)道德教育，提高所有學(xué)生和教師的網(wǎng)絡(luò)安全意識(shí)，并且可以開展有針對(duì)性的實(shí)踐技能培訓(xùn)，提高學(xué)生和教師的網(wǎng)絡(luò)防護(hù)技能。新形勢(shì)下，高校學(xué)生應(yīng)當(dāng)具備一定的網(wǎng)絡(luò)基礎(chǔ)知識(shí)，讓學(xué)生學(xué)會(huì)正確對(duì)待各類網(wǎng)絡(luò)信息、合理使用網(wǎng)絡(luò)資源的能力，形成正確的價(jià)值觀，維護(hù)網(wǎng)絡(luò)道德規(guī)范。此外，對(duì)校園網(wǎng)中其他用戶的信息安全教育與培訓(xùn)也是一項(xiàng)需要長期堅(jiān)持的工作。
1.2加強(qiáng)校園網(wǎng)安全維護(hù)，增強(qiáng)網(wǎng)絡(luò)管理人員的安全意識(shí)和技能
校園網(wǎng)信息安全既有管理方面的漏洞，也有技術(shù)層面的風(fēng)險(xiǎn)。專業(yè)的網(wǎng)絡(luò)管理人員負(fù)責(zé)整個(gè)校園網(wǎng)絡(luò)的維護(hù)、網(wǎng)絡(luò)系統(tǒng)的更新、升級(jí)及新技術(shù)的研發(fā)。建立一支既懂管理又有技術(shù)的信息安全人才隊(duì)伍是很有必要的，保障網(wǎng)絡(luò)的信息安全首先應(yīng)當(dāng)提升這部分專業(yè)人士的安全意識(shí)及專業(yè)技術(shù)水平，定期進(jìn)行培訓(xùn)和考核。其次要從技術(shù)層面做好信息安全防御工作。使用必要的網(wǎng)絡(luò)安全防護(hù)技術(shù)，如:身份認(rèn)證技術(shù)、入侵檢測(cè)技術(shù)、防火墻技術(shù)、防病毒網(wǎng)關(guān)技術(shù)、垃圾郵件過濾系統(tǒng)以及安全審計(jì)等技術(shù)來防御來自外部或內(nèi)部的攻擊，有效地對(duì)校園網(wǎng)的進(jìn)行防護(hù)。另外，現(xiàn)在市場(chǎng)上網(wǎng)絡(luò)安全的新產(chǎn)品、新技術(shù)非常多，也可以為校園網(wǎng)提供更好的保護(hù)功能。
1.3建立健全校園網(wǎng)安全保障體系
健全的信息安全管理體制，對(duì)于在管理層面維護(hù)信息安全至關(guān)重要。除了建立一支高素質(zhì)的網(wǎng)絡(luò)管理專業(yè)技術(shù)人員隊(duì)伍外，還必須建立一套嚴(yán)格的管理規(guī)章制度。有了技術(shù)水平足夠高的設(shè)備、軟件支持，再加上有針對(duì)其網(wǎng)絡(luò)建設(shè)和應(yīng)用設(shè)計(jì)的完善的規(guī)章制度，整個(gè)網(wǎng)絡(luò)安全體系才有了根本保障。此外，在科學(xué)合理的信息安全管理機(jī)制中，應(yīng)急響應(yīng)機(jī)制尤為重要，因?yàn)椋瑳]有絕對(duì)安全的網(wǎng)絡(luò)系統(tǒng)，關(guān)鍵在于發(fā)現(xiàn)或發(fā)生安全風(fēng)險(xiǎn)時(shí)，能否及時(shí)正確做出應(yīng)對(duì)，進(jìn)行防御，采取措施消除風(fēng)險(xiǎn)，或?qū)p失降到最低，使網(wǎng)絡(luò)系統(tǒng)能夠快速恢復(fù)正常運(yùn)行。
2結(jié)語
校園網(wǎng)作為因特網(wǎng)的重要組成部分，為教學(xué)提供了極大的方便。由于管理和使用等因素，校園網(wǎng)面臨著嚴(yán)重的安全威脅。其中主要體現(xiàn)為水災(zāi)、雷擊或者操作人員的操作不當(dāng)而導(dǎo)致的硬件或者網(wǎng)絡(luò)系損壞，另外黑客攻擊是校園網(wǎng)系統(tǒng)的主要安全影響因素。近年來，隨著網(wǎng)絡(luò)技術(shù)的發(fā)達(dá)，木馬安裝程序也越來越精密，不但影響公共網(wǎng)絡(luò)，也給校園網(wǎng)的安全帶來極大的沖擊。學(xué)生作為主要操作者，缺乏專業(yè)的技術(shù)，因此容易出現(xiàn)操作失誤現(xiàn)象。另外，學(xué)生的好奇心會(huì)導(dǎo)致系IP被修改，或者進(jìn)入不安全網(wǎng)頁，導(dǎo)致計(jì)算機(jī)系統(tǒng)被病毒侵害。另外，校園網(wǎng)系統(tǒng)還面臨著系統(tǒng)應(yīng)用問題和管理風(fēng)險(xiǎn)。系統(tǒng)應(yīng)用問題主要體現(xiàn)為操作系統(tǒng)安全隱患和數(shù)據(jù)庫安全隱患。由于系統(tǒng)自身設(shè)計(jì)不完善，將導(dǎo)致操作系統(tǒng)存在致命的安全隱患，這需要檢修人員和技術(shù)人員及時(shí)發(fā)現(xiàn)并對(duì)其進(jìn)行處理，以免出現(xiàn)重大安全事故。計(jì)算機(jī)服務(wù)器終端安全風(fēng)險(xiǎn)將導(dǎo)致整個(gè)系統(tǒng)的安全系統(tǒng)下降，出現(xiàn)安全漏洞，影響計(jì)算機(jī)的使用壽命。從這一點(diǎn)上，確保操作系統(tǒng)的信息安全是管理者的重要任務(wù)。但在校園網(wǎng)管理上，由于受到高校制度和對(duì)網(wǎng)絡(luò)教學(xué)或者計(jì)算機(jī)實(shí)踐教學(xué)重視程度不夠的影響，管理安全隱患十分明顯。目前，校園網(wǎng)安全管理依然是人在管理，管理效率低下的主要原因在于管理人員的綜合素質(zhì)不高，管理制度不明確。要解決這一問題，就需要對(duì)校園網(wǎng)管理制度進(jìn)行調(diào)整。
2校園網(wǎng)絡(luò)安全防范設(shè)計(jì)方案
為了提高校園網(wǎng)的安全系數(shù)，應(yīng)建立可靠的拓?fù)浣Y(jié)構(gòu)，其中包括備份鏈路、必要的網(wǎng)絡(luò)防火墻以及VPN的構(gòu)建。具體過程如下：
2.1利用備份鏈路優(yōu)化校園網(wǎng)的容錯(cuò)能力
備份鏈路的使用可有效提高網(wǎng)絡(luò)的容錯(cuò)能力，降低安全風(fēng)險(xiǎn)。主要應(yīng)用于路由器同系統(tǒng)核心交換機(jī)之間，其作用在于對(duì)學(xué)生連接的外網(wǎng)進(jìn)行檢驗(yàn)和排查，控制非法連接，從而提高被訪問網(wǎng)頁的安全系數(shù)。在核心交換機(jī)之間同樣可進(jìn)行雙鏈路連接和端口聚合技術(shù)，從而確保鏈路之間的備份，提高交換帶寬。
2.2計(jì)算機(jī)防火墻的合理應(yīng)用
計(jì)算機(jī)防火墻在校園網(wǎng)安全中起著決定性的作用。通過防火墻的建立，可攔截存在安全隱患的網(wǎng)頁。操作人員可在防火墻上預(yù)設(shè)適當(dāng)?shù)陌踩?guī)則ACL，對(duì)通過防火墻的數(shù)據(jù)信息進(jìn)行檢測(cè)，處理存在安全隱患的信息，禁止其通過，這一原理使得防火墻具有安裝方便，效率高等特點(diǎn)。在計(jì)算機(jī)系統(tǒng)中，防火墻實(shí)際上是外網(wǎng)與內(nèi)網(wǎng)之間連接的唯一出口，實(shí)現(xiàn)了二者之間的隔離，是一種典型的拓?fù)浣Y(jié)構(gòu)。根據(jù)校園網(wǎng)自身特點(diǎn)，可對(duì)這一拓?fù)溥M(jìn)行調(diào)整，將防火墻放置于核心交換機(jī)與服務(wù)器群中間。其主要原因?yàn)椋悍乐箖?nèi)部操作人員對(duì)計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)發(fā)起攻擊；降低了黑客對(duì)網(wǎng)絡(luò)的影響，同時(shí)實(shí)現(xiàn)對(duì)計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)的內(nèi)部保護(hù)和外部保護(hù)，使流經(jīng)防火墻的流量降低，實(shí)現(xiàn)其高效性。但是隨著科技的發(fā)達(dá)，網(wǎng)絡(luò)木馬的類型逐漸增多，這要求防火墻技術(shù)也要不斷的更新，以發(fā)揮其積極作用。將計(jì)算機(jī)防火墻同木馬入侵檢測(cè)緊密結(jié)合在一起，一旦入侵檢測(cè)系統(tǒng)捕捉到某一惡性攻擊，系統(tǒng)就會(huì)自動(dòng)進(jìn)行檢測(cè)。而這一惡性攻擊設(shè)置防火墻阻斷，則入侵檢測(cè)系統(tǒng)就會(huì)發(fā)給防火墻對(duì)應(yīng)的動(dòng)態(tài)阻斷方案。這樣能夠確保防火墻完全按照檢測(cè)系統(tǒng)所提供的動(dòng)態(tài)策略來進(jìn)行系統(tǒng)維護(hù)。
2.3VPN的構(gòu)建
VPN主要針對(duì)校園網(wǎng)絡(luò)的外用，尤其是針對(duì)出差人員，要盡量控制其使用校內(nèi)網(wǎng)絡(luò)資源。如必須使用，則要構(gòu)建VPN系統(tǒng)，即在構(gòu)建動(dòng)態(tài)的外部網(wǎng)絡(luò)通往校園網(wǎng)的虛擬專用通道，也可建立多個(gè)校園網(wǎng)絡(luò)區(qū)域之間的VPN系統(tǒng)連接，提高安全防護(hù)效率。
2.4網(wǎng)絡(luò)層其他安全技術(shù)
網(wǎng)絡(luò)層其他安全技術(shù)主要體現(xiàn)為：防網(wǎng)絡(luò)病毒和防網(wǎng)絡(luò)攻擊。現(xiàn)在網(wǎng)絡(luò)病毒對(duì)網(wǎng)絡(luò)的沖擊影響已經(jīng)越來越大，如：非常猖狂的紅色代碼、沖擊波等網(wǎng)絡(luò)病毒，所以有必要對(duì)網(wǎng)絡(luò)病毒繼續(xù)有效的控制；而網(wǎng)絡(luò)中針對(duì)交換機(jī)的攻擊和必須經(jīng)過交換機(jī)的攻擊有如下幾種：MAC攻擊、DHCP攻擊、ARP攻擊、IP/MAC欺騙攻擊、STP攻擊、IP掃描攻擊和網(wǎng)絡(luò)設(shè)備管理安全。
3校園網(wǎng)的安全管理方案
計(jì)算機(jī)管理也是校園網(wǎng)安全的主要控制方案。在促進(jìn)管理效率提高的過程中，主要可以采取VLAN技術(shù)、網(wǎng)絡(luò)存儲(chǔ)技術(shù)和交換機(jī)端口安全性能提高等方案，具體表現(xiàn)為以下幾個(gè)方面：
3.1應(yīng)用VLAN技術(shù)提升網(wǎng)絡(luò)安全性能
VLAN技術(shù)是校園網(wǎng)安全管理中應(yīng)用的主要技術(shù)，這一技術(shù)的應(yīng)用有效的提高了計(jì)算機(jī)安全管理效率，優(yōu)化了設(shè)備的性能。同時(shí)對(duì)系統(tǒng)的帶寬和靈活性都具有促進(jìn)作用。VLAN可以獨(dú)立設(shè)計(jì)，也可以聯(lián)動(dòng)設(shè)計(jì)，具有靈活性，并且這一技術(shù)操作方便有利于資源的優(yōu)化管理，只要設(shè)置必要的訪問權(quán)限，便可實(shí)現(xiàn)其功能。
3.2利用網(wǎng)絡(luò)存儲(chǔ)技術(shù)，確保網(wǎng)絡(luò)數(shù)據(jù)信息安全
校園網(wǎng)絡(luò)數(shù)據(jù)信息安全一直是網(wǎng)絡(luò)安全管理中的主要任務(wù)之一。除了技術(shù)層面的防火墻，還要求采用合理的存儲(chǔ)技術(shù)，確保數(shù)據(jù)安全。這樣，不但可以防止數(shù)據(jù)篡改，還要防止數(shù)據(jù)丟失。目前，主要的存儲(chǔ)技術(shù)包括DAS、RAID和NAS等。
3.3配置交換機(jī)端口控制非法網(wǎng)絡(luò)接入
交換機(jī)端口安全可從限制接入端口的最大連接數(shù)、IP地址與接入的MAC地址來實(shí)現(xiàn)安全配置。對(duì)學(xué)生由于好奇而修改IP地址的行為具有控制作用。其原理在于一旦出現(xiàn)不合理操作，將會(huì)觸發(fā)和該設(shè)備連接的交換機(jī)端口產(chǎn)生一個(gè)違例并對(duì)其實(shí)施強(qiáng)制關(guān)閉。設(shè)置管理員權(quán)限，降低不合理操作。配置交換機(jī)端口可實(shí)現(xiàn)將非法接入的設(shè)備擋在最低層。
4總結(jié)
要求重要部門（校領(lǐng)導(dǎo)、財(cái)務(wù)、機(jī)房重地）文件夾進(jìn)行加密，主要提供給單個(gè)用戶使用，對(duì)放置機(jī)密文件的文件夾進(jìn)行加密，打開時(shí)需要輸入密碼。
USB接口加密，在重要部門機(jī)器安裝屏蔽USB設(shè)備或綁定USB存儲(chǔ)設(shè)備，對(duì)于綁定以外的USB設(shè)備無法識(shí)別。四、實(shí)施認(rèn)證機(jī)制通過多層交換機(jī)設(shè)置配置VLAN的路由接口，使任意兩個(gè)VLAN相互之間均能進(jìn)行通信，實(shí)現(xiàn)網(wǎng)絡(luò)資源的共享。隨著網(wǎng)絡(luò)的規(guī)模不斷擴(kuò)大升級(jí)，網(wǎng)絡(luò)使用者的管理越來越難，給校園網(wǎng)穩(wěn)定、高效和安全運(yùn)行帶來了新的隱患，這種通過在VLAN間使用訪問控制策略，加強(qiáng)了網(wǎng)絡(luò)的整體安全性。網(wǎng)絡(luò)交換機(jī)的控制通過訪問控制列表進(jìn)行包過濾（PacketFiltering）：對(duì)每個(gè)數(shù)據(jù)包按照用戶所定義的項(xiàng)目進(jìn)行過濾，如比較數(shù)據(jù)包的源地址、目的地址是否符合規(guī)則等。包過濾不涉及會(huì)話的狀態(tài)，也不分析數(shù)據(jù)，只分析數(shù)據(jù)包的包頭信息。如果配置的規(guī)則合理，在這一層能夠過濾掉很多有安全隱患的數(shù)據(jù)包。以太網(wǎng)交換機(jī)支持多種訪問控制列表，并把這些訪問控制列表分為四類：基本訪問控制列表、高級(jí)訪問控制列表、接口訪問控制列表和基于二層的訪問控制列表。在定義訪問控制列表時(shí)，必須定義其類型。如果是用數(shù)字對(duì)訪問控制列表進(jìn)行標(biāo)識(shí)，則可以通過不同的數(shù)字范圍來表示不同的列表類型。如（1）1～99：基本訪問控制列表（ba-sic），（2）100～199：高級(jí)訪問控制列表（advanced），（3）1000～1999：接口訪問控制列表（interface），（4）200～299：基于二層的高級(jí)訪問控制列表。在學(xué)校的辦公網(wǎng)絡(luò)中，每一個(gè)VLAN對(duì)應(yīng)一個(gè)唯一的IP子網(wǎng)，管理者可以根據(jù)VLAN的子網(wǎng)地址進(jìn)行IP過濾，創(chuàng)建擴(kuò)展的IP訪問列表，實(shí)現(xiàn)各個(gè)部門之間的訪問控制。
計(jì)算機(jī)病毒的預(yù)防查殺
購買正版瑞星網(wǎng)絡(luò)殺毒軟件，重要部門裝機(jī)時(shí)必須安裝正版殺毒軟件，建議其它部門安裝正版殺毒軟件。其它地方除安裝有硬盤還原卡、全盤保護(hù)的教室終端和學(xué)生機(jī)房外，校園網(wǎng)內(nèi)所有的終端都必須安裝殺毒軟件。同時(shí)，指定專人定期、經(jīng)常對(duì)各處機(jī)器進(jìn)行殺毒軟件升級(jí)，打補(bǔ)和查殺病毒。
嚴(yán)格執(zhí)行數(shù)據(jù)備份
為主控室、二級(jí)交換機(jī)機(jī)柜安裝防盜報(bào)警設(shè)備、不間斷電源、防雷擊及通風(fēng)降溫設(shè)備。校園網(wǎng)服務(wù)器選用熱插拔硬盤、RAID5格式；在服務(wù)器段VLAN7設(shè)置一臺(tái)裝有三個(gè)大容量IDE硬盤的備份PC（磁帶機(jī)的價(jià)格太高5000-50000￥），將常用數(shù)據(jù)存儲(chǔ)在服務(wù)器硬盤，不常用的數(shù)據(jù)存儲(chǔ)在這臺(tái)PC的硬盤中；利用Win2000Sserver自帶的備份工具對(duì)服務(wù)器中的有效數(shù)據(jù)定期備份，放在備份PC的硬盤上；對(duì)教務(wù)室和財(cái)務(wù)室的電腦也要求定期備份；將學(xué)校需要保存的數(shù)據(jù)、圖像、資料每個(gè)學(xué)期末進(jìn)行一次分類、編號(hào)、整理、壓縮，然后刻成光盤存檔。
對(duì)不良信息過濾
購買信息過濾軟件，在技術(shù)上避免師生有意無意地瀏覽帶有暴力、黃色、內(nèi)容的網(wǎng)絡(luò)信息。比如選用“藍(lán)眼睛智能信息過濾系統(tǒng)”之類的由公安部等部門監(jiān)制的信息過濾工具，以期達(dá)到凈化校園網(wǎng)網(wǎng)絡(luò)信息的目的。當(dāng)非法的網(wǎng)絡(luò)地址被訪問到，或者應(yīng)該被過濾的由系統(tǒng)監(jiān)測(cè)到的信息在傳播時(shí)，過濾工具除了中斷信息的交流外，還會(huì)記錄相關(guān)信息，以備查詢和明確責(zé)任。同時(shí)，加強(qiáng)對(duì)學(xué)校師生的法制教育和道德培養(yǎng)，使他們自覺不主動(dòng)上網(wǎng)瀏覽、下載、傳播這類非法信息。另外，還要使用過濾工具對(duì)公共電腦或校內(nèi)辦公電腦上傳輸?shù)男畔⑦M(jìn)行過濾，杜絕信息的非法傳播。
入侵檢測(cè)
1、在校園網(wǎng)中較重要的服務(wù)器網(wǎng)段中配置S100等產(chǎn)品，進(jìn)行網(wǎng)絡(luò)的入侵檢測(cè)。不停地檢測(cè)和監(jiān)視各個(gè)網(wǎng)段中的各種數(shù)據(jù)包，對(duì)每個(gè)可疑的數(shù)據(jù)包進(jìn)行詳細(xì)的特征分析。如果數(shù)據(jù)包信息與入侵檢測(cè)系統(tǒng)中的某些規(guī)則或特征相吻合，入侵檢測(cè)系統(tǒng)立即會(huì)發(fā)出警報(bào)，甚至直接切斷網(wǎng)絡(luò)連接信號(hào)。
2、在校園網(wǎng)中的重要主機(jī)，如財(cái)務(wù)室電腦、教務(wù)室電腦等上面安裝基于網(wǎng)絡(luò)主機(jī)入侵檢測(cè)的系統(tǒng)S120，對(duì)主機(jī)所在網(wǎng)絡(luò)的實(shí)時(shí)連接，以及系統(tǒng)檢測(cè)日志進(jìn)行分析、判斷，如果其中主體的活動(dòng)可疑，入侵檢測(cè)系統(tǒng)也立即會(huì)采取相應(yīng)措施。
3、同時(shí)使用基于主機(jī)和基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)，使它們實(shí)現(xiàn)優(yōu)勢(shì)互補(bǔ)，構(gòu)架成一套立體而又完整的主動(dòng)防御體系。
4、對(duì)校園網(wǎng)中的部分重點(diǎn)主機(jī)進(jìn)行高級(jí)的安全設(shè)置，去除不必要的訪問，并在必要的網(wǎng)絡(luò)訪問周圍建立嚴(yán)格的訪問控制權(quán)限，避免有意者的非法入侵和破壞。
其它方面的措施
從安全技術(shù)架構(gòu)來說，網(wǎng)站群的安全問題主要在于網(wǎng)絡(luò)層、操作系統(tǒng)、數(shù)據(jù)庫的安全。高職院校一般都具備獨(dú)立的數(shù)據(jù)中心。以浙江醫(yī)藥高等專科學(xué)校為例，目前已建有MIS+S(基本信息安全保障)系統(tǒng)架構(gòu)，隨著硬件驅(qū)動(dòng)已轉(zhuǎn)變?yōu)閼?yīng)用驅(qū)動(dòng)，網(wǎng)絡(luò)信息基礎(chǔ)設(shè)施和服務(wù)都有了大幅度的提升，能夠從物理安全、網(wǎng)絡(luò)安全、系統(tǒng)安全、應(yīng)用安全四個(gè)環(huán)節(jié)，打造網(wǎng)站群安全防范技術(shù)體系，實(shí)現(xiàn)動(dòng)態(tài)防御、主機(jī)安全、備份和恢復(fù)、安全審計(jì)、安全測(cè)試配置、安全監(jiān)控，應(yīng)用分析等目標(biāo)。
1．1動(dòng)態(tài)防御
網(wǎng)站群安全防范技術(shù)體系以往，我們通常利用防火墻、雙核心網(wǎng)絡(luò)設(shè)備以及DMZ區(qū)來實(shí)現(xiàn)應(yīng)用防護(hù)，防范惡意攻擊和病毒入侵的能力有限。在網(wǎng)絡(luò)安全問題日趨嚴(yán)重和復(fù)雜的情況下，需要加固原有的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，增加應(yīng)用防護(hù)系統(tǒng)、統(tǒng)一防惡意代碼軟件、網(wǎng)絡(luò)管理系統(tǒng)，與防火墻一起建立動(dòng)態(tài)防御體系。只有為網(wǎng)站群和服務(wù)建立訪問控制體系，才能將絕大多數(shù)攻擊阻止在到達(dá)攻擊目標(biāo)之前，或攻擊者在突破第一道防線后，延緩或阻斷其到達(dá)攻擊目標(biāo)，最終提升網(wǎng)站群系統(tǒng)的物理安全、網(wǎng)絡(luò)安全和應(yīng)用安全。我們將網(wǎng)站群系統(tǒng)所在區(qū)域從原DMZ區(qū)劃分出來，與其他Web應(yīng)用一起規(guī)劃為安全級(jí)別較高的WebServer服務(wù)區(qū)域。同時(shí)，在該區(qū)域部署統(tǒng)一惡意代碼防范管理系統(tǒng)，建立安全的病毒防護(hù)措施。在核心交換和WebServer服務(wù)區(qū)域間，通過串聯(lián)部署方式，增加一臺(tái)WAF(應(yīng)用防護(hù)系統(tǒng))，起到防護(hù)Web應(yīng)用、漏洞檢測(cè)作用，確保網(wǎng)站群在內(nèi)的Web應(yīng)用完整性。同時(shí)，開啟硬件防火墻上的網(wǎng)站防篡改、IPS功能、日志功能，建立攻擊監(jiān)控體系，實(shí)時(shí)檢測(cè)出絕大多數(shù)攻擊，并采取相應(yīng)的行動(dòng)(如斷開網(wǎng)絡(luò)連接、記錄攻擊過程、跟蹤攻擊源，等)。網(wǎng)站群系統(tǒng)管理員在統(tǒng)一惡意代碼防范管理平臺(tái)上，對(duì)網(wǎng)站群主機(jī)進(jìn)行遠(yuǎn)程控制。包括:遠(yuǎn)程啟動(dòng)或停止實(shí)時(shí)監(jiān)控、手動(dòng)掃描、實(shí)時(shí)更新、功能組件配置、設(shè)定分組任務(wù)或策略，等，以有效阻隔外來病毒入侵及內(nèi)部病毒清除，有效保障系統(tǒng)安全。眾所周知，網(wǎng)絡(luò)攻擊也可以來自于局域網(wǎng)內(nèi)部，如內(nèi)網(wǎng)DoS攻擊、ARP等病毒攻擊。對(duì)于內(nèi)網(wǎng)攻擊的防范，通常采取的應(yīng)對(duì)方法有:為內(nèi)網(wǎng)終端安裝病毒防護(hù)軟件、加強(qiáng)用戶病毒查殺意識(shí)，在網(wǎng)絡(luò)設(shè)備上劃分VLAN進(jìn)行邏輯隔離、設(shè)置ACL訪問控制。現(xiàn)階段，我們還啟用硬件防火墻上的IPS、DDoS/DoS內(nèi)網(wǎng)防護(hù)、病毒防御策略等功能來加強(qiáng)防范。同時(shí)，利用上網(wǎng)行為管理設(shè)備，對(duì)內(nèi)網(wǎng)終端實(shí)施安全檢查、網(wǎng)絡(luò)準(zhǔn)入控制、行為審計(jì)、危險(xiǎn)流量封堵、木馬病毒查殺等安全防護(hù)措施，針對(duì)內(nèi)網(wǎng)攻擊事件查看分析用戶行為記錄并定位，并且依據(jù)學(xué)校相關(guān)規(guī)章制度進(jìn)行處置處理(如《校園網(wǎng)用戶守則》、《校園網(wǎng)聯(lián)網(wǎng)安全保護(hù)管理辦法》、《校園網(wǎng)系統(tǒng)安全管理制度》，等)，提高局域網(wǎng)內(nèi)部的綜合防范能力，減少內(nèi)網(wǎng)攻擊事件的發(fā)生。
1．2主機(jī)安全
主機(jī)安全是網(wǎng)站群系統(tǒng)安全的保障。可以采用雙機(jī)熱備的方式來解決主機(jī)冗余問題。但是，由于網(wǎng)站群系統(tǒng)應(yīng)用的重要性和網(wǎng)絡(luò)安全的復(fù)雜性，為提高主機(jī)安全能力，還需要構(gòu)建主機(jī)集群環(huán)境，以保障網(wǎng)站群系統(tǒng)的持續(xù)運(yùn)行。目前，高職院校為提高數(shù)據(jù)中心的利用率和采購運(yùn)行成本，通常會(huì)采用服務(wù)器虛擬化軟件規(guī)劃虛擬數(shù)據(jù)中心。在該環(huán)境中，統(tǒng)一存儲(chǔ)設(shè)備部署在后端，為物理服務(wù)器(虛擬主機(jī))提供空間資源，并為前端虛擬機(jī)提供數(shù)據(jù)存儲(chǔ)資源;數(shù)臺(tái)高性能服務(wù)器作為虛擬主機(jī)，隨時(shí)劃分前端虛擬機(jī)，并提供虛擬機(jī)所需的CPU、內(nèi)存資源、存儲(chǔ)器訪問權(quán)和網(wǎng)絡(luò)連接能力，滿足各項(xiàng)應(yīng)用的服務(wù)器需求。采用虛擬機(jī)(VM)部署網(wǎng)站群雙機(jī)熱備，在降低采購成本的同時(shí)，提高了網(wǎng)站群主機(jī)的靈活性、冗余保障和容災(zāi)遷移能力，保障網(wǎng)站群主機(jī)操作系統(tǒng)的安全需求。為了減少網(wǎng)站群所在虛擬主機(jī)(物理服務(wù)器)的單點(diǎn)故障，實(shí)現(xiàn)網(wǎng)站群系統(tǒng)的不間斷運(yùn)行，我們利用vSphere集群功能，在虛擬數(shù)據(jù)中心內(nèi)，配置HA(highavailability)高可用集群(如圖4所示)。HA允許一個(gè)集群中在資源許可的情況下，將一臺(tái)出現(xiàn)故障的虛擬主機(jī)上面的網(wǎng)站群虛擬機(jī)切換到集群中另一臺(tái)虛擬主機(jī)上運(yùn)行(如192．168．0．116和192．168．0．118)。應(yīng)用業(yè)務(wù)時(shí)間間斷由VM系統(tǒng)啟動(dòng)時(shí)間、應(yīng)用啟動(dòng)時(shí)間、心跳檢測(cè)時(shí)間構(gòu)成。
1．3備份和恢復(fù)
數(shù)據(jù)資料是整個(gè)網(wǎng)站群系統(tǒng)運(yùn)作的核心，建立良好的備份和恢復(fù)機(jī)制，可以在應(yīng)用系統(tǒng)遭受攻擊時(shí)，盡快地恢復(fù)數(shù)據(jù)和系統(tǒng)服務(wù)。以往，為降低備份容災(zāi)成本，會(huì)采用純軟件模式，通過編輯腳本文件，連接兩臺(tái)熱備服務(wù)器，將數(shù)據(jù)實(shí)時(shí)復(fù)制到另一臺(tái)服務(wù)器上，如果一臺(tái)服務(wù)器出現(xiàn)故障，可以及時(shí)切換到另一臺(tái)服務(wù)器，避免了磁盤陣列的單點(diǎn)故障。在網(wǎng)絡(luò)安全的新形勢(shì)下，為實(shí)現(xiàn)應(yīng)用數(shù)據(jù)及業(yè)務(wù)存儲(chǔ)系統(tǒng)的完整性和可靠性，我們?cè)诰W(wǎng)絡(luò)拓樸的DMZ區(qū)域，接入存儲(chǔ)備份一體機(jī)(浙江醫(yī)藥高等專科學(xué)校采用SymantecBE3600)，構(gòu)建高可用性的存儲(chǔ)備份環(huán)境。利用其存儲(chǔ)空間及備份管理系統(tǒng)，實(shí)現(xiàn)有效的異地備份，為網(wǎng)站群的容災(zāi)備份提供了進(jìn)一步的安全保障。通過制定備份策略，選擇合適的備份頻率，采用完全備份、增量備份、差分備份或按需備份的組合方式，確保及時(shí)恢復(fù)失敗的網(wǎng)站群虛擬機(jī)，快速恢復(fù)丟失的應(yīng)用程序服務(wù)，全面提升網(wǎng)站群的數(shù)據(jù)安全及備份恢復(fù)能力，避免在各種極端情況下造成的重大損失和惡劣影響。
1．4安全審計(jì)
網(wǎng)站群要達(dá)到可控性與可審查性，就必須對(duì)站點(diǎn)的訪問活動(dòng)進(jìn)行多層次的記錄。安全審計(jì)是網(wǎng)站群主機(jī)安全和應(yīng)用安全中的重要環(huán)節(jié)，審計(jì)范圍要覆蓋到主機(jī)上的每個(gè)操作系統(tǒng)用戶和數(shù)據(jù)庫用戶，審計(jì)內(nèi)容應(yīng)包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等安全相關(guān)事件，及時(shí)發(fā)現(xiàn)非法入侵行為。以旁路方式部署了一臺(tái)審計(jì)設(shè)備，并接入核心交換。審計(jì)設(shè)備通過對(duì)交換機(jī)的鏡像口進(jìn)行旁路監(jiān)聽。網(wǎng)站群系統(tǒng)管理員可通過B/S方式使用日志管理綜合審計(jì)系統(tǒng)，從網(wǎng)絡(luò)運(yùn)行維護(hù)、數(shù)據(jù)庫安全及系統(tǒng)安全審計(jì)等方面，采集所有網(wǎng)站群的數(shù)據(jù)庫訪問行為記錄，收集客觀、實(shí)時(shí)的分析數(shù)據(jù)。一旦發(fā)生網(wǎng)站群網(wǎng)絡(luò)信息安全事件，系統(tǒng)管理員可根據(jù)網(wǎng)站群用戶對(duì)數(shù)據(jù)庫系統(tǒng)的所有操作信息，進(jìn)行準(zhǔn)確快速定位，并排除安全隱患。此外，為確保安全審計(jì)，還應(yīng)要求網(wǎng)站群開發(fā)人員去除或隱藏程序中的刪除日志功能。
1．5安全測(cè)試與配置
由于網(wǎng)絡(luò)安全不是絕對(duì)的，因此，在建立技術(shù)防范體系后，我們按照《信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)基本要求》中的第二級(jí)基本要求，對(duì)網(wǎng)站群的操作系統(tǒng)、數(shù)據(jù)庫和應(yīng)用系統(tǒng)進(jìn)行集成測(cè)試和配置。主要包括身份鑒別、訪問控制、入侵防范、資源控制、數(shù)據(jù)完整性和保密性，從而確保信息和管理安全。我們采用Centos和Oracle來構(gòu)建網(wǎng)站群的操作系統(tǒng)和數(shù)據(jù)庫環(huán)境，相關(guān)配置如下:
1．5．1身份鑒別良好的身份認(rèn)證體系可防止攻擊者假冒合法用戶。為此，須對(duì)登錄操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)、網(wǎng)站群的用戶進(jìn)行身份標(biāo)識(shí)和鑒別，操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份標(biāo)識(shí)應(yīng)具有不易冒用的特點(diǎn)，并確保用戶名具有惟一性。因此，我們做了相關(guān)配置:編輯操作系統(tǒng)文件etc/login．defs文件，應(yīng)達(dá)到密碼定期更換要求。如:PASS_MAX_DAYS90#新建用戶的密碼最長使用天數(shù)PASS_MIN_DAYS0#新建用戶的密碼最短使用天數(shù)PASS_WARN_AGE7#新建用戶的密碼到期提前提醒天數(shù)PASS_MIN_LEN6#最小密碼長度6編輯操作系統(tǒng)文件/etc/pam．d/system-auth文件，應(yīng)達(dá)到密碼復(fù)雜度要求，如:passwordrequisitepam_cracklib．sominlen=6dcr-edit=2ocredit=2#限制密碼最小長度6位和至少包含2數(shù)字、至少包含2個(gè)特殊字符數(shù)編輯操作系統(tǒng)文件etc/pam．d/system-auth文件，采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等措施，實(shí)現(xiàn)登錄失敗處理功能。如:authrequiredpam_tally．soonerr=faildeny=6un-lock_time=300#設(shè)置密碼連續(xù)錯(cuò)誤6次鎖定，鎖定時(shí)間300s。對(duì)于數(shù)據(jù)庫的身份鑒別，我們通過配置Oracle公司提供的驗(yàn)證密碼復(fù)雜度的函數(shù)來實(shí)現(xiàn)。對(duì)于網(wǎng)站群系統(tǒng)，后臺(tái)管理用戶密碼復(fù)雜度設(shè)置高級(jí)別，對(duì)密碼的長度、大小寫、特殊字符都方面都要做要求，同時(shí)設(shè)置口令有效期。
1．5．2訪問控制訪問控制更側(cè)重于管理層面，要求操作系統(tǒng)和數(shù)據(jù)庫管理帳號(hào)和實(shí)際操作都必須為不同人員。我們制定相關(guān)崗位職責(zé)文件，實(shí)現(xiàn)權(quán)限分離，責(zé)任分離。如:依據(jù)安全策略控制用戶對(duì)資源的訪問;實(shí)現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)用戶權(quán)限期的分離;限制默認(rèn)帳戶的訪問權(quán)限，重命名系統(tǒng)默認(rèn)帳戶，修改帳戶的默認(rèn)口令;應(yīng)及時(shí)刪除多余的、過期的帳戶，避免共享帳戶的存在。此外，我們對(duì)網(wǎng)站群的角色權(quán)限進(jìn)行細(xì)分，做到權(quán)限相互制約。如超級(jí)管理員具有所有功能的操作權(quán)限，二級(jí)網(wǎng)站管理員只能具有自己站點(diǎn)的操作權(quán)限，審計(jì)員只能查看安全日志。
1．5．3入侵防范做好入侵防范措施。在操作系統(tǒng)方面，我們遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序，使得端口和服務(wù)實(shí)現(xiàn)最小化;通過對(duì)安全漏洞的周期檢查，設(shè)置升級(jí)服務(wù)器等方式保持系統(tǒng)補(bǔ)丁及時(shí)得到更新，從而使絕大多數(shù)攻擊無效。
1．5．4資源控制系統(tǒng)資源控制主要指終端接入的方式、IP地址范圍及登錄次數(shù)限制。我們做了相關(guān)配置。
2網(wǎng)站群安全防范措施
單純期望某一個(gè)安全技術(shù)或體系架構(gòu)就能夠全面消除或解決網(wǎng)絡(luò)安全威脅和風(fēng)險(xiǎn)的想法是不現(xiàn)實(shí)的。高職院校網(wǎng)站安全問題突出，還歸結(jié)于學(xué)校對(duì)網(wǎng)站安全不重視，網(wǎng)站信息保護(hù)意識(shí)差，網(wǎng)站日常維護(hù)缺失，等。我們只能通過大量實(shí)踐，在網(wǎng)絡(luò)安全實(shí)戰(zhàn)對(duì)抗中不斷完善，明確責(zé)任和義務(wù)，建立管理制度和安全制度。管理是網(wǎng)絡(luò)安全的重要部分，在對(duì)網(wǎng)站群部署進(jìn)行有效的安全風(fēng)險(xiǎn)(安全威脅)識(shí)別和評(píng)估后，我們還圍繞技術(shù)層面、組織層面、管理層面、服務(wù)層面，完善網(wǎng)站群安全防范措施。建立學(xué)校、部門兩級(jí)運(yùn)行維護(hù)的組織體系，按集中建站、分級(jí)管理、制度約束、服務(wù)保障的原則，通過統(tǒng)一策劃、統(tǒng)一標(biāo)準(zhǔn)、統(tǒng)一資源、統(tǒng)一平臺(tái)來實(shí)現(xiàn)集中建站。按照國家有關(guān)規(guī)章制度和安全辦法(策略)，形成制度約束機(jī)制，確保網(wǎng)站群在高效、安全、有序的體系下運(yùn)作。理順管理體制與職責(zé)，構(gòu)建主站和子站間的垂直管理體系，制定網(wǎng)站群管理辦法、建立網(wǎng)站群管理和信息員制度、制定安全規(guī)范及操作手冊(cè)、建立內(nèi)容管理與審核制度、明確各網(wǎng)站內(nèi)容管理與運(yùn)行管理崗位職責(zé)、規(guī)范工作流程、完善信息等環(huán)節(jié)，全面做好網(wǎng)站群安全管理工作。通過提升服務(wù)管理水平，構(gòu)建健全的網(wǎng)站群服務(wù)體系。我們參考ISO/IEC20000-1采用的PDCA方法論，從規(guī)劃(P)、實(shí)施(D)、檢查(C)、改進(jìn)(A)四個(gè)方面著手，根據(jù)學(xué)校技術(shù)、政策和資源等實(shí)際環(huán)境，加強(qiáng)安全服務(wù)管理，確保網(wǎng)站群服務(wù)水平。并參考信息安全服務(wù)體系，從安全評(píng)估服務(wù)、安全修復(fù)服務(wù)、安全保障服務(wù)、安全信息服務(wù)、安全培訓(xùn)服務(wù)、數(shù)據(jù)恢復(fù)服務(wù)、產(chǎn)品集成服務(wù)八個(gè)方面，加強(qiáng)安全服務(wù)。
3網(wǎng)站群保障體系構(gòu)建效果
一、校園網(wǎng)絡(luò)安全隱患
1.安全管理有缺陷
主要是由于網(wǎng)絡(luò)管理員安全意識(shí)淡薄、防盜工作不到位，容易造成信息丟失。例如，管理員在進(jìn)行信息加密時(shí)，除預(yù)留原始文件外，還需備份處理，防止文件丟失，但是實(shí)際管理員過于信任網(wǎng)絡(luò)環(huán)境，未對(duì)數(shù)據(jù)信息實(shí)行備份，導(dǎo)致原始數(shù)據(jù)丟失后，無法進(jìn)行二次copy，大量信息不能被及時(shí)還原，導(dǎo)致信息處于不安全的環(huán)境中，有可能隨時(shí)遭遇篡改、竊取的威脅。
2.網(wǎng)絡(luò)的安全漏洞
計(jì)算機(jī)網(wǎng)絡(luò)內(nèi)，由于存在部分安全漏洞，或者部分軟件含有設(shè)計(jì)缺陷，導(dǎo)致其成為惡意攻擊和入侵的途徑，此類型的安全漏洞，遭遇攻擊時(shí)，不易察覺。例如：TCP/IP，其在認(rèn)證方面，存在漏洞，部分攻擊者對(duì)用戶計(jì)算機(jī)中的TCP/IP實(shí)行軟件解析，快速分析信息傳輸路徑，發(fā)起惡意攻擊或攔截，導(dǎo)致計(jì)算機(jī)拒絕各類服務(wù)。
3.網(wǎng)絡(luò)的外界攻擊
外界攻擊主要包括：木馬植入、黑客攻擊以及病毒入侵。病毒與木馬是黑客入侵最常用的方式，一般黑客會(huì)自行編寫程序，攻擊用戶計(jì)算機(jī)，有目的地對(duì)用戶信息進(jìn)行復(fù)制、監(jiān)視或破壞，當(dāng)黑客達(dá)到一定目的后，會(huì)以木馬、病毒的方式，致使計(jì)算機(jī)無法進(jìn)行正常工作，由于病毒隱蔽性高、破壞能力強(qiáng)，最終導(dǎo)致系統(tǒng)癱瘓，降低安全度。
二、造成這些現(xiàn)狀的原因
1.網(wǎng)絡(luò)安全維護(hù)的投入不足
網(wǎng)絡(luò)安全維護(hù)的工作量是很大的，并且很困難，需要一定的人力、物力，然而大多數(shù)學(xué)校在校園網(wǎng)上的設(shè)備投入和人員投入很不充足，有限的經(jīng)費(fèi)也往往主要用在網(wǎng)絡(luò)設(shè)備購置上，對(duì)于網(wǎng)絡(luò)安全建設(shè)，普遍沒有比較系統(tǒng)的投入。
2.網(wǎng)絡(luò)管理員責(zé)任心不強(qiáng)
很多學(xué)校的網(wǎng)絡(luò)管理員都具有一定的專業(yè)水平，基本可以勝任本職工作，但是可能由于學(xué)校領(lǐng)導(dǎo)對(duì)網(wǎng)絡(luò)安全不是很重視，或者因?yàn)閭€(gè)人原因，造成工作熱情不高、責(zé)任心不強(qiáng)，所以也就不會(huì)花很多心思去維護(hù)網(wǎng)絡(luò)、維護(hù)硬件。
3.盜版資源泛濫
由于缺乏版權(quán)意識(shí)，盜版軟件、影視資源在校園網(wǎng)中普遍使用，這些軟件的傳播一方面占用了大量的網(wǎng)絡(luò)帶寬，另一方面也給網(wǎng)絡(luò)安全帶來了一定的隱患。
三、對(duì)策措施
校園網(wǎng)受到的安全威脅是不可避免的，但是我們可以采取有效的措施確保網(wǎng)絡(luò)信息安全。通常情況下，一般采用以下措施來保障校園網(wǎng)的安全性：
1.及時(shí)安裝漏洞補(bǔ)丁
軟件和系統(tǒng)具有漏洞是不可避免的，這是因?yàn)樵O(shè)計(jì)者和程序員不可能考慮到所有方面。但是，黑客會(huì)輕易通過漏洞對(duì)計(jì)算機(jī)信息網(wǎng)絡(luò)造成嚴(yán)重影響。我們普通用戶在使用計(jì)算機(jī)網(wǎng)絡(luò)時(shí)，應(yīng)該及時(shí)更新系統(tǒng)最新補(bǔ)丁，這樣黑客就不會(huì)有機(jī)可乘。同時(shí)，我們也可以通過QQ管家或者360安全衛(wèi)士等更新軟件和下載掃描漏洞。
2.采購配備必要軟件
校園網(wǎng)絡(luò)安全軟件主要有：防火墻、殺毒軟件、存取控制、身份認(rèn)證、加密措施、數(shù)據(jù)的完整性控制和安全協(xié)議等內(nèi)容。但針對(duì)中小學(xué)校園網(wǎng)特點(diǎn)，以下軟件是必須配備的。（1）過濾器和防火墻軟件。由于校園網(wǎng)主要面對(duì)學(xué)生和教職工，因此對(duì)一些涉及黃賭毒、暴力、等不良網(wǎng)站必須嚴(yán)加防范，而過濾器軟件可以有效屏蔽這些不良網(wǎng)站；防火墻軟件主要包含了用戶認(rèn)證、動(dòng)態(tài)的封包過濾、預(yù)警模聲、應(yīng)用服務(wù)、IP防假冒、網(wǎng)絡(luò)地址轉(zhuǎn)接等方面內(nèi)容，可以將校園網(wǎng)與外網(wǎng)十分有效地隔離開來，切實(shí)保障校園網(wǎng)絡(luò)不受未經(jīng)授權(quán)的外部侵入。（2）使用殺毒軟件。殺毒軟件有個(gè)人版和網(wǎng)絡(luò)版，選擇合適的網(wǎng)絡(luò)殺毒軟件可以有效地防止病毒在校園網(wǎng)上傳播。網(wǎng)絡(luò)版殺毒軟件有如下優(yōu)點(diǎn)：A.集中式管理、分布式殺毒效率高；B.采用數(shù)據(jù)庫技術(shù)、LDAP技術(shù)；C.多引擎支持，殺毒速度更快；D.從入口處攔截病毒；E.全面解決方案；F.擴(kuò)展性比較高；G.可以進(jìn)行遠(yuǎn)程安裝或分發(fā)安裝。國內(nèi)外比較知名的網(wǎng)絡(luò)版殺毒軟件有卡巴斯基、諾頓、江民、瑞星等廠商，根據(jù)校園的實(shí)際需要，選擇合適的廠商。
3.更換管理員賬戶
管理員賬戶是計(jì)算機(jī)用戶中擁有最大權(quán)限的用戶，能夠?qū)τ?jì)算機(jī)的所有重要信息做出更改或設(shè)置。如果黑客在入侵的過程中獲取了管理員賬戶的密碼，那么計(jì)算機(jī)中所有用戶的信息都會(huì)受到威脅。為了防止黑客輕易竊取管理員賬戶，管理員的密碼應(yīng)該復(fù)雜，而且要不定期予以更換。
校園網(wǎng)的安全問題是一個(gè)較為復(fù)雜的系統(tǒng)工程，需要全方位防范。防范不能一味地被動(dòng)，更要主動(dòng)進(jìn)行。除了要有相關(guān)的硬件和技術(shù)保障外，還需要相關(guān)的制度保障和校方的重視。當(dāng)然，關(guān)于校園網(wǎng)更多的信息安全應(yīng)用技術(shù)的開發(fā)和應(yīng)用，還有待于廣大網(wǎng)絡(luò)信息安全工作人員的共同努力，才能最終實(shí)現(xiàn)校園網(wǎng)信息的安全防護(hù)應(yīng)用。
1.1網(wǎng)絡(luò)攻擊
開放性的互聯(lián)網(wǎng)環(huán)境很容易成為網(wǎng)絡(luò)攻擊的對(duì)象，老師和同學(xué)在網(wǎng)絡(luò)上完成查閱資料、下載程序、郵件收發(fā)、訪問網(wǎng)頁等教學(xué)活動(dòng)，龐大的使用人群造就了校園網(wǎng)絡(luò)環(huán)境的相對(duì)復(fù)雜，使用者的網(wǎng)絡(luò)安全意識(shí)薄落，在下載資料或?yàn)g覽網(wǎng)頁時(shí)打開來歷不明的電子郵件及文件，或則在下載相關(guān)學(xué)習(xí)資料時(shí)附帶下載安裝諸多不知名的軟件、游戲程式病毒，進(jìn)而造成網(wǎng)絡(luò)環(huán)境的安全問題。網(wǎng)絡(luò)攻擊使服務(wù)器無法正常工作，使數(shù)據(jù)庫信息丟失或者破壞其完整性，導(dǎo)致校園網(wǎng)絡(luò)系統(tǒng)出現(xiàn)混亂，這些攻擊行為影響了高校應(yīng)用系統(tǒng)的正常。
1.2系統(tǒng)漏洞
由于專業(yè)建設(shè)的需求，學(xué)生需要掌握的專業(yè)軟件也就增多，高校實(shí)驗(yàn)室電腦會(huì)安裝多種軟件和應(yīng)用程序，操作系統(tǒng)本身就有很多管理模塊，因此在操作系統(tǒng)中不可避免會(huì)有各種漏洞，漏洞就給計(jì)算機(jī)病毒及非法入侵者就輕松地攻入實(shí)驗(yàn)室網(wǎng)絡(luò)開了后門。高校網(wǎng)絡(luò)一般采用Linux、Unix以及Windows三種操作系統(tǒng)，每種操作系統(tǒng)都會(huì)存在一些安全問題，及時(shí)隨時(shí)更新的漏洞補(bǔ)丁，仍存在有些漏洞能夠使攻擊者通過管理員賬號(hào)攻入網(wǎng)絡(luò)，破壞網(wǎng)絡(luò)系統(tǒng)，嚴(yán)重威脅著校園網(wǎng)的網(wǎng)絡(luò)信息的安全。1.4人為因素由于網(wǎng)絡(luò)的安全的知識(shí)薄弱，不當(dāng)?shù)木W(wǎng)絡(luò)操作、不規(guī)范的網(wǎng)絡(luò)使用行為會(huì)導(dǎo)致病毒傳播，大量占用網(wǎng)絡(luò)資源，破壞網(wǎng)絡(luò)設(shè)備，給校園網(wǎng)絡(luò)帶來安全隱患。網(wǎng)絡(luò)管理員在日常網(wǎng)絡(luò)維護(hù)工作中，由于服務(wù)器和數(shù)據(jù)接入端的設(shè)置不合理、用戶權(quán)限設(shè)計(jì)不恰當(dāng)?shù)榷紩?huì)校園網(wǎng)帶來了嚴(yán)重的安全隱患。
2網(wǎng)絡(luò)安全防護(hù)對(duì)策
在校園數(shù)字化建設(shè)的進(jìn)程中，計(jì)算機(jī)網(wǎng)絡(luò)安全問題顯得尤為突出，因此，要解決網(wǎng)絡(luò)中的安全問題，需要從加強(qiáng)學(xué)校網(wǎng)絡(luò)安全教育、健全網(wǎng)絡(luò)安全管理體制和加強(qiáng)技術(shù)人員的培養(yǎng)等方面來展開工作。
2.1加強(qiáng)學(xué)校網(wǎng)絡(luò)安全教育
開展網(wǎng)絡(luò)安全專題講座，開辟網(wǎng)站專欄，張貼安全知識(shí)布告欄等途徑加強(qiáng)網(wǎng)絡(luò)安全的宣傳，同時(shí)在計(jì)算機(jī)應(yīng)用課程授課時(shí)加大網(wǎng)絡(luò)安全章節(jié)內(nèi)容的介紹，使學(xué)生了解基本的網(wǎng)絡(luò)防護(hù)技能。通過進(jìn)行網(wǎng)絡(luò)道德的教育，讓師生建立起網(wǎng)絡(luò)安全的意識(shí)，養(yǎng)成良好的網(wǎng)絡(luò)使用習(xí)慣，使廣大師生參與到學(xué)校的網(wǎng)絡(luò)安全管理和監(jiān)督過程中來，每一位用戶在使用校園網(wǎng)的同時(shí)，明確自己對(duì)于校園網(wǎng)絡(luò)信息安全防護(hù)的責(zé)任。
2.2健全網(wǎng)絡(luò)安全管理體制
采用實(shí)名制登錄方式，通過對(duì)用戶身份識(shí)別，密碼驗(yàn)證，權(quán)限訪問控制等有效措施對(duì)校園網(wǎng)絡(luò)的使用進(jìn)行保護(hù)，按照網(wǎng)絡(luò)使用用戶類別及權(quán)限，分為教師、行政和學(xué)生用戶，根據(jù)不同的訪問身份設(shè)置訪問權(quán)限，用戶半小時(shí)沒有使用自動(dòng)斷網(wǎng)以防止信息泄露。防火墻能夠提高內(nèi)部網(wǎng)絡(luò)的安全性，并通過過濾不安全的服務(wù)協(xié)議而降低訪問風(fēng)險(xiǎn)，防火墻體系設(shè)計(jì)采用多層防范系統(tǒng)，進(jìn)行實(shí)現(xiàn)全面的網(wǎng)絡(luò)保護(hù)，同時(shí)做到系統(tǒng)漏洞的及時(shí)監(jiān)測(cè)與修補(bǔ)，才能夠很好地抵制外界的網(wǎng)絡(luò)攻擊，營造安全的校園網(wǎng)絡(luò)環(huán)境完善網(wǎng)絡(luò)日志情況，做好服務(wù)器數(shù)據(jù)的備份，落實(shí)各操作系統(tǒng)的配置、使用、修復(fù)和網(wǎng)絡(luò)安全防范技術(shù)措施，對(duì)于服務(wù)器上重要的數(shù)據(jù)信息，要定時(shí)進(jìn)行系統(tǒng)備份或者文件加密處理，防止來自網(wǎng)絡(luò)攻擊或認(rèn)為物理操作損壞造成的數(shù)據(jù)丟失；定期對(duì)學(xué)校的網(wǎng)絡(luò)運(yùn)行環(huán)境和安全情況進(jìn)行檢測(cè)、監(jiān)管，及時(shí)發(fā)現(xiàn)安全隱患，對(duì)存在的系統(tǒng)漏洞和管理上制度上的缺失及時(shí)進(jìn)行修補(bǔ)和完善；系統(tǒng)一旦遇到突發(fā)狀況，立即開啟系統(tǒng)響應(yīng)機(jī)制，采取有效的對(duì)策措施，將風(fēng)險(xiǎn)和損失降低到最小。
2.3加強(qiáng)技術(shù)人員的培養(yǎng)
培養(yǎng)具有信息安全管理意識(shí)的網(wǎng)絡(luò)管理隊(duì)伍，維護(hù)系統(tǒng)數(shù)據(jù)庫，嚴(yán)格管理系統(tǒng)日志。加強(qiáng)網(wǎng)絡(luò)管理人員的隊(duì)伍建設(shè)要不斷提升網(wǎng)絡(luò)管理員的技術(shù)水平，支持相關(guān)人員接受網(wǎng)絡(luò)安全方面的培訓(xùn)學(xué)習(xí)活動(dòng)，提升網(wǎng)絡(luò)防御能力，提高網(wǎng)站、網(wǎng)絡(luò)管理人員水平。
3結(jié)語
