（计算机应用技术专业论文）校园网网络安全体系研究.pdf

硕士论文校园网网络安全体系研究 摘要 随着互联网的普及和国内各院校网络建设的不断发展，大多数学校都建立了自己的 校园网，它己经成为学校信息化的重要部分。校园网作为学校重要的基础设施，担当着 学校教学、科研、管理和对外交流等许多角色。校园网安全状况直接影响着学校的教学 活动。在网络建设的初期，安全问题可能还不突出。随着应用的深入，校园网规模的不 断扩大，如何确保校园网正常、高效和安全地运行是所有高校都面临的问题。 本文介绍了当前主要的网络安全技术，并结合当前校园网发展过程中出现的各类实 际问题以及作者在巢湖学院从事网络管理的实践经历，以巢湖学院网络改造工程为背 景，在网络系统安全理论的指导下，结合校园网安全防范体系架构，通过对巢湖学院在 信息化建设过程中所面临的网络风险的研究和分析，系统地得出了巢湖学院网络系统安 全的需求，提出了新的网络安全解决方案，并在学校网络中进行了初步实施。该方案的 设计包含了较多网络技术的综合，其应用适应性较强，对其他校园网的建设有一定的参 考价值。 关键词：校园网，网络安全，防火墙，身份认证，入侵防御，安全体系 a b s t r a c t w i t ht h ep o p u l a r i z a t i o no fi n t e m e ta n dt h ec o n t i n u o u sg r o w t ho fn e t w o r kc o n s t r u c t i o ni n u n i v e r s i t i e s ，m o s tu n i v e r s i t i e sh a v eb u i l tu pt h e i ro w nn e t w o r ko nc a m p u s ，w h i c hh a v e b e c o m ea ni n s e p a r a b l ep a r to fc a m p u si n f o r m a t i o n i z a t i o n a sa ni m p o r t a n ti n f r a s 仃u c t u r e c o n s t r u c t i o no fu n i v e r s i t i e s ，t h ec a m p u sn e t w o r ka c t sm a n yr o l e sa s t e a c h i n g ，r e s e a r c h , m a n a g e m e n ta n de x t e r n a lc o m m u n i c a t i o ne t c t h es a f e t yo fc a m p u sn e t w o r ki m p a c t st h e t e a c h i n ga c t i v i t i e si nu n i v e r s i t i e sd i r e c t l y t h ep r o b l e mo fn e t w o r ks a f e t ym a yn o tb es e r i o u s a f t e ra si ti sn e w l y b u i l t b u tw i t ht h ef a s td e v e l o p m e n to fn e t w o r ko ns c a l e ，i tb e c o m e st h e p r o b l e ma l lu n i v e r s i t i e sh a v et of a c et h a th o wt ok e e pt h ei n t e r a c tw o r ks a f e l ya n d e f f e c t i v e l y s o m em a j o rn e t w o r k s e c u r i t yt e c h n o l o g i e sw e r ei n t r o d u c e da tt h e i r m i n go f t h i sp a p e r b a s e do nt h o s e t e c h n o l o g i e s ，as y s t e m a t i c a la n a l y s i so ni n t e m e tr i s k d u r i n g t h e i n f o r m a t i o n i z a t i o no fc h a o h uu n i v e r s i t yw i t hp r o b l e m sa p p e a r e di nt h e d e v e l o p m e n to f n e t w o r ko nc a m p u sa n dt h ee x p e r i e n c eo fn e t w o r km a n a g e m e n ti nc h a o h uu n i v e r s i t yt a k e n i n t oc o n s i d e r a t i o n s o m en e wr e s o l u t i o n st ot h ep r o b l e mo fn e t w o r ks e c u r i t yw e r ep r o p o s e d a n da p p l i e di nt h eb u i l d i n go fc a m p u sn e tw o r ko fc h a o h uu n i v e r s i t y t h i ss c h e m ei sa c o m p r e h e n s i v eu t i l i z a t i o no fm a n yn e t w o r kt e c h n o l o g i e sa n dh a sah i g ha d a p t a b i l i t y , w h i c h w i l lp r o v i d er e f e r e n c et ot h eb u i l d i n go f c a m p u sn e t w o r kf o ro t h e ru n i v e r s i t i e s k e yw o r d ：c a m p u sn e t w o r k , n e t w o r ks e c u r i t y , f i r e w a l l ，i d e n t i t ya u t h e n t i c a t i o n ，i n t r u s i o n p r e v e n t i o n , s e c u r i t ya r c h i t e c t u r e n 声明 本学位论文是我在导师的指导下取得的研究成果，尽我所知，在本学 位论文中，除了加以标注和致谢的部分外，不包含其他人已经发表或公布 过的研究成果，也不包含我为获得任何教育机构的学位或学历而使用过的 材料。与我一同工作的同事对本学位论文做出的贡献均己在论文中作了明 确的说明。 研究生签名：磕盛：乓 。年臼日 学位论文使用授权声明 南京理工大学有权保存本学位论文的电子和纸质文档，可以借阅或上 网公布本学位论文的部分或全部内容，可以向有关部门或机构送交并授权 其保存、借阅或上网公布本学位论文的部分或全部内容。对于保密论文， 按保密的有关规定和程序处理。 研究生签名：珈。年月日 硕士论文校园网网络安全体系研究 1 绪论 1 1 论文研究的背景和意义 当今，信息化是科技、经济与社会发展的重要趋势。信息技术在经济和社会各领域 的广泛渗透，推动人类社会生产力达到一个崭新的高度，不仅开创了经济发展的新时代， 同时也促使人类迈向信息社会。毫无疑问，在未来的信息社会里，互联网作为最重要的 社会资源之一，对于个人、企业、国家的重要性将日益凸现。 但是随着计算机网络应用的广泛深入，网络安全问题变得日益复杂和突出。由于因 特网网络协议的开放性，系统的通用性，无政府的管理状态，使得因特网在极大地传播 信息的同时，也面临着不可预测的威胁和攻击。网络技术越发展，对网络进攻的手段就 越巧妙，越多样性。一方面由于计算机网络的开放性和信息共享促进了网络的飞速发展， 另一方面也正是这种开放性以及计算机本身安全的脆弱性，导致了网络安全方面的诸多 漏洞。可以说，网络安全问题将始终伴随着因特网的发展而存在。所以，网络的安全性 同网络的性能、可靠性和可用性一起，成为组建、运行网络不可忽视的问题。 校园网作为学校重要的基础设施，担当着学校教学、科研、管理和对外交流等许多 角色。校园网安全状况直接影响着学校的教学活动。在网络建成的初期，安全问题可能 还不突出，随着应用的深入，校园网上各种数据会急剧增加，网络的攻击越来越多，各 种各样的安全问题开始阻碍了校园网的正常运行。同时，随着网络规模的不断扩大，复 杂性不断增加，异构性不断提高，用户对网络性能要求的不断提高，网络安全也逐步成 为网络技术发展中一个极为关键的任务，对网络的发展产生很大的影响，成为现代信息 网络中最重要的问题之一。因此，随着校园网规模的不断扩大，如何确保校园网正常、 高效和安全地运行是所有高校都面临的问题。 与其它网络一样，校园网面临的威胁大体可分为对网络中数据信息的危害和对网络 设备的危害。具体来说，危害网络安全的主要威胁有： ( 1 ) 非授权访问，即对网络设备及信息资源进行非正常使用或越权使用等。 ( 2 ) 冒充合法用户，即利用各种假冒或欺骗的手段非法获得合法用户的使用权限，以 达到占用合法用户资源的目的。 ( 3 ) 破坏数据的完整性，即使用非法手段，删除、修改、重发某些重要信息，以干扰 用户的正常使用。 ( 4 ) 干扰系统正常运行，指改变系统的正常运行方法，减慢系统的响应时间等手段。 ( 5 ) 病毒与恶意攻击，即通过网络传播病毒等。 除此之外，i n t e r e n t 非法内容也形成了对网络的另一大威胁。对教育网来说，面对 l 绪论 硕士论文 形形色色、良莠不齐的网络资源，如果不具有识别和过滤作用，不但会造成大量非法内 容或邮件出入，占用大量流量资源，造成流量堵塞、上网速度慢等问题，而且某些网站 如娱乐、游戏、暴力、色情、反动等含不良网络内容，将极大地危害学生的身心健康， 导致无法想象的后果。 许多校园网是从局域网发展来的，由于意识与资金方面的原因，它们在安全方面往 往没有太多的设置，包括一些高校在内，常常只是在内部网与互联网之间放一个防火墙 就了事了，甚至什么也不放，直接面对互联网，这就给病毒、黑客提供了充分施展身手 的空间。而病毒泛滥、黑客攻击、信息丢失、服务被拒绝等等，这些安全隐患发生任何 一次对整个网络都将是致命性的。因此，校园网的网络安全需求是全方位的。 1 2 论文的主要内容和结构 论文以巢湖学院校园网建设项目为依托，介绍了当前主要的网络安全技术，分析了 高校校园网的安全现状及原因，提出了校园网安全需求，有针对性的设计了适合巢湖学 院校园网安全长期需要的网络安全解决方案，包括核心网络的改进方案和网络信息安全 体系方案，通过将多种安全要素融合到网络安全体系架构中，实现了网络安全防范从“各 自为战 到“全局联动的转变。 具体章节安排如下： 第一章：绪论。主要介绍论文选题的背景和意义，以及论文各章节的安排和主要内 容。 第二章：计算机网络安全技术综述。介绍了网络安全的概念和计算机网络安全的关 键技术，包括防火墙技术、入侵检测技术、安全扫描技术、身份认证技术、访问控制技 术、计算机病毒防治技术、虚拟专用网技术等，然后对网络安全技术发展趋势进行了分 析。 第三章：校园网的安全需求分析。介绍了巢湖学院校园网现状，分析了校园网安全 现状及原因，提出了校园网安全需求，然后介绍了巢湖学院校园网建设目标。 第四章：校园网络安全体系方案设计。介绍了校园网安全设计原则，在校园网安全 设计原则的基础上对校园核心网进行改进设计，变单核结构为双核结构，出口采用高性 能路由器，并对相关技术和实现进行了分析；然后设计了校园网安全信息防范体系，包 括网关防护、桌面防护、行为管理、接入管理，并对相关技术进行了分析。最后介绍了 网络安全管理。首先对网络安全管理进行了概述，然后介绍了网络安全管理的主要方面。 第五章：总结与展望。对论文工作进行了总结，对后续工作进行了展望。 2 硕士论文校园网网络安全体系研究 2 网络安全技术综述 2 1 网络安全的概念 网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者 恶意的原因而遭受到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。 网络安全从其本质上来讲就是网络上信息的安全。从广义的角度来说【1 1 ：凡是涉及到网络 上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是网络安全所 要研究的领域。网络信息安全的定义有很多种，国际标准委员会i s o 定义为：“为数据 处理系统采取的技术和管理的安全保护，保护计算机硬件、软件、数据不因偶然的或恶 意的原因而遭到破坏、更改和泄露。网络安全是一门涉及计算机科学、网络技术、通 信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的综合性学科。 2 2 网络安全的关键技术 2 2 1 防火墙技术 防火墙是目前最为流行、使用最广泛的一种网络安全技术。在构建安全网络环境的 过程中，防火墙作为第一道安全防线，正受到越来越多的关注【2 】。所谓防火墙指的是一 个由软件和硬件设备组合而成，在内部网和外部网之间，专用网与公共网之间的界面上 构造的保护屏障，是一种获取安全性方法的形象说法。它是一种计算机硬件和软件的结 合，使i n t e m e t 与i n t r a n e t 之间建立起一个安全网关，从而保护内部网免受非法用户的侵 入。防火墙主要由服务访问规则、验证工具、包过滤和应用网关4 个部分组成。它对两 个或多个网络之间传输的数据包按照一定的安全策略来实施检查以决定网络之间的通 信是否被允许，并监视网络运行状态【3 】。 1 防火墙的主要功能有： ( 1 ) 可以限制未授权用户进入内部网络，过滤掉不安全服务和非法用户； ( 2 ) 防止入侵者接近内部网络的防御设施，对网络攻击进行检测和告警； ( 3 ) 限制内部用户访问特殊站点； ( 4 ) 记录通过防火墙的信息内容和活动，监视i n t e m e t 安全提供方便。 2 防火墙体系结构 ( 1 ) 双重宿主主机结构 双宿主机，又称堡垒主机，是一台至少配有两个网络接口的主机，它可以充当与这 些接口相连的网络之间的路由器，在网络之间发送数据包。一般情况下双宿主机的路由 功能是被禁止的，这样可以隔离内部网络与外部网络之间的直接通信，从而达到保护内 2 网络安全技术综述硕士论文 部网络的作用。 ( 2 ) 屏蔽主机结构 屏蔽主机结构需要配备一台堡垒主机和一个有过滤功能的屏蔽路由器，屏蔽路由器 连接外部网络，堡垒主机安装在内部网络上。通常在路由器上设立过滤规则，并使这个 堡垒主机成为从外部网络唯一可直接到达的主机。入侵者要想入侵内部网络，必须过屏 蔽路由器和堡垒主机两道屏障，所以屏蔽主机结构比双重宿主主机结构具有更好的安全 性和可用性。 ( 3 ) 屏蔽子网结构。 屏蔽子网结构它是在屏蔽主机结构的基础上添加额外的安全层，即通过添加周边网 络( 即屏蔽子网) 更进一步地把内部网络与外部网络隔离开。 一般情况下，屏蔽子网结构包含外部和内部两个路由器。两个屏蔽路由器放在子网 的两端，在子网内构成一个“非军事区 d m z 。有的屏蔽子网中还设有一台堡垒主机作为 唯一可访问点，支持终端交互或作为应用网关代理。这种配置的危险地带仅包括堡垒主 机、子网主机及所有连接内网、外网和屏蔽子网的路由器。 2 2 2 入侵检测技术 随着信息化建设的发展，传统的防火墙系统已经不能满足关键应用的实际需要，以 智能和动态分析为基础的入侵检测系统在当今的网络应用中发挥了日益重要的作用。入 侵检测( i n t r u s i o nd e t e c t i o n ) 4 ，顾名思义，便是对入侵行为的发觉。它通过对计算机网络 或计算机系统中得若干关键点收集信息并对其进行分析，从中发现网络或系统中是否有 违反安全策略的行为和被攻击的迹象。入侵检测是防火墙的合理补充，帮助系统对 付网络攻击，扩展了系统管理员的安全管理能力( 包括安全审计、监视、进攻识 别和响应) ，提高了信息安全基础结构的完整性。 入侵检测系统( d s ) 的主要功能有：检测并分析用户和系统的活动，查找非法用 户和合法用户的越权操作；检查系统配置和漏洞，并提示管理员修补漏洞；评估系统关 键资源和数据文件的完整性；识别已知的攻击行为；统计分析异常行为；操作系统日志 管理，并识别违反安全策略的用户活动等【5 j 。 1 i d s 的基本结构 i d s 的基本结构主要有以下组件构成： ( 1 ) 事件产生器 事件产生器的任务是从入侵检测系统之外的环境中收集事件，并将这些事件转换成 g i d o ( 统一入侵检测对象) 格式传送给其他组件。 ( 2 ) 事件分析器 事件分析器分析从其他组件收到的g i d o ，并将产生的新g i d o 再传送给其他组件。 事件分析器可以是一个轮廓描述工具，统计性地检查现在的事件是否可能与以前某个事 4 硕士论文校园网网络安全体系研究 件来自同一个时间序列；也可以是一个特征检测工具，用于在一个事件序列中检查是否 有已知的滥用攻击特征；此外，事件分析器还可以是一个相关器，观察事件之间的关系， 将有联系的事件放到一起，以利于以后的进一步分析。 ( 3 ) 事件数据库 事件数据库是用来存储g i d o ，以备系统需要的时候使用。 ( 4 ) 响应单元 响应单元处理收到的g i d o ，并据此采取相应的措施，如杀死相关进程，将连接复 位、修改文件权限等。 2 入侵检测系统的分类： 入侵检测根据其检测数据来源分为两类 6 1 ：基于主机的入侵检测系统和基于网络 的入侵检测系统。 ( 1 ) 基于主机的入侵检测系统 基于主机的入侵检测系统是根据主机的审计跟踪数据和系统的日志来发现可疑事 件。它的目标环境是主机系统，检测的是本系统用户。这种i d s 的优点是操作简单，而 且可针对不同操作系统的特点判定应用层的入侵事件。缺点是要占用主机宝贵的资源。 ( 2 ) 基于网络的入侵检测系统。 基于网络的入侵检测系统是通过连接在网络上的站点对报文进行捕获，并根据网络 流量、协议分析等数据来判断入侵是否发生。网络i d s 的优点主要有两个：实时响应和 操作代价低。通过实时地观测网络流量，基于网络的i d s 能在入侵者实施入侵前做出反 应，提供实时的保护。另外，由于安置i d s 实体在网络部门，而不是用户桌面，所以安 装快捷，对用户的要求不高，实现起来简单。 2 2 , 3 安全扫描技术 安全扫描1 7 也称为脆弱性评估，其基本原理是采用模拟黑客攻击的形式对目标可能 存在的已知安全漏洞进行逐项检查，目标可以是工作站、服务器、交换机、数据库应用 等各种对象，然后根据扫描结果向系统管理员提供周密可靠的安全性分析报告，为提高 网络安全整体水平产生重要依据。显然，安全扫描软件是把双刃剑，黑客可以利用它入 侵系统，而管理员掌握它以后又可以有效地防范黑客入侵。因此，安全扫描是保证系统 和网络安全必不可少的手段。 目前安全扫描技术主要分两类：基于主机和基于网络的安全扫描。 基于主机的安全扫描技术主要是针对操作系统的扫描检测，它采用被动的、非破坏 性的办法对系统进行检测。通常涉及到系统内核、文件的属性、操作系统的补丁等问题， 还包括口令破解，把一些简单的口令剔除，因此，可以非常准确地定位系统的问题，发 现系统的漏洞。它的缺点是与平台相关，升级复杂。 5 2 网络安全技术综述硕士论文 基于主机的安全扫描工具主要关注软件所在主机上面的风险漏洞，它被安装在需要 扫描的主机上，来完成对主机系统的安全扫描。由于每个主机系统是独立的，且与其他 主机系统是并行工作的，所以执行一次系统安全扫描评估的速度较快。 基于网络的扫描技术采用积极的、非破坏性的办法来检验系统是否有可能被攻击崩 溃，它利用了一系列的脚本模拟对系统进行攻击的行为，然后对结果进行分析。它还针 对已知的网络漏洞进行检验。网络检测技术常被用来进行穿透实验和安全审计。这种技 术可以发现一系列平台的漏洞，也容易安装，但是，它可能会影响网络的性能。 基于网络的安全扫描工具是通过网络远程探测其他主机的安全风险漏洞，它被安装 在整个网络环境中的某一台机器上，可对网络内的系统服务器、路由器和交换机等网络 设备进行扫描，这是一种串行扫描，扫描时间较长。 2 2 4 身份认证技术 身份认证技术【8 】是能够对信息收发方进行真实身份鉴别的技术，是保护网络信息资 源安全的第一道大门，它的任务是识别、验证网络信息系统中用户身份的合法性和真实 性，按授权访问系统资源，并将非法访问者拒之f - j j l , 。可见，身份认证在安全系统中的地 位极其重要，是最基本的安全服务，其它的安全服务都要依赖于它。一旦身份认证系统被 攻破，那么系统的所有安全措施将形同虚设。 身份认证方式可分为单机状态下的身份认证和网络环境下的身份认证，单机状态下 的身份认证方式1 9 主要有：基于口令的认证、基于智能卡的认证、基于生物特征的认证。 基于口令的认证方式是最常用的一种技术。用户输入自己的口令，计算机验证并给 予用户相应的权限。但这种认证方式存在严重的安全问题。它是一种单因素的认证，安 全性仅依赖口令，口令一旦泄漏，用户即可被冒充，更严重的是用户往往选择简单容易 被猜测的口令，如姓名、生日、号码等。这个问题往往成为安全系统最薄弱的突破口。 口令一般是经过加密后放在口令文件中，如果口令文件被窃取，那么就可以进行离线的 字典方式攻击，这也是黑客常用的手段之一。 智能卡、令牌具有硬件加密功能，有较高的安全性。每个用户持有一张智能卡，智能 卡存储用户个性化的秘密信息，同时在验证服务器中也存放该秘密信息。进行认证时，用 户输入p i n ( 个人身份识别码) ，智能卡认证p i n ，成功后，即可读出智能卡中的秘密信息， 进而利用该秘密信息与主机之间进行认证。基于智能卡、令牌的认证方式是一种双因素 的认证方式( p i n + 智能卡) ，即使p i n 或智能卡被窃取，用户仍不会被冒充。智能卡提供硬 件保护措施和加密算法，可以利用这些功能加强安全性能，例如：可以把智能卡设置成用 户只能得到加密后的某个秘密信息，从而防止秘密信息的泄露。但智能卡、令牌认证也 有其局限：它会遗失或被盗用，使用者必须谨记随身携带。同时，令牌的分发和跟踪管理 6 硕士论文校园网网络安全体系研究 也比较困难和麻烦，实施和管理代价也远高于口令系统。 基于生物特征的认证方式网是以人体惟一的，可靠的，稳定的生物特知向指纹，虹 膜，脸部，掌纹等) 为依据，采用计算机的强大功能和网络技术进行图像处理和模式识 别。该技术具有很好的安全性，可靠性和有效性，与传统的身份确认手段相比，无疑产 生了质的飞跃。 网络环境下的身份认证较为复杂，主要是要考虑到验证身份的双方一般都是通过网 络而非直接交互，像根据指纹等手段就难以实现。同时大量的黑客随时都可能尝试向网 络渗透，截获合法用户口令并冒名顶替以合法身份入网，所以目前一般采用高强度的密 码认证协议技术来进行身份认证。 2 2 5 访问控制技术 访问控制也叫接入控制，是通过某种途径显式地准许或限制访问能力及范围的一种 方法。它是针对越权使用资源的防御措施，通过限制对关键资源的访问，防止非法用户 的入侵或因为合法用户的不慎操作而造成的破坏，从而保证网络资源受控地、合法地使 用。用户只能根据自己的权限大小来访问系统资源，不得越权访问。访问控制技术不能 取代身份验证，它是建立在身份认证的基础之上的。 访问控制的常见实现方法有访问控制矩阵、访问控制能力表、访问控制表和授权关 系表等几种。在计算机系统中主要采用3 种访问控制策吲l o 】：自主访问控制、强制访问 控制和基于角色的访问控制。 自主访问控制的基本思想是系统中的主体( 用户或用户进程) 可以自主地将其拥有的 对客体的访问权限全部或部分地授予给其它主体。实现方法一般是建立系统访问控制矩 阵，矩阵的行对应系统的主体，列对应系统的客体，元素表示主体对客体的访问权限。为 了提高系统性能，在实际应用中常常是建立基于行( 主体) 或列( 客体) 的访问控制方法。 强制访问控制源于对信息机密性的要求以及防止特洛伊木马之类的攻击，通过无法 回避的存取限制来阻止直接或间接客体都被分配一个固定的非法入侵。系统中的主客体 都被分配一个固定的安全属性，决定一个主体是否可以访问某个客体。安全属性是强制 性的，由安全管理员分配，用户或用户进程不能改变自身或其它主客体的安全属性。 基于角色的访问控制的思想是将访问权限分配给角色，系统的用户担任一定的角色， 与用户相比角色是相对稳定的。角色实际上是与特定工作岗位相关的一个权限集，当用 户改变时只需进行角色的撤消和重新分配即可。而基于角色的访问控制泽则是2 0 世纪 9 0 年代后涌现出来的新的访问控制策略，由于有很大的优势，所以发展很快。 7 2 网络安全技术综述 硕士论文 2 2 6 计算机病毒防治技术 计算机病毒是指编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影 响计算机使用并且能够自我复制的一组计算机指令或者程序代码【1 1 】。计算机病毒具有寄 生性、传染性、潜伏性、隐蔽性、破坏性、可触发性等特点【1 2 1 。 1 计算机病毒的预防 通过技术和管理措施，计算机病毒是完全可以防范的。计算机病毒防范，是指通过 建立合理的计算机病毒防范体系和制度，及时发现计算机病毒入侵，并采取有效的手段阻 止计算机病毒的传播和破坏，恢复受影响的计算机系统和数据【5 】。 计算机病毒的技术预防措施： ( 1 ) 新购置的计算机硬软件系统要作查毒测试。 ( 2 ) 在保证硬盘无病毒的情况下，尽量使用硬盘引导系统。 ( 3 ) 对重点保护的计算机系统应做到专机、专盘、专人、专用，封闭的使用环境 中是不会产生病毒的。 ( 4 ) 重要数据文件要有备份。 ( 5 ) 不要随便直接运行或打开电子邮件中夹带的附件文件，不要随意下载软件， 尤其是一些可执行文件和o 伍c e 文档。 计算机网络的安全使用： ( 1 ) 安装网络服务器时，应保证无毒环境，即安装环境和网络操作系统本身没有 感染病毒。 ( 2 ) 一定要用硬盘启动网络服务器。 ( 3 ) 服务器文件系统应划分成多个文件卷，至少分成操作系统卷、共享的应用程 序卷和各个网络用户可以独占的用户数据卷。 ( 4 ) 为各个卷分配不同的用户权限。将操作系统卷和应用程序卷设成对一般用户 为只读权限。不经授权、不经病毒检测，就不允许在其中安装程序。是网络用户有一个 安全的联网工作环境。 ( 5 ) 在网络服务器上安装真正有效的防病毒软件，并经常进行升级。 ( 6 ) 定期升级系统，下载最新安全补丁，以防患未然。 ( 7 ) 系统管理员对网络内的共享电子邮件系统、共享存储区域和用户卷定期进行 病毒扫描，发现异常应及时处理。 2 计算机病毒的检测1 7 j ( 1 ) 比较法 比较法是用原始的或正常的与被检测的系统或文件进行比较。比较法包括长度比较 法、内容比较法、内存比较法、中断比较法等。比较时可以靠打印的代码清单进行比较， 或用程序来进行比较。这种比较法不需要专用的查病毒程序，只要用常规d o s 软件和 g 硕士论文校园网网络安全体系研究 工具软件就可以进行。而且比较法还可以发现那些尚不能被现有的查病毒程序发现的计 算机病毒。 ( 2 ) 校验和法 计算机正常文件内容的校验和，将该校验和写入文件中或写入别的文件中保存。在 文件使用过程中，定期地在每次使用文件之前，检查文件现在内容算出的校验和与原来 保存的校验和是否一致，因而可以发现文件是否感染病毒，这种方法就是校验和法，它 既可以发现已知病毒，又可以发现未知病毒。缺点是不能识别病毒的种类，不能报出病 毒名称。 ( 3 ) 扫描法 扫描法是用每一种病毒体含有的特定字符串对被检测的对象进行扫描。如果被检测 对象内部发现了某一特定字符串，就表明发现了该字符串所代表的病毒。扫描法包括特 征代码扫描法、特征字扫描法。扫描法是目前用的最为普遍的查病毒方法。 ( 4 ) 行为监测法 利用病毒的特有行为特性监测病毒的方法，称为行为监测法。通过对病毒多年的观 察、研究，人们发现病毒有一些行为，是病毒共同的行为，而且比较特殊。在正常的程 序中，这些行为比较罕见。当程序运行时，监视其行为，如果发现了病毒行为，立即报 警。行为监测法的长处在于不仅可以发现已知病毒，而且可以相当准确地预报未知的多 数病毒。短处是可能误报警和不能识别病毒名称。 ( 5 ) 感染实验法 这种方法的原理是利用了病毒的最重要的基本特征：感染特性。所有的病毒都会进 行感染，如果不会感染，就不能称其为病毒。如果系统中有异常行为，最新版的检测工 具也查不出病毒时，就可以做感染实验，运行可疑系统中的程序后，在运行一些确切知 道不带病毒的正常程序，然后观察这些正常程序的长度和校验和，如果发现有的程序增 长，或者校验和变化，就可断定系统中有病毒。 ( 6 ) 软件模拟法 软件模拟法实际上是一种软件分析器，用软件方法来模拟和分析程序的运行，主要 用来检测多态性病毒。新型检测工具纳入了软件模拟法，该工具开始运行时，使用特征 代码法检测病毒，如果发现隐性病毒或多态性病毒嫌疑时，启动软件模拟模块，监视病 毒运行，待病毒自身的密码译码后，再运用特征代码法来识别病毒的种类。 ( 7 ) 分析法 该方法由专业反病毒技术人员使用。分析法的目的在于： 第一，确认被观察的磁盘引导区和程序中是否含有病毒； 第二，确认病毒的类型和种类，判断其是否是种新病毒； 第三，搞清楚病毒体的大致结构，提取特征识别用的字符串或特征字，用于增添到 9 2 网络安全技术综述 硕士论文 病毒代码库供病毒扫描和识别程序用。 2 2 7 虚拟专用网技术 虚拟专用网络( x r m u a lp r i v a t en e t w o r k , v p n ) 是以公用开放网络作为传输媒体，通 过在上层协议中附加的多种技术，向用户提供类似于专用网络性能的一种网络技术。它 通常是两个专用网络通过一个公用网络相互连接的一种方法。v p n 之所以被称作虚拟的 是因为在两端，两个专用网络好像是无缝连接在一起的。换句话说，它们其实就是一个 包含这两个网络在内的专业网络。不过，它只是虚拟的。实际上，两个专用网络之间还 存在一个公用网络。 1 v p n 的关键技术 v p n 中采用的关键技术【1 3 i 主要包括隧道技术、加密技术、用户身份认证技术及访 问控制技术。v p n 的核心就是隧道技术。隧道是一种通过互联网络在网络之间传递数据 的方式。所传递的数据在传送之前被封装在相应的隧道协议里，当到达另一端时被解包。 被封装的数据在互联网上传递时所经过的路径是一条逻辑路径。在v p n 中主要有两种 隧道。一种是端到端的隧道，另一种是节点到节点的隧道。隧道技术相关的协议分为第 2 层隧道协议和第3 层隧道协议。第2 层隧道协议主要有p p t p 、l 2 t p 和l 2 f 等，第3 层隧道协议主要有g r e 以及i p s e e 等。 2 v p n 的分类 从不同的角度出发，v p n 有不同的分类方法1 1 4 1 。 按是否采用了加密技术，v p n 可分为两类：加密的和非加密的。 加密v p n 采用了各种加密机制保证通过公用网络传输的通信安全。加密是为了让 v p n 通信能安全地通过公用网络。这类v p n 很好的例子是那些使用了i p s e c 的v p n 。 用i p s e c 建立的v p n 对通过公用网络的通信采用加密算法加密。 非加密v p n 不能保证从一个专用网络到另一个专用网络的通信安全性，或者采用 其他非加密方式才能得到保证。这些方法包括路由隔离，即只有两个专用网络之间的通 信流量可以被路由到各专用网络( m p l sv p n ) 。对那些主要机制提供的功能不能保证 安全性的v p n 类型，如g r e b a s e dv p n ，通常采用上层协议加密( 例如s s l ) 来保证 数据机密性。 按v 1 ) n 在o s i 模型中所处的层次来分，v p n 可分为数据链路层v p n ，网络层v p n 和应用层v p n 。 对于数据链路层v p n ，两个专用网络使用帧中继协议或a t m 协议等，在o s i 模型 的第2 层相连。尽管这些机制提供了创建v p n 的合适方法，但它们的代价也很高，因 为它们要求创建专用的第2 层路径。帧中继和a t m 协议没有包含固有加密机制。它们 只是隔离通信，这种隔离基于该通信属于哪一类第2 层链接。因此，如果需要更高的安 1 0 硕士论文校园网网络安全体系研究 全性，在恰当的位置使用某种加密的机制非常重要。 网络层v p n 采用地3 层隧道和加密技术构建。网络层是一个非常适合加密的地方。 网络层在协议栈中层次足够低使得它能为运行在它上面的应用程序提供无缝连接，同时 它的层次又足够高以允许通信有足够的粒度成为基于在合适位置扩展口地址结构的 v p n 的一部分。 应用层v p n 是为了特定的应用程序而建的。一个非常好的例子就是基于s s l 的 v p n 。s s l 在w | e b 浏览器与运行s s l 的服务器之间提供了加密信道。应用层v p n 的一 个主要缺点在于它们通常不是无缝连接的。用户必须执行一些操作才能使终端设备为各 种应用程序创建v p n 。当添加新的服务和相应的应用程序时，也要开发对它们的支持。 根据v p n 的连接对象和方式，v p n 可以分为远程访问v p n ，内部网v p n 和外部 网v p n 。 远程访问v p n 通过一个与专用网络相同策略的共享基础设施，提供对专用网内部 的远程访问。远程访问v p n 的接入技术主要包括拨号、i s d n 、数字用户线、移动口 等，能够安全地连接移动用户、远程工作者和通信业务量不大的分支机构。远程访问 v p n 能使远程用户随时、随地以其所需的方式访问专用网内部网络。 内部网v p n 通常利用i n t e m e t 这一公用网络将一个组织内部的两个或多个专用网络 连接在一起。以便组织内部完全实现信息传递和资源共享。利用i n t e m e t 线路保证网络 的互联性，利用隧道、加密、鉴别和访问控制等技术可以保证信息在整个内部网v p n 上安全传输，使组织拥有与专用网络相同的安全策略、服务质量、可管理性和可靠性。 外部网v p n 通常用来将多个组织所属的多个专用网络连接在一起。这常常用于 b 2 b 的情况下，也就是两个企业想要进行交易的时候，一个企业的合作者也可以通过 i n t e m e t 上的v p n 访问该企业的资源。 2 3 网络安全技术发展趋势分析 2 3 1 网络安全威胁的新形势 随着网络技术的不断发展和信息化的快速推进，网络安全形势愈加严峻。综合分析 近年来网络攻击技术的发展情况，可以发现目前网络攻击手段向简单化、综合化演变， 攻击形式却向多样化、复杂化发展。病毒、蠕虫、垃圾邮件、僵尸网络等攻击持续增长， 恶意软件攻击继续肆虐，钓鱼式攻击愈演愈烈，黑客组织多样化，提供服务种类多样化， 各种软硬件安全漏洞被利用进行攻击的综合成本越来越低，内部安全威胁将更加严峻， 以经济利益为目标的黑色产业链已向全球一体化演进。 随着新的网络技术的应用，新型攻击方式也不断涌现，例如针对各种w e b 应用的 攻击，针对安全专用软硬件的攻击、针对网络设备的攻击、针对虚拟化技术应用产生的安 2 网络安全技术综述硕士论文 全问题等。在新的网络应用环境下，针对新的安全风险必须要有新的安全技术，需要认 真对待这些新的安全威胁。 2 3 2 网络安全技术的演进 网络安全技术是发展最快的网络技术之一，随着攻击技术的不断发展，网络安全技 术也在不断演进，从传统的防火墙、身份认证、入侵检测、病毒防治、v p n 技术向可信 技术、云安全技术、深度包检测( d p i ) 、终端安全管控以及w e b 安全技术等新型网络 安全技术发展【l5 1 。 1 可信技术 所谓可信是指计算机系统所提供的服务是可以论证其是可信赖的。可信技术是用于 提供从终端到网络系统的整体安全可信环境。这是一个系统工程，包含可信计算、可信 对象、可信网络三个方面。 可信计算是通过在终端硬件平台上引入可信架构，提升终端系统的安全性。p c 、服 务器、移动终端等都是可信计算的实体。 可信对象技术是通过建立一个多维度的信誉评估中心，对需要在网络中传播的对象 进行可信度标准评估，以获得该对象的可信度并确定是否可以在网络中传播。p 地址、 电子邮件、w r e b 页面、w e b 地址等都是可信对象的实体。 可信网络是通过把安全能力融合到网络能力中，并设计安全的网络体系结构，从而 保障全网的安全性、可生存性和可控性。各种网络设备和网元是可信网络的实体。 2 云安全技术 云安全技术是一项正在兴起的技术，它将使用户现有以桌面边界设备为核心的安全 处理能力转移到以网络数据中心为核心的安全处理能力，并充分利用集中化调度的优 势，极大地提高用户享受安全服务的简易性、方便性以及高效性。目前，关于云安全技 术的应用主要分为云计算带来的安全能力演进和基于虚拟化的云安全技术两大类。 云计算是指服务的交付和使用模式，指通过网络以按需、易扩展的方式获得所需的 服务。这种服务可以是i t 和软件、互联网相关的，也可以是任意其他的服务，它具有 超大规模、虚拟化、可靠安全等独特功效。云计算通过把网络计算能力集中化、虚拟化， 使计算能力获得极大提升。这种能力将对长期在安全和效率之间平衡发展的安全技术带 来极大的变革，尤其是给新的安全技术的发展带来了革命性的变化。基于云计算的安全 能力演进主要体现在对u t m ，信誉评估体系，在线杀毒，分布式i p s 等技术的影响， 基于云计算整合的安全能力将极大地促进安全应用服务的演进。 云安全的另一个核心就是安全技术虚拟化，通过云端和客户端的结合提供一种新型 的信息网络安全防御能力。云安全通过网状的大量客户端对网络中软件行为的异常监 测，获取互联网中木马、恶意程序的最新信息，推送到服务端进行自动分析和处理，再 1 2 硕士论文校园网网络安全体系研究 把病毒和木马的解决方案分发到每一个客户端。从技术上看，云安全虚拟化是一种安全 服务能力的提供模式。这种安全服务模式是将安全能力放在“云 端，通过云端按需提 供给客户端需要的安全能力，整个安全核心能力的提供完全由云安全中心来负责。目前 主要有基于网关安全和基于主机安全两种云安全模式。当“云 在网络上发现不安全链 接或者安全攻击时，可以直接做出判断，阻止其进入内部网络节点或主机，从根本上保 护用户的安全。 3 d p i 技术 d p i 技术，即深度包检测【l6 】技术，是指在对数据流进行i p 五元组检测的基础上， 进一步深度检测数据流应用层信息，依据协议类型、端口号、特征字符串和流量行为特 征等参数，获取业务类型、业务状态和业务内容等信息的一种业务识别技术。利用d p i 技术，网络运营商可以了解用户在使用什么业务，网络资源被哪些业务、用户占用着。 据此，可以采取灵活的策略，对这些业务予以保障、限制或者禁用。d p i 技术的应用不 仅可以帮助网络运营商更加优化地分配网络带宽资源，还将对网络攻击的深度安全防范 以及网络业务的精细化运营带来积极的促进作用。 4 w | e b 应用安全技术 如今，w e b 业务平台已经在电子商务、企业和事业单位信息化中得到广泛应用，很 多单位都将应用架设在w e b 平台上，w e b 业务的迅速发展也引起了黑客们的强烈关注， 他们将注意力从以往对传统网络服务器的攻击逐步转移到了对w e b 业务的攻击上。黑 客利用网站操作系统的漏洞和w e b 服务程序的s q l 注入漏洞等得到w e b 服务器的控 制权限，轻则篡改网页内容，重则窃取重要内部数据，更为严重的则是在网页中植入恶 意代码，使得网站访问者受到侵害。w e b 应用的安全问题正成为信息网络安全技术领域 的一个研究热点。典型的w e b 应用安全技术主要有w e b 防火墙、u r l 过滤、反垃圾邮 件、网页挂马防范等。 5 终端安全管控技术 传统的防火墙、防病毒、入侵检测等安全设备在一定程度上解决了l a n 的外部安 全问题，而内部的数据泄漏和人为攻击已成为现阶段主要的安全风险。内部安全风险控 制的核心在于终端行为管控，如何确保终端不成为安全攻击或信息泄漏的突破口成为关 注的问题，目前常用的终端安全管控技术有终端接入控制技术、终端行为管控技术、文 档安全技术三大类。 2 4 本章小结 本章介绍了网络安全的概念以及防火墙、入侵检测、安全扫描、身份认证、访问控 制、计算机病毒防治、虚拟专用网等常用的网络安全技术，在此基础上，进一步分析了 网络安全技术发展趋势，为论文的进一步展开做好铺垫。 1 3 3 校园网现状与安全需求分析硕士论文 3 校园网现状与安全需求分析 3 1 巢湖学院校园网概述 巢湖学院校园网依托中国教育与科研计算机网( c e r n e t ) 的网络资源而建立，是 c e r n e t 的巢湖学院节点，也是c e r n e t 巢湖地区主节点。 巢湖学院校园网自1 9 9 9 开始建设，经过近9 年建设，校园网络已基本覆盖了教学、 科研、实验、办公、教师住宅等区域的所有建筑物，形成了高速、安全、可靠的千兆主 干、百兆到桌面的全交换校园网，并以百兆带宽分别与中国电信网和c e r n e t 安徽中 国科学技术大学节点相连接。 截止到2 0 0 8 年1 2 月底，校园网的建设规模达到信息点2 0 0 0 个，共有交换机数量 约1 0 0 余台。网络软硬件总投入约4 0 0 万元。目前交换机品牌较多，有思科、h 3 c 、3 c o m 和锐捷等。 已建成的基础网络服务有w e b 、m a i l 、f t p 、v o d 、d n s 等，建设完成电子政务 系统、教务管理系统等多个应用系统以及图书管理系统及各种电子资源。 在基础安全设施建设方面，学院部署有卡巴斯基网络版防病毒软件、天融信防火墙 等。校园网网络拓扑结构图如图3 1 1 。 蠼棼鬻群 ，wm a l ld k 1 4 图3 1 1