校园网系统安全设计与实现.doc

此文档收集于网络，如有侵权，请联系网站删除本科毕业论 文本科毕业设计 延 边 大 学 （题 目：校园网系统安全设计与实现学生姓名：赵哲俊学 院：工学院专 业：计算机科学与技术班 级：2004级指导教师：王齐 讲师二 08摘 要开放式一体化网络的安全问题涉及到很多方面，是一个集技术、管理、法规于一体的复杂系统工程。目前国内在这些方面的研究还不能跟上网络技术的发展。网络上大量存在的计算机病毒、黑客行为、木马等安全威胁，无时无刻不在影响着校园网络的健康发展，利用何种技术措施保证校园网安全、高效地运行，已成为目前许多学校急需解决的研究课题。目前，常采用的保护网络安全的技术主要有数据加密，防火墙，入侵检测、杀毒、访问控制等。这些技术分别在一方面或多方面抵御着来自网络的安全威胁。然而，威胁网络安全的计算机病毒技术、黑客技术、木马技术等却在不断的发展变化之中。在校园网的建设实践中，追求百分之百的网络安全是办不到的，综合运用多种网络安全技术建成一个相对安全的、符合一定安全需求的校园网才是明智的选择。在对各种网络安全技术进行深入地探讨后，具体分析了延边大学校园网存在的安全问题，针对校园网在运行中所遇到的实际问题，在信息系统安全理论的指导下，设计了总体网络安全体系方案。在方案中，特别对防火墙、入侵检测、病毒防治等多方面给出了具体的解决方案。另外，在安全管理方面，给出了对校园网的管理意见。关键词：校园网；网络安全；安全需求；安全策略AbstractThe security of the Opening Network is a problem concerning many areas and also a complex project of system engineering which involves techniques,management and laws.Domestic studies can not yet keep up with the rapid development of network techniques.The threatening of the computer virus and hackers are affecting the health development of the campus network.And how to assure the security and the efficiency of the campus network is becoming the emergence research topic in lots of colleges.Recently,the popular technologies of protecting network include data-encrypting、firewall、IDS、killing-virus、access-controlling and so on.These technologies resist the security threatening from network in one aspect and some aspects respectively.However,the technologies of computer virus and hacker are also developed.In the building of the campus network,it is impossible to have the totally security.Using a lot of network security technologies to build a relatively safe network which satisfies the security request to certain extent is a wise way.After the discussing of several network security technologies,the security problem of the Campus Network of Yanbian University is analysed in detail.According to the real problem when the Campus Network is running and based on using the guidance of safe theory of information system,a overall security solution is put forward in this thesis. Especially,the necessary security assurance measures are designed in detail,including firewall,intrusion detection,anti-virus and so on. Meanwhile, suggestion for effective security management is put forward.Keywords：Campus network; Network Security; Security requirement; Security policy目 录引 言 . 1第一章 系统概述 . 2第二章 系统风险分析 . 42.1 物理安全风险分析 . 42.2 链路层脆弱性分析 . 42.3 网络层脆弱性分析 . 42.4 操作系统的脆弱性分析 . 62.5 应用层安全风险分析 . 62.6 管理的安全风险分析 . 7第三章 系统安全需求 . 83.1 安全需求说明 . 83.2 系统安全目标 . 9第四章 系统安全设计 . 104.1 安全设计原则 . 104.2 安全设计标准 . 104.3 安全方案 . 104.3.1 物理安全 . 114.3.2 网络安全 . 124.3.3 业务应用安全 . 154.3.4 安全管理与服务 . 164.4 安全方案特点 . 16第五章 系统安全测试与实现 . 175.1 系统安全测试 . 175.2 系统安全技术实现 . 19第六章 总结 . 23参考文献 . 24谢 辞 . 25引 言知识经济时代的到来和信息技术的飞速发展，以及全球经济一体化的加剧，信息传输的途径越来越依赖于电信网，尤其是计算机互联网。近十几年来，信息技术尤其是计算机网络技术得到了飞速发展。互联网提供的WWW、电子邮件等服务为人们提供了前所未有的交流便利，把“地球村”的居民紧密地联系在一起。在改变人们日常生活的同时，网络技术对经济发展带来了巨大的冲击。这种冲击也带动了单位系统的信息化建设向网络化快速的发展，随着这种发展的不断继续和升级，各方面对于信息技术，特别是计算机网络技术依赖越来越大，有越来越多的重要信息通过网络传递。然而，凡事“有一利必有一弊”。人们在得益于信息革命带来的巨大机遇的同时，不得不面对信息安全问题的严峻考验。信息系统安全，是指为信息处理系统建立所采取的技术和管理的安全保护措施，以保护计算机系统中的硬件、软件及数据，防止其因偶然或恶意的原因而使系统或信息遭到破坏、更改或泄露。信息系统安全的内容包括了计算机安全技术、安全管理、安全评价和安全产品、计算机犯罪与侦察、计算机安全、安全监察，以及计算机安全理论与策略。信息系统的可靠运转是基于通信子网、计算机硬件和操作系统及各种应用软件等各方面、各层次的良好运行。因此，它的风险将来自对网络的各个关键点可能造成的威胁，这些威胁可能造成总体功能的失效。相对于过去的局域网、主机环境、单机环 境，目前网络的规模庞大，结构复杂，网络上运行着各种各样的主机和应用程序，使用了多种网络设备；同时，由于多种业务的需要，又和许多其它网络进行连按，使安全问题变得越来越复杂和突出。延边大学对信息化建设极其重视，先后制定了信息化建设的发展战略、总体规划、实施方案以及有关制度、标准及规范等。经过多年建设后，已经形成了比较完善的校园网，整体结构是一个通过WAN连接的多级LAN网络，在网络每一级的节点上具有一个局域网。基于这种情况，考虑到延边大学学生人数较多，应用系统复杂，为保障校园网运行安全，有必要统一规划，设计一个延边大学校园网安全解决方案。本文拟对校园网的安全威胁进行分析，基于其安全需求，在研究己有安全体系结构的基础上，分析信息系统安全特点，根据延边大学校园网的实际安全要求，提出一个安全解决方案，探讨如何保障大学校园网的应用安全。第一章 系统概述延边大学成立于1949年3月20日，地处有“教育之乡”美誉的吉林省延边朝鲜族自治州首府延吉市，是一所具有鲜明民族特色的综合性大学，是国家“211工程”重点建设大学、西部开发重点建设院校、吉林省和教育部共同重点支持建设大学。 经过几年的辛苦努力，目前已建成了连接校本部、医学院校区、艺术学院校区、科技学院校区和农学院校区五个校区的校园网基础网络，该网络覆盖了五校区绝大部分的教学、行政办公区域和全部的学生宿舍。因为两个区域都是为全校的教学、科研、管理和生活服务的，所以合称为校园网。校园网拓扑如图1所示。图1 延边大学校园网拓扑图从图可见，延边大学校园网分为校本部、医学院校区、艺术学院校区、科技学院校区和农学院校区五个大型子网，五个校区通过神州数码DCRS-7608交换机进行连接。利用千兆网络防火墙DCFW-1800G实现了内、外网隔离，外网可通过VPN访问内网。校本部由校部教学办公区、校部图书馆区、校部宿舍区和信息与网络中心组成。教师/学生通过Cisco7609经由网通或教育网接入Internet，同时，通过校园网路由器，教师/学生也可以直接访问校园网内的资源；网管中心负责对整个校园网进行监测，及时排除故障，确保校园网健康运行。在校本部网络中，还包括给公众提供信息服务（WWW服务、FTP服务、E-MAIL服务等）的局域网。第二章 系统风险分析一般认为，信息系统风险是系统脆弱性和/或漏洞，以及以系统为目标的威胁的总称。解决信息系统安全，首先需要了解风险来自何处？如何产生？导致什么样的危害？根据脆弱性分析和威胁分析的结果，分析利用这些薄弱环节进行攻击的可能性，评估如果攻击成功所带来的后果，根据涉密信息系统所能承受风险确定涉密信息系统的防护重点。延边大学校园网是一套以TCP/IP协议为架构的大型局域网，TCP/IP系统实际上由物理层、链路层、网络层、传输层和应用层构成，每一层既为通信服务，同时也是风险点。其次，应用层软件在操作系统之上运行，作为整个计算机系统的基础，操作系统与风险的发生密切相关。最后，安全管理机制和对网络安全政策及防护意识的认识不足所带来的风险也不容忽视。下面从物理层安全、链路层安全、网络层安全、操作系统安全、应用层安全及管 理安全进行分类描述： 22.1 物理安全风险分析网络物理安全是整个网络系统安全的前提，包括环境安全、设备安全和介质安全。对于延边大学校园网而言，物理安全风险可能导致网络平台或网络内数据资源的损毁，主要表现在如下几个方面：地震、水灾、火灾等环境事故造成整个系统毁灭；电源故障造成设备断电以至操作系统引导失败或数据库信息丢失；设备被盗、被毁造成数据丢失或信息泄漏；电磁辐射可能造成数据信息被窃取或偷阅；报警系统的设计不足可能造成原本可以防止但实际发生了的事故。2.2 链路层脆弱性分析链路层的脆弱性主要体现在两个方面：(1) LAN内部的嗅探。通过嗅探，攻击者可以通过网卡获取所在LAN内传输的明文数据，再通过数据解析/还原，可以窃取LAN内的通信信息；(2)基于ARP协议的欺骗。通过伪造ARP数据包，可以干扰LAN的正常通信，影响或破坏LAN的使用。2.3 网络层脆弱性分析延边大学校园网是基于TCP/IP协议的网络，由于TCP/IP协议最初并非基于安全系统而设计，在安全上有先天不足，使整个计算机网络在网络层可能受到以下几方面的安全威胁。(1) 明文传输所面临的威胁当在一个以太网上传输数据时，同一个子网的每个网络设备都会收到这个包，因此数据信息很容易被在线窃听。最关键的是TCP/IP网络上的数据传输都是采用明文的方式进行传输，特别是在使用FTP、Telnet或电子邮件时，用户的帐号和口令都没有加密，攻击者很容易从截取的数据包中获得用户帐号和口令，达到非法访问的目的。如果，获得其它一些关键帐号和口令，对系统造成更大的危害。(2) IP地址欺骗/假冒TCP/IP协议是采用IP地址来作为网络节点的唯一标识，但是节点的IP地址又是不固定的，是一个公共数据，因此攻击者可以直接修改节点的IP地址，冒充某个可信节点的IP地址，进行攻击。IP地址欺骗/假冒在校园网中更为突出，因为使用校园网的主要生力军是大学生，学生数量多，冒险意识强，IP地址欺骗/假冒的现象出现的比较多，对校园网正常的通信秩序构成威胁。(3) 源地址路由欺骗TCP/IP协议中，IP数据包设置了一个选项IP Source Routing，该选项可以由发送方直接指明达到节点的路由。攻击者可以冒充某个可信节点的IP地址，构造一个通往某个服务的直接路径和返回的路径，利用可信用户作为通往服务器的路由中的最后一站，就可以非法和服务器建立连接，对其进行攻击。(4) 端口扫描威胁在TCP/IP网络中，所有的网络服务都通过一个端口向外提供服务，客户端在连接这些端口时，TCP/IP在网络层和传输层都不对这些连接请求进行身份验证，而且在任何状态下都会返回应答数据包。因此，攻击者很容易通过连接所有端口的结果获得目标主机上存在那些服务，然后在根据服务本身的漏洞进行进一步的攻击。(5) TCP序列号欺骗由于TCP序列号可以预测，因此攻击者可以构造一个TCP包序列，这种方式可以用于扰乱正常的通信，也可以用于伪造、篡改通信的数据，甚至可以用于接管一个己经通过身份认证的会话连接，以对某个目标进行攻击。(6) TCP同步轰炸TCP是一个面向连接、可靠的传输层协议，通信双方必须通过一个三次握手方式建立一条连接，即SYN，SYN+ACK和ACK三个协议数据包。如果连接请求方伪造一个不存在的IP源地址发送SYN数据包请求连接，目标主机将无法将SYN+ACK包回送到3这个实际上不存在的IP地址，最终只能等待超时，而这会长时间占用系统的资源。如果攻击者连续地发送这种数据包，目标主机最终将资源耗尽，导致死机。2.4 操作系统的脆弱性分析操作系统安全是指网络操作系统及其提供服务的安全。目前的操作系统无论是Windows、Linux还是其它商用UNIX操作系统，由于整体设计的缺陷和其软件代码的巨大开发规模，系统本身存在安全漏洞也在所难免。这些安全漏洞都将存在重大安全隐患。Windows NT/2000和Unix虽都属于C2级安全操作系统4，拥有用户标识、身份认证、存储控制和审计跟踪等功能，但是，即使在不考虑产品代码本身存在漏洞的情况下，这些安全体系仍然漏洞百出，非常容易被攻击。(1) 配置不当系统的安全程度与系统配置有很大关系，用户如果没有采用适当的系统配置将产生很大的安全隐患。例如，没有设置用户口令或者口令强度不够；重要文件的权限限制过宽；有意、无意把硬盘中重要信息目录共享，长期暴露在网络上。(2) 系统服务操作系统对外提供的一些网络服务，如RPC服务、Daemon进程，为入侵者的攻击提供了一些有用的系统信息，入侵者也可能通过这些服务存在的漏洞获得系统的访问权限，甚至是超级用户的控制权，从而进一步实现攻击目的。(3) 病毒病毒是针对操作系统在体系结构的一些特点而设计的可执行程序，存在于Windows，Unix，Netware等各种平台之上，具有隐蔽性、传播快、可复制、破坏力强等特点。病毒程序可以通过网上下载、电子邮件、使用盗版光盘或软盘、人为投放等传播途径潜入内部网。病毒的危害不容忽视，网络中一旦有一台主机受病毒感染，则病毒程序就完全可能在极短的时间内迅速扩散，传播到网络上的所有主机，造成信息泄漏、文件丢失、机器死机等不安全因素。2.5 应用层安全风险分析延边大学校园网校本部网络内有提供公众信息服务的服务器，如WWW服务、FTP服务、E-MAlL服务等。和操作系统提供的系统服务一样，这些应用服务如果存在漏洞也会给系统的安全带来极大的隐患。(1) WWW服务作为延边大学宣传的重要窗口，WWW服务扮演了重要的角色。如果WWW服务器存在漏洞，可能造成的危害有：(a)攻击者非法篡改延边大学WWW页面；(b)攻击者通过DoS技术攻击WWW服务器，干扰其正常运行。(2) 电子邮件服务电子邮件服务给人们提供了一种便宜、方便和快捷的服务，如果E-MAIL服务器存在漏洞，攻击者可以利用这些漏洞控制E-MIAL服务器，这将给使用E-MAIL服务器的用户构成极大的威胁。(3) FTP服务FTP服务用于传输文件。如果使用了匿名FTP服务，就不需要口令，这时，匿名FTP服务的安全很大程度上决定于一个系统管理员的水平，一个低水平的系统管理员很可能会错误配置权限，从而被黑客利用而破坏整个系统。或者，如果提供FTP服务的软件存在漏洞，则也存在安全风险。(4) 数据库服务无论在校本部网管中心、各教学单位或行政办公网络中，都存在数据库管理服务器。如果数据库服务器存在安全漏洞(如：空口令等)，攻击者可以利用这些漏洞，控制数据库服务器，从而获取数据库中保存的信息，引起信息泄露。2.6 管理的安全风险分析管理是信息网络中安全最重要的部分。责权不明，管理混乱、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险，主在体现在以下几点：内部管理人员或员工把内部网络结构、管理员用户名及口令以及系统的一些重要信息传播给外人带来信息泄漏风险。机房出入管理不严格，使入侵者能够接近重要设备而带来信息安全风险。心怀不满的内部员工，由于熟悉服务器、小程序、脚本和系统的弱点，进行 如复制、删除数据等非法数据操作，造成极大的安全风险。当网络出现攻击行为或网络受到其它一些安全威胁时(如内部人员的违规操作等)，无法进行实时的检测、监控、报告与预警。同时，当事故发生后，也无法提供攻击者攻击行为的追踪线索及破案依据，即缺乏对网络的可控性与可审查性。建立全新网络安全机制，必须深刻理解网络并能提供直接的解决方案，因此，最可行的做法是管理制度和管理解决方案的结合。第三章 系统安全需求3.1 安全需求说明通过对延边大学校园网的调研、分析，延边大学校园网的安全需求具体体现在以下几个方面：(1) 用户安全用户安全分成两个层次的安全，一是管理员层用户安全，二是业务层用户安全。 管理员层用户拥有延边大学校园网的最高执行权力，因此对信息系统安个负有最大的执行责任。为此要求信息系统管理员人选必须具有忠于国家、忠于职守的良好政治素质以及精通网络信息系统安全技术和管理的精湛业务素质；对管理员层用户必须有可操作的严格的行为规范约束，对涉及延边大学校园网安全策略配置、调整，审计信息调阅等重要操作，应实行多人参与措施；业务层用户必须在管理员分配的权限内使用延边大学校园网资源和进行操作，严禁超越权限使用系统资源，严禁利用合法权限从事与本职业务工作无关的操作，严禁泄露和转让合法权限。(2) 网络平台安全网络平台安全包括基础设施安全和网络安全两部分。1)基础设施安全物理环境及物理保障安全(机房条件/电磁辐射控制与防护/电力供应及应急措施/防灾难措施/介质存贮场地安全/灾难恢复措施等)；硬件设施自身的物理、机械安全；对专用业务子网提供电子门禁系统，对出入人员进行控制和记录。2)网络安全校园网本部网络与教育网的网络连接安全：需要在连接处，对进/出的数据包进行访问控制与隔离，重点对源地址为教育网，而目的地址为延边大学校园网的数据包进行严格的控制；校园网本部网络与其他校区网络的网络连接安全；校园网本部网络中，学生宿舍网络与其他网络的网络连接安全；校园网本部网络中，教学行政单位网络与其他网络的网络连接安全； 校园网本部网络中，网管中心网络与其他网络的网络连接安全；校园网本部网络中，公众服务器所在网络与其他网络的网络连接安全；各专用业务子网的安全：按信息敏感程度，将各教学单位网络和行政办公网络5划分为多个子网，如：专用业务子网(财务处、组织部、人事处、教务处等)和普通子网，对各专用业务子网提供网络连接控制。学生宿舍区网络内的IP地址假冒或欺骗防范。(3) 传输安全数据传输安全包括：校园网本部网络与其他校区网络的数据传输安全；(4) 应用环境安全对一些专用业务子网(财务处、组织部、人事处、教务处等)，由于保存有敏感信息，必须确保应用安全。包括：防病毒；数据备份与灾难恢复；规范网络通信秩序；(5) 组织管理安全组织管理安全是信息系统安全的重要部分。根据中华人民共和国计算机信息系统安全保护条例规定，结合延边大学校园网的安全要求，自上而下建立与网络层级相应的安全管理机构，全面负责延边大学校园网的安全。安全管理机构实行上级对下级的权威制。3.2 系统安全目标本网络安全设计方案要满足以下网络安全目标：(1)确保延边大学校园网校本部网络与教育网互连的安全，并必须能防范来自外部的各种形式的攻击，提供公共信息服务的服务器能可靠运行。(2)确保延边大学校园网校本部与其他校区网络之间的通信安全，数据在交换过程中保持完整、真实、可用，不被非法泄露；(3)确保教学单位网络和行政办公网络的可靠运行；(4)确保教学单位网络和行政办公网络中的专用业务子网的安全，确保敏感信息不会被泄露；(5)对安全相关的所有事件，各个安全子系统都能进行完整的记录，并可用于特定的安全审计；(6)建立安全保障体系后，能确保整个网络系统的稳定、安全运行。第四章 系统安全设计4.1 安全设计原则延边大学校园网安全方案设计，遵循以下原则：(1) 适度安全原则在安全策略制定上，要尽量考虑安全机制的合理性，对重点信息资源，一定要实现重点保护。在保证安全的前提下，应尽量减少安全机制的规模和复杂性，使之具有可操作性，避免因过于复杂而导致安全措施难以执行。(2) 经济合理性原则信息系统的安全保密建设要以实际安全保密需求作为设计依据，在不影响安全保密效果的前提下，在安全保密方案的制订、产品及技术选型、服务等方面都应尽可能体现经济性原则，特别加强对安全保密重点部位的保护，使有限的资源发挥重要的作用，使最小的投入获取最大的效益。(3) 保障系统运行性能原则信息系统安全保密建设的目的是保证网络系统的安全运行，应当最大限度地服务于系统业务的高效运行，要最大限度保护系统的可靠性、稳定性、可用性；保证数据流动的真实性；保证访问者身份的真实性；保证数据交互和访问的合法性。(4) 系统可扩展性原则随着技术发展和网络应用的开展，延边大学校园网系统必然面临着不断改进、扩展的需求。因而，在延边大学校园网安全建设过程中，必须考虑到信息系统应用及安全需求的扩展，安全系统应具有较强的扩充、升级兼容能力，以满足系统业务高速发展的需要。4.2 安全设计标准设计延边大学校园网安全方案时遵循如下一些标准和法规：国家标准GB17859-1999计算机信息系统安全保护等级划分准则 国家标准GB9361-1988计算机场地安全要求国务院令147号中华人民共和国计算机信息系统安全保护条例国家保密局文件计算机信息系统保密管理暂行规定(国保发19981号)4.3 安全方案基于延边大学校园网的安全需求和安全目标，提出安全方案，包括：物理安全、网络安全、业务应用安全和安全管理四个层次，其完整配置示意图如图2所示：图延边大学校园网安全设备配置图下面详细描述安全方案。4.3.1 物理安全物理安全是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。保证延边大学校园网各种设备的物理安全是实现系统安全控制的前提。物理安全包括通信线路的安全，物理设备的安全，机房环境的安全：(1) 通信线路的安全学校保卫处要负责组织校园巡逻队对校园进行24小时巡逻，防止通信线路被窃取。(2)物理设备安全主要包括：设备防盗、防毁、防电磁信息辐射泄漏、抗电磁干扰等。(3) 机房环境安全机房、监控等场地设施和环境安全设计：必须符合国家标准并满足应用系统24小时不间断运行的特殊要求。机房的位置应力求减少无关人员进入的机会，设备的位置远离主要通道，同时，机房的窗户也应避免直接面临街道。另外还需提供如供配电系统、防雷接地系统、消防报警及自动灭火系统、门禁系统和保安监控系统等安全设计。4.3.2 网络安全延边大学校园网的网络安全重点解决网络层和传输层的通信安全，它包括三个层次：不同局域网之间的隔离与访问控制、公共网络上的数据传输安全和网络入侵检测系统。 隔离与访问控制基于网络安全的需求，在延边大学校园网的部分网络边界处采用防火墙(FireWall)技术来实现隔离与访问控制。防火墙实质上就是一种隔离控制技术，它要求内部网络和外部网络之间的所有数据或者信息交换都必须经过防火墙，并且只有被允许通过的数据或信息才能穿越防火墙。防火墙自身应具有非常强的抗攻击免疫力，能够记录有关连接的信息以及试图闯入者的任何企图，方便管理员进行监测和跟踪。在延边大学校园网系统中配置防火墙的示意图如图3所示：图3延边大学防火墙配置示意图由图3可见，在中心交换机连接学生宿舍网络、教学办公网络、图书馆网络和服务器群网络个接口处，配置防火墙，对个网络进行隔离并对进/出的数据进行访问控制。通过对教学行政网络提供保护，防止攻击者对教学和办公网络进行骚扰破坏。在学生宿舍区进行隔离可防止学生在宿舍对其他网络内的资源进行越权操作。原有的神州数码DCFW-1800G防火墙的存在，隔离公众服务器，对进入公众服务器的所有数据包进行严格控制，防止攻击者攻击服务器从而破坏或影响服务器的可用性。网络传输安全延边大学校本部网络与其他校区网络之间是通过专线连接起来的，当这五个大型局域网通过专线交互数据时，面临的安全威胁有：(1)如何防范恶意攻击？(2)如何确保数据在专线上传输时的安全性？可以采用的安全技术是VPN技术。VPN是英文Virtual Private Network的缩写，中文意思为虚拟专用网络或虚拟私有网络。VPN通过共享公共通信基础设施为用户提供网络连接，当一个组织机构利用这种虚拟连接技术组成自己的“专用”网络时，在这个专用网络内，所有用户共享相同的安全性、优先权服务、可靠性和可管理性策略。VPN技术采用隧道技术和特殊配置技术措施，仿真点到点的连接。简洁地说，VPN是一种利用公共通信网络(设施)的组网技术，提供了某种程度的通信保密性和虚拟性，通常与鉴别认证、访问控制和密码技术等集成在一起组成安全VPN系统。换句话说，就是使用已有的公共设施，通过一定的安全措施和策略，让用户感到自己是在使用专有的、独享的和安全的服务。 由于VPN是一种利用公共网络基础设施的网络虚拟连接技术，也存在传输数据的公开性和传输通道的暴露性，因此VPN并不等于安全，如果能找到一种VPN方法，既能保证传输数据的不可理解性，又能保证传输通道的隐秘性，同时对传输的数据具有完整性校验机制，这样的VPN才是安全的VPN。基于IPSec的ESP(封装安全载荷协议，Encapsulating Security Payload)封装的加密隧道构成的VPN就是安全VPN之一。 IPSec是IP security的通俗写法，其意为互联网络协议安全。IPSec是由网际工程任务组(IETF)下属的一个IPSec工作组起草的，在IP协议层上保证数据分组在Internet网络中具有互操作性、高可靠性和基于密码技术的安全服务标准。IPSec为IP网络通信提供透明的安全服务，保护TCP/IP通信免遭窃听和篡改，可有效抵御网络攻击。IPSec通过认证、数据完整以及机密性这三种不同的形式来保护通过外部网络或内部网络之间传送的数据和信息，弥补了由于TCP/IP协议体系自身带来的安全漏洞。IPSec有两个基本目标：保护IP数据包安全、为抵御网络攻击提供防护措施。在延边大学校园网中配置VPN系统的示意图如图所示：图延边大学校园网中配置VPN示意图在中心交换机和四个分校区的网络通信线路上配置VPN网关，在中心交换机上安装VPN管理器。通过VPN网关，可以在专线上构建安全通道，对通信数据提供安全保护；同时，VPN网关还能起到网络隔离作用，如果有攻击者预借助专线接入延边大学校园网，由于其访问数据不能走安全通道，因而VPN网关可以对来自非安全通道内的数据自动进行过滤，阻止非法数据通信，保证通信数据安全。网络入侵检测系统入侵检测系统(Intrusion Detection System)，简称IDS，用于对入侵行为进行识别，它通过从计算机网络或计算机系统的关键点收集信息并进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。网络入侵检测系统NIDS主要由两部分组成，控制中心和探测引擎。控制中心是整个网络预警监控系统的集中显示和控制软件系统，它负责接收分布在TCP/IP网络上的探测引擎传送的网络预警信息，处理这些信息，并提供报警显示，同时它还要负责控制探测器系统的运行状态，提供对预警信息的记录和检索、统计功能。探测引擎实际是入侵检测系统运行的核心，它监听该引擎所在的物理网络上的所有通信信息，分析这些网络通信信息，将分析结果与探测引擎上运行的策略集相匹配，依照匹配结果对网络信息的交换执行报警、阻断、日志等功能。同时它还需要完成对控制中心指令的接收和响应工作。探测引擎是由策略驱动的网络监听和分析系统。但大多数NIDS只报告是否有攻击行为发生，而不报告攻击是否成功，这就需要安全管理员手工检查受攻击的主机，以确定主机是否被入侵。在延边大学校园网中配置网络入侵检测系统的示意图如图5所示： 图5延边大学校园网中配置IDS示意图由图5可见，IDS配置在两个地方：(1)校园网和外网的连接处：用于对进/出外网的数据进行监视，既监测并阻断来自外网对延边大学校园网的攻击，同时又监测并阻断延边大学校园网内用户对外网的攻击数据包；(2)学生宿舍网络和校园网中心交换机的连接处：学生是校园网的主要使用者，但鉴于大学生思维活跃，有一定的冒险意识，所以必须对其的网络行为进行必要的控制，在学生宿舍网络接入校园网的入口配置IDS，可以实时监测学生对校园网资源访问时的数据包，防止恶意数据包对校园网通信秩序的破坏。4.3.3 业务应用安全业务应用安全是确保延边大学校园网内各业务应用系统(如：教务处业务、财务处业务、人事处业务、组织部业务等)的安全，确保各业务系统网络健康、可靠的运行。业务应用安全包括四个层次：业务系统内操作系统安全配置、针对重要服务器的数据备份与灾难恢复、办公机器的病毒防护、在专用业务子网内构建主机资源监控与审计系统。鉴于学校各业务系统中的办公用机都是用windows操作系统，由于很大一部分比例教师不是学计算机专业，因此从软件角度来看，确保信息系统安全的第一要事便是采取措施保证操作系统配置安全。操作系统的安全主要包括以下几个方面的内容：口令的安全和操作系统所提供的服务的安全(如资源共享权限）。另外为保证校园网专用业务系统关键数据的安全性和应用业务不间断性，有必要提供全方位数据安全存储备份和灾难恢复解决方案。理想的备份系统应该尽量满足全方位、多层次的要求。依靠硬件备份防止物理性故障，在此基础上用软件方式和人工结合的方式解决因软件包或误操作造成的数据逻辑性破坏，从而构成多级防护。另外各骨干节点备份与其相连的网络内的所有需要备份的数据，这样所有节点的数据都实现了异地网络备份，满足灾难恢复的条件。因为病毒在网络中存储、传播、感染的方式各异且途径多种多样，因而应实施“层层设防、集中控制、以防为主、防杀结合”的策略。目前延边大学采用安博士V3系列网络防病毒系统，对整个校园网中易感染病毒的Windows系列服务器和600多个重点用户计算机进行统一查杀病毒管理。同时采用业界顶级的卡巴斯基反病毒引擎和病毒库，结合快客电邮反病毒引擎和病毒库组成了双重防邮件病毒体系，同时邮件系统中捆绑了防垃圾邮件系统。4.3.4 安全管理与服务给延边大学校园网制定一个合适的安全管理制度和安全策略是十分必要的。按照相应安全管理条例进行管理，从管理手段上保证网络安全策略切实可行，同时对每项工作实行多人负责原则。网络安全是动态的、整体的，并不是简单的安全产品集成就可以解决问题。随着时间的推移，新的安全风险又将随着产生。因此一个完整的安全解决方案还必须包括长期的、与系统相关的信息安全服务。 4.4 安全方案特点延边大学校园网安全方案体现出如下几个特点：(1)整体安全性本方案针对延边大学校园网提供了较为全面的、完整的安全性设计。 物理安全设计从底层保证了系统的通信介质、通信设备安全；网络安全设计从网络层和传输层保证了校园网的通信安全；结合校园网中的具体业务应用特点而设计的业务应用安全方案，保证了系统内业务的可靠运行；(2)通用性本安全方案不但适用于延边大学校园网，同时也适用于其他大学的校园网。当应用于其他大学校园网时，只需要根据其网络结构不同稍做调整即可。第五章 系统安全测试与实现由于设计本安全方案时是基于延边大学校园网整体安全需求，因而安全方案满足了系统各层次的安全需求。但鉴于经费因素的制约，在实施时，可以分阶段、分步骤进行。(1)第一阶段：基本安全需求第一阶段的目标是利用己有的技术，首先满足校园网最迫切的安全需求，如物理安全、防火墙、网络入侵检测系统(IDS)、病毒防护、系统安全配置。 (2)第二阶段：满足系统较高的安全需求这一阶段的目标是确保重要业务系统的不间断运行，保证重要信息的连续使用所涉及的安全内容有网络传输安全(VPN)和数据备份与灾难恢复系统。5.1 系统安全测试鉴于当前校园网配置已基本符合安全应用的标准，我们在这里使用安全工具X-Scan。X-Scan是国内最著名的综合扫描器之一，主要由国内著名的民间入侵者组织“安全焦点”（）完成，从2000年的内部测试版X-Scan V0.2到目前的最新版本X-Scan 3.3都凝聚了国内众多入侵者的心血。最值得一提的是，X-Scan把扫描报告和安全焦点网站相连接，对扫描到的每个漏洞进行“风险等级”评估，并提供漏洞描述、漏洞溢出程序，方便网管测试、修补漏洞。我们随机选择了2个校园网内IP进行安全检测，结果如下：以上分别为路由器和服务器主机IP，我们可以看到分别都有不同的安全漏洞提示。因此，当前校园网系统应主要加强对设备进行合理的配置。另外鉴于校园网系统中大量的信息流量，我们在有关机器上进行了流量分析，使用的工具是sniffer pro 4.70，该软件在网络信息流量分析方面占有大量市场。测试结果如图6所示：图6延边大学校园网流量分析图从上图可以看到，延边大学校园网主要应用的是IP协议，其次部分含有IP-ARP协议，并同时列出了应用IP协议的具体列表；图中同样列出了流量最多的10台机器，若日后校园网流量异常，则可从长期占据流量最多的几台入手；同时根据图中的警报日志，我们看到广播/多播风暴占据了大部分内容。因此以上信息也对以后校园网性能优化启到了辅助作用，帮助我们决定了哪里需要安装防火墙或者IDS设备。5.2 系统安全技术实现应用在路由器及交换机上的技术实现方法:常见的应用在路由器上的技术措施有设置路由口令、设置访问控制表和路由协议设置。实现方法： (1) 设置路由口令Cisco系列路由器一般有Console和Ethernet口可登陆到路由器对其进行配置，这给不速之客提供了可乘之机。为了拒不速之客于门外，应该通过给相应的端口加上口令实施最基本的安全控制。主要配置如下