卫士通教育信息化安全解决方案

背景校园网络建设越来越成熟，学校提供了各种各样的网上学习环境、娱乐环境和各种服务措施，如：数字图书馆、视频点播、教学管理系统、财务管理系统、OA系统等。随着网络的日渐成熟，相应而来也就出现了各种各样的网络安全问题。经过详细的调研，主要的网络安全问题表现在：边界防护问题一一校园网边界容易受到来自互联网的各种攻击，因此需要重点保护网络边界。健康网络问题一一校园网内希望提供绿色的上网环境，杜绝各种不良信息的接入，因此需要对学生和老师的上网行为进行有效的管理。远程接入问题一一学生或老师希望在家同样能够接入校园，使用校园的资源，因此需要对这种远程通过互联网接入的师生确保其接入的安全性。需求分析对上述校园网现状采用层次分析理论进行详细分析，可以得出教育行业用户的具体安全需求：网络层安全需求：确保校园本部以及各分校园区与互联网要进行安全的、可控的逻辑隔离；确保所有进出校园网各节点的信息和数据都能得到严格的控制，防止对网络进行非法访问；确保不被来自互联网攻击者的攻击和破坏，能及时发现和响应各种攻击与破坏行为；建立病毒预警及响应机制，使得能及时发现和响应的病毒攻击和破坏行为；对校园网内的上网行为进行监控，防止校园网内BT、电骡、迅雷等P2P应用占用了大量出口带宽，防止不良网站的访问，等等；传输层安全需求：确保各分校区或老师住宅区以及出差人员的接入安全；确保接入校园网络的各个节点网络之间传输的信息的保密性、完整性和可用性，防止机密信息在传输过程中被窃取、篡改和破坏；保证外部合法用户可以从各种网络条件下安全接入到校园内网；应用层安全需求：进行严格的权限设置，确保只有相关人员才可访问相关应用服务器，严禁越权访问，如:数字图书馆以及LAB系统校园数字图书馆的应用越具规模，从工作人员将自身馆藏书籍数字化开始，到与商业化合作购买阅览版权，再将数据与校园网共享，让校内外师生都能方便查询电子文献资料。OA办公系统移动处理公文；只有教师才可以使用OA系统，而普通的学生是不能使用的；对于学校的教师可以随时的使用OA办公系统来处理公务，和其它内部系统资源的查阅；教师可以使用OA系统，但是其中的某些教师不可以访问财务系统。财务系统教职员工希望能够从任何时间、任何地点安全的访问到与自己工资等相关信息（如查询工资报销情况）的财务资源。教学管理系统对于学校的学生来说，可以方便的进行移动选课；对于教师，可以方便的了解选课情况，进行网上备课；可通过INTERNET查询学习成绩，证书等。视频点播学校各学科教师，研究生无论是上班、寒暑假或者是在外出差都可以随时随地的获得学校视频点播系统。需要支持手机WEB访问应用系统；出差人员不需要安装客户端即可安全接入校园网；整体方案要解决教育行业的网络安全问题，首先，防火墙是不可缺少的设备，防火墙是解决网络边界问题最成熟的设备，我们建议用户选择有带宽管理，流量控制，限制BT，内容过滤以及AAA认证功能的防火墙设备，这样可以解决校园网中的流量问题，限制师生上BT等下载软件占用大量带宽，AAA认证功能可以让用户先认证再上网，能够保证安全性。如果再进行细致的配置，能够让防火墙发挥到最大的效用；其次，为了保证校园网内健康的网络环境，建议部署网络行为管理系统，网络行为管理系统能够预先设置规则，限定师生只能上健康的网站，同时能够对上网的行为进行监控和管理，是校园网内有效的管理手段。目前解决远程接入安全最有效的方案就是使用SSLVPN技术，对于校园网来说，需要保证来自各种网络接入条件的师生都能够安全的接入到网内，同时还要支持手机接入，因此在本方案中我们推荐使用卫士通公司睿安安全接入网关来保证远程接入的安全，睿安安全接入网关不仅支持PC的远程接入，同时支持手机用户的接入，能够满足校园网用户的需求。综上所述，在本方案中我们使用防火墙、网络行为管理系统、SSLVPN共同组建校园网网络安全解决方案，防火墙主要解决边界防护、访问控制问题，网络行为管理主要解决上网行为的管理和监控，构建绿色校园网络环境，SSLVPN主要解决远程用户对校园网的安全访问。根据解决方案产品部署示意图如下所示:整体体验使用本方案，校园网内的资源可以安全的对全体师生开放，还可以向兄弟学校和合作单位开放，改变校园孤岛的局面，同时还能为校园提供健康绿色的上网环境。1） .降低运营成本学校不需要再租用专线链路即可实现远程访问及校区互连，这样可以大大节约租用网络链路的费用。2） 轻松解决老师与学生的校外访问无需改动原有应用和网络环境，即可让老师、学生在在任何地点，轻松通过Internet访问校园网内部系统如办公系统、数字图书馆、FTP下载。3） 提高内部网络以及服务器的安全性可以让所有远程接入用户都必须通过身份认证，才能使用内部网络应用，防止非法用户的侵入，并可结合物理硬件认证（如：USBKey、SecuelD等）做到强度认证，从而提高了访问控制以及内部网络的安全性。另外，所有的访问者均不能直接访问内部服务器，需要通过SSLVPN代理访问，有效防范了黑客、蠕虫病毒等对应用服务器的攻击，大大的提高了校园网络的安全性。4） 方便的管理性和使用性不仅提供本地图形化配置界面和命令行配置界面，而且还可以通过Internet网络对SSLVPN进行远程管理。客户端无需安装软件，操作员不需要额外培训，只要会使用IE浏览器，就可通过身份认证访问校园网络内部资源，原应用系统的操作接口没有任何改变，无论在什么地方，都和在学校内部使用一样。5） 精细的权限控制睿安安全接入网关具备细颗粒度权限控制功能，可针对不同的使用人员如学校领导、老师、学生设置不同的权限，以保证学校内部信息的高度机密及合理使用。并且，通过权限设置，不同的人员只能看到与他相关的应用，非相关应用对他不可见，加强校园网络数据信