谈校园网安全访问控制体系

谈校园网安全访问控制体系

摘要：校园网对提高学校的教育教学质量，推进以创新精神为核心的素质教育起着至关重要的作用。在运行过程中面临各种安全威胁,本论文通过对校园网及其应用系统的访问控制体系问题进行分析,就身份认证﹑防火墙﹑文件和服务的共享访问和封锁系统漏洞四个方面提出基于访问控制的安全策略.因此合理安全的利用好校园网对一个学校的今后的生存发展显得尤为重要。

关键词：防火墙，共享，校园网，访问控制

引言

随着网络技术的不断发展和Internet的日益普及和“教育要面向现代化，面向世界”指导思想的贯彻实施，许多学校都建立了校园网络并投入使用，这无疑对加快信息处理，提高工作效率，减轻劳动强度，实现资源共享都起到了无法估量的作用。然而，由于各种因素导致的校园网数据丢失，被修改或系统瘫痪屡有所闻。因此，对信息网络系统的安全和服务质量也提出了更高的要求，要求信息网络系统能够提供优质服务的同时，保护网络和用户系统的安全。但目前中小学学校普遍存在着教师教学工作繁重，计算机技术水平不高，学校没有专职的网管员，一般计算机老师又要承担教学，电脑设备维护、网络管理等，各级学校由于技术人员提供的服务水平参差不齐，如何保证信息系统的正常运行和安全，如何能够以最少的投入保证系统的安全，保证信息系统的服务质量，就成为中小学学校信息化发展到一定程度时必须考虑的问题。针对校园网的安全问题，构建完善的网络安全防护体系是非常重要的。

第一章校园网的安全特点与威胁

校园网是覆盖校园范围的计算机网络，主要采用计算机局域网技术、互联网技术及网络接入技术，其中局域网技术用于校园建筑物内计算机的互联，互联网技术用于校园局域网的互联，接入网技术用于校园网与外部公共网络(Internet)或专用网(教育科研网)的互联。而建立校园网的目的就是实现资源共享、信息服务、网络教学、远程接入和网上办公等，这就决定了校园网的安全和威胁方面具有如下特点：

1、物理安全。是指由于物理设备的放置不合适、规章制度不健全、防范措施不得力，使网络资源遭受自然灾害、意外事故或人为破坏，而造成校园网不能正常运行。物理安全问题是显而易见的。

2、开放的网络环境。由于学校具有教学和科研的特点，所以要求校园网络的环境是开放的，而且在管理方面较企业网络来说更宽松一些，这样就会留下一些安全隐患；

3、非授权防问。是指未经授权或假冒合法用户而获得了访问网络资源的权限，从而获取所需资料、篡改有关数据或利用有关资源从事非法活动的情况。网络用户有意避开系统访问控制机制，对网络设备及资源进行非正常使用，或擅自扩大权限，越权访问信息。它主要有以下几种形式：假冒、身份攻击、非法用户进入网络系统进行违法操作、合法用户以未授权方式进行操作等。在校园网上最常见的是盗用合法用户的IP地址，给合法用户造成经济损失，造成网络冲突，使得网络不能正常工作，严重的造成主机瘫痪，影响整个校园网的运行。

4、拒绝服务攻击。是指恶意地向被攻击对象发送信息洪流，占用网络资源和计算机设备资源而造成正常的服务请求被中断，使网络处于一种瘫痪状态。有时甚至将网络中的系统被非法攻击者控制而变成一架实施分布式拒绝服务攻击的机器。

5、管理上的欠缺。网络的整体安全仅从技术和设备入手是不够的，还应该有一套

对工作人员行之有效的管理制度，尤其要加强对内部人员的管理和约束。这是因为内部人员对网络的结构、模式都比较了解，若不加强管理，一旦有人出于某种目的破坏网络，后果将不堪设想。然而，目前国内的高校中还很少有学校具备完善的校园网管理制度。同时，在对设备的操作方面也应设立相应的操作规范。如没有规范的操作，把交换机的密码设置得过于简单；或者允许用户从任何地点登陆核心交换机之类的问题都会给网络的安全带来巨大的隐患。在对用户的管理方面，目前很多学校还没有建立起一套行之有效的校园网用户管理方法。有的学校即使有用户上网守则，但也没有相应的监控措施，难以取得违规用户的行为证据，这些都是管理上的缺陷。

6、计算机病毒。在校园网中的用户众多中，许多用户每天都要通过校园网访问Internet，而当今Internet上的许多的资源都暗藏病毒。如果某个用户的计算机上没有安装防病毒系统，那么该计算机就极易被病毒感染。当网络中的计算机被感染后，病毒就通过 Internet进入了校园网内部。目前大多数病毒除了具有传统病毒的一般特性(可传播性、隐蔽性、可执行性、破坏性)之外，还具有传播速度极快、扩散面非常广、不易防范、难于彻底清除等特点。如蠕虫病毒、冲击波病毒、振荡波病毒等，这些病毒往往能够在很短时内里通过网络进行传播。由于病毒在网络中大规模的传播与复制，将极大地消耗网络资源，造成网络性能的急剧下降，严重时有可能造成网络广播风暴甚至导致网络瘫痪。

以上这些特点是造成校园网成为攻击发源地的主要原因，同时也造成校园网成为最容易攻击的目标。致使学校面临着一些安全性威胁，而解决这些安全问题刻不容缓。

第二章校园网的访问控制策略

针对校园网络系统的安全威胁，在校园网管理中心必须建立整体的，卓有成效的安全策略。尤其是在访问控制的管理与技术方面需要制定相应的策略，以保护系统内的各种资源不遭到自然与人为的破坏，维护校园网的安全。

2.1 防火墙技术

防火墙是设置在不同网络之间的一系列软硬件的组合，它在校园网与Internet之间执行访问控制策略，它对流经它的网络通信进行扫描，这样能够过滤掉一些攻击，以免其在目标计算机上被执行。防火墙还可以关闭不使用的端口。而且它还能禁止特定端口的流出通信。最后，它可以禁止来自特殊站点的访问，从而防止来自不明入侵者的所有通信，从而保护内部网免受非法用户的入侵。

2.1.1 防火墙设置原则

防火墙有三种基本类型: 1、包过滤型(Packet Filter):包过滤通常安装在路由器上,并且大多数商用路由器都提供了包过滤的功能。2、代理服务型(Proxy Service):代理服务型防火墙通常由两部分构成:服务器端程序和客户端程序。3、复合型(Hybrid)防火墙: 即前两类的结合,可以形成新的防火墙,所用主机称为堡垒主机(Bastion Host),负责提供代理服务。4、其它防火墙:路由器和各种主机按其配置和功能可组成各种类型的防火墙。

2.1.2 选择与配置安全有效的应用层防火墙

网络管理员要在安全机制需要和系统的易用性方面做出平衡。应用层防火墙可以拦截进出某应用程序的所有封包，并且封锁其他的封包(通常是直接将封包丢弃)。

2.1.2.1 IP数据包过滤防火墙是必须的，尤其是使用静态IP地址的校园网。由于包过滤防火墙的检查范围为一个封包，因此，一个封包从左边介质送入，并且在防火墙检查没有问题之后，封包即可从右边接口送出。其本身是以Router的形式存在网络之上的，因此，包过滤防火墙完全与“协议”无关，故其应用的范围较广，而且它逻辑简单，易于安装和使用，更加适合资金较为尴尬的中小学。

2.1.2.2 应用层防火墙是可选的。应用层防火墙可以检测数据包的有效荷载根据这些实际内容作出相应决定，还能提供更好的内容过滤能力。它们还可以审查完整的网络数据包，而不仅仅是网络地址和端口，这就使得它们有更强大的日志记录功能。但是，它的最大缺点是要求在访问代理服务的每个系统上安装特殊的客户端软件，这样既限制了新应用的引入，又影响了效率，而且当该防火墙不能再工作时，对应的服务也就不存在了。因此，网络管理员要在机构安全需要和系统的易用性方面做出平衡。

2.1.2.3 而对于专线接入互联网的校园网不允许其网上的计算机直接接入外网。如果有校园网用户在本地运行一个包含恶意代码的程序，就很可能篡改校园网的信息，对校园网进行破坏。

2.1.2.4防火墙并不是解决所有网络安全问题的灵丹妙药，例如，它不能抵御来自校园网内部的攻击。所以，不能认为有了防火墙便万事无忧，它只是网络安全策略中的一部分，只能解决网络安全的部分问题，任何时候都不能放松警惕。

2.2 身份验证

身份验证技术用于判断对象身份的真实性，是校园网上信息安全的第一道屏障。除校园卡外，校园网上的身份验证技术主要是口令机制：如登陆口令，各种开机口令，共享权限口令等等。对这些口令的保护除了建立严格的保密以外，口令的设置方法也是非常重要的。

一般而言，安全的口令有如下的特点：

（1）大小写字母混合，把数字无序的插在字母中；

（2）所创建的口令是随意的，不易被人猜出；

（3）有足够的长度，最少也应是8位，必须包括大小写字母和数字，如A6d2F086或2FV3j46m4等。这样的口令是比较安全的；

（4）不使用英语单词，不使用个人信息（如生日，姓名等）。

尽管因特网上存在众的多口令攻击器，它们能将口令破译出来，但是一个合理的口令机制可使自己遭受黑客攻击的风险降到一定限度之内。系统管理员也可定期运行这些

破解口令的工具，尝试破译自己的口令，加快更新频率。再安全的口令也不是无懈可击的。

2.3 文件和服务的共享访问

校园网上的服务器操作系统一般为Windows NT和Unix，它们都能使用服务和文件共享功能。网络管理员常使用共享服务以使数据访问更加方便，但黑客常常利用这一点通过安装后门程序，在用户启动系统时作为共享服务进行注册，然后这些共享服务可以从任何一台拥有\"作为服务登录\"权利的客户上运行，从而破坏系统。文件共享给网络带来了另一个潜在的安全漏洞，因为如果配置不当，就可能使任何一个能够与你的网络连接的人都可以全面访问你的系统文件。因此，对于文件与服务的共享访问机制必须制定相应的安全策略。

2.31不允许一般用户在服务器上拥有除读/执行以外的权限。这一点对校园网安全特别重要。

2.32限制端口访问。为了防止未经授权通过网络服务进行的访问，要限制所有并非绝对必要的服务端口，从而使暴露减少到最低限度。

2.33 最好的防御手段依然是保持应有的警惕，不要不分青红皂白地共享文件。当你没有其他选择时，一定要只共享那些绝对必需的文件。

2.4 封锁系统安全漏洞

黑客之所以得以非法访问系统资源和数据，很多情况下是因为操作系统和各种应用软件的设计漏洞或者管理上的漏洞所致。统计数字显示，80%以上的成功入侵之所以发生，是因为Web技术人员没有安装已知及公开故障的修补程序。因此，在制定访问控制策略时，不要忘记封锁系统安全漏洞。

在外部路由器上设置一个包过滤防火墙，它只让与屏蔽子网中的代理服务器、E-mail服务器、信息服务器有关的数据包通过，其他所有类型的数据包都被丢弃，从而把外界Internet对屏蔽子网的访问限制在特定的服务器的范围内。

防火墙在很多方面存在弱点，要警惕来自防火墙的缺陷，防火墙擅长于保护设备，而不擅长保护数据，防火墙不是解决所有网络安全问题的灵丹妙药，一般有70%的攻击是来自校园网的内部，防火墙对此束手无策。

目前，Internet中的一些重要的网络都建立了计算机紧急相应工作组，如中国教育和科研网的应急响应组，在发现新病毒或因系统安全漏洞威胁网络安全时，会及时向用户发出安全通告，并提供各种补丁程序以便下载。许多应用软件也在不断更新版本以修