校园网络安全问题及对策Word下载.docx

校园网络安全问题及对策Word下载.docx

《校园网络安全问题及对策Word下载.docx》由会员分享，可在线阅读，更多相关《校园网络安全问题及对策Word下载.docx（27页珍藏版）》请在冰点文库上搜索。

防火墙，则是内外网之间一道牢固的安全屏障。

安全管理是保证网络安全的基础，安全技术是配合安全管理的辅助措施。

学校建立了一套校园网络安全系统是必要的。

本文从对校园网的现状分析了可能面临的威胁，从计算机的安全策略找出解决方案既用校园网络安全管理加防火墙加设计的校园网络安全系统。

通过以下三个步骤来完成校园网络安全系统：

1、建设规划；

2、技术支持；

3、组建方案。

关键词：

网络；

安全；

设计

ABSTRACT

Networksecurityistheessenceofthesafetyofnetworkinformation,includinginformationofconfidentiality,integrity,andavailability,authenticityandcontrollableetc,itisthroughthenetworkinformationstorage,transportanduseprocess.Campusnetworksecuritymanagementisinanti-virussoftware,afirewallorintelligencegateway,etc,thedefensesystemtopreventfromoutsidethecampus.Afirewallisafirmbetweeninnerandouternetsecuritybarrier.Safetymanagementisthebasisofnetworksecurityandsafetytechnologyistheauxiliarymeasureswithsafetymanagement.Theschoolhasestablishedasetofcampusnetworksecuritysystemisnecessary.

Basedontheanalysisofthestatusofthenetworkcouldfacethreats,fromthecomputersecuritystrategytofindsolutionsinthecampusnetworksecuritymanagementisdesignedwiththecampusnetworkfirewallsecuritysystem.Throughthreestepstocompletethecampusnetworksecuritysystem:

1,theconstructionplan.2andtechnicalsupport.3andconstructionscheme.

Keyword:

Network,Safe；

Design

引言

随着网络的高速发展，网络的安全问题日益突出，近年来，黑客攻击、网络病毒等屡屡曝光，国家相关部门也一再三令五申要求切实做好网络安全建设和管理工作。

但是在高校网络建设的过程中，由于对技术的偏好和运营意识的不足，普遍都存在“重技术、轻安全、轻管理”的倾向，随着网络规模的急剧膨胀，网络用户的快速增长，关键性应用的普及和深入，校园网从早先教育、科研的试验网的角色已经转变成教育、科研和服务并重的带有运营性质的网络，校园网在学校的信息化建设中已经在扮演了至关重要的角色，作为数字化信息的最重要传输载体，如何保证校园网络能正常的运行不受各种网络黑客的侵害就成为各个高校不可回避的一个紧迫问题。

随着教育信息化的不断推进，各高等院校都相继建成了自己的校园网络并连入互联网，校园网在学校的信息化建设中扮演了至关重要的角色。

但必须看到，随着校园网络规模的急剧膨胀,网络用户的快速增长，尤其是校园网络所面对的使用群体的特殊性（拥有一定的网络知识、具备强烈的好奇心和求知欲、法律纪律意识却相对淡漠），如何保证校园网络能正常的运行不受各种网络黑客的侵害就成为各个高校不可回避的一个紧迫问题，解决网络安全问题刻不容缓。

第一章校园网络安全

校园网概述

信息技术已引起了全面而深刻的社会变革，为此，世界各国政府都对教育的发展给予了前所未有的关注，把信息化教育放到重要的位置上，纷纷提出了本国的信息化教育规划。

是否在学校采用最先进的信息和传播技术是一个有决定性意义的问题,而且十分重要的是,学校应该处于影响整个社会深刻变革的中心地位。

因此校园网信息系统的建设，是非常必要的，也是可行的。

当前校园网信息系统已经发展到了与校际互联、国际互联、静态资源共享、动态信息发布、远程教学和协作工作的阶段，发展对学校教育现代化的建设提出了越来越高的要求。

教育信息量的不断增多,使各级各类学校、家庭和教育管理部门对教育信息计算机管理和教育信息服务的要求越来越强烈。

我国各级教育研究部门、软件开发单位、教学设备供应商和各级学校不断开发提供了各种在网络上运行的软件及多媒体系统，并且越来越形象化、实用化，迫切需要网络环境。

计算机技术的飞速发展，使相应产品价格不断下降；

同时人们的认识水平和经济实力不断提高。

大量计算机进入学校和家庭，使得计算机用于教育信息管理和信息服务是完全可行的。

校园网络安全概述

自信息系统开始运行以来就存在信息系统安全问题，通过网络远程访问而构成的安全威胁成为日益受到严重关注的问题。

根据美国FBI的调查，美国每年因为网络安全造成的经济损失超过170亿美元。

由于校园网络内运行的主要是多种网络协议，而这些网络协议并非专为安全通讯而设计。

操作系统的安全性，目前流行的许多操作系统均存在网络安全漏洞，如UNIX服务器，NT服务器及Windows桌面PC；

防火墙的安全性，防火墙产品自身是否安全，是否设置错误，需要经过检验；

来自内部网用户的安全威胁；

缺乏有效的手段监视、评估网络系统的安全性；

采用的TCP/IP协议族软件，本身缺乏安全性；

应用服务的安全，许多应用服务系统在访问控制及安全通讯方面考虑较少，并且，如果系统设置错误，很容易造成损失。

校园网络安全现状分析

随着网络技术的发展，可以说现在的大部分学校都建立了校园网络并投入使用，这对加快信息处理、提高工作效率、实现资源共享都起大了无法估量的作用，但在积极发展办公自动化、信息电子化、实现资源共享的同时，网络的安全问题越来越成为一个非常严惩的隐患，就好像一颗定时炸弹一样，深深的埋在教育现代化的进程中，如果这一个隐患不除，那么也许有一天，学校信息平台服务器遭到攻击而停止工作、整个校园网络被迫停止、学校积累的各种数据和信息被删除了，导致辛苦积累的大量教育资源被破坏。

比如2003年暴发的“震荡波、冲击波、”等病毒，虽没有造成很大的损失，但足以使认识到网络安全的重要性。

因此，如何在现有的条件下避免这样事件发生，搞好网络的安全工作已成了一个重要课题。

1997年开始，我国校园网络建设悄然兴起。

全国各省市都把建设校园网作为现代教育的头等大事来抓。

1999年9月，教育部决定正式启动国家现代远程教育工程，清华大学、浙江大学、北京邮电大学、湖南大学等高校获准进行试点。

目前，这几所院校已初步形成了开办现代远程教育的技术手段。

各校在实践中逐渐意识到：

一所学校教育质量的好坏，学术水平层次的高低，与教学手段的先进程度有一定关系，教学手段对学校整体的发展有着直接影响。

在世界各发达国家，校园网的建设速度似乎不亚于其他如政府网的兴建速度。

现代教育的实施程度也与校园网络建设直接相关联。

如美国要求所有中小学生都能上网，都能使用电子邮件，并计划将全国122所一流大学与社会广泛连接，构筑一个教育与研究的专用网络；

英国提出要在2000年成立网上工业大学，到2002年所有中小学、图书馆、学院和大学全部介入全国的学习网；

新加坡提出八岁儿童能阅读，十二岁儿童能上网。

1996年，教育部提出要以全国1000所中小学校作为试点，建立起各自的校园网络。

截止2000年年初，教育部宣布有500多家已建立。

可以说，在国家政策扶持下，我国校园网建设取得了飞速发展。

但现实中，各地在建立学校校园网的过程中又存在这样那样的问题，如有的学校建网初期就缺乏整体规划，从而导致主干网和各子网通路不畅，或是导致后期整体效率不高；

有的学校缺乏必要的网络建设监督人员，将项目交给一些实力较弱或是责任心较差的公司全权负责，结果导致建网质量偏低，后期维护费用偏大；

还有的学校认为校园网就是"

一揽子"

计划，忽视了后期维护和配套建设工作，从而导致后期预算偏紧，校园网难以正常运作为了解决上述问题，在建网时应注意：

1.校园网建设没有通用方案，每个学校应根据自身实际情况（资金和技术能力），设计自身的校园网络；

2.校园网建设是一个周期较长，规模庞大的系统工程，不能"

一蹴而就"

，更不能只考虑局部建设，而缺乏整体规划；

3.重视对教师的培训，避免因教师素质原因导致网络应用效率不高，从而导致资源的浪费。

随着计算机网络的广泛使用和网络之间信息传输量的急剧增长，一些机构和部门在得益于网络加快业务运作的同时，其上网的数据也遭到了不同程度的破坏,或被删除或被复制，数据的安全性和自身的利益受到了严重的威胁。

校园网也同样不能幸免。

黑客入侵校园网的新闻也时有发生，非更改考试成绩；

更改英语全国四、六级统考成绩；

更改考研成绩；

非法盗取学校招生、分配机密等。

综上所述，网络必须有足够强的安全措施。

无论是公众网还是校园网中，网络的安全措施应是能全方位地针对各种不同的威胁和脆弱性，这样才能确保网络信息的保密性、完整性和可用性。

校园网络安全威胁

计算机病毒

计算机病毒是一组通过复制自身来感染其它软件的程序。

当程序运行时，嵌入的病毒也随之运行并感染其它程序。

计算机病毒种类繁多，形形色色，但就已经发现的计算机病毒而言，其危害性主要表现为破坏性、传染性、寄生性、潜伏性和激发性几大特征。

破坏性是指计算机病毒可能会干扰软件的运行，或者无限制地侵占系统资源使系统无法运行，又或者毁掉部分数据或程序，使之无法恢复，甚至可以毁坏整个系统，导致系统崩溃。

传染性则是计算机病毒能通过自我复制传染到内存、硬盘甚至文件中。

寄生性表现为病毒程序一般不独立存在．而是寄生在磁盘系统区或文件中。

潜伏性则是指计算机病毒可以长时间地潜伏在文件中，在相应的触发机制出现前并不影响计算机，但当被触发后，则后果严重。

激发性是指病毒程序可以按照没计者的要求，例如指定的日期、时间或特定的条件出现在某个点激活并发起攻击。

计算机病毒的传染性证明其具有传播性，防止病毒传播，首先必须认识其传播途径和传播机理。

计算机病毒最初传播主要是通过被病毒感染的软件的相互拷贝、携带病毒的盗版光盘的使用等传播。

这时候的病毒传播还是线下传播。

随着计算机网络的发展，计算机病毒传播主要是通过磁盘拷贝、互联网上的文件传输、硬件设备中的固化病毒程序等方式实现。

病毒还可以利用网络的薄弱环节攻击计算机网络。

在现有的各计算机系统中都存在着一定的缺陷，尤其是网络系统软件方面存在着漏洞。

因此．网络病毒利用软件的破绽和研制时因疏忽而留下的“后门”大肆发起攻击。

网络攻击校园网面临的另一个安全威胁就是网络攻击。

广义的网络攻击包括很多方面。

这里结合校园网络安全的特点，重点介绍拒绝服务（DoS，DanielofService）攻击。

之所以介绍拒绝服务攻击，因为拒绝服务攻击在校园网发牛的更为普遍。

这是因为校园网用户集中度高、密度大．为拒绝服务攻击提供了天然条件。

加之学生的好奇心的因素，导致拒绝服务攻击发生频率较高，是危害校园网安全的重要类型之一。

拒绝服务攻击是通过攻击主机、服务器、路由器等网络设备，导致被攻击网络无法提供服务的一种攻击方式。

典型的拒绝服务攻击表现为攻击者向被攻击网络大陆发送数据从而消耗其资源、使得用户无法访问所需信息。

拒绝服务攻击的方法多样。

攻击者在发起攻击时，可能采取单一手段的攻击模式，也可能采取多种攻击手段联合使用的模式。

就其攻击手段来说．主要有以下几种：

1．死亡之Ping。

早期的网络不支持大包，攻击者通过网络发送大母的大数据包到被攻击者网络，造成网络堵塞以致瘫痪。

目前的网络已经能够支持大包，这种方式已经不再出现。

2．泪滴攻击。

攻击者采用修改包片段字头的方式，使得包无法正确组装．导致网络访问失败的方式。

3．UDP洪水攻击。

攻击利用如chargen和echo等简单的TCP／IP服务．相互发送大量数据以沾满带宽，从而瘫痪网络的方式。

4．SYN洪水攻击。

攻击者通过想服务器发送连续的SYN握手信息来瘫痪服务器的攻击方式。

5．LAND攻击该攻击是让服务器自己向自己发送SYN握手信息．已达到瘫痪主机的目的。

6．Smurf攻击。

攻击者将报文地址设为Echo地址，这样Echo78地址就必须不问断的响应该报文，使得网络带宽被侵占，从而达到瘫痪网络的目的。

7.Fraggle攻击。

Fraggle攻击对Smurf攻击做了修改。

8．电子邮件炸弹。

通过向一台服务器大量的不间断的发送电子邮件，起到瘫痪服务器的作用。

9．急性消息攻击。

借助机器对某些消息为进行错误校验来攻击服务器。

10．分布式拒绝服务攻击。

它是威力最强大的拒绝服务攻击方式，其主要采用多台服务器对同一网络同时发起攻击，导致该网络瞬间瘫痪。

常见的拒绝服务攻击主要有以上几种，攻击者攻击目的和攻击水平不同，选用的方式不同。

无论哪种方式，都对网络安全造成很大的危害。

存在的安全隐患。

以我校为例，校园网络存在的安全隐患和漏洞有:

1．计算机与Internet相连，却没有安装相应的杀毒软件及防火墙。

2．使用的操作系统存在安全漏洞，网络木马、病毒和黑客攻击影响到系统的安全。

校内大部分计算机系统或多或少都存在着各种的漏洞，校园网络又对社会开放，这样一来只要接入INTERNET的用户就可以对校园的网络服务器进行攻击，而流行于网络上的很多病毒如“震荡波、冲击波、尼姆达”病毒都是利用系统的漏洞来进行病毒传播的，加上带毒的木马程序，一感染便驻留在你的计算机当中，在以后的计算机启动后，木马就在机器中打开一个服务，通过这个服务将你计算机的信息、资料向外传递。

3．目录共享导致信息的外泄,在校园网络中，利用在对等网中对计算机中的某个目录设置共享进行资料的传输与共享是人们常采用的一个方法。

但可以说几乎所有的人都没有充分认识到当一个目录共享后，就不光是校园网内的用户可以访问到，而是连在网络上的各台计算机都能对它进行访问。

这也成了数据资料安全的一个隐患。

我曾经搜索过外地机器的一个C类IP网段，发现共享的机器就有十几台，而且许多机器是将整个C盘、D盘进行共享，并且在共享时将属性设置为完全共享，且不进行密码保护，这样只要将其映射成一个网络硬盘，就能对上面的资料、文档进行查看、修改、删除。

因而对目录共享安全意识的单薄，会导致了信息的外泄。

4．网络安全意识淡薄，校园网络上的攻击、侵入他人机器，盗用他人帐号非法使用网络、非法获取未授权的文件、通过邮件等方式进行骚扰和人身攻击等事件经常发生、屡见不鲜，我校应用服务器和普通计算机平均一个星期会经受到数千次甚至上万次的非常访问尝试，而其中一大部分的非法访问源自校内，说明校园网络上的用户安全意识淡薄；

另外，没有制定完善而严格的网络安全制度，各校园网在安全管理上也没有任何标准，这也是网络安全问题泛滥的一个重要原因.由此可见，构筑具有必要的信息安全防护体系，建立一套有效的网络安全机制显得尤其重要

第二章校园网络安全策略

校园网安全管理

规范出口管理，实施校园网的整体安全架构，必须解决多出口的问题。

对于出口进行规范统一的管理，使校园网络安全体系能够得以实施。

为校园网的安全提供最基础的保障。

配备完整系统的网络安全设备，在网内和网外接口处配置一定的统一网络安全控制和监管设备就可杜绝大部分的攻击和破坏，一般包括：

防火墙、入侵检测系统、漏洞扫描系统、网络版的防病毒系统等。

另外，通过配置安全产品可以实现对校园网络进行系统的防护、预警和监控，对大量的非法访问和不健康信息起到有效的阻断作用，对网络的故障可以迅速定位并解决。

解决用户上网身份问题，建立全校统一的身份认证系统。

校园网络必须要解决用户上网身份问题，而身份认证系统是整个校园网络安全体系的基础的基础，否则即便发现了安全问题也大多只能不了了之，只有建立了基于校园网络的全校统一身份认证系统，才能彻底的解决用户上网身份问题，同时也为校园信息化的各项应用系统提供了安全可靠的保证。

严格规范上网场所的管理，集中进行监控和管理。

上网用户不但要通过统一的校级身份认证系统确认，而且，合法用户上网的行为也要受到统一的监控，上网行为的日志要集中保存在中心服务器上，保证了这个记录的法律性和准确性。

根据相关部门的要求，配备专门的安全管理人员，出台网络安全管理制度。

网络安全的技术是多样化的，现状还是“道高一尺，魔高一丈”，因此管理的工作就愈发重要和艰巨，必须要做到及时进行漏洞修补和定期询检，保证对网络的监控和管理。

校园网网络安全方案

事前的身份认证

对于每一个需要访问网络的用户，我们需要对其身份进行验证，身份验证信息包括用户的用户名/密码、用户PC的IP地址、用户PC的MAC地址、用户PC所在交换机的IP地址、用户PC所在交换机的端口号、用户被系统定义的允许访问网络的时间，通过以上信息的绑定，可以达到如下的效果：

每一个用户的身份在整个校园网中是唯一，避免了个人信息被盗用.

当安全事故发生的时候，只要能够发现肇事者的一项信息比如IP地址，就可以准确定位到该用户，便于事情的处理。

只有经过网络中心授权的用户才能够访问校园网，防止非法用户的非法接入，这也切断了恶意用户企图向校园网中传播网络病毒、黑客程序的通道。

图2-1网络授权中心

网络攻击的防范

对于常见的比如冲击波、振荡波等对网络危害特别严重的网络病毒，通过部署扩展的ACL，能够对这些病毒所使用的TCP、UDP的端口进行防范，一旦某个用户不小心感染上了这种类型的病毒，不会影响到网络中的其他用户，保证了校园网网络带宽的合理使用。

对于未知的网络病毒，通过在网络中部署基于数据流类型的带宽控制功能，为不同的网络应用分配不同的网络带宽，保证了关键应用比如WEB、课件资源库、邮件数据流有足够可用的带宽，当新的病毒产生时，不会影响到主要网络应用的运行，从而保证了网络的高可用性。

通过对每一个ARP报文进行深度的检测，即检测ARP报文中的源IP和源MAC是否和端口安全规则一致，如果不一致，视为更改了IP地址，所有的数据包都不能进入网络，这样可有效防止安全端口上的ARP欺骗，防止非法信息点冒充网络关键设备的IP（如服务器），造成网络通讯混乱。

通过部署IP、MAC、端口绑定和IP+MAC绑定（只需简单的一个命令就可以实现）。

并实现端口反查功能，追查源IP、MAC访问，追查恶意用户。

有效的防止通过假冒源IP/MAC地址进行网络的攻击，进一步增强网络的安全性。

锐捷产品均支持IMGP源端口检查，实现全网杜绝非法组播源，指严格限定IGMP组播流的进入端口。

当IGMP源端口检查关闭时，从任何端口进入的视频流均是合法的，交换机会把它们转发到已注册的端口。

当IGMP源端口检查打开时，只有从路由连接口进入的视频流才是合法的，交换机把它们转发向已注册的端口；

而从非路由连接口进入的视频流被视为是非法的，将被丢弃。

锐捷产品支持IGMP源端口检查，有效控制非法组播，实现全网杜绝非法组播源，更好地提高了网络的安全性和全网的性能，同时可以有效杜绝以组播方式的传播病毒.在校园网流媒体应用多元化和潮流下具有明显的优势，而且也是网络带宽合理的分配所必须的。

同时IGMP源端口检查，具有效率更高、配置更简单、更加实用的特点，更加适用于校园运营网络大规模的应用环境。

当用户访问完网络后，会保存有完备的用户上网日志纪录，包括某个用户名，使用那个IP地址，MAC地址是多少，通过那一台交换机的哪一个端口，什么时候开始访问网络，什么时候结束，产生了多少流量。

如果安全事故发生，可以通过查询该日志，来唯一的确定该用户的身份，便于了事情的处理。

图2-2用户上网日志

第三章校园网络安全系统设计

校园网建设需求分析

需求分析

局域网最大的特点就是可以实现资源的最佳利用,如:

共享磁盘设备、打印机等,从而可以在组建的局域网内部互相调用文件,并可在任何一台共享打印机上进行打印;

当然也可以借助Wingate或Sygate等软件多机共享一台Modem上网；

或者通过代理服务器连上Internet，享受非一般的速度。

网卡根据传输速率可分为：

10Mbps网卡（ISA插口或PCI插口）、100MbpsPCI插口网卡、10Mbps/100Mbps自适应网卡和千兆网卡。

目前10MbpsISA插口的网卡仍以其低廉的价格占有市场的一定份额，但由于10MbpsISA插口网卡的网络传输速率低，且占用大量的CPU资源，只适应于那些对速度要求不高的局域网，因此用100MbpsPCI插口的网卡或者10Mbps/100Mbps自适应网卡，够适应于用户比较多，网上传输的数据量大和需要进行多媒体信息传输的应用环境。

BNC口是用细同轴电缆作为传输媒介的一种网卡接口。

RJ45是采用双绞线作为传输媒介的一种网卡接口，RJ45的接口酷似电话线的接口，但网络线使用的是8芯的接头，使用RJ45的缺点是架设成本高，但安装和维护较为方便，因此我们一般使用RJ45接口。

集线器（HUB）:

根据微机的数量,利用HUB构成星形结构,在工作站较多的情况下,会因HUB的处理速率远远低于通信线路的传输速度,从而造成瓶颈问题。

因此有条件的话可选用交换机。

一个Hub所组成的域称为冲突域,也就是说,网络上任何一台计算机在收发数据时,其他所有计算机都能够收到,且这些计算机不能同时进行数据的收发,否则会发生碰撞（CSMA/CD协议会阻止碰撞）。

此外每台接入Hub的计算机,都要检测接收到的数据目的地址,以确认是否是收到自己的通信信息,因此计算机CPU占用率高,全网通信效率低,只适用于小型工作组级别应用。

学校校园网是为学校师生提供教学、管理、科研和综合信息服务的宽带多媒体网络；

是学校信息化教学环境的基础设施和实现各项管理的物质基础；

是建立远程教育体系的基本保证；

是提高全民素质的重要手段；

也是一项灵魂工程。

其设计方案应注意以下原则：

实用性校园网设计应能满足学校目前对网络应用的要求，充分实现学校内部管理、教学和科研的网络化、信息化的要求，使网络的整体性能尽快得到充分的发挥，并且便于掌握。

可靠性校园网的系统及网络结构较为复杂，同时在部分子系统中存在较高的技术性，因此必须保证系统的稳定、可靠和安全