图书馆网络安全防御体系的研究与构建——以温州大学图书馆网络系统为例

邹晴枫（温州大学 图书馆，浙江 温州 325035）

图书馆网络安全是一个系统概念，是指图书馆网络系统的各个组成部分不受偶然的或恶意的原因而遭到破坏、篡改和泄露，并且确保图书馆网络系统能连续正常运行的机制。[1]图书馆网络安全主要包括馆藏数据安全、文献管理集成系统运行安全和运行环境的安全。造成图书馆信息安全方面问题的因素，主要包括硬件因素、软件因素、人为因素、管理因素、病毒因素和环境因素等几方面。要确保图书馆网络的安全，必须建立一套较为完整的安全防御体系，进行多层次、多手段的检测和防护。笔者以温州大学图书馆现有网络系统为例，进行现有网络体系结构的分析与应用测试，通过图书馆防火墙系统、入侵检测系统和网络病毒防治系统、VLAN 划分、VPN 和备份冗余技术应用等方案设计与描述，为构建一个比较完善的图书馆网络安全防御体系，提出相应的技术与管理策略。

1 温州大学图书馆网络安全现状与需求分析

1.1 温州大学图书馆网络安全现状分析

温州大学图书馆网络是一个位于校园外的独立网络体系，采用Cisco Catalyst 6509 作为核心路由交换机，由于考虑到图书馆网络与校园骨干网的可靠连接，上行线路采用冗余方式由两条千兆光纤接入温州大学校园骨干网络；接入层采用25 台Cisco Catalyst 2950G 交换机，通过千兆光纤与核心交换机连接，并提供百兆到桌面的接入方式。温州大学图书馆基本网络拓扑图如图1 所示。

图书馆内设有700 多台PC 机的大型电子阅览室与视听室，加上各书库、阅览室、自习区等地方的查询与工作机端口，共计1500 多个信息点；拥有24 台服务器（包括2 台小型机）与37TB的SAN 数据存储，其中保存着180 多万册藏书的书目数据与3 万多读者的借阅信息数据，并提供CNKI、超星、维普、万方、中国基本古籍库、四库全书、方正电子图书、自建特色数据库（CADAL）等13 种资源的镜像服务和38 种中外文数据库的网络版数据。目前采用的汇文文献信息管理系统，正常的图书流通业务需要大量访问书目数据库与读者信息库，这些服务都需要有稳定的网络系统作为保障。

图1 温州大学图书馆基本网络拓扑图

1.2 温州大学图书馆网络安全需求分析

1.2.1 物理安全

网络的物理安全是指保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏。[2]在图书馆大楼布局设计与网络系统的建设初期，图书馆对这些因素已经予以充分考虑，如电子阅览室、机房位置选在四楼、五楼，就是考虑了防水防潮问题；安装了烟雾感应消防系统和红外线感应报警系统，就是考虑了防火、防盗因素；核心交换机Cisco Catalyst 6509 通过两条千兆光纤与校园网核心交换机设备连接，就是考虑了通讯链路安全可靠；购置两台小型机实行双机热备，就是考虑了关键设备的冗余备份需要。

1.2.2 网络安全

图书馆网络目前通过一台Cisco6509 与校园网相连接，随着使用时间的增加，这台核心交换机逐渐老化，性能难以得到保证，一旦出现故障，图书馆网络将会中断，网络链路的可靠性越来越低。图书馆局域网与校园网直接连接，没有进行任何隔离，校园网内的任何用户都能够直接连接到图书馆内的任意一台服务器上，这给网络黑客入侵提供了间隙。而且由于图书馆网络节点超过1500 处，网络用户数较多，容易出现一处系统故障殃及整个网络的情况。

1.2.3 系统应用安全

图书馆应用服务器操作系统采用Windows2000 和Windos2003，PC 机工作站应用Windows XP 系统，这些操作系统都存在着各种各样的漏洞，一旦被黑客利用并进行攻击，将带来巨大损失。而且当前网络病毒泛滥，而图书馆各主机上主要安装的是各种单机版防病毒软件，工作人员经常忽视工作机病毒库的升级，对感染病毒的PC 机没有及时做杀毒、重装或隔离处理，有时甚至导致病毒蔓延整个网络。此外，图书馆的电子阅览室与视听室将近有700 台面向学生开放的PC 机，经常病毒泛滥，容易出现由于内部网病毒相互传播导致整个网络性能下降，有时甚至引起交换机宕机和整个网络瘫痪。需要安装网络版防病毒软件，建立集中式网络病毒防治系统，及时发现并清除系统和网络中的病毒。

1.2.4 管理安全

管理安全策略的实施，需要制定一整套科学的网络安全管理制度并严格执行。要合理调整部门职责与分工，统一管理权限，实行机房、网络设备和服务器等都由技术部专人管理的制度，并对网络实时监控，进行相关数据收集和分析，及时有效地发现问题和解决问题，建立和完善网络故障紧急处理预案，定期对网络安全状况做出评估和审核，关注网络安全动态，调整安全策略。此外开展对网络管理员的专业知识技能培训，加强各图书馆网络管理专业技术人员之间互动交流，提高网络管理员的安全意识与安全管理技术水平，并不定期进行馆内安全知识宣传，提高全体工作人员的网络安全意识。

2 温州大学图书馆网络安全系统总体解决方案的设计与实施

通过对温州大学图书馆网络自身安全现状与需求分析，为进一步完善图书馆网络安全防御系统，设计了一套相适应的解决方案，即计划在图书馆服务器机群的出口处，增设一台硬件防火墙，隔离外部网络对各个服务器的非法访问；在图书馆网络内部增设一套入侵检测设备，监测进出图书馆的所有数据包，并通过审计分析指导防火墙的策略调整；图书馆采用网络版防病毒软件，在专用服务器和每个客户端上安装，建立集中式网络病毒防治系统，通过控制中心及时更新病毒库，及时发现并清除系统和网络中的病毒，提高图书馆网络系统的病毒防治能力。因此，在构建图书馆网络安全防御体系的工程中，需要分别建立防火墙系统、入侵检测系统和网络病毒防治系统，并且细化VLAN 划分，应用VPN 技术和备份冗余技术。

2.1 防火墙系统的建设

为更好地保护图书馆网络的核心服务器和存储的书目数据、读者借阅信息、电子资源、自建特色资源等各类信息数据的安全，参照防火墙选型的原则与具体标准以及天融信网络卫士防火墙的功能特点，并结合温州大学图书馆自身实际情况和具体需求，图书馆网络安全防御系统选择了一款天融信网络卫士NGFW4000（TG-4324）防火墙产品。与一般的防火墙安装模式不同之处是，此防火墙安装在图书馆服务器机群的出口处，即位于连接服务器的Cisco2950 交换机和Cisco6509 核心交换机之间。因该型号防火墙是一款百兆设备（吞吐量为600MB），将其安装在这个位置，既能保证网络出入畅通，又不会对整个图书馆网络出入口造成“瓶颈”。按照要求防火墙接入对网络通信造成影响最少的原则，将防火墙的eth1 端口使用直通双绞网络线与核心交换机Cisco6509 相连，由于防火墙的eth2 端口使用直通双绞网络线与连接服务器机群的交换机Cisco2950 相连。防火墙工作模式为透明模式，所有接口均可作为交换接口工作，需设置接口为交换模式，故将设置eth1 接口IP 地址为10.96.1.8，用于防火墙远程管理，然后进行访问控制规则设置、病毒过滤策略的配置、使用流量控制策略制定等主要防火墙策略配置。

2.2 入侵检测系统的建设

对于已经部署了防火墙系统的图书馆网络来说，建设入侵检测系统（IDS）是必要补充。温州大学图书馆结合自身网络实际情况，选择了一款天融信网络卫士入侵检测系统TopSentry2000（TS-2204-IDS）作为图书馆网络入侵检测系统的产品。将IDS 检测引擎与核心交换机连接进入网络，以旁路侦听的方式，动态监视网络上流过的所有数据包。IDS的检测引擎部署采用两根网线，一根作为检测引擎的IP 地址线连接管理端口，用于与控制台服务器通讯和报警；另一根作为IDS 探针（也叫侦听和抓包线），连接其中的一个监听口，两根网线的另一端均连接到图书馆Cisco6509 核心交换机上，并选择一台性能较好的服务器安装控制台。在连接完成后，使用超级终端登录检测引擎进行初步配置，设置检测引擎的lP 地址为10.96.1.110，配置子网掩码与网关；设置控制台IP 地址为10.96.1.120。当天融信防火墙联动设置完毕，在天融信防火墙上也进行相关联动设置后，就可以在策略编辑器的策略窗口中，针对某规则定义其响应方式为天融信防火墙联动。

2.3 网络病毒防治系统的建设

温州大学图书馆进行网络病毒防治系统的建设，主要从以下方面入手：⑴ 建立完善的管理制度，规范图书馆用户安全使用网络资源的过程，使用时应严格遵守病毒预防守则，加强病毒预防。⑵ 加装硬件防护设备或还原软件，进行病毒防护。图书馆电子阅览室PC 机上安装了“奥易Free 卡1.0 版”还原卡，借还书工作机、书目检索机安装了“小哨兵”卡或“冰点”还原软件，防止病毒破坏图书馆各个计算机子网系统。⑶ 安装适用的杀毒软件，定时进行病毒查杀。⑷对操作系统和应用软件系统进行常规升级，消除安全漏洞。⑸ 建立集中式网络病毒防治系统，构建整体病毒预警和防护体系。根据图书馆网络的特点，可以在网络中设置客户端级防护、应用服务器级防护、网关级防护等三个级别的病毒防护。[3]温州大学图书馆结合自身网络病毒防治系统的功能需求与产品的功能特点，选择了金山毒霸网络版作为其网络病毒防治系统的软件产品。并选择一台性能较好的服务器安装系统中心，在PC 机上安装客户端，服务器上安装金山毒霸服务器端，利用病毒防治系统中心定期进行统一病毒库升级和病毒查杀。

2.4 VLAN 划分

VLAN 技术的应用可以有效控制广播风暴，保证网络性能，具有极大的灵活性与扩展性。[4]它提高了网络的效率和安全性，增强了图书馆各部门间的保密与合作，从而使图书馆网络能更好地为读者服务。依据图书馆的网络结构和具体需求，温州大学图书馆根据网络位置、区域功能、工作性质及安全要求的不同，将图书馆划分为28个VLAN，如中心机房VLAN、技术部网管VLAN、图书馆文献管理信息系统VLAN、电子阅览室与视听室VLAN、办公室区域VLAN、服务功能区域VLAN、无线网络VLAN 等。各个VLAN 之间的通信，利用三层交换机的访问控制策略加以限制，同时制定各个VLAN 对服务器VLAN的访问控制策略，并根据每个部门网络应用需求开放网络访问权限，以此来确保图书馆网络的安全。

2.5 VPN 技术的应用

为使大量不在校园网范围内的合法用户利用图书馆的电子资源，VPN 技术为这一难题提供了解决方案，而以简单易用著称的SSL VPN 更是在高校图书馆得到了广泛应用，它可以实现校外用户对校园网内部图书馆电子资源的远程访问，从而拓宽了图书馆数字资源的使用地域。温州图书馆选用了一款深信服科技的SINFOR M5400-S VPN网关设备，利用SSL VPN的功能解决了校外用户的远程访问图书馆资源的问题。图书馆将SINFOR M5400-S 设备放置在校园网中心机房，采用单臂模式部署，将它当作一台内网服务器，通过直通线将设备的LAN 口接入到校园网的一台核心交换机上。

2.6 备份冗余技术的应用

各种网络安全防范手段不可能设计的面面俱到而万无一失，突发性事件仍有可能会给网络系统带来不可预知的灾难。因此，必须采取系统备份冗余技术措施，包括数据备份与网络系统的备份，[5]以便在网络系统发生灾难后，能够使网络系统迅速恢复运行。在图书馆的日常管理中，应把数据的备份作为重点，尤其是图书馆文献信息管理系统中的书目数据、读者的图书借阅信息和特色资源数据的备份。对于两种不同的备份对象，常用的备份方案是：（1）数据备份。本地高速度、大容量、自动的数据存储、备份与恢复；异地数据存储、备份与恢复，如对书目数据、借阅信息等每日备份在EMC 存储磁盘上和专用备份机硬盘上，并定期刻录光盘备份，使用IBM 磁带机带库备份重要的自建特色数据库等；（2）网络系统备份。对关键网络设备提供冗余备份，如网卡、UPS、核心交换机、路由器和防火墙，如图书馆购置了25KV的UPS 接入存储和重要的服务器，防止临时停电造成的数据丢失与设备损坏，并逐年增加UPS 容量，另外计划增加一台Cisco Catalyst 4507R 或更高配置的交换机开通冗余链路等。

温州大学图书馆网络安全防御体系完整实施后的网络拓扑结构，如图2 所示：

图2 温州大学图书馆网络安全防御体系实施后的网络拓扑图

温州大学图书馆网络安全防御体系的实施，可有效地保护图书馆网络系统的核心业务数据和各类信息资源的安全，保障图书馆网络安全稳定地运行，保证了图书馆服务的正常开展，从而为学校的教学科研提供更优质的服务。

3 结束语

上述方案在技术上基本保证了温州大学图书馆当前网络系统的正常安全运行需要，将为规模相当和网络体系结构类似的图书馆，在网络安全系统的建设方面提供部分理论和实践参考。随着网络技术的迅猛发展，新的网络安全问题必将不断产生，图书馆网络环境将更加复杂多变，图书馆网络也会面对越来越多的安全威胁。网络安全管理人员需要不断学习和研究新的网络安全技术，及时调整网络安全防范策略，不断完善图书馆网络安全防御体系。

[1]张仕斌，等.网络安全技术[M].北京：清华大学出版社，2004.

[2]刘晓辉.网络安全设计、配置与管理大全[M].北京：电子工业出版社.2009.

[3]秦志光，张凤荔.计算机病毒原理与防范[M].北京：人民邮电出版社，2007.

[4]王文寿，王珂.网管员必备宝典——网络安全[M].北京：清华大学出版社，2007.

[5]牛云，等.数据备份与灾难恢复[M].北京：机械工业出版社，2004.