数字图书馆网络安全体系研究

於建伟

（武汉船舶职业技术学院，湖北武汉 430050）

互联网的发展与普及，促进了图书馆馆藏信息数字化的快速发展，基于网络服务的数字图书馆应用方案已成为图书馆极其重要的服务手段和方式。全局的网络安全策略，是数字图书馆“优质服务”的基本保障，本文从远程接入安全、网络边界安全、馆域网安全、信息中心安全、上网行为监督管理、全网安全管理等方面论述了数字图书馆网络安全体系的构建要素，并提出了一套解决方案。

1 网络安全体系概述

一般来说，网络安全就是指网络中信息的安全，是指计算机网络系统软、硬件及系统中数据得到保护，不被更改、泄露，应用系统可以正常运行，网络服务不被干扰或中断。

随着互联网技术的发展，我们在充分感受信息高速互通为我们生活、工作带来便捷的同时，也时刻面临着各种各样的网络攻击和威胁，例如：非法用户进行非法访问、窃密和失密、篡改信息、黑客入侵、计算机病毒、用户不合理上网行为等。

目前，绝对的网络安全是不存在的，只能通过综合运用源于人、技术、管理等因素形成的网络保护能力、检测能力、反应能力和恢复能力，形成相对的网络安全。

数字图书馆基于其自身应用的特殊性，其网络安全体系至少分为两个方面：一是网络自身安全，二是网络业务安全。一个“称职”的数字图书馆网络安全方案需要满足：与图书馆网络内部通信模式无缝耦合，根据相关行为模式制定配合性安全策略，最后将这套策略强制实施到数字图书馆馆域网的每一个角落。

2 网络安全体系要素分析

2.1 远程接入安全

目前，远程接入主要有三种方式：反向代理服务、VPN（虚拟专用网）、反向代理与VPN相结合的方式。反向代理服务的优势在于成本，VPN成本相对较高，但应用时更安全、稳定与高效。

（1）反向代理服务。一般而言，代理服务的作用是用于代理来源于内网的针对外网资源的连接请求，而不接受外网对内网的访问。如果某一种方式可以代理来源于外网的针对内网资源的连接请求，这种代理服务就称为反向代理。

反向代理服务的实现较为简单，只需要在局域网内的一台服务器上运行相应的代理服务器软件即可，通用服务器甚至是PC级服务都能完全胜任，但这种方式支持的用户数少，不适合当前数字图书馆应用需要。

（2）VPN技术。虚拟专用网VPN，指的是在公用网络上建立专用网络的技术，由经过相互授权的通信双方在公用网上建立的一种安全通信隧道，数据可以在安全通信隧道中加密传输。

目前的VPN技术有：IPSec VPN技术和SSL VPN技术两种。

IPSec即Internet Protocol Security（因特网安全协议），IPSec VPN技术是建立在IPSec协议基础上的虚拟专网技术；SSL即Secure Sockets Layer（安全套接层），是Netscape公司提出的一种基于Web的安全类协议。SSL VPN与IPSec VPN一样，用户远程使用时与在内网中体验一致，使用时与具体应用无关，外网用户只需要打开IE浏览器，即可访问网络。

SSL VPN技术关注于应用软件的安全，因此多用于Web远程接入，而IPSec VPN主要解决的是互联网上不同位置两个局域网之间的安全连接，技术上更注重于保护点对点通信。

2.2 网络边界安全

数字图书馆的网络边界是网络安全的第一道防护，涉及的边界主要有用户终端与网络之间的边界、数字图书馆与互联网／内网的边界等。如图1所示：

图1 数字图书馆的网络边界

终端边界和网关边界是数字图书馆的两个网络边界，一般我们更注重网关边界的安全。在网关边界，我们需抵抗外网非法入侵与网络病毒，需要针对不同级别安全域互访进行有效控制；网关的另一功能是过滤外网信息，对内网用户访问互联网进行监管；同时，网关也是内／外信息必经之路，通常通过对网关记录日志的分析，为网络安全管理提供决策支持。

数字图书馆的安全隐患可能更多来源于终端边界，例如：用户终端接入馆域网后，随意扫描内网的各种重要资源，如一些重要应用或服务器资源；用户终端的软件系统由于没能及时修复漏洞，成为黑客攻击网络的“帮凶”；用户终端不及时更新杀毒软件导致病毒防御能力的丧失；用户随意在终端安装非法应用软件等。

通常来说，完整的网络边界安全系统至少应该包含：防火墙、反病毒系统、网络安全监控、入侵检测与防御等。

2.3 馆域网安全

数字图书馆馆域网的安全问题至少包含：环境与物理层安全机制；操作系统和应用软件的安全机制；内部机构互访控制的安全机制等。

（1）环境与物理层安全

任何网络系统对外部环境都有一定要求。当外部环境不符合相关标准时会影响到数字图书馆的信息安全，具体如：数字图书馆中心机房及用户终端安置环境不合要求；中心机房设计、建造不合理或不符合标准；机房电源稳定性差；温度不合要求；抗静电、抗电磁干扰差；防火、防尘、防雷击设施不到位等。

（2）操作系统和应用软件安全

尽量选用漏洞少的操作系统和应用软件平台，及时更新系统补丁，定期扫描操作系统的配置以进行全面监测，都是保障操作系统及应用软件安全的有效措施。同时，还可在数字图书馆馆域安装内网安全风险管理与审计软件，进行有效的终端准入控制、终端安全控制、桌面合规管理、移动存储管理等。

（3）内部互访控制

我们一般通过在二层交换机上划分VLAN来实现内部互访控制。但这种传统的互访控制较为粗放，因为VLAN主要是通过配置ACL来实现互访，当互访控制要求较高时，过多的ACL条目会明显的影响交换机性能。数字图书馆内部互访控制需要更为精细的安全管理技术。

2.4 信息中心安全

信息中心是数字图书馆中数据流动最为频繁的区域，该区域核心设备资源密集，任何软、硬件故障或其他安全问题都有可能导致不可预估的损失。

目前信息中心所面临的安全威胁除内部管理因素外，主要是指面向网络层或应用层的攻击。面向网络层的攻击主要是指DOC／DdoS攻击，这种攻击利用了互联网开放性等特点，主要是采取导致网络拥塞的方式迫使网络瘫痪。面向应用层的攻击则主要是利用一些软件系统漏洞，以各种方式绕过传统防火墙来入侵系统。常见的如蠕虫、木马、缓冲溢出代码等。

信息中心的安全需要采用多层防御、分层部署的思路应对。例如，设置防火墙来应对面向网络层的攻击；部署入侵检测／防御设备来对抗应用层攻击；使用安全特性更高的汇聚层、接入层交换机来实现基础性网络安全防范等。

2.5 上网行为监管

上网行为安全主要涉及数字图书馆内部用户一些上网行为的规范。涉及到的安全需求有：内容过滤、流量控制、防范机密信息外泄、非法应用识别等。例如对P2P软件的全面管控；支持动态保证、预留保证、最高限制、平均分配、自由竞争等功能的带宽资源分配；URL的识别与控制；关键字网页过滤；HTTP／FTP上传下载识别与控制；邮件访问控制；代理识别等。一般通过在网络上部署上网行为监管设备来实现数字图书馆内部上网行为的安全管理。

2.6 统一管理安全

安全是一个体系，任何环节的缺失都会导致安全体系的崩溃。因此，必须要求全网设备的统一安全管理。数字图书馆的应用需要有统一的、系统化的管理机制，因此需要在数字图书馆网络中部署安全管理中心。安全管理中心并不是威胁抵御的直接实施者，而是一个策略制定的首脑。一般来说，安全管理中心应具备以下功能：

（1）旁路部署，在整个数字图书馆系统中透明化；

（2）可进行广泛的日志采集，可以对网络中的所有设备，包括防火墙、入侵防御系统、用户终端、路由设备、服务器集群等设备进行日志分析；

（3）对安全威胁、网络流量的实时监控、告警；

（4）提供拓扑发现功能，迅速定位网络故障；

（5）对历史数据可提供高效的查询机制、报表等。

一般可通过在网络中部署一台安全管理中心设备来实现网络设备的统一安全管理。

3 数字图书馆网络安全体系构建

一套完整的数字图书馆网络安全方案至少应该兼顾：远程接入安全、边界安全、内网安全、信息中心安全、上网行为安全与统一管理安全。以下是笔者针对国内某高职院校数字图书馆制定的网络安全方案，设计的拓扑图如图2所示。

核心交换机采用H3CS12508核心交换机两台，双机冗余，保障数字图书馆网络通信安全，汇聚、接入层分别采用RG－S5750系列及RGS2628系列交换机。部署集成了IPS、防火墙、行为监管、VPN网关、反病毒模块、垃圾邮件防护的绿盟NSF－PROD－SG安全网关设备两台作为安全中心，实现网络安全管理双保险。

远程接入安全实现：考虑到远程接入的移动性特点，目前主要是使用SSL VPN方案来实现数字图书馆远程接入安全。整个SSL VPN方案基于B／S架构，客户端不需要安装特殊软件，只需通过IE浏览器，验证口令后即可安全的访问数字图书馆内部资源。绿盟NSF－PROD－SG安全网关集成了IPSec VPN、SSL VPN等多种VPN技术，可满足不同的VPN接入方式，例如：远程客户端－网关、网关－网关、网关－网关－客户端等VPN组网方式，实现了VPN安全性与易用性的统一。

边界安全实现：边界安全由绿盟NSFPROD－SG安全网关产品的IPS模块、FireWall模块、防病毒模块实现。NSF－PROD－SG安全网关采用智能状态监测技术，支持路由、透明、混合模式部署，支持基于策略的双向NAT、动态／静态NAT、端口PAT；IPS模块采用虚拟补丁技术，可防护远程扫描、暴力破解、蠕虫病毒、木马后门、SQL注入、跨站脚本等各种攻击；防病毒模块采用双防病毒引擎技术，支持NSFOCUS和Kaspersky的防病毒引擎，采用基于特征扫描的启发式扫描技术，可对利用 HTTP、POP3、SMTP、FTP、IM等多种协议的病毒进行处理。

内网安全实现：对数字图书馆中心机房进行改造，增强防电磁辐射、防静电、防雷击、防火、防水、防潮相关措施，确保机房安全；建立和完善网络安全防范的规章制度：馆域网计算机操作规程、信息中心管理制度等，建立制度化的员工网络安全培训机制、并有效实施；为解决传统二层VLAN隔离技术的不足，采用以防火墙技术为核心的内网访问控制解决方案：NSF－PROD－SG安全网关防火墙模块支持对VLAN的访问控制，可实现数字图书馆馆域网中不同VLAN互访的精细化控制。

服务器群安全：数字图书馆的服务器群主要涉及对外服务中心：WEB、电子邮件系统等服务器群；信息中心：认证、日志、数字图书馆资源服务器群。两部分服务器群分别通过两台NSFPROD－SG安全网关中单独的IPS、防火墙、行为监管模块与核心交换机互连，实现信息中心从底层到高层的安全防护。

上网行为安全：NSF－PROD－SG安全网关内置行为监管模块采用智能协议识别和关联技术，提供了较为深入的协议分析、用户认证功能，可针对用户上网行为、网络应用行为和业务运维行为进行智能多维度网络行为管理，可支持基于IP地址、用户／用户组、协议、时间、关键字等多种组合策略，支持对即时通讯、在线视频、P2P下载、网游、股票、文件上传下载等行为进行全面监控管理。

统一安全管理：采用绿盟安全产品配套的安全系统进行统一网络管理，实现对整个数字图书馆馆域网设备的集中配置、监视和控制。

1 徐波涛.校园网网络安全方案设计与工程实践［D］.北京：北京邮电大学，2012

2 焦坤.高校图书馆远程接入方式比较与选择［J］，上海工程技术大学教育研究，2009（3）

3 刘杰等.浅谈数字图书馆的网络信息安全［J］.现代情报，2005（12）

4 张孝飞等.高校数字图书馆网络安全分析与防护策略［J］.情报探索，2011（8）

5 尹志清.高校图书馆网络安全体系的构建［J］.武汉船舶职业技术学院学报，2007（1）