校园网安全风险分析及安全策略

刘小飞，黄斯尧，刘洲洲

（1陕西交通职业技术学院 陕西 西安 710018；2.北京中交路桥南方工程有限公司 北京 100081）

随着互联网络技术日新月异发展，校园网络已经成为高校教学、科研、管理、后勤等工作的重要支撑手段，校园网能否在稳定安全的环境下运行直接影响着学校的各个业务的有序进行，因此，分析校园网存在的安全风险以及制定安全策略具有很强的现实意义，本文将从物理、系统、应用、管理等方面进行分析阐述。

1 校园网安全风险分析

随着校园网络的建设和网络应用的扩大，网络安全风险也变得更加严重和复杂。原来由单个计算机安全事故引起的损害可能传播到其他系统和主机，引起大范围的瘫痪和损失；另外，加上一些人缺乏安全控制机制和对网络安全政策及防护意识的认识不足，这些风险可谓日益加重。这些风险由多种因素引起，与网络系统结构和系统的应用等因素密切相关。下面从物理安全、系统安全、应用安全及管理安全等方面进行分类描述：

1)物理安全风险分析

物理安全是整个网络系统安全的前提。物理安全的风险主要有：

①地震、水灾、火灾等环境事故造成整个系统毁灭；

②电源故障造成设备断电以至操作系统引导失败或数据库信息丢失；

③设备被盗、被毁造成数据丢失或信息泄漏；

④电磁辐射可能造成数据信息被窃取或偷阅；

⑤报警系统的设计不足可能造成原本可以防止但实际发生了的事故。

2)系统的安全风险分析

系统安全通常是指网络操作系统、网络设备的安全。对一个网络系统而言，操作系统或应用系统存在不安全因素。将是黑客攻击得手的关键因素。我们都知道，就目前的操作系统或应用系统来说，无论是Windows还是其它任何商用UNIX操作系统以及其它厂商开发的应用系统，都存在着BUG，据统计，在一个1000行程序将有一个BUG，而像Windows 2000操作系统约有三千五百万行至五千万行，其存在多少BUG？而这些BUG都意味着重大安全隐患，可想而知其安全性如何？但是从实际应用上，系统的安全程度与对其是否进行安全配置及系统的应用面有很大关系，操作系统如果没有采用相应的安全配置，则其是漏洞百出，掌握一般攻击技术的人都可能入侵得手。因此应正确评估自己的网络风险并根据自己的网络风险大小做出相应的安全解决方案。

3)应用的安全风险分析

应用的安全涉及很多方面。应用是动态的。应用的安全性也是动态的。这就需要我们对不同的应用，采取相应的安全措施，降低应用的安全风险。

①盗版介质使用安全；

②电子邮件应用安全；

③网上浏览应用安全；

④网上应用的安全。

4)管理的安全风险分析

内部管理人员或员工把内部网络结构、管理员用户名及口令以及系统的一些重要信息传播给外人带来信息泄漏风险。

机房重地如果没有任何限制，任何人都可以进出。存有恶意的入侵者便有机会得到入侵的条件。

内部工作人员没有按一定的安全操作规程，因人为的误操作而带来安全风险。

内部不满的员工有的可能熟悉服务器、小程序、脚本和系统的弱点。利用网络开些小玩笑，甚至破坏。如传出至关重要的信息、错误地进入数据库、删除数据等等。这些都将给网络带来极大的安全风险。

内部员工在未经允许在内部网上做攻击测试，而导致内部网重要信息丢失或者损坏。

管理是网络安全得到保证的重要组成部分，责权不明，管理混乱、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。

2 安全需求分析

通过对网络结构、网络安全风险分析，采取必要的手段解决网络安全问题势在必行。针对不同安全风险提出相应的安全需求，及系统要实现的安全策略。

1)物理上安全需求

在物理安全上主要考虑如下几个方面：

①机房场地按照国家相关的规定和要求进行设计和建设；

②考虑安装防盗装置、报警装置；

③备份重要设备。如：对重要网络设备及网络线路进行备份，对重要服务器进行备份等。

2)访问控制需求

在访问控制上需要考虑对以下及方面的需求：

①非法用户非法访问控制；

②合法用户非授权访问控制；

③假冒合法用户非法访问控制；

④认证鉴别需求；

⑤入侵检测/防御需求；

⑥安全评估需求；

⑦病毒防护需求；

⑧安全管理需求；

⑨安全服务。

3 校园网的安全策略

3.1 网络设备物理安全策略

网络设备采用防雷击设计，并进行了良好的风扇设计，保证设备的在恶劣的环境中仍然能够正常运转。

网络设备还要有完善的自检功能，能够对内存、CPU、总线、转发芯片等等硬件进行检查，保证每次开机各个方面硬件的良好运转。在高端设备还有后台的硬件检控任务，检控CPU、风扇、机箱温度等等，进行信息记录，在异常的时候给予闪灯、发警告信息等多种报警。以上机制再加上冗余电源、冗余主控、冗余风扇等方法充分保障了设备运转的物理安全。

3.2 网络安全策略

1）二层转发协议安全策略

①针对ARP的欺骗的安全策略

一方面通过校园网认证系统的IP+MAC+端口+vlan的多重绑定使PC在接入网络时一定是正确的IP和Mac，而安装在PC上的802.1x认证客户端可以保证在PC接入网络后进行IP或Mac修改时，及时的切断PC和网络的连接，保证错误的IP/Mac信息不被发布到网络上。

另外目前主流接入交换机上还有一套非法ARP阻断命令，通过此命令可以有效的从硬件转发层次，阻断抢占网关IP的非法ARP包进入网络。这就从根本上切断了抢占网关IP的安全威胁。同时此功能还提供计数和报警功能，可以及时的将发送非法ARP的PC找出来通知网管。

②对私建DHCP的安全策略

校园身份认证系统安装在PC上的802.1x客户端会自动监测PC上是否启用了DHCP服务，一旦发现非法私建DHCP服务，那么客户端程序将马上切断PC与网络的连接。

另外接入交换机上启用DHCPSnooping功能，可以监听DHCP协议报文，并且设置DHCP协议的信任端口。一旦发现在非信任端口接受到DHCP服务器报文，那么将马上向网管进行报警，同时可以根据预定策略将此端口的连接切断

③对虚假STP欺骗的安全策略

交换机上支持在端口下设置对STP协议的信任属性，从而避免虚假STP对交换机拓朴计算造成影响。

④对设备CPU攻击的安全策略

网络设备自身采用了独特的CPU保护机制，对各种协议包根据优先级进行队列设置，对收包进行优化，保证CPU不会被虚假的信息所淹没，始终可以进行正常的协议运转。

⑤对非法用户接入的安全策略

用户认证系统的IP+Mac+Vlan+端口+交换机IP的多信息绑定模式，再加上Dot1x客户端对克隆PC和代理的检查，确保了非法用户无法接入校园网。

2）三层转发协议安全策略

①错误路由信息的安全策略

目前主流网络产品可以完整实现RIP、OSPF、BGP等路由协议的安全选项，非法的路由信息无法通告MD5加密检查，确保网络路由信息的安全

②非法组播的安全控制

校园网中的安全策略组播技术，可以对源和目的进行安全控制，完整实现了在接入层网络中应用了基于IGMP源端口和目的端口检查技术，可以完全限制合法组播在网络中的稳定传输，有效控制组播建立的整个过程，保障了正常合法的组播应用的稳定运行；同时DCSCM可与AAA系统联动实现业务控制。

3）网络管理功能安全策略

网络产品支持的SSH和SNMPv3协议，是对telnet和SNMPv1/v2的安全升级，传输的数据完全加密，从而避免了被监听窃取密码的可能。网络设备的Web服务支持安全策略的cookie机制，避免用户盗窃管理页面的URL地址绕过登录流程直接对设备进行管理。telnet、SNMP和Web均有对网管原IP进行检查的功能，确保只有专门的网管设备可以访问控制交换机。

对于登录密码检查，可以在本地，也可以在远端Radius服务器。这样方便进行密码管理，可以随时变换全网的登录密码，提供有力的安全保障。

4）网络出口边界安全策略

校园网出口需要互联网接入，而互联网是绝大多数安全风险的来源，因此网络出口边界安全非常重要，目前NGFW下一代防火墙技术的出现，比较好的解决了校园网出口安全的问题。NGFW采用了先进的硬件技术—比如64位多核网络处理器技术，能够在一个硬件平台上实现多数出口安全需求，比如防火墙包过滤、防病毒、IPS入侵防御、抗DoS攻击、流量控制等。

3.3 应用安全策略

应用安全是网络安全领域中的非常广泛的一个领域，涵盖内容非常多，不过对于高校校园网来说，应用安全更多的偏重于病毒防范、WEB安全、安全审计几个方面。

通过部署网络版防病毒软件可以有效抵御病毒、木马等的攻击，保证主机及网络的安全。另外多个权威部门统计，WEB服务器是互联网中最容易遭受攻击的对象，因此近几年来WEB安全越来越得到用户的重视，从网页防篡改软件到WEB应用安全网关，安全手段也是层出不穷。目前多数高校都通过部署WEB应用安全网关，对校园网站甚至重要的基于WEB的应用系统进行防护，WEB应用安全网关主要针对HTTP服务进行防护，包括WEB漏扫、敏感信息防泄漏、网页防篡改等功能。

校园网的应用安全另外一方面就是出口安全审计，这也是公安部82号令中明确要求的内容。通过旁路或者串行部署上网安全审计设备，对校园网用户上网行为进行监控、控制、管理等，避免非法信息上传或下载。

4 结论

通过对校园网的安全风险及安全需求的分析，针对物理层、网络层、应用层等不同层次需要不同的安全策略，安全策略的实施也需要相关的制度、人员和设备支撑，而且用户的安全意识、安全管理员的能力尤其重要，纯粹依赖安全设备是不能达到安全目的的。此外校园网安全虽然重要，但网络安全并不能一蹴而就，也不能盲目建设，因为安全与投资、网络性能、以及用户使用便利等多个因素成反比，过多强调安全适得其反。因此针对不同学校，具体的需求和应用情况还需要单独分析，制定的安全需求及安全策略以及安全防护手段都要符合学校的实际情况。

[1]Larry L.Peterson;Bruce S.Davie.计算机网络—系统方法[M].4版.薛静锋，等译.机械工业出版社,2009.

[2]William Stallings.密码编码学与网络安全-原理与实践[M].4版.孟庆树，译.北京：电子工业出版社,2006.

[3]刘兵.计算机网络实验教程[M].北京：中国水利水电出版社，2005.

[4]李萌.校园网安全分析及安全防范[J].电脑学习,2010(1)：55,58.LI Meng.Security analysis and safety precautions of compus network[J].Computer Study,2010(1)：55,58.

[5]董永峰.校园网安全问题及对策研究 [J].新疆大学学报,2010,27(4)：45-51.DONGYong-feng.Research on campus computer network security issues and solutions[J].Journal of Xinjiang University,2010,27(4)：45-51.

[6]祝艳茹.校园网基本网络搭建及网络安全设计分析[J].中国科技教育,2011(3)：35-36.ZHU Yan-ru.Analysis of basic network base and network security design of campus network [J].China Science&Technology Education,2011(3):35-36.