胡修龍

摘 要：當前，校園網網絡信息安全已成為影響校園網功能效益的重要因素，對校園網網絡信息安全防護體系展開研究具有十分重要的意義。分析了當前威脅校園網網絡信息安全的主要問題，并對校園網網絡信息安全防護體系的建設進行了詳細的介紹，旨在為校園網網絡信息安全防護體系的構建提供參考。

關鍵詞：校園網；信息安全；防護體系；安全策略

中圖分類號：TP393.18 文獻標識碼：A DOI：10.15913/j.cnki.kjycx.2016.24.103

近年來，隨著互聯網信息技術的不斷發(fā)展，校園網絡化進程也不斷推進，使得學校對校園網的依賴性日益增加，校園網網絡信息安全問題也越來越突出。僅僅采用防火墻和殺毒軟件已無法對校外用戶的不良企圖進行防范，這對校園網網絡信息安全的建設提出了更高的要求。如何合理構建校園網網絡信息安全防護體系，確保校園網網絡信息的安全，已成為當前學校面臨的一個重要問題。

1 威脅校園網網絡信息安全的主要問題

1.1 信息管理系統的漏洞

用戶可以在沒有經過授權的情況下，獲取訪問信息管理系統的權限，或者可以提高訪問權限，這就是信息管理系統的安全漏洞，是計算機系統自身的硬件和軟件屬性，也可以看作信息系統自身的脆弱性。在校園信息管理系統中，其網絡結構、防火墻和服務器中均有潛在的安全漏洞。目前，我們已經知道的系統安全漏洞就有一百多處，日后將會發(fā)現更多的安全漏洞。

1.2 計算機病毒的威脅

當前，網絡病毒的種類和數量越來越多，危害也更加嚴重，并且病毒的發(fā)生更為頻繁。計算機病毒一般會和黑客技術結合在一起，在計算機中毒后，容易出現服務器癱瘓、DoS攻擊等，并累及整個服務器。網絡病毒在以前多通過復制的方式進入其他程序中，但目前大部分為蠕蟲病毒，它們可以在網絡中像蠕蟲一樣到處爬動。部分網絡病毒中被植入了黑客程序，在入侵信息系統后，這些病毒可以對入侵系統進行遠程控制，進而竊取重要信息。

1.3 外部入侵和內部攻擊

學校信息管理系統受到來自外部的攻擊等惡意行為，部分系統在受到黑客等外部入侵或者攻擊后，可能變?yōu)楹诳屠玫墓ぞ?，然后再次攻擊其他計算機。而學校信息系統的內部攻擊主要是內部用戶的不當行為，內部用戶的嘗試授權訪問、探測預攻擊等行為，比如Satan掃描等都可能影響到校園網絡的正常運行。

1.4 資源濫用和不良信息的傳播

校園網中的一些內部用戶濫用網絡資源，比如利用校園網下載商業(yè)資料等，這樣就讓大量校園信息資源被占用。同時一些用戶會在有意識或者無意識的情況下，在校園網絡中傳播不良信息，或者發(fā)送垃圾郵件，這些行為都增加了安全隱患。

2 網絡信息管理系統安全防護體系模型

校園網網絡信息系統的安全建設是一項復雜的系統工程，不是單純的技術問題，也并非將技術與產品簡單堆砌在一起，而是需要我們積極轉變思想觀念，綜合策略、技術和管理等多方面的因素，進一步形成動態(tài)、可持續(xù)發(fā)展的過程。學校信息管理系統的主要服務對象是教學和學生，而大學生是網絡中十分活躍的群體，因此，構建校園網絡信息安全防護體系是十分必要的。本文結合P2DR模型，構建出了一個動態(tài)、多層次的校園網絡信息安全防護體系模型，如圖1所示。

計算機系統中會出現很多新的漏洞，新的病毒以及黑客攻擊手法也不斷涌現，同時校園網絡自身也是動態(tài)變化的，因此，在構建好一個校園網絡信息安全防護體系后，網絡管理者必須對該防護體系進行實時更新，并定期維護，以此保障該防范體系的穩(wěn)定運行，進而保障校園網絡的安全性和有效性。在校園網絡信息安全防范體系中，將安全策略作為中心內容，而安全技術為該體系提供支持，安全管理是一種執(zhí)行手段，并積極開展安全培訓，提高用戶的網絡信息安全意識，以此讓安全防范體系得以不斷完善。在這個信息安全防范體系中，安全策略是最為基礎和核心的部分，它可以在檢測、保護等過程中指導和規(guī)范文件?？梢哉f，該體系中所有活動的開展實施，都是在安全策略的架構下完成的。安全技術為信息安全的實現提供了支撐，其中涵蓋了產品、工具和服務等內容。信息系統中常用的安全技術有入侵檢測、漏洞掃描和系統防火墻等。這些技術手段是安全防范體系中較為直觀的構成部分，也是其中必不可少的內容，缺少了任何一項都有可能引發(fā)巨大的威脅。由于學校的資金等條件有限，在構建安全防范體系過程中，對于部分技術無法及時部署，這時候就需要以安全策略作為參考，制訂合理的實施方案，讓所有的安全技術構成一個有機整體。

3 建設信息安全防護體系的目標與策略

3.1 網絡信息安全防護體系的建設目標

根據學校信息管理系統中存在的安全問題，綜合考慮安全策略、技術和管理等多方面的內容，制訂一個動態(tài)的信息安全防范方案，并根據該方案構建安全、穩(wěn)定、易于管理的數字化校園，保障學校信息管理系統的正常運行。這就是網絡信息安全防護體系的建設目標。具體來講，主要包括以下幾方面內容：①提高學校主干網絡的穩(wěn)定性，以此保障校園信息系統的可靠性；②不斷完善學校網絡信息安全管理體制，運用有效的安全防護手段，嚴格控制訪問并核實用戶身份，確保信息的保密性和真實性；③避免校園網絡中內部或者外部的攻擊、破壞，維護系統的穩(wěn)定、安全運行；④在保障安全的基礎上，防護體系應該盡可能地為系統的各項應用提供便利，全網的身份認證應該統一，并對角色訪問進行適當控制；⑤構建穩(wěn)定、安全和操作性強的網絡信息平臺，為學校的管理、教學等活動提供支撐。

3.2 網絡信息安全防護體系的建設策略

結合相關的安全防范體系模型，我們可以從安全策略、技術和管理等方面開展安全防護體系的建設工作。安全策略是建設工作的核心內容，所有的工作都應該以此為參考。在建設過程中，首先應該制訂總體的安全防護體系建設方針，然后構建網絡信息安全防范體系，并在這個基礎上制訂相關的網絡安全策略，比如病毒防護、系統和數據安全等。在這個過程中，為了確保安全策略的順利實施，也需要制訂相應的安全管理體制，并給出規(guī)范的操作流程。

4 網絡信息安全防護體系的總體架構

4.1 劃分安全區(qū)域

在網絡信息安全防護體系的建設過程中，分層和分區(qū)防護是其較為基本的原則，要想保障信息安全防護體系的完整性，應該綜合考慮安全防護層次和區(qū)域這2個方面。根據校園信息管理系統的實際需求，可以把安全防護體系劃分為5個安全區(qū)域，如圖2所示，然后根據每一個安全區(qū)域的具體特征，制訂相關的安全防護策略。在每一個劃分的安全區(qū)域中，其安全防護也可以分為物理、網絡、系統、應用和數據安全這5個層次。

4.2 互聯網邊界和校園骨干網安全區(qū)域架構

為了保障互聯網邊界和校園骨干網中數據的可靠傳輸，以及保障各項業(yè)務的正常運作，可以根據網絡的實際需求，將雙核心冗余結構應用于核心交換設備中，讓核心交換設備與每一個匯聚交換設備實現雙上聯。將帶寬管理設備、防火墻和鏈路負載均衡設備設置在互聯網邊界上，并在防火墻的隔離區(qū)設置域名解析和郵件服務等公共服務器。首先將防DDoS設備設置于外部網絡中，以此避免校園網絡以及內部用戶受到外界攻擊；將基于端口的地址轉換應用于互聯網的出口，這樣外部用戶就得不到真實的內部用戶地址；在系統數據中心防火墻的隔離區(qū)放置公共服務器。

4.3 校園數據中心安全區(qū)域的架構

根據學校建設數字化校園的實際情況，以及信息系統各服務器之間的關系，可以將校園數據中心劃分為多個安全子區(qū)域，比如應用服務器外區(qū)和內區(qū)、公共服務器區(qū)和數據庫服務區(qū)。其中，公共服務器中有電子郵件、Web等重要服務器，因此需要配備2臺以上檔次相同的物理服務器，服務器的高性能主要通過系統的負載均衡設備來體現。在防火墻的隔離區(qū)設置校園托管服務器，以避免外部用戶的訪問。要想將校園數據中心網絡和校園網連接起來，需要經過核心交換機中的虛擬防火墻，防火墻隔離區(qū)的公共服務器能夠為外部網絡提供服務，并可以保護網絡免受外界攻擊。數據中心的服務器可以通過負載均衡設備來均衡負載，以此優(yōu)化網絡服務，并發(fā)揮安全冗余的作用；由IPS實現對網絡攻擊的阻斷，防止超文本傳輸服務器在統一身份認證等過程中外部用戶的訪問。

5 結束語

綜上所述，網絡的開放性、計算機病毒的威脅以及黑客的攻擊等各種因素的存在，對校園網網絡信息的安全構成了嚴重的威脅。因此，學校在校園網建設的過程中，要做好信息安全防護工作，不斷提高信息系統的安全管理水平，建立并完善校園網網絡信息安全防護體系，從而確保校園網網絡的安全、穩(wěn)定運行，保障校園網網絡信息安全。

參考文獻

[1]賴金志.高職院校校園網信息安全防護體系研究[J].電腦與電信，2016（07）.

[2]董瑩.網絡信息安全防護體系的構建探析[J].中國新技術新產品，2014（24）.

〔編輯：劉曉芳〕