校园网络安全保障方案范文
时间：2023-12-21 17:18:36
导语：如何才能写好一篇校园网络安全保障方案，这就需要搜集整理更多的资料和文献，欢迎阅读由公务员之家整理的十篇范文，供你借鉴。
篇1
中图分类号:TP311文献标志码:A
引言
随着互联网的迅速发展及其应用的普及,计算机网络已经深入到社会的各行各业,这包括政府、商业、教育、军事等,成为社会的重要的基础设施。在各个学校中,校园网已经成为其必不可少的一部分,是学校科研和管理的重要工具,尤其是高等院校。如果校园网络的安全受到威胁,那将会影响到学校师生的工作、学习和生活,甚至会对学校的发展造成一定的影响。校园网的安全管理已经成为各个学校面临的重要问题之一,本文从校园网的安全特点入手,结合这些自身特点,运用当前网络安全技术,以寻找提高校园网安全性的方法。
一、校园网的安全特点
校园网是覆盖校园范围的计算机网络,主要采用计算机局域网技术、互联网技术及网络接入网技术,其中局域网技术用于校园建筑物内计算机的互联,互联网技术用于校园局域网的互联,接入网技术用于校园网与外部公共网络(Internet)或专用网(教育科研网)的互联。随着无线接入技术的发展,建设无线校园网已经成为一些高校校园网改造和升级的范围内。而建立校园网的目的就是实现资源共享、信息服务、网络教学、远程接入和网上办公等,这就决定了校园网安全方面具有如下特点:
1、开放的网络环境。由于学校具有教学和科研的特点,所以要求校园网络的环境是开放的,而且在管理方面较企业网络来说更宽松一些,这样就会留下一些安全隐患;
2、活跃的用户群。在高等学校中,在校学生通常是最活跃的网络用户,而且数量非常庞大,他们对网络新技术充满好奇,敢于尝试。尤其是一些学生会尝试使用从网上学到的或者是自己研究的一些攻击技术,而这些行为可能对校园网络造成一定的影响和破坏;
3、复杂的计算机系统管理。高校中学生的电脑一般是自己花钱购买、自己维护的,有的院系是统一购买并有专门的技术人员维护,有的则是教师自主购买、没有专业的维护,如果统一的管理这些电脑需要付出很多的时间。另外,大多数用户基本上使用的是盗版软件或者是在互联网上下载的一些破解软件,这些软件存在很多的问题,例如留有后门、携带病毒等,这些将会影响计算机系统的正常运行。以上这些情况下要求实施统一的安全策略非常困难的,一旦发生某些不可预测的问题,解决起来十分困难。
以上这些特点是造成校园网成为攻击发源地的主要原因,同时也造成校园网成为最容易攻击的目标。致使学校面临着一些安全性威胁,而解决这些安全问题刻不容缓。
二、校园网面临的安全性威胁
计算机网络所面临的安全性威胁可以划分为两大类,即被动攻击和主动攻击。主动攻击是指攻击者对某个连接中通过的PDU(协议数据单元)进行各种处理,如有选择的更改、删除、延迟这些PDU。被动攻击中攻击者只是观察和分析某一个PDU而不干扰信息流,例如截获数据。根据以上分类,联系校园网的安全特点,可以总结出校园网面临的一些安全性威胁:
1、计算机蠕虫、病毒,属于主动攻击,将会影响用户的使用、信息安全、网络运行;
2、外来的系统入侵、攻击等恶意破坏行为,属于主动攻击,其中有些计算机已经被攻破,用作黑客攻击的工具;拒绝服务攻击目前越来越普遍,而且不少开始针对重点高校的网站和服务器;
3、截取信息,属于被动攻击,校园网主机保存了高新技术信息,如重大科研项目的数据、进度和成果,这些信息对竞争对手来说非常具有吸引力;校园网开展远程教育,课程的考试也通过网络进行,一些考生可能想从网上窃取考题,修改成绩或请人替考。这些都会影响校园网的安全运行。
以上这些只是校园网作为计算机网络有可能发生的一些攻击,因为校园网是一种特殊的计算机网络,有着特殊的用户群,所以校园网还面临着自身特有的一些安全性威胁:
1、内部用户的攻击行为,主要是由于在校学生的好奇心理、探索性,进行一些不顾后果的尝试,影响校园网的正常运转,有可能给学校带来损失;
2、垃圾邮件、不良信息的传播,有的利用校园网内无人管理的服务器作为中转,严重影响学校的声誉;
3、普遍存在的计算机系统的漏洞,对信息安全、系统的使用、网络的运行构成严重的威胁。
4、用户的计算机水平不同,一些用户由于防范意识低,会打开一些携带病毒的文件,导致计算机的运行出现问题,甚至会影响到整个网络。
另外,物理安全也是校园网安全的一个方面,例如网络设施遭受人为破坏、盗窃或者是自然灾害等。
综上,校园网面临的安全性威胁是多方面的。要提高校园网的安全性能,需要运用当前先进的网络安全技术,建立完善的防护措施。
三、北京大学校园网信息安全解决方案
由校园网所面临的安全性威胁可以看出,提高校园网络的安全性已经是各个学校的当务之急,提高安全性首要的就是加强校园的安全管理工作。校园网的安全管理可以借鉴一些成功的比较完善的学校的经验。例如北京大学的校园网信息安全解决方案,就是一个典型的例子。我国的高等院校管理结构大体相同,北京大学也是如此,整个学校院系楼群、学生公寓众多,各部门的信息系统很分散,安全需求也不相同,如图书馆、档案馆、财务部、教务部等都各自有独立的信息服务系统,甚至独立的网络结构和专职的网络管理员,而多数的部门则主要是依托网络中心来提供信息服务。鉴于这种管理结构,北京大学校园网采用的是部门独立,相对分散的信息安全管理架构。对图书馆、财务部等有一定网络规模或对信息安全有特殊要求的部门,自成一个安全实体,而其它全校公共信息服务系统,则由网络中心统一负责管理。网络中心为校园提供基本的安全服务和安全保障,主要体现在以下四个方面:
1、网络安全基础设施。防火墙是校园网信息安全保障的核心点,它负责校园网中最根本的信息服务系统的安全。通
过部署防火墙,实施严格的数据流监控,同时在防火墙和服务系统上做了较为详细的日志记录,为安全事件的事后取证工作提供依据。2、垃圾邮件过滤系统和防病毒邮件网关。北京大学为全校教师和学生提供唯一域的邮箱账号,共用同一个邮件服务器有利于方便的管理。对垃圾邮件和病毒邮件分别进行处理,采用过滤系统和邮件防病毒网关对邮件进行过滤,将垃圾邮件的数量降到最低,以提高网络的效率。
3、桌面防病毒系统。北京大学在校园网采用了SymantecAntivirus企业版的解决方案,对校园网的桌面防病毒系统进行集中管理,实现自动从服务器获取新的病毒定义,实时具备最新的防护能力,无须用户再干预。另外,通过管理端不仅可以清楚地了解网络中感染病毒主机的比率情况,而且还可明确主机感染了何种病毒。
4、漏洞补丁管理和系统。校园网内以Windows系统为主,而Windows系统漏洞的危害较严重,北京大学在校园网内专门设置了Windows系统漏洞补丁管理和服务器,用于对校园内的Windows系统进行统一管理,从本地服务器下载更新补丁程序。另外,为避免补丁程序更新不及时或其它意外因素,对重大的漏洞补丁程序,以传统的网络公告方式并提供直接下载,有效地避免恶性安全事件的大范围发生。
具备完备的安全设施是安全保障的必要条件,但更重要的是网络安全管理的规范化和拥有专业化的安全管理团队。通常情况下,设备或系统都有专门的系统管理员。另外,北京大学设立了网络安全紧急响应小组,专门负责处理那些重大的紧急安全事故。从硬件、软件到人各个方面进行规范化管理,将安全威胁降到最低,保证整个网络的安全运行。
四、加强校园网安全管理措施的建议
由于每个学校机构设置和技术能力的不同,相应的实施安全管理方案也有所区别,经分析北京大学的校园网信息安全解决方案,可以将校园网安全管理总结为两个方面:第一,网络安全设备方面;第二,网络用户和管理员,即人员的方面。
首先,配备完整系统的网络安全设备。在网内和网外接口处配置一定的统一网络安全控制和监管设备,加强网络的访问控制能力,一般包括:防火墙、入侵检测系统、漏洞扫描系统、网络版的防病毒系统等。对邮件系统建立统一服务器系统,方便垃圾邮件的检测和拦截。统一桌面防毒系统,使其能够自动升级,实时具备最新的防护能力。通过配置安全设备可以实现对校园网络进行系统的防护、预警和监控,对大量的非法访问和不健康信息起到有效的阻断作用,对网络的故障可以迅速定位并解决。
其次,要加强对使用人员的管理,这里的使用人员包括用户和管理员。对于用户,尤其是新生,应该进行网络安全教育,提高遵守相关的安全制度的自觉性,增强整体安全防范能力。对于管理人员要定期进行培训,以提高其专业方面的素质,使他们具有较高的网络管理水平,要做到及时进行漏洞修补和定期检查,保证对网络的监控和管理。学校要出台相关的网络安全管理制度,规范校园网用户对网络的使用方法,从人员方面将出现威胁的可能性降到最低。
总之,具有经验丰富、专业化的技术团队是网络安全管理的根本,建立相应的安全防范机制和安全紧急响应小组,是管理必备的组织体系。加强用户安全意识和提高管理员安全技术工作也是非常重要的一方面。只有在加强人员管理和提高设备的安全性的双重条件下,才能够使校园网络安全得到保障,才能够使校园网络安全运行。
结束语
校园网络的各种安全性威胁在其运行和管理中表现得尤为突出,加强校园网的安全管理是当前非常迫切、充满挑战的任务。各高校校园网应加强安全管理组织和技术培训,提高用户的安全意识,要具有完备的安全设施,使技术方面得到保障,高校之间应广泛的交流管理经验,以做好校园网的安全管理工作,最终建设一个安全、可信的教育和科研网络环境。
参考文献
[1]王竹林等编著,《校园网组建与管理》[M],清华大学出版社,20__.1
[2]王保顺主编,《校园网设计与远程教学系统开发》[M],人民邮电出版社,20__.1
[3]谢希仁编著,《计算机网络》(第四版)[M],电子工业出版社,20__.6
[4]顾巧论,高铁杠贾春福等编著,《计算机网络安全》[M],清华大学出版社,20__.9
[5]邵波,王其和编著,《计算机网络安全技术及应用》[M],电子工业出版社,20__.11
篇2
关键词 虚拟局域网；校园网络；安全体系
中图分类号TP39 文献标识码A 文章编号 1674-6708（2013）83-0202-02
1 网络安全体系的定义
通常情况下，为了能够保证校园网络运行的安全稳定，校园网的大部分数据资源都只允许在内部中完成访问。例如校园网络的OA系统、校内邮件系统等等，这些系统的访问和使用都必须在校园网内部操作，严重制约了教师、学生在个人家庭中通过访问校园网来收取学校通知、查看个人成绩、浏览校园新闻等功能。如果校园网内部应用服务器一旦发生了故障，如果专业管理人员此时也没有在学校时，就无法完成对校园网的维护操作，如果部分教师由于需要出差完成科研交流等工作时，也无法查看关于科研项目的校内数据资源。
网络安全体系指的是一套完整的计划设计，主要包括能够为网络用户提供安全稳定的服务；能够保证网络中所有系统的正常运行服务；对网络中系统的安全级别提出要求并完成设置。一套完整的网络安全体系中的必备设计原则有数据传输安全、计算机系统安全、网络用户安全、网络管理安全、物理架构安全等等，既要能够对恶意的外界入侵行为进行制止，还要能够同时应对网络中的其他安全威胁。
2 虚拟局域网关键技术
2.1用户认证技术
虚拟局域网中的用户身份核实确认大部分都是通过用户认证技术实现的，对系统用户进行相应授权之后能够保证控制访问资源。一般情况下，网络认证协议采用的都是报文摘要技术，主要是用于验证数据信息的完整性和对用户身份进行认证，通过利用哈希（HASH）函数将数据报文的长度进行一系列变换，使其能够成为固定长度的报文摘要，但是由于哈希函数自身的特性又难以在不同的报文信息中将报文摘要变换成固定长度。
2.2数据加密技术
虚拟局域网数据传输的过程中主要应用的是数据加密技术，来实现对数据的伪装和隐藏。但是，如果在传输的过程中数据信息经过互联网产生了安全威胁，那么即使已经通过了用户认证，也不能保证数据信息的安全传输。因此，在网络发送端应该将用户认证进行加密之后再完成数据信息的传输，在网络接收端通过用户认证之后再对数据信息进行解密。密钥类型主要包括对称加密和非对称加密两种，在实际应用中大多数采用的都是对称加密措施，如果是机密数据信息则采取公钥加密技术。
2.3访问控制技术
访问控制技术主要是对用户是否能够对系统发起访问进行控制，运行具有相应授权的用户访问系统资源，对没有授权的用户对系统资源发起访问和获取时立刻进行阻止。
3 校园网络安全体系设计
本文设计提出的基于虚拟局域网技术的校园网络安全体系设计方案主要是为了解决某高校老校区与新校区之间信息互通、资源共享、专网整合的问题，由此构建出一条专用的虚拟局域网安全通道，从而保证这些重要数据资源能够在校园网中安全稳定地传输。
3.1系统设计原则
1）安全保障
虚拟局域网系统的重要职能就是保证网络的安全稳定，以及在互联网传输过程中数据信息的安全可靠，因此，虚拟局域网系统的安全保证必须包括用户身份认证、数据信息保密和数据信息完整。
2）多平台兼容
虚拟局域网系统的关键功能就是要保证用户不受时间和地域的限制对系统资源发起访问，以及当用户进行移动办公时要保证网络连接的安全可靠。
3）访问控制权限
校园网的虚拟局域网系统主要是为多个应用程序提供保护的，因此要设置不同的用户访问控制策略，使得拥有不同权限的用户能够访问相应的系统资源。
4）平台管理简洁
虚拟局域网服务器应该为用户和系统管理员提供良好的应用管理操作界面，在方便用户对系统资源进行访问操作的同时，还要保证系统管理员的安全维护操作简单便捷，更要为服务器与用户之间的通问、安全日志等做好记录。
3.2系统功能模型
根据校园网络的实际安全需求和虚拟局域网系统的设计原则，虚拟局域网系统的功能模型主要包括用户身份认证模块、数据传输模块、访问控制模块和系统管理模块。
1）用户身份认证模块
虚拟局域网系统客户端通过采取数字证书的认证方式对用户身份进行核实；服务器对系统客户端进行认证时需要采取不同的认证方法，如果用户通过远程网络连接到虚拟局域网中，服务器则采用用户名+密码的认证方式对用户合法身份进行识别，在校园网内部则采取数字证书的方式对用户身份进行识别。
2）数据传输模块
数据传输模块的主要功能是采取相应加密算法对数据进行加密之后传输给接收方，以及对接收到的数据进行解密。
3）访问控制模块
访问控制模块主要是根据已经设置完成的访问控制策略来控制系统中的资源是否能够被用户进行访问和操作。
4）系统管理模块
系统管理模块主要负责对虚拟局域网系统服务器的日常服务信息进行记录，包括访问日期、访问时间、网络使用情况等等，并生成对应的日志报告。
3.3系统详细设计
本文提出的基于虚拟局域网技术的校园内部网设计方案如图1所示。
学校的新校区和老校区之间通过采用虚拟局域网技术，建立起一道校园内部虚拟局域网通道，将新校区与老校区利用光纤实现网络连接，将网络的出口端设置在新校区。校园网中的财务管理系统、人事管理系统和一卡通管理系统都需要通过同一个链路与新校区进行连接，因此，我们采用虚拟局域网网络安全标准对链路进行数据加密，从而保证通过这条链路传输的数据能够安全可靠。
校园网中的一般用户的访问控制策略安全级别的设置可以相对较低，一般用户安全级别如果设置过高则会耗费大量的系统资源，造成无法访问或网络瘫痪的情况出现。对于校园网中的财务管理部门、人事管理部门和后勤服务部门来说，应该采取两层架构隔离的方法接入到校园网中，再通过内部网关协议与核心交换机连接，从而保证在新校区与老校区之间实现数据加密传输。
4结论
综上所述，本文从校园网实际需求角度出发，将虚拟局域网技术应用到校园网建设当中，提出了一套校园网络安全体系设计方案，能够有效保证新校区与老校区之间的数据通信、数据共享和数据整合安全，具有较强的理论指导意义。
参考文献
篇3
近年来，随着我国社会经济的不断发展，国家对教育事业的支持和投入不断增加，我国的高等教育从深度和广度上都有了显著的发展和提高。信息化、网络与计算机技术的不断发展也为教育事业提供了强有力的支持手段，为教育模式的创新、先进教育理念提供了可靠的实现方法。
高校信息化主要以数字化校园建设为主，主要内容包括校园信息管理系统、数据中心、统一信息门户、统一身份认证、校园一卡通、网络安全体系等；大学数字化校园建设通常先提出总体解决方案，确定数字化校园的体系结构，制定数字化校园的信息标准，以及各系统之间的接口标准，然后分阶段实施。建立全校的网络安全体系，保证校园网络的安全，保证关键数据、关键应用的安全以及关键业务部门的安全，实现校园网络及其应用系统的安全高效运行。
1教育信息化中的安全体系建设
在教育信息化建设过程中，信息安全体系是保障教育信息系统的信息完整、系统可用和信息保密的重要支撑体系，对各级学校、职业教育、教育主管机构的正常工作起到了至关重要的保障作用。各级教育主管部门对教育信息系统的安全体系建设给予了充分的重视，也是由于教育信息系统的复杂性、多样性、异构性和应用环境的开放性，给整个信息系统带来了巨大安全威胁。以高校数字校园信息系统为例，高校数字校园信息系统的建设是由高校业务需求驱动的，初始的建设大多没有统一规划，有些系统是独立的网络，有些系统又是共用一个网络。而这些系统的业务特性、安全需求和等级、使用的对象、面对的威胁和风险各不相同。当前高校网络系统是一个庞大复杂的系统，在支撑高校业务运营、发展的同时，信息系统面临的信息安全威胁也在不断增长、被发现的脆弱性或弱点越来越多、信息安全风险日益突出，成为高校面临的重要的、急需解决的问题之一。在进行数字化校园建设的过程中，也曾发生不少信息安全事件，如某高校数据中心一台服务器被黑客入侵，成为肉鸡，被植入僵尸木马程序，受黑客控制疯狂往外网发包，导致学校网络出口瘫痪；某高校在高招中发现网站被挂马、篡改，并且学校内部也曾经发现学生成绩的数据库，有被恶意篡改的痕迹。
2网络安全威胁分析
（1）高校网站的安全威胁，包括高校门户网站、高校招生网站、二级各院系等网站，由于高考、招生、学生就业等敏感时期，聚集了大量的学生及家长访问流量，也引起黑客的关注，高校网站面临的主要安全威胁有：网页被挂马、被篡改，黑客通过SQL注入、跨站脚本等攻击方式，可以轻松的拿到高校网站的管理权限，进而篡改网页代码；部分攻击者将高校网站替换成黄色网站，影响极其恶劣。每年高考招生及高校重要节日期间，高校门户网站极易被DDOS攻击，这种由互联网上发起的大量同时访问会话，导致高校网站负载加剧，无法提供正常的访问。入侵者成功获取WEB服务器的控制权限后，以该服务器为跳板，对内网进行探测扫描，发起攻击，对内网核心数据造成影响。（2）随着校园网信息化的逐步深入，业务系统众多，“一卡通”、教学信息管理系统、电子图书馆、教育资源库等信息化业务系统均普遍的被各大高校采用，而这些系统由于管理及防护不到位，面临着较严重的安全威胁：业务系统缺乏必要的入侵防护手段，高校网络规模扩张迅速，网络带宽及处理能力都有很大的提升，但是管理和维护人员方面的投入明显不足，没有条件管理和维护数万台计算机的安全，一旦受到黑客攻击，无法阻断攻击并发现攻击源；部分高校“一卡通”充值系统与银行互联，边界缺乏必要的隔离和审计措施，出现问题不方便定位，难以追查取证；校园网数据中心内的系统应用众多、服务器众多，管理及维护方式也不尽相同，无法做到所有的系统实施统一的漏洞管理政策。同时，对于存在安全隐患的配置检查，也缺乏自动化的高效检查工具和控制手段；业务系统权限控制不合理，有安全隐患。
3需求分析
根据对高校校园网络的威胁分析，得出在校园网络安全体系建设中，各个网络区域和业务系统的安全需求如下：
（1）校园网络出口应对可能发生的拒绝服务攻击进行有效识别、过滤、清洗，保证网络出口的畅通，保证骨干链路的负载处于正常范围之内。（2）网络出口链路应有相应措施，对来源于公网或内网的黑客入侵、病毒传播等安全威胁进行实时识别与阻断。（3）DMZ区及内网服务器区出口链路上，应对针对WEB应用的7层攻击，如SQL注入、XSS、HTTP GET FLOOD等威胁进行全面深入的防护。（4）应对流经核心交换区域的所有流量进行深入的检测，以识别内部各网络区域之间发生的入侵事件和可疑行为。（5）应对内网用户的网络行为，如公网访问、数据库访问等进行全面的记录和审计，以满足违规事件发生后的追查取证。（6）应在不同校区之间的链路接口进行访问控制、病毒检测、入侵防护等安全控制措施。
应对全网的网络节点进行漏洞风险管理，实现漏洞预警、漏洞加固和漏洞审计的全程风险控制。（7）应对全网的网络节点进行配置合规管理，实现违规配置及时识别、配置整改全面深入、配置风险全程可控。（8）应对运维管理人员进行详细严格的权限划分，并通过技术手段控制运维行为权限，对运维行为进行全程审计，对违规运维操作进行实时告警。
4遵循等保要求
2009年11月，教育部为进一步加强教育系统信息安全工作，由办公厅印发《关于开展信息系统安全等级保护工作的通知》（教办厅函[2009]80号），决定在教育系统全面开展信息安全等级保护工作；等级保护不仅是对信息安全产品或系统的检测、评估以及定级，更重要的是，等级保护是围绕信息安全保障全过程的一项基础性的管理制度，是一项基础性和制度性的工作。通过等级化方法和高校信息安全体系建设有效结合，设计一套符合高校需求的信息安全保障体系，是适合我国国情、系统化地解决高校信息安全问题的一个非常有效的方法。
5网络安全建设方案
（1）在校园网出口处旁路部署抗拒绝服务攻击系统（ADS）对拒绝服务攻击流量进行清洗，并且旁路部署网络流量分析系统（NTA）对网络流量组成和DDOS攻击成分进行分析和判断。在正常环境下，旁路部署的ADS不参与网络出口流量的路由和交换，边界路由器通过NETFLOW等技术将流量信息发送给NTA，由NTA分析流量特征，判断是否遭受DDOS攻击。当发现遭受DDOS攻击时，NTA将激活ADS，由ADS向边界路由器发送针对特定防护目标IP的路由，将所有去往被攻击目标IP的流量牵引至ADS设备。ADS系统进行恶意流量的识别和清洗，将不含有攻击成分的合法流量回注至边界路由器，按正常路由路径发送至目标IP。（2）在出口链路部署入侵防护系统，对接入互联网的访问流量进行深入过滤，有效抵御源自公网的入侵威胁，消除安全风险。（3）在DMZ区和内网服务器出口处部署WEB应用防火墙，对服务器区的WEB服务器进行全方面的防护，对针对WEB站点的黑客攻击，恶意扫描、SQL注入、跨站脚本、病毒木马传播、暴力口令破解、网页篡改等攻击手段进行深入防护。保障网站、电子教务系统、一卡通系统等应用系统的正常工作。（4）在核心交换区旁路部署安全审计系统，通过将核心交换机上各端口的流量镜像到安全审计系统的监听链路，实现对流经核心交换机的网络数据进行全程的审计和过滤。通过制定详细的安全审计策略，对违反审计策略的网络行为进行实时告警。此外，安全审计系统由部署在网络运维区的安全中心进行统一监控与策略下发，并实时收集网络时间日志和告警信息。（5）在核心交换区域的出口链路部署下一代防火墙，实现出口链路的流量检测和安全过滤，保护内部网络安全。建议在核心交换区域与各个校区的网络边界处部署下一代防火墙，通过下一代防火墙对应用层攻击、病毒进行全面阻断，可实现基于源/目的IP地址、协议/端口、时间、用户、VLAN、VPN、安全区的访问控制，保证不同网络区域之间的安全防护边界完整。同时，通过安全管理区的安全管理服务器上安装安全中心对该设备进行全面的管理。
篇4
关键词：校园；电子商务；安全；解决方案
引言
随着网络的不断普及和电子商务的迅猛发展，电子商务这种商务活动新模式已经逐渐改变了人们的经济活动方式、工作方式和生活方式，越来越多的人们开始接受并喜爱网上购物，可是，电子商务发展的瓶颈——安全问题依然是制约人们进行电子商务交易的最大问题，因此，安全问题是电子商务的核心问题，是实现和保证电子商务顺利进行的关键所在。校园电子商务是电子商务在校园环境下的具体应用与实现，其安全性也同样是其发展所不容忽视的关键问题，因此应当着重研究。
一、校园电子商务概述
1.1校园电子商务的概念。
校园电子商务是电子商务在校园这个特定环境下的具体应用，它是指在校园范围内利用校园网络基础、计算机硬件、软件和安全通信手段构建的满足于校园内单位、企业和个人进行商务、工作、学习、生活各方面活动需要的一个高可用性、伸缩性和安全性的计算机系统。
1.2校园电子商务的特点。
相对于一般电子商务，校园电子商务具有客户群稳定、网络环境优良、物流配送方便、信用机制良好、服务性大于盈利性等特点，这些特点也是校园开展电子商务的优势所在。与传统校园商务活动相比，校园电子商务的特点有：交易不受时间空间限制、快捷方便、交易成本较低。
二、校园电子商务的安全问题
2.1校园电子商务安全的内容。
校园电子商务安全内容从整体上可分为两大部分：校园网络安全和校园支付交易安全。校园网络安全内容主要包括：计算机网络设备安全、计算机网络系统安全、数据库安全等。校园支付交易安全的内容涉及传统校园商务活动在校园网应用时所产生的各种安全问题，如网上交易信息、网上支付以及配送服务等。
2.2校园电子商务安全威胁。
校园电子商务安全威胁同样来自网络安全威胁与交易安全威胁。然而，网络安全与交易安全并不是孤立的，而是密不可分且相辅相成的，网络安全是基础，是交易安全的保障。校园网也是一个开放性的网络，它也面临许许多多的安全威胁，比如：身份窃取、非授权访问、冒充合法用户、数据窃取、破坏数据的完整性、拒绝服务、交易否认、数据流分析、旁路控制、干扰系统正常运行、病毒与恶意攻击、内部人员的不规范使用和恶意破坏等。校园网的开放性也使得基于它的交易活动的安全性受到严重的威胁，网上交易面临的威胁可以归纳为：信息泄露、篡改信息、假冒和交易抵赖。信息泄露是非法用户通过各种技术手段盗取或截获交易信息致使信息的机密性遭到破坏；篡改信息是非法用户对交易信息插入、删除或修改，破坏信息的完整性；假冒是非法用户冒充合法交易者以伪造交易信息；交易抵赖是交易双方一方或否认交易行为，交易抵赖也是校园电子商务安全面临的主要威胁之一。
2.3校园电子商务安全的基本安全需求。
通过对校园电子商务安全威胁的分析，可以看出校园电子商务安全的基本要求是保证交易对象的身份真实性、交易信息的保密性和完整性、交易信息的有效性和交易信息的不可否认性。通过对校园电子商务系统的整体规划可以提高其安全需求。
三、校园电子商务安全解决方案
3.1校园电子商务安全体系结构。
校园电子商务安全是一个复杂的系统工程，因此要从系统的角度对其进行整体的规划。根据校园电子商务的安全需求，通过对校园人文环境、网络环境、应用系统及管理等各方面的统筹考虑和规划，再结合的电子商务的安全技术，总结校园电子商务安全体系结构，如图所示：
上述安全体系结构中，人文环境层包括现有的电子商务法律法规以及校园电子商务特有的校园信息文化，它们综合构成了校园电子商务建设的大环境；基础设施层包括校园网、虚拟专网VPN和认证中心；逻辑实体层包括校园一卡通、支付网关、认证服务器和交易服务器；安全机制层包括加密技术、认证技术以及安全协议等电子商务安全机制；应用系统层即校园电子商务平台，包括网上交易、支付和配送服务等。
针对上述安全体系结构，具体的方案有：
（1）营造良好校园人文环境。加强大学生的道德教育，培养校园电子商务参与者们的信息文化知识与素养、增强高校师生的法律意识和道德观念，共同营造良好的校园电子商务人文环境，防止人为恶意攻击和破坏。
（2）建立良好网上支付环境。目前我国高校大都建立了校园一卡通工程，校园电子商务系统可以采用一卡通或校园电子帐户作为网上支付的载体而不需要与银行等金融系统互联，由学校结算中心专门处理与金融机构的业务，可以大大提高校园网上支付的安全性。
（3）建立统一身份认证系统。建立校园统一身份认证系统可以为校园电子商务系统提供安全认证的功能。
（4）组织物流配送团队。校园师生居住地点相对集中，一般来说就在学校内部或校园附近，只需要很少的人员就可以解决物流配送问题，而不需要委托第三方物流公司，在校园内建立一个物流配送团队就可以准确及时的完成配送服务。
3.2校园网络安全对策。
保障校园网络安全的主要措施有：
（1）防火墙技术。利用防火墙技术来实现校园局域网的安全性，以解决访问控制问题，使只有授权的校园合法用户才能对校园网的资源进行访问，防止来自外部互联网对内部网络的破坏。
（2）病毒防治技术。在任何网络环境下，计算机病毒都具有不可估量的威胁性和破坏力，校园网虽然是局域网，可是免不了计算机病毒的威胁，因此，加强病毒防治是保障校园网络安全的重要环节。
（3）VPN技术。目前，我国高校大都已经建立了校园一卡通工程，如果能利用VPN技术建立校园一卡通专网就能大大提高校园信息安全、保证数据的安全传输。有效保证了网络的安全性和稳定性且易于维护和改进。
3.3交易信息安全对策。
针对校园电子商务中交易信息安全问题，可以用电子商务的安全机制来解决，例如数据加密技术、认证技术和安全协议技术等。通过数据加密，可以保证信息的机密性；通过采用数字摘要、数字签名、数字信封、数字时间戳和数字证书等安全机制来解决信息的完整性和不可否认性的问题；通过安全协议方法，建立安全信息传输通道来保证电子商务交易过程和数据的安全。
（1）数据加密技术。加密技术是电子商务中最基本的信息安全防范措施，其原理是利用一定的加密算法来保证数据的机密，主要有对称加密和非对称加密。对称加密是常规的以口令为基础的技术，加密运算与解密运算使用同样的密钥。不对称加密，即加密密钥不同于解密密钥，加密密钥公之于众，而解密密钥不公开。
（2）认证技术。认证技术是保证电子商务交易安全的一项重要技术，它是网上交易支付的前提，负责对交易各方的身份进行确认。在校园电子商务中，网上交易认证可以通过校园统一身份认证系统（例如校园一卡通系统）来进行对交易各方的身份认证。
（3）安全协议技术。目前，电子商务发展较成熟和实用的安全协议是SET和SSL协议。通过对SSL与SET两种协议的比较和校园电子商务的需求分析，校园电子商务更适合采用SSL协议。SSL位于传输层与应用层之间，能够更好地封装应用层数据，不用改变位于应用层的应用程序，对用户是透明的。而且SSL只需要通过一次“握手”过程就可以建立客户与服务器之间的一条安全通信通道，保证传输数据的安全。
3.4基于一卡通的校园电子商务。
目前，我国高校校园网建设和校园一卡通工程建设逐步完善，使用校园一卡通进行校园电子商务的网上支付可以增强校园电子商务的支付安全，可以避免或降低了使用银行卡支付所出现的卡号被盗的风险等。同时，使用校园一卡通作为校园电子支付载体的安全保障有：
（1）校园网是一个内部网络，它自身已经屏蔽了绝大多数来自公网的黑客攻击及病毒入侵，由于有防火墙及反病毒软件等安全防范设施，来自外部网络人员的破坏可能性很小。同时，校园一卡通中心有着良好的安全机制，使得使用校园一卡通在校内进行网上支付被盗取账号密码等信息的可能性微乎其微。:
（2）校园一卡通具有统一身份认证系统，能够对参与交易的各方进行身份认证，各方的交易活动受到统一的审计和监控，统一身份认证能够保证网上工作环境的安全可靠。校园网络管理中对不同角色的用户享有不同级别的授权，使其网上活动受到其身份的限制，有效防止一些恶意事情的发生。同时，由于校内人员身份单一，多为学生，交易中一旦发生纠纷，身份容易确认，纠纷就容易解决。
四、结束语
开展校园电子商务是推进校园信息化建设的重要内容，随着我国校园信息化建设的不断深入，目前已有许多高校开展了校园电子商务，它极大的方便了校园内师生员工的工作、学习、生活。可是与此同时，安全问题成为制约校园电子商务发展的障碍。因此，如何建立一个安全、便捷的校园电子商务应用环境，让师生能够方便可靠的进行校园在线交易和网上支付，是当前校园电子商务发展要着重研究的关键问题。
参考文献：
[1]李洪心。电子商务安全[M].大连：东北财经大学出版社，2008.
[2]杨坚争，赵雯，杨立钒。电子商务安全与电子支付[M].北京：机械工业出版社，2008.
[3]刘克强。电子交易与支付[M].北京：人民邮电出版社，2007.
篇5
关键词:校园;电子商务;安全;解决方案
中图分类号:G647文献标识码:A
引言
随着网络的不断普及和电子商务的迅猛发展,电子商务这种商务活动新模式已逐渐改变了人们的经济活动方式、工作方式和生活方式,越来越多的人们开始接受并喜爱网上购物,可是,电子商务发展的瓶颈――安全问题仍然是制约人们进行电子商务交易的最大问题,安全问题是电子商务的核心问题,是实现和保证电子商务顺利进行的关键所在。校园电子商务是电子商务在学校环境下的具体应用与实现,其安全性也同样是其发展所不容忽视的关键问题。
一、校园电子商务概述
(一)校园电子商务的概念。校园电子商务是电子商务在校园这个特定环境下的具体应用,它是指在校园范围内利用学校的网络基础、计算机硬件、软件和安全通信手段构建的满足于校园内单位、企业和个人进行商务、工作、学习、生活各方面活动需要的一个高可用性、伸缩性和安全性的商务系统。
(二)校园电子商务的特点。相对于一般电子商务,校园电子商务具有客户群稳定、网络环境优良、物流配送方便、信用机制良好、服务性大于盈利性等特点,这些特点也是校园开展电子商务的优势所在。与传统学校商务活动相比,校园电子商务的优点有:交易不受时间空间限制、快捷方便、交易成本较低。
二、校园电子商务的安全问题
(一)校园电子商务安全的内容。校园电子商务安全内容从整体上可分为两大部分:学校网络安全和学校支付交易安全。学校网络安全内容主要包括:计算机网络设备安全、计算机网络系统安全、数据库安全等。学校支付交易安全的内容涉及传统校园商务活动在校园网应用时所产生的各种安全问题,如网上交易信息、网上支付以及配送服务等。
(二)校园电子商务安全威胁。校园电子商务安全威胁同样来自网络安全威胁与交易安全威胁。网络安全与交易安全并不是孤立的,而是密不可分相辅相成的,网络安全是基础,是交易安全的保障。校园网也是一个开放性的网络,它也面临许许多多的安全威胁,例如:身份窃取、非授权访问、冒充合法用户、数据窃取、破坏数据的完整性、拒绝服务、交易否认、数据流分析、旁路控制、干扰系统正常运行、病毒与恶意攻击、内部人员的不规范使用和恶意破坏等。校园网的开放性也使得基于它的交易活动的安全性受到严重的威胁,网上交易面临的威胁可以归纳为:信息泄露、篡改信息、假冒和交易抵赖。信息泄露指非法用户通过各种技术手段盗取或截获交易信息致使交易信息的机密性遭到破坏;篡改信息指非法用户对交易信息插入、删除或修改,破坏交易信息的完整性;假冒指非法用户冒充合法交易者以伪造交易信息;交易抵赖指交易方否认交易行为,交易抵赖也是校园电子商务安全面临的主要威胁之一。
(三)校园电子商务基本安全需求。通过对学校电子商务安全威胁的分析,可以看出校园电子商务安全的基本要求是保证交易对象的身份真实性、交易信息的保密性和完整性、交易信息的有效性和交易信息的不可否认性。通过对校园电子商务系统的整体规划可以提高其安全需求。
三、校园电子商务安全解决方案
(一)校园电子商务安全体系结构。校园电子商务安全是一个复杂的系统工程,因此要从系统的角度对其进行整体的规划。根据校园电子商务的安全需求,通过对学校人文环境、网络环境、应用系统及管理等各方面的统筹考虑和规划,再结合电子商务的安全技术,总结出校园电子商务安全体系结构。
在校园电子商务安全体系结构中,人文环境层包括现有的电子商务法律法规以及学校电子商务特有的校园信息文化,它们综合构成了校园电子商务建设的大环境;基础设施层包括校园网、虚拟专网VPN和认证中心;逻辑实体层包括校园一卡通、支付网关、认证服务器和交易服务器;安全机制层包括加密技术、认证技术以及安全协议等电子商务安全机制;应用系统层即校园电子商务平台,包括网上交易、支付和配送服务等。针对上述安全体系结构,具体的方案有:
1、营造良好的校园人文环境。加强大学生的道德教育,培养校园电子商务参与者们的信息文化知识与素养、增强高校师生的法律意识和道德观念,共同营造良好的校园电子商务人文环境,防止人为恶意攻击和破坏。
2、建立良好的网上支付环境。目前,我国高校大都建立了校园一卡通工程,校园电子商务系统可以采用一卡通或校园电子账户作为网上支付的载体,而不需要与银行等金融系统互联,由学校结算中心专门处理与金融机构的业务,可以大大提高校园网上支付的安全性。
3、建立统一身份认证系统。建立校园统一身份认证系统可以为校园电子商务系统提供安全认证的功能。
4、组织物流配送团队。校园师生居住地点相对集中,一般来说就在学校内部或校园附近,只需要很少的人员就可以解决物流配送问题,而不需要委托第三方物流公司,在校园内建立一个物流配送团队就可以准确、及时地完成配送服务。
(二)校园网络安全对策。保障校园网络安全的主要措施有:
1、防火墙技术。利用防火墙技术来实现校园局域网的安全性,以解决访问控制问题,使只有授权的校园合法用户才能对校园网的资源进行访问,防止来自外部互联网对内部网络的破坏。
2、病毒防治技术。在任何网络环境下,计算机病毒都具有不可估量的威胁性和破坏力,校园网虽然是局域网,可是也免不了计算机病毒的威胁。因此,加强病毒防治是保障校园网络安全的重要环节。
3、VPN技术。目前,我国高校大都已经建立了校园一卡通工程,如果能利用VPN技术建立校园一卡通专网,就能大大提高校园信息安全、保证数据的安全传输,有效地保证网络的安全性和稳定性,且易于维护和改进。
(三)交易信息安全对策。针对校园电子商务中交易信息安全问题,可以用电子商务的安全机制来解决,例如数据加密技术、认证技术和安全协议技术等。通过数据加密,可以保证信息的机密性;通过采用数字摘要、数字签名、数字信封、数字时间戳和数字证书等安全机制来解决信息的完整性和不可否认性的问题;通过安全协议方法,建立安全信息传输通道来保证电子商务交易过程和数据的安全。
1、数据加密技术。加密技术是电子商务中最基本的信息安全防范措施,其原理是利用一定的加密算法来保证数据的机密,主要有对称加密和非对称加密。对称加密是常规的以口令为基础的技术,加密运算与解密运算使用同样的密钥。不对称加密,即加密密钥不同于解密密钥,加密密钥公之于众,而解密密钥不公开。
2、认证技术。认证技术是保证电子商务交易安全的一项重要技术,它是网上交易支付的前提,负责对交易各方的身份进行确认。在校园电子商务中,网上交易认证可以通过校园统一身份认证系统(如校园一卡通系统)来进行对交易各方的身份认证。
3、安全协议技术。目前,电子商务发展较成熟和实用的安全协议是SET和SSL协议。通过对SSL与SET两种协议的比较和校园电子商务的需求分析,校园电子商务更适合采用SSL协议。SSL位于传输层与应用层之间,能够更好地封装应用层数据,不用改变位于应用层的应用程序,对用户是透明的。而且SSL只需要通过一次“握手”过程就可以建立客户与服务器之间的一条安全通信通道,保证传输数据的安全。
(四)基于一卡通的校园电子商务。目前,我国高校校园网建设和校园一卡通工程建设逐步完善,使用校园一卡通进行校园电子商务的网上支付可以增强校园电子商务的支付安全,可以避免或降低了使用银行卡支付所出现的卡号被盗的风险等。同时,使用校园一卡通作为校园电子支付载体的安全保障有:
1、校园网。它是一个内部网络,它自身已经屏蔽了绝大多数来自公网的黑客攻击及病毒入侵,由于有防火墙及反病毒软件等安全防范设施,来自外部网络人员的破坏可能性很小。同时,校园一卡通中心有着良好的安全机制,使得使用校园一卡通在校内进行网上支付被盗取账号密码等信息的可能性微乎其微。
2、校园一卡通。它具有统一身份认证系统,能够对参与交易的各方进行身份认证,各方的交易活动受到统一的审计和监控,统一身份认证能够保证网上工作环境的安全可靠。校园网络管理中对不同角色的用户享有不同级别的授权,使其网上活动受到其身份的限制,有效防止一些恶意事情的发生。同时,由于校内人员身份单一,多为学生,交易中一旦发生纠纷,身份容易确认,纠纷就容易解决。
四、结束语
开展校园电子商务是推进校园信息化建设的重要内容,随着我国校园信息化建设的不断深入,目前已有许多高校开展了校园电子商务,它极大地方便了校园内师生员工的工作、学习、生活。可是与此同时,安全问题成为制约校园电子商务发展的障碍。因此,如何建立一个安全、便捷的校园电子商务应用环境,让师生能够方便可靠地进行校园在线交易和网上支付,是当前校园电子商务发展应着重研究的关键问题。
(作者单位:1.陕西理工学院;2.重庆大学经济与工商管理学院)
主要参考文献:
[1]李洪心.电子商务安全[M].大连:东北财经大学出版社,2008.
[2]杨坚争,赵雯,杨立钒.电子商务安全与电子支付[M].北京:机械工业出版社,2008.
[3]刘克强.电子交易与支付[M].北京:人民邮电出版社,2007.
[4]Charlie Kaufman,Radia Perlman,MikeSpeciner著,许剑卓等译.网络安全-公众世界中的秘密通信[M].北京:电子工业出版社,2004.
[5]张红霞,宋德昌.校园电子商务如何建设[J].信息系统工程,2005.7.
[6]朱乾锋.浅谈“一卡通”技术[J].科技创新导报,2009.9.
[7]丁学君.电子商务中的信息安全问题及其对策[J].计算机安全,2009.2.
[8]余绍军,彭银香.电子商务安全与数据加密技术浅析[J].中国管理信息化(综合版),2007.4.
[9]王俊杰.电子商务安全问题及其应对策略[J].特区经济,2007.7.
[10]秦昌友.浅析电子商务的安全技术[J].苏南科技开发,2007.8.
篇6
关键字：数字化；网络安全；校园
一、网络安全问题
（一）木马病毒的危害
当下，我国的高校计算机安全方面，最突出的一个方面还是类似于木马这类电脑病毒对于计算机的入侵，这不仅是是对数字化校园网络环境的危害，对所有的计算机都是一个非常共性的问题。虽然信息在不断地进步，计算机也不断的进行更新换代，但是就像木马病毒，目前已经更新出第六代了，电脑病毒也会跟随着计算机的进化脚步而不断的进化，这种病毒可以通过很多种方式来对电脑造成不可预估的危害，从而在人们对计算机的使用中带来很多的麻烦。另外，由于人们对于病毒的防范意思的缺乏，从而导致人们对电脑上的杀毒软件不能够及时的进行更新，这就会对电脑病毒提供更多入侵电脑的机会，对数字化校园网络的安全性带来一些不必要的麻烦[1]。
（二）不健康信息的传播
互联网，顾名思义就是相互连接在一起的网络，这不仅为老师和学生们教学和学习带来方便，它还可以使老师和学生能够及时的了解外部情况。另外，为了使各个高校之间能够更加方便的交流和学习，各高校之间都是通过互联网连接在一起的，使各个高校之间的学术交流得到进一步的拓展，为师生们提供更大的便利。但是，利弊总是伴生的。如果想要使师生获得更大的便利，这就需要放宽对于网络的束缚，增加它的开放性。那么问题也就会随之而来，这就给数字化校园网络的管理方面带来了更大的压力，例如网上的一些黄色暴力信息，就会借此机会入侵到高校计算机的网络里面去，从而对学生们的身心健康和心理方面造成很大的不良影响，直接影响到学生们的学习效率。而且随着智能手机的出现的高速发展，学生们可以通过智能手机连接学校的无线网络，这就又为那些不良信息找到一个更好的宿主。虽然学生们知道那是不良信息，但是由于好奇心理的驱使以及自制能力的缺乏，从而不能够抵制掉不良信息的诱惑。由此可见，不良信息的传播也是高校网络安全面临的重要问题。
（三）对于专业网络安全管理人才的需求
在当前国内的数字化校园网络环境管理团队中，相当大一部分的管理人员缺乏对于网络安全管理的专业知识，对于人才的需求更是日益强烈，以至于在当前的管理人员中还有的是学校内的计算机老师进行辅助管理。而随着信息技术的不断发展，病毒的不断进化，业余的管理人员是不E够应对一些突发状况的，计算机老师显然不能够胜任这项工作。因为大多数的计算机老师虽然能够对电脑系统进行重装，处理一些其他方面的小问题，但是当他们面对木马这类的电脑病毒时却无能为力。例如，校园网被不良信息入侵或者被黑客攻击以及木马病毒时，就算他们能够及时的发现，但是他们也只能眼睁睁的看着病毒肆虐，却不能够及时的对其进行及时的有效的制止，这就可能导致学校内部的研究成果外泄或者学生个人信息的泄露。因此，这就需要更加专业的计算机人才来对数字化校园网络环境进行专业的管理。
（四）网络安全保护意思的缺乏
网络本身就是一个比较抽象的概念，你也许只能看到一些线路，这就是网络。但是，也许当我们真正离开网络后才能明白它的重要性。网络安全就是如此，它或许比网络更加的虚无缥缈，但它却真实的存在，而且非常重要。问题就出在这，因为人们不能够看到它的存在，因此潜意识里就不会对它引起重视，只有在电脑中病毒了、不能运行了、重要文件丢失了，这个时候才想起网络安全这个词语。而高校的师生也是这个想法，不能够对电脑上的杀毒软件进行更新，因此黑客和病毒就有了机会入侵到数字化校园网络环境，这个时候才会意识到网络安全的份量。
二、数字化校园网络安全管理对策
由于信息技术是一种在第三次科技革命下产生的高科技产物，而且它的发展速度以及更新速度都远超之前的各种技术。因此，高校需要加大对信息网络技术的投入和建设，在满足发展需要的同时也应该做好自身的安全保障工作。这就需要对数字化校园网络环境的安保措施进行完善，及时的对杀毒软件进行更新，优化和升级防火墙等防止黑客和病毒入侵的防护软件，要做到对其及时的发现并进行有效的处理。另外，为了防止出现意外，一定要对重要的数据进行格外加密和备份[2]。此外还要建立起完善的信息过滤系统，对一些敏感字符或者信息进行自动过滤。
三、结束语
总体来说，信息技术在数字化校园网络环境中给师生带来的便利还是功不可没的，但是在对数字化校园网络环境安全的问题方面还是需要引起很大的关注的，有必要的话还可以请一些专业的专家来进行一些计算机网络安全方面的讲座，强化学校师生对网络安全重要性的认识。[3]另外，还应该加大对于数字化校园网络安全方面的物力和人力的投入，还要定期的对系统进行维护以及对管理人员专业知识方面的培养，全面的提高数字化校园网络安全方面的防范措施。争取打造一个安全可靠的科研和学术交流的平台。
参考文献
[1]陈卫民. 多网合一的高校数字化校园网络及其安全性研究[D].湖南大学，2011.
篇7
论文摘要:在信息化浪潮的推动下，院校校园网飞速建设，但信息技术的发展和更新却远远超出我们预见，它使得传统有线校园网络的建设和应用的片面性逐渐呈现。新时期，如何对校园网进行升级、拓展应用成为当前校园网建设和改造要考虑的重要问题。
近几年来，有线网络建设、运行和维护的实践表明，由于目前网络是“有线”的，所以在应用中有相当多的问题不可避免。诸如，很多学校只在部分区域接入网络，而无法顾及所有区域;那么，在不宜进行网络布线的场馆该如何联网呢?在教室、实验室等场合如何突破网络节点限制，实现多人同时上网呢?这些传统有线校园网的“网络盲点”问题，与教员、学员“随时随地获取信息”的新需求之间的矛盾如今将可以通过无线技术轻松解决。
1“无线”的优势所在
1.1全覆盖:以高速无线的方式覆盖整个校园，主要包括教学楼办公室、礼堂、公寓、图书馆、廊道绿地等，强大的无缝漫游功能，确保了网络通信的流畅性，让学校师生随时随地可以接人网络，享受无线校园带来的乐趣。
1.2可管理:由于校园有线网络已经建成，统一的网络管理已经投人使用，本次建成的无线网络，将可以很好的融合进现有校园管理系统中，便于统一管理和维护。
1.3可扩充性:在校园网络规模不断发展的情况下，无线网络可满足在不改变主体架构与大部分设备的前提下，平滑实现升级和扩充，降低原有网络的硬件投资，并保证扩展后的系统可用性与稳定性。
1.4多种服务的支持:基于校园级网络的未来可持续发展，采用的无线产品均具备可适应未来发展校园级无线宽带应用(如无线语音应用、无线视频会议应用、无线多媒体通信应用等)的需要，并提供低成本的无缝升级和前后兼容。
2“无线”的设计方案
无线网络技术具有无缝覆盖、可移动通信等优点，可与有线网络互为补充，但就目前无线技术的发展状况，无线最大的优势仍在于对现有有线网络的补充。在高等网络中，完善的解决方案将开辟无线网络在高等教育的应用，进而引发深刻的整个高等网络变革。
根据校园网络实际应用环境的特点，无线网络解决方案大体分为两套:室内和室外。
2.1室内无线局域网主要针对不方便进行大规模布线或不宜布设太多信息点的建筑，如:图书馆、办公大楼、教学楼、网络教室、会议室、学员宿舍和报告大厅等。在室内实现全方位的无线上网，这将成为无线应用的新趋势。
2.2室外无线解决方案主要针对分布较远的校区之间、布线不甚方便的校园建筑物之间以及适合学习的室外场所，如草坪、操场空地等。
3“无线”的安全性能
长期以来，安全性能制约着无线网络的发展。随着802. l国际标准和wapi国内标准的相继出台，无线网络安全性得到了全面提升。国内的wapi国家标准，具有支持双向鉴别、数字证书鉴别等优势，实现设备的身份认证、证书鉴别、访问控制和用户信息在无线传输状态下的加密保护，为无线终端接人提供更高等级的安全保障。
无线网络提供的比较常用的安全机制有如下三种:
3.1基于mac地址的认证:基于mac地址的认证就是mac地址过滤，每一个无线接人点可以使用mac地址列表来限制网络中的用户访问。实施mac地址访问控制后，如果mac列表中包含某个用户的mac地址，则这个用户可以访问网络，否则，如果列表中不包含某个用户的mac地址，则该用户不能访问网络。
3.2共享密钥认证:共享密钥认证方法要求在无线设备和接入点上都使用有线对等保密算法。如果用户有正确的共享密钥，那么就授予该用户对无线网络的访问权。
篇8
目前，全国高校中的信息化建设发展迅速，横向发展越来越全面，纵向发展越来越深入。信息化建设对高校的教育发展具有革命性影响，已经成为促进高校教育改革创新和提高教育质量的推动力，是高校教育发展的创新前沿。大学的教学、科研和管理的正常运作几乎完全依赖于信息系统的稳定可靠运行，信息系统中的安全体系成为至关重要的部分。因此，高校需要一套完整严密的安全体系来保障信息化建设。
二、现状与问题
随着高校信息化建设的推进，大学信息化建设规模越来越大，软硬件设备配备完整，运行保障的基础技术手段基本具备。拥有了网络系统管理和应用技术支持的专业人员，在安全上采用了防火墙、防病毒等常规的安全防护手段，保障了核心业务系统在一般情况下的正常运行，具备了基本的安全防护能力。但随着信息系统的发展，不管从业务功能还是数据方面都在不断的发生变化，但信息安全体系的不断完善与整改往往因得不到重视而滞后。所以就会存在以下主要问题：信息化建设领导机构及信息安全机构设置不够正规化、专一化。在之前，大多数高校中，信息安全机构不受重视、不够专一。认为信息安全部分的进程，不用单独成为信息化建设时平行推进的一条线，在信息化建设时对能考虑到的安全问题做决策，过程中未考虑到的问题，随后再去做分析。这样的结果往往使得安全部分的建设跟信息化建设脱节，如果步伐相差较大，安全系统体系最终不能到达预期的结果。防护系统过于单一。网络与信息安全事件分类不明确，出现不同问题预处理方式不明确，导致不能全面的做到预防备案。对信息系统没有主动去测试、筛选、扫描等主动检测、监测与查找，而是等待不同的安全问题出现后再去找相应的解决方案。保障措施不完善。后续处理应及时，抑制不安全影响进一步扩大。
三、高校信息安全体系的设计与应用
1.信息化建设领导机构及信息安全机构设置。（1）学校成立校园网络与信息安全事件应急处置领导小组，全面负责和统一指挥校园网络与信息安全重大突发事件的应急处置工作。（2）数字校园建设中心作为学校信息化建设的主管部门，负责校园主干网络与主要信息系统安全事件的预防、监测、报告和应急处置，负责对学校其他部门主管的网络信息系统的安全防护情况进行日常检查、指导和督促，必要时数字校园建设中心协助相关主管部门完成突发事件的技术处理。（3）成立校园网管理委员会，职责为负责领导、监督和协调校园网的建设和运行；负责对校园网建设、使用和运行中的重大问题和政策性问题进行决策。信息化领导小组由主管信息化校领导和有关职能部门负责人组成。整合网络中心、技术中心和电教中心成立数字校园建设中心，数字校园建设中心在教育信息化领导小组的领导下负责学校的信息化建设。（4）单独成立校园网络与信息安全事件应急处置领导小组，全面负责和统一指挥校园网络与信息安全重大突发事件的应急处置工作。2.完整的信息安全架构。信息安全工作是一项常抓不懈的长期工作，首都师范大学在努力做好当下相关工作的同时，分别在安全技术和管理规范上做了相应的规划。学校根据目前信息安全的现状，申报信息安全建设专项，计划通过采购数据中心防火墙、漏洞扫描系统、负载均衡等安全防护设备工相关工具，对数据中心进行整体安全加固，提升数据中心安全防护能力，切实提高系统的安全风险抵御能力，降低网络应用系统所面临安全风险威胁，保证网络应用系统安全、稳定的运行，使网络信息系统在符合国家信息安全防护相应级别的安全要求。以首都师范大学数据中心安全规划架构为例：第一层安全防护：即传统防火墙+IPS，并且对内部的应用进行详细控制，对校园网开放应用需要对开开放的端口，例如真把HTTP的80端口开放出来，其余的应和数据库等就不会出现在校园网当中，并通过IPS对于蠕虫、syn等攻击行为进行防护。第二层安全防护：由于传统的防火墙无法对于80端口的web应用进行防护，所以需要专门的web应用防火墙进行80端口的web应用的防护；在数据中心与核心交换机之间一般都使用万兆链路，web应用防火墙不能像传统防火墙能够去支持万兆接口，只能够通过策略路由的方式将所有的80端口流量全部匹配至web应用防火墙内，其余的流量还照样能够走万兆流量，一般在测试的过程中web流量基本维持在300M-500M之间，或者也可以采用反向的方式旁路在数据中心交换机上。第三层安全防护：虚拟化安全防护，在数据中心层面都提倡大二层结构，为了是最大化降低应用之间的访问延迟，所以在虚拟化网络设计当中就沿用二层设计，但由于一台物理机器上承载多台虚拟机，所以在2层交换上都是在虚拟交换机上进行，也就是说在相同虚拟机上同网段段的数据交互在网卡层面就完成，那相互之间的安全就需要依靠虚拟化安全防护来完成。第四层安全防护：数据库安全防护，这部分防护主要是在应用服务器与数据库服务器之间，监视数据库活动、防止未被授权的数据库访问、SQL注入权限或角色升级、对敏感数据的非法访问。第五层安全检测：通过漏洞扫描设备解决系统本身的漏洞和安全隐患，在拓扑中只要网络可达便可对所有的设备进行检查。该项目正在逐步推进过程中，计划于明年年底前建设完成并交付使用，通过该项目的实施，各安全设备的运行防护能够保障首都师范大学数据中心的信息安全，实现数据中心信息和网络的安全。同时，还申报并计划学校信息安全等级保护测评和整改项目，该项目启动后，将对学校重点的信息系统进行等级保护测评并针对相应的测评结果对相应问题进行有针对性的改造；对于学校整个信息安全体系及信息安全管理制度进行统一的梳理，从制度和管理上对于信息安全进行全面的保障。3.对网络与信息安全事件进行分类分级：《信息安全事件分类分级指南》（1）网络与信息安全事件分类。网络与信息安全突发事件依据发生过程、性质和特征的不同，可分为以下四类：①网络攻击事件：校园网络与信息系统因病毒感染、非法入侵等造成学校网站或部门二级网站主页被恶意篡改，应用系统数据被拷贝、篡改、删除等。②设备故障事件：校园网络与信息系统因网络设备和计算机软硬件故障、人为误操作等导致业务中断、系统宕机、网络瘫痪。③灾害性事件：因洪水、火灾、雷击、地震、台风、非正常停电等外力因素导致网络与信息系统损毁，造成业务中断、系统宕机、网络瘫痪。④信息内容安全事件：利用校园网络在校内外传播法律法规禁止的信息，组织非法串联、煽动集会游行或炒作敏感问题并危害国家安全、社会稳定和公众利益等。（2）网络与信息安全分级。网络与信息安全突发事件依据可控性、严重程度和影响范围的不同，可分为以下四级：I级（特别重大）：学校网络与信息系统发生全校性大规模瘫痪，对学校正常工作造成特别严重损害，且事态发展超出学校控制能力的安全事件；II级（重大）：学校网络与信息系统造成全校性瘫痪，对学校正常工作造成严重损害，事态发展超出数字校园建设中心控制能力，需学校各部门协同处置的安全事件；III级（较大）：学校某一区域的网络与信息系统瘫痪，对学校正常工作造成一定损害，数字校园建设中心可自行处理的安全事件；IV级（一般）：某一局部网络或信息系统受到一定程度损坏，对学校某些工作有一定影响，但不危及学校整体工作的安全事件。4.做好预防措施，安全漏洞检查与发现问题及时整改。依照上面指定的《信息安全事件分类分级指南》，对校园网络通信平台、应用平台和信息系统采取相应安全保障措施。建立健全安全事件预警预报体系，严格执行校园网络与信息系统安全管理制度，常年坚持校园网络安全工作值班制度。加强对校园网络与学校网站等重点信息系统的监控和安全管理，做好相关数据日志记录，确定合理规则，对校园网络进出信息实行过滤及预警。实行信息网上审批制度，对可能引发校园网络与信息安全事件的信息，要认真收集、分析、判断，发现有异常情况时，及时防范处理并逐级报告。做好服务器及数据中心的数据备份及登记工作，建立灾难性数据恢复机制。特殊时期，根据要求和部署组织专业技术人员对校园网络和信息系统采取加强性保护措施，对校园网络通信及信息系统进行不间断监控。主动检测与查找信息安全存在的漏洞风险，并根据安全154信息系统工程│2017.6.20ACADEMICRESEARCH学术研究漏洞的危险程度对问题采取以下方式进行处理：一是将存在安全隐患的网站进行短期关停，并限期封堵安全漏洞；二是对于涉及范围比较广，师生员工关注比较高的网站（如学校主页）加强安全检查和监控，并上报办公会，启动改版计划；三是对于建设较早且安全隐患较多二级部门网站进行永久性关停，并责令相关单位以新的安全标准建设新网站。对存在安全漏洞进行整改，对学校的安全风险进行全面排查，把信息安全事件扼杀在萌芽状体。以免在信息安全方面没有造成不良的影响，造成损失。5.完备的处理流程（1）预案启动。发生校园网络与信息安全事件后，数字校园建设中心和突发安全事件的信息系统建管部门应尽最大可能收集事件相关信息，鉴别事件性质，确定事件来源，弄清事件范围，评估事件带来的影响和损害，确认突发事件的类别和等级，并参照下述响应机制对突发事件进行处置。（2）应急响应①应急响应机制。III级或IV级突发事件响应：数字校园建设中心和突发安全事件的信息系统建管部门自行负责应急处置工作，有关情况报分管校领导。II级突发事件响应：数字校园建设中心立即上报分管校领导和校园网络与信息安全事件应急处置领导小组，由领导小组统一组织、协调指挥进行应急处置。I级突发事件响应：数字校园建设中心立即上报分管校领导和校园网络与信息安全事件应急处置领导小组，领导小组再上报至市公安局等相关部门，由北京市相关部门会同我校校园网络与信息安全事件应急处置领导小组统一组织、协调指挥应急处置。②应急处理方式。根据网络与信息安全事件分类采取不同应急处置方式。对于网络攻击事件，查找网络攻击的源头，寻找对用内部的服务器等设备，关闭内部相关设备与外部的网络连接。抓包并分析网络攻击的来源信息。对造成的信息破坏进行修复，利用备份系统进行恢复。基于攻击的类型可以采取以下解决办法：病毒传播：及时寻找并断开传播源，判断病毒的类型、性质、可能的危害范围；为避免产生更大的损失，保护健康的计算机，必要时可关闭相应的端口，甚至相应楼层的网络，及时请有关技术人员协助，寻找并公布病毒攻击信息，以及杀毒、防御方法。外部入侵：找出攻击的源头，评估分析对网络系统和数据系统造成的伤害。如果是试图入侵被防火墙直接拦截的，对入侵数据进行分析，分析其欲攻击的IP和端口。对服务器的端口进行监察或关闭。对该IP地址进行限制访问。如果已经对系统造成损害，需要立即断开与外网的连接，以免造成更为严重的伤害。内部入侵：定位内部的入侵相关信息，信息包含入侵的用户，所在办公室位置，入侵的IP地址和端口。对于入侵成功的，应立即关闭内网交换设备。设备故障事件：定位造成故障事件的设备，评估事件的严重程度，对于非持久化存储的设备或可暂时停运的设备，使用备用设备替换。迅速联系IT部门，对设备故障做维护与报备。保证相关的校园网络系统的正常运转。灾害性事件：此类事件多指自然灾害事件，根据灾害的程度，在保证人身安全的情况下，对设备以及数据进行紧急保护。信息内容安全事件：接到校内网站出现不良信息的报案后，应迅速屏蔽该网站的网络端口或拔掉网络连接线，阻止有害信息的传播，根据网站相关日志记录查找信息人并做好善后处理；对公安机关要求我校协查的外网不良信息事件，根据校园网上网相关记录查找信息人。其它不确定安全事件：根据提前制定的安全事件处理原则，根据实时情况灵活多变进行处理。对于未知的处理办法，对信息安全部门进行咨询求助。③后续处理。对攻击事件先进行以上的事件处理之后，应及时的采取措施，防止攻击事件造成的危害进一步的增强。对于具有潜伏性的、长久性的病毒攻击，要实时的进行隔离和防护。对攻击事件抑制以后，追其根源，分析事件的动机和途径。解决并清除此危机，制定对此类攻击处理的成熟方案。在确保安全事件解决后，要及时清理系统，恢复数据、程序、服务，恢复工作应避免出现误操作导致的数据丢失。④记录上报。对于发生的安全事件，要认真做记录与统计。将记录结果向校园安全部门领导及时汇报，及时分析网络系统日志，将重要日志信息做永久存储处理。⑤结束响应。不断完善网络安全整体方案，加强技术管理，确保信息系统的稳定与安全。根据工作需要聘请信息安全顾问为应急处置过程和重建工作提供咨询和技术支持。6.保障措施。校园网络与信息安全应急处置是一项长期的、随时可能发生的工作，必须做好各项应急保障工作。（1）队伍保障。加强对安全队伍工作人员的安全技术培训，增强安全队伍对日常操作的安全程度，面对突发安全事件能紧急处理。对于日常维护能做到防患于未然。（2）技术保障。拒绝采用盗版办公软件，特别是安全维护相关的软件，比如防火墙、杀毒软件等，应安装正版使用。拥有健全的安全防护体系与安全技术，对防护系统进行多方位、多层次的设计。确保安全系统的稳定与可靠。（3）资金保障。信息安全部门要积极的对安全的升级与维护项目进行申报，对于申报资金要落到安全系统建设实处。学校领导与财务部门，要大力支持安全部门的专项资金申请审批工作。将安全系统预算纳入到每年的财政预算中。（4）安全培训和演练。聘请专业的安全公司人员对部门人员进行培训与教学，在理论培训的同时，进行安全事件的软件模拟或真实模拟演练。
四、结语
高校信息化管理水平是衡量高校办学水平的重要尺度，信息化管理过程中的安全是重中之重。随着高等教育的迅速发展, 办学规模不断扩大, 教学管理越来越复杂化, 高校的信息系统管理工作面临着严峻挑战。伴随着高校信息化进程的不断推进，新的信息安全隐患不断涌现，信息风险也不断加大，建立一套高效、集成的信息安全保障体系势在必行。利用技术措施加强信息安全防护，保证管理信息系统正常运行，这样才能满足教学管理的需要。
作者:刘海龙 安寅杰 单位:首都师范大学数字校园建设中心
参考文献
[1]吴晓瞻.高校安全协同办公信息系统的设计与实现[D].浙江:浙江工业大学,2016.
[2]黄文雯.办公业务安全保障系统的设计与实现[A].中国电机工程学会电力信息化专业委员会、国家电网公司信息通信分公司:2016电力行业信息化年会论文集,2016,(4):10-23.
[3]姚亚玲.高校网络教学管理系统的设计与实现[D].吉林:吉林大学,2016.
[4]黄宏杰,陈永清.现代校园网信息安全化的研究[J].计算机时代,2016,(12):46-48+52.
[5]徐豪.高校网络安全管理问题与对策研究[J].数字技术与应用,2016,(09):200-201.
篇9
关键词：网络安全；分布式拒绝服务攻击；流量控制；流量清洗
中图分类号：TP393文献标识码：A文章编号：1009-3044(2008)33-1326-03
A Study on DDoS Defense Campus Network Platform to Attack the Building Program
ZHANG Hu
(College of Information Technology, Anhui University Finance & Economics, Bengbu 233041, China)
Abstract: Distributed Denial of Service attack (DDoS) has become one of the greatest threat to the Internet. Analysis of the campus network the status, the establishment of a business model, a flow of cleaning equipment functional requirements, design a campus network DDoS attacks defense platform design. And an analysis of DDOS attacks cleansing program flow traction technology, trigger technology, clean technology and traffic flow back to the technical note.
Key words: network security; DDos; flow control; traffic cleaning technology
随着互联网技术的飞速发展，各类政府部门、高校、科研机构信息化水平的持续提高，各项业务对于互联网的依赖性越来越大。同时，由于网络安全技术和网络攻击手段的不断发展和演变，使得这类用户的互联网业务面临着极大的威胁和风险。其中，分布式拒绝服务型攻击（Distributed Denial of Services，简称DDoS攻击）是目前互联网中存在的最常见、危害性最大的攻击形式之一。DDoS攻击不但能够给各类互联网用户和服务提供商造成业务中断、系统瘫痪等严重后果，同时也严重威胁到高校校园网的基础设施。
目前，由于商业竞争、政治情绪、经济勒索等因素的驱动，DDoS攻击越来越呈现出组织化、规模化、专业化的特点，攻击流量动辄数G、十几G，攻击频率也大有愈演愈烈之势。在这种紧迫形势下，配合当前数字化校园的建设战略，建设专门的DDoS 攻击流量监测和清洗平台是一个必然之选。基于该平台，一方面可以为校园网的网络基础设施提供安全保障，有效提高校园网网络的健壮性；另一方面能够结合数字化校园应用系统的安全需求提供DDoS 攻击的防护业务，从而达到提高网络带宽高利用率和网络高可用性的目的。
1 校园网网络现状
在网络资源方面，现在高校校园网通过多期扩容工程，已经形成了核心、汇接、接入三个网络层次，这种清晰的网络层次，给实施流量的监控、控制提供了良好的网络基础。在设备资源方面，各高校校园网核心层以及汇接层大部分采用了Cisco、Juniper、华为等主流厂商的高端设备，支持Netflow功能，性能上可以提供保障，支持DDoS 攻击防护平台的建设实施。
可以说，目前高校校园网网络已经具备了建设DDoS 攻击防护平台所需要的网络和设备资源。除此之外，需要相关的管理部门尽量落实建设方案，包括规划、设计、实施以及业务维护等各个环节所涉及的服务队伍。
高校校园网网络分为核心层、汇接层、边缘层和业务层，核心层、汇接层、边缘层节点根据业务发展需要配置相应档次的路由器。核心节点设备及之间的互连链路、核心节点设备与汇接节点设备的互连链路以及汇接节点的设备组成的网络定义为骨干层。校园网网络的其他部分为接入层，具体包括各接入节点设备间互连链路、接入节点设备与边缘层设备的互连链路。
2 业务需求分析
2.1 用户分析
目前，各高校校园网通常通过互联网向外提供各种应用和业务，如网站门户、远程教学、电子邮件、教学科研管理等等。他们对业务的连续性要求较高，DDoS 攻击造成的业务中断会对高校造成非常大的经济或社会利益的损失。高校校园网内部也需要建立一套有效的异常流量监控和控制机制来保护其基础业务系统。愈演愈烈的DDoS 攻击，可在短时间内使网络堵塞、关键节点资源耗尽，给校园网基础业务系统系统的稳定性、安全性带来严重的威胁。
2.2 业务模型分析
DDOS 攻击防御系统主要为用户提供的业务模式为：1）长期在线检测和清洗；2）长期在线监测，触发清洗。
为校园网所能够提供的基础服务可以包括：
1）资源预留：在DDoS 攻击防护平台上为校园网应用保留攻击防护所必须的资源，包括流量采样和分析设置、流量清洗空间（空间大小根据流量清洗需求及清洗设备能力确定）、牵引/回注电路及相关网络设备及其配置等。
2）制定安全基线：通过分析校园网业务流量特征、常见攻击流量特征，构建校园网安全基线和基础攻击防护策略。
3）7*24实时监控：校园网安全专家运维团队对针对校园网的流量进行7*24实时采集和分析，对异常流量进行跟踪并记录，对可能造成校园网业务中断的恶意攻击启动预警机制。
4）安全事件通告：对造成业务影响的恶意攻击或其他异常及时以约定的响应模式告知用户并与用户进一步协商应对策略。
5）流量分析报告：按照约定时间周期为用户提供流量采样的分析报告，无论此间是否收到攻击或者启动过防护措施。
3 流量清洗设备功能要求
1）流量清洗设备必须满足能够有效防护目前常见的DDoS 攻击类型，具体为：Syn flood、ICMP flood、Ack flood、DNS query request flood、TCP 连接耗尽、HTTP Get Flood、CC、UDP FLOOD 攻击等。通过软件升级，以保证流量清洗设备能够防御新型的DDoS攻击。
2）流量清洗设备满负荷运行时，对攻击流量的清洗精度应大于99%，对合法用户流量误判率应小于0.1%。
3）系统流量清洗与DDoS 过滤的方式与原理，包括过滤，反欺骗，异常识别，协议分析，速率限制等尽可能多的方式方法。
4）当流量监控设备发现DDoS 攻击流量时，流量监控设备直接触发流量清洗设备以启动对目标攻击流量的流量清洗操作：
5）设备提供二次开发接口，当通过IDS/IPS 或其它方式发现DDoS 攻击后，网管系统可通过SSH-script 等方式向流量清洗设备发出启动指令；
6）支持旁路(Offline)工作模式。当发生DDoS攻击时，清洗设备可通过BGP路由宣告的方式将去向被保护目标的流量导入流量清洗进行处理。
4 总体建设方案
DDoS攻击防护系统的建设是在降低对现有网络的影响，保证业务系统的连续性和可用性的基础上，针对不断发展的攻击形式，有效地进行检测和清洗。防护平台涉及两个关键系统，及异常流量检测系统和DDoS 攻击清洗系统，平台架构可以参照图1。
1）异常流量检测系统
提供对DDoS 攻击行为的深入分析。检测设备被动监测网络业务，搜寻与“正常” 行为的偏差或DDoS 攻击的基本行为。攻击被识别后，检测设备发警报给清洗设备，触发清洗设备启动，以实现清洗设备对正常流量中的攻击流量进行清洗，同时也支持提供攻击报警来通知相关的维护人员，以手工启动清洗设备以及相关的快速响应措施。异常流量检测设备由综合网管系统提供，主要支持手动启动清洗。
2）DDoS 攻击清洗系统
DDoS 攻击防护解决方案的关键部件。该设备是一个高性能DDoS 攻击缓解设备，当流量被“牵引”到该设备后，能通过流量分析验证技术对正常业务流量和恶意攻击流量进行识别和分离，通过限速或过滤等手段遏制攻击流量，同时保证合法的数据包能继续传送到目标地址。
图1 平台构架示意图
5 DDOS攻击清洗方案
5.1 流量牵引技术
流量牵引主要指将去往被攻击目标的流量重路由到一个用于攻击缓解的流量清洗中心，以便在清洗中心中处理, 丢弃攻击流量。当发现了一个攻击时，流向攻击目标的流量需转移到一个清洗中心。有多种技术都可触发这种流量转移，触发可为集中或分布式，手动或自动进行。
5.2 集中触发与分布式触发
集中触发是在安全管理中心配置一个“触发器”，所有的转移动作从这个触发器触发。触发就是在路由器上增加一条静态路由添加一个特殊标记，随后重到BGP中。当攻击结束以后，可以删除这条路由，停止牵引。集中转移触发的主要优势在于，流量转移由网络中的单一点控制，管理和触发转移过程更方便，但是需要单独购置攻击触发设备。
分布式触发是当清洗中心的清洗设备需要工作时， 它们各自向网络中的一个路由器发送一个BGP更新，将到目标地址的下一跳设置为它们自身。采用分布式触发的主要优势在于，它能灵活地将清洗设备资源分配给遭受攻击的特定用户。
由于校园网需要对全网进行保护，把攻击流量在尽可能靠近攻击源的地方消灭，所以可采用集中触发。
5.3 流量清洗技术
流量“牵引”到清洗设备后，通过流量分析验证技术对正常业务流量和恶意攻击流量进行识别和分离，丢弃攻击流量，保留正常流量。
典型的流量清洗的过程由五个模块（步骤）组成：
1）过滤：包括静态和动态的DDoS 过滤器filters。
2）反欺骗：用以验证进入系统的数据包没有欺骗信息。
3）异常识别：监测所有通过了filter 和反欺骗模块的流量，并将其与随时间纪录的基准行为相比，搜寻那些非正常的流量，识别恶意包的来源。
4）协议分析：处理反常事件识别模块发现的可疑数据流，目的是为了识别特定的应用攻击，例如http-error攻击。
5）速率限制：提供了另一个执行选项，防止不正当数据流攻击目标。
5.4 流量回注技术
经过流量清洗后，正常流量被重新转发回网络，到达原来的目标地址。根据网络环境不同，目前主要有以下几种注入方式：
1） L2 injection：注入路由器和清洗设备在同一个二层子网；
2） PBR based injection：通过策略路由实现流量注入；
3） GRE Injection in an IP Core：注入通过一个GRE 隧道实现。GRE隧道发起在清洗设备, 终结在CPE 设备；
4） VRF Injection in an MPLS core：流量通过一个独立的“inject” VRF进行注入；
6 小结
DDOS攻击防御业务平台将根据校园网自有异常流量检测和分析系统、IDS或者其它网络监控系统对DDOS攻击检测结果，或者应用户申告对相应用户进行DDOS攻击防御。项目建设范围将包括针对DDOS 攻击的流量引导、清洗和回注过程等的前端功能实体以及后端业务管理平台和设备系统管理平台，针对DDOS 攻击的检测和分析综合网管工程等其它工程完成。它的建成将极大地缓解高校校园网由于DDOS攻击造成的弊端，最终更好地为教学和科研工作服务。
参考文献：
[1] 尹春霖,张强,李鸥.基于IXP1200平台的DDoS防御系统实现[J].信息工程大学学报,2005,6(4):59-62.
[2] 盖凌云,黄树来.分布式拒绝服务攻击及防御机制研究[J].通信技术,2007,(6):32-33.
[3] 吴潇,沈明玉.基于流量牵引和陷阱系统的DDoS防御技术[J].合肥工业大学学报：自然科学,2008(01):25-28.
篇10
[关键词]无线校园局域网 无线控制器 FAT AP FIT AP
[中图分类号]TN925.93[文献标识码]A[文章编号]1007-9416(2010)02-0090-02
1 引言
随着各高等院校信息化建设不断深入,各校园网络从网络结构、规模和带宽来看,校园有线网络已经基本形成。校园网已经成为校园生活工作的重要组成部分,是教职员工和学生获取资源和信息主要途径。无线网络技术具有无缝三维覆盖、可移动通信等优点,弥补了有线网络的不足。据统计,到2009年,国内外有1000余所学校已经建成了无线校园网络[1]。
前期已经建成的无线校园局域网由于先期资金投入不多,大多采用基于智能型的接入点--FAT AP传统分布式结构,该结构比较适合开放式或对用户行为控制不是很敏感的WLAN 网络环境。但是随无线校园局域网用户数量和各种无线网络应用增多,无线网络规模逐渐扩大,传统的无线校园局域网面临诸多问题:面对众多的无线接入点AP时缺乏集中的配置管理手段,缺乏智能的RF管理,难以进行RF设置和无法统一部署全局的安全和接入策略等。
为此本文提出了的基于以无线控制器(AC)的集中式管理架构的无线校园局域网。这种架构通过集中式管理来简化AP,仅需要在校园网络中心加入一台无线控制器,将原有的FAT AP转化为FIT AP就能解决传统的无线校园网络面临的诸多问题。
2 传统的无线校园网设计
2.1 网络现状
本文所讨论的无线校园局域网是以笔者所在学院为对象。目前学院在校学生9000余人,教职工160余人。学院一期网络是以千兆以太网多层交换技术和国内主流产品为主导的校园网系统,有线网络覆盖实训楼、学生宿舍和办公楼,基本上达到了100M到楼层,10M到桌面的有线网络体系。随学院图书馆建成和某些课程教学过程要求联网的需要,在项目资金有限的情况下,学院两年前对一期网络进行了升级改造,改造后的校园网络新增了图书馆和教学楼部分教室内的无线局域网部署。
新建的无线局域网采用Fat AP的分布式组网架构,在一期的有线局域网基础上,配以Fat AP、无线适配器、RADIUS服务器等设备组成。分布在各处的AP通过网络双绞线与教学楼或图书馆有线局域网的楼层交换机相联。AP独立地为接入的无线用户提供射频信号收发、通信、用户身份认证、数据加密、安全策略实施等工作,AP之间各自独立,互不相干。在无线网络覆盖区的配备无线网卡的PC、笔记本电脑和智能手机等移动终端设备,通过临近AP制定的安全策略连接到无线网络,访问网络资源。
目前校园网的拓朴图如图2-1所示。
2.2 存在的问题
选择Fat AP的分布式组网架构建设校园无线网络,是由于该方案技术成熟、且初期资金投入不多。现在经过2年左右时间的运行,随无线用户和各种无线应用增多、无线网络规模逐渐扩大,校园无线网络在实际运行和维护过程中面临的问题逐渐显现:
2.2.1 面对逐渐增多的无线接入点时,缺乏集中的配置管理手段
初期在图书馆部署了8个室内AP,教学楼部署了4个。网络中心管理员在进行网络维护过程中,逐个登录AP了解AP设备的运行状况,修改AP的服务与安全策略,维护各AP的IP地址和设备的映射关系。但是随新增图书馆会议室无线覆盖区域、需要无线网络覆盖教室数量增加,需要逐渐增加AP,AP数量上的增加使得管理员的维护和升级的工作相当繁琐和不便,急需集中的配置管理手段提高工作效率。
2.2.2 缺乏智能的RF管理,难以进行 RF设置
在无线网络实际运行过程,如果出现工作在同一个信道的两个AP同时传输数据的情况,导致数据传输的冲突,影响无线网络的性能。而且由于缺乏当智能的RF管理,单点AP发生故障的时候,其它附近AP不能自动的提高周围?AP?的发射功率,减少或消除无线覆盖盲区,增加了无线网络不稳定性。
2.2.3 各AP”冷热”不均,无法实现负载均衡
有的时候多个用户连到同一台AP上,而某些AP空闲,使得用户集中的AP成为了无线网络性能瓶颈。无法根据无线用户数量或者无线流量将负荷较重AP上的部分用户转移到其他AP上去,使得各个?AP?上的负载均衡。
通过经过2年左右的实际运行情况,基于传统的Fat AP架构组建的无线局域网,其网络性能和管理模式已经很难适应校园无线网络规模逐渐扩大的实际现状。
为解决以上问题,本文提出了基于无线控制器和FIT AP的无线校园局域网解决方案。
3 基于无线控制器的无线校园局域网设计方案
3.1 组网架构简述
本文提出的无线控制器+Fit AP的无线网络解决方案不会改变现有的网络结构,仅需要在网络中心加入一台无线控制器,再配以Fit AP、无线适配器等设备而成。
3.1.1 无线控制器
目前,如Cisco、H3C和锐捷等各大网络设备提供商都已经推出各种型号的无线控制器[2]。它可以完成无线网络的各种配置和管理工作,将以前在FAT AP完成的功能集中到无线控制器,简化了AP配置。
AC完成的功能包括AP的配置、管理和监控,以及无线网的接入认证、转发和统计、QoS、安全控制等功能,实现了对无线网络的集中控制和管理。
3.1.2 Fit AP
Fit AP的出现时相对于Fat AP而言的,Fit AP不需配置即可使用。Fit AP启动时自动从AC下载配置信息,Fit AP只负责射频信号的发射和接收、传输数据的加密和解密,并自动从DHCP服务器获取IP地址,相对于FAT AP而言,Fit AP的出现极大的简化了AP配置。
3.2 无线校园局域网设计方案
3.2.1 需求分析
目前,随图书馆二期工程中会议室已经基本竣工,学院召开大型会议时需要用到网络。考虑到运用传统的有线接入方式需要在每个会议座位部署网络接入点,网络布线工程较大,而图书馆在校园网一期改造完成后已经有了无线网络的特点,二期工程中会议室仅仅需要加入AP就能实现网络接入的要求。
校园网一期改造完成后,教学楼有部分教室已经实现了无线网络覆盖,但是由于越来越多的课程在课程改革过程运用了新技术,需要在课堂教学过程中接入网络,直接导致了需要无线网络覆盖教室数量增加,需要逐渐增加AP。
针对以上需求和网络现状,如果还是采用在以前无线网络中直接添加Fat AP的方式进行网络扩展的话,就会使得本文在2.2中提出的由于Fat AP逐渐增加后导致的问题更加突出,所以本文提出了无线控制器+Fit AP的无线网络解决方案。
3.2.2 设计方案
本方案在原有的网络结构基础上,在学院网络中心加入一台无线控制器,它直接连接到网络中心交换机上,对于以前无线网络中存在的FAT AP通过软件升级一次性转化成FIT AP,图书馆会议室和教室新增的AP直接配以FIT AP。
新设计方案的校园网的拓朴图如图2所示。
3.3 新方案的优势
采用无线控制器+Fit AP架构的无线网网络与传统采用FAT AP架构组网相比,仅需在学院网络中心加入一台无线控制器,就可以将传统模式的FAT?AP(仅需一次FAT?AP到FIT AP软件转换升级)或新增的?FIT AP,集中控管起来,形成一个集中配置、监控和管理的无线控制域。
新方案提出的组网架构,具备了自动的射频控制/调整,灵活的认证机制、行为控制和设备管理。校园网网管员可以通过无线控制器内部的监控界面和日志报告,实施统一的认证管理和行为控制策略,清晰的了解异常流量,未识别的攻击,以及告警的原因和分析,做出相应的决策,极大的减少人工配置和管理工作量。
可以看出本方案可以解决校园无线在本文2.2中提出的各种问题,而且还能够实施统一的认证管理和行为控制策略,对于逐渐增多的无线网络中用户和无线应用需求提供安全保障。
4 结语
随着校园网络建设深入和无线网技术的不断发展,作为有线网的扩展和补充,相信将来会有更多的学校建设自己的校园无线局域网。本文提出的基于无线控制器+FAT AP的无线校园局域网建设方案由于具有集中的管理和统一的安全控制策略和多种定制功能等优势,将成为校园无线局域网建设方案首选。但是该方案建网成本高,而且无线局域网内流量必须通过无线控制器集中转发,所以该方案更加适合在中型规模的校园无线局域网中推广使用。
[参考文献]
[1] 周立山.基于校园网的无线网络扩建方案浅析[J].电脑知识与技术,2009(5):3684-3686.
[2] 陈盈,郭文平.校园WLAN方案的AP相关问题研究[J].计算机时代,2008(10):64-65.
[3] 李浩林,沈世锦,张正凤.AP技术发展与组网应用的研究[J].电信科学,2008(5):26-27.
[4] 红斌.无线局域网设计与应用[J].长治学院学报,2alS(2):34-36.
[作者简介]
孟清(1980-01),男,研究生,高级工程师,研究方向无线网络安全;
