基于学校网络安全的研究网络工程毕业论文

摘 要 随着计算机网络的不断发展和普及，计算机网络带来了无穷的资源，但随之而来的网络安全问题也显得尤为重要。安全是网络运行的前提，网络安全不仅仅是单点的安全，而是整个信息网络的安全，需要从多方进行立体的防护。文中就局域网网络安全的当前形式及面临的各种威胁，网络安全防范措施、技术，阐述了局域网网络安全当前在我们生活中的重要性。关键词：局域网，网络，安全，网络安全AbstractAlong with calculator network continuously development and universality, the calculator network brought an endless resources, but the network safe problem for following also seems to be is importance. The safety is a network movement of premise, the network safety isnt only an only a little bit single safety, but the whole safety of information network, need from in many ways carry on a stereoscopic protection. In the text the current form of area net network safety in bureau and face of various threat, the network safety guards against a measure, technique and elaborated that the area net network safety in bureau is in the importance in our life at present.Keyword：LAN，Internet，Security，Network Security目录摘要1 网络安全11.1网络安全的定义11.2局域网安全威胁及安全攻击11.3 局域网当前形式及面临的问题42 网络安全的防护措施62.1 网络体系结构62.2 网络安全模型102.3 局域网安全防范措施113 基于学校网络安全的研究153.1 校园网络安全防范体系的建立153.2 学校网络安全设计方案17结束语20谢辞21参考文献22211 网络安全随着Internet的兴起，网络安全问题越来越引起人们的关注，采取安全技术来防止对数据的破坏已成为网络应用中的当务之急。1.1 网络安全的定义网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的行为而遭受到破坏、更改、泄露，使系统连续可靠正常地运行，网络服务不中断。网络安全从其本质上来讲就是网络上的信息安全1。1.2 局域网安全威胁及安全攻击1.2.1 局域网安全威胁1、来自互联网的安全威胁局域网是与Internet互连的。由于Internet的开放性、国际性与自由性，局域网将面临更加严重的安全威胁。如果局域网与外部网络间没有采取一定的安全防护措施，很容易遭到来自Internets上黑客的各种攻击。他们可以通过嗅探程序来探测、扫描网络及操作系统存在的安全漏洞，如网络I P 地址、应用操作系统的类型、开放的T C P 端口号、系统用来保存用户名和口令等安全信息的关键文件等，并通过相应攻击程序进行攻击。他们还可以通过网络监听等手段获得内部网用户的用户名、口令等信息，进而假冒内部合法身份进行非法登录，窃取内部网络中重要信息。还能通过发送大量数据包对网络服务器进行攻击，使得服务器超负荷工作导致拒绝服务，甚至使系统瘫痪。2、来自局域网内部的安全威胁内部管理人员把内部网络结构、管理员口令以及系统的一些重要信息传播给外人带来信息泄漏；内部职工有的可能熟悉服务器、小程序、脚本和系统的弱点，利用网络开些小玩笑，甚至搞破坏。如，泄漏至关重要的信息、错误地进入数据库、删除数据等，这都将给网络造成极大的安全威胁。3、计算机病毒及恶意代码的威胁由于网络用户不及时安装防病毒软件和操作系统补丁，或未及时更新防病毒软件的病毒库而造成计算机病毒的入侵。许多网络寄生犯罪软件的攻击，正是利用了用户的这个弱点。寄生软件可以修改磁盘上现有的软件，在自己寄生的文件中注入新的代码。最近几年，随着犯罪软件（Crime Software）汹涌而至，寄生软件已退居幕后，成为犯罪软件的助手。1.2.2 安全攻击安全攻击是安全威胁的具体体现，他主要包括以下几种类型：被动攻击、主动攻击、物理临近攻击和分发攻击2。1、被动攻击被动攻击的主要目标是被动检视公共媒体上传送的信息。抵抗这类攻击的对策是使用虚拟专用网(VPN)。表1.1列举了一些特定的被动攻击。攻击描述检视明文检视网络的攻击者获取未加保护措施的用户信息或数据解密加密不善的通信数据公共域中已具备密码分析能力口令嗅探这类攻击包括使用协议分析工具捕获用于未授权使用的口令通信量分析即使不解密下层信息，外部通信模式的观察也能给对手提供关键信息。如通信模式的改变可以暗示紧急行动表1.1 特定的被动攻击举例2、主动攻击主动攻击的主要目标是企图避开或打破安全防护、引入恶意代码（如计算机病毒）以及转换数据或系统的完整性。典型对策包括增强的区域边界保护（如防火墙和边界护卫）、基于身份认证的访问控制、受保护的远程访问、质量安全管理、自动病毒检测工具、审计和入侵检测。表1.2类聚了一些特定的主动攻击。表1.2 主动攻击举例攻击描述修改传输中的数据在金融领域，如果能够修改电子交易，从而改变交易的数量或将交易转移到别的账户，其后果将是灾难性的重放（插入数据）旧消息的重新插入将耽搁及时的行动会话劫持这种攻击包括未授权使用一个已经建立的会话伪装成授权的用户或服务器这类攻击包括攻击者自己伪装成他人，因而得以未授权访问资源和信息。一个攻击者通过实施嗅探或其它手段获得用户/管理员信息，然后使用该信息作为一个授权用户登陆。这类攻击也包括用于获取敏感数据的欺骗服务器，通过与未产生怀疑的用户建立信任关系来实施该攻击获取系统应用和操作系统软件攻击者探求以系统权限运动的软件中存在的脆弱性利用主机或网络信任攻击者通过操纵文件使虚拟/远方主机提供服务，从而去利用传递的信任利用数据执行攻击者将恶意代码植入看起来无害的供下载的软件或电子邮件中，从而使用户去执行该恶意代码。恶意代码可用于破坏或修改文件，特别是包含权限参数值的文件插入或利用恶意代码攻击者能进入用户系统并执行命令。通过先前发现的脆弱性并使用该访问来达到其攻击目的利用协议或基础设施的BUGS攻击者利用协议中缺限来欺骗用户或重定向通信量。恶意代码在VPN中可以通过更低级隧道来攫取信息拒绝服务攻击者有很多其它的攻击方法，包括有效地将一个路由器从网络中脱离ICMP炸弹，在网络中扩散垃圾包以及向邮件中心扩散垃圾邮件等3、物理临近攻击在物理临近攻击中未授权者可物理上接近网络、系统或设备，目的是修改、收集或拒绝访问信息。这种接近可以是秘密进入或公开接近，也可以是两种都有。表1.3列举了这种攻击独有的典型攻击实例。表1.3 临近攻击举例攻击描述修改数据或收集信息临近的攻击者由于获得了对系统的物理访问从而修改或窃取信息，如IP地址、登录的用户名和口令系统干预这种攻击来自临近的攻击者访问并干预系统（如窃听、降级等）物理破坏该攻击者来自获得对系统的物理访问的临近者，导致对本地系统的物理破坏4、分发攻击“分发攻击”一词是指在软件和硬件开发出来之后和安装之前这段时间，或当它从一个地方传送到另一个地方，攻击者恶意修改软硬件。在工厂，可以通过加强处理配置控制将这类威胁降到最低。通过使用受控分发，或者由最终用户检验的签名软件和访问控制可以消除分发威胁。表1.4给了这类分发特有的典型攻击实例表1.4 分发攻击举例攻击描述在制造商的设备上修改软/硬件当软件和硬件在生产线上流通时，可以通过修改软硬件配置来实施这类攻击。这一阶段威胁的对策包括严格的完整性控制和在测试软件产品中的加密签名，前者又包括高可靠配置控制在产品分发时修改软/硬件这些攻击可以通过在产品分发期内（如在装船时安装窃听设备）修改软件和硬件配置来实施。这一阶段威胁的对策包括在包装阶段使用篡改检测技术，使用授权和批准传递和使用忙买技术1.3 局域网当前形式及面临的问题随着局域网络技术的发展和社会信息化进程的加快,现在人们的生活、工作、学习、娱乐和交往都已离不开计算机网络。现今，全球网民数量已超过15亿，网络已经成为生活中离不开的工具，经济、文化、军事和社会活动都强烈地依赖于网络。网络环境的复杂性、多变性以及信息系统的脆弱性、开放性和易受攻击性，决定了网络安全威胁的客观存在。尽管计算机网络为人们提供了巨大的方便，但是受技术和社会因素的各种影响，计算机网络一直存在着多种安全缺陷。攻击者经常利用这些缺陷，实施攻击和入侵，给计算机网络造成极大的损害，网络攻击、病毒传播、垃圾邮件等迅速增长，利用网络进行盗窃、诈骗、敲诈勒索、窃密等案件逐年上升，严重影响了网络的正常秩序，严重损害了网民的利益；网上色情、暴力等不良和有害信息的传播，严重危害了青少年的身心健康。网络系统的安全性和可靠性正在成为世界各国共同关注的焦点。根据中国互联网信息中心2010年初发布的统计报告显示：我国互联网网站已超过三百万家，上网用户2亿多，网民数和宽带上网人数均居全球第二。同时，网络安全风险也无处不在，各种网络安全漏洞大量存在和不断被发现，计算机系统遭受病毒感染和破坏的情况相当严重，计算机病毒呈现出异常活跃的态势。面对网络安全的严峻形势，我国的网络安全保障工作尚处于起步阶段，基础薄弱，水平不高，网络安全系统在预测、反应、防范和恢复能力方面存在许多薄弱环节，安全防护能力不仅大大低于美国、俄罗斯和以色列等信息安全强国，而且排在印度、韩国之后。在监督管理方面缺乏依据和标准，监管措施不到位，监管体系尚待完善，网络信息安全保障制度不健全、责任不落实、管理不到位。网络信息安全法律法规不够完善，关键技术和产品受制于人，网络信息安全服务机构专业化程度不高，行为不规范，网络安全技术与管理人才缺乏。面对网络安全的严峻形势，如何建设高质量、高稳定性、高可靠性的安全网络成为通信行业乃至整个社会发展所要面临和解决的重大课题。2 网络安全的防护措施2.1 网络体系结构2.1.1 网络层次结构计算机网络就是将多台计算机互连起来，使得用户程序能够交换信息和共享资源。不同系统中的实体进行通信，其过程是相当复杂的，为了简化网络的设计，人们采用工程设计中常用的结构化设计方法，即将复杂的通信问题分解成若干个容易处理的子问题，然后逐个加以解决。网络设计中采用的结构化设计方法，就是将网络按照功能分成一系列的层次，每一层次完成一个特定的功能，相邻层中的较高层直接使用较低层提供的服务来实现本层的功能，同时又向它的上层提供服务，服务的提供和使用都是通过相邻层的接口来进行的。这也就是人们通常所说的网络层次结构，层次结构是现代计算机网络的基础。参见图2.1。这种结构不仅使得网络的设计与具体的应用、基础的媒体技术以及互联技术等无关，具有很大的灵活性，而且每一层的功能简单、易于实现和维护。图2.1 网络的层次结构2.1.2 服务、接口和协议每一层中的活动元素称为实体，实体可以是软件实体（如进程），也可以是硬件实体（如智能I/O芯片）位于不同系统上同一层中的实体称为对等实体，不同系统间进行通信实际上是各对等实体间在通信。在某层上进行通信所使用的规则的集合称为该层的协议，各层协议按层次顺序排列而成的协议序列称为协议栈。事实上，除了在最底层的物理媒体上进行的是实通信之外，其余各对等实体间进行的都是虚通信，即并没有数据流从一个系统的第N层直接流到另一个系统的第N层。每个实体只能和同一个系统中上下相邻的实体进行直接的通信，不同系统中的对等实体是没有直接通信能力的，它们间的通信必须通过其下各层的通信间接完成。第N层实体向第（N+1）层实体提供的在第N层上的通信能力称为第N层的服务。由此可见，第（N+1）层实体通过请求第N层的服务完成第（N+1）层上的通信，而第N层实体通过请求第（N-1）层的服务完成第N层上的通信，以此类推直到最底层，最底层上的对等实体通过连接它们的物理媒体直接通信。在第N层协议中所传送的每一信息被称作第N层协议数据单元PDU(Protocol Data Unit)。相邻实体间的通信是通过它们的边界进行的，该边界称为相邻层间的接口。在接口处规定了下层向上层提供的服务，以及上下层实体请求（提供）服务所使用的形式规范语句，这些形式规范语句称为服务原语。因此可以说，相邻实体通过发送或接收服务原语进行交互作用。而下层向上层提供的服务分为两大类：面向连接的服务和无连接的服务。面向连接的服务是电话系统服务模式的抽象，每一次完整的数据传输都必须经过建立连接、使用连接和终止连接三个过程。在数据传输过程中，各数据分组不携带信宿地址，而使用连接号。本质上，服务类型中的连接是一个管道，发送者在一端放入数据，接收者从另一端取出数据，其特点是：收发数据不但顺序一致而且内容相同。无连接服务是邮政系统服务模式的抽象，其中每个数据分组都携带完整的信宿地址，各数据分组在系统中独立传送。无连接服务不能保证数据分组的先后顺序，由于先后发送的数据分组可能经不同去往信宿，所以先发的未必先到。在对一个网络进行层次结构的划分时，应做到：层次功能明确，相互独立；层间接口清晰，穿越接口的信息量尽量少；层次适中。虽然模型系统在结构上是分层的，但这并不要求现实系统在工程实现时也采用同样的层次结构。它们可以由实现者按其选择的任何方式来构造，只要这种实现的最终性能与模型系统所定义的性能相吻合即可。通常人们将网络的层次结构、协议栈和相邻层间的接口以及服务统称为网络体系结构。2.1.3 网络参考模型目前最有代表性的网络参考模型是OSI参考模型和TCP/IP参考模型，但TCP/IP参考模型更流行。以下简要介绍这两种参考模型。1、OSI参考模型OSI(Open System Interconnection，开放系统互联) OSI参考模型分为七层，由低到高依次为物理层、数据链路层、网络层、传输层、会话层、表示层和应用层，参见图2.2。OSI参考模型只是规定了网络的层次划分，以及每一层上所实现的功能，但它没有规定每一层上所实现的服务和协议，因此它本身并不是一个网络体系结构。各层的主要功能如下： 图2.2 OSI参考模型1) 应用层是OSI参考模型的最高层，它的作用是为应用进程提供访问OSI环境的方法；2) 表示层为上层用户提供数据或信息语法的表示转换；3) 会话层是进程-进程层，进程间的通信也称为会话，会话层组织和管理不同主机上各进程间的对话；4) 传输层是第一个端-端层，也称为主机-主机层，它为上层用户提供不依赖具体网络的高效、经济、透明的端-端数据传输服务（所谓端-端是描述网络传输中对等实体之间关系的一个概念。在端-端系统中，初始信源机上某实体与最终信宿机的对等实体直接通信，彼此之间就像有一条直接线路，而不管传输过程中要经过多少接口报文处理机（IMP）。与端-端对应的另一个概念是点-点。在点-点系统中，对等实体间的通信由一段一段的直接相连的机器间的通信组成）；5) 网络层的作用是将数据分成一定长度的分组，将分组穿过通信子网从信源送到信宿；6) 数据链路层的作用就是通过一定的手段，将有差错的物理链路转化成对网络层来说是没有传输错误的数据链路；7) 物理层的作用是在物理媒介上传输原始的数据比特流，这一层的设计同具体的物理媒介有关，如用什么信号表示“1”，用什么信号表示“0”，信号电平多少，收发双方如何同步。由以上几点可知，只有最低三层涉及通过通信子网的数据传输，高三层是端到端的层次，因而通信子网只包括第三层的功能。从实际的观点出发，OSI分层可以按照以下几点来考虑：1) 依赖于应用的协议；2) 与特定媒体相关的协议；3) 在1与2之间的桥接功能。2、TCP/IP参考模型TCP/IP参考模型没有明确区分开服务、接口和协议这三个概念，并且它是专门用来描述TCP/IP协议栈的，无法用来描述其它非TCP/IP网络。因此，尽管TCP/IP模型在工业上得到了广泛的应用，但人们在讨论网络时常常使用OSI参考模型，因为它更具有一般性。TCP/IP草靠模型分为四层，它们是应用层、传输层、网络互联层和网络接口层，参见图2.3。各层功能如下：图2.3 TCP/IP参考模型1) 应用层将OSI的高层-应用层、表示层和会话层的功能结合了起来，常见的协议有文件传输协(FTP)、远程终端协议(TELNET)、简单电子邮件传输协议(SMTP)、域名系统(DNS)、简单网络管理协议(SNMP)、访问WWW站点的HTTP等；2) 传输层在功能上等价于OSI的传输层。在这一层上主要定义了两个传输协议，一个是可靠的面向连接的协议，称为传输控制协议(TCP)，另一个是不可靠的无连接协议，称为用户数据报协议(UDP)；3) 网络互联层在功能上等价与OSI网络层中与子网无关的部分。网络互联层是TCP/IP参考模型的核心，这一层上的协议称为IP。TCP和IP是非常重要的两个协议，以至于TCP/IP参考模型和TCP/IP协议族就以这两个的名称来命名；4) 网络接口层在功能上等价于OSI的子网络技术功能层。它包括OSI模型中的网络层中与子网有关的下部子层、数据链路层和物理层。负责将IP分组封装成适合在物理网络上传输的帧格式并传输，或将从物理网络接收到的帧解封，取出IP分组交给网络互联层。2.2 网络安全模型消息将通过某种类型的互联网从一方传输到另一方。这两方都是事务的主体，必须合作以便进行消息交换。可以通过在互联网上定义一条从信息源到信息目的地之间的路由以及两个信息主体之间使用的某种通信协议(例如，TCP/IP)，来建立一条逻辑信息通道。如图2.4所示：图2.4 网络安全模型当需要或者希望防范可能对信息机密性、真实性等产生威胁的攻击者的时候，安全方面的因素便会起作用。所有用于提供安全性的技术都包含以下两个主要部分：第一 对待发送信息进行与安全相关的转换。其示例包括：消息加密，使得对于攻击者而言该消息不可读；建立在消息内容上面的附加码，它可以用来验证发送者的身份。第二 两个主体共享一些不希望被攻击者所知的秘密信息。其示例包括与消息变化一起使用的加密密钥，它在传输之前用于打乱消息而在接收之后用于恢复消息。为了达到安全传输可能需要可信的第三方。例如，第三方可能需要负责分发秘密信息给两个主体，同时对攻击者隐藏这些信息。通用模型表明设计特定的安全服务时有四个基本的任务：1) 设计用来执行与安全相关的转换的算法，这种算法应该是不会被攻击者击破的。2) 生成用于该算法的秘密信息。3) 开发分发和共享秘密信息的方法。4) 指定一种能被两个主体使用的协议，这种协议使用安全算法和秘密信息以便获得特定的安全服务。另一种有害访问是利用计算机系统逻辑上的弱点，这不仅能够影响应用程序，而且还能够影响实用程序，例如编辑器和编译器。程序存在两种形式的威胁：1) 信息访问威胁：本不该访问某些数据用户截取或修改数据。2) 服务威胁：利用计算机的服务缺陷阻止合法用户的使用。病毒和蠕虫是软件攻击的两个具体示例。由于磁盘的有用软件可能隐藏着有害逻辑，因此可以通过这些磁盘小系统引入这种攻击。他们同样可以通过网络进入到系统中；后一种机制在网络安全中更受关注。解决有害访问的安全机制主要有两大范畴。第一类范畴是看门人功能，如图2.5所示。它包含基于口令的登录过程，它们设计成拒绝除授权用户外的所有访问，另一类安全机制是屏蔽逻辑，它们设计用来检测和拒绝蠕虫、病毒以及其他类似的攻击。一旦任意一个有害的用户或者有害的软件获得访问权，第二道防线包含各种检测活动的内部控制，能够检视和分析存储的信息，以此来检测有害入侵者的存在。图2.5 网络访问安全模型2.3 局域网安全防范措施2.3.1 防火墙系统1、防火墙概述防火墙是一种用来增强内部网络安全性的系统，它将网络隔离为内部网和外部网，从某种程度上来说，防火墙是位于内部网和外部网之间的桥梁和检查站，它一般由一台和多台计算机构成，它对内部网和外部网的数据流量进行分析、检测、管理和控制，通过对数据的筛选和过滤，来防止未授权的访问进出内部计算机网，从而达到保护内部网资源和信息的目的。防火墙是指设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的唯一出入口，能根据企业的安全政策控制(允许、拒绝、监测)出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息安全服务，实现网络和信息安全的基础设施。在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器，有效地监控了内部网和Internet之间的任何活动，保证了内部网络的安全。2、防火墙的体系结构1) 双重宿主主机体系结构双重宿主主机体系结构围绕双重宿主主机构筑。双重宿主主机至少有两个网络接口。这样的主机可以充当与这些接口相连的网络之间的路由器，它能够从一个网络到另外一个网络发送IP数据包。然而双重宿主主机的防火墙体系结构禁止这种发送。因此IP数据包并不是从一个网络（如外部网络）直接发送到另一个网络（如内部网络）。外部网络能与双重宿主主机通信，内部网络也能与双重宿主主机通信。但是外部网络与内部网络不能直接通信，它们之间的通信必须经过双重宿主主机的过滤和控制。2) 被屏蔽主机体系结构双重宿主主机体系结构防火墙没有使用路由器。而被屏蔽主机体系结构防火墙则使用一个路由器把内部网络和外部网络隔离开。在这种体系结构中，主要的安全由数据包过滤提供（例如，数据包过滤用于防止人们绕过代理服务器直接相连）。这种体系结构涉及到堡垒主机。堡垒主机是因特网上的主机能连接到的唯一的内部网络上的系统。任何外部的系统要访问内部的系统或服务都必须先连接到这台主机。因此堡垒主机要保持更高等级的主机安全。数据包过滤容许堡垒主机开放可允许的连接（什么是可允许连接将由你的站点的特殊的安全策略决定）到外部世界。3) 被屏蔽子网体系结构被屏蔽子网体系结构添加额外的安全层到被屏蔽主机体系结构，即通过添加周边网络更进一步的把内部网络和外部网络隔离开。被屏蔽子网体系结构的最简单的形式为，两个屏蔽路由器，每一个都连接到周边网。一个位于周边网与内部网络之间，另一个位于周边网与外部网络之间。这样就在内部网络与外部网络之间形成了一个“隔离带”。为了侵入用这种体系结构构筑的内部网络，侵袭者必须通过两个路由器。即使侵袭者侵入堡垒主机，他将仍然必须通过内部路由器。3、防火墙的功能1) 数据包过滤技术数据包过虑技术是在网络中的适当位置对数据包实施有选择的通过的技术选择好依据系统内设置的过滤规则后，只有满足过滤规则的数据包才被转发至相应的网络接口，而其余数据包则从数据流中被丢弃。数据包过滤技术是防火墙中最常用的技术。对于一个危险的网络，用这种方法可以阻塞某些主机和网络连入内部网络，也可限制内部人员对一些站点的访问。包过滤型防火墙工作在OSI参考模型的网络层和传输层，它根据数据包头源地址，目的地址，端口号和协议类型等标志确定是否允许通过，只有满足过滤条件的数据包才被转发到相应目的地，其余数据包则被数据流中阻挡丢弃。2) 网络地址转换技术网络地址转换是一种用于把IP地址转换成临时的外部的、注册的IP的地址标准，用户必须要为网络中每一台机器取得注册的IP地址。在内部网络通过安全网卡访问外部网络时，系统将外出的源地址和源端口映射为一个伪装的地址和端口与外部连接，这样对外就隐藏了真实的内部网络地址。在外部网络通过非安全网卡访问内部网络时，它并不知道内部网络的连接情况，而只是通过一个开放的IP地址和端口来请求访问。防火墙根据预先定义好的映射规则来判断这个访问是否安全和接受与否。网络地址转换过程对于用户来说是透明的，不需要用户进行设置，用户只要进行常规操作即可。3) 代理技术代理技术是在应用层实现防火墙功能，代理服务器执行内部网络向外部网络申请时的中转连接作用。代理侦听网络内部客户的服务请求，当一个连接到来时，首先进行身份验证，并根据安全策略决定是否中转连接。当决定转发时，代理服务器上的客户进程向真正的服务器发出请求，服务器返回代理服务器转发客户机的数据。另一种情况是，外部网通过代理访问内部网，当外部网络节点提出服务请求时，代理服务器首先对该用户身份进行验证。若为合法用户，则把该请求转发给真正的某个内部网络的主机。而在整个服务过程中，应用代理一直监控着用户的操作，一旦用户进行非法操作，就可以进行干涉，并对每一个操作进行记录。若为不合法用语，则拒绝访问。2.3.2 入侵检测系统1、入侵检测系统概述入侵检测是指通过对行为、安全日志或审计数据或其它网络上可以获得的信息进行操作，检测到对系统的闯入或闯入的企图。入侵检测技术是为保证计算机系统的安全而设计与配置的一种能够及时发现并报告系统中未授权或异常现象的技术，是一种用于检测计算机网络中违反安全策略行为的技术。进行入侵检测的软件与硬件的组合便是入侵检测系统2、入侵检测原理入侵检测跟其他检测技术有同样的原理。从一组数据中，检测出符合某一特点的数据。攻击者进行攻击的时候会留下痕迹，这些痕迹和系统正常运行的时候产生的数据混在一起。入侵检测系统的任务是从这些混合的数据中找出是否有入侵的痕迹，并给出相关的提示和警告。入侵检测的第一步是信息收集，收集内容包括系统、网络、数据及用户活动的状态和行为。由放置在不同网段的传感器或不同主机的代理来收集信息，包括系统和网络日志文件、网络流量、非正常的目录和文件改变、非正常的程序执行。第二步是信息分析，收集到的有关系统、网络、数据及用户活动的状态和行为等信息，被送到检测引擎，检测引擎驻留在传感器中，一般通过三种技术手段进行分析：模式匹配、统计分析和完整性分析。当检测到某种误用模式时，产生一个告警并发送给控制台。第三步是结果处理，控制台按照告警产生预先定义的响应采取相应措施，可以是重新配置路由器或防火墙、终止进程、切断连接、改变文件属性，也可以只是简单的告警。3 基于学校网络安全的研究3.1 校园网络安全防范体系的建立3.1.1 校园网络安全策略概述具体的安全由以下几个方面组成：物理安全、网络安全、信息安全7。1、物理安全物理安全策略主要指网络基础设施、网络设备的安全以及不同网络之间的隔离进行控制的策略。物理安全直接关系到网络的安全，如果非法用户有接触网络设备的可能，那么他直接对设备进行破坏要比通过网络远程进行破坏容易得多。2、网络安全网络安全是指系统（主机、服务器）安全、反病毒、系统安全检测、审计分析网络运行安全、备份与恢复、局域网与子网安全、访问控制（防火墙）、网络安全检测、入侵检测。3、信息安全主要涉及到信息传输的安全、信息存储的安全以及对网络传输信息内容的审计三方面，具体包括数据加密、数据完整性鉴别、防抵赖、信息存储安全、数据库安全、终端安全、信息的防泄密、信息内容审计、用户授权。3.1.2 对于校园网的解决方案计算机网络系统是一个分层次的拓扑结构，因此网络的安全防护也需要采用分层次的拓扑防护措施，即一个完整的网络安全解决方案应该覆盖网络的各个层次，并且与安全管理相结合。网络安全防护分层如下表3.1所示：表3.1 网络安全分层结构物理层安全主要指网络设备通讯线路的安全网络层安全防火墙、VLAN、路由安全系统层安全操作系统的安全应用层安全防病毒、应用系统的安全1、物理层安全保证计算机信息系统各种设备的物理安全是整个计算机信息系统安全的前提。物理安全是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。它主要包括三个方面：环境安全、设备安全、媒体安全。2、网络层安全主要包括：限制非法用户通过网络远程访问和破坏系统数据，窃取传输线路中的数据；确保对网络设备的安全配置。对网络来说，首先要确保网络设备的安全配置，保证非授权用户不能访问任意一台计算机、路由器和防火墙。1) 合理划分VLANVLAN（Virtual Local Area Network）即虚拟局域网，是一种通过将局域网内的设备逻辑地而不是物理地划分成一个个网段而实现虚拟工作组的技术。VLAN技术允许网络管理者将一个物理的LAN逻辑地划分成不同的广播域，每一个VLAN都包含一组有着相同需要的计算机工作站，与物理上形成的LAN有着相同的属性。但由于它是逻辑地而不是物理地划分，一个VLAN内部的广播和单薄流量都不会转发到其他VLAN中，从而有助于控制流量、减少设备投资、简化网络管理、提高网络的安全性。VLAN在交换机上的实现方法，可以大致划分为4类：第一是基于端口划分的VLAN；第二是基于MAC地址划分VLAN；第三是基于网络层划分VLAN；第四是基于IP组播划分VLAN。以太网从本质上基于广播机制，但应用了交换器和VLAN技术后，实际上转变为点到点通讯，以上运行机制带来的网络安全是好处是显而易见的：a) 信息只有到达应该到达的地点。因此，防止了大部分基于网络监听的入侵手段。b) 通过虚拟网设置的访问控制，使在虚拟网外的网络节点不能直接访问虚拟网内节点。2) 防火墙与IDS安装防火墙进行安全保护，它是一种在校园内部网和Internet之间实施的信息安全防范系统技术，通过检测、限制、更改跨越防火墙的数据流，可以有效地对外屏蔽校园内部网络的信息，从而对系统结构及其良性运行等实现安全防护。IDS所采用的不是被动防御的策略，而是主动监视、检测和识别在进行的或已经成功的入侵行为，并及时报告给网络管理者。由于IDS系统除了报告外，本身不能对入侵采取任何的防御措施。3) 路由器访问控制列表路由器是内部网和Internet的连接，是信息出入的必经之路，对网络的安全具有举足轻重的作用，路由器本身就可以对数据包进行过滤和有效地防止外部用户对校园网的安全访问，可以限制网络流量，也可以限制校园网内的某些用户或设备使用网络资源。不同VLAN之间的访问只能通过路由器或路由模块来完成，因此路由设备可以作为控制VLAN之间访问的初级屏障，因此，我们可以利用路由器来提高网络的安全性。3、系统层安全操作系统是计算机系统的核心和基础工具，因此操作系统的漏洞往往成为危害计算机和网络安全的手段和环节。保护计算机操作系统的安全，对于网络的安全尤为重要。4、应用层安全1) 网络防病毒技术网络病毒成为威胁网络安全的重要因素，如何防护网络病毒也就成为校园网安全必须考虑的重要问题。为保护服务器和网络中的工作站免受计算机病毒的侵害，同时也是为了建立一个集中有效的防病毒控制机制，需要应用于网络的防病毒技术。基于网络防病毒技术可以在网络的各个环节上实现对计算机病毒的防范，其中包括基于网关的防病毒系统、基于服务器的防病毒系统和基于桌面的防病毒系统。安装了基于网络的防病毒软件后，不但可以做到主机可以防范病毒的感染，同时通过这些主机传递的文件也可以避免被病毒侵害，并且可以建立一个集中有效的防病毒控制机制，从而保护计算机信息网络的安全。2) 应用系统防护策略对于应用系统，由于其数据包含用户信息、各种应用数据，是非常关键和重要的，因此要应用系统具有很强大的安全防护能力就必须做到以下三点：一是建立统一的用户和目录管理机制；二是建立认证授权机制；三是建立备份和恢复机制。3.2 学校网络安全设计方案3.2.1 网络安全设计原则1、可用性和可靠性保证汇聚以上的网络中单点故障不会使局域网失去与整个网络的连接，多点故障不会造成整个网络被分成几个互不相连的部分。2、网络安全性对用户进行合理的区域划分，实现对网络用户的访问控制，能有效的抵御病毒的入侵和恶意攻击，确保网络的安全。3、可扩展性网络系统在体系结构、容量、产品升级、处理能力等方面必须为今后的扩充留有足够的余地，保证满足今后的发展，以及其它的需求。3.2.2 网络安全建设方案1、 物理安全物理安全包括通信线路安全，物理设备的安全，机房环境的安全。1) 通信线路的安全学校保卫人员要负责对校园进行24小时不间断的巡逻，防止通信线路被破坏。2) 机房环境安全供配电系统安全设计：要求能保证对机房内的主机、服务器、网络设备、通讯设备等的电源供应在任何情况下都不会间断。防雷接地系统安全设计：保证机房的各种设备安全，要求机房设有至少四种接地的形式。消防报警和自动灭火系统安全设计。2、 网络安全VLAN的划分是整个校园网的主体框架，此校园网主要是发挥三个方面的功能：教学功能、管理功能、信息功能。因此校园网采用三层网络架构设计，分为核心层、汇聚层、接入层。如图3.1所示。核心层设计为2个节点，用2台核心交换机实现双机备份汇聚层设计为5个节点，用5台交换机与核心层交换机冗余连接互为备份。其中后勤部另加一个网关。根据各部门对校园网的要求，采用基于端口的VLAN划分方法，对网络进行合理划分，确保校园网络的安全。3、应用安全1)病毒防范随着计算机网络应用的不断发展，网络已经逐步成为人类生活中不可缺少的一部分。但随之而来的病毒也给我们带来了不少的麻烦。因此必须采取措施，对防病毒软件进行实时监控，保证防病毒软件的正常运行，在检测到防病毒运行不正常时，通知用户及时采取措施，避免遭受计算机病毒进一步的破坏。2) 数据备份网络中心服务器应随时为各数据库服务器提供存储空间，支持各数据库的备份功能。图3.1 网络拓扑图结 束 语本文结合校园网的具体情况，分析现实网络安全需求，确定校园网的安全策略，针对校园网的安全问题提出了一些解决方案，采用了先进的安全产品，建立了全面主动的网络安全防御体系。运用了静态式防范(如：防火墙)和主动式安全检测（如：入侵检测等）相结合的技术。随着网络技术的不断发展，校园网也将会出现新的安全问题，校园网整体安全防范体系是一个动态的、不断发展变化的综合运行机制，这样就对网络管理者提出了更高的要求，其必须随时掌握最新技术，不断更新完善网络安全体系，使校园网运行更加安全、可靠、稳定。参 考 文 献1袁津生，吴砚农，计算机网络安全基础M，北京：人民邮电出版社，2002年。2张成昆，网络安全原理与技术，北京：人民邮电出版社，2003年。3李晶名，网络安全，北京：电子工业出版社，2005年。4黄开枝，孙岩，网络防御与安全对策M，北京：清华大学出版社，2004年。5胡道元，网络安全M，北京：清华大学出版社，2004年。6祝海宁，网络安全基础，北京：机械工业出版社，2002年。7张成现，论校园网安全管理问题J，西北纺织工业学院学报，2001年。