【摘要】高等教育和科研機構(gòu)是互聯(lián)網(wǎng)誕生的搖籃，也是最早的應(yīng)用環(huán)境。各國的高等教育都是最早建設(shè)和應(yīng)用互聯(lián)網(wǎng)技術(shù)的行業(yè)之一，中國的高校校園網(wǎng)一般都最先應(yīng)用最先進(jìn)的網(wǎng)絡(luò)技術(shù)，用戶群密集而且活躍。然而校園網(wǎng)由于自身的特點也是安全問題比較突出的地方，安全管理也更為復(fù)雜、困難。

【關(guān)鍵詞】高校校園網(wǎng) 安全管理 風(fēng)險與對策

高校校園網(wǎng)與政府或企業(yè)網(wǎng)相比，高校校園網(wǎng)的以下特點導(dǎo)致安全管理非常復(fù)雜：

1.校園網(wǎng)的速度快和規(guī)模大

高校校園網(wǎng)是最早的寬帶網(wǎng)絡(luò)，普遍使用的以太網(wǎng)技術(shù)決定了校園網(wǎng)最初的帶寬不低于10Mbps，目前普遍使用了百兆、千兆甚至萬兆實現(xiàn)園區(qū)主干互聯(lián)。校園網(wǎng)的用戶群體一般也比較大，少則數(shù)千人、多則數(shù)萬人。中國的高校學(xué)生一般集中住宿，因而用戶群比較密集。正是由于高帶寬和大用戶量的特點，網(wǎng)絡(luò)安全問題一般蔓延快、對網(wǎng)絡(luò)的影響比較嚴(yán)重。

2.校園網(wǎng)中的計算機系統(tǒng)管理比較復(fù)雜

校園網(wǎng)中的計算機系統(tǒng)的購置和管理情況非常復(fù)雜，比如學(xué)生宿舍中的電腦一般是學(xué)生自己花錢購買、自己維護(hù)的，有的院系是統(tǒng)一采購、有技術(shù)人員負(fù)責(zé)維護(hù)的，有些院系則是教師自主購買、沒有專人維護(hù)的。這種情況下要求所有的終端系統(tǒng)實施統(tǒng)一的安全政策(比如安裝防病毒軟件、設(shè)置可靠的口令)是非常困難的。由于沒有統(tǒng)一的資產(chǎn)管理和設(shè)備管理，出現(xiàn)安全問題后通常無法分清責(zé)任。比較典型的現(xiàn)象是，用戶的計算機接入校園網(wǎng)后感染病毒，反過來這臺感染病毒的計算機又影響了校園網(wǎng)的運行，于是出現(xiàn)端系統(tǒng)用戶和網(wǎng)絡(luò)管理員相互指責(zé)的現(xiàn)象。更有些計算機甚至服務(wù)器系統(tǒng)建設(shè)完畢之后無人管理，甚至被攻擊者攻破作為攻擊的跳板、變成攻擊試驗床也無人覺察。

3.活躍的用戶群體

高等學(xué)校的學(xué)生通常是最活躍的網(wǎng)絡(luò)用戶，對網(wǎng)絡(luò)新技術(shù)充滿好奇，勇于嘗試。如果沒有意識到后果的嚴(yán)重性，有些學(xué)生會嘗試使用網(wǎng)上學(xué)到的、甚至自己研究的各種攻擊技術(shù)，可能對網(wǎng)絡(luò)造成一定的影響和破壞。

4.開放的網(wǎng)絡(luò)環(huán)境

由于教學(xué)和科研的特點決定了校園網(wǎng)絡(luò)環(huán)境應(yīng)該是開放的、管理也是較為寬松的。比如，企業(yè)網(wǎng)可以限制允許Web瀏覽和電子郵件的流量，甚至限制外部發(fā)起的連接不允許進(jìn)入防火墻，但是在校園網(wǎng)環(huán)境下通常是行不通的，至少在校園網(wǎng)的主干不能實施過多的限制，否則一些新的應(yīng)用、新的技術(shù)很難在校園網(wǎng)內(nèi)部實施。

5．有限的投入

校園網(wǎng)的建設(shè)和管理通常都輕視了網(wǎng)絡(luò)安全，特別是管理和維護(hù)人員方面的投入明顯不足。在中國大多數(shù)的校園網(wǎng)中，通常只有網(wǎng)絡(luò)中心的少數(shù)工作人員，他們只能維護(hù)網(wǎng)絡(luò)的正常運行，無暇顧及、也沒有條件管理和維護(hù)數(shù)萬臺計算機的安全，院、系一級的專職的計算機系統(tǒng)管理員對計算機系統(tǒng)的安全是非常重要的。

6.盜版資源泛濫

由于缺乏版權(quán)意識，盜版軟件、影視資源在校園網(wǎng)中普遍使用，這些軟件的傳播一方面占用了大量的網(wǎng)絡(luò)帶寬，另一方面也給網(wǎng)絡(luò)安全帶來了一定的隱患。比如，Microsoft公司對盜版的XP操作系統(tǒng)的更新作了限制，盜版安裝的計算機系統(tǒng)今后會留下大量的安全漏洞。還有，從網(wǎng)絡(luò)上隨意下載的軟件中可能隱藏木馬、后門等惡意代碼，許多系統(tǒng)因此被攻擊者侵入和利用。

以上各種原因?qū)е滦@網(wǎng)既是大量攻擊的發(fā)源地，也是攻擊者最容易攻破的目標(biāo)。因此導(dǎo)致當(dāng)前校園網(wǎng)常見的風(fēng)險如下：

1.普遍存在的計算機系統(tǒng)的漏洞，對信息安全、系統(tǒng)的使用、網(wǎng)絡(luò)的運行構(gòu)成嚴(yán)重的威脅；

2.計算機蠕蟲、病毒泛濫，影響用戶的使用、信息安全、網(wǎng)絡(luò)運行；

3.外來的系統(tǒng)入侵、攻擊等惡意破壞行為，有些計算機已經(jīng)被攻破，用作黑客攻擊的工具；拒絕服務(wù)攻擊目前越來越普遍，不少開始針對重點高校的網(wǎng)站和服務(wù)器；

4.內(nèi)部用戶的攻擊行為，這些行為給校園網(wǎng)造成了不良的影響，損害了學(xué)校的聲譽；

5.校園網(wǎng)內(nèi)部用戶對網(wǎng)絡(luò)資源的濫用，有的校園網(wǎng)用戶利用免費的校園網(wǎng)資源提供商業(yè)的或者免費的視頻、軟件資源下載，占用了大量的網(wǎng)絡(luò)帶寬，影響了校園網(wǎng)的應(yīng)用；

6.垃圾郵件、不良信息的傳播，有的利用校園網(wǎng)內(nèi)無人管理的服務(wù)器作為中轉(zhuǎn)，嚴(yán)重影響學(xué)校的聲譽。

加強校園網(wǎng)安全管理的建議：

加強校園網(wǎng)的安全管理工作需要從管理和技術(shù)兩個方面綜合考慮。首先，加強校園網(wǎng)安全管理政策建設(shè)。安全政策(Security Policy)描述校園網(wǎng)安全的目標(biāo)和需求，是一個組織安全管理的需求說明，它是執(zhí)行各項管理制度、技術(shù)措施的依據(jù)，一般規(guī)定“做什么”而不是“怎么做”，告訴用戶哪些行為是允許的、哪些行為是不允許的，違反了這些約定將會受到怎樣的處罰。目前很多學(xué)校以安全管理規(guī)定、安全條例、安全管理辦法等形式發(fā)布。一個可行的安全政策應(yīng)該根據(jù)我國的相關(guān)法律、法規(guī)以及學(xué)校的管理制度和具體情況制定，不存在通用的、可實施的安全政策。

其次，加強安全組織建設(shè)。目前普遍認(rèn)為校園網(wǎng)安全管理工作應(yīng)該由網(wǎng)絡(luò)/信息/計算中心承擔(dān)，但是事實上，安全管理工作非常復(fù)雜，可能涉及各院系、部、處的人員和業(yè)務(wù)，因此必須由學(xué)校具有決策權(quán)的機構(gòu)和領(lǐng)導(dǎo)組織和協(xié)調(diào)各部門的管理工作，比如，成立信息安全管理委員會和專門的辦公室。另外，安全管理各項措施的實施，單純依靠網(wǎng)絡(luò)中心的力量

也是不充分的。院/系/處/宿舍安全管理分級負(fù)責(zé)的組織體系建設(shè)仍然是必要的。加強用戶安全意識和管理員安全技術(shù)的培訓(xùn)工作非常重要。對于新用戶的安全意識的培訓(xùn)，新生入學(xué)教育和新員工上崗培訓(xùn)是兩個比較好的時間，也可以開展一些職工的在職培訓(xùn)、學(xué)生的文化課、選修課等形式的安全意識培訓(xùn)和基本技能的培訓(xùn)。對于系統(tǒng)管理員，一定要重視上崗培訓(xùn)。很多學(xué)校院系服務(wù)器的管理員都是由助教研究生來擔(dān)任的，這些學(xué)生沒有經(jīng)過必要的培訓(xùn)，容易留下大量的安全問題。

IPv6技術(shù)在一定程度上改善了網(wǎng)絡(luò)安全問題，IPv6最重要的安全增強是將IPSec作為強制標(biāo)準(zhǔn)實施，保證了網(wǎng)絡(luò)層數(shù)據(jù)的保密性和完整性。然而，大規(guī)模部署IPSec所依賴的PKI在IPv6網(wǎng)絡(luò)上仍然不存在，因此IPSec的廣泛實施仍是很遙遠(yuǎn)的事情。而且，IPSec的信息加密給當(dāng)前的入侵檢測等技術(shù)帶來了新的挑戰(zhàn)，目前的網(wǎng)絡(luò)的審計機制、防火墻機制都有可能受到影響。另一方面，目前的許多安全問題出在系統(tǒng)的實現(xiàn)和維護(hù)階段，特別是系統(tǒng)軟件和應(yīng)用軟件，跟底層的網(wǎng)絡(luò)協(xié)議無關(guān)。因此，利用緩沖區(qū)溢出、弱口令等系統(tǒng)漏洞入侵系統(tǒng)的現(xiàn)象不會因為IPv6的實施而有所減少。

IPv6帶來的最直接的好處便是無盡的地址空間，允許給所有聯(lián)網(wǎng)設(shè)備分配一個真實的IP地址，無需地址轉(zhuǎn)換，這對于加強安全管理和攻擊追蹤提供了可行的機制。在網(wǎng)絡(luò)安全方面，普遍認(rèn)為這個龐大的地址空間可以大大減緩病毒或蠕蟲掃描的速度從而降低病毒或蠕蟲的影響。然而IPv6中會不會出現(xiàn)新的傳播方式目前仍然不得而知。利用IPv6的特點，研究和開發(fā)下一代互聯(lián)網(wǎng)安全技術(shù)和系統(tǒng)，給我國教育和科研領(lǐng)域的研究人員提供了一個新的機遇。

（作者單位：河北唐山市經(jīng)濟(jì)貿(mào)易學(xué)校）