文/張瑞

北京師范大學(xué)構(gòu)筑校園網(wǎng)防毒圍城

文/張瑞

根據(jù)《中國(guó)教育網(wǎng)絡(luò)》雜志在2009年5月底對(duì)全國(guó)高校的校園網(wǎng)安全狀況所做的調(diào)查顯示，近1年內(nèi)發(fā)生過(guò)的網(wǎng)絡(luò)安全事件的學(xué)校占60%以上，發(fā)生的網(wǎng)絡(luò)安全事件種類繁多，其中病毒、蠕蟲(chóng)、木馬、惡意代碼、網(wǎng)頁(yè)被篡改、DOS攻擊等仍是校園網(wǎng)安全威脅的重點(diǎn)。而國(guó)家計(jì)算機(jī)病毒應(yīng)急處理中心在《2009年中國(guó)計(jì)算機(jī)病毒疫情調(diào)查技術(shù)分析報(bào)告》（簡(jiǎn)稱《報(bào)告》）中也指出：網(wǎng)上制作、販賣病毒、木馬的活動(dòng)日益猖獗，利用病毒、木馬技術(shù)的網(wǎng)上侵財(cái)活動(dòng)呈快速上升趨勢(shì)，這些情況表明我國(guó)網(wǎng)上治安形勢(shì)嚴(yán)峻?？梢?jiàn)，對(duì)于網(wǎng)民活躍度高的大學(xué)校園來(lái)說(shuō)，校園網(wǎng)的部署錯(cuò)綜復(fù)雜、終端設(shè)備星羅棋布、應(yīng)用類型增多、在校用戶眾多等特點(diǎn)，讓校園網(wǎng)的安全問(wèn)題一直都是高懸于頂?shù)摹斑_(dá)摩克利斯之劍”。

作為信息化建設(shè)生力軍的一員，北京師范大學(xué)（簡(jiǎn)稱北師大）同樣面對(duì)著如何提高校園網(wǎng)的信息與網(wǎng)絡(luò)安全保障的課題。北師大是一所以教師教育、教育科學(xué)和文理基礎(chǔ)學(xué)科為主要特色的著名學(xué)府，全日制在校生20000余人，“十一五”以來(lái)，北師大圍繞“綜合性、有特色、研究型世界知名高水平大學(xué)”的發(fā)展目標(biāo)，大力建設(shè)具有國(guó)內(nèi)先進(jìn)水平的數(shù)字校園網(wǎng)絡(luò)，加強(qiáng)網(wǎng)絡(luò)辦公、網(wǎng)絡(luò)教學(xué)的建設(shè)。

部署多層次病毒防線

北師大在建設(shè)過(guò)程中提出了自己的建設(shè)理念，即“預(yù)防為主，應(yīng)急為輔，主動(dòng)防御強(qiáng)于被動(dòng)防守”的理念。學(xué)校在網(wǎng)絡(luò)信息安全評(píng)估的基礎(chǔ)上，與信息安全行業(yè)的公司合作，提出了一套網(wǎng)絡(luò)信息安全的建設(shè)規(guī)劃和加固措施，組織人員制定和完善了網(wǎng)絡(luò)信息安全管理制度。

國(guó)家計(jì)算機(jī)病毒應(yīng)急處理中心在《報(bào)告》中指出：計(jì)算機(jī)病毒感染率為70.51%，雖然與2008年相比略有下降，當(dāng)仍然在高位徘徊。實(shí)際上，北師大一直非常重視對(duì)病毒的防范，同時(shí)，在產(chǎn)品選型過(guò)程中，也充分考慮了均衡性、節(jié)約性、先進(jìn)性、可靠性、系統(tǒng)擴(kuò)展性等諸多因素。在校園網(wǎng)中，學(xué)校部署了多層次病毒防線：在客戶端布置瑞星網(wǎng)絡(luò)版客戶端殺毒軟件，在各種操作系統(tǒng)的應(yīng)用服務(wù)器（包括Windows NT/2000、Unix、Linux）端部署瑞星服務(wù)器版殺毒軟件，甚至層層部署系統(tǒng)中心，對(duì)整個(gè)防病毒系統(tǒng)進(jìn)行管理，從細(xì)節(jié)上斬?cái)嗖《究梢詡鞑ァ⒓纳拿恳粋€(gè)節(jié)點(diǎn)，實(shí)現(xiàn)病毒的全面防范。

分布多級(jí)系統(tǒng)中心

在北京師范大學(xué)的網(wǎng)絡(luò)防毒方案中，學(xué)校布置了瑞星中央系統(tǒng)中心來(lái)管理整個(gè)防病毒系統(tǒng)，保證了整個(gè)防病毒產(chǎn)品從管理系統(tǒng)中及時(shí)得到更新，同時(shí)又使得管理人員可以在任何時(shí)間、任何地點(diǎn)通過(guò)瀏覽器來(lái)管理防病毒系統(tǒng)，使整個(gè)系統(tǒng)中的任何一個(gè)節(jié)點(diǎn)都可以被管理人員隨時(shí)管理，保證整個(gè)防病毒系統(tǒng)有效、及時(shí)地?cái)r截病毒。

北師大是一所綜合性院校，現(xiàn)設(shè)1個(gè)學(xué)部、22個(gè)學(xué)院、2個(gè)系、23個(gè)研究院（所、中心）；為了加強(qiáng)網(wǎng)絡(luò)的安全防護(hù)，學(xué)校在網(wǎng)絡(luò)中心安裝一級(jí)系統(tǒng)中心的同時(shí)，還在全校各下屬院系的網(wǎng)絡(luò)中心安裝二級(jí)系統(tǒng)中心，同時(shí)，一級(jí)中心和二級(jí)的各個(gè)系統(tǒng)中心可以構(gòu)建成任意形狀的樹(shù)狀結(jié)構(gòu)，如圖1所示。

圖1 多中心病毒防護(hù)系統(tǒng)網(wǎng)絡(luò)

每個(gè)系統(tǒng)中心都可以獨(dú)立運(yùn)行、管理自己所轄地區(qū)網(wǎng)絡(luò)的全部客戶端、服務(wù)器端，而二級(jí)系統(tǒng)中心既可以按照地理、行政網(wǎng)段劃分，也可以按計(jì)算機(jī)數(shù)量劃分或行政單位劃分。每一個(gè)二級(jí)系統(tǒng)中心的架構(gòu)分別是在各下屬單位網(wǎng)絡(luò)中心配置一臺(tái)專用服務(wù)器作為二級(jí)系統(tǒng)中心，實(shí)現(xiàn)本中心客戶端和服務(wù)器的防病毒管理，并將本中心內(nèi)病毒爆發(fā)情況的統(tǒng)計(jì)信息上報(bào)給一級(jí)系統(tǒng)中心的管理者。

通過(guò)系統(tǒng)中心的層次性部署，實(shí)現(xiàn)反病毒的統(tǒng)一管理和分布管理，統(tǒng)一管理表現(xiàn)為由上級(jí)中心統(tǒng)一發(fā)送查殺病毒命令、下達(dá)版本升級(jí)提示，并及時(shí)掌握全部系統(tǒng)中心（包含下級(jí)中心）的病毒分布情況等；分布管理表現(xiàn)為下級(jí)中心既可以在收到上級(jí)中心的命令后作出響應(yīng)，也可以管理本級(jí)，并主動(dòng)向上級(jí)中心發(fā)送請(qǐng)求和匯報(bào)信息。可見(jiàn)，多級(jí)系統(tǒng)中心能夠支持大型的、多層級(jí)的、復(fù)雜的網(wǎng)絡(luò)。這樣即使是下級(jí)的任何一個(gè)客戶端出現(xiàn)病毒，一級(jí)系統(tǒng)中心都可以及時(shí)發(fā)現(xiàn)。

武裝終端

部署完系統(tǒng)中心之后，學(xué)校依次進(jìn)行服務(wù)器端、客戶端的防病毒軟件部署。通過(guò)建設(shè)具備終端合規(guī)管理能力的安全軟件系統(tǒng)，再配合其他終端安全硬件，使終端的各項(xiàng)安全指標(biāo)達(dá)到預(yù)設(shè)的安全管理標(biāo)準(zhǔn)和效果。從而有效解決終端安全問(wèn)題，達(dá)到規(guī)范終端安全防護(hù)的目的。

專人專責(zé)

我校還建立相應(yīng)的管理制度，如：配備相應(yīng)的MIS人員，負(fù)責(zé)整個(gè)網(wǎng)絡(luò)安全的日常管理及維護(hù)；制定相應(yīng)的機(jī)房上機(jī)管理制度；強(qiáng)制實(shí)施統(tǒng)一的防病毒策略；及時(shí)更新升級(jí)最新的病毒定義碼等。

融合“云安全”新技術(shù)

北師大的殺毒軟件運(yùn)用了瑞星最新的“云安全”技術(shù)。云安全技術(shù)融合了并行處理、網(wǎng)格計(jì)算、未知病毒行為判斷等新興技術(shù)和概念，通過(guò)網(wǎng)狀的大量客戶端對(duì)網(wǎng)絡(luò)中軟件行為的異常進(jìn)行監(jiān)測(cè)，獲取互聯(lián)網(wǎng)中木馬、惡意程序的最新信息，推送到Server端進(jìn)行自動(dòng)分析和處理，再把病毒和木馬的解決方案分發(fā)到每一個(gè)客戶端。

瑞星“云安全”系統(tǒng)還應(yīng)用新一代虛擬機(jī)技術(shù)，由于虛擬機(jī)有著運(yùn)行效率低的天生缺陷，因此，會(huì)出現(xiàn)“集成虛擬機(jī)的殺毒軟件殺毒能力強(qiáng)，但安裝之后拖慢機(jī)器；不用虛擬機(jī)的殺毒軟件殺毒能力弱，但占用資源低”的難題。新一代瑞星虛擬機(jī)應(yīng)用分時(shí)技術(shù)和硬件 MMU 輔助的本地執(zhí)行單元，在純虛擬執(zhí)行模式下，可以在 P4 3.0 的機(jī)器上，每秒鐘執(zhí)行超過(guò)2000萬(wàn)條虛擬指令，結(jié)合硬件輔助后，更可以把效率提高 200 倍。

由于虛擬機(jī)運(yùn)行效率的提高，殺毒軟件不但殺毒能力強(qiáng)，而且占用的系統(tǒng)資源更少，運(yùn)行更快。虛擬機(jī)的運(yùn)用主要是兩個(gè)方面：

第一，虛擬機(jī)可以集成在殺毒軟件中，當(dāng)遇到加殼、變形等難以查殺的病毒時(shí)，可以將其放入虛擬機(jī)中運(yùn)行，病毒在其中恢復(fù)原形運(yùn)行，就會(huì)被殺毒軟件殺掉，這樣就大大提高殺毒軟件有效查殺各種復(fù)雜的惡性病毒及木馬的查殺能力。

第二，虛擬機(jī)可以用在病毒樣本的自動(dòng)處理中。由于瑞星云安全系統(tǒng)每天需要處理百萬(wàn)量級(jí)的樣本，因此，虛擬機(jī)效率的提高，可以讓系統(tǒng)處理新樣本的時(shí)間減少，還可以節(jié)約服務(wù)器資源。

云安全系統(tǒng)的引入，使得防病毒的力量延伸到互聯(lián)網(wǎng)的1.5億個(gè)客戶端（瑞星卡卡用戶），“云安全”系統(tǒng)可以第一時(shí)間感知到互聯(lián)網(wǎng)上存在的安全威脅，并進(jìn)行快速處理。當(dāng)網(wǎng)絡(luò)管理人員發(fā)現(xiàn)校園網(wǎng)內(nèi)有不能徹底清除的病毒時(shí)，可以及時(shí)給瑞星發(fā)送反饋，瑞星自動(dòng)分析系統(tǒng)就會(huì)在最短的時(shí)間內(nèi)把結(jié)果返回給用戶，這樣可以實(shí)現(xiàn)最快的反應(yīng)速度、最好的處理結(jié)果。

從2008年開(kāi)始，北師大建立起分層、分級(jí)的網(wǎng)絡(luò)信息安全監(jiān)控梯隊(duì)，通過(guò)部署全面立體的防病毒體系，配合學(xué)校整體網(wǎng)絡(luò)安全保障體系的建設(shè)，使得信息系統(tǒng)的高、中風(fēng)險(xiǎn)漏洞數(shù)量大大降低，讓網(wǎng)絡(luò)始終維持在比較高的安全水平。