鐘彩虹

摘 要：隨著信息化技術的發(fā)展，校園網(wǎng)絡安全問題變得日益突出。單一的解決辦法已經(jīng)不能保證學校網(wǎng)絡這樣一個復雜的網(wǎng)絡環(huán)境的安全需要。PDRR模型是一個最常用的網(wǎng)絡安全模型，該模型把網(wǎng)絡體系結構劃分為防護、檢測、響應、恢復四個部分。本文準備基于PDRR網(wǎng)絡安全模型，在此基礎上探討構建適合學校網(wǎng)絡環(huán)境的網(wǎng)絡安全體系。

關鍵詞：校園網(wǎng)；網(wǎng)絡安全；PDRR

Research on campus network security system based on PDRR

Zhong Caihong（Zhejiang Zhuji technical school，Zhejiang Zhuji 311800）

Abstract：With the development of information technology，the campus network security problems is becoming more and more outstanding.Single solution can't guarantee the network of schools to such a complex network environment security needs.The model of PDRR is the most useful model of network security network architecrure is divided into four parts by this model： protection， detection，response and recovery.This article prepared for network security model based on PDRR，on the basis of constructing the network security system for campus network environment.

Key words：campus network；network security；PDRR

隨著時代的發(fā)展，Internet的不斷普及，網(wǎng)絡已經(jīng)成為信息資源的海洋，給人們帶來了極大的方便。但由于Internet是一個開放的、無控制機構的網(wǎng)絡，經(jīng)常會受到黑客、計算機病毒、木馬等的侵襲，因此，計算機網(wǎng)絡安全問題必須放在首位。

1 校園網(wǎng)網(wǎng)絡安全問題分析

校園網(wǎng)具有速度快、規(guī)模大，計算機系統(tǒng)管理復雜，隨著其應用的深入，校園網(wǎng)絡的安全問題也逐漸突出，直接影響著學校各項工作的正常開展。因此，在全面了解校園網(wǎng)的安全現(xiàn)狀基礎上，合理構建安全體系結構，改善網(wǎng)絡應用環(huán)境的工作迫在眉睫。當前，校園網(wǎng)絡常見的安全隱患有以下幾種：⑴計算機系統(tǒng)缺陷。⑵計算機病毒的破壞。⑶來自網(wǎng)絡外部的入侵、攻擊等惡意破壞行為。⑷校園網(wǎng)用戶對網(wǎng)絡資源的濫用。⑸非正常途徑訪問或內(nèi)部破壞。⑹校園網(wǎng)安全管理有缺陷。

2 構建校園網(wǎng)絡安全管理體系模型

根據(jù)上述存在的實際情況，一般而言，學校目前普遍采用PDRR模型來構建安全防御體系。因為PDRR網(wǎng)絡安全模型簡單并且容易實施，不需要考慮網(wǎng)絡安全的底層問題，并且對于學校而言 PDRR網(wǎng)絡安全模型更加適用。

PDRR模型就是4個英文單詞的頭字符：Protection（防護）、Detection（檢測）、Response（響應）、Recovery（恢復）。這四個部分組成了一個動態(tài)的信息安全周期，如圖：

安全策略的每一部分包括一組相應的安全措施來實施一定的安全功能。安全策略的第一個戰(zhàn)線是防護。根據(jù)系統(tǒng)已知的所有安全問題做出防護的措施，如打補丁、訪問控制、數(shù)據(jù)加密等等。安全策略的第二個戰(zhàn)線就是檢測。攻擊者如果穿過了防護系統(tǒng)，檢測系統(tǒng)就會檢測出來。這個安全戰(zhàn)線的功能就是檢測出入侵者的身份，包括攻擊源、系統(tǒng)損失等。一旦檢測出入侵，響應系統(tǒng)開始響應包括事件處理和其他業(yè)務。安全策略的最后一個戰(zhàn)線就是恢復。在入侵事件發(fā)生后，把系統(tǒng)和數(shù)據(jù)恢復到原來的狀態(tài)。每次發(fā)生入侵事件，防御系統(tǒng)都要更新，保證相同類型的入侵事件不能再發(fā)，所以整個安全策略包括防護、檢測、響應和恢復，這四個方面組成了一個信息安全周期。

3 基于安全體系的學校網(wǎng)絡安全解決方案研究

從嚴格的意義上來講，100%的安全網(wǎng)絡系統(tǒng)是沒有的，網(wǎng)絡安全工作是一個循序漸進、不斷完善的過程。校園網(wǎng)的安全問題是一個較為復雜的系統(tǒng)工程，根據(jù)PDRR模型，全面考慮綜合運用防火墻、入侵檢測、殺毒軟件等多項技術來構建網(wǎng)絡安全防范體系。

3.1 定義網(wǎng)絡安全防范體系

一般來說，我們將網(wǎng)絡受到一次攻擊分為三個階段，攻擊前，攻擊中，攻擊后。攻擊前主要要做的工作就是防護，也是PDRR模型中最重要的部分。攻擊中主要負責對實時的攻擊做出反應，入侵檢測系統(tǒng)檢測所有經(jīng)過防火墻進入到內(nèi)網(wǎng)的數(shù)據(jù)，綜合分析各種信息，分析各種連接，動態(tài)的分析出這些攻擊，并且立刻做出反應。攻擊后主要是恢復系統(tǒng)與數(shù)據(jù)，并且及時打好補丁，以防下次攻擊。根據(jù)此規(guī)律，結合PDRR模型構建出如圖2所示的網(wǎng)絡安全防范體系。

3.2 校園網(wǎng)絡安全體系的部署與實施方案研究

我們在進行網(wǎng)絡的安全解決方案的時候，采用了易操作性、適用性、靈活性、多重保護性、綜合性整體性、職權分立等原則。

3.2.1 網(wǎng)絡安全隔離策略

提供Internet上網(wǎng)服務是網(wǎng)絡所必須提供的服務之一，但是必須制定相關的策略來保證對Internet訪問的安全。防火墻是一個保護裝置，能有效地實現(xiàn)網(wǎng)絡訪問控制、身份認證、代理服務，從而保護內(nèi)部網(wǎng)的訪問安全。作為網(wǎng)絡的總出入口，可以設置高性能的硬件防火墻，可以按照服務功能的不同制定特定的策略。作為校園網(wǎng)絡中的計算機可以安裝天網(wǎng)、瑞星等防火墻軟件。

3.2.2 安全漏洞防范策略

安全漏洞掃描技術是一類重要的網(wǎng)絡安全技術。通過對網(wǎng)絡的掃描，可以了解網(wǎng)絡的安全配置和運行的應用服務，及時發(fā)現(xiàn)安全漏洞，客觀評估網(wǎng)絡風險等級；還可以根據(jù)掃描的結果更正網(wǎng)絡安全漏洞和系統(tǒng)中的錯誤配置，在黑客攻擊前進行防范。網(wǎng)絡安全漏洞掃描工具可以采用俄羅斯SSS軟件。SSS可以對很大范圍內(nèi)的系統(tǒng)漏洞進行安全、高效、可靠的安全檢測，對系統(tǒng)全部掃描之后，SSS可以對收集的信息進行分析，發(fā)現(xiàn)系統(tǒng)設置中容易被攻擊的地方和可能的錯誤，得出對發(fā)現(xiàn)問題的可能的解決方法。

3.2.3 計算機病毒防范策略

⑴校園網(wǎng)絡系統(tǒng)要使用安全策略。

⑵選擇合適的防病毒軟件，及時更新病毒庫。防病毒軟件分為兩大類：網(wǎng)絡版和單機版。

⑶計算機用戶要增強網(wǎng)絡安全意識。不要輕易使用盜版和存在安全隱患的軟件；不輕易瀏覽一些缺乏可信度的網(wǎng)站；不要隨便打開不明來歷的電子郵件。

3.2.4 身份認證與訪問權限策略

⑴身份認證。身份認證是對通信方進行身份確認來阻止非授權用戶進入。常用的身份認證方法有口令認證法。主要是給帳戶設置足夠復雜的強密碼，最好是字母+數(shù)字+符號的組合；口令應嚴格管理，不定期地予以更換。

⑵訪問權限。訪問權限即每個不同的群組所能訪問的網(wǎng)絡資源不同。根據(jù)訪問權限的不同，能訪問的相應的資源不同，如普通老師子網(wǎng)的群組不允許訪問學校高層子網(wǎng)的資源。

3.2.5 入侵檢測及防御策略

入侵檢測系統(tǒng)（IDS，Intrusion Detection System）的布置可以分為兩個層次，首先為NDIS，主要啟用防火墻的IDS模塊功能。另外啟用HIDS功能及服務器上安裝個人防火墻設置?？梢詾榘惭bMICROSOFT ISA 2006。為了檢測有害的入侵者，ISA Server將網(wǎng)絡通信以及日志項與熟知的攻擊方法進行比較。如發(fā)現(xiàn)可疑的行為會觸發(fā)一組預先設定的措施或者警報。這些措施包括終止鏈接、終止服務、電子郵件警報、記入日志、以及運行一個選定的程序。

入侵防御系統(tǒng)（IPS，Intrusion Prevention System），可以深度感知并檢測流經(jīng)的數(shù)據(jù)流量，對惡意報文進行丟棄以阻斷攻擊，對濫用報文進行限流以保護網(wǎng)絡帶寬資源。對于部署在數(shù)據(jù)轉發(fā)路徑上的IPS，可以根據(jù)預先設定的安全策略，對流經(jīng)的每個報文進行深度檢測（協(xié)議分析跟蹤、特征匹配、流量統(tǒng)計分析、事件關聯(lián)分析等），如果一旦發(fā)現(xiàn)隱藏于其中網(wǎng)絡攻擊，可以根據(jù)該攻擊的威脅級別立即采取抵御措施，這些措施包括（按照處理力度）：向管事中心告警；丟棄該報文；切斷此次應用會話；切斷此次TCP連接。可以在校園網(wǎng)與外部網(wǎng)絡的連接部位（入口/出口）；重要服務器集群前端；校園網(wǎng)內(nèi)部接入層部署IPS。至于其它區(qū)域，可以根據(jù)實際情況與重要程度，酌情部署。

3.2.6 應急響應處理策略

應急響應（Emergency Response）通常是指一個組織為了應對各種意外事件的發(fā)生所做的準備以及在事件發(fā)生后所采取的措施。應急響應處理主要包括兩個方面：

第一、未雨綢繆，即在事件發(fā)生前事先做好準備，比如風險評估、制定安全計劃、安全意識的培訓、以發(fā)布安全通告的方式進行的預警、以及各種防范措施；

第二、亡羊補牢，即在事件發(fā)生后采取的措施，其目的在于把事件造成的損失降到最小。這些行動措施可能來自于人，也可能來自系統(tǒng)，發(fā)現(xiàn)事件發(fā)生后，采取系統(tǒng)備份、病毒檢測、后門檢測、清除病毒或后門、隔離、系統(tǒng)恢復、調(diào)查與追蹤、入侵者取證等一系列操作。

以上兩個方面的工作要相互補充。首先，事前的計劃和準備為事件發(fā)生后的響應動作提供了指導框架，否則，響應動作將陷入混亂，而這些毫無章法的響應動作有可能造成比事件本身更大的損失；其次，事后的響應可能發(fā)現(xiàn)事前計劃的不足，吸取教訓，從而進一步完善安全計劃。因此，這兩個方面應該形成一種正反饋的機制，逐步強化組織的安全防范體系，建立應急響應預案。

3.2.7 系統(tǒng)恢復策略

如果要想系統(tǒng)和數(shù)據(jù)能夠恢復到受攻擊前，那么最重要的就是做好數(shù)據(jù)備份，包括網(wǎng)絡配置（路由表、DNS服務器數(shù)據(jù)備份）、服務器數(shù)據(jù)庫等數(shù)據(jù)的備份。如果手動備份工作量太大，現(xiàn)在一般都采用軟件來進行備份，可以使用IBM Tivoli Storage Manager 6.1軟件。TSM能夠為用戶提供企業(yè)級的存儲數(shù)據(jù)管理解決方案，包括備份、歸檔、空間管理以及災難恢復管理等功能。

4 結束語

校園網(wǎng)的安全問題是一個較為復雜的系統(tǒng)工程，需要全方位防范，防范不僅是被動的，更要主動進行。PDRR模型主要強調(diào)的是技術方面的，在網(wǎng)絡安全日益影響到校園網(wǎng)運行的情況下，更要完善校園網(wǎng)管理制度，對相關的校園網(wǎng)管理人員進行培訓，對學生進行網(wǎng)絡道德的教育，提高公德意識；安裝最新的防病毒軟件和病毒防火墻，不斷安裝軟件補丁更新系統(tǒng)漏洞，對重要文件要進行備份，從多個方面進行防范，盡一切可能去制止、減小一切非法的訪問和操作，把校園網(wǎng)不安全因素降到最少。

[參考文獻]

[1]代建軍，揭金良.一種改進的PDRR模型[J].電腦與科學技術，第6期，2003年.

[2]汪宇光.計算機網(wǎng)絡應急響應和主要技術[J].電子材料與電子技術評論，第三期，2004年.

[3]張千里，陳光英，編著.網(wǎng)絡安全新技術.北京：清華大學出版社，2003.

[4]田暢，鄭少仁.計算機病毒計算模型的研究[J].計算機學報，2001（2），158-163.

[5]鄒紅霞，等.網(wǎng)絡系統(tǒng)數(shù)據(jù)備份策略分析與實現(xiàn)[J].裝備指揮技術學院學報，2003，（4）：95～99.