於建偉

（武漢船舶職業(yè)技術(shù)學(xué)院，湖北武漢 430050）

互聯(lián)網(wǎng)的發(fā)展與普及，促進(jìn)了圖書館館藏信息數(shù)字化的快速發(fā)展，基于網(wǎng)絡(luò)服務(wù)的數(shù)字圖書館應(yīng)用方案已成為圖書館極其重要的服務(wù)手段和方式。全局的網(wǎng)絡(luò)安全策略，是數(shù)字圖書館“優(yōu)質(zhì)服務(wù)”的基本保障，本文從遠(yuǎn)程接入安全、網(wǎng)絡(luò)邊界安全、館域網(wǎng)安全、信息中心安全、上網(wǎng)行為監(jiān)督管理、全網(wǎng)安全管理等方面論述了數(shù)字圖書館網(wǎng)絡(luò)安全體系的構(gòu)建要素，并提出了一套解決方案。

1 網(wǎng)絡(luò)安全體系概述

一般來(lái)說(shuō)，網(wǎng)絡(luò)安全就是指網(wǎng)絡(luò)中信息的安全，是指計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)軟、硬件及系統(tǒng)中數(shù)據(jù)得到保護(hù)，不被更改、泄露，應(yīng)用系統(tǒng)可以正常運(yùn)行，網(wǎng)絡(luò)服務(wù)不被干擾或中斷。

隨著互聯(lián)網(wǎng)技術(shù)的發(fā)展，我們?cè)诔浞指惺苄畔⒏咚倩ネ槲覀兩?、工作帶?lái)便捷的同時(shí)，也時(shí)刻面臨著各種各樣的網(wǎng)絡(luò)攻擊和威脅，例如：非法用戶進(jìn)行非法訪問(wèn)、竊密和失密、篡改信息、黑客入侵、計(jì)算機(jī)病毒、用戶不合理上網(wǎng)行為等。

目前，絕對(duì)的網(wǎng)絡(luò)安全是不存在的，只能通過(guò)綜合運(yùn)用源于人、技術(shù)、管理等因素形成的網(wǎng)絡(luò)保護(hù)能力、檢測(cè)能力、反應(yīng)能力和恢復(fù)能力，形成相對(duì)的網(wǎng)絡(luò)安全。

數(shù)字圖書館基于其自身應(yīng)用的特殊性，其網(wǎng)絡(luò)安全體系至少分為兩個(gè)方面：一是網(wǎng)絡(luò)自身安全，二是網(wǎng)絡(luò)業(yè)務(wù)安全。一個(gè)“稱職”的數(shù)字圖書館網(wǎng)絡(luò)安全方案需要滿足：與圖書館網(wǎng)絡(luò)內(nèi)部通信模式無(wú)縫耦合，根據(jù)相關(guān)行為模式制定配合性安全策略，最后將這套策略強(qiáng)制實(shí)施到數(shù)字圖書館館域網(wǎng)的每一個(gè)角落。

2 網(wǎng)絡(luò)安全體系要素分析

2.1 遠(yuǎn)程接入安全

目前，遠(yuǎn)程接入主要有三種方式：反向代理服務(wù)、VPN（虛擬專用網(wǎng)）、反向代理與VPN相結(jié)合的方式。反向代理服務(wù)的優(yōu)勢(shì)在于成本，VPN成本相對(duì)較高，但應(yīng)用時(shí)更安全、穩(wěn)定與高效。

（1）反向代理服務(wù)。一般而言，代理服務(wù)的作用是用于代理來(lái)源于內(nèi)網(wǎng)的針對(duì)外網(wǎng)資源的連接請(qǐng)求，而不接受外網(wǎng)對(duì)內(nèi)網(wǎng)的訪問(wèn)。如果某一種方式可以代理來(lái)源于外網(wǎng)的針對(duì)內(nèi)網(wǎng)資源的連接請(qǐng)求，這種代理服務(wù)就稱為反向代理。

反向代理服務(wù)的實(shí)現(xiàn)較為簡(jiǎn)單，只需要在局域網(wǎng)內(nèi)的一臺(tái)服務(wù)器上運(yùn)行相應(yīng)的代理服務(wù)器軟件即可，通用服務(wù)器甚至是PC級(jí)服務(wù)都能完全勝任，但這種方式支持的用戶數(shù)少，不適合當(dāng)前數(shù)字圖書館應(yīng)用需要。

（2）VPN技術(shù)。虛擬專用網(wǎng)VPN，指的是在公用網(wǎng)絡(luò)上建立專用網(wǎng)絡(luò)的技術(shù)，由經(jīng)過(guò)相互授權(quán)的通信雙方在公用網(wǎng)上建立的一種安全通信隧道，數(shù)據(jù)可以在安全通信隧道中加密傳輸。

目前的VPN技術(shù)有：IPSec VPN技術(shù)和SSL VPN技術(shù)兩種。

IPSec即Internet Protocol Security（因特網(wǎng)安全協(xié)議），IPSec VPN技術(shù)是建立在IPSec協(xié)議基礎(chǔ)上的虛擬專網(wǎng)技術(shù)；SSL即Secure Sockets Layer（安全套接層），是Netscape公司提出的一種基于Web的安全類協(xié)議。SSL VPN與IPSec VPN一樣，用戶遠(yuǎn)程使用時(shí)與在內(nèi)網(wǎng)中體驗(yàn)一致，使用時(shí)與具體應(yīng)用無(wú)關(guān)，外網(wǎng)用戶只需要打開IE瀏覽器，即可訪問(wèn)網(wǎng)絡(luò)。

SSL VPN技術(shù)關(guān)注于應(yīng)用軟件的安全，因此多用于Web遠(yuǎn)程接入，而IPSec VPN主要解決的是互聯(lián)網(wǎng)上不同位置兩個(gè)局域網(wǎng)之間的安全連接，技術(shù)上更注重于保護(hù)點(diǎn)對(duì)點(diǎn)通信。

2.2 網(wǎng)絡(luò)邊界安全

數(shù)字圖書館的網(wǎng)絡(luò)邊界是網(wǎng)絡(luò)安全的第一道防護(hù)，涉及的邊界主要有用戶終端與網(wǎng)絡(luò)之間的邊界、數(shù)字圖書館與互聯(lián)網(wǎng)／內(nèi)網(wǎng)的邊界等。如圖1所示：

圖1 數(shù)字圖書館的網(wǎng)絡(luò)邊界

終端邊界和網(wǎng)關(guān)邊界是數(shù)字圖書館的兩個(gè)網(wǎng)絡(luò)邊界，一般我們更注重網(wǎng)關(guān)邊界的安全。在網(wǎng)關(guān)邊界，我們需抵抗外網(wǎng)非法入侵與網(wǎng)絡(luò)病毒，需要針對(duì)不同級(jí)別安全域互訪進(jìn)行有效控制；網(wǎng)關(guān)的另一功能是過(guò)濾外網(wǎng)信息，對(duì)內(nèi)網(wǎng)用戶訪問(wèn)互聯(lián)網(wǎng)進(jìn)行監(jiān)管；同時(shí)，網(wǎng)關(guān)也是內(nèi)／外信息必經(jīng)之路，通常通過(guò)對(duì)網(wǎng)關(guān)記錄日志的分析，為網(wǎng)絡(luò)安全管理提供決策支持。

數(shù)字圖書館的安全隱患可能更多來(lái)源于終端邊界，例如：用戶終端接入館域網(wǎng)后，隨意掃描內(nèi)網(wǎng)的各種重要資源，如一些重要應(yīng)用或服務(wù)器資源；用戶終端的軟件系統(tǒng)由于沒(méi)能及時(shí)修復(fù)漏洞，成為黑客攻擊網(wǎng)絡(luò)的“幫兇”；用戶終端不及時(shí)更新殺毒軟件導(dǎo)致病毒防御能力的喪失；用戶隨意在終端安裝非法應(yīng)用軟件等。

通常來(lái)說(shuō)，完整的網(wǎng)絡(luò)邊界安全系統(tǒng)至少應(yīng)該包含：防火墻、反病毒系統(tǒng)、網(wǎng)絡(luò)安全監(jiān)控、入侵檢測(cè)與防御等。

2.3 館域網(wǎng)安全

數(shù)字圖書館館域網(wǎng)的安全問(wèn)題至少包含：環(huán)境與物理層安全機(jī)制；操作系統(tǒng)和應(yīng)用軟件的安全機(jī)制；內(nèi)部機(jī)構(gòu)互訪控制的安全機(jī)制等。

（1）環(huán)境與物理層安全

任何網(wǎng)絡(luò)系統(tǒng)對(duì)外部環(huán)境都有一定要求。當(dāng)外部環(huán)境不符合相關(guān)標(biāo)準(zhǔn)時(shí)會(huì)影響到數(shù)字圖書館的信息安全，具體如：數(shù)字圖書館中心機(jī)房及用戶終端安置環(huán)境不合要求；中心機(jī)房設(shè)計(jì)、建造不合理或不符合標(biāo)準(zhǔn)；機(jī)房電源穩(wěn)定性差；溫度不合要求；抗靜電、抗電磁干擾差；防火、防塵、防雷擊設(shè)施不到位等。

（2）操作系統(tǒng)和應(yīng)用軟件安全

盡量選用漏洞少的操作系統(tǒng)和應(yīng)用軟件平臺(tái)，及時(shí)更新系統(tǒng)補(bǔ)丁，定期掃描操作系統(tǒng)的配置以進(jìn)行全面監(jiān)測(cè)，都是保障操作系統(tǒng)及應(yīng)用軟件安全的有效措施。同時(shí)，還可在數(shù)字圖書館館域安裝內(nèi)網(wǎng)安全風(fēng)險(xiǎn)管理與審計(jì)軟件，進(jìn)行有效的終端準(zhǔn)入控制、終端安全控制、桌面合規(guī)管理、移動(dòng)存儲(chǔ)管理等。

（3）內(nèi)部互訪控制

我們一般通過(guò)在二層交換機(jī)上劃分VLAN來(lái)實(shí)現(xiàn)內(nèi)部互訪控制。但這種傳統(tǒng)的互訪控制較為粗放，因?yàn)閂LAN主要是通過(guò)配置ACL來(lái)實(shí)現(xiàn)互訪，當(dāng)互訪控制要求較高時(shí)，過(guò)多的ACL條目會(huì)明顯的影響交換機(jī)性能。數(shù)字圖書館內(nèi)部互訪控制需要更為精細(xì)的安全管理技術(shù)。

2.4 信息中心安全

信息中心是數(shù)字圖書館中數(shù)據(jù)流動(dòng)最為頻繁的區(qū)域，該區(qū)域核心設(shè)備資源密集，任何軟、硬件故障或其他安全問(wèn)題都有可能導(dǎo)致不可預(yù)估的損失。

目前信息中心所面臨的安全威脅除內(nèi)部管理因素外，主要是指面向網(wǎng)絡(luò)層或應(yīng)用層的攻擊。面向網(wǎng)絡(luò)層的攻擊主要是指DOC／DdoS攻擊，這種攻擊利用了互聯(lián)網(wǎng)開放性等特點(diǎn)，主要是采取導(dǎo)致網(wǎng)絡(luò)擁塞的方式迫使網(wǎng)絡(luò)癱瘓。面向應(yīng)用層的攻擊則主要是利用一些軟件系統(tǒng)漏洞，以各種方式繞過(guò)傳統(tǒng)防火墻來(lái)入侵系統(tǒng)。常見的如蠕蟲、木馬、緩沖溢出代碼等。

信息中心的安全需要采用多層防御、分層部署的思路應(yīng)對(duì)。例如，設(shè)置防火墻來(lái)應(yīng)對(duì)面向網(wǎng)絡(luò)層的攻擊；部署入侵檢測(cè)／防御設(shè)備來(lái)對(duì)抗應(yīng)用層攻擊；使用安全特性更高的匯聚層、接入層交換機(jī)來(lái)實(shí)現(xiàn)基礎(chǔ)性網(wǎng)絡(luò)安全防范等。

2.5 上網(wǎng)行為監(jiān)管

上網(wǎng)行為安全主要涉及數(shù)字圖書館內(nèi)部用戶一些上網(wǎng)行為的規(guī)范。涉及到的安全需求有：內(nèi)容過(guò)濾、流量控制、防范機(jī)密信息外泄、非法應(yīng)用識(shí)別等。例如對(duì)P2P軟件的全面管控；支持動(dòng)態(tài)保證、預(yù)留保證、最高限制、平均分配、自由競(jìng)爭(zhēng)等功能的帶寬資源分配；URL的識(shí)別與控制；關(guān)鍵字網(wǎng)頁(yè)過(guò)濾；HTTP／FTP上傳下載識(shí)別與控制；郵件訪問(wèn)控制；代理識(shí)別等。一般通過(guò)在網(wǎng)絡(luò)上部署上網(wǎng)行為監(jiān)管設(shè)備來(lái)實(shí)現(xiàn)數(shù)字圖書館內(nèi)部上網(wǎng)行為的安全管理。

2.6 統(tǒng)一管理安全

安全是一個(gè)體系，任何環(huán)節(jié)的缺失都會(huì)導(dǎo)致安全體系的崩潰。因此，必須要求全網(wǎng)設(shè)備的統(tǒng)一安全管理。數(shù)字圖書館的應(yīng)用需要有統(tǒng)一的、系統(tǒng)化的管理機(jī)制，因此需要在數(shù)字圖書館網(wǎng)絡(luò)中部署安全管理中心。安全管理中心并不是威脅抵御的直接實(shí)施者，而是一個(gè)策略制定的首腦。一般來(lái)說(shuō)，安全管理中心應(yīng)具備以下功能：

（1）旁路部署，在整個(gè)數(shù)字圖書館系統(tǒng)中透明化；

（2）可進(jìn)行廣泛的日志采集，可以對(duì)網(wǎng)絡(luò)中的所有設(shè)備，包括防火墻、入侵防御系統(tǒng)、用戶終端、路由設(shè)備、服務(wù)器集群等設(shè)備進(jìn)行日志分析；

（3）對(duì)安全威脅、網(wǎng)絡(luò)流量的實(shí)時(shí)監(jiān)控、告警；

（4）提供拓?fù)浒l(fā)現(xiàn)功能，迅速定位網(wǎng)絡(luò)故障；

（5）對(duì)歷史數(shù)據(jù)可提供高效的查詢機(jī)制、報(bào)表等。

一般可通過(guò)在網(wǎng)絡(luò)中部署一臺(tái)安全管理中心設(shè)備來(lái)實(shí)現(xiàn)網(wǎng)絡(luò)設(shè)備的統(tǒng)一安全管理。

3 數(shù)字圖書館網(wǎng)絡(luò)安全體系構(gòu)建

一套完整的數(shù)字圖書館網(wǎng)絡(luò)安全方案至少應(yīng)該兼顧：遠(yuǎn)程接入安全、邊界安全、內(nèi)網(wǎng)安全、信息中心安全、上網(wǎng)行為安全與統(tǒng)一管理安全。以下是筆者針對(duì)國(guó)內(nèi)某高職院校數(shù)字圖書館制定的網(wǎng)絡(luò)安全方案，設(shè)計(jì)的拓?fù)鋱D如圖2所示。

核心交換機(jī)采用H3CS12508核心交換機(jī)兩臺(tái)，雙機(jī)冗余，保障數(shù)字圖書館網(wǎng)絡(luò)通信安全，匯聚、接入層分別采用RG－S5750系列及RGS2628系列交換機(jī)。部署集成了IPS、防火墻、行為監(jiān)管、VPN網(wǎng)關(guān)、反病毒模塊、垃圾郵件防護(hù)的綠盟NSF－PROD－SG安全網(wǎng)關(guān)設(shè)備兩臺(tái)作為安全中心，實(shí)現(xiàn)網(wǎng)絡(luò)安全管理雙保險(xiǎn)。

遠(yuǎn)程接入安全實(shí)現(xiàn)：考慮到遠(yuǎn)程接入的移動(dòng)性特點(diǎn)，目前主要是使用SSL VPN方案來(lái)實(shí)現(xiàn)數(shù)字圖書館遠(yuǎn)程接入安全。整個(gè)SSL VPN方案基于B／S架構(gòu)，客戶端不需要安裝特殊軟件，只需通過(guò)IE瀏覽器，驗(yàn)證口令后即可安全的訪問(wèn)數(shù)字圖書館內(nèi)部資源。綠盟NSF－PROD－SG安全網(wǎng)關(guān)集成了IPSec VPN、SSL VPN等多種VPN技術(shù)，可滿足不同的VPN接入方式，例如：遠(yuǎn)程客戶端－網(wǎng)關(guān)、網(wǎng)關(guān)－網(wǎng)關(guān)、網(wǎng)關(guān)－網(wǎng)關(guān)－客戶端等VPN組網(wǎng)方式，實(shí)現(xiàn)了VPN安全性與易用性的統(tǒng)一。

邊界安全實(shí)現(xiàn)：邊界安全由綠盟NSFPROD－SG安全網(wǎng)關(guān)產(chǎn)品的IPS模塊、FireWall模塊、防病毒模塊實(shí)現(xiàn)。NSF－PROD－SG安全網(wǎng)關(guān)采用智能狀態(tài)監(jiān)測(cè)技術(shù)，支持路由、透明、混合模式部署，支持基于策略的雙向NAT、動(dòng)態(tài)／靜態(tài)NAT、端口PAT；IPS模塊采用虛擬補(bǔ)丁技術(shù)，可防護(hù)遠(yuǎn)程掃描、暴力破解、蠕蟲病毒、木馬后門、SQL注入、跨站腳本等各種攻擊；防病毒模塊采用雙防病毒引擎技術(shù)，支持NSFOCUS和Kaspersky的防病毒引擎，采用基于特征掃描的啟發(fā)式掃描技術(shù)，可對(duì)利用 HTTP、POP3、SMTP、FTP、IM等多種協(xié)議的病毒進(jìn)行處理。

內(nèi)網(wǎng)安全實(shí)現(xiàn)：對(duì)數(shù)字圖書館中心機(jī)房進(jìn)行改造，增強(qiáng)防電磁輻射、防靜電、防雷擊、防火、防水、防潮相關(guān)措施，確保機(jī)房安全；建立和完善網(wǎng)絡(luò)安全防范的規(guī)章制度：館域網(wǎng)計(jì)算機(jī)操作規(guī)程、信息中心管理制度等，建立制度化的員工網(wǎng)絡(luò)安全培訓(xùn)機(jī)制、并有效實(shí)施；為解決傳統(tǒng)二層VLAN隔離技術(shù)的不足，采用以防火墻技術(shù)為核心的內(nèi)網(wǎng)訪問(wèn)控制解決方案：NSF－PROD－SG安全網(wǎng)關(guān)防火墻模塊支持對(duì)VLAN的訪問(wèn)控制，可實(shí)現(xiàn)數(shù)字圖書館館域網(wǎng)中不同VLAN互訪的精細(xì)化控制。

服務(wù)器群安全：數(shù)字圖書館的服務(wù)器群主要涉及對(duì)外服務(wù)中心：WEB、電子郵件系統(tǒng)等服務(wù)器群；信息中心：認(rèn)證、日志、數(shù)字圖書館資源服務(wù)器群。兩部分服務(wù)器群分別通過(guò)兩臺(tái)NSFPROD－SG安全網(wǎng)關(guān)中單獨(dú)的IPS、防火墻、行為監(jiān)管模塊與核心交換機(jī)互連，實(shí)現(xiàn)信息中心從底層到高層的安全防護(hù)。

上網(wǎng)行為安全：NSF－PROD－SG安全網(wǎng)關(guān)內(nèi)置行為監(jiān)管模塊采用智能協(xié)議識(shí)別和關(guān)聯(lián)技術(shù)，提供了較為深入的協(xié)議分析、用戶認(rèn)證功能，可針對(duì)用戶上網(wǎng)行為、網(wǎng)絡(luò)應(yīng)用行為和業(yè)務(wù)運(yùn)維行為進(jìn)行智能多維度網(wǎng)絡(luò)行為管理，可支持基于IP地址、用戶／用戶組、協(xié)議、時(shí)間、關(guān)鍵字等多種組合策略，支持對(duì)即時(shí)通訊、在線視頻、P2P下載、網(wǎng)游、股票、文件上傳下載等行為進(jìn)行全面監(jiān)控管理。

統(tǒng)一安全管理：采用綠盟安全產(chǎn)品配套的安全系統(tǒng)進(jìn)行統(tǒng)一網(wǎng)絡(luò)管理，實(shí)現(xiàn)對(duì)整個(gè)數(shù)字圖書館館域網(wǎng)設(shè)備的集中配置、監(jiān)視和控制。

1 徐波濤.校園網(wǎng)網(wǎng)絡(luò)安全方案設(shè)計(jì)與工程實(shí)踐［D］.北京：北京郵電大學(xué)，2012

2 焦坤.高校圖書館遠(yuǎn)程接入方式比較與選擇［J］，上海工程技術(shù)大學(xué)教育研究，2009（3）

3 劉杰等.淺談數(shù)字圖書館的網(wǎng)絡(luò)信息安全［J］.現(xiàn)代情報(bào)，2005（12）

4 張孝飛等.高校數(shù)字圖書館網(wǎng)絡(luò)安全分析與防護(hù)策略［J］.情報(bào)探索，2011（8）

5 尹志清.高校圖書館網(wǎng)絡(luò)安全體系的構(gòu)建［J］.武漢船舶職業(yè)技術(shù)學(xué)院學(xué)報(bào)，2007（1）