高校电子资源访问管理控制系统的设计和应用概要.docx

高校电子资源访问管理控制系统的设计和应用概要.docx

《高校电子资源访问管理控制系统的设计和应用概要.docx》由会员分享，可在线阅读，更多相关《高校电子资源访问管理控制系统的设计和应用概要.docx（16页珍藏版）》请在冰豆网上搜索。

高校电子资源访问管理控制系统的设计和应用概要

　　收稿日期：

２０１０唱０９唱０４；修回日期：

２０１０唱１０唱２１　　

　　作者简介：

施晓华（１９７７唱），男，江苏人，馆员，硕士，主要研究方向为数字图书馆及网络安全（xhshi＠lib．sjtu．edu．cn）；钱吟（１９８３唱），女，浙江人，助理馆员，硕士，主要研究方向为数字图书馆；谢锐（１９７４唱），男，安徽人，工程师，硕士，主要研究方向为网络管理与网络安全．

高校电子资源访问管理控制系统的设计和应用

施晓华a

，钱　吟a

，谢　锐

b

（上海交通大学a．图书馆；b．网络中心，上海２００２４０）

摘　要：

为了对电子资源过量下载实施有效管理，上海交通大学图书馆在网络中心的支持下，开发了电子资源访问管理控制系统。

系统通过对校内用户访问图书馆购买的电子资源情况进行实时网络抓包分析，监测学校用户下载电子全文时的各类违规现象，并通过TCP会话劫持技术实时限制违规用户访问图书馆电子资源，有效保护了图书馆的知识产权。

阐述了系统的功能需求、整体设计和实现技术原理，介绍了系统应用效果及还需进一步完善的工作。

关键词：

图书馆；电子资源；访问控制；抓包分析；TCP会话劫持

中图分类号：

TP３９１；TP３１１　　　文献标志码：

A　　　文章编号：

１００１唱３６９５（２０１１）０３唱１０４２唱０４doi：

１０．３９６９／j．issn．１００１唱３６９５．２０１１．０３．０７０

Designandapplicationofelectronicresourcesaccess

managementandcontrolsysteminhighschool

SHIXiao唱huaa

，QIANYina

，XIERui

b

（ａ．Ｌｉｂｒａｒｙ，ｂ．ＮｅｔｗｏｒｋＣｅｎｔｅｒ，ＳｈａｎｇｈａｉＪｉａｏｔｏｎｇＵｎｉｖｅｒｓｉｔｙ，Ｓｈａｎｇｈａｉ２００２４０，Ｃｈｉｎａ）

Ａｂｓｔｒａｃｔ：

Forthepurposeofeffectivemanagementexcessivedownloadingofelectronicresources，ShanghaiJiaotongUniversi唱

tyLibrarydevelopedasystemtomanageandcontroltheelectronicresourceaccesswiththesupportofNetworkCenter．Throughanalysisofreal唱timecapturednetworkpacketofcampususerswhoaccessedlibraryelectronicresources，thesystemwasmonitoringallkindsofillegallydownloadingfull唱textelectronicresources，andutilizingTCPsessionhijacktechnology，systembannedtheillegaluserstoaccesstheelectronicresourcesandeffectivelyprotectedtheintellectualpropertyrightsofli唱brary．Thispaperdescribedthesystemfunctionalrequirements，overalldesignandimplementationoftechnicalprinciples，andproposedfurtherimprovementofthework．

Ｋｅｙｗｏｒｄｓ：

library；electronicresources；accesscontrol；packagecaptureandanalysis；TCPsessionhijacking

０　引言

高校图书馆的数字资源版权保护已经成为影响和谐图书馆构筑的非常重要的因素之一。

由于学校少数人员过量下载图书馆订购的数字资源，引起国外几个重要数据供应商经常禁止违规IP访问数据库，不仅造成学校师生在教学科研中获取资源的困难，也给图书馆相关工作人员的处理工作带来了不便。

更有甚者，部分校内用户账号被校外人员盗用并公布在互联网上进行非法牟利，学校的代理服务器因此而被几个数据商禁止访问，使学校的声誉受到影响。

为此，国内部分高校（如清华大学）制作了网络监控软件用以检测违规下载，限制超过规定数量的全文下载［１］

。

这不仅使数据商的投诉和限制大大

减少，而且工作人员能灵活调整不同数据商的监测条件，收到

了很好的效果。

上海交通大学图书馆经与网络中心多次讨论后，建立了一套用来进行非法全文下载监测、违规情况警告和封禁的管理控制系统。

系统方案采用在学校边界的路由器上监测用户访问图书馆指定商用资源的情况，并根据系统设置要求进行非法全文下载的用户限制。

方案的实施将明显减少图书馆购买的商

用资源被非法使用的情况，及时发现和中止用户违规使用的行为、减轻图书馆资源管理人员的工作量并提高图书馆网上服务的管理质量。

１　电子资源访问管理控制系统的需求和总体设计

１畅１　系统功能需求

１）抓包分析功能

系统可以从全校网络出口流量中过滤出对应所需检测的电子数据库的实时网络数据包，通过专业的分析软件进行实时监测、分析，将所有相关的如URL、访问时间、源IP地址和目标IP地址等访问信息写入后台数据库。

２）违规分析功能

实时分析后台数据库的电子数据库访问信息，根据设置的违规参数获取各类违规信息，写入违规信息表以待调用；每次违规信息、封禁和解禁信息系统都通过e唱mail或短信形式提醒管理员。

３）违规用户的封禁／解禁功能

系统通过预先设置的用户封禁规则，实时获取需要封禁用户的IP和封禁起始时间，自动发送封禁命令；同时检测已经达

第２８卷第３期２０１１年３月　

计算机应用研究

ApplicationResearchofComputers

Vol．２８No．３Mar．２０１１

到解禁时间的被禁用户，自动发送解禁命令。

实时调取违规IP的信息，通过TCP会话劫持技术将用户的HTTP访问重定向至图书馆警告页面。

４）Web后台管理功能

管理员可以通过Web后台，添加、管理需要监控的数据库

URL、IP地址及子网掩码；并针对不同数据库在单位时间内允许下载全文数量的上限进行设置、修改。

管理员自动和手动关闭违规IP或用户对特定数据库的访问权，能手工开启被禁止IP的使用权限。

后台显示统计各数据库对应的违规IP和次数、违规发生的时间，单位时间内违规和处理情况的统计汇总。

１畅２　系统设计流程

如图１所示，系统主要分为抓包与违规控制平台、违规分

析平台和Web管理平台，三个平台使用同一个后台数据库，本系统开发时选用了Postgresql数据库

［２］

。

系统主要功能有流量

过滤、抓包分析、违规分析、违规警告和Web后台管理。

系统的运行流程如下：

a）流量过滤模块将所有用户访问的数据包进行筛选，

过

滤出访问图书馆相关数据库的那部分流量信息。

b）

抓包分析模块对过滤后的流量进行分析，提取系统所

需要的信息（如用户IP地址、URL、目标数据库的IP地址等），将这些信息写入系统后台数据库的相应表中供违规分析程序调用。

c）违规分析模块对抓包得到的数据信息进行分析，按照

各个数据库的违规条件进行违规判定。

d）违规处理模块对判定为违规的用户进行或者警告或者

封禁的处理。

２　电子资源访问管理控制系统各项功能的实现

２畅１　流量过滤

对流量的过滤是通过校网络中心的边界路由器来实现的，

将访问特定数据库的那部分数据包过滤出来。

如图１所示，整个学校出口的流量非常巨大，约６～７Gb唱

ps，很难对出口流量全部进行基于URL的抓包分析，所以在系统设计时提出了进行基于目标IP地址的流量过滤需求。

由于全校访问电子数据库的流量一般不超过１００Mbps，利用带有千兆网卡服务器就能保证完全获取校内用户访问需检测的电子数据库（表１）的各类信息。

表１　需监测的电子数据库IP样例列表

数据库URL数据库IP网络掩码http：

／／pubs．acs．org／

２０８．７７．２５０．６０２５５．２５５．２５５．２５５http：

／／www．ieee．org／ieeexplore

１４０．９８．１９３．０２５５．２５５．２５５．０http：

／／scitation．aip．org／

１９２．５８．１５０．０

２５５．２５５．２５５．０

http：

／／arjournals．annualreviews．org／１９８．９４．２１３．６４２５５．２５５．２５５．２５５http：

／／www．sciencedirect．com／

１９８．８１．２００．２

２５５．２５５．２５５．２５５

　　基于此对目标IP的二层交换流量过滤功能的需求，经学校网络中心测试，发现目前的Extreme公司的三层以上的交换机可以实现此功能，满足系统应用的需要。

抓包服务器使用Windows２００３Server３２位操作系统、２

GHzCPU、２GB内存以上，３块千兆网卡。

通过Extreme的X４５０系列交换机进行流量的分流。

实现时，通过编写相关ACL策略文件及实现流量镜像（mirror）功能，将相关流量镜像

至设定的端口（port，此端口连接抓包服务器网卡）上即可。

流量过滤ACL文件代码如下：

entryfilter１＿flow

｛ifmatchall｛protocoltcp；destination唱adress１９８．８１．２００．２／３２；｝then｛redirect唱port３：

４０；｝｝…

２畅２　网络抓包分析

网络抓包分析（packetcaptureandanalysis）

［３］

是通过抓取

捕捉网络流动的数据包并通过查看包内部数据来发现网络中传递的各类信息。

网络抓包分析系统依赖于一套捕捉网络数据包的函数库。

这套函数库工作在网络分析系统模块的最底层；作用是从网卡取得数据包或根据过滤规则取出数据包的子集，再转交给上层分析模块。

从协议上说，这套函数库将一个数据包从链路层接收，至少将其还原至传输层以上，以供上层

分析。

本系统开发时选取WinPcap作为底层的API接口实现数据包的捕获和分析

［４］

。

WinPcap是一套免费的、基于Windows

的网络接口API，主要用于网络封包抓取的一套工具，可适用于３２位的操作平台上解析网络封包，包含了核心的封包过滤、一个底层动态链接库和一个高层系统函数库以及可用来直接存取封包的应用程序界面。

WinPcap目前的最新稳定版本为４．１．１。

开发应用时首先需要选择、获得本地主机网络适配器信息；若有多个网络适配器时，打开指定的网络适配器，获得该网络适配器的相关信息；再创建线程接收所有流过的数据包信息；接收数据报成功时调用dealData函数处理解析数据报。

抓包程序，可以理解为是一个对数据包进行分析，然后将有用信息写入后台数据库的过程。

程序对由X４５０过滤出流量信息进行分析提取，实时将所有违规分析程序所需要的相关信息如HTTP访问的URL、捕获时间、源IP地址和目标IP地址

・

３４０１・第３期施晓华，等：

高校电子资源访问管理控制系统的设计和应用

等写入后台数据库。

程序每天在数据库中建立一张表，以日期命名如“url＿２０１００４０６”，结果如图３所示。

２畅３　违规分析

如图４所示，违规分析程序主要就是针对抓包获取到的校

内用户和电子数据库站点之间的HTTP的get请求进行分析，分析用户请求访问的URL内容，并根据URL中的请求文件类型来判断用户是否为下载或阅读全文。

如何判断出某个数据库站点的用户访问的URL是在进行全文下载是一个比较重要的环节，因为每个数据库提供全文下载的文献类型会有所不同，而且每个数据库发布系统在全文发布时，其全文URL也有不同，无明显统一特征。

这就需要用户管理员对不同的电子数据库的全文类型进行多次的测试和判断，找出URL对应的全文关键词。

一般数据库的全文文献特征为URL最后的后缀名为“．PDF”，但对于一些数据库，如美国化学学会ACS电子数据库，它的全文特征就在URL的中间，所以需要一些正则表达式来表示，如：

doi／pdf倡；doi／pdfplus倡；doi／full倡

其中，星号（倡）表示全文关键词在URL中间，若无则默认在结尾处；有多个不同关键词用分号（；）区分。

获取到用户IP在单位时间内对一个数据库的全文下载篇数，就可以判断出用户是否有过量下载的违规行为。

系统目前主要探测两类违规情况：

a）单位时间内总下载篇数，检测用户是否下载超过设置的最大篇数（图５）。

b）单位时间内同一个全文URL的下载次数，检查用户是

否使用网络下载工具多线程下载全文。

违规分析模块的实现是借助于基于C＃开发的程序来完成的，该程序主要是对抓包得到的信息进行违规判定以及作出相关的处理。

程序运行界面如图６所示。

由图６可知，可以设定每隔一段时间就循环地对对应表（图６中是url＿２００９１１０５）中的抓包数据进行分析，将各个数据库的违规信息写入违规信息表中。

２畅４　违规封（解）禁

上节提到的违规分析和处理程序是每隔１０s对违规信息

表进行分析，对于分析出来的违规IP，按照一定的违规控制策略（表２）进行对应的封禁和解禁处理。

表２　违规控制策略

２４h内违规次数

自动解除时间

１次１min２次５min３次６０min４次及以上

由管理员手工解除

　　违规分析程序通过判断违规IP在２４h内的违规次数推算出此次违规对应的封禁时间（开始封禁时间＋解禁时间），写入后台记录封禁实时事务的数据表中；在Web管理平台中，系统管理员进行提前手工解禁时，只需通过Web接口修改事务表对应的解禁时间即可。

在实际管理中，网络中心在校园网出口处开发了基于TCP会话劫持（TCPsessionhijack）的违规封禁程序，实现对一些校内违规IP的实时封禁和解禁。

本系统运行时，由图书馆运行的违规分析程序通过WebService方式发送处理的IP和处理方式（封禁／解禁）信息至网络中心封禁程序。

基于TCP会话劫持

［５］

就是在一次正常的通信过程中，有

第三方参与到其中，在基于TCP的会话里注入额外的信息，即从会话双方直接联系变成与第三方联系。

当确认的违规主机开始与外部主机进行通信时，违规封禁程序就会侦听到相应报文并采取措施来重定向页面或者终止该TCP连接。

基于TCP会话劫持的违规封禁程序（如图７）主要有以下三个步骤：

a）找到一个违规用户的会话。

会话劫持的第一步要求程

序可以找到违规用户IP的会话。

通过嗅探在学校出口处的所

b）预测正确的序列号。

在TCP传输数据时

，两个主机的

TCP层之间要交换初始序号，这些序号用于标志字节流中的数据，还对应用层的数据字节进行记数。

通常在每个TCP

报文

段中都有一对序号和确认号。

TCP报文发送者认为自己的字节编号为序号，而接收者的字节编号为确认号。

每一个字节传输过后，初始序号都会递增１。

所以，会话劫持成功的关键就

是计算或预测出正确的序列号。

c）向违规用户发送警告。

一旦确定了序列号，系统就可

以构造TCP报文

，

与用户建立通信，通过向用户发送一个重置

・４４０１・计算机应用研究　第２８卷

命令重定向至警告的页面。

由于是学校统一进行违规IP的封禁，这些违规不全是图书馆的违规下载，在发送警告页面时，网络中心的警告页面还需要进行自动判断，判断如果是图书馆违规下载IP后，再次跳转到图书馆警告页面，如图８所示。

２畅５　Ｗｅｂ

管理员Web管理平台主要完成管理员对系统的参数设置和日常管理与统计，Web架构如图

９所示，主要模块的功能有：

a）数据库管理模块，添加、管理需要处理的数据库列表，设置各类数据库相关参数，主要包括数据库全文关键词、

单位时间内允许下载全文的最大篇数等。

b）浏览、修改数据库信息，主要包括添加修改监测电子数据库对象的IP地址和子网掩码等。

c）手动封禁IP模块，系统设计时为管理员提供了手工添加（解除）需要封禁IP地址的功能。

d）封禁用户信息浏览模块，用于查看当前被封禁的IP用

户列表，浏览用户违规下载全文的时间和篇数，同时可对封禁用户进行解封处理。

e）系统用户管理模块，对系统用户进行授权管理，浏览用户信息。

f）违规统计信息模块，统计各类违规信息。

g）代理管理模块，校内代理地址的登记，可设置对部分代理放宽全文下载最大篇数。

h）

违规搜索模块，查询某IP的违规历史信息。

３　系统应用效果

在系统正式推出后

，图书馆在主页上同时推出了“关于对电子资源违规下载实施监控的公告”

［６］

，介绍了系统检测的数

据库对象、违规和封禁的规则和数据。

在全校师生中有效宣传了系统功能，提倡大家尊重知识产权，

进一步明确了合理使用图书馆电子资源的必要性；同时在发生违规被封禁后，提供有效沟通途径以及时处理。

２０１０年初至今，系统运行了半年多时间，使用效果良好，

根据统计显示，２０１０年４月共有违规１３８２次，５月共有违规５２４

次，６月共有违规５７７次，７月共有违规３１２次，８月共有违规２２３次。

同时在程序中对违规次数设置了阈值，当某一用户违规下载的次数超过了这个阈值时，系统将会自动发送邮件给管理员，如图１０所示。

管理员就能根据用户的违规情况及时进行处理。

从数据中可以看出，该程序在一定程度上能起到警示的作用，在用户

心理上形成不要在短时间内大量下载以及不要使用工具下载的习惯，从而能有效地防止用户过量下载全文的现象，使得数据库商的投诉也有所减少。

在系统部署和试运行过程中，发现不少违规IP是一些校内部门的内部NAT代理地址，这给图书馆管理员的管理和控制带来了诸多困难，因而在开发后期，工作人员增加了代理IP地址管理的模块，但在实际使用中仍然不够科学和严谨。

４　需要完善的工作

由于目前系统的违规分析数据主要是分析用户访问的全文URL信息，图书馆无法更加有效地区分一个代理服务器的过量下载是由于一个人的违规下载还是由于多人同时下载而导致的。

这些需要对这个IP的网络数据包作进一步的编程分析，而对于用户使用多线程下载工具，系统目前也无法从源数据包分析中获取用户是否正使用下载工具、使用何种下载工具的标志。

对于一些通过学校统一认证账号登录后使用的上网形式，如提供校外访问服务的Proxy、VPN及校内的无线网认证等，对违规用户不仅仅需要对IP的管理控制，还需要进一步结合统一认证账号，以至于图书馆门禁或读者管理系统的账号等。

基于这些缺点，希望可以在下一步的工作中，进一步研究、开发以完善图书馆对用户违规访问电子资源的控制和管理功能。

５　结束语

图书馆知识产权保护和防止用户恶意下载电子资源，一直是困扰图书馆电子资源服务的一大难题，往往小部分读者的违规影响了所有合法读者使用图书馆购买的电子数据库。

通过本文的介绍，在校园网出口处建立一个监控系统，在有用户初

次违规时就警告以致禁止其进一步访问电子数据库；通过设置比数据库商略严的违规条件，在短时间内就有效防止了大量恶意下载操作，使得图书馆对电子资源访问的管理控制系统化，主动地处理各类违规下载事件。

参考文献：

［１］邹荣，张成昱，姜爱蓉，等．电子资源访问管理与控制系统的设计

及应用［J］．图书情报工作，２０１０，１（５４）：

１２１唱１２４．［２］www．postgresql．org．［EB／OL］．（２０１０唱０７唱０４）。

［３］网络抓包分析系统和其协议分析研究［EB／OL］．（２０１０唱０７唱１４）．

http：

／／www．５６cto．com／html／Network／３／３９３４７．html．

［４］http：

／／www．wipcap．org．［EB／OL］．（２０１０唱０７唱１４）．

［５］周奇，佘华君，姜开达．实时预警校园网病毒［J］．中国教育网络，

２００８，５：

４３唱４４．

［６］关于对电子资源违规下载实施监控的公告［EB／OL］．（２０１０唱０８唱

１０）．http：

／／www．lib．sjtu．edu．cn／view．do？

id＝２６２２．

・

５４０１・第３期

施晓华，等：

高校电子资源访问管理控制系统的设计和应用