校园局域网安全解决方案.docx

校园局域网安全解决方案.docx

《校园局域网安全解决方案.docx》由会员分享，可在线阅读，更多相关《校园局域网安全解决方案.docx（11页珍藏版）》请在冰豆网上搜索。

校园局域网安全解决方案

校园局域网安全解决方案

校园局域网安全解决方案

1．绪论

随着计算机网络的广泛使用和网络之间信息传输量的急剧增长,学校教育教学在很大程度上依赖于网络，数据、信息的不安全性也成为最主要的问题。

很多时候学校的一些信息被删除、丢失，或校园网内经常有大规模病毒出现。

同时受产品和技术条件的限制，很多人对网络安全的意识仅停留在如何防范病毒阶段，对网络安全缺乏整体意识.因此，校园网必须有足够强的安全措施,无论是公众网还是校园网中，网络的安全措施应能全方位地针对各种不同的威胁和脆弱性，确保网络信息的CIA。

本方案以山东女子学院局域网安全解决方案为例，包括原有网络系统分析、安全需求分析、安全目标的确立、安全体系结构的设计等。

2．网络系统概况

2.1网络概况

山东女子学院现有一万余人，校园占地1134亩,分长清和市内两个校区。

本方案主要针对长清校区，现长清校区有教学楼两栋、实验楼一栋、图书馆一栋、学生宿舍五栋、办公楼一栋、行政楼一栋。

教学用计算机近三千台.其局域网是一个信息点较为密集的千兆局域网络系统，它所联接的现有所有的信息点为在学校的办公和学习提供了一个快速、方便的信息交流平台.在原有网络上实施一套完整、可操作的安全解决方案是必然的。

2.1.1网络概述

本校的局域网，物理跨度不大，通过千兆交换机在主干网络上提供1000M的独享带宽,通过下级交换机与各层之间的工作站和服务器连结，并为之提供600M的独享带宽。

利用与中心交换机连结的Cisco路由器，所有用户可直接访问Internet。

2.1.2网络结构

计算机网络系统就是利用通信设备和线路将地理位置不同、功能独立的多个计算机系统互联起来，以功能完善的网络软件实现网络中资源共享和信息传递的系统。

此局域网按访问区域可以划分为三个主要的区域：

Internet区域、内部网络、公开服务器区域.内部网络又可按照属性、职能、安全的重要性分为许多子网,包括:

办公子网、行政子网、学习子网、教学子网、中心服务器子网等。

不同的局域网分属不同的广播域，在中心交换机上将重要网段各自划分为一个独立的广播域，而将其他的工作站划分在一个相同的网段.

2.1.3网络结构的特点

　在分析本局域网的安全风险时,应考虑到网络的如下几个特点：

　　1.内部网络中存在许多不同的子网，不同的子网有不同的安全性，因此在进行安全方案设计时，应考虑将不同功能和安全级别的网络分割开，这可以通过交换机划分VLAN来实现。

　　2。

网络中有二台应用服务器，在应用程序开发时就应考虑加强用户登录验证，防止非授权的访问。

在进行网络方案设计时，应综合考虑到这个企业局域网的特点，根据产品的性能、价格、潜在的安全风险进行综合考虑。

2。

2网络应用

校园网网络应用表

应用名称

应用类型

新应用

重要性

电子邮件

电子邮件

否

重要

FTP

文件共享

否

非常重要

主页

WEB浏览

否

非常重要

图书馆

数据库访问

否

非常重要

认证计费

认证计费

否

非常重要

网络维护

网上报修

否

非常重要

论坛

讨论交流

否

重要

远程教育

远程教育

否

非常重要

VoIP语音电话

IP电话

是

重要

视频点播

视频点播

否

重要

视频会议

流媒体

是

重要

网上课堂

网上教学

否

重要

远程接入

VPN

否

非常重要

安全更新

安全

否

非常重要

校域名

域名服务

否

非常重要

校内代理

代理服务

是

重要

办公自动化

OA

否

重要

其中主要应用有：

1）电子邮件功能及OA：

校园网信息平台应有功能强大的邮件系统和OA系统,可以为每个使用者建立自己的信箱,和OA账号，安全保密又极大地方便了通信。

2）讨论和交流功能：

3）学校网站：

学校有许多信息需要向老师、学生或社会公布，校园网信息平台的安全体系应保证不允许被修改这一点.

4）科研环境应用系统:

科研环境应用系统多集中在各实验室和多功能竞赛及多功能报告厅，这类网络应用可能需要较高的带宽以满足多媒体实验环境.

5）电子教学：

电子教学是搭建校园网的首要目标，电子教学的具体形式有:

多媒体教学、教学机房、电子图书馆、多媒体教育资源库、内部信息共享

6）职能管理:

除电子教学外，学校的各项管理工作的现代化也势必要通过网络来实现.7）远程教育：

远程教育建起了一座跨越地域、不受规模限制的虚拟学校,将教学信息通过网络向更远处传播,对学校而言引进了更多的事业和机会,对学习者而言也提供了更多的选择.

8）无线网络：

随时随地能够从网络获得相要的资源成为教育用户追求的目标。

国际上已经把拥有无线校园网作为现代化校园的一个标志，我们山东女子学院也应在这点做好先前的准备，迎战未来.

9）视频点播：

VOD:

视频点播,对于校园网的用户,学校通过把好的课件放到VOD服务器上，让学生们进行点播，灵活的开展教学服务。

2.3数据存储的位置

数据存储

位置

应用

团体

图书馆藏书目录

图书馆服务器集群

图书馆藏书目录

所有

Web服务器

网络中心服务器集群

Web站点主机

所有

E—mail服务器

网络中心服务器集群

电子邮件

所有

FTP服务器

网络中心服务器集群

文件下载

所有

WindowsDHCP服务器

计算中心服务器集群

编址

所有

Windows网络管理服务器

计算中心服务器集群

网络管理

管理部门

WindowsDNS服务器

网络中心服务器集群

命名

所有

3．网络系统安全风险分析

针对这个企业局域网中存在的安全隐患，并且要针对面临的风险,采取相应的安全措施.我们从五个安全层面来考虑保护校园网的安全，并结合本局域网的实际情况，具体地分析网络的安全风险。

3.1物理安全风险分析

网络的物理安全是整个网络系统安全的前提。

主要指地震等灾难；电源故障；人为操作失误或错误；设备被盗、被毁；电磁干扰；线路截获。

以及高可用性的硬件、双机多冗余的设计、机房环境及报警系统、安全意识等。

在这个企业区局域网内，由于网络的物理跨度不大，只要制定健全的安全管理制度做好备份，并且加强网络设备和机房的管理，这些风险是可以避免的.

3.2网络层的安全风险分析

网络结构的安全涉及到网络拓扑结构、网络路由状况及网络的环境等。

3。

2.1公开服务器面临的威胁

局域网内公开服务器区作为公司的信息发布平台，一旦不能运行或者受到攻击，会对本校造成很大的威胁。

我们有必要将公开服务器、内部网络与外部网络进行隔离,避免网络结构信息外泄；同时还要对外网的服务请求加以过滤。

3.2.2整个网络结构和路由状况

网络系统的成熟与否直接影响安全系统成功的建设。

在局域网络系统中，只使用一台路由器,用作与Internet连结的边界路由器，网络结构相对简单，具体配置时可以考虑使用静态路由,这就大大减少了因网络结构和网络路由造成的安全风险。

3.3应用及管理的安全风险分析

应用的安全性涉及到信息、数据的安全性;信息的安全性涉及到；机密信息泄露、未经授权的访问、破坏信息完整性、假冒、破坏系统的可用性等.由于局域网跨度不大，绝大部分重要信息都在内部传递，因此信息的机密性和完整性是可以保证的。

对于特别重要的信息需要对内部进行保密的可以考虑在应用级进行加密，针对具体的应用直接在应用系统开发时进行加密。

管理是网络中安全最最重要的部分。

责权不明，管理混乱、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。

3。

4网络攻击手段

3.4。

1黑客攻击

黑客们的攻击行动无时无刻不在进行,会利用系统和管理上的一切可能利用的漏洞。

公开服务器是黑客们最青睐的，一旦黑客发现漏洞,侵入系统服务器后，从普通用户变为高级用户,将会对整个局域网构成很大的威胁。

如黑客可能会开发欺骗程序,将其装入系统服务器中，用以监听登录会话、非授权访问、信息泄漏或丢失破坏数据完整性、拒绝服务攻击、利用网络传播病毒等。

我们可以综合采用防火墙技术、Web页面保护技术、入侵检测技术、安全评估技术来保护网络内的信息资源，防止黑客攻击。

3。

4.2病毒攻击

计算机病毒一直是计算机安全的主要威胁。

当我们从网上下载一些东西如可执行文件和接收来历不明的E-Mail文件需要特别警惕，否则很容易使系统导致严重的破坏。

典型的“CIH”病毒就是一可怕的例子。

3.4。

3恶意代码

恶意代码不限于病毒，还包括蠕虫、特洛伊木马、逻辑炸弹、和其他未经同意的软件.应该加强对恶意代码的检测.

3.4.4内部不法员工非法攻击

　内部员工熟悉服务器、小程序、脚本和系统的弱点.他们有时可能会做些“小实验”，亦或者因为心中有不平之事,做些小破坏，他们也可以传出至关重要的信息、泄露安全重要信息、错误地进入数据库、删除数据等等。

3。

4。

5外界非法人员进入内部局域网

　外部人员与内部员工相识，内部员工对校园局域网的安全体系意识淡薄，同时因为是熟人，所以一时放松了戒备,让非法人员有了可乘之机。

3.5管理层安全

网络中心由专人负责，非网管人员不得随意进入,在网络中心内不得随意安装其它电器和非服务器工作站。

对网络的核心资源实行备份保护（含硬件、软件、数据）,存放核心资源的场所要有严密的安全保障措施。

未经网络中心许可,各部门不得对现有网络（包括网络设备和软件配置）随意改动。

加强对有权限进入网络工作的人员的管理，对网络口令实行分权分级别管理,同级别的口令不得互用，要定期对口令进行修改并备案存档。

4安全需求与安全目标

4.1安全需求分析

通过前面我们对局域网络结构、应用及安全威胁分析，可以看出其安全问题主要集中在对公开服务器的安全保护、防黑客和病毒、重要网段的保护以及管理安全上。

因此，我们必须采取相应的安全措施杜绝安全隐患，其中应该做到：

　　1、公开服务器的安全保护

　　2、防止黑客从外部攻击

　　3、入侵检测与监控

　　4、信息审计与记录

　　5、病毒防护

　　6、数据安全保护

　　7、数据备份与恢复

　　8、网络的安全管理

　　针对局域网络系统的实际情况，在系统考虑如何解决上述安全问题的设计时应满足如下要求:

　　1.大幅度地提高系统的安全性（重点是可用性和可控性）；

　　2.保持网络原有的能特点,即对网络的协议和传输具有很好的透明性，能透明接入,无需更改网络设置；

　　3.易于操作、维护，并便于自动化管理,而不增加或少增加附加操作；

　　4.尽量不影响原网络拓扑结构，同时便于系统及系统功能的扩展；

　　5。

安全保密系统具有较好的性能价格比,一次性投资,可以长期使用；

　　6.安全产品具有合法性，及经过国家有关管理部门的认可或认证；

　　7。

分布实施。

4.2网络安全策略

　安全策略是指在一个特定的环境里,为保证提供一定级别的安全保护所必须遵守的规则。

该安全策略模型包括了建立安全环境的三个重要组成部分，即：

　威严的法律:

安全的基石是社会法律、法规、与手段,这部分用于建立一套安全管理标准和方法.即通过建立与信息安全相关的法律、法规，使非法分子慑于法律，不敢轻举妄动。

　先进的技术:

先进的安全技术是信息安全的根本保障，用户对自身面临的威胁进行风险评估，决定其需要的安全服务种类，选择相应的安全机制，然后集成先进的安全技术。

　严格的管理：

各网络使用机构、企业和单位应建立相宜的信息安全管理办法，加强内部管理，建立审计和跟踪体系，提高整体信息安全意识。

4。

3系统安全目标

　　基于以上的分析，我们认为这个局域网网络系统安全应该实现以下目标：

　　1、建立一套完整可行的网络安全与网络管理策略（加上项目符号和编号）

　　2、将内部网络、公开服务器网络和外网进行有效隔离,避免与外部网络的直接通信

　　3、建立网站各主机和服务器的安全保护措施，保证他们的系统安全

　　4、对网上服务请求内容进行控制，使非法访问在到达主机前被拒绝

　　5、加强合法用户的访问认证，同时将用户的访问权限控制在最低限度

　　6、全面监视对公开服务器的访问，及时发现和拒绝不安全的操作和黑客攻击行为

　　7、加强对各种访问的审计工作，详细记录对网络、公开服务器的访问行为，形成完整的系统日志

　　8、备份与灾难恢复——强化系统备份，实现系统快速恢复

　　9、加强网络安全管理，提高系统全体人员的网络安全意识和防范技术

5网络安全方案总体设计

5.1安全方案设计原则

在对此局域网网络系统安全方案设计、规划时，应遵循以下原则：

　综合性、整体性原则：

应用系统工程的观点、方法,分析网络的安全及具体措施。

计算机网络安全应遵循整体安全性原则,根据规定的安全策略制定出合理的网络安全体系结构。

需求、风险、代价平衡的原则：

对任一网络，绝对安全难以达到，也不一定是必要的.对一个网络进行实际研究并对网络面临的威胁及可能承担的风险进行定性与定量相结合的分析，然后制定规范和措施，确定本系统的安全策略。

　一致性原则：

一致性原则主要是指网络安全问题应与整个网络的工作周期同时存在，制定的安全体系结构必须与网络的安全需求相一致。

在网络建设的开始就考虑网络安全对策，比在网络建设好后再考虑安全措施容易,且花费小。

易操作性原则：

安全措施需要人为去完成，如果措施过于复杂，对人的要求过高，本身就降低了安全性。

其次，措施的采用不能影响系统的正常运行。

分步实施原则:

随着网络规模的扩大及应用的增加，网络脆弱性也不断增加。

一劳永逸地解决网络安全问题是不现实的。

实施信息安全措施需相当的费用支出。

因此分步实施，即可满足网络系统及信息安全的基本需求，亦可节省费用开支。

多重保护原则：

任何安全措施都不是绝对安全的。

建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的安全。

可评价性原则：

如何预先评价一个安全设计并验证其网络的安全性,这需要通过国家有关网络信息安全测评认证机构的评估来实现。

5。

2安全服务、机制与技术

　安全服务：

安全服务主要有：

控制服务、对象认证服务、可靠性服务等;

　安全机制：

访问控制机制、认证机制等;

　安全技术：

防火墙技术、鉴别技术、审计监控技术、病毒防治技术等；在安全的开放环境中，用户可以使用各种安全应用.安全应用由一些安全服务来实现;而安全服务又是由各种安全机制或安全技术来实现的.应当指出，同一安全机制有时也可以用于实现不同的安全服务。

5.3安全体系结构

通过对网络的全面了解，按照安全策略的要求、风险分析的结果及整个网络的安全目标，整个网络措施应按系统体系建立.

5.3。

1物理安全

保证计算机信息系统各种设备的物理安全是整个计算机信息系统安全的前提，物理安全是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。

它主要包括三个方面：

环境安全:

对系统所在环境的安全保护，如区域保护和灾难保护如场地选择、防火、内部装修、供配电系统、空调系统、火灾报警及消防设施、防水、防静电、防雷击、防鼠害、电磁波的防护等等.

设备安全:

设备安全主要包括设备的防盗、防毁、防电磁信息辐射泄漏、防止线路截获、抗电磁干扰、电源保护和设备冗余备份等.这些措施通过严格管理及提高员工的整体安全意识来实现。

媒体安全：

包括媒体数据的安全及媒体本身的安全。

为了防止系统中的信息在空间上的扩散，通常是在物理上采取一定的防护措施，来减少或干扰扩散出去的空间信号。

5.3。

2系统安全

系统的安全主要是指操作系统、应用系统的安全性以及网络硬件平台的可靠性。

对于操作系统的安全防范可以采取如下策略：

1）对操作系统进行安全配置，提高系统的安全性；系统内部调用不对Internet公开；关键性信息不直接公开，尽可能采用安全性高的操作系统.

2）开发应用系统时，采用规范化的开发过程，尽可能减少应用系统的漏洞；

3）网络上的服务器和网络设备尽可能不采取同一家的产品；

4）通过专业的安全工具定期对网络进行安全评估。

5。

3。

3网络安全

我校的近三千台机器,不仅需要对网络进行划分，还要对各个网络之间进行访问控制。

1．划分多个子网

我们主要利用VLAN技术来实现对内部子网的物理隔离，为了将不同保密级别的网络隔离开，我们还要采用隔离技术将核心密和普密两个网络在物理上隔离，同时保证在逻辑上两个网络能够连通。

2．加强各个网络访问之间的控制

在中心交换机上对校园网内各个Vlan只允许必要的协议通过,对于具有威胁性或者易受病毒感染的协议和端口进行屏蔽；对服务器Vlan进行重点设置,只开放必要的端口；在路由器上进行一些设置,对学生教室和机房进行有效控制;还要注意学校内网与Internet之间的访问控制，在路由器和外网之间加上防火墙，对外部的内容进行过滤,这样可有效地解决一些外网对我校的攻击。

3。

定期对网络安全进行控制

互联网病毒的日益增多,每天要查看中心交换机、路由器的运行情况,做好安全取证，消除网络隐患；定期对交换机和路由器做出备份，以在发生灾难性破坏时对系统进行恢复，保障校园网的正常运行。

5。

3.4应用安全

在应用安全上，主要考虑通信的授权，传输的加密和审计记录.这必须加强登录过程的认证（特别是在到达服务器主机之前的认证），确保用户的合法性；其次应该严格限制登录者的操作权限,将其完成的操作限制在最小的范围内。

还可以采用访问存取控制，对权限进行分割和管理。

对应用安全，主要考虑确定不同服务的应用软件并紧密注视其Bug；对扫描软件不断升级。

1.服务器资源安全

我校拥有WWW、FTP、DHCP等多个服务器资源，对于有数据变化的资源，要做到每天对数据库进行备份。

服务器资源的访问也要做到不同等级的控制，对外公布的服务，每天要注意网页内容,对于反动、不安全因素及时删除，以免造成不良影响。

其他所有资源只允许校内访问，对有后台管理页面的只允许管理员进行访问,以防止程序和资源被破坏。

2.防火墙控制

防火墙主要的种类是包过滤型,包过滤防火墙一般利用IP和TCP包的头信息对进出被保护网络的IP包信息进行过滤，能根据校园局域网的安全政策来控制（允许、拒绝、监测）出入网络的信息流。

同时可实现网络地址转换（NAT）、审记与实时告警等功能。

由于这种防火墙安装在被保护网络与路由器之间的通道上,因此也对被保护网络和外部网络起到隔离作用。

5。

3。

5安全管理

面对网络安全的脆弱性，除了在网络设计上增加安全服务功能,完善系统的安全保密措施外，还必须花大力气加强网络安全管理规范的建立。

1。

安全管理的目标

1）大幅度地提高校园网的安全性和保密性

   2）易于操作、维护,并便于自动化管理

   3）具有较好的性价比

4）特殊应用监测

   5）高度的可扩展性

  6）高度精确的远程报警

7）远程浏览系统

  8）完善的监测报告

2。

安全管理的实现

1）根据工作的重要程度，确定该系统的安全等级

2）根据确定的安全等级，确定安全管理的范围

3）制订相应的机房出入管理制度对于安全等级要求较高的系统，要实行分区控制，限制工作人员出入与己无关的区域。

4）制订严格的操作规程:

操作规程要根据职责分离和多人负责的原则，各负其责，不能超越自己的管辖范围。

5）制订完备的系统维护制度：

对系统进行维护时，要首先经主管部门批准，并有安全管理人员在场，故障的原因、维护内容和维护前后的情况要详细记录。

6）制订应急措施：

要制定系统在紧急情况下，如何尽快恢复的应急措施,使损失减至最小。

建立人员雇用和解聘制度,对工作调动和离职人员要及时调整响应的授权.

5.4网络拓扑图设计

添加各处防火墙的网络拓扑图

结语：

通过对当前校园网络现状分析及当前面临的安全威胁，我们提出了相应的防范措施。

但是随着网络技术的不断发展,校园网将不断面临更多的新的安全问题,我们必须时刻关注最新的网络安全发展动态,采用最新的技术，这样才能保证校园网络安全运行。