甘肃电大校园网等级要求下安全体系建设

鲁 江，陈秀兰

（甘肃广播电视大学 理工农医学院，甘肃 兰州 730030）

甘肃电大是以网络平台为基础的远程教育体系，最初的网络平台提供的服务比较单一，学生在省校、分校和中央电大在线平台进行注册和学习，安全问题还不是很突出。但随着校园网络的不断发展，提供的服务越来越多，如在线点播、云教室授课、校园内无线网全覆盖等，教师的日常工作、科研等都离不开校园网。采用传统的防火墙和杀毒软件，已经无法满足网络的安全和对重要数据的保护，所以，对校园网络进行分析，全面查找网络存在的漏洞，提出符合实际的解决方案，才能构建安全网络体系。

一、等级保护制度及我校的等级保护现状

根据国家《关于印发〈信息安全等级保护管理办法的通知〉（公通［2007]43 号）和教育部办公厅印发的《教育行业信息系统安全等级保护定级工作指南（试行）》，要求全国各高校根据自己的实际情况，按照“谁主管谁负责、谁运维谁负责、谁使用谁负责”的原则，对甘肃电大的信息系统的安全等级进行分析［1]。

甘肃电大根据等级保护国家信息安全建设的重要政策，对信息系统分等级、全盘统一部署兼顾适度风险，从业务的角度考虑，保护重要学习平台、教务系统、科研类信息系统，根据服务对象和发布方式将其进行了等级划分。

第一类，学生考试平台、学习平台及教务系统，其中包括终结性考试、行考作业、精品课程、网络核心课程、学生注册信息、缴费平台等。

第二类，学校网，主要包括宣传网站、期刊网站、各院处网站、甘肃电大学报等。

第三类，校内服务系统，如电子邮件、OA 系统、VPN、双向视频系统等。

参照等级保护二级的标准来构建网络安全体系，从其定义可以看到，等级保护高度关注学校的利益和数据安全，学校的网络系统一旦被不法分子入侵对社会及信息安全将造成严重威胁，因此学校信息系统至少应该满足二级的标准［2]。

甘肃广播电视大学校园网的建设经历了从无到有、从简单到复杂的过程。20世纪90年代校园网络资源和信息系统较为贫乏，经过多年的建设和安全制度的不断完善，甘肃电大建设了一个中心机房，安装服务器和交换机数量超过二百台，存储资源超过120 T，出口带宽500M，校园网的骨干区域为10 000 M核心网络，校园网的建设基本完成。目前网络管理面临异构环境、业务融合、规范管理等问题，中心机房的安全运行需要考虑基础设施、技术发展、业务运行、服务等各种要素，采用统一智能管理平台，实现中心机房高可靠、自动化、24×7无人值守、可远程的智能化科学化管理。在这样的安全防护下，防止信息资源泄露，保障校园网的信息系统正常运行同样是网络安全面对的首要问题。

二、校园网络安全威胁

校园网中各种网络设备如交换机、路由器、无线控制器等，存在固有的或配置的各种提供服务网络平台的操作系统，其自身也存在系统漏洞和缺陷，入侵者会利用这些漏洞进行非法操作。另外，在实际应用中，要采用相应的访问控制和授权机制，配置安全策略。任何设备都是有人来控制和操作的，管理人员的素质和业务能力都会给网络带来安全隐患。

校园网络拓扑结构如图1所示。

图1 甘肃电大校园网拓扑结构图

三、网络中潜在安全威胁

第一，来自“外部”的入侵。校园网络提供的各种服务需要发布到Internet网上，这样容易受到黑客的攻击。

第二，非授权访问。黑客可以通过各种手段对系统设备及资源进行非正常使用，扩大权限，非法访问信息。

第三，冒充合法用户。黑客通过采用假冒主机欺骗合法用户，修改口令、用户权限、密钥等信息，达到欺骗系统，从而达到侵占用户资源的目的。

第四，破坏数据的完整性。黑客采用非法手段对窃取的信息进行更改、删除、以干扰合法用户的正常使用。

第五，数据篡改与丢失。黑客一旦入侵了学校网络，他们往往会针对重要信息进行窃取、篡改和破坏，保护好核心业务数据的完整性、可靠性、保密性及不可抵赖性是我们需要考虑的重点。

第六，破坏系统的可用性。黑客对提供的服务系统进行干扰，影响系统的正常作业流程，病毒一旦入侵系统，会使系统运行速度变慢甚至瘫痪。

第七，网络病毒。网络病毒对整个网络的威胁越来越大。

第八，来自内部人员的威胁。内部员工的终端与Internet 相连，其计算机容易遭到黑客的攻击，黑客就可以利用它作为跳板，攻击重要的服务器［3]。

四、解决方案

通过对现有网络的分析，根据二级等级保护要求，从信息安全、数据安全、网络安全、更加严格的访问机制等方面进行综合考虑，提出以下解决方案。

（一）整体网络架构

1.我校教育大厦和旅游大厦校区与核心交换机之间建议部署访问控制设备，避免未授权的用户通过教育大厦与旅游大厦访问核心交换机；

2.对无线网络区增加访问控制粒度；

3.加强应用服务域的安全机制，增添“WEB防火墙”中入侵检测、恶意代码防范、防病毒等功能；

4.各区域之间加强无线网络区与其他网络区域之间的访问控制粒度；

5.解决整体的网络架构存在的缺陷，互联网接入域以及核心交换域应采取双机冗余设备的方式，避免因一台设备的故障从而引起全网网络故障；

6.在网络中访问控制设备应具有对数据提供运行/拒绝访问的能力，控制粒度应能达到网段级；

7.应能够限制网络连接数以及最大流量；

8.应在网络中部署恶意代码防范设备，并且能够及时得对恶意代码进行检测和清除。

（二）设备功能方面

1.登录设备时能够进行身份甄别；

2.应能够在会话处于非活跃状态下限定连接时间并且终止连接；

3.对设备的运行状况的有日志记录并保存；

4.设备应具有登录失败后的处理功能，能够限制登录次数及时结束会话和网络连接超时退出等措施；

5.当进行远程管理时，采取必要的加密措施防止信息在网络传输过程中被截取；

6.网络设备操作系统及应用程序应遵循最小安装原则，只安装需要的组件；

7.应加强对系统服务的管理、关闭默认共享和高危端口等；

8.应能及时发现设备可能存在的漏洞，并且及时的修补。

（三）设备性能方面

1.核心设备及服务器的业务处理能力具备冗余，以满足业务高峰期的需要；

2.整体网络架构具有冗余，避免关键节点存在故障；

3.对重要的教学资源应有备份，存储设备应有冗余［4]。

（四）校园网硬件设备

根据现有设备使用情况以及需满足二级等级保护要求增加设备。

1.终端杀毒设备。网络结构中的所有终端设备需安装防病毒软件，且防病毒软件必须为最新，病毒库必须更新至最新，对防病毒软件进行统一管理和及时升级等；

2.虚拟化服务器间安全网关。目前所有的服务器部署采用虚拟化平台，各个平台之间需要具有安全防护措施，避免由于一台虚拟主机出现安全事件而影响其他的虚拟服务器；

3.智能DNS设备。目前网络结构中部署有一台智能DNS，但设备已老化，数据处理方面存在不足，对现有的智能DNS设备进行升级，能够判断访问者的IP地址并解析出对应的IP地址，对于非法的IP用户禁止访问服务器。

4.堡垒机。由于网络中设备、服务器等繁多，设置堡垒机可以实现统一的分配账户以及集中的管控，粗放权限管理、运维账号混用、账号的管理无序等问题，避免了潜在的风险，通过部署堡垒机设备，用唯一身份标识的可以对多台设备进行维护，确保用户拥有的权限是完成任务所需的最小权限，防止非法、越权访问事件发生[5]。

5.漏洞扫描设备、WEB 漏洞扫描设备。从当前的网络结构中分析得出，整体网络中未部署漏洞扫描设备以及WEB漏洞扫描设备，无法定期进行漏洞扫描，无法及时发现和修补系统安全漏洞，这样就会存在未授权人员利用漏洞攻击信息系统的风险。建议部署漏洞扫描设备以及WEB 漏洞扫描设备，以全方位检测IT 系统存在的脆弱性，解决安全配置问题及应用系统安全漏洞。通过强制修改系统存在的弱口令，关闭系统不必要开放的账号和端口，停止不必要的服务，完善整体安全风险报告，帮助网络管理人员及时发现WEB 漏洞，扫描设备用于发现网站的风险隐患，并及时采取有效的修补措施，降低风险、减少损失。

6.日志审计设备。根据当前网络结构分析得知，网络中未部署日志审计设备，无法对网络中的所有设备、服务器等所产生的日志进行集中管理并分析生成审计报表，且日志的保存周期无法满足《网络安全法》规定的6个月，因此，应有部署日志审计设备，能够针对大量分散设备的日志进行高效采集、统一管理、集中存档，为安全事件的事后取证提供可靠的依据。

7.VPN 上网设备。根据网络结构分析以及满足业务运行情况，需部署一台VPN 上网设备，可方便分校地区的用户以及在放假休息期间及时查看网络的运行状况。

8.交换机。根据网络结构分析得知，在教育大厦以及旅游大厦校区与核心交换机之间需部署一台汇聚交换机，方便线路的部署以及访问控制的限制，从而满足业务的运行及安全方面的需求。

9.网络安全制度建设。在系统安全的各项建设内容中，安全管理体系的建设是关键和基础。通过有效的安全管理体系建设，最终实现采取集中控制、分级管理，建立完整的安全管理体系，能够实现动态的、系统的、制度化的、以预防为主的安全管理模式，从而能够提供全方位、多层次、快速有效的网络安全防护。

五、总结

甘肃电大校园网按照国家信息安全保障体系建设的政策标准，按照等级保护的办法及其相关标准规范落实，担当起信息安全等级保护的责任。等级保护与国家利益和社会秩序紧密联系，学校的信息系统如果被入侵或破坏后可能对社会秩序和公众利益造成严重损害，影响学校的声誉。网络安全需要全体人员共同参与，加强专业维护人的业务水平及使用人员的安全意识，加强对相关人员定期进行安全方面的培训，养成良好的上网习惯也非常重要［5］。