| 出版日期：2003-11-10 总期号：1265 本年期号：84 |
|
 |
化繁为简全面保障
天融信大学远程教育网络安全解决方案 在社会高速发展的今天，知识更新速度加快，有关人士分析过，现今知识更新的速度平均仅为2年，有些行业甚至半年、三个月就更新一次。面对如此快速的发展，传统的教育模式已经不能满足社会的需求，就在这样的情况下，远程网络教育应时而生。面向终身教育和学习型社会，远程网络教育满足了社会的需求，成为传统教育的最有力补充，也成为当今各大院校积极建设推进的教育方式。但随着教育网络应用的扩大，其安全风险也变得更加严重和复杂，不安全网络环境给学习求知者带来诸多烦恼和不便。日前，天融信公司就为某大学远程教育网络提供了一套完善的安全解决方案，保障了该校远程网络教育的顺利实施。 该远程教育网现状 该大学的远程教育的网络一部分和中国电信相连，从电信来的访问客户直接访问放在电信网络上的服务器。一部分主机以教育网为网络出口，方便教育用户访问。LMS_webserver 一台服务器上有两块网卡，两个IP地址，这样的结构，是从应用的角度来考虑的，一方面方便内网维护，另外一方面外网可以通过中国电信的线路直接访问。另外，该大学的对外的远程教育网和内部的办公网络，是一个互联的网络系统，所有的服务器和内部工作用的计算机都在同一个网段上，同时Web服务器一机跨双网并有Internet相连的通道。 潜在风险和需求 无防火措施，网站拓扑部分裸露,网络边界不清晰，网站很容易受到来自外部的非法攻击，重要信息易被窃取；一机跨双网的结构，使得黑客直接攻击入侵这台主机成功便可非常容易地以这台机器为跳板，盗取内网的机密信息；基于Internet公网的开放性、国际性与自由性，而内部工作用的主机很多，极可能遭到内部的对数据库和Web的攻击，这些攻击行为包括：嗅探维护主机的密码、更改数据内容、让主机拒绝服务等；当遭到黑客攻击时，该大学的远程教育系统无法记录黑客攻击的手段及发现黑客攻击过程并且报警；互联网的飞速发展也给计算机病毒提供了快捷的传播途径，虽然该网络采用了防火墙，但对正常的文件所携带的病毒也是没有办法的防御的。另外，该网络缺少主页防篡改系统，主机无加固手段,无系统漏洞检测手段，对应用安全风险，也没有控制手段。电子邮件应用安全、网上浏览应用安全等该网络均没有保障手段。 该大学远程教育网络急切需要安全防火墙划分网络边界以实现访问控制需求，有效切断一机器跨双网的现象；需要分割内网办公用户和对外服务器，并进行访问控制对入侵行为进行检测；需要对全网或重要服务器进行病毒防范，对服务器主机安装主机加固软件，安装主页防篡改系统，安装脆弱性分析软件；需要建立健全的安全规章管理制度，增加安全管理员工或者将安全外包；控制应用风险需要加强电子邮件、网上浏览行为、磁盘安全管理。 网络安全方案总体原则 在进行对该大学远程教育网络系统安全方案的设计和规划时，北京天融信公司遵循以下原则： 
入侵检测系统及其与防火墙联动示意图 需求、风险、代价平衡的原则：对该网络进行实际的研究(包括任务、性能、结构、可靠性、可维护性等)，并对其面临的威胁及可能承担的风险进行定性与定量相结合的分析，然后制定相应的规范和措施，确定系统的安全策略。 综合性、整体性原则：运用系统工程的观点、方法，分析网络的安全及具体措施，从系统整体的角度去看待、分析，以求达到有效、可行的安全措施。 一致性原则：一致性原则主要是为了网络安全问题与整个网络的工作周期(或生命周期)同时存在，制定的安全体系结构与该网络的安全需求相一致。 易操作性原则：采用的安全措施尽量做到对人的要求不太高，这样可以增强安全性，但措施的采用不会影响系统的正常运行。 适应性及灵活性原则：采取的安全措施必须能随着网络性能及安全需求的变化而变化，容易适应、容易修改和升级。 多重保护原则：建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其他层保护仍可保护信息的安全。增加可靠性。 可评价性原则：如何评价一个，通过国家有关网络信息安全测评认证机构的预先评估网络的安全设计并验证其网络的安全性。 对于该大学网络的建设，建议采取以上的原则，先对整个网络进行整体的安全规划，然后，根据实际状况建立一个防护--检测--响应为基础的安全防护体系，保证整个网络安全的最根本需要。 方案配备及功能特色 访问控制策略：对于该大学远程教育网络的访问控制策略，需要从防火墙和划分VLAN两个方面来考虑。防火墙可设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间，作为不同网络或网络安全域之间信息的唯一出入口。这样分割了服务器和内网,可以方便地进行访问控制,利用天融信防火墙的双地址路由可以轻松实现，服务器主机在中国电信的网络和教育网上进行方便的访问。这种策略解决了一网跨双关的风险，实现了安全访问、控制了入侵行为的检测、并有效保证了网络应用安全。 入侵检测系统策略：为了防止一些新的攻击、来自内部网络的攻击以及那些绕过防火墙访问而带来的攻击，需要采用安全检测系统，即入侵检测系统，对所有进出内部网络的访问行为进行检查并做相应反应（记录、报警、阻断），加强网络的安全性。该策略通过探测器能检测到所有进出被保护网段的访问行为并及时通知控制台，依据控制台的指令做出相应的反应（如报警、阻断等），同时还和天融信公司网络卫士防火墙进行联动，即探测器检测到违规的访问行为将通知网络卫士防火墙，防火墙将根据收到的信息自动生成动态过虑规则，将该违规访问行为进行阻断，并通知探测器（附图）。 安全评估系统策略：采用安全评估系统，用专业公司做出的相应软件，对系统进行扫描并提出合理性评估意见、报告以及解决办法，并定期对网络系统进行安全性分析，及时发现并修正动态运行的网络系统中存在的弱点和漏洞，有效地防止了黑客攻击。该策略扫描分析能力强大，能给用户建议保证系统安全的安全策略，最大限度地保证用户信息系统的安全。 病毒防护系统策略：由于病毒的种类和传播媒介每天都在不断翻新，现在的病毒更多地通过网络共享文件、电子邮件及Internet/Intranet进行扩散。天融信对该大学远程教育系统在网络中配备病毒防护系统，进行全网的防毒、杀毒，并为由此提出了一套完整的防病毒解决方案。通过采用整体防病毒解决方案大大简化网管人员的工作，降低了总拥有成本。 页面保护系统策略：建议使用页面保护系统，这样可以随时对主页系统进行监控，当发现主页被非法篡改后，会马上产生响应，自动把主页恢复正常。此策略配置范围覆盖省、各市局域网，产品采用天融信公司NG FW防火墙的Webguard页面恢复模块。本系统主要对Web服务器页面进行安全保护，即将需要进行保护的页面进行备份及校验，并定时检查，一旦发现页面文件被非法修改，则及时报告管理员恢复页面或进行自动恢复，以免造成较大影响。 主机加固产品策略：该策略主机加固产品用来安装在几台重要的数据库和Web服务器里，以保证整个网络安全解决方案更加有效。 |
||||||||||||||||||||||||||
