基于校园网的多校区网络安全设计

姚恺荣

摘要：在对各校区现有网络结构及其管理体系进行细致分析的基础上，结合整个学校校园网络中信息源的分布及重要级别，对整个校园网络进行了结构划分，设计了一个三层集中管理网络安全模型，以确保校园网络系统的安全。

关键词：网络安全；入侵检测；网络安全模型

1 设计目标

某高职院校由4所学校合并组建，该校的校园分布在一个城市的不同区域，形成了多个校区。该校下属十几个教学、行政管理部门，还有多个系一级的教学单位。目前该校网络已经完成了主校区的核心网络主控中心建设及分校区与主校区内部网建设，主校区和各分校区之间、各校区内部采用百兆光纤进行连接。为了进一步提高网络安全性，该校决定搭建一套专门的网络和信息安全管理系统，以确保整个校园网络的安全。

2 校园网模型分析

在信息安全管理系统建立之前，考虑到该校目前已经在网络安全设计上采取了一些基本措施，并且涉及到进行整体网络建设的步骤与保护投资等问题，我们首先对其网络中存在的安全问题及隐患进行分析，以保证提供方案的针对性与高效性。

（1）该校现在的工作系统大多是基于浏览器/服务器(B/S)、客户端/服务器(C/S)模式和Internet/Intranet网络计算模式的分布式应用。在这样一个分布式应用的环境中，学校的电子邮件服务器、WWW服务器、文件服务器、数据库服务器、应用服务器等等，每一个都是一个供人出入的“门户”，只要有一个“门户”没有完全保护好，“黑客”就会通过这道门进入系统，窃取或破坏所有系统资源。

（2）目前该校的网络主要采用TCP/IP作为网络通讯协议，主要服务器为Windows2000 Server操作系统。TCP/IP以开放性著称，共享信息的设计思路贯穿于系统的方方面面，对访问控制、用户验证授权、实时和事后审计等安全内容考虑较少，只实现了基本安全控制功能，还存在一些各种各样的漏洞。

（3）在该校园网中存在着多种应用系统，包括WWW、邮件系统、数据库系统等等。这些系统都可能存在一些安全隐患。从应用系统情况看，目前大多数业务系统使用单机处理教学、科研、财务、人事和文档等工作。利用HTTP服务器的一些漏洞，特别是在大量使用服务器脚本的系统上，利用某些可执行的脚本程序，入侵者可以很容易获得系统的控制权。数据库系统本身也存在很多安全问题。如何保证和加强数据库系统的安全性和保密性对于该校的正常、安全运行至关重要。此外，虽然该校当前也对安全问题也做了一定的考虑，安装了防病毒软件并设计了防火墙系统，但是鉴于当前校园网系统安全性的严重状况，这些考虑还是不足的，并没有形成一套完整的防护体系。

鉴于上述考虑，我们对整个校园网络结构分布及其各自的防护措施进行了调整和完善，引入分布式网络入侵检测系统，建立了整个学校校园网络的安全管理体系，并设计了一个自上而下的三层集中—分散管理体系：由主校区网络管理为中心，负责整个学校校园网络管理；各分校区网络管理分别负责各自辖区内的二层网络的管理；各单位网络管理具体负责各自工作站的管理，以入侵检测系统为主，以防病毒软件、防火墙为辅，建立一个多方位的安全保障体系，以确保整个校园网络系统的安全。

3 安全模型设计

3.1 设计的基本思想

由于该学校的网络系统是建立在主校区、分校区等基础上的多级分布式网络系统，其网络构成包括Unix/NT服务器、邮件服务器、Windows98/2000/XP等联网客户机等，而且各分校区的局域网之间的通讯都要通过相对不安全的公共网。这样一种网络结构采用分布式入侵检测系统较为适合，为发挥分布集中管理的优势，我们试图设计一个结合该校园网络特点的三层集中管理的网络模型。然后，在这个模型中融防火墙、防病毒软件和入侵检测系统三位一体，构建从边界防护到核心主机防护的深层防御体系。由于黑客在网络入侵中攻击方式各异而且途径多种多样，因此在构建校园网络防御系统时，可以通过移动代理建立完整的防御体系，实施“层层设防、集中控制”的防御策略。

3.2 三层集中管理模型设计

根据校园网结构，我们将其安全防护体系的部署重点分为了以下几个方面：PC机防护、实时保护文件/数据库服务器、实时防护邮件服务器、实时Internet网关的防护、在关键网段部署入侵检测系统保护核心数据安全。

具体的架构及设备在网络中的部署如下：

在防御体系的设计中，我们拟在该校主校区(总部所在地)安装一台管理服务器作为全校网络防御安全管理中心。在各校区分别安装一台管理服务器作为二层防御安全管理中心。在其全校十几个部门和二级单位中，则可根据规模和实际管理需要，安装管理服务器作为第三层网络防御安全管理中心，并在各地相应的管理员工作站上安装管理员客户端。管理员可以直接通过管理员客户端登录到管理服务器进行远程策略配置分发等管理工作。在网络中其他服务器和客户端上分别安装客户端设备，客户端所有的防御配置(包括防毒软件)都可以从管理服务器分发获得。这样在整个校园网中就形成了一个自上而下的三层集中管理结构。

第一层：主校区的管理服务器负责新区网络防御策略的制定分发和信息收集，同时负责二层管理服务器群的策略制定。在防毒方面，主校区服务器还可以负责从有关网站上下载病毒库和杀毒引擎升级代码，向新校区网络和二层管理中心提供升级服务。

第二层：二层管理服务器负责各分校区网络和各部门的防御策略制定和分发，同时负责向下属的没有设置管理中心的部门分发安全策略和升级代码。

第三层：三层管理服务器负责自己网络的客户端的安全策略的制定和分发。

根据需要，上级管理员可以直接登录到下级管理控制中心进行安全策略检查和配置。这样的防御结构，可以帮助该校园网在网络中所有可能遭受攻击的地方均采取相应的防范手段，从而形成一个完整的网络防御体系。

此外，管理员可以集中制定适用于网络的所有防御策略，然后分别部署到各个组中去，通过集中管理模式可以使管理员能够通过一台管理服务器完成对网络中的所有机器的集中配置，在客户端实现零管理。

4 结语

该校园防御结构从各个环节增强了校园网络系统对于入侵者的防御能力，从而为校园网信息系统的高可靠性、可用性提供了保证。同时，校园网三层集中管理结构为在其中实现入侵检测系统奠定了基础。

参考文献

[1]张晓．入侵检测系统的发展［J］．信息安全与通信保密，2004，7（3）：23

[2]刘惠方．基于主机的入侵检测系统分析［J］．信息网络安全，2005，9（2）：14

[3]李索科．分布式入侵检测系统［J］．信息网络安全，2006，6（3）：18