导航：安全管理网>> 安全论文>> 综合安全论文>>正文

浅析校园网的安全

文档作者：黄慧文档来源：上海济光职业技术学院信息中心		点击数：	更新时间： 2021年07月30日
下载地址：点击这里	文件大小： 1.33 MB 共4页	文档格式： PDF	下载点数： 0 点（VIP免费）

全屏查看

内容预览 [文件共4页]

本文件共4页，如需编辑使用，请下载。

注：预览效果可能会出现部分文字乱码（如口口口）、内容显示不全等问题，下载是正常的。

	文件大小：1.33 MB 共4页文件格式：PDF 下载点数： 0 点（VIP会员免费）

下一篇：基于ACL的校园网安全技术

上一篇：校园网安全系统的设计与实现

文本预览

仅提取页面文字内容，供快速阅读使用。

浅析校园网的安全
黄慧
上海济光职业技术学院信息中心上海201901
摘要:计算机网络已经应用了几十年,互联网已经发展成为一个全球的大网络。期间校园网也得到了飞速的发展,但是
到目前为止,网络的安全仍然存在着很大的风险,整个校园网络的安全一直是各学校重点关心及研究的领域
关键词:校园网安全
0引言
于内部网络,防火墙也需要根据学校的具体需要对IP地址进
随着计算机网络的不断发展,网络的开放性,共享性,行一些处理,例如,IP转发或NAT等
互连性随之扩大。特别是互联网的普及,使得网上交易、网防火墙需要根据它所保护网络不同要求作相应的改变。
络银行等一些网络新生业务的迅速兴起,计算机网络安全性很可能,这其中的变化之一就是某学院自身的发展,而更多
问题显得相当重要。目前造成网络不安全的主要因素是系教学方面信息来自 Internet这些意味着将需要更多的防火墙
统、协议及数据库等的设计上存在缺陷。由于当今的计算机资源,要注意进行定期检查并按需要升级软件和硬件来更新
网络操作系统在本身结构设计和代码设计时偏重考虑系统防火墙。
使用时的方便性,导致了系统在远程访问、权限控制和口令(2)系统效率问题:安装防火墙的挑战之一,就是上网
管理等许多方面存在安全漏洞。网络互连一般采用TCPIP人员用来通信和交换数据的速度。防火墙的功能越强大,数
协议,它是一个工业标准的协议簇,但该协议簇在制订之初,据的传送速度可能就越小
对安全问题考虑不多,协议中有很多的安全漏洞。同样,数可供堡垒主机使用的处理资源和内存资源是防火墙的
据库管理系统(DBMS)也存在数据的安全性、权限管理及远两个重要特征。尽管堡垒主机可能不是防火墙组成结构中惟
程访问等方面问题,在DBMS或应用程序中可以预先安置从一的硬件部分,当其防火墙软件运行时,它具有重要的作用
事情报收集、受控激发、定时发作等破坏程序。
如果主机运行得太慢,或者它没有足够的内存来处理大量的
由此可见,针对系统、网络协议及数据库等,无论是其包过滤决策、代理服务请求和其他通信,整个系统的效率将
自身的设计缺陷,还是由于人为的因素产生的各种安全漏会受到严重的影响,这是因为堡垒主机处于网络的周边,并
洞,都可能被一些另有图谋的黑客所利用并发起攻击因此且如果没有设置其他的堡垒主机和防火墙来保证网络负载
要保证校园网网络安全,则必须熟知黑客攻击网络的一般过平衡的话,该堡垒主机将是通信能否顺利通过的惟一网关。
程。只有这样方可在黑客攻击前做好必要的防备,从而确保
堡垒主机并不仅仅是一台经过特别配置的,可以运行的
网络运行的安全和可靠。
防火墙、代理服务器和其他软件的计算机,它还需要足够快
1校园网防火墙配置的总原则
的处理器速度和大容量的内存来处理网络的当前通信。对防
在校园网防火墙的配置时,要考虑以下两个问题:火墙和堡垒主机来说,可伸缩性和安全性都很重要,但是,
(1)可伸缩性问题:某学院校园网对防火墙的需求不同内存状况对防火墙的性能发挥和它所保护的个人用户的工
于一般性的商业公司。按照校园网要求配置防火墙的时候,作效率很重要。堡垒主机需要足够的RAM,以便支持每个
防火墙应当具有伸缩性,可以随着它所保护网络的发展而升程序的运行,这些程序对本机加载必不可少,否则,堡主
级。它应该考虑到教工和学生的需求,他们希望能网上冲浪机需要执行内存交换,从而降低了效率
和发送mail如,由于TCP/IP协议既用于 Internet又用关键资源是和硬件或者软件相关的内容,它在服务或者
作者简介:黄慧(9男硕士研究生,研究方向:计算机网络、多媒体技术
万方数据
2011.8格安全技术与应用15
程序的运行过程中起重要作用。表1列出了防火墙成功运行时又不使自己被发现,这样也还是可能的。但若禁止网络访
的关键资源。
问路由器或只允许内网中的某些主机访问它,则攻击会变得
表1防火墙服务的关键资源
很困难。在这种情况下,攻击者得先侵入堡垒主机,然后进
关键资源
有待限制的服务
 DISK 1O
电子邮件
入内网主机,再返回来破坏屏蔽路由器,整个过程中不能引
 DISK 1O
新闻
发警报。屏蔽子网防火墙能够帮助建立一个非防护区,这种
堡垒主机操作系统的性能
P路由
类型防火墙利用堡垒主机夹在两个路由器中间,所以它是最
堡垒主机操作系统的性能
wEB缓存
堡垒主机操作系统的性能
 WEB
安全的防火墙系统。
表中第二列中的限制项目可以节省关键资源。
对于进来的信息,外面的这个路由器用于防范通常的外
2校园网防火墙配置的具体策略
部攻击(如源地址欺骗和源路由攻击),并管理 Internet到DMZ
设置了安全策略,并且决定了防火墙要遵循的规则以网络的访问。它只允许外部系统访问堡垒主机(还可能有信息
后,就可以按照既定的策略来配置防火墙。不同防火墙配置服务器)。里面的这个路由器提供第二层防御,只接受源于堡
的特点,如表2所示。
垒主机的数据包,负责的是管理DMZ到内部网络的访问。
表2不同防火墙配置的特点
对于去往 Internet的数据包,里面的路由器管理内部网
名称
说明
络到DMZ网络的访问。它允许内部系统只访问堡垒主机(还
屏蔽位于客户计算机和 interet之间的包过滤路可能有信息服务器)。外面的路由器上的过滤规则要求使用代
双宿主主机
提供安全功能的主机来主控防火墙软件
屏蔽式主机专用于提供安全功的外
理服务(只接受来自堡垒主机的去往 Intemet的数据包)。如图
共用一个防火墙的路由器放置在防火墙的内外部接口上,对数据包进1所示。
两个路由器行过滤
DMZ屏蔽子网该网络与防火墙相连,具有公共服务器(DMZ),在
处在受保护的内部网络的外面
多重防火墙 DMZ DMZ附带两个防火墙,有更高的安全性
反向防火墙防火墙监控出站而不是入站的通信
 DMZ
专用防火墙防火墙用来保护特殊类型的通信,比如电子邮件
由器
防
表3防火墙受到的威胁及相应的抵御措施
威胁
防御
由器
 cisco PIX防火墙配有 flood Defender,可以阻断此
务器a务
 SYN flooding类攻击
交换机
tp服
客户端电脑
端口扫描检查防火日志,并阻断有恶意的ip地址访问
病毒
确保病毒防护软件已和防火墙的软硬件结合使用
4
有害的电子邮使用软件扫描Port25的SMTP通信,例如 Cisco
件附件
px防火墙自带的 Mail Guard
图1DMZ屏蔽子网示意图
2.1DMZ屏蔽子网的防火墙
部署DMZ屏蔽子网防火墙系统有如下优点:
某学院校园网的防火墙系统类似于DM屏蔽子网的防(1)入侵者必须突破3个不同的设备(夫法探测才能侵
火墙。所谓DMZ屏蔽子网的防火墙是在内部网络和外部网袭内部网络:外部路由器,堡垒主机,还有内部路由器。
络之间建立一个被隔离的子网,用两台分组过滤路由器将(2)由于外部路由器只能向Internet通告DMZ网络的存
一子网分别与内部网络和外部网络分开,在很多实现中,两在, Internet上的系统不需要有路由器与内部网络相连。这样
个分组过滤路由器放在子网的两端,在子网内构成一个“非军网络管理员就可以保证内部网络是“不可见”的,并且只有
事区”DMZ。有的屏蔽子网中还设有一堡垒主机作为惟一可在DM网络上选定的系统才对 Internet开放(通过路由表和
访问点,支持终端交互或作为应用网关代理。这种配置的危DNS信息交换)
险带仅包括堡垒主机、子网主机及所有连接内网、外网和屏(3)由于内部路由器只向内部网络通告DMZ网络的存
蔽子网的路由器。
在,内部网络上的系统不能直接通往 Internet,这样就保证了
如果攻击者试图完全破坏防火墙,他必须重新配置连接内部网络上的用户必须通过驻留在堡垒主机上的代理服务
三个网的路由器,既不切断连接又不要把自已锁在外面,同才能访问 Internet
万数安全技术与应用2011.8
(4)包过滤路由器直接将数据引向DMZ网络上所指定求,重建请求,把它们发送到指定的位置,就像是从它(代理)
的系统,消除了堡垒主机双宿的必要
那里发出的请求一样。它可以通过双宿主主机来创建。在双
(5)内部路由器在作为内部网络和 Internet之间最后的宿主主机设置中,包括防火墙或者代理服务器软件的主机拥
防火墙系统时,能够支持比双宿堡垒主机更大的数据包吞有两个接口,一个和 Internet相连,另一个和受保护的内部
吐量。
网络相连(见图4)。某学院校园网采用的是应用程序代理,因
(6)由于DMZ网络是一个与内部网络不同的网络,为它是一套软件相对来讲比较易维护易操作;同时也比较
NAT(网络地址变换)可以安装在堡垒主机上,从而避免在内安全可靠。
部网络上重新编址或重新划分子网。
 interet
2.2校园网防火墙系统的新功能
为了使学校的校园网络更加安全可靠,某学院对其校园
1
一
网的防火墙添加了一些特殊的功能。
有应阳
主
 (1)NAT
1.2→
学校的路由器或者防火墙执行NAT时,可以把公共IP
地址转变为专用地址,反之亦然,这样可以对外部的计算机
隐藏受保护网络上计算机的IP地址。使用NAT进行简单的
数据传送的步骤如图2所示。
图4双宿主主机上的应用程序代理
因为双宿主主机位于内部LAN和 Intemnet之间,位于内
部网络上的主机永远不能直接访问 Intemet根据双宿主主机
的要求,代理服务器程序发出请求,并且将来自 Intemet的
包转发到主机上去。
在屏蔽子网中,提供代理服务器软件的主机拥有一个独
立的网络接口。除了代理服务器软件指定的数据类型,主机
过滤器两端的包过滤器会过滤掉所有的通信
(4)入侵检测系统(IDS)
图2网络地址转换示意图
监控到可能的入侵袭击并及时报警,可以有多种选择。
(2)加密
入侵检测系统安装在处于网络边界的外部或者内部的路由
做SSL或者其他类型加密的路由器或者防火墙在接收一器上(见图5)。许多流行的软件防火墙包中内置IDSB了,包
个请求后,通过私钥将它转为杂乱数据,然后通过接者的括 Secure Computing Sidewinder
路由器或者防火墙交换公钥。接着就可以对消息进行解密,
并以一种容易理解的形式把它提供给终端用户,如图3所示。
图3路由器或者防火墙可以对消息加密
4
(3)应用程序代理
应用程序代理是一个软件,它根据主机的要求,接收请
图5并入边界路由器的IDS系统
万方数据
2011.8凤格安全技术与应用17
口的扫描。若有则发送警报通知管理员,及时阻断此类攻击。
 Cisco CIDS的入侵检测系统(Ds)可以有不同的工作方
式。它负责监控防火墙和 Internet之间的区域。通过配置,
能够检测到来自 Internet上对防火墙的攻击时间(见图6)
3小结
校园网的安全性是校园网正常运行的前提,对校园网健
康发展至关重要。首先,提出了防火墙配置总的策略,主要
关心两点:(1)可伸缩性:(2)运行效率。对不同的防火墙配置
进行了列表比较,某学院选用的是性价比较高的DMZ屏蔽
子网防火墙系统,因为其对安全性有较大的保证,所以被人
们认为是目前最好的校园网防火墙。在此基础上,某学院又
图6防火墙与外部路由器之间的 Cisco CIDS设备
对防火墙添加了新功能有4个:(1)NAT;(2)加密:(3)应用
某学院校园网为什么要安装IDS呢?安装DS的外部路程序代理;(4)入侵检测系统。
由器负责告知来自 Internet的入侵攻击,而安装了DS的内参考文献
部路由器负责监控内部网络上的主机,在他们试图通过可疑[1]孙锋编著网络安全与防黑技术北京:机械工业出版社
端口或者不寻常的服务进入 Internet时通知管理员,这些动2004
作可能是已侵入计算机的特洛伊木马病毒引起的。IDS也可[2]赵泉编网络安全与电子商务北京清华大学出版社2005
以用来寻找是否有大量的TCP连接请求发送到了目标计算[3]朱传靖著知者无畏:一个真实的病毒世界北京金城出版
机的许多端口上,因此可以发现是否有人正企图进行TCP端社2002
 On the campus network secu
 Huang Hui
 Shanghai Jiguang Co
 Abstract:Con
e
 During th
 as become a major global network.
 r, network security remains a big risk. the
万数

网友评论 more

综合安全论文最新内容

05-04