张 辉,王宏艳

(1.衡水广播电视大学,河北 衡水 053000; 2.河北金融学院,河北保定 071051)

教育网络信息安全及其防护策略的研究*

张 辉1,王宏艳2

(1.衡水广播电视大学,河北 衡水 053000; 2.河北金融学院,河北保定 071051)

随着网络技术的不断发展和 Internet的日益普及,校园网络得到普及应用,而远程教育进一步拓宽了网络的适用范围。在使用网络授课和学习的同时,网络信息安全便成为这个过程中的重要话题,网络的数据窃贼、黑客侵袭、病毒发布等危险动作,不仅给网络维护人员带来了大量的工作负担,也严重影响了远程教育平台的使用,因此应优化网络环境、提高安全等级,让我们使用的网络环境有一个良好的氛围。

远程教育;网络安全;黑客;病毒;防护策略

随着教育信息化程度的不断深入,教育网络建设与应用的不断普及和成熟,作为教育信息化重要基石的信息安全问题却不容乐观。校园信息安全、网络安全问题已经成为教育主管部门和各地学校管理者关心的重大问题,教育信息和网络的安全问题成为保持校园正常教学、管理的重要课题。

一、计算机网络安全的现状

计算机网络安全是指网络系统的软、硬件及系统中的数据受到保护,不受偶然或恶意的原因而遭到破坏、更改、泄露,系统连续、可靠、正常地运行,网络服务不中断。导致计算机网络信息安全受到威胁的根本原因在于网络存在安全问题,这其中最重要的是黑客攻击和病毒的侵袭两种类型,并且目前黑客的攻击方法已超过了计算机病毒的种类,而且许多攻击都是致命的。

在Internet网络上,因互联网本身没有时空和地域的限制,每当有一种新的攻击手段产生,就能在一周内传遍全世界,这些攻击手段利用网络和系统漏洞进行攻击从而造成计算机系统及网络瘫痪。蠕虫、后门 (Back-doors)、Rootkits、DOS(Denialof-Services)和Sniffer(网络监听)是大家熟悉的几种黑客攻击手段。但这些攻击手段却都体现了它们惊人的威力,时至今日,有愈演愈烈之势。

现将影响网络系统的安全隐患归纳为以下几点:

1.计算机病毒

随着近年 Internet的发展,E-mail和一批网络工具的出现改变了人类信息的传播方式和生活,同时也使计算机病毒的种类迅速增加,扩散速度大大加快,出现了一批新的传播方式和表现力的病毒,在校园网和远程教育平台上,对教师及学生用户的破坏性和传染力是以往的病毒类型所不可比拟的。病毒的主发地点和传播方式已经由以往的单机之间的介质传染完成了向网络系统的转化,类似于“CIH,尼姆达,Exploer,熊猫烧香”网络传染性质的病毒大量出现,一旦被病毒侵入系统并发作,造成的损失和责任是难以承受的。病毒和防病毒之间的斗争已经进入了由“杀”病毒到“防”病毒的时代。

Internet带来两种不同的安全威胁,一种威胁来自文件下载,这些被浏览的或是被下载的文件可能存在病毒。另一种威胁来自电子邮件。大多数互联网邮件系统提供了在网络间传送附带格式化文档邮件的功能,因此,遭受病毒的文档或文件就可能通过网关和邮件服务器涌入教育网络,比如我们常见的一些培训内容的垃圾邮件其中大部分就带有恶意的病毒,一旦用户打开邮件,病毒也就深藏系统。网络使用的简易性和开放性使得这种威胁越来越严重。

2.系统的安全漏洞

现在,新的操作系统或应用软件刚一上市,漏洞就已被找出。没有任何一个系统可以排除漏洞的存在,想要修补所有的漏洞简直比登天还难。

(1)缓冲区溢出。这是攻击中最容易被利用的系统漏洞。很多系统在不检查程序与缓冲区间的变化的情况下,就接收任何长度的数据输入,把溢出部分放在堆栈内,系统还照常执行命令。这样破坏者便有机可乘。他只要发送超出缓冲区所能处理的长度的指令,系统便进入不稳定状态。假如破坏者特别配置一串他准备用作攻击的字符,他甚至可以访问系统根目录,现在很多网络工具软件轻而易举地就能完成这个攻击。

(2)拒绝服务。拒绝服务攻击的原理是搅乱TCP/IP连接的次序。典型的DDOS攻击会耗尽或损坏一个或多个系统的资源,直至系统无法处理合法的程序。这类攻击的例子是Synflood攻击。发动Synflood攻击的破坏者发送大量的不合法请求要求连接,目的是使系统不胜负荷。其结果是系统拒绝所有合法的请求,直至等待回答的请求超时。

(3)网络软件的漏洞和“后门”。网络软件不可能是百分之百的无缺陷和无漏洞的,然而,这些漏洞和缺陷恰恰是黑客进行攻击的首选目标,曾经出现过的黑客攻入网络内部的事件,这些事件的大部分就是因为安全措施不完善所招致的苦果。另外,软件的“后门”都是软件公司的设计编程人员为了自便而设置的,一般不为外人所知,但一旦“后门”洞开,其造成的后果将不堪设想。

(4)垃圾邮件和间谍软件。一些人利用电子邮件地址的“公开性”和系统的“可广播性”进行商业、宗教、政治等活动,把自己的电子邮件强行“推入”别人的电子邮箱,强迫他人接受垃圾邮件。与计算机病毒不同,间谍软件的主要目的不在于对系统造成破坏,而是窃取系统或是用户信息。事实上,间谍软件日前还是一个具有争议的概念,一种被普遍接受的观点认为间谍软件是指那些在用户不知情的情况下进行非法安装后很难找到其踪影,并悄悄把截获的一些机密信息提供给第三者的软件。间谍软件的功能繁多,它可以监视用户行为,或是发布广告,修改系统设置,威胁用户隐私和计算机安全,并可能不同程度地影响系统安全性。

3.不合理的系统维护措施

系统固有的漏洞及一大堆随处可见的破坏工具大大方便了黑客的攻击,但无效的安全管理也是造成安全隐患的一个重要因素。当发现新的漏洞时,管理人员应仔细分析危险程度,并马上采取补救措施。

有时候,虽然我们已经对系统进行了维护,对软件进行了更新或升级,但由于路由器及防火墙的过滤规则过于复杂,系统又可能会出现新的漏洞。所以,及时、有效地改变管理可以大大降低系统所承受的风险。

4.低效的系统设计和检测能力

在不重视信息保护的情况下设计出来的安全系统会非常“不安全”,而且不能抵御复杂的攻击。建立安全的架构一定要从底层着手。这个架构应能提供实效性的安全服务,并且需要妥善的管理。当然,我们自己能做的仅限于网络系统架构本身,而操作系统的设计安全完全在于以微软为代表的系统开发公司。

二、计算机网络信息安全的防护策略

尽管计算机网络信息安全受到威胁,但是采取恰当的防护措施也能有效地保护网络信息的安全,下面总结了几种方法并加以说明以确保在策略上保护网络信息的安全:

1.加强安全意识

七分管理,三分技术。管理是网络安全的核心,技术是安全管理的保证。只有制定完整的规章制度、行为准则并和安全技术手段合理结合,网络系统的安全才会有最大的保障。这是对于网络管理而言,那么对于使用和参与网络教育的教师和学生用户来说,时刻提醒自己注意防护系统,可疑文件或者信息、页面等不要随意打开这些必备的安全常识更是熟记于心,病毒、木马、黑客攻击往往就隐蔽于此。

2.网络防火墙技术和杀毒软件技术

防火墙是一种用来加强网络之间访问控制,防止外部网络用户以非法手段通过外部网络进入内部网络,访问内部网络资源,保护内部网络操作环境的特殊网络互联设备。它对两个或多个网络之间传输的数据包如链接方式按照一定的安全策略来实施检查,以决定网络之间的通信是否被允许,并监视网络运行状态。虽然防火墙是目前保护网络免遭黑客袭击的有效手段,但也有明显不足:无法防范通过防火墙以外的其他途径的攻击,不能防止来自内部变节者和不经心的用户们带来的威胁,也不能完全防止传送已感染病毒的软件或文件,以及无法防范数据驱动型的攻击。

在网络上,软件的安装和管理方式是十分关键的,它不仅关系到网络维护管理的效率和质量,而且涉及到网络的安全性。好的杀毒软件能在几分钟内轻松地安装到组织里的每一个NT服务器上,并可下载和散布到所有的目的机器上,由网络管理员集中设置和管理,它会与操作系统及其他安全措施紧密地结合在一起,成为网络安全管理的一部分,并且自动提供最佳的网络病毒防御措施。当计算机病毒对网络资源的应用程序进行攻击时,这样的病毒存在于信息共享的网络介质上,因此就要在网关上设防,在网络前端进行杀毒。

3.网络主机的操作系统安全措施

防火墙作为网络的第一道防线并不能完全保护内部网络,必须结合其他措施才能提高系统的安全水平。在防火墙之后是基于网络主机的操作系统安全和物理安全措施。按照级别从低到高,分别是主机系统的物理安全、操作系统的内核安全、系统服务安全、应用服务安全和文件系统安全;同时主机安全检查和漏洞修补以及系统备份安全作为辅助安全措施。这些构成整个网络系统的第二道安全防线,主要防范部分突破防火墙以及从内部发起的攻击。系统备份是网络系统的最后防线,用来遭受攻击之后进行系统恢复。在防火墙和主机安全措施之后,是全局性地由系统安全审计、入侵检测和应急处理机构成的整体安全检查和反应措施。它从网络系统中的防火墙、网络主机甚至直接从网络链路层上提取网络状态信息,作为输入提供给入侵检测子系统。入侵检测子系统根据一定的规则判断是否有入侵事件发生,如果有入侵发生,则启动应急处理措施,并产生警告信息。而且,系统的安全审计还可以作为以后对攻击行为和后果进行处理、对系统安全策略进行改进的信息来源。

(1)隐藏IP地址。黑客经常利用一些网络探测技术来查看我们的主机信息,主要目的就是得到网络中主机的IP地址。IP地址在网络安全上是一个很重要的概念,如果攻击者知道了你的IP地址,等于为他的攻击准备好了目标,他可以向这个IP发动各种进攻,如DDOS(拒绝服务)攻击、Floop溢出攻击等。隐藏IP地址的主要方法是使用代理服务器。使用代理服务器后,其他用户只能探测到代理服务器的IP地址而不是用户的IP地址,这就实现了隐藏用户IP地址的目的,保障了用户的上网安全。

(2)关闭不必要的端口。黑客在入侵时常常会扫描你的计算机端口,如果安装了端口监视程序(比如Netwatch),该监视程序则会有警告提示。如果遇到这种入侵,可用工具软件关闭用不到的端口,比如用“NortonInternetSecurity”关闭用来提供网页服务的80和443端口,其他一些不常用的端口也可关闭。

(3)更换管理员账户。Administrator账户拥有最高的系统权限,一旦该账户被人利用,后果不堪设想。黑客入侵的常用手段之一就是试图获得Administrator账户的密码,所以我们要重新配置Administrator账号。首先是为Administrator账户设置一个强大复杂的密码,然后我们重命名Administrator账户,再创建一个没有管理员权限的Administrator账户欺骗入侵者。这样一来,入侵者就很难搞清哪个账户真正拥有管理员权限,也就在一定程度上减少了危险性。

(4)杜绝 Guest账户的入侵。Guest账户即所谓的来宾账户,它可以访问计算机,但受到限制。不幸的是,Guest也为黑客入侵打开了方便之门。禁用或彻底删除 Guest账户是最好的办法,但在某些必须使用到Guest账户的情况下,就需要通过其他途径来做好防御工作了。首先要给 Guest设一个强壮的密码,然后详细设置 Guest账户对物理路径的访问权限。

(5)封死黑客的“后门”。俗话说“无风不起浪”,既然黑客能进入,那我们的系统一定存在为他们打开的“后门”,我们只要将此堵死,让黑客无处下手。①删掉不必要的协议。对于服务器和主机来说,一般只安装TCP/IP协议就够了。鼠标右击“网络邻居”,选择“属性”,再鼠标右击“本地连接”,选择“属性”,卸载不必要的协议。其中NetBIOS是很多安全缺陷的源泉,对于不需要提供文件和打印共享的主机,可以将绑定在 TCP/IP协议的Net-BIOS给关闭,避免针对NetBIOS的攻击。②关闭“文件和打印机共享”。文件和打印机共享应该是一个非常有用的功能,但在我们不需要它的时候,它也是引发黑客入侵的安全漏洞。所以在没有必要“文件和打印机共享”的情况下,我们可以将其关闭。即便确实需要共享,也应该为共享资源设置访问密码。③禁止建立空连接。在默认的情况下,任何用户都可以通过空连接连上服务器,枚举账号并猜测密码。因此我们必须禁止建立空连接。④关闭不必要的服务。服务开得多可以给管理带来方便,但也会给黑客留下可乘之机,因此对于一些确实用不到的服务,最好关掉。比如在不需要远程管理计算机时,我都会将有关远程网络登录的服务关掉。去掉不必要的服务停止之后,不仅能保证系统的安全,同时还可以提高系统运行速度。

(6)做好IE的安全设置。ActiveX控件和Java Applets有较强的功能,但也存在被人利用的隐患,网页中的恶意代码往往就是利用这些控件编写的小程序,只要打开网页就会被运行。所以要避免恶意网页的攻击只有禁止这些恶意代码的运行。IE对此提供了多种选择,具体设置步骤:“工具”→“Internet选项”→“安全”→“自定义级别”。另外,在IE的安全性设定中我们只能设定Internet、本地Internet、受信任的站点、受限制的站点。

在“2009教育网络与信息安全大会”上“主动防御”成为主题,同时重点突出中国教育和科研计算机网CERNET中的校园网络运行监控体系、软硬件安全产品选型、流量控制、客户端安全防护的部署和实施。并且会议通过专家报告、高峰论坛、自由提问等形式,从安全管理到技术手段,帮助教育用户建立多重保护的校园网络,以降低教育网络运行的安全压力和风险管理,减少网络内部和外部应用层的入侵和攻击,提高网络整体运行效率。

随着IPv6的普及推广,校园网络所面临的各种攻击模式必将有所改变,因此对校园网安全问题的研究也会变得越来越复杂。在基于IPv6的校园网世界里,一些安全问题依然存在:电子邮件的病毒还会继续传播,关键主机的安全隐患仍然存在,应用层的攻击也不会停止,当然也可能出现新的安全问题,比如 IPv6巨大的地址空间也会给攻击者带来一些机会。总之,虽然IPv6是一种比 IPv4更具安全性的协议,但是,校园网仍然必须应对和解决各种安全问题。

由于校园网的安全问题直接影响到校园正常的教学、科研和管理等工作,因此引起了相关教育主管部门和各大高校的普遍注意。我们说“魔高一尺,道高一丈”,必须从数字校园网络整体进行安全体系结构的规划和建设,提高网络的应急能力和日常的预警功能,做到主动防御、积极应对,而不仅仅是在安全问题爆发后才采取补救措施。同时,还必须增强相关人员的安全管理意识,多方开展技术培训,建立一支思想合格、技术过硬的网络安全保障队伍。

三、结束语

总之,网络安全是一项综合性的课题,涉及技术、管理、使用等许多方面,既包括信息系统本身的安全问题,又有物理的和逻辑的技术措施。为此建立有中国特色的网络安全体系,需要国家政策和法规的支持及集团联合研究开发。网络安全不仅仅是技术问题,同时也是一个安全管理问题。我们必须综合考虑安全因素,制定合理的目标、技术方案和相关的配套法规等。世界上不存在绝对安全的网络系统,随着计算机网络技术的进一步发展,网络安全防护技术也必然随着网络应用的发展而不断发展。

[1]黄怡强等.浅谈软件开发需求分析阶段的主要任务[J].中山大学学报论丛,2007,(1).

[2]朱理森,张守连.计算机网络应用技术[M].北京:专利文献出版社,2008.

[3]张红旗.信息网络安全[M].北京:清华大学出版社,2008.

[4]雷震甲.网络工程师教程[M].北京:清华大学出版社,2007.

[5]郭军.网络管理[M].北京:北京邮电大学出版社,2008.

(责任编辑 靳荣莉)

G434

A

1008-469X(2010)02-0018-04

2009-12-15

张辉(1974-),男,河北衡水人,讲师,主要从事计算机专业教学和机房管理研究。