孙瀛

（北华大学工程训练中心，吉林 吉林 132021）

随着我国大学数字化建设的逐步深入，校园网作为数字化校园的基础平台己经在各个高校普遍建立。同时，来自因特网的病毒、攻击甚至色情反动等违法内容也进入了校园网，支撑学校运行的信息系统以及校园网的用户要直接面对来自校园网内外攻击的威胁，校园网中的网络安全事件成为制约校园网可用性的主要因素。由于历史的原因，各个高校的校园网建设都尽力经历了若干个发展期，设备品牌种类繁多，设备在功能上、处理能力上也有较大差别。从TCP/IP模型上来看，校园网面临物理层安全、网络层安全、应用层安全等全方位的威胁。

1 校园网分布广泛的安全问题

校园网属于中到大型规模的园区网络，过去校园网管理者把安全管理的重点侧重于网络边界、主机安全和病毒防护等方面，但近一两年大量基于二层的网络攻击和网络资源滥用、应用层攻击等现象的出现给校园网络的安全运行带来了极大的威胁，今天网络安全问题已分布于TCP/IP模型的每一个层面上，如图1。

1.1 物理层安全

图1 TCP/IP协议栈中的安全关注点

从物理环境角度讲，地震、水灾、火灾、雷击等环境事故，电源故障，人为操作失误或错误，电磁干扰，线路截获等，都对校园网络的安全构成威胁，保证校园网络系统中各种设备的物理安全是保障整个网络系统安全的前提。

1.2 网络层安全

网络层安全是容易被忽视但又是攻击最容易实施、也是最不容易被发现的安全威胁，它可以使网络瘫痪或者通过非法获取密码等敏感信息的方式来危及网络用户的安全。由于任何一个合法用户都能获取一个以太网端口的访问权限，而这些用户都有可能成为黑客，同时由于设计OSI模型的时候，允许不同通信层处于相对独立的工作模式，因此承载所有客户关键应用的网络第二层的安全就变得至关重要。近年来，校园网内来自网络第二层的攻击数量惊人，已成为校园网络管理者非常头痛的安全问题。根据安全威胁的特征分析，来自于网络第二层的攻击主要包括：MAC地址泛滥攻击、DHCP服务器欺骗攻击、ARP欺骗、IP/MAC地址欺骗。

1.3 应用层安全

应用层安全是指应用系统的安全，包括应用系统访问控制安全、应用系统数据传输安全、应用系统的桌面安全。今天，各种蠕虫、间谍软件、网络钓鱼等应用层威胁和EMAIL、移动代码结合，形成复合型威胁，使威胁更加危险和难以抵御。这些威胁直接攻击校园网核心服务器和应用，攻击终端用户计算机，给用户带来信息风险甚至财产损失;对网络基础设施进行DOS/DDOS攻击，造成基础设施的瘫痪;更有甚者，像电驴、BT等P2P应用和MSN、QQ等即时通信软件的普及，校园网宝贵的宽带资源被业务无关流量浪费，形成巨大的资源损失。面对这些问题，传统解决方案最大的问题是，防火墙工作在TCP/IP 3～4层上，根本就“看”不到这些威胁的存在。无带宽管理和应用控制能力已成为多数校园网安全管理者普遍面临的问题。

1.4 管理安全

管理混乱、安全管理制度不健全，责权不明及缺乏可操作性等都可能引起管理安全的风险。管理方面的安全隐患包括：内部管理人员或师生为了方便省事，设置的口令过短和过于简单，甚至不设置用户口令，导致很容易破解。责任不清，使用相同的口令、用户名，导致权限管理混乱，信息泄密。把内部网络结构、管理员用户名及口令以及系统的一些重要信息传播给外人带来信息泄漏风险。内部不满的人员有的可能造成极大的安全风险。

2 加强校园网络安全的解决方案

网络安全模型对大型网络的安全设计与实现有非常重要的指导意义。我们可以围绕PDRR安全模型思想设计一个有针对性的、完善的校园网安全体系，提高学校校园网的安全。PDRR是 4个英文单词的头字符：Protection(防护)、Detection(检测)、Response(响应)、Recovery(恢复)，如图 2 所示。

图2 PDRR安全模型

PDRR安全模型的基本思想是：以安全策略为核心，通过文件完整性检查、流量统计、异常分析、模式匹配以及基于应用、目标、主机、网络的入侵检查等方法进行安全漏洞检测，为系统快速响应提供依据。当发现系统有异常时，根据系统的安全策略作出快速响应，并将系统动态调整到“最安全”或“风险最低”的状态，从而保护系统安全。在安全策略的指导下，防护、检测、响应和恢复组成了一个完整的、动态的安全循环，从而达到不断增强网络安全的目的。依据PDRR模型的指导思想，从安全问题分层考虑，提出下面一个解决方案：

（1）接入层安全控制区：为防范网络层的攻击，主要部署应用DHCP侦听、动态ARP防护、端口绑定、802.IX接入认证等安全技术，这几种技术通常关联使用，为降低大量广播数据给网络带来的危害，在接口上开启广播报文限制。

（2）网络核心安全控制区：主要使用访问控制列表(ACL)来控制VLAN之间的访问，将内网用户间的访问做必要的隔离和限制；利用ACL防范假冒源IP地址攻击;同时使用防火墙设置DMZ区。

（3）服务器安全区：使用严格的访问控制限制内外网对服务器网段的访问，应用PVLAN技术，进一步控制服务器之间不必要的访问。

（4）网络边际安全区：使用三区域单向或双向的访问控制，禁止DMZ区域对内网的访问和外网对内网的直接访问；加强VPN服务的用户认证与资源访问的管理，避免门户大开现象的发生。

（5）部署电子邮件过滤等内容管理系统，根据内容的分类进行访问控制，杜绝色情、反政府、邪教等非法、不健康内容的接触和传播。阻断对含有病毒、木马等各种恶意代码，以及内容欺诈网站的访问，解决病毒、恶意代码通过电子邮件进入内网传播的问题。

3 结束语

计算机网络安全系统的构建实际上是入侵者与反入侵者之间的持久的对抗过程。所以任何计算机网络安全体系一定不是可以一劳永逸地防范任何攻击的完美系统，人们力图建立的只能是一个动态的网络安全防护系统。它是一个动态加静态的防御，是被动加主动的防御，甚至是抗击，是计算机网络管理技术加计算机网络安全技术的完整安全观念。

[1]杨义先,钮心忻.网络安全的理论与技术.北京:人民邮电出版社.2003.10.

[2]李涛.网络安全概论.北京:电子工业出版社.2004.11.

[3]胡铮.网络与信息安全.北京:清华大学出版社.2006.5.

[4]StephenNorthcutt.深入剖析网络边界安全.北京:机械工业出版社.2003.8.

[5]卢昱,王宇.计算机网络安全与控制技术.北京:科学出版社.2005.