導(dǎo)航：安全管理網(wǎng)>> 安全論文>> 綜合安全論文>>正文

淺析校園網(wǎng)的安全

文檔作者：黃慧文檔來源：上海濟光職業(yè)技術(shù)學(xué)院信息中心		點擊數(shù)：	更新時間： 2021年07月30日
下載地址：點擊這里	文件大小： 1.33 MB 共4頁	文檔格式： PDF	下載點數(shù)： 0 點（VIP免費）

全屏查看

內(nèi)容預(yù)覽 [文件共4頁]

本文件共4頁，如需編輯使用，請下載。

注：預(yù)覽效果可能會出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大小：1.33 MB 共4頁文件格式：PDF 下載點數(shù)： 0 點（VIP會員免費）

下一篇：基于ACL的校園網(wǎng)安全技術(shù)

上一篇：校園網(wǎng)安全系統(tǒng)的設(shè)計與實現(xiàn)

文本預(yù)覽

僅提取頁面文字內(nèi)容，供快速閱讀使用。

淺析校園網(wǎng)的安全
黃慧
上海濟光職業(yè)技術(shù)學(xué)院信息中心上海201901
摘要:計算機網(wǎng)絡(luò)已經(jīng)應(yīng)用了幾十年,互聯(lián)網(wǎng)已經(jīng)發(fā)展成為一個全球的大網(wǎng)絡(luò)。期間校園網(wǎng)也得到了飛速的發(fā)展,但是
到目前為止,網(wǎng)絡(luò)的安全仍然存在著很大的風(fēng)險,整個校園網(wǎng)絡(luò)的安全一直是各學(xué)校重點關(guān)心及研究的領(lǐng)域
關(guān)鍵詞:校園網(wǎng)安全
0引言
于內(nèi)部網(wǎng)絡(luò),防火墻也需要根據(jù)學(xué)校的具體需要對IP地址進
隨著計算機網(wǎng)絡(luò)的不斷發(fā)展,網(wǎng)絡(luò)的開放性,共享性,行一些處理,例如,IP轉(zhuǎn)發(fā)或NAT等
互連性隨之?dāng)U大。特別是互聯(lián)網(wǎng)的普及,使得網(wǎng)上交易、網(wǎng)防火墻需要根據(jù)它所保護網(wǎng)絡(luò)不同要求作相應(yīng)的改變。
絡(luò)銀行等一些網(wǎng)絡(luò)新生業(yè)務(wù)的迅速興起,計算機網(wǎng)絡(luò)安全性很可能,這其中的變化之一就是某學(xué)院自身的發(fā)展,而更多
問題顯得相當(dāng)重要。目前造成網(wǎng)絡(luò)不安全的主要因素是系教學(xué)方面信息來自 Internet這些意味著將需要更多的防火墻
統(tǒng)、協(xié)議及數(shù)據(jù)庫等的設(shè)計上存在缺陷。由于當(dāng)今的計算機資源,要注意進行定期檢查并按需要升級軟件和硬件來更新
網(wǎng)絡(luò)操作系統(tǒng)在本身結(jié)構(gòu)設(shè)計和代碼設(shè)計時偏重考慮系統(tǒng)防火墻。
使用時的方便性,導(dǎo)致了系統(tǒng)在遠程訪問、權(quán)限控制和口令(2)系統(tǒng)效率問題:安裝防火墻的挑戰(zhàn)之一,就是上網(wǎng)
管理等許多方面存在安全漏洞。網(wǎng)絡(luò)互連一般采用TCPIP人員用來通信和交換數(shù)據(jù)的速度。防火墻的功能越強大,數(shù)
協(xié)議,它是一個工業(yè)標(biāo)準(zhǔn)的協(xié)議簇,但該協(xié)議簇在制訂之初,據(jù)的傳送速度可能就越小
對安全問題考慮不多,協(xié)議中有很多的安全漏洞。同樣,數(shù)可供堡壘主機使用的處理資源和內(nèi)存資源是防火墻的
據(jù)庫管理系統(tǒng)(DBMS)也存在數(shù)據(jù)的安全性、權(quán)限管理及遠兩個重要特征。盡管堡壘主機可能不是防火墻組成結(jié)構(gòu)中惟
程訪問等方面問題,在DBMS或應(yīng)用程序中可以預(yù)先安置從一的硬件部分,當(dāng)其防火墻軟件運行時,它具有重要的作用
事情報收集、受控激發(fā)、定時發(fā)作等破壞程序。
如果主機運行得太慢,或者它沒有足夠的內(nèi)存來處理大量的
由此可見,針對系統(tǒng)、網(wǎng)絡(luò)協(xié)議及數(shù)據(jù)庫等,無論是其包過濾決策、代理服務(wù)請求和其他通信,整個系統(tǒng)的效率將
自身的設(shè)計缺陷,還是由于人為的因素產(chǎn)生的各種安全漏會受到嚴重的影響,這是因為堡壘主機處于網(wǎng)絡(luò)的周邊,并
洞,都可能被一些另有圖謀的黑客所利用并發(fā)起攻擊因此且如果沒有設(shè)置其他的堡壘主機和防火墻來保證網(wǎng)絡(luò)負載
要保證校園網(wǎng)網(wǎng)絡(luò)安全,則必須熟知黑客攻擊網(wǎng)絡(luò)的一般過平衡的話,該堡壘主機將是通信能否順利通過的惟一網(wǎng)關(guān)。
程。只有這樣方可在黑客攻擊前做好必要的防備,從而確保
堡壘主機并不僅僅是一臺經(jīng)過特別配置的,可以運行的
網(wǎng)絡(luò)運行的安全和可靠。
防火墻、代理服務(wù)器和其他軟件的計算機,它還需要足夠快
1校園網(wǎng)防火墻配置的總原則
的處理器速度和大容量的內(nèi)存來處理網(wǎng)絡(luò)的當(dāng)前通信。對防
在校園網(wǎng)防火墻的配置時,要考慮以下兩個問題:火墻和堡壘主機來說,可伸縮性和安全性都很重要,但是,
(1)可伸縮性問題:某學(xué)院校園網(wǎng)對防火墻的需求不同內(nèi)存狀況對防火墻的性能發(fā)揮和它所保護的個人用戶的工
于一般性的商業(yè)公司。按照校園網(wǎng)要求配置防火墻的時候,作效率很重要。堡壘主機需要足夠的RAM,以便支持每個
防火墻應(yīng)當(dāng)具有伸縮性,可以隨著它所保護網(wǎng)絡(luò)的發(fā)展而升程序的運行,這些程序?qū)Ρ緳C加載必不可少,否則,堡主
級。它應(yīng)該考慮到教工和學(xué)生的需求,他們希望能網(wǎng)上沖浪機需要執(zhí)行內(nèi)存交換,從而降低了效率
和發(fā)送mail如,由于TCP/IP協(xié)議既用于 Internet又用關(guān)鍵資源是和硬件或者軟件相關(guān)的內(nèi)容,它在服務(wù)或者
作者簡介:黃慧(9男碩士研究生,研究方向:計算機網(wǎng)絡(luò)、多媒體技術(shù)
萬方數(shù)據(jù)
2011.8格安全技術(shù)與應(yīng)用15
程序的運行過程中起重要作用。表1列出了防火墻成功運行時又不使自己被發(fā)現(xiàn),這樣也還是可能的。但若禁止網(wǎng)絡(luò)訪
的關(guān)鍵資源。
問路由器或只允許內(nèi)網(wǎng)中的某些主機訪問它,則攻擊會變得
表1防火墻服務(wù)的關(guān)鍵資源
很困難。在這種情況下,攻擊者得先侵入堡壘主機,然后進
關(guān)鍵資源
有待限制的服務(wù)
 DISK 1O
電子郵件
入內(nèi)網(wǎng)主機,再返回來破壞屏蔽路由器,整個過程中不能引
 DISK 1O
新聞
發(fā)警報。屏蔽子網(wǎng)防火墻能夠幫助建立一個非防護區(qū),這種
堡壘主機操作系統(tǒng)的性能
P路由
類型防火墻利用堡壘主機夾在兩個路由器中間,所以它是最
堡壘主機操作系統(tǒng)的性能
wEB緩存
堡壘主機操作系統(tǒng)的性能
 WEB
安全的防火墻系統(tǒng)。
表中第二列中的限制項目可以節(jié)省關(guān)鍵資源。
對于進來的信息,外面的這個路由器用于防范通常的外
2校園網(wǎng)防火墻配置的具體策略
部攻擊(如源地址欺騙和源路由攻擊),并管理 Internet到DMZ
設(shè)置了安全策略,并且決定了防火墻要遵循的規(guī)則以網(wǎng)絡(luò)的訪問。它只允許外部系統(tǒng)訪問堡壘主機(還可能有信息
后,就可以按照既定的策略來配置防火墻。不同防火墻配置服務(wù)器)。里面的這個路由器提供第二層防御,只接受源于堡
的特點,如表2所示。
壘主機的數(shù)據(jù)包,負責(zé)的是管理DMZ到內(nèi)部網(wǎng)絡(luò)的訪問。
表2不同防火墻配置的特點
對于去往 Internet的數(shù)據(jù)包,里面的路由器管理內(nèi)部網(wǎng)
名稱
說明
絡(luò)到DMZ網(wǎng)絡(luò)的訪問。它允許內(nèi)部系統(tǒng)只訪問堡壘主機(還
屏蔽位于客戶計算機和 interet之間的包過濾路可能有信息服務(wù)器)。外面的路由器上的過濾規(guī)則要求使用代
雙宿主主機
提供安全功能的主機來主控防火墻軟件
屏蔽式主機專用于提供安全功的外
理服務(wù)(只接受來自堡壘主機的去往 Intemet的數(shù)據(jù)包)。如圖
共用一個防火墻的路由器放置在防火墻的內(nèi)外部接口上,對數(shù)據(jù)包進1所示。
兩個路由器行過濾
DMZ屏蔽子網(wǎng)該網(wǎng)絡(luò)與防火墻相連,具有公共服務(wù)器(DMZ),在
處在受保護的內(nèi)部網(wǎng)絡(luò)的外面
多重防火墻 DMZ DMZ附帶兩個防火墻,有更高的安全性
反向防火墻防火墻監(jiān)控出站而不是入站的通信
 DMZ
專用防火墻防火墻用來保護特殊類型的通信,比如電子郵件
由器
防
表3防火墻受到的威脅及相應(yīng)的抵御措施
威脅
防御
由器
 cisco PIX防火墻配有 flood Defender,可以阻斷此
務(wù)器a務(wù)
 SYN flooding類攻擊
交換機
tp服
客戶端電腦
端口掃描檢查防火日志,并阻斷有惡意的ip地址訪問
病毒
確保病毒防護軟件已和防火墻的軟硬件結(jié)合使用
4
有害的電子郵使用軟件掃描Port25的SMTP通信,例如 Cisco
件附件
px防火墻自帶的 Mail Guard
圖1DMZ屏蔽子網(wǎng)示意圖
2.1DMZ屏蔽子網(wǎng)的防火墻
部署DMZ屏蔽子網(wǎng)防火墻系統(tǒng)有如下優(yōu)點:
某學(xué)院校園網(wǎng)的防火墻系統(tǒng)類似于DM屏蔽子網(wǎng)的防(1)入侵者必須突破3個不同的設(shè)備(夫法探測才能侵
火墻。所謂DMZ屏蔽子網(wǎng)的防火墻是在內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)襲內(nèi)部網(wǎng)絡(luò):外部路由器,堡壘主機,還有內(nèi)部路由器。
絡(luò)之間建立一個被隔離的子網(wǎng),用兩臺分組過濾路由器將(2)由于外部路由器只能向Internet通告DMZ網(wǎng)絡(luò)的存
一子網(wǎng)分別與內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)分開,在很多實現(xiàn)中,兩在, Internet上的系統(tǒng)不需要有路由器與內(nèi)部網(wǎng)絡(luò)相連。這樣
個分組過濾路由器放在子網(wǎng)的兩端,在子網(wǎng)內(nèi)構(gòu)成一個“非軍網(wǎng)絡(luò)管理員就可以保證內(nèi)部網(wǎng)絡(luò)是“不可見”的,并且只有
事區(qū)”DMZ。有的屏蔽子網(wǎng)中還設(shè)有一堡壘主機作為惟一可在DM網(wǎng)絡(luò)上選定的系統(tǒng)才對 Internet開放(通過路由表和
訪問點,支持終端交互或作為應(yīng)用網(wǎng)關(guān)代理。這種配置的危DNS信息交換)
險帶僅包括堡壘主機、子網(wǎng)主機及所有連接內(nèi)網(wǎng)、外網(wǎng)和屏(3)由于內(nèi)部路由器只向內(nèi)部網(wǎng)絡(luò)通告DMZ網(wǎng)絡(luò)的存
蔽子網(wǎng)的路由器。
在,內(nèi)部網(wǎng)絡(luò)上的系統(tǒng)不能直接通往 Internet,這樣就保證了
如果攻擊者試圖完全破壞防火墻,他必須重新配置連接內(nèi)部網(wǎng)絡(luò)上的用戶必須通過駐留在堡壘主機上的代理服務(wù)
三個網(wǎng)的路由器,既不切斷連接又不要把自已鎖在外面,同才能訪問 Internet
萬數(shù)安全技術(shù)與應(yīng)用2011.8
(4)包過濾路由器直接將數(shù)據(jù)引向DMZ網(wǎng)絡(luò)上所指定求,重建請求,把它們發(fā)送到指定的位置,就像是從它(代理)
的系統(tǒng),消除了堡壘主機雙宿的必要
那里發(fā)出的請求一樣。它可以通過雙宿主主機來創(chuàng)建。在雙
(5)內(nèi)部路由器在作為內(nèi)部網(wǎng)絡(luò)和 Internet之間最后的宿主主機設(shè)置中,包括防火墻或者代理服務(wù)器軟件的主機擁
防火墻系統(tǒng)時,能夠支持比雙宿堡壘主機更大的數(shù)據(jù)包吞有兩個接口,一個和 Internet相連,另一個和受保護的內(nèi)部
吐量。
網(wǎng)絡(luò)相連(見圖4)。某學(xué)院校園網(wǎng)采用的是應(yīng)用程序代理,因
(6)由于DMZ網(wǎng)絡(luò)是一個與內(nèi)部網(wǎng)絡(luò)不同的網(wǎng)絡(luò),為它是一套軟件相對來講比較易維護易操作;同時也比較
NAT(網(wǎng)絡(luò)地址變換)可以安裝在堡壘主機上,從而避免在內(nèi)安全可靠。
部網(wǎng)絡(luò)上重新編址或重新劃分子網(wǎng)。
 interet
2.2校園網(wǎng)防火墻系統(tǒng)的新功能
為了使學(xué)校的校園網(wǎng)絡(luò)更加安全可靠,某學(xué)院對其校園
1
一
網(wǎng)的防火墻添加了一些特殊的功能。
有應(yīng)陽
主
 (1)NAT
1.2→
學(xué)校的路由器或者防火墻執(zhí)行NAT時,可以把公共IP
地址轉(zhuǎn)變?yōu)閷Ｓ玫刂?反之亦然,這樣可以對外部的計算機
隱藏受保護網(wǎng)絡(luò)上計算機的IP地址。使用NAT進行簡單的
數(shù)據(jù)傳送的步驟如圖2所示。
圖4雙宿主主機上的應(yīng)用程序代理
因為雙宿主主機位于內(nèi)部LAN和 Intemnet之間,位于內(nèi)
部網(wǎng)絡(luò)上的主機永遠不能直接訪問 Intemet根據(jù)雙宿主主機
的要求,代理服務(wù)器程序發(fā)出請求,并且將來自 Intemet的
包轉(zhuǎn)發(fā)到主機上去。
在屏蔽子網(wǎng)中,提供代理服務(wù)器軟件的主機擁有一個獨
立的網(wǎng)絡(luò)接口。除了代理服務(wù)器軟件指定的數(shù)據(jù)類型,主機
過濾器兩端的包過濾器會過濾掉所有的通信
(4)入侵檢測系統(tǒng)(IDS)
圖2網(wǎng)絡(luò)地址轉(zhuǎn)換示意圖
監(jiān)控到可能的入侵襲擊并及時報警,可以有多種選擇。
(2)加密
入侵檢測系統(tǒng)安裝在處于網(wǎng)絡(luò)邊界的外部或者內(nèi)部的路由
做SSL或者其他類型加密的路由器或者防火墻在接收一器上(見圖5)。許多流行的軟件防火墻包中內(nèi)置IDSB了,包
個請求后,通過私鑰將它轉(zhuǎn)為雜亂數(shù)據(jù),然后通過接者的括 Secure Computing Sidewinder
路由器或者防火墻交換公鑰。接著就可以對消息進行解密,
并以一種容易理解的形式把它提供給終端用戶,如圖3所示。
圖3路由器或者防火墻可以對消息加密
4
(3)應(yīng)用程序代理
應(yīng)用程序代理是一個軟件,它根據(jù)主機的要求,接收請
圖5并入邊界路由器的IDS系統(tǒng)
萬方數(shù)據(jù)
2011.8鳳格安全技術(shù)與應(yīng)用17
口的掃描。若有則發(fā)送警報通知管理員,及時阻斷此類攻擊。
 Cisco CIDS的入侵檢測系統(tǒng)(Ds)可以有不同的工作方
式。它負責(zé)監(jiān)控防火墻和 Internet之間的區(qū)域。通過配置,
能夠檢測到來自 Internet上對防火墻的攻擊時間(見圖6)
3小結(jié)
校園網(wǎng)的安全性是校園網(wǎng)正常運行的前提,對校園網(wǎng)健
康發(fā)展至關(guān)重要。首先,提出了防火墻配置總的策略,主要
關(guān)心兩點:(1)可伸縮性:(2)運行效率。對不同的防火墻配置
進行了列表比較,某學(xué)院選用的是性價比較高的DMZ屏蔽
子網(wǎng)防火墻系統(tǒng),因為其對安全性有較大的保證,所以被人
們認為是目前最好的校園網(wǎng)防火墻。在此基礎(chǔ)上,某學(xué)院又
圖6防火墻與外部路由器之間的 Cisco CIDS設(shè)備
對防火墻添加了新功能有4個:(1)NAT;(2)加密:(3)應(yīng)用
某學(xué)院校園網(wǎng)為什么要安裝IDS呢?安裝DS的外部路程序代理;(4)入侵檢測系統(tǒng)。
由器負責(zé)告知來自 Internet的入侵攻擊,而安裝了DS的內(nèi)參考文獻
部路由器負責(zé)監(jiān)控內(nèi)部網(wǎng)絡(luò)上的主機,在他們試圖通過可疑[1]孫鋒編著網(wǎng)絡(luò)安全與防黑技術(shù)北京:機械工業(yè)出版社
端口或者不尋常的服務(wù)進入 Internet時通知管理員,這些動2004
作可能是已侵入計算機的特洛伊木馬病毒引起的。IDS也可[2]趙泉編網(wǎng)絡(luò)安全與電子商務(wù)北京清華大學(xué)出版社2005
以用來尋找是否有大量的TCP連接請求發(fā)送到了目標(biāo)計算[3]朱傳靖著知者無畏:一個真實的病毒世界北京金城出版
機的許多端口上,因此可以發(fā)現(xiàn)是否有人正企圖進行TCP端社2002
 On the campus network secu
 Huang Hui
 Shanghai Jiguang Co
 Abstract:Con
e
 During th
 as become a major global network.
 r, network security remains a big risk. the
萬數(shù)

網(wǎng)友評論 more

綜合安全論文最新內(nèi)容

05-04