本站原创【摘 要 】随着教育城域网的普及,安全问题越来越受到关注.本文对教育城域网的架构进行分析,分析其各部分可能面临的安全问题,结合我区教育城域网,提出经济、有效的安全管理方法和建议.
【关 键 词 】安全管理；教育城域网；上网行为管理
教育城域网是通过宽带骨干网连接教育局内部网和校园网的传输网络,它以网络技术为依托,以各种信息设施为支持,以教育软件和资源为基础,以实现现代化教育和管理为目的,为区域教育提供全方位信息化应用服务.教育城域网在运行管理中,普遍存在网络管理质量、方法和技术不够完善的情况,使教育城域网的安全管理现状不容乐观.本文以教育城域网为分析对象,对其中的安全管理问题进行初步探讨,以寻求经济、有效的安全管理方法和建议.
教育城域网是各中小学校及教育机构服务的教育专用网络.我区共接入网络节点190个,网点遍布全境,网内计算机数逾万台.网内业务有：网络教学、网络备课、学校管理、基础教育资源库、远程教育、教育管理等.
我们希望以业务分析为切入点,合理分解各项安全管理责任；但又能有机地组合成一体化的管理架构.
1.区教育城域网的网络结构与组织架构
1.1 评估业务流量,选择接入模式
因为教育的特殊性,学校数量与规模呈金字塔和倒金字塔型结构.幼儿园学校数最多,但校内终端数量少,网络流量小；往上,小学数量多,校内终端数量较少,网络流量也较小；直至高中,学校数少,但校内终端数量多,网络流量大.如：部分学校教师计算机数即逾300多套,学生机房7个,其它专用计算机30多套；而小如村级幼儿园,仅2套左右计算机；所以,在网络接入时,由校内终端数来测算流量,选择不同网速的接入模式.
根据接入终端数量与网络流量的大致测算,分为百兆光纤接入模式与ADSL接入专网模式,其中：光纤接入网络节点82个,ADSL接入网络节点108个.按当时的网络业务,给每台计算机估算流量为512K,以平均75%的同时上网台数测算,确定接入模式（如表1所示）.
因为使用了ADSL接入专网,使教育城域网服务网点的半径得以较大扩展.
1.2 合理分隔网络,落实管理责任
姜堰教育城域网在初期规划时,曾在建设交换网络与VLAN分隔的交换网络、路由分隔的互联网络等方案上做过选择,如何能较好地落实管理责任也是考虑的重点.因网点分布较散,而维护实力较弱,交换网络方案因多个学校在一个广播域内,增加了安全隐患,在第一时间被否决.考虑到VLAN的终端管理数量及其网络安全方面的原因,最终我们选择了路由分隔的互联网络方案,如图1所示.
使用路由来分隔主干网与各终端另一方面也是基于对网络安全的考虑,教育城域网内存在着大量非信任网络与不安全网络,通过路由可以较好地分隔网络.并且路由可阻隔一些基于二层协议的用户攻击行为和广播风暴、ARP欺骗等,减少非法流量对主干网的骚扰,对部分网络蠕虫的传染也可以起到一定的阻隔作用,在发生网络攻击时,也便于对结点的分离.但其的缺点也是明显的,降低了交换速度并容易形成流量瓶颈,限制了某些网络应用的使用.但根据普教网络的应用来看,这样的缺点并不足以严重.
在设备维护人员的安排上,根据与电信局达成的协议,其中光纤接入的网络节点由市教育信息中心与各接入单位负责保障,ADSL网络节点的维护由电信安装维护组负责保障.在光纤接入的网络节点管理上,由市教育信息中心负责主干网的保障,由各接入单位负责其局域网内的网络安全.
这样,较好地解决了设备保障方面的问题.最终落实了各单位管理责任,分解了管理任务.为实现安全管理打好基础.
2.教育城域网面临的安全问题与应对策略
2.1 主要的安全风险
因服务器群与普通网络终端承担的功能有较大的差异,服务器的安全风险远高于普通的网络终端.所以,服务器群的安全防护也应高于对网络终端的防护.下面对存在的安全现状进行简单分析.
2.1.1 网络安全现状分析
教育城域网中的计算机系统管理比较复杂,要求所有的终端系统实施统一的安全策略是非常困难的,即使有计算机出现了安全问题,要追踪查找用户也比较困难.同时,网络环境较为宽松,为适应各种应用,教育城域网主干网是充分开放的.在教育城域网内面临的主要威胁包括：计算机病毒、电子邮件病毒、蠕虫病毒、特洛伊木马、入侵攻击等等.除此之外,对网内发起的不良信息发布的控制也是比较重要的内容.
同时,网络资源的不良使用也很严重,往往一些非主要业务（如：迅雷、BT等）占据大量带宽,造成网络的涌堵.
2.1.2 服务器安全现状分析
服务器为网络内各终端提供着各类网络应用,如：WEB、FTP、MAIL、VOD、BT等等各类应用,都需要与服务器沟通.所以,服务器也成为网络环境中,最容易引起攻击的目标.服务器的安全也直接影响着提供服务的质量.
服务器的安全除了物理安全外,还存在着其它的安全威胁,如：机密数据的泄露、数据丢失和数据损坏、数据修改、拒绝服务、软件错误等.
我们一般使用硬件防火墙来阻挡拒绝服务,用冗余磁盘阵列（RAID）和备份措施来解决数据丢失和数据损坏,而用数据加密来防止机密数据的泄露,用充分的测试来发现软件错误等.
当然网络上面最多的安全问题是数据修改,如：SQL注入、后门入侵等.这问题需要结合多种手段综合处理,如：合理分配权限、使用防篡改程序等.
2.2 应对策略
2.2.1 网络安全的应对策略
2.2.1.1 异常流量监测
网络中的安全攻击、蠕虫病毒以及垃圾流量等都会导致网络流量的异常.所以,做好网络的流量监测是做好安全管理的一个手段,通过对异常流量的监测与发现,能够把网络中的不稳定因素给及时发现,并加以处理. 因我区教育城域网采用的是路由分隔的互联网络,我们在核心交换机处,能获得各网络节点的即时流量.同时,网络节点的数量较少,监控的范围也能得到适当控制.当然,也可以配置交换机的SNMP,然后用prtg之类的软件监控端口,以观察各网络节点的流量.如果出现类似蠕虫病毒大规模暴发等现象时,流量必然会出现异常,通过监测就能较早发现问题的来源,及时介入.
2.2.1.2 上网行为管理
因教育城域网上面有着不同的业务平台,在主干网络上无法进行过多的限制.如何规范上网行为,以保证正常业务的开展,但又能避免网络资源的滥用,以及防范其它风险.我们考虑在各中小学网络节点出口处以及各ADSL接入后,布置上网行为管理类设备（如图2所示）,对各段网络（即对校内网络的管理）分别进行管理.
上网行为管理是指帮助互联网用户控制和管理对互联网的使用,包括对网页访问过滤、网络应用控制、宽带流量管理、信息收发审计、用户行为分析.使用上网行为控制设备后,可有效防止：a.防止无关网络行为影响工作效率；b.防止带宽资源滥用；c.记录上网轨迹满足法规要求；d.管控外发信息,降低泄密风险；e.防止病毒木马等网络风险；
在使用上网行为管理设备的学校内,要求：a.根据时段限制一些网络应用的使用,不能在上班时间内进行网络游戏、炒股、网络聊天等行为的发生,即对相关应用进行了封堵,上网行为管理设备可通过检测网络数据包中的特征码来对常用的软件和应用进行封堵.b.对各接入计算机进行流量分配,限制如P2P之类的应用大量挤占带宽的情况.c.在全面管控用户网络行为的同时,要求详细记录用户的网络行为,如：访问的、发布的信息、收发的邮件和的聊天内容等,并把它保存于日志服务器内,以备事后的安全审计.d.使用了上网行为管理设备后,也减少了网络病毒与木马的感染.
2.2.1.3 安全审计
教育城域网络在保证充分开放的基础上,又要建立责任追查机制,所以,我们加入了安全审计方面的内容.为上网行为管理设备增加日志服务器,用来保存一段时间内的上网行为数据.以防在出现安全问题后,能通过审计的方式来还原问题的发生,以追查相关的责任人.
2.2.2 服务器安全
2.2.2.1 “最少权限原则”
最少权限原则可以用来提高计算机系统的安全性.它是一个基本的、但又是非常重要的而且容易为我们忽略的原则.该原则包含如下内容：
一个用户（或者一个进程）应该拥有能够执行分配给他的任务的最低级别的权限.
遵循该原则,我们在服务器群端接入网络防火墙,以控制网络对服务器的访问.对提供网络应用的服务器仅开放了有网络应用的端口,在防火墙端进行了访问控制列表（ACL）设置.在服务器的设置中,根据应用合理开设用户与设定权限,尽可能的提供最小化权限,以尽可能减少入侵的渠道.
2.2.2.2 容灾与备份技术
容灾备份技术是在引起系统非正常停机的事件后,保证生产系统的数据尽量少丢失的情况下,保持生存系统的业务不间断地运行的手段.对于数据丢失和数据损坏,只有一种真正的保护措施：备份.
我们针对服务器一般进行本地容灾,双机热备技术能较好地解决单机故障引发的网络服务中断问题.同时,为保障数据的安全,对数据应该进行热备与冷备相结合的方法,对重要数据定时定期进行网络备份.
2.2.2.3 网络防火墙与入侵检测技术
硬件防火墙与入侵检测技术是保障系统安全的重要手段,硬件防火墙除了可以通过访问控制列表（ACL）限制网络访问,还可以对高层协议的攻击特征进行识别以抵抗如：DOS等的能力.入侵检测（IDS）则可以在各服务器端布署监测点,以从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象.入侵检测是防火墙的合理补充.
安全管理是一个永恒的话题,网络危害和安全防护总是在不断地发展.我们在依赖人员职责落实的同时,也更应依赖于管理制度及各类技术手段,以建立完整的安全管理体系,还网络以平静安宁.