浅析高校校园网信息安全的现状与防范
摘要：信息安全是高校信息化建设的根本保证，高校通过制定一系列校园网信息安全来保障校园网的安全。本文概述了高校校园网信息安全的现状，提出了保障高校校园网信息安全的防范措施，为科学地构建高校校园网信息安全体系提供了参考。
随着高校校园网络的不断扩建和升级，网络规模日益庞大。在方便信息传递，实现资源共享，提高工作效率的同时，高校校园网的信息安全问题已成为高校日常工作中不可或缺的重要组成部分。校园网作为高校教学应用的内部网及教职工对外交流的窗口，具有开放共享的特点，使校园网的信息安全受到极大的危险。近年来高校中的信息安全事件时有发生，信息的泄密、数据的破坏、服务无法正常进行等屡屡发生，有些甚至导致校园网瘫痪，给高校校园网的管理和维护带来了严重挑战。
关键词：校园网；信息安全；现状防范； 安全威胁；网络安全；安全规划；防火墙; 入侵检测
1.引言
随着Internet的迅速发展和应用的普及，计算机网络已经深入教育、政府、商业、军事等各行各业，计算机校园网是信息化建设的基础设施，在教学支持服务、教学教务管理、行政管理和校内外信息沟通等方面起着举足轻重的作用。然而计算机网络所具有的开放性、互连性和共享性等特征使网上信息安全存在着先天不足，再加上系统软件中的安全漏洞以及所欠缺的严格管理，致使网络易受黑客、恶意软件的攻击。在现有的校园网络环境中，安全问题成为当前各信息网络中心工作人员考虑得最多的问题。了解和分析这些安全隐患，采取正确的策略来抵御威胁，是校园网安全建设的根本，也是校园网络正常发挥作用的保障。当然
1 要保证网络的绝对安全是不可能的，必须根据网络的现有状况，对安全需求进行分析，采取必要的网络安全策略，使网络安全问题所造成的影响降到最低。在校园网建设中，很多校园网由于系统管理不善，安全保障措施不力，病毒通过系统漏洞、邮件等途径在校园网传播和泛滥，导致校园网成为计算机病毒滋生和泛滥的温床，给校园网信息系统的应用、管理和维护带来巨大的负面影响。
2.高校校园网信息安全的现状
高校本身是研究和探索新科技、传授新知识的场所，储存了大量的科研成果和技术资料，是信息安全受到威胁的“集中营”。例如今年四月份，我校的域名被攻击，导致我校的主页面打不开、网速变慢等一些问题，给老师和同学们带来了不便。
2.1工作人员对信息系统的应急处理能力不强，防范水平不高。
高校办公室工作人员大都是非计算机专业的人员，计算机知识相对缺乏，对信息安全的防范意识尤为薄弱，缺乏对系统的基本维护能力，这势必给高校校园网的信息安全造成威胁。
2.2信息安全管理观念薄弱，负责信息安全人员的意识不强。
高校校园网用户对安全意识以及防范能力没有足够重视，且认为防范信息安全是网络信息或专业人员的事情，与个人无关。负责信息安全人员把计算机安装还原卡当作“万事通”，只对出问题的计算机进行检查并未对高校网络检查等。 2.3信息安全保障管理机构和组织队伍不健全
对于高校校园网，信息浏览人数多，流量大，加大了信息安全人员对其管理和维护难度。且高校普遍存在维护人员短缺、工作机制不完善、队伍不健全、无法及时响应、快速解决，不能很好地保证校园网络方便、快捷、规范地运行。 2.4信息系统安全保障的必要设施短缺
信息系统软硬件的内在缺陷不仅直接造成系统瘫痪，还会为一些人为的恶意攻击提供机会。应用软件的缺陷造成计算机信息系统的故障，降低系统安全性能，而设备的不完善、不更新，也给恶意攻击有机可乘。 2.5信息安全管理制度和标准缺乏开发性
我国的信息安全管理制度结构比较单一，层次较低，难以适应信息网络技术发展的需要和日新月异带来的信息安全问题。我国现行的信息安全管理制度基本上
2 是一些保护条例、管理办法，缺少系统规范网络行为的相应法律。
3.校园网络面临的安全威胁
中国的校园网一般都最先应用最先进的网络技术，网络应用普及，用户群密集而且活跃。然而校园网由于自身的特点也是安全问题比较突出的地方，它既存在着自然因素导致的安全隐患，也存在着人为等诸多因素导致的危险，同时校园网络的安全管理也更为复杂、困难。 3.1 校园网的物理安全及自身的缺陷威胁
① 系统漏洞。系统漏洞是造成系统的安全风险的主要因素。虽然操作系统的功能及安全性日趋完善, 但仍存在着很多漏洞。由于操作系统的程序是可以动态链接的,包括I/O的驱动程序与系统服务均可以采用打补丁的方式进行升级。但这种软件厂商使用的方法同样也为黑客打开方便之门。如有名的Windows DCOM蠕虫病毒就是利用Windows DCOM MS03-26漏洞进行攻击的。另一方面系统管理员或使用人员对复杂的系统和自身的安全机制了解不够、配置不当，从而形成安全隐患。还有操作系统自身设置不当也会留下安全隐患。
② 系统架构缺乏安全策略。多数校园网普遍采用基于以太网技术且采用开放的网络架构，本身就不具备必要的安全策略。虽然随着技术不断更新，安全管理方面有所变化，但大多数校园网管还是采用一种单
一、被动、缺乏主动性和灵活性的基于网络设备的集中式的安全策略，根本无法适应现行的网络规范。另外，大多的校园网用户并发上网现象普遍突出，集中式管理往往又会造成用户认证时间过长或认证无效等问题。
③ 物理安全威胁。 网络周边环境和物理特性引起的计算机系统、网络服务器等网络设备和物理链路等基础设施的不可用，如设备被盗、被毁坏，链路老化或被有意或者无意的破坏。 因电子辐射造成信息泄露、设备意外故障、停电、雷击以及其它自然灾害、有害气体的破坏等等物理方面的因素，对校园网的正常运行构成威胁。
3.2 来自校园网内部的安全威胁
高校学生他们会把学校的网络当作一个实验环境，测试各种网络功能。一些学生用自己的计算机和操作系统配置一个DHCP SEVER使在网络上的计算机从假冒的 DHCP SEVER了解到IP地址，导致合法用户不能登陆到DHCP提供的正确IP
3 地址而无法使用网络资源。另外很多学生通过网络在线看电影、听音乐、聊天，占据了宝贵的网络资源，很容易造成网络堵塞和病毒传播。总之，来自校园网内部的安全隐患所造成的破坏力、影响、威胁都是非常大的。 3.3 来自外部互联网的安全威胁
几乎所有校园网络都是利用Internet 技术构建的，同时又与 Internet 相连。网络用户可以直接访问互联网的资源，同样任何能上互联网的用户也可以直接访问校园网的资源。这对宣传学校、扩大学校的影响和知名度很有好处，但Internet 的共享性和开放性使网上信息安全存在先天不足，在带来方便的同时，也带来安全风险。
3.4 黑客、拒绝式服务、病毒带来的安全威胁
① 黑客攻击。随着网络的迅猛发展，黑客攻击活动日益猖獗。校园网在接入Internet的时候，即使有防火墙的保护，由于技术本身的局限或错误配置等原因，仍很难保证校园网不遭到黑客攻击。
② 拒绝式服务。是指恶意地向被攻击服务器发送信息洪流，占用计算机设备的资源而造成正常的服务请求被中断，使网络运行速度变慢甚至处于一种瘫痪状态。
③ 病毒的危害。网络病毒, 无论是在传播速度, 破坏性, 还是在传播范围等方面都远远超过了单机病毒。如当今流行的蠕虫病毒, 通过电子邮件、网络共享或主动扫描等方式从客户端感染校园网的web服务器。还有通过网络传播病毒或恶意脚本文件，干扰用户的正常使用，如冻结注册表、修改设置等。计算机病毒对计算机的攻击，轻则使系统变慢，破坏文件，重则使硬件遭到破坏，网络遭到病毒攻击，则使网络堵塞及瘫痪。
4.校园网络的安全对策
如何能够保证网络的安全运行，同时又能提供丰富的网络资源，达到办公、教学以及学生上网的多种需求成为了一个难题。网络安全问题 , 不是单纯的技术问题，而是一个系统工程。因此必须从系统的观点去考虑。下面就校园网安全问题提出一些对策、措施。 4.1 物理安全措施
物理安全的目的是保护路由器、交换机、工作站、各种网络服务器、打印机
4 等硬件实体和通信链路免受自然灾害、人为破坏和搭线窃听攻击；确保网络设备有一个良好的电磁兼容工作环境；妥善保管备份磁带和文档资料；防止非法人员进入机房进行破坏活动。其中包括：设立实物安全周界，实物进入控制，设施安全考虑（防尘、防火、防洪、防雷等），安全区域内工作的规范规程，设备供电安全，通信电缆安全（防搭线），设备维护，运行日志以及电磁屏蔽、抑制和防止电磁泄漏等相关制度与技术。 4.2 系统配置及软件设置安全措施
要从系统配置及软件设置上使得网络更安全，主要做到以下几个方面：一要关闭不必要的服务端口，取消服务器上不用的服务和协议种类。二要设置系统运行日志。通过运行系统日志，记录下所有用户使用系统的情形，分析日志文件，发现异常情况，及时防范。三要及时安装系统补丁和更新服务方软件。新版本的服务软件能够提供更多更好的功能，保证这些设备更有效更安全地运行。四要定期检查系统安全性。通过安全检测工具，在防火墙外对网络内所有的服务器和客户机进行端口扫描，并检查用户口令的安全性以及各用户对网络设备访问的合法性等。五要封锁系统安全漏洞。黑客之所以得以非法访问系统资源和数据，很多情况下是因为操作系统和各种应用软件的设计漏洞或者管理上的漏洞所致。在制定访问控制策略时，不要忘记封锁系统安全漏洞。 4.3 校园网络电子邮件安全策略
保障电子邮件安全的唯一一种办法是让攻击者截获了数据包但无法阅读它。目前在校园网络上可以采用如下策略来实现电子邮件的安全：
一、利用S/MIME来实现。S/MIME是一种安全的电子邮件格式，它采用一种消息加密与数字签名格式，是一种已被接受的标准。
二、利用PGP。PGP是一个基于RSA公钥加密体系的邮件加密软件。可以用它对你的邮件保密，以防止非授权者阅读，它还能对你的邮件加上数字签名从而使收信人可以确信邮件是你发来的。让你可以安全地与人们通讯，事先并不需要任何保密的渠道用来传递密钥。
三、利用PEM。PEM是增强Internet电子邮件隐秘性的标准草案，它在Internet电子邮件的标准格式上增加了加密、鉴别和密钥管理的功能，允许使用公开密钥和专用密钥的加密方式，并能够支持多种加密工具。
四、利用MOSS。MOSS（MIME对象安全服务）是将PEM和MIME两者的特性进行了结合。
五、采用安全网关。最便捷的途径是
5 采用电子邮件安全网关，即电子邮件防火墙。使进入或输出的每一条消息都经过网关，从而使安全政策可以被执行。 4.4 正确配置路由器
对于大多数校园网来说，路由器已经成为正在使用之中的最重要的安全设备之一。一般来说，大多数校园网络都有一个主要的接入点。这就是通常与专用防火墙一起使用的“边界路由器”。 经过恰当的设置，边界路由器能够把几乎所有的最顽固的坏分子挡在网络之外。
一、修改默认的口令。据国外调查显示，80%的安全突破事件是由薄弱的口令引起的。
二、关闭IP直接广播（IP Directed Broadcast）。Smurf攻击是一种拒绝服务攻击。在这种攻击中，攻击者使用假冒的源地址向你的网络广播地址发送一个“ICMP echo”请求。这要求所有的主机对这个广播请求做出回应。这种情况至少会降低你的网络性能。
三、如果可能，关闭路由器的HTTP设置。
四、封锁ICMP ping请求。ping通常用于更大规模的协同性攻击之前的侦察活动。通过取消远程用户接收ping请求的应答能力，你就更容易避开那些无人注意的扫描活动或者防御那些寻找容易攻击的目标的“脚本小子”（script kiddies）。
五、关闭IP源路由。IP协议允许一台主机指定数据包通过你的网络的路由，而不是允许网络组件确定最佳的路径。这个功能的合法的应用是用于诊断连接故障。但是，这种用途很少应用。除非指定这项功能只能用于诊断故障，否则应该关闭这个功能。
六、确定你的数据包过滤的需求。在这种规定中，除了网路功能需要的之外，所有的端口和IP地址都必要要封锁。
七、建立准许进入和外出的地址过滤政策。在你的边界路由器上建立策略以便根据IP地址过滤进出网络的违反安全规定的行为。
八、审阅安全记录。审阅你的路由器记录（通过其内置的防火墙功能）是查出安全事件的最有效的方法。利用出网的记录，用心的安全管理员在病毒传播者作出反应之前能够查出“红色代码”和“Nimda”病毒的攻击。 4.5 建立统一的身份认证系统
认证是网络信息安全的关键技术之一，其目的是实现身份鉴别服务、访问控制服务、机密性服务和不可否认服务等。校园网与Internet没有实施物理隔离，但是，对于运行内部管理信息系统的内网 , 建立其统一的身份认证系统仍然是非常必要的 , 以便对数字证书的生成、审批、发放、废止、查询等进行统一管
6 理。只有建立了基于校园网络的全校统一身份认证系统，才能彻底的解决用户上网身份问题。同时也为校园信息化的各项应用系统提供了安全可靠的保证。校园网用户不但要通过统一的身份认证系统确认，而且合法用户上网的行为也要受到统一的监控。
4.6 服务器访问控制策略
像服务器这样的网络基础设备，避免非法入侵的有效方法是去掉不必要的网络访问，在所需要的网络访问周围建立访问控制。限制诸如chargen、echo、日期等这些简单的TCP 协议。因为很多网络测试工具可以利用这些特定的协议, 对网络实施DOS 入侵。
4.7培养高素质的安全运行维护队伍
高校可以组建一支以学生为主体的安全运行维护队伍，由网络中心统一领导，中心专业老师负责对学生等用户进行安全管理方面的培训和指导，加强校园网的管理和维护力量，力争对突发安全事件做到及时响应，快速解决，保证校园网方便、快捷、规范地运行。这样不但能解决由于经费和维护人员不足造成的困难，而且也可以通过让学生参与校园网的管理维护，来锻炼他们的实际动手能力，为今后的工作奠定良好的基础。 4.8制定完善安全管理规章制度
安全管理贯穿于安全防范体系的始终，是保证网络安全的基础。各部门配备专职的信息安全管理人员，落实建立信息安全责任制度和工作章程，负责并保证组织内部的信息安全。管理人员必须做到及时进行漏洞修补、定期软件升级和定期安全系统巡检，保证对网络的监控和管理。同时必须制订一系列的安全管理制度，并遵循可操作、动态性、管理与技术的有机结合等原则，使校园网的信息安全工作进一步走向规范化和制度化。 4.9利用多种形式进行信息安全教育
高校应利用多种形式进行信息安全教育:①是利用行政手段，通过各种会议进行信息安全教育;②是利用教育手段，通过信息安全学术研讨会、安全知识竞赛、安全知识讲座等进行信息安全教育;③是利用学校传播媒介、舆论工具等手段，通过校刊、校报、校园网络、广播、宣传栏等进行信息安全教育。建议我校开展全校学生的信息安全教育。
7 4.10构建良好的校园文化氛围
信息安全是高校实现教育信息化的头等大事，除先进的安全技术、完善的安全管理外，良好的校园文化氛围也是保证高校信息安全工作顺利开展的前提。
5.结束语
校园网信息安全是一项复杂的系统工程，不能仅仅依靠某一方面的安全策略，而需要仔细考虑系统的安全需求，网络信息安全涉及的内容既有技术方面的问题，又有管理方面的问题，应加强从网络信息安全技术和网络信息安全管理两个方面来进行网络信息安全部署，尽可能的为校园网提供安全可靠的网络运行环境。 面对日益复杂的高校校园网信息安全及与日俱增的安全威胁，高校校园网的安全建设必须以了解校园网信息安全的现状为前提。通过信息安全培训加强所有用户的安全意识，从而完善安全防范体系赖以生存的大环境，有效地实现校园网可靠、稳定地运行，创造出一个安全、便捷的网络应用环境，有效地保障校园网的安全，提高网络信息的保密性、完整性和可用性。
参考文献: [1] 段云所.信息安全概论.高等教育出版社.2003.9 [2] 高峡，陈智罡，袁宗福.网络设备互联学习指南.科学出版社2009.4 [3] 张武军.高校校园网安全整体解决方案研究.电子科技.2006 年第3 期.[4] 朱海虹．浅谈网络安全技术．科技创新导报，2007，32：32． [5] 符彦惟．计算机网络安全实用技术.清华大学出版社.2008．9 [6] 王育民.通信网的安全—理论与技术.西安电子科技大学出版社.2000 [7] 段云所.个人防火墙.人民邮电出版社.2002 [8] 黎萍等.网络安全与管理与Windows2000.人民邮电出版社.2000 [9] 唐正军.网络入侵检测系统的设计与实现.电子工业出版社.2000 [10] 卢开成.计算机密码学.清华大学出版社.1998
8
