網(wǎng)絡教育站點安全性能的改進

1、網(wǎng)絡教育站點安全性能的改進摘要：網(wǎng)絡教育站點的安全是網(wǎng)絡教育機構(gòu)組織不得 不嚴肅考慮的問題。除了建立網(wǎng)絡安全策略用于指導和規(guī) 范各網(wǎng)絡教育管理人員的網(wǎng)絡安全管理職責外，對網(wǎng)絡教 育站點的安全改進是使站點安全運行的重要方法。本文從 服務器主機選擇、虛擬網(wǎng)絡（vlan）運用和劃分原則、服 務器主機和服務器軟件的配置、服務器管理等四方面論述 了如何對網(wǎng)絡教育站點進行安全改進。關鍵詞：vlan；網(wǎng) 絡隔離；服務器；安全模式abstractt hesecurity ofnetworke ducationwebsitesisaproblemwhichnetworkeducationorganization

2、shouldconsider. theimprovementofthesecurityonthewebsitesisanimportantwayfortheoperationofthesites,besidestheemphasisoftheestablishedstrategiesforguidanceanddutyofworkingstaff.inthispaper, theimprovementsonthesecurityofthewebsitesarereviewedbasedontheselectionofservers, sortingofnetwork, applicationo

3、fvlan,configurationofserver-hardwareandsoftware, andmana.gementofse rvers.1教育站點服務器主機的選擇在選擇教育站點服務器主機時，除了考慮諸如功能、 性能和價格等因素外，更重要的要考慮安全需求，服務器 很多，但它們的安全性能是不一樣的，要使教育站點具有 安全性就必須選擇滿足安全需求的服務器，網(wǎng)絡教育站點 的安全需求一般包括：較小的易受攻擊性只能由授權用戶進行管理的限制能力拒絕訪問服務器中沒有發(fā)布的信息的能力關閉操作系統(tǒng)或服務器軟件中不必要的網(wǎng)絡服務的 能力訪問各種外部可執(zhí)行程序(如cgiscr ipts、服務器 pl ug

4、-ins)的可控能力為偵測入侵或企圖入侵，記錄教育站點服務器活動 的能力2教育網(wǎng)絡分段及虛擬網(wǎng)絡(vlan)運用和劃分原則對局域網(wǎng)來說，網(wǎng)絡分段和vlan的運用是保證教育網(wǎng) 絡安全的有效措施。教育網(wǎng)絡分段改善安全性能。教育網(wǎng)絡分段是保證安全的一項重要措施，同時也是 一項基本措施，其指導思想在于將非法用戶與網(wǎng)絡資源相互隔離，從而達到限制用戶非法訪問的目的。教育網(wǎng)絡分 段可分為物理分段和邏輯分段兩種方式：物理分段通常是指將網(wǎng)絡從物理層和數(shù)據(jù)鏈路層 （iso/osi模型中的第一層和第二層）上分為若干網(wǎng)段，各網(wǎng) 段相互之間無法直接通訊。目前，許多交換機都有一定的 訪問控制能力，可實現(xiàn)對網(wǎng)絡的物理分段。

5、邏輯分段則是指將整個系統(tǒng)在網(wǎng)絡層（iso/o si模型 中的第三層）上進行分段。例如，對于tcp/ip網(wǎng)絡，可把 網(wǎng)絡分成若干ip子網(wǎng)，各子網(wǎng)間必須通過路由器、路由交 換機、網(wǎng)關或防火墻等設備進行連接，利用這些中間設備 （含軟件、硬件）的安全機制來控制各自網(wǎng)間的訪問。在 實際應用過程中可采取物理分段與邏輯分段相結(jié)合的方法 來實現(xiàn)對網(wǎng)絡系統(tǒng)的安全性能控制。運用vlan改變安全性能以太網(wǎng)從本質(zhì)基于廣播機制，但應用了交換和vlan技 術后，實際上轉(zhuǎn)變?yōu)辄c到點通訊，除非設置了監(jiān)聽口，信 息交換也不會存在監(jiān)聽和插入（改變）問題。由以上運行機制帶來的網(wǎng)絡安全的好處是顯而易見的:信息只到達應該到達的地點。因

6、此、防止了大部分基 于網(wǎng)絡監(jiān)聽的入侵手段。通過虛擬網(wǎng)設置的訪問控制，使在虛擬網(wǎng)外的網(wǎng)絡節(jié)點不能直接訪問虛擬網(wǎng)內(nèi)節(jié)點。vlan之間的劃分原則vla n的劃分方式的目的是保證系統(tǒng)的安全性。因此， 可以按照系統(tǒng)的安全性來劃分vlan；可以將主要的服務器 系統(tǒng)單獨劃分作一個vl an,如數(shù)據(jù)庫服務器、電子郵件服 務器等。也可以按照教育機構(gòu)、對象的設置來劃分vl an, 如可以按照教育機構(gòu)服務器管理員所在的網(wǎng)絡單獨作為一 個1 eadervlan(lvlan),其它層次的分別作為另一個或幾 個vlan,并且控制lvlan與其他v lan之間的單向信息流 向，即允許lvlan查看其他vlan的相關信息，其

7、他vla n 不能訪問lvlan的信息。vlan之內(nèi)的連接采用交換實現(xiàn)， vlan與vlan之間采用路由實現(xiàn)。3服務器主機和服務器軟件的配置 教育站點服務器與內(nèi)部網(wǎng)絡隔離公用服務器主機是一個供公眾訪問的計算機，無論主 機及其應用軟件配置的如何好，總會有人發(fā)現(xiàn)新的入侵點, 入侵者可以觀察或捕獲到內(nèi)部主機之間的網(wǎng)絡通信，也可 能進入內(nèi)部主機，獲得更詳細的信息，為此需要把服務器 主機與內(nèi)部網(wǎng)絡隔離，如圖1所示。圖1web服務器網(wǎng)絡結(jié)構(gòu)在一個更安全的主機上維持一個可靠的教育站點內(nèi)容 拷貝。當服務器上的信息完整性受到破壞時，需要一個可信 賴的拷貝來恢復.建議把一個可靠的信息拷貝存貯于與服 務器主機隔離的

8、更安全的主機上（即放在網(wǎng)絡防火墻內(nèi)的 內(nèi)部網(wǎng)絡上），并且除了教育站點管理員可以訪問這個拷貝 外，其它用戶（無論是內(nèi)部還是外部的）都不能訪問拷貝。 教育站點服務器主機只提供基本的網(wǎng)絡服務現(xiàn)代的計算機具有可提供多種服務和應用的功能，如 果多項服務和應用同時在一臺主機上提供，會使主機的安 全性能減弱，為此，應該按以下方法來配置教育站點服務 器：（1）.盡可能多地關掉服務和應用，然后有選擇地打開 那些基本的教育服務；（2）.確定你打算支持教育服務器的功能（如cgi腳 本）；（3）.如果有其它的方法提供同樣功能，選擇更安全的 方法；（4）. 一旦最少的教育服務和應用確定后，確保它們在 主機上是可用的；（

9、5）.當所有配置選項確定后，為關鍵系統(tǒng)軟件生成并 記錄加密校驗或其它完整校驗信息。配置教育站點服務器，增加安全性由于不同的機構(gòu)組織對公用站點的需求是不一樣的，因此服務器軟件已提供了各種軟件配置選項以滿足不同站 點的需求.省缺的配置設定可能是對“典型”站點的最優(yōu) 設定，當然這是銷售商想象的最優(yōu)化，一般是基于性能需 求或容易安裝來設定的.但在安裝教育站點服務器軟件時, 必須認真仔細地按安全需求配置服務器.(1) .配置教育站點服務器日志能力教育站點服務器日志文件記錄著服務器對每一請求的 響應行為信息，分析這些日志可以得到有用的用戶信息和 安全信息.目前有許多日志文件分析工具，大部分可對兩 種標準日

10、志文件格式進行分析，這兩種格式是“commonlo gformat"和 “extendedco mmonlogfor mat",服務器應該 配置成能生成兩種格式中任意一種格式的日志文件。(2) .配置教育站點服務器的輔助網(wǎng)絡服務一般教育站點服務器可同時提供其它的網(wǎng)絡服務，如 文件傳輸協(xié)議(ftp), go pher協(xié)議，電子郵件或按受從客 戶機來的文件上載等，為增加教育站點服務器的安全性， 在確定不需要這些服務的條件下，建議關閉所有的輔助服務 (4).配置教育站點服務器的本地或遠程管理利用教育站點主機控制臺來管理教育站點，這樣可以 控制在教育站點服務器(防火墻外)與管理工作

11、站(防火 墻內(nèi))之間的網(wǎng)絡傳輸，以增加安全性。但是在許多情況下，教育站點服務器管理不得不從遠程進行管理，這時必須要保證: 服務器主機有很強的驗證用戶身份能力，特別要避 免傳送明文口令，除非這是一個一次性口令。 服務器主機只允許從某個特定遠程主機進行遠程管 理 .在管理主機與服務器之間的網(wǎng)絡傳輸不應有這樣的 信息，這些信息如果入侵者截獲后，可訪問到服務器或內(nèi) 部網(wǎng)絡。.確定操作系統(tǒng)提供什么樣的訪問控制有些操作系統(tǒng)可以對教育站點服務的遠程訪問文件加 以限制，這些進程可以限制為對某些文件的只讀訪問，而 對一些文件不允許訪問。（6）.利用文件訪問控制來實現(xiàn)： 公用教育站點的內(nèi)容文件只能讀，不能由服務器

12、管 理進程來寫 存貯教育站點內(nèi)容的目錄不能由服務器管理進程來 寫 公用教育站點內(nèi)容文件只能由服務器管理進程來寫 教育站點服務器日志文件可由服務器進程寫，但不 能作為教育站點內(nèi)容來讀 教育站點服務器日志文件只能由管理進程讀 任何由教育站點服務器進程生成的臨時文件（如在 生成動態(tài)頁面時所需的臨時文件）必須限制在某個特定的 子目錄下。.不允許目錄列表服務按照教育站點協(xié)議(http ), 一個以斜杠結(jié)束的url是 請求列出一個目錄中的文件。按一般的規(guī)則，即使該目錄 下的所有文件都是準備發(fā)布的文件，也不允許服務器對這 類請求有響應。這類請求表示試圖用非教育站點提供的方 法來定位信息，當瀏覽有困難或鏈接斷

13、裂了，用戶就可能 企圖重新排序。入侵者可用此方法定位那些由教育站點接 口隱藏的信息?？梢詮姆掌魅罩疚募胁槌鲞@類請求o.配置服務器使之不能提供指定文件目錄數(shù)以外文件的服務。具體的實現(xiàn)可以通過服務器軟件本身的配置選擇，也可以通過操作系統(tǒng)選擇。必須避免在文件目錄樹中使用鏈 接或別名，因為它指出了服務器主機或網(wǎng)絡中的其它文 件。(9)確保服務器日志文件或配置文件不能作為公用教育站點內(nèi)容文件。日志文件應該存貯在服務器主機上，而不是傳送到內(nèi) 部網(wǎng)絡的另一臺主機上，同樣，服務器配置文件或參考文 件也應保持在服務器主機上。利用服務器配置選項和操作系統(tǒng)訪問控制，確保這些文件不能傳送給用戶，即使用戶知道這些文

14、件的名字(urls) o如果可能，把這些文件放在公用數(shù)據(jù)目錄樹以 外的地方。(10)當所有的的配置選擇完成好后，要為服務器軟件生 成一個密碼校驗或其它的完整檢驗基準信息。4網(wǎng)絡教育站點服務器管理用安全模式管理教育站點服務器教育站點服務器管理包括為服務器增加新內(nèi)容，檢查服務器日志，安裝新的外部程序以及改變服務器配置等等。這些管理可以在服務器控制臺上完成，也可以通過網(wǎng)絡在 另一主機上來管理，無論從哪里來管，一定要確保其安全 性，特別是以遠程主機管理服務器時，安全更加重要。(1).當選用遠程主機來管理教育站點服務器時，應選 用安全的方式來管理 .教育站點服務器主機應有很強的用戶身份驗證功 能，要避免

15、使用明文形式傳輸密碼口令。 .教育站點服務器從某一特定主機進行管理，主機 的驗證不依賴于網(wǎng)絡解析信息，如ip地址或dns名等。 .在管理員主機與服務器之間的網(wǎng)絡傳輸過程中， 不應給入侵者提供訪問服務器或內(nèi)部網(wǎng)絡的信息。(2).如果允許，可使用活動存貯介質(zhì)把教育站點的內(nèi)容拷貝到教育站點服務器上。.當需要在另一臺主機上檢查服務器的日志文件時,要用安全方法把日志文件傳送到那臺主機上。（4）.當服務器的配置或站點內(nèi)容改變后，要生成一個新的加密校驗或其它的完整校驗信息。檢查目錄和文件有無意外的改變網(wǎng)絡環(huán)境中的文件系統(tǒng)包括了大量軟件和數(shù)據(jù)文件， 目錄和文件的意外改變，特別是那些訪問受到限制的目錄 和文件的

16、意外改變，表明發(fā)生了某種入侵。入侵者為了隱 藏他們在系統(tǒng)中的存在，通常用相同功能的程序替換系統(tǒng) 的原有程序并修改日志文件，或在系統(tǒng)中生成新的文件。所以，利用檢查系統(tǒng)的目錄和文件的更改信息的方法，可 盡早發(fā)現(xiàn)入侵。（1）.為系統(tǒng)文件建立優(yōu)先級和檢查時間表。對關鍵文件和目錄一個權威參考數(shù)據(jù)，這些數(shù)據(jù)包括:在文件系統(tǒng)中的位置可選擇的路徑文件的內(nèi)容、目錄的入口實際長度、如可能還應有分配的單元文件和目錄生成和最后修改的時間、日期所屬權和訪問許可設定（3）.按照建立的計劃，用權威參考數(shù)據(jù)比較文件的屬性(4) .查驗丟失的文件或目錄(5) 查驗任何新的文件和目錄(6) 調(diào)查已發(fā)現(xiàn)的任何意外改變的原因檢查系統(tǒng)

17、和網(wǎng)絡日志日志文件記錄了系統(tǒng)和網(wǎng)絡中發(fā)生的異常和意外活動,入侵者經(jīng)常在日志文件中留下了其活動的足跡，因此定期 地檢查系統(tǒng)和網(wǎng)絡日志是發(fā)現(xiàn)入侵者的方法之一。日志文 件依操作系統(tǒng)、運行的應用軟件和配置的不同而不同，表1 給出了典型的日志文件包含的信息。表1日志文件的信息 活動類型日志包含的信息用戶活動登記活動用戶身份改變用戶訪問文件授權信息驗證信息處理活動用戶運行的命令運行進程信息，包括程序名、用戶、開始和停止時 間、以及執(zhí)行參數(shù)系統(tǒng)活動系統(tǒng)的啟動和關閉管理登錄網(wǎng)絡連接試圖與系統(tǒng)連接、已經(jīng)與系統(tǒng)連接的細節(jié)（時間、 地點、類型）從系統(tǒng)建立連接的細節(jié)網(wǎng)絡通訊監(jiān)控所有網(wǎng)絡通訊事務的記錄web服務活動遠程

18、主機名或ip地址、請求的日期和時間請求成功與否的回答碼用戶的遠程登錄名日志文件至少每天檢查一次，當發(fā)現(xiàn)任何異?；蛞馔?的活動，應做好記錄，并對這些活動進行分析，以確定是 否確有入侵者入侵。經(jīng)過一定時間的定期檢查后，就會熟 悉正常和期望的活動跡象，使識別異常和意外變得容易， 表2總結(jié)了各種日志文件可能報告的異?；蛞馔獾幕顒?。表2異?；蛞馔獾幕顒尤罩绢愋彤惓；蛞馔饣顒佑脩艋顒舆B續(xù)登錄失敗從一個意外的地點登錄在某一異常的時間登錄異常地企圖改變用戶標識用戶運行的異常進程未經(jīng)授權企圖訪問受限文件進程活動在意外的時間內(nèi)運行的進程過早中止的進程異常的進程系統(tǒng)活動意外的關機意外的再啟動網(wǎng)絡連接與或從異常的接點連接連續(xù)的連接失敗在異常的時間進行的連接意外的網(wǎng)絡通信（如：與你的防火墻配置相反，或 意外的通信量）網(wǎng)絡通訊監(jiān)控掃描各種服務的網(wǎng)絡地址空間，表明企圖識別你的 網(wǎng)絡和服務器主機連續(xù)地半打開連接（表明企圖ip欺騙或服務活動拒 絕）成功地連接到網(wǎng)絡主機的異常服務起源于你的網(wǎng)絡外部的事務，而其目標也是網(wǎng)絡的外部（表明該通信不應該橫穿你的網(wǎng)絡）連續(xù)地連接某個特定服務，表明有人企圖運用網(wǎng)絡 探測工具來對付你的網(wǎng)絡系統(tǒng)web服務器活動連續(xù)企圖濫用服務器（表明有人想破壞站點）引起拒絕服務的大量活