高校教務(wù)管理系統(tǒng)安全策略的探討

高校教務(wù)管理系統(tǒng)安全策略的探討高校教務(wù)管理系統(tǒng)平安策略的探討

中圖分類號：TP393文獻標識碼：A文章編號：1674-098X〔2022〕08〔a〕-0183-01

1高校教務(wù)管理系統(tǒng)平安重視的必要性

眾所周知，一般在教務(wù)管理當中會波及到很多數(shù)據(jù)的信息，包括學生信息、教師信息，學生成績，選課信息等等。由于教務(wù)管理系統(tǒng)信息寄存的分散化、處理信息網(wǎng)絡(luò)化及應(yīng)用模式的不完善等原因還不能提供足夠信息平安愛護，網(wǎng)絡(luò)攻擊技術(shù)和攻擊工具也有了新的開展，校園網(wǎng)作為一個開放的網(wǎng)絡(luò)平臺，越來越多的平安問題凸顯出來?；谶@一原因，教務(wù)管理工作的平安性越來越受重視，同時，國家在進行教學評估時，教務(wù)管理系統(tǒng)也作為重要評定因素之一。如何使現(xiàn)有的教務(wù)管理系統(tǒng)更加科學化、標準化、現(xiàn)代化，“提升教務(wù)管理檔次，將教務(wù)交給計算機管理〞正成為亟待解決的問題。

2高校教務(wù)管理系統(tǒng)存在的平安問題

2.1效勞器存在的平安隱患

效勞器平安隱患主要包括：〔1〕教務(wù)系統(tǒng)幾乎要面對高校中所有的學生和教師，使用人群非常龐大而復(fù)雜。這既增加了效勞器被使用者有意或無意的破壞幾率，又增加了用戶終端病毒感染效勞器的可能性；〔2〕效勞器的硬件故障〔如硬盤故障等〕也會給系統(tǒng)帶來很大的平安隱患；〔3〕效勞器自身的平安措施不到位存在的平安隱患，如未及時給操作系統(tǒng)打補丁，未及時升級殺毒軟件病毒庫等；〔4〕用戶身份認證機制缺陷造成的平安隱患，如用戶的身份證僅靠密碼辨認，由于用戶密碼泄漏而給系統(tǒng)帶來平安隱患；〔5〕管理系統(tǒng)自身的軟件漏洞〔如SQL注入漏洞〕帶來的平安隱患。

2.2網(wǎng)絡(luò)平安隱患

網(wǎng)絡(luò)平安隱患主要包括下列方面：〔1〕數(shù)據(jù)傳輸隱患。如果敏感數(shù)據(jù)不使用加密傳輸，入侵者就可以通過網(wǎng)絡(luò)嗅探工具獲得用戶的賬號和口令；〔2〕網(wǎng)絡(luò)負載過重。隨著各高校的大規(guī)模招生，教務(wù)管理系統(tǒng)用戶的數(shù)量急劇增加，這可能會造成因并發(fā)用戶太多無法及時響應(yīng)而造成效勞器死機，影響效勞器的正常運行。

3高校教務(wù)管理系統(tǒng)的平安策略

針對上文提到的各種平安隱患，必須制定相應(yīng)的平安策略，才能保障教務(wù)管理系統(tǒng)的平安、穩(wěn)定運行。

3.1校園網(wǎng)絡(luò)平安體系的構(gòu)建

〔1〕物理平安。

在建立平安的校園網(wǎng)絡(luò)的時候，要注意機房的建設(shè)，特別是場館建設(shè)的設(shè)備，重要的是要留下足夠的空間，根據(jù)實際的網(wǎng)絡(luò)建設(shè)需求，對房間進行分隔，尤其是自動化的開關(guān)，光集群設(shè)備，網(wǎng)絡(luò)管理系統(tǒng)，完成設(shè)備的測量，控制和系統(tǒng)操作，無需頻繁進入，從而減少了人為因素對設(shè)備。另外我們還要考慮機房的消防設(shè)計，根據(jù)消防防火級別設(shè)置的機房，煙霧，溫度檢測裝置，安裝在機房設(shè)備的分布按照實際情況來確定設(shè)計。

〔2〕邏輯平安。

選擇VLAN技術(shù)，將網(wǎng)絡(luò)按照不同的平安要求劃分成幾個邏輯子網(wǎng)，對在網(wǎng)絡(luò)傳播的信息進行阻隔，在網(wǎng)絡(luò)內(nèi)部，我們要盡量控制的IP地址隨意更換及盜用，將有助于提高網(wǎng)絡(luò)的整體平安性。

3.2網(wǎng)絡(luò)操作系統(tǒng)的平安性

網(wǎng)絡(luò)操作系統(tǒng)作用是管理網(wǎng)絡(luò)信息的傳輸以及資源共享問題，提供軟件和網(wǎng)絡(luò)設(shè)備常見的規(guī)范接口協(xié)議并效勞于網(wǎng)絡(luò)用戶。

3.3數(shù)據(jù)庫平安

〔1〕選擇適合的網(wǎng)絡(luò)操作系統(tǒng)。示例Window2000、Window2022、Linux等。

〔2〕及時更新系統(tǒng)漏洞?，F(xiàn)在網(wǎng)絡(luò)上比擬常見的網(wǎng)絡(luò)攻擊一般都是針對系統(tǒng)漏洞或者安裝的一些軟件漏洞來進行的。因此要定期對系統(tǒng)及相應(yīng)軟件進行更新。

〔3〕建立堡壘主機。對效勞器建立堡壘主機并配合防火墻的使用，阻止外界用戶的訪問，并對來訪信息進行記錄。教務(wù)系統(tǒng)配置前置反向代理效勞器，實現(xiàn)隔離用戶對教務(wù)效勞器的直接訪問，同時實現(xiàn)負載均衡，教務(wù)效勞器只對前置代理效勞器和數(shù)據(jù)庫效勞器信任，所配置的防火墻規(guī)那么對其他電腦一律不信任，禁止訪問配置前置代理效勞器防火墻：

/sbin/iptables-F

/sbin/iptables-X

/sbin/iptables-Z

/sbin/iptables-PINPUTACCEPT

/sbin/iptables-POUTPUTACCEPT

/sbin/iptables-PFORWARDACCEPT

/sbin/iptables-AINPUT-ilo-jACCEPT

/sbin/iptables-AINPUT-mstate--stateRELATED，ESTABLISHED-jACCEPT

/sbin/iptables-AINPUT-ptcp-d10.1.2.9--dport80-jACCEPT

/sbin/iptables-AINPUT-ptcp-d10.1.2.9--dport443-jACCEPT

/sbin/iptables-AINPUT-ptcp-d10.1.2.8--dport80-jACCEPT

/sbin/iptables-AINPUT-ptcp-d10.1.2.8--dport443-jACCEPT

/sbin/iptables-AINPUT-s10.1.1.0/24-jACCEPT

/sbin/iptables-AINPUT-s10.1.2.0/24-jACCEPT

/sbin/iptables-AINPUT-s10.0.0.0/8-jDROP

10.1.2.9和10.1.2.8是實現(xiàn)前置代理效勞器HA和負載均衡的虛擬IP〔VIP〕，外網(wǎng)有硬件防火墻，并且只做端口映射。

10.1.1.0/24管理網(wǎng)段

10.1.2.0/24效勞器網(wǎng)段

數(shù)據(jù)庫效勞器的平安也是只信任業(yè)務(wù)效勞器，就是功能層的效勞器，其他連前置效勞器都不信任。

3.4平安等級域的具體劃分

將學院的網(wǎng)絡(luò)應(yīng)用按照平安等級的不同進行了層級劃分，首先我們建立了一個核心區(qū)域，它包含了數(shù)字化校園所有的應(yīng)用系統(tǒng)，重點是教務(wù)管理系統(tǒng)，及學院的門戶網(wǎng)站，這個區(qū)域也是我們層級劃分的第一層；校園網(wǎng)管理效勞器和教育信息電腦作為層級劃分的第二層；教師電腦作為第三層；學生電腦作為第四層；最后第五層是外部用戶域。則核心業(yè)務(wù)效勞放在一級區(qū)域里。并且我們設(shè)定一級區(qū)域的東西能訪問二層以上的以上的東西，一、二層之間的相互訪問需要獲取一個加密證書認證。三層區(qū)域和四層區(qū)域的電腦不論是否獲取證書均不能訪問以上兩層區(qū)域的主機。則作為互聯(lián)網(wǎng)中的那些外部