職業(yè)教育論文-網(wǎng)絡教育站點安全性能的改進 .doc

職業(yè)教育論文-網(wǎng)絡教育站點安全性能的改進摘要：網(wǎng)絡教育站點的安全是網(wǎng)絡教育機構組織不得不嚴肅考慮的問題。除了建立網(wǎng)絡安全策略用于指導和規(guī)范各網(wǎng)絡教育管理人員的網(wǎng)絡安全管理職責外，對網(wǎng)絡教育站點的安全改進是使站點安全運行的重要方法。本文從服務器主機選擇、虛擬網(wǎng)絡（VLAN）運用和劃分原則、服務器主機和服務器軟件的配置、服務器管理等四方面論述了如何對網(wǎng)絡教育站點進行安全改進。關鍵詞：VLAN；網(wǎng)絡隔離；服務器；安全模式AbstractThesecurityofnetworkeducationWEBsitesisaproblemwhichnetworkeducationorganizationshouldconsider.TheimprovementofthesecurityontheWEBsitesisanimportantwayfortheoperationofthesites,besidestheemphasisoftheestablishedstrategiesforguidanceanddutyofworkingstaff.Inthispaper,theimprovementsonthesecurityoftheWEBsitesarereviewedbasedontheselectionofservers,sortingofnetwork,applicationofVLAN,configurationofserver-hardwareandsoftware,andmanagementofservers.KeyWordsVLAN；Isolatednetwork；server；safemodel1教育站點服務器主機的選擇在選擇教育站點服務器主機時，除了考慮諸如功能、性能和價格等因素外，更重要的要考慮安全需求，服務器很多，但它們的安全性能是不一樣的，要使教育站點具有安全性就必須選擇滿足安全需求的服務器，網(wǎng)絡教育站點的安全需求一般包括：較小的易受攻擊性只能由授權用戶進行管理的限制能力拒絕訪問服務器中沒有發(fā)布的信息的能力關閉操作系統(tǒng)或服務器軟件中不必要的網(wǎng)絡服務的能力訪問各種外部可執(zhí)行程序（如CGIscripts、服務器plug-ins）的可控能力為偵測入侵或企圖入侵，記錄教育站點服務器活動的能力2教育網(wǎng)絡分段及虛擬網(wǎng)絡（VLAN）運用和劃分原則對局域網(wǎng)來說，網(wǎng)絡分段和VLAN的運用是保證教育網(wǎng)絡安全的有效措施。2.1教育網(wǎng)絡分段改善安全性能。教育網(wǎng)絡分段是保證安全的一項重要措施，同時也是一項基本措施，其指導思想在于將非法用戶與網(wǎng)絡資源相互隔離，從而達到限制用戶非法訪問的目的。教育網(wǎng)絡分段可分為物理分段和邏輯分段兩種方式：物理分段通常是指將網(wǎng)絡從物理層和數(shù)據(jù)鏈路層(ISO/OSI模型中的第一層和第二層)上分為若干網(wǎng)段,各網(wǎng)段相互之間無法直接通訊。目前，許多交換機都有一定的訪問控制能力，可實現(xiàn)對網(wǎng)絡的物理分段。邏輯分段則是指將整個系統(tǒng)在網(wǎng)絡層（ISO/OSI模型中的第三層）上進行分段。例如，對于TCP/IP網(wǎng)絡，可把網(wǎng)絡分成若干IP子網(wǎng)，各子網(wǎng)間必須通過路由器、路由交換機、網(wǎng)關或防火墻等設備進行連接，利用這些中間設備（含軟件、硬件）的安全機制來控制各自網(wǎng)間的訪問。在實際應用過程中可采取物理分段與邏輯分段相結合的方法來實現(xiàn)對網(wǎng)絡系統(tǒng)的安全性能控制。2.2運用VLAN改變安全性能以太網(wǎng)從本質基于廣播機制，但應用了交換和VLAN技術后，實際上轉變?yōu)辄c到點通訊，除非設置了監(jiān)聽口，信息交換也不會存在監(jiān)聽和插入（改變）問題。由以上運行機制帶來的網(wǎng)絡安全的好處是顯而易見的：信息只到達應該到達的地點。因此、防止了大部分基于網(wǎng)絡監(jiān)聽的入侵手段。通過虛擬網(wǎng)設置的訪問控制，使在虛擬網(wǎng)外的網(wǎng)絡節(jié)點不能直接訪問虛擬網(wǎng)內節(jié)點。2.3VLAN之間的劃分原則VLAN的劃分方式的目的是保證系統(tǒng)的安全性。因此，可以按照系統(tǒng)的安全性來劃分VLAN；可以將主要的服務器系統(tǒng)單獨劃分作一個VLAN，如數(shù)據(jù)庫服務器、電子郵件服務器等。也可以按照教育機構、對象的設置來劃分VLAN，如可以按照教育機構服務器管理員所在的網(wǎng)絡單獨作為一個leaderVLAN(LVLAN)，其它層次的分別作為另一個或幾個VLAN，并且控制LVLAN與其他VLAN之間的單向信息流向，即允許LVLAN查看其他VLAN的相關信息，其他VLAN不能訪問LVLAN的信息。VLAN之內的連接采用交換實現(xiàn)，VLAN與VLAN之間采用路由實現(xiàn)。3服務器主機和服務器軟件的配置3.1教育站點服務器與內部網(wǎng)絡隔離公用服務器主機是一個供公眾訪問的計算機，無論主機及其應用軟件配置的如何好，總會有人發(fā)現(xiàn)新的入侵點，入侵者可以觀察或捕獲到內部主機之間的網(wǎng)絡通信，也可能進入內部主機，獲得更詳細的信息，為此需要把服務器主機與內部網(wǎng)絡隔離，如圖1所示。圖1WEB服務器網(wǎng)絡結構3.2在一個更安全的主機上維持一個可靠的教育站點內容拷貝。當服務器上的信息完整性受到破壞時，需要一個可信賴的拷貝來恢復建議把一個可靠的信息拷貝存貯于與服務器主機隔離的更安全的主機上（即放在網(wǎng)絡防火墻內的內部網(wǎng)絡上），并且除了教育站點管理員可以訪問這個拷貝外，其它用戶（無論是內部還是外部的）都不能訪問拷貝。3.3教育站點服務器主機只提供基本的網(wǎng)絡服務現(xiàn)代的計算機具有可提供多種服務和應用的功能，如果多項服務和應用同時在一臺主機上提供，會使主機的安全性能減弱，為此，應該按以下方法來配置教育站點服務器：盡可能多地關掉服務和應用，然后有選擇地打開那些基本的教育服務；確定你打算支持教育服務器的功能（如CGI腳本）；如果有其它的方法提供同樣功能，選擇更安全的方法；一旦最少的教育服務和應用確定后，確保它們在主機上是可用的；當所有配置選項確定后，為關鍵系統(tǒng)軟件生成并記錄加密校驗或其它完整校驗信息。3.4配置教育站點服務器，增加安全性由于不同的機構組織對公用站點的需求是不一樣的，因此服務器軟件已提供了各種軟件配置選項以滿足不同站點的需求省缺的配置設定可能是對“典型”站點的最優(yōu)設定，當然這是銷售商想象的最優(yōu)化，一般是基于性能需求或容易安裝來設定的但在安裝教育站點服務器軟件時，必須認真仔細地按安全需求配置服務器配置教育站點服務器日志能力教育站點服務器日志文件記錄著服務器對每一請求的響應行為信息，分析這些日志可以得到有用的用戶信息和安全信息目前有許多日志文件分析工具，大部分可對兩種標準日志文件格式進行分析，這兩種格式是“CommonLogFormat”和“ExtendedCommonLogFormat”，服務器應該配置成能生成兩種格式中任意一種格式的日志文件。.配置教育站點服務器的輔助網(wǎng)絡服務一般教育站點服務器可同時提供其它的網(wǎng)絡服務，如文件傳輸協(xié)議（FTP），gopher協(xié)議，電子郵件或按受從客戶機來的文件上載等，為增加教育站點服務器的安全性，在確定不需要這些服務的條件下,建議關閉所有的輔助服務.配置教育站點服務器的本地或遠程管理利用教育站點主機控制臺來管理教育站點，這樣可以控制在教育站點服務器（防火墻外）與管理工作站（防火墻內）之間的網(wǎng)絡傳輸，以增加安全性。但是在許多情況下，教育站點服務器管理不得不從遠程進行管理，這時必須要保證：.服務器主機有很強的驗證用戶身份能力，特別要避免傳送明文口令，除非這是一個一次性口令。.服務器主機只允許從某個特定遠程主機進行遠程管理.在管理主機與服務器之間的網(wǎng)絡傳輸不應有這樣的信息，這些信息如果入侵者截獲后，可訪問到服務器或內部網(wǎng)絡。確定操作系統(tǒng)提供什么樣的訪問控制有些操作系統(tǒng)可以對教育站點服務的遠程訪問文件加以限制，這些進程可以限制為對某些文件的只讀訪問，而對一些文件不允許訪問。.利用文件訪問控制來實現(xiàn)：.公用教育站點的內容文件只能讀，不能由服務器管理進程來寫.存貯教育站點內容的目錄不能由服務器管理進程來寫.公用教育站點內容文件只能由服務器管理進程來寫.教育站點服務器日志文件可由服務器進程寫，但不能作為教育站點內容來讀.教育站點服務器日志文件只能由管理進程讀.任何由教育站點服務器進程生成的臨時文件（如在生成動態(tài)頁面時所需的臨時文件）必須限制在某個特定的子目錄下。不允許目錄列表服務按照教育站點協(xié)議（http），一個以斜杠結束的URL是請求列出一個目錄中的文件。按一般的規(guī)則，即使該目錄下的所有文件都是準備發(fā)布的文件，也不允許服務器對這類請求有響應。這類請求表示試圖用非教育站點提供的方法來定位信息，當瀏覽有困難或鏈接斷裂了，用戶就可能企圖重新排序。入侵者可用此方法定位那些由教育站點接口隱藏的信息?？梢詮姆掌魅罩疚募胁槌鲞@類請求。配置服務器使之不能提供指定文件目錄數(shù)以外文件的服務。具體的實現(xiàn)可以通過服務器軟件本身的配置選擇，也可以通過操作系統(tǒng)選擇。必須避免在文件目錄樹中使用鏈接或別名，因為它指出了服務器主機或網(wǎng)絡中的其它文件。.確保服務器日志文件或配置文件不能作為公用教育站點內容文件。日志文件應該存貯在服務器主機上，而不是傳送到內部網(wǎng)絡的另一臺主機上，同樣，服務器配置文件或參考文件也應保持在服務器主機上。利用服務器配置選項和操作系統(tǒng)訪問控制，確保這些文件不能傳送給用戶，即使用戶知道這些文件的名字（URLs）。如果可能，把這些文件放在公用數(shù)據(jù)目錄樹以外的地方。.當所有的的配置選擇完成好后，要為服務器軟件生成一個密碼校驗或其它的完整檢驗基準信息。4網(wǎng)絡教育站點服務器管理4.1用安全模式管理教育站點服務器教育站點服務器管理包括為服務器增加新內容，檢查服務器日志，安裝新的外部程序以及改變服務器配置等等。這些管理可以在服務器控制臺上完成，也可以通過網(wǎng)絡在另一主機上來管理，無論從哪里來管，一定要確保其安全性，特別是以遠程主機管理服務器時，安全更加重要。當選用遠程主機來管理教育站點服務器時，應選用安全的方式來管理教育站點服務器主機應有很強的用戶身份驗證功能，要避免使用明文形式傳輸密碼口令。教育站點服務器從某一特定主機進行管理，主機的驗證不依賴于網(wǎng)絡解析信息，如IP地址或DNS名等。在管理員主機與服務器之間的網(wǎng)絡傳輸過程中，不應給入侵者提供訪問服務器或內部網(wǎng)絡的信息。如果允許，可使用活動存貯介質把教育站點的內容拷貝到教育站點服務器上。當需要在另一臺主機上檢查服務器的日志文件時，要用安全方法把