職業(yè)教育論文-網(wǎng)絡(luò)教育站點(diǎn)安全性能的改進(jìn) .doc

職業(yè)教育論文-網(wǎng)絡(luò)教育站點(diǎn)安全性能的改進(jìn)摘要：網(wǎng)絡(luò)教育站點(diǎn)的安全是網(wǎng)絡(luò)教育機(jī)構(gòu)組織不得不嚴(yán)肅考慮的問題。除了建立網(wǎng)絡(luò)安全策略用于指導(dǎo)和規(guī)范各網(wǎng)絡(luò)教育管理人員的網(wǎng)絡(luò)安全管理職責(zé)外，對網(wǎng)絡(luò)教育站點(diǎn)的安全改進(jìn)是使站點(diǎn)安全運(yùn)行的重要方法。本文從服務(wù)器主機(jī)選擇、虛擬網(wǎng)絡(luò)（VLAN）運(yùn)用和劃分原則、服務(wù)器主機(jī)和服務(wù)器軟件的配置、服務(wù)器管理等四方面論述了如何對網(wǎng)絡(luò)教育站點(diǎn)進(jìn)行安全改進(jìn)。關(guān)鍵詞：VLAN；網(wǎng)絡(luò)隔離；服務(wù)器；安全模式AbstractThesecurityofnetworkeducationWEBsitesisaproblemwhichnetworkeducationorganizationshouldconsider.TheimprovementofthesecurityontheWEBsitesisanimportantwayfortheoperationofthesites,besidestheemphasisoftheestablishedstrategiesforguidanceanddutyofworkingstaff.Inthispaper,theimprovementsonthesecurityoftheWEBsitesarereviewedbasedontheselectionofservers,sortingofnetwork,applicationofVLAN,configurationofserver-hardwareandsoftware,andmanagementofservers.KeyWordsVLAN；Isolatednetwork；server；safemodel1教育站點(diǎn)服務(wù)器主機(jī)的選擇在選擇教育站點(diǎn)服務(wù)器主機(jī)時(shí)，除了考慮諸如功能、性能和價(jià)格等因素外，更重要的要考慮安全需求，服務(wù)器很多，但它們的安全性能是不一樣的，要使教育站點(diǎn)具有安全性就必須選擇滿足安全需求的服務(wù)器，網(wǎng)絡(luò)教育站點(diǎn)的安全需求一般包括：較小的易受攻擊性只能由授權(quán)用戶進(jìn)行管理的限制能力拒絕訪問服務(wù)器中沒有發(fā)布的信息的能力關(guān)閉操作系統(tǒng)或服務(wù)器軟件中不必要的網(wǎng)絡(luò)服務(wù)的能力訪問各種外部可執(zhí)行程序（如CGIscripts、服務(wù)器plug-ins）的可控能力為偵測入侵或企圖入侵，記錄教育站點(diǎn)服務(wù)器活動(dòng)的能力2教育網(wǎng)絡(luò)分段及虛擬網(wǎng)絡(luò)（VLAN）運(yùn)用和劃分原則對局域網(wǎng)來說，網(wǎng)絡(luò)分段和VLAN的運(yùn)用是保證教育網(wǎng)絡(luò)安全的有效措施。2.1教育網(wǎng)絡(luò)分段改善安全性能。教育網(wǎng)絡(luò)分段是保證安全的一項(xiàng)重要措施，同時(shí)也是一項(xiàng)基本措施，其指導(dǎo)思想在于將非法用戶與網(wǎng)絡(luò)資源相互隔離，從而達(dá)到限制用戶非法訪問的目的。教育網(wǎng)絡(luò)分段可分為物理分段和邏輯分段兩種方式：物理分段通常是指將網(wǎng)絡(luò)從物理層和數(shù)據(jù)鏈路層(ISO/OSI模型中的第一層和第二層)上分為若干網(wǎng)段,各網(wǎng)段相互之間無法直接通訊。目前，許多交換機(jī)都有一定的訪問控制能力，可實(shí)現(xiàn)對網(wǎng)絡(luò)的物理分段。邏輯分段則是指將整個(gè)系統(tǒng)在網(wǎng)絡(luò)層（ISO/OSI模型中的第三層）上進(jìn)行分段。例如，對于TCP/IP網(wǎng)絡(luò)，可把網(wǎng)絡(luò)分成若干IP子網(wǎng)，各子網(wǎng)間必須通過路由器、路由交換機(jī)、網(wǎng)關(guān)或防火墻等設(shè)備進(jìn)行連接，利用這些中間設(shè)備（含軟件、硬件）的安全機(jī)制來控制各自網(wǎng)間的訪問。在實(shí)際應(yīng)用過程中可采取物理分段與邏輯分段相結(jié)合的方法來實(shí)現(xiàn)對網(wǎng)絡(luò)系統(tǒng)的安全性能控制。2.2運(yùn)用VLAN改變安全性能以太網(wǎng)從本質(zhì)基于廣播機(jī)制，但應(yīng)用了交換和VLAN技術(shù)后，實(shí)際上轉(zhuǎn)變?yōu)辄c(diǎn)到點(diǎn)通訊，除非設(shè)置了監(jiān)聽口，信息交換也不會(huì)存在監(jiān)聽和插入（改變）問題。由以上運(yùn)行機(jī)制帶來的網(wǎng)絡(luò)安全的好處是顯而易見的：信息只到達(dá)應(yīng)該到達(dá)的地點(diǎn)。因此、防止了大部分基于網(wǎng)絡(luò)監(jiān)聽的入侵手段。通過虛擬網(wǎng)設(shè)置的訪問控制，使在虛擬網(wǎng)外的網(wǎng)絡(luò)節(jié)點(diǎn)不能直接訪問虛擬網(wǎng)內(nèi)節(jié)點(diǎn)。2.3VLAN之間的劃分原則VLAN的劃分方式的目的是保證系統(tǒng)的安全性。因此，可以按照系統(tǒng)的安全性來劃分VLAN；可以將主要的服務(wù)器系統(tǒng)單獨(dú)劃分作一個(gè)VLAN，如數(shù)據(jù)庫服務(wù)器、電子郵件服務(wù)器等。也可以按照教育機(jī)構(gòu)、對象的設(shè)置來劃分VLAN，如可以按照教育機(jī)構(gòu)服務(wù)器管理員所在的網(wǎng)絡(luò)單獨(dú)作為一個(gè)leaderVLAN(LVLAN)，其它層次的分別作為另一個(gè)或幾個(gè)VLAN，并且控制LVLAN與其他VLAN之間的單向信息流向，即允許LVLAN查看其他VLAN的相關(guān)信息，其他VLAN不能訪問LVLAN的信息。VLAN之內(nèi)的連接采用交換實(shí)現(xiàn)，VLAN與VLAN之間采用路由實(shí)現(xiàn)。3服務(wù)器主機(jī)和服務(wù)器軟件的配置3.1教育站點(diǎn)服務(wù)器與內(nèi)部網(wǎng)絡(luò)隔離公用服務(wù)器主機(jī)是一個(gè)供公眾訪問的計(jì)算機(jī)，無論主機(jī)及其應(yīng)用軟件配置的如何好，總會(huì)有人發(fā)現(xiàn)新的入侵點(diǎn)，入侵者可以觀察或捕獲到內(nèi)部主機(jī)之間的網(wǎng)絡(luò)通信，也可能進(jìn)入內(nèi)部主機(jī)，獲得更詳細(xì)的信息，為此需要把服務(wù)器主機(jī)與內(nèi)部網(wǎng)絡(luò)隔離，如圖1所示。圖1WEB服務(wù)器網(wǎng)絡(luò)結(jié)構(gòu)3.2在一個(gè)更安全的主機(jī)上維持一個(gè)可靠的教育站點(diǎn)內(nèi)容拷貝。當(dāng)服務(wù)器上的信息完整性受到破壞時(shí)，需要一個(gè)可信賴的拷貝來恢復(fù)建議把一個(gè)可靠的信息拷貝存貯于與服務(wù)器主機(jī)隔離的更安全的主機(jī)上（即放在網(wǎng)絡(luò)防火墻內(nèi)的內(nèi)部網(wǎng)絡(luò)上），并且除了教育站點(diǎn)管理員可以訪問這個(gè)拷貝外，其它用戶（無論是內(nèi)部還是外部的）都不能訪問拷貝。3.3教育站點(diǎn)服務(wù)器主機(jī)只提供基本的網(wǎng)絡(luò)服務(wù)現(xiàn)代的計(jì)算機(jī)具有可提供多種服務(wù)和應(yīng)用的功能，如果多項(xiàng)服務(wù)和應(yīng)用同時(shí)在一臺(tái)主機(jī)上提供，會(huì)使主機(jī)的安全性能減弱，為此，應(yīng)該按以下方法來配置教育站點(diǎn)服務(wù)器：盡可能多地關(guān)掉服務(wù)和應(yīng)用，然后有選擇地打開那些基本的教育服務(wù)；確定你打算支持教育服務(wù)器的功能（如CGI腳本）；如果有其它的方法提供同樣功能，選擇更安全的方法；一旦最少的教育服務(wù)和應(yīng)用確定后，確保它們在主機(jī)上是可用的；當(dāng)所有配置選項(xiàng)確定后，為關(guān)鍵系統(tǒng)軟件生成并記錄加密校驗(yàn)或其它完整校驗(yàn)信息。3.4配置教育站點(diǎn)服務(wù)器，增加安全性由于不同的機(jī)構(gòu)組織對公用站點(diǎn)的需求是不一樣的，因此服務(wù)器軟件已提供了各種軟件配置選項(xiàng)以滿足不同站點(diǎn)的需求省缺的配置設(shè)定可能是對“典型”站點(diǎn)的最優(yōu)設(shè)定，當(dāng)然這是銷售商想象的最優(yōu)化，一般是基于性能需求或容易安裝來設(shè)定的但在安裝教育站點(diǎn)服務(wù)器軟件時(shí)，必須認(rèn)真仔細(xì)地按安全需求配置服務(wù)器配置教育站點(diǎn)服務(wù)器日志能力教育站點(diǎn)服務(wù)器日志文件記錄著服務(wù)器對每一請求的響應(yīng)行為信息，分析這些日志可以得到有用的用戶信息和安全信息目前有許多日志文件分析工具，大部分可對兩種標(biāo)準(zhǔn)日志文件格式進(jìn)行分析，這兩種格式是“CommonLogFormat”和“ExtendedCommonLogFormat”，服務(wù)器應(yīng)該配置成能生成兩種格式中任意一種格式的日志文件。.配置教育站點(diǎn)服務(wù)器的輔助網(wǎng)絡(luò)服務(wù)一般教育站點(diǎn)服務(wù)器可同時(shí)提供其它的網(wǎng)絡(luò)服務(wù)，如文件傳輸協(xié)議（FTP），gopher協(xié)議，電子郵件或按受從客戶機(jī)來的文件上載等，為增加教育站點(diǎn)服務(wù)器的安全性，在確定不需要這些服務(wù)的條件下,建議關(guān)閉所有的輔助服務(wù).配置教育站點(diǎn)服務(wù)器的本地或遠(yuǎn)程管理利用教育站點(diǎn)主機(jī)控制臺(tái)來管理教育站點(diǎn)，這樣可以控制在教育站點(diǎn)服務(wù)器（防火墻外）與管理工作站（防火墻內(nèi)）之間的網(wǎng)絡(luò)傳輸，以增加安全性。但是在許多情況下，教育站點(diǎn)服務(wù)器管理不得不從遠(yuǎn)程進(jìn)行管理，這時(shí)必須要保證：.服務(wù)器主機(jī)有很強(qiáng)的驗(yàn)證用戶身份能力，特別要避免傳送明文口令，除非這是一個(gè)一次性口令。.服務(wù)器主機(jī)只允許從某個(gè)特定遠(yuǎn)程主機(jī)進(jìn)行遠(yuǎn)程管理.在管理主機(jī)與服務(wù)器之間的網(wǎng)絡(luò)傳輸不應(yīng)有這樣的信息，這些信息如果入侵者截獲后，可訪問到服務(wù)器或內(nèi)部網(wǎng)絡(luò)。確定操作系統(tǒng)提供什么樣的訪問控制有些操作系統(tǒng)可以對教育站點(diǎn)服務(wù)的遠(yuǎn)程訪問文件加以限制，這些進(jìn)程可以限制為對某些文件的只讀訪問，而對一些文件不允許訪問。.利用文件訪問控制來實(shí)現(xiàn)：.公用教育站點(diǎn)的內(nèi)容文件只能讀，不能由服務(wù)器管理進(jìn)程來寫.存貯教育站點(diǎn)內(nèi)容的目錄不能由服務(wù)器管理進(jìn)程來寫.公用教育站點(diǎn)內(nèi)容文件只能由服務(wù)器管理進(jìn)程來寫.教育站點(diǎn)服務(wù)器日志文件可由服務(wù)器進(jìn)程寫，但不能作為教育站點(diǎn)內(nèi)容來讀.教育站點(diǎn)服務(wù)器日志文件只能由管理進(jìn)程讀.任何由教育站點(diǎn)服務(wù)器進(jìn)程生成的臨時(shí)文件（如在生成動(dòng)態(tài)頁面時(shí)所需的臨時(shí)文件）必須限制在某個(gè)特定的子目錄下。不允許目錄列表服務(wù)按照教育站點(diǎn)協(xié)議（http），一個(gè)以斜杠結(jié)束的URL是請求列出一個(gè)目錄中的文件。按一般的規(guī)則，即使該目錄下的所有文件都是準(zhǔn)備發(fā)布的文件，也不允許服務(wù)器對這類請求有響應(yīng)。這類請求表示試圖用非教育站點(diǎn)提供的方法來定位信息，當(dāng)瀏覽有困難或鏈接斷裂了，用戶就可能企圖重新排序。入侵者可用此方法定位那些由教育站點(diǎn)接口隱藏的信息。可以從服務(wù)器日志文件中查出這類請求。配置服務(wù)器使之不能提供指定文件目錄數(shù)以外文件的服務(wù)。具體的實(shí)現(xiàn)可以通過服務(wù)器軟件本身的配置選擇，也可以通過操作系統(tǒng)選擇。必須避免在文件目錄樹中使用鏈接或別名，因?yàn)樗赋隽朔?wù)器主機(jī)或網(wǎng)絡(luò)中的其它文件。.確保服務(wù)器日志文件或配置文件不能作為公用教育站點(diǎn)內(nèi)容文件。日志文件應(yīng)該存貯在服務(wù)器主機(jī)上，而不是傳送到內(nèi)部網(wǎng)絡(luò)的另一臺(tái)主機(jī)上，同樣，服務(wù)器配置文件或參考文件也應(yīng)保持在服務(wù)器主機(jī)上。利用服務(wù)器配置選項(xiàng)和操作系統(tǒng)訪問控制，確保這些文件不能傳送給用戶，即使用戶知道這些文件的名字（URLs）。如果可能，把這些文件放在公用數(shù)據(jù)目錄樹以外的地方。.當(dāng)所有的的配置選擇完成好后，要為服務(wù)器軟件生成一個(gè)密碼校驗(yàn)或其它的完整檢驗(yàn)基準(zhǔn)信息。4網(wǎng)絡(luò)教育站點(diǎn)服務(wù)器管理4.1用安全模式管理教育站點(diǎn)服務(wù)器教育站點(diǎn)服務(wù)器管理包括為服務(wù)器增加新內(nèi)容，檢查服務(wù)器日志，安裝新的外部程序以及改變服務(wù)器配置等等。這些管理可以在服務(wù)器控制臺(tái)上完成，也可以通過網(wǎng)絡(luò)在另一主機(jī)上來管理，無論從哪里來管，一定要確保其安全性，特別是以遠(yuǎn)程主機(jī)管理服務(wù)器時(shí)，安全更加重要。當(dāng)選用遠(yuǎn)程主機(jī)來管理教育站點(diǎn)服務(wù)器時(shí)，應(yīng)選用安全的方式來管理教育站點(diǎn)服務(wù)器主機(jī)應(yīng)有很強(qiáng)的用戶身份驗(yàn)證功能，要避免使用明文形式傳輸密碼口令。教育站點(diǎn)服務(wù)器從某一特定主機(jī)進(jìn)行管理，主機(jī)的驗(yàn)證不依賴于網(wǎng)絡(luò)解析信息，如IP地址或DNS名等。在管理員主機(jī)與服務(wù)器之間的網(wǎng)絡(luò)傳輸過程中，不應(yīng)給入侵者提供訪問服務(wù)器或內(nèi)部網(wǎng)絡(luò)的信息。如果允許，可使用活動(dòng)存貯介質(zhì)把教育站點(diǎn)的內(nèi)容拷貝到教育站點(diǎn)服務(wù)器上。當(dāng)需要在另一臺(tái)主機(jī)上檢查服務(wù)器的日志文件時(shí)，要用安全方法把