前言:想要寫出一篇引人入勝的文章?我們特意為您整理了高職院校網(wǎng)站群網(wǎng)絡(luò)安全論文范文,希望能給你帶來(lái)靈感和參考,敬請(qǐng)閱讀。
1網(wǎng)站群安全技術(shù)架構(gòu)
從安全技術(shù)架構(gòu)來(lái)說(shuō),網(wǎng)站群的安全問(wèn)題主要在于網(wǎng)絡(luò)層、操作系統(tǒng)、數(shù)據(jù)庫(kù)的安全。高職院校一般都具備獨(dú)立的數(shù)據(jù)中心。以浙江醫(yī)藥高等專科學(xué)校為例,目前已建有MIS+S(基本信息安全保障)系統(tǒng)架構(gòu),隨著硬件驅(qū)動(dòng)已轉(zhuǎn)變?yōu)閼?yīng)用驅(qū)動(dòng),網(wǎng)絡(luò)信息基礎(chǔ)設(shè)施和服務(wù)都有了大幅度的提升,能夠從物理安全、網(wǎng)絡(luò)安全、系統(tǒng)安全、應(yīng)用安全四個(gè)環(huán)節(jié),打造網(wǎng)站群安全防范技術(shù)體系,實(shí)現(xiàn)動(dòng)態(tài)防御、主機(jī)安全、備份和恢復(fù)、安全審計(jì)、安全測(cè)試配置、安全監(jiān)控,應(yīng)用分析等目標(biāo)。
1.1動(dòng)態(tài)防御
網(wǎng)站群安全防范技術(shù)體系以往,我們通常利用防火墻、雙核心網(wǎng)絡(luò)設(shè)備以及DMZ區(qū)來(lái)實(shí)現(xiàn)應(yīng)用防護(hù),防范惡意攻擊和病毒入侵的能力有限。在網(wǎng)絡(luò)安全問(wèn)題日趨嚴(yán)重和復(fù)雜的情況下,需要加固原有的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu),增加應(yīng)用防護(hù)系統(tǒng)、統(tǒng)一防惡意代碼軟件、網(wǎng)絡(luò)管理系統(tǒng),與防火墻一起建立動(dòng)態(tài)防御體系。只有為網(wǎng)站群和服務(wù)建立訪問(wèn)控制體系,才能將絕大多數(shù)攻擊阻止在到達(dá)攻擊目標(biāo)之前,或攻擊者在突破第一道防線后,延緩或阻斷其到達(dá)攻擊目標(biāo),最終提升網(wǎng)站群系統(tǒng)的物理安全、網(wǎng)絡(luò)安全和應(yīng)用安全。我們將網(wǎng)站群系統(tǒng)所在區(qū)域從原DMZ區(qū)劃分出來(lái),與其他Web應(yīng)用一起規(guī)劃為安全級(jí)別較高的WebServer服務(wù)區(qū)域。同時(shí),在該區(qū)域部署統(tǒng)一惡意代碼防范管理系統(tǒng),建立安全的病毒防護(hù)措施。在核心交換和WebServer服務(wù)區(qū)域間,通過(guò)串聯(lián)部署方式,增加一臺(tái)WAF(應(yīng)用防護(hù)系統(tǒng)),起到防護(hù)Web應(yīng)用、漏洞檢測(cè)作用,確保網(wǎng)站群在內(nèi)的Web應(yīng)用完整性。同時(shí),開(kāi)啟硬件防火墻上的網(wǎng)站防篡改、IPS功能、日志功能,建立攻擊監(jiān)控體系,實(shí)時(shí)檢測(cè)出絕大多數(shù)攻擊,并采取相應(yīng)的行動(dòng)(如斷開(kāi)網(wǎng)絡(luò)連接、記錄攻擊過(guò)程、跟蹤攻擊源,等)。網(wǎng)站群系統(tǒng)管理員在統(tǒng)一惡意代碼防范管理平臺(tái)上,對(duì)網(wǎng)站群主機(jī)進(jìn)行遠(yuǎn)程控制。包括:遠(yuǎn)程啟動(dòng)或停止實(shí)時(shí)監(jiān)控、手動(dòng)掃描、實(shí)時(shí)更新、功能組件配置、設(shè)定分組任務(wù)或策略,等,以有效阻隔外來(lái)病毒入侵及內(nèi)部病毒清除,有效保障系統(tǒng)安全。眾所周知,網(wǎng)絡(luò)攻擊也可以來(lái)自于局域網(wǎng)內(nèi)部,如內(nèi)網(wǎng)DoS攻擊、ARP等病毒攻擊。對(duì)于內(nèi)網(wǎng)攻擊的防范,通常采取的應(yīng)對(duì)方法有:為內(nèi)網(wǎng)終端安裝病毒防護(hù)軟件、加強(qiáng)用戶病毒查殺意識(shí),在網(wǎng)絡(luò)設(shè)備上劃分VLAN進(jìn)行邏輯隔離、設(shè)置ACL訪問(wèn)控制?,F(xiàn)階段,我們還啟用硬件防火墻上的IPS、DDoS/DoS內(nèi)網(wǎng)防護(hù)、病毒防御策略等功能來(lái)加強(qiáng)防范。同時(shí),利用上網(wǎng)行為管理設(shè)備,對(duì)內(nèi)網(wǎng)終端實(shí)施安全檢查、網(wǎng)絡(luò)準(zhǔn)入控制、行為審計(jì)、危險(xiǎn)流量封堵、木馬病毒查殺等安全防護(hù)措施,針對(duì)內(nèi)網(wǎng)攻擊事件查看分析用戶行為記錄并定位,并且依據(jù)學(xué)校相關(guān)規(guī)章制度進(jìn)行處置處理(如《校園網(wǎng)用戶守則》、《校園網(wǎng)聯(lián)網(wǎng)安全保護(hù)管理辦法》、《校園網(wǎng)系統(tǒng)安全管理制度》,等),提高局域網(wǎng)內(nèi)部的綜合防范能力,減少內(nèi)網(wǎng)攻擊事件的發(fā)生。
1.2主機(jī)安全
主機(jī)安全是網(wǎng)站群系統(tǒng)安全的保障??梢圆捎秒p機(jī)熱備的方式來(lái)解決主機(jī)冗余問(wèn)題。但是,由于網(wǎng)站群系統(tǒng)應(yīng)用的重要性和網(wǎng)絡(luò)安全的復(fù)雜性,為提高主機(jī)安全能力,還需要構(gòu)建主機(jī)集群環(huán)境,以保障網(wǎng)站群系統(tǒng)的持續(xù)運(yùn)行。目前,高職院校為提高數(shù)據(jù)中心的利用率和采購(gòu)運(yùn)行成本,通常會(huì)采用服務(wù)器虛擬化軟件規(guī)劃虛擬數(shù)據(jù)中心。在該環(huán)境中,統(tǒng)一存儲(chǔ)設(shè)備部署在后端,為物理服務(wù)器(虛擬主機(jī))提供空間資源,并為前端虛擬機(jī)提供數(shù)據(jù)存儲(chǔ)資源;數(shù)臺(tái)高性能服務(wù)器作為虛擬主機(jī),隨時(shí)劃分前端虛擬機(jī),并提供虛擬機(jī)所需的CPU、內(nèi)存資源、存儲(chǔ)器訪問(wèn)權(quán)和網(wǎng)絡(luò)連接能力,滿足各項(xiàng)應(yīng)用的服務(wù)器需求。采用虛擬機(jī)(VM)部署網(wǎng)站群雙機(jī)熱備,在降低采購(gòu)成本的同時(shí),提高了網(wǎng)站群主機(jī)的靈活性、冗余保障和容災(zāi)遷移能力,保障網(wǎng)站群主機(jī)操作系統(tǒng)的安全需求。為了減少網(wǎng)站群所在虛擬主機(jī)(物理服務(wù)器)的單點(diǎn)故障,實(shí)現(xiàn)網(wǎng)站群系統(tǒng)的不間斷運(yùn)行,我們利用vSphere集群功能,在虛擬數(shù)據(jù)中心內(nèi),配置HA(highavailability)高可用集群(如圖4所示)。HA允許一個(gè)集群中在資源許可的情況下,將一臺(tái)出現(xiàn)故障的虛擬主機(jī)上面的網(wǎng)站群虛擬機(jī)切換到集群中另一臺(tái)虛擬主機(jī)上運(yùn)行(如192.168.0.116和192.168.0.118)。應(yīng)用業(yè)務(wù)時(shí)間間斷由VM系統(tǒng)啟動(dòng)時(shí)間、應(yīng)用啟動(dòng)時(shí)間、心跳檢測(cè)時(shí)間構(gòu)成。
1.3備份和恢復(fù)
數(shù)據(jù)資料是整個(gè)網(wǎng)站群系統(tǒng)運(yùn)作的核心,建立良好的備份和恢復(fù)機(jī)制,可以在應(yīng)用系統(tǒng)遭受攻擊時(shí),盡快地恢復(fù)數(shù)據(jù)和系統(tǒng)服務(wù)。以往,為降低備份容災(zāi)成本,會(huì)采用純軟件模式,通過(guò)編輯腳本文件,連接兩臺(tái)熱備服務(wù)器,將數(shù)據(jù)實(shí)時(shí)復(fù)制到另一臺(tái)服務(wù)器上,如果一臺(tái)服務(wù)器出現(xiàn)故障,可以及時(shí)切換到另一臺(tái)服務(wù)器,避免了磁盤陣列的單點(diǎn)故障。在網(wǎng)絡(luò)安全的新形勢(shì)下,為實(shí)現(xiàn)應(yīng)用數(shù)據(jù)及業(yè)務(wù)存儲(chǔ)系統(tǒng)的完整性和可靠性,我們?cè)诰W(wǎng)絡(luò)拓樸的DMZ區(qū)域,接入存儲(chǔ)備份一體機(jī)(浙江醫(yī)藥高等??茖W(xué)校采用SymantecBE3600),構(gòu)建高可用性的存儲(chǔ)備份環(huán)境。利用其存儲(chǔ)空間及備份管理系統(tǒng),實(shí)現(xiàn)有效的異地備份,為網(wǎng)站群的容災(zāi)備份提供了進(jìn)一步的安全保障。通過(guò)制定備份策略,選擇合適的備份頻率,采用完全備份、增量備份、差分備份或按需備份的組合方式,確保及時(shí)恢復(fù)失敗的網(wǎng)站群虛擬機(jī),快速恢復(fù)丟失的應(yīng)用程序服務(wù),全面提升網(wǎng)站群的數(shù)據(jù)安全及備份恢復(fù)能力,避免在各種極端情況下造成的重大損失和惡劣影響。
1.4安全審計(jì)
網(wǎng)站群要達(dá)到可控性與可審查性,就必須對(duì)站點(diǎn)的訪問(wèn)活動(dòng)進(jìn)行多層次的記錄。安全審計(jì)是網(wǎng)站群主機(jī)安全和應(yīng)用安全中的重要環(huán)節(jié),審計(jì)范圍要覆蓋到主機(jī)上的每個(gè)操作系統(tǒng)用戶和數(shù)據(jù)庫(kù)用戶,審計(jì)內(nèi)容應(yīng)包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等安全相關(guān)事件,及時(shí)發(fā)現(xiàn)非法入侵行為。以旁路方式部署了一臺(tái)審計(jì)設(shè)備,并接入核心交換。審計(jì)設(shè)備通過(guò)對(duì)交換機(jī)的鏡像口進(jìn)行旁路監(jiān)聽(tīng)。網(wǎng)站群系統(tǒng)管理員可通過(guò)B/S方式使用日志管理綜合審計(jì)系統(tǒng),從網(wǎng)絡(luò)運(yùn)行維護(hù)、數(shù)據(jù)庫(kù)安全及系統(tǒng)安全審計(jì)等方面,采集所有網(wǎng)站群的數(shù)據(jù)庫(kù)訪問(wèn)行為記錄,收集客觀、實(shí)時(shí)的分析數(shù)據(jù)。一旦發(fā)生網(wǎng)站群網(wǎng)絡(luò)信息安全事件,系統(tǒng)管理員可根據(jù)網(wǎng)站群用戶對(duì)數(shù)據(jù)庫(kù)系統(tǒng)的所有操作信息,進(jìn)行準(zhǔn)確快速定位,并排除安全隱患。此外,為確保安全審計(jì),還應(yīng)要求網(wǎng)站群開(kāi)發(fā)人員去除或隱藏程序中的刪除日志功能。
1.5安全測(cè)試與配置
由于網(wǎng)絡(luò)安全不是絕對(duì)的,因此,在建立技術(shù)防范體系后,我們按照《信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)基本要求》中的第二級(jí)基本要求,對(duì)網(wǎng)站群的操作系統(tǒng)、數(shù)據(jù)庫(kù)和應(yīng)用系統(tǒng)進(jìn)行集成測(cè)試和配置。主要包括身份鑒別、訪問(wèn)控制、入侵防范、資源控制、數(shù)據(jù)完整性和保密性,從而確保信息和管理安全。我們采用Centos和Oracle來(lái)構(gòu)建網(wǎng)站群的操作系統(tǒng)和數(shù)據(jù)庫(kù)環(huán)境,相關(guān)配置如下:
1.5.1身份鑒別良好的身份認(rèn)證體系可防止攻擊者假冒合法用戶。為此,須對(duì)登錄操作系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)、網(wǎng)站群的用戶進(jìn)行身份標(biāo)識(shí)和鑒別,操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)管理用戶身份標(biāo)識(shí)應(yīng)具有不易冒用的特點(diǎn),并確保用戶名具有惟一性。因此,我們做了相關(guān)配置:編輯操作系統(tǒng)文件etc/login.defs文件,應(yīng)達(dá)到密碼定期更換要求。如:PASS_MAX_DAYS90#新建用戶的密碼最長(zhǎng)使用天數(shù)PASS_MIN_DAYS0#新建用戶的密碼最短使用天數(shù)PASS_WARN_AGE7#新建用戶的密碼到期提前提醒天數(shù)PASS_MIN_LEN6#最小密碼長(zhǎng)度6編輯操作系統(tǒng)文件/etc/pam.d/system-auth文件,應(yīng)達(dá)到密碼復(fù)雜度要求,如:passwordrequisitepam_cracklib.sominlen=6dcr-edit=2ocredit=2#限制密碼最小長(zhǎng)度6位和至少包含2數(shù)字、至少包含2個(gè)特殊字符數(shù)編輯操作系統(tǒng)文件etc/pam.d/system-auth文件,采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等措施,實(shí)現(xiàn)登錄失敗處理功能。如:authrequiredpam_tally.soonerr=faildeny=6un-lock_time=300#設(shè)置密碼連續(xù)錯(cuò)誤6次鎖定,鎖定時(shí)間300s。對(duì)于數(shù)據(jù)庫(kù)的身份鑒別,我們通過(guò)配置Oracle公司提供的驗(yàn)證密碼復(fù)雜度的函數(shù)來(lái)實(shí)現(xiàn)。對(duì)于網(wǎng)站群系統(tǒng),后臺(tái)管理用戶密碼復(fù)雜度設(shè)置高級(jí)別,對(duì)密碼的長(zhǎng)度、大小寫、特殊字符都方面都要做要求,同時(shí)設(shè)置口令有效期。
1.5.2訪問(wèn)控制訪問(wèn)控制更側(cè)重于管理層面,要求操作系統(tǒng)和數(shù)據(jù)庫(kù)管理帳號(hào)和實(shí)際操作都必須為不同人員。我們制定相關(guān)崗位職責(zé)文件,實(shí)現(xiàn)權(quán)限分離,責(zé)任分離。如:依據(jù)安全策略控制用戶對(duì)資源的訪問(wèn);實(shí)現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)用戶權(quán)限期的分離;限制默認(rèn)帳戶的訪問(wèn)權(quán)限,重命名系統(tǒng)默認(rèn)帳戶,修改帳戶的默認(rèn)口令;應(yīng)及時(shí)刪除多余的、過(guò)期的帳戶,避免共享帳戶的存在。此外,我們對(duì)網(wǎng)站群的角色權(quán)限進(jìn)行細(xì)分,做到權(quán)限相互制約。如超級(jí)管理員具有所有功能的操作權(quán)限,二級(jí)網(wǎng)站管理員只能具有自己站點(diǎn)的操作權(quán)限,審計(jì)員只能查看安全日志。
1.5.3入侵防范做好入侵防范措施。在操作系統(tǒng)方面,我們遵循最小安裝的原則,僅安裝需要的組件和應(yīng)用程序,使得端口和服務(wù)實(shí)現(xiàn)最小化;通過(guò)對(duì)安全漏洞的周期檢查,設(shè)置升級(jí)服務(wù)器等方式保持系統(tǒng)補(bǔ)丁及時(shí)得到更新,從而使絕大多數(shù)攻擊無(wú)效。
1.5.4資源控制系統(tǒng)資源控制主要指終端接入的方式、IP地址范圍及登錄次數(shù)限制。我們做了相關(guān)配置。
2網(wǎng)站群安全防范措施
單純期望某一個(gè)安全技術(shù)或體系架構(gòu)就能夠全面消除或解決網(wǎng)絡(luò)安全威脅和風(fēng)險(xiǎn)的想法是不現(xiàn)實(shí)的。高職院校網(wǎng)站安全問(wèn)題突出,還歸結(jié)于學(xué)校對(duì)網(wǎng)站安全不重視,網(wǎng)站信息保護(hù)意識(shí)差,網(wǎng)站日常維護(hù)缺失,等。我們只能通過(guò)大量實(shí)踐,在網(wǎng)絡(luò)安全實(shí)戰(zhàn)對(duì)抗中不斷完善,明確責(zé)任和義務(wù),建立管理制度和安全制度。管理是網(wǎng)絡(luò)安全的重要部分,在對(duì)網(wǎng)站群部署進(jìn)行有效的安全風(fēng)險(xiǎn)(安全威脅)識(shí)別和評(píng)估后,我們還圍繞技術(shù)層面、組織層面、管理層面、服務(wù)層面,完善網(wǎng)站群安全防范措施。建立學(xué)校、部門兩級(jí)運(yùn)行維護(hù)的組織體系,按集中建站、分級(jí)管理、制度約束、服務(wù)保障的原則,通過(guò)統(tǒng)一策劃、統(tǒng)一標(biāo)準(zhǔn)、統(tǒng)一資源、統(tǒng)一平臺(tái)來(lái)實(shí)現(xiàn)集中建站。按照國(guó)家有關(guān)規(guī)章制度和安全辦法(策略),形成制度約束機(jī)制,確保網(wǎng)站群在高效、安全、有序的體系下運(yùn)作。理順管理體制與職責(zé),構(gòu)建主站和子站間的垂直管理體系,制定網(wǎng)站群管理辦法、建立網(wǎng)站群管理和信息員制度、制定安全規(guī)范及操作手冊(cè)、建立內(nèi)容管理與審核制度、明確各網(wǎng)站內(nèi)容管理與運(yùn)行管理崗位職責(zé)、規(guī)范工作流程、完善信息等環(huán)節(jié),全面做好網(wǎng)站群安全管理工作。通過(guò)提升服務(wù)管理水平,構(gòu)建健全的網(wǎng)站群服務(wù)體系。我們參考ISO/IEC20000-1采用的PDCA方法論,從規(guī)劃(P)、實(shí)施(D)、檢查(C)、改進(jìn)(A)四個(gè)方面著手,根據(jù)學(xué)校技術(shù)、政策和資源等實(shí)際環(huán)境,加強(qiáng)安全服務(wù)管理,確保網(wǎng)站群服務(wù)水平。并參考信息安全服務(wù)體系,從安全評(píng)估服務(wù)、安全修復(fù)服務(wù)、安全保障服務(wù)、安全信息服務(wù)、安全培訓(xùn)服務(wù)、數(shù)據(jù)恢復(fù)服務(wù)、產(chǎn)品集成服務(wù)八個(gè)方面,加強(qiáng)安全服務(wù)。
3網(wǎng)站群保障體系構(gòu)建效果
在網(wǎng)站群項(xiàng)目建設(shè)前期,我們通過(guò)對(duì)原有網(wǎng)站及其系統(tǒng)、應(yīng)用、數(shù)據(jù)等方面進(jìn)行安全分析,找出了學(xué)校在網(wǎng)絡(luò)信息安全因素中的薄弱環(huán)節(jié),在后續(xù)的網(wǎng)站群部署方案中增加了需要改進(jìn)和優(yōu)化的細(xì)節(jié),保證了網(wǎng)站群系統(tǒng)的成功實(shí)施。在實(shí)施過(guò)程中,我們充分利用學(xué)校的網(wǎng)絡(luò)信息基礎(chǔ)設(shè)施,通過(guò)動(dòng)態(tài)防御、主機(jī)安全、備份恢復(fù)、安全審計(jì)環(huán)節(jié)的實(shí)施,促進(jìn)了該校數(shù)據(jù)中心的硬件整合優(yōu)化,既減少了重復(fù)投資、有效降低了學(xué)校資金不足的影響,又提高了已有軟硬件的利用率,并為今后打造高效低耗的綠色數(shù)據(jù)中心奠定基礎(chǔ)。有序開(kāi)展網(wǎng)站群系統(tǒng)建設(shè)也是一次鍛煉信息技術(shù)人員的機(jī)會(huì)。經(jīng)過(guò)測(cè)試配置、監(jiān)控、分析等一系列規(guī)范化操作訓(xùn)練,提高了該校信息技術(shù)人員在系統(tǒng)部署、性能優(yōu)化方面的技能、加強(qiáng)了安全監(jiān)管意識(shí),不僅是一次很好的網(wǎng)絡(luò)安全防范實(shí)戰(zhàn)練習(xí),也有效地提高了現(xiàn)有信息技術(shù)人員的工作效率,在一定程度上緩解了學(xué)校信息技術(shù)人員緊缺的實(shí)際困難。通過(guò)安全防范措施的實(shí)施,形成了學(xué)校網(wǎng)站群的常態(tài)化組織體系和工作機(jī)制。通過(guò)出臺(tái)學(xué)校網(wǎng)站群管理辦法、健全體制機(jī)制、明確責(zé)任歸屬、強(qiáng)化了網(wǎng)站群二級(jí)網(wǎng)站負(fù)責(zé)人及信息員的安全責(zé)任意識(shí),有利于打造健康向上的校園輿情環(huán)境,共同維護(hù)學(xué)校網(wǎng)站群系統(tǒng)安全。通過(guò)網(wǎng)站群系統(tǒng)建設(shè)的實(shí)踐,我們認(rèn)為,在網(wǎng)絡(luò)安全問(wèn)題日益復(fù)雜的形勢(shì)下,高職院校有必要在揚(yáng)長(zhǎng)避短、整合優(yōu)化的原則下,構(gòu)建符合學(xué)校情況的網(wǎng)站群保障體系。通過(guò)網(wǎng)站群保障體系的建設(shè),為高職院校打造了一個(gè)具有安全性、可擴(kuò)充性和易管理性的網(wǎng)站信息環(huán)境,有利于提升高職院校網(wǎng)絡(luò)信息安全防范技術(shù)能力,最終促進(jìn)高職院校教育信息化的良性建設(shè)和發(fā)展。
作者:徐鸝 單位:浙江醫(yī)藥高等??茖W(xué)校圖書(shū)信息中心