教育信息資源安全解決方法

【摘要】教育系統是信息應用最廣泛的領域，從教育、教學、科研和辦公自動化，每個環節都離不開信息技術，正由于信息的大量應用，因此教育系統數據安全、網絡安全成為了教育領域的重要問題，所以本文就當前教育信息系統安全問題進行探討，提出一些策略與建議。

【關鍵詞】 網絡安全，信息安全，服務器，病毒防范，教育信息

【中圖分類號】G48 【文獻標識碼】B 【論文編號】1009—8097（2007）03—0074—04

一、前言

高校是教育信息化的主要應用場所，隨著信息技術的發展，除了科研大量應用外，現在的重點已到信息化教學方面，師生基于信息化教學平臺的教與學越來越多，越來越普遍，無論是教學公共場所還是師生宿舍，無處不用，因此如何保證教育信息安全是當今教育信息化的重要議題。高校信息網絡面臨的主要安全威脅主要包括以下幾個方面：

1．來自各種傳播途徑的病毒感染；

2．來自內部的非法訪問、濫用或誤用及其后果；

3．來自外部的網絡攻擊和破壞行為。

二、教育信息安全的現狀分析

教育系統的信息主要以下幾個部分構成: 第一部分是教育信息資源中心，它是整個教育信息化的核心， 主要為師生提供相關課程、教學參考資料課例等教學資源；第二部分是圖書館電子信息資源；這兩部分資源都會大量應用群體。第三部分是行政辦公與管理信息資源， 主要提供面向教職員工的OA系統服務。 第四部分是教務管理信息資源， 主要管理學生學籍、成績、課程以及教務管理等。 第五部分是科研信息資源，這部分信息涉及大量的科研數據和一些國家級的機密研究項目，安全要求高。

從以上的信息分布可以看到，教育系統網絡涉及信息資源多，應用人群大，引起網絡安全的隱患較多。尤其目前大部分高校的網絡出口都有兩個或以上。所以高校的信息安全成為了研究的重要課題。

高校目前的網絡結構拓撲圖見圖1所示，整個網絡由三個不同層次組成：

1．主機及應用環境，包括所有客戶終端（包括工作站或PC）、提供服務的服務器及其上述設備的操作系統、數據庫和應用。

2．網絡傳輸設施，由連接客戶終端和服務器的網絡交換機、路由器、接入設備等網絡設備和連接組成。

3．區域邊界^[1]，區域邊界包括：信息中心與其他部門之間；信息中心與教育網和國際互聯網之間。

教育信息網絡規模大，受其業務安全特性決定，其安全涉及內容卻比較全面。在其安全建設設計和規劃中，我們基于前面的現狀和教育信息的業務現處理需求，著重從“三個層次、一個中心”等層面對教育信息網絡安全進行探索。

所謂“三個層次、一個中心”是指：三個層次——應用環境、網絡傳輸、應用區域邊界。一個中心——安全管理中心。

三、影響信息安全的主要因素

3．1數據服務器安全。

數據服務器是教育系統信息應用的重要部分，數據量大，應用頻繁，是最容易感染病毒和受攻擊的目標。一旦受病毒感染或攻擊，將會嚴重影響整個校園的信息化教學、科研以及辦公系統，所以必須重點加強安全措施，確保系統正常使用。

3．2網絡傳輸安全。

信息化的應用關鍵是依托計算機網絡，師生利用網絡資源進行教學、科研與學習。在教育系統是網絡應用的集群區，網絡傳輸的數據容量大，類型多，特別是數字視頻數據，是多媒體教學的主要信息，因此教育網絡不僅需提供寬帶，重要的是網絡系統的要保證穩定性、可靠性、安全性。

四、安全防范措施

圖1 高校網絡結構拓撲圖

主機及應用環境包括所有客戶終端（包括工作站或PC）、提供服務的服務器及其上的操作系統、數據庫和應用，是各種業務的承載體和表現實體。

4．1建立網絡的計算機病毒防范系統

終端病毒防護位于整個教育系統防毒體系的最底層，也是最顯見的一道防殺病毒的防線。根據目前病毒的破壞性和傳播性，需要在整個網絡系統的每一臺客戶工作站或PC上實施統一的防病毒策略。在高校由于應用群大，對于安全防范的意識和技能差異大，特別是文科教師，只管應用，很難自動進行病毒檢測和清除。所以我們需要在整個教育信息系統內部全面部署病毒防護產品，查殺終端上駐留的病毒，以免造成部分PC機的病毒防護不徹底，成為病毒入侵的突破口。

從管理上講，為有效地檢測和控制病毒，應該采用網絡殺毒工具。利用網絡殺毒工具的強大的管理功能在教育系統實現統一的防毒策略：殺毒策略統一集中配置，跨平臺管理，自動并且是強制升級方式，客戶端策略強制鎖定，集中病毒報警。通過這種集中管理方式可以做到減少對客戶端人員的技術和技能要求，全網策略集中統一，保證防殺病毒的有效性和實時性。

除在客戶工作站/PC安裝主機殺毒產品外，我們還要加強系統防病毒產品的安全管理^[2]：

（1）統一殺毒策略：包括殺毒、病毒報警和病毒特征碼升級等策略。為了保證教育系統的安全，最好使用統一的病毒防護體系，避免眾多系統統影響病毒防護的有效性和處理過程的及時性。

（2）制定客戶端策略鎖定：防止客戶自行修改教育系統信息網統一安全殺毒策略、自行卸載殺毒軟件。

（3）強制病毒特征碼升級。

（4）集中病毒報警。

（5）發現新病毒，要實現病毒及時隔離和上報^[3]。

（6）禁止一切不必要的文件夾完全共享。

4．2服務器安全防護

服務器是教育的核心、數據的集中點和業務服務的提供者。在教育信息化發展的今天，教師與學生基于教學信息資源系統（庫）進行教學與學習活動越來越多，一旦信息資源系統被破壞，將影響整個教與學工作的正常開展，造成嚴重的教學事故，所以服務器安全是非常重要的，基于它的應用特性，一方面會受到病毒的攻擊，另一方面服務器一般也是非法訪問操作的重點對象。服務器安全包括服務器操作系統、數據庫系統和應用的安全，本次項目對服務器安全主要從以下幾個方面加以考慮：（1）主機本身操作系統的安全加固、審計；（2）主機的病毒防范；（3）存儲備份。

4．3操作系統的訪問控制和審計

服務器往往是非法訪問的目標，非法訪問服務器的手段有多種，如利用系統本身的漏洞、緩沖區溢出攻擊、DOS攻擊、缺省配置的弱點等，這些都是由操作系統本身的脆弱性引起的。操作系統的安全是所有安全的基礎，所以要保護服務器不遭受非法訪問或蓄意破壞，減少被非法訪問或蓄意破壞的可能性，應該首先加固服務器的操作系統安全。

加固服務器安全的方法有很多種，首先要充分利用現有系統的安全機制，嚴格對系統的訪問控制機制進行配置，對系統與安全相關的參數要結合需求進行配置考慮，從而以最低的成本獲取最有效的服務器安全性。

對操作系統的安全性提升要重點考慮：防止緩沖區溢出攻擊（安全事件統計已表明對服務器的攻擊90%是屬于這種類型），要有效的限制超級用戶的權限，防止、限制黑客獲得超級用戶權限后造成巨大的破壞，加強操作系統的帳戶管理和服務管理。要基于“最小特權”原則對用戶開放訪問權限，確保使用者只能在安全策略規定的設備上和時間內才能訪問主機資源，對用戶和資源進行安全劃分，細化訪問權限，對系統注冊表（Windows系統）、關鍵進程及指定文件要提供特殊保護，防止被未經授權的訪問或誤操作修改或終止。

審計是事件追蹤的基礎。充分利用現有操作系統的審計功能，對審計參數要加以認真分析并結合實際業務需求加以安全配置，對審計結果要加以定期認真分析并保存。

在現有操作系統不可能靠傳統的安全加固來滿足業務的安全需求時，所以在教育信息網絡中的重要服務器上建議對主機進行核心保護，來提升操作系統的安全性。

采用“主機核心防護”可以提升教育信息網絡中關鍵服務器的安全等級，使它們從TCSEC^[4]標準的C1/C2級提升到B1級^[5]。

在教育信息網絡關鍵業務服務器上安裝“主機核心防護”環境下，對除通常的用戶訪問控制外，還提供如下安全措施：

（1）限制超級用戶權限：超級用戶的權限控制:采用權限分離的安全策略，限制超級用戶的權利，降低系統的安全風險。

（2）溢出攻擊^[6]保護：采用STOP(STack Overflow Protection)技術隨機化內存緩存位置使攻擊者無法知道代碼會加載到內存中位置，阻止UNIX系統上常見的緩沖區溢出攻擊。

（3）增強的系統資源訪問控制：用戶只能在安全策略規定的設備上和時間內才能訪問主機資源。

（4）訪問權限細化：除了對資源的讀、寫、執行三種權限外，定義了更為細化的訪問權限，如：更改屬性、刪除、重命名、創建等等。

（5）安全級別劃分：對信息和用戶都定義安全級別，用戶只可能訪問同等安全級或低安全級的資源（包括文件、設備等）。

（6）進程和服務的保護：主動保護系統進程和EMS關鍵進程不被惡意中斷。

（7）防止UNIX系統中隱形身份非法訪問：避免UNIX中由于SETUID/SETGID帶來的隱形身份問題，采用真實身份訪問控制和真實身份審計。

（8）內置主機防火墻： 內置主機防火墻與系統的邊界防火墻共同組成一個層次化的保護體系。

（9）加強的系統口令管理機制：通過強制性的口令更改機制和復雜度要求，減少暴力攻擊口令機制的成功率。

（10）有效的主機訪問審計：完整、全面的系統活動審計記錄有助于管理員對安全行為的分析和行為追蹤，提高安全震懾能力和恢復能力。

隨著教育系統網絡電子郵件應用已經普及，教育網絡中又增加了一個病毒入侵與傳播的通道—－用戶交換信息的渠道。根據世界計算機安全協會（ICSA）的報告，由于使用電子郵件而中毒的事件已占所有中毒事件的比例在不斷升高。今年來全球上千萬臺計算機遭到了來自電子郵件病毒的攻擊，致使許多大型機構的郵件服務器被迫中斷服務。因此，有效保護校園郵件服務器免受病毒攻擊的顯得非常重要性。

4．4主機的病毒防范

計算機病毒對主機/服務器同樣會造成極大的破壞，尤其是Windows 2000和NT服務器更容易感染病毒，病毒感染方式的多樣性、攻擊方式的復雜性和網絡交叉傳播的特性都使服務器時刻面臨安全威脅。

4．5備份容災

在教育信息系統中數據是整個系統運作的核心。在實際的運行環境中存在多種不安全因素，如人為的操作錯誤，軟件缺陷，硬件故障，電腦病毒，黑客攻擊，自然災難等諸多因素，均有可能造成數據的丟失，從而給整個系統造成無法估量的損失。所以保證數據的安全，進行數據備份容災能夠為系統持續、穩定、安全的運行提供強有力的保障。

教育系統對關鍵業務信息實現網絡備份恢復機制，包括關鍵的系統、數據庫及應用的備份。基于系統持續穩定運行的需求，要求數據備份能夠實現：按照預先設定的備份策略進行自動備份，能按照管理員預先設定的時間間隔進行自動備份；為盡量減少備份、恢復對業務系統的影響，提高服務能力，要求備份系統提供數據快速恢復的機制和手段，縮短數據恢復過程對業務系統的影響；為縮短主機故障對業務系統的影響，提高系統維護能力，降低維護復雜度，要求備份軟件能對出現故障的主機自動恢復包括操作系統在內的應用軟件和數據。教育系統系統規模龐大，應用系統和硬件、軟件環境異構和復雜，要求備份系統能在數據備份的基礎上提供利用磁帶介質實現數據級的容災。

所采用的網絡備份恢復機制要支持異地備份模式，具有完全備份、增量備份和差分備份功能。要制定備份政策，規定備份頻率（如每日或者每周，增量備份還是完全備份等）。數據備份政策要規定數據的存儲位置、文件命名規范、介質輪換頻率和異地數據傳送方法等。

要重點對業務內網和公眾服務區兩個應用區域中的關鍵服務器提供數據備份和恢復機制。

4．6網絡行為監控和審計^[7]

保證網絡傳輸的安全是為了確保為教育和數據通信提供可靠的、滿足傳輸服務質量的傳輸通道。通過對網絡行為監控和審計對網絡中的非法或異常行為及時檢測和發現，并制止惡意/無意識的網絡破壞行為，保證網絡的可用性。

構建網絡安全監視和審計系統。安全監控的范圍應覆蓋到整個網絡行為，包括網絡行為監控、網絡異常流量監控^[8]、主機訪問流量監控、入侵攻擊和病毒攻擊監控等。建議在各安全區之間邊界接入點處和安全區內關鍵的應用網段上部署安全監視系統，實現對網絡行為、網絡流量的全面監視、審計和分析。對監控和審計結果要能夠實現：（1）本地保存；（2）送到集中的安全管理平臺（分析和保存用）。

安全監視和審計系統要能全面監視網絡的使用情況，提供網絡資源的管理，提供豐富的網絡審計和監視功能。可幫助用戶了解、查看網絡的使用方式，提供系統強大的分析功能來分析、挖掘信息，并應用該信息來保護網絡。安全監視和審計系統應能幫助用戶了解網絡中協議的使用情況，哪些人使用了什么協議，這些協議如何在網絡上分布，提供每個協議在主機活動的實時劃分。目前病毒不僅能對單機系統造成破壞，其在網絡的傳播會極大的占用網絡資源，影響信息通訊。針對病毒這種類型攻擊也應提供有效的識別，對網絡流量中攜帶的病毒能夠準確地判斷病毒的來源和傳播情況，為管理員提供有力的信息和幫助，從而避免病毒通過各種網絡行為繼續傳播。

安全監控和審計結果要具有應用級可讀性（或提供工具），比如telnet行為回放、訪問網頁再現等，從而提高安全分析的效率和準確性，并提供信息詳盡、圖形和文字的統計、分析報表。

用戶應該能夠根據各業務的安全態勢自行配置監控規則，提高監控的針對性和有效性。

要對教育信息網絡中的重要網段，如業務內網和公眾服務區中的服務器區域中服務器所在網絡的網絡流量和網絡訪問活動加以監控和審計。

在教育信息網絡中加強網絡行為的安全監控，以實現：

（1）檢測和發現針對教育系統信息網的攻擊行為，如DOS攻擊。對這些攻擊行為可以采取記錄、報警、主動阻斷等動作，以便事后分析和行為追蹤。

（2）通過定義禁止訪問網站，限制內部人員對不良站點的訪問。

（3）對一些惡意網絡訪問行為可以先記錄，后回放，通過這種真實地再現方式更精確的了解攻擊意圖和模式，為未來更有效地的防范類似攻擊提供經驗。

（4）檢查網絡傳輸中的帶毒流量，與教育系統信息網已有殺毒軟件、“病毒網關過濾系統”組成一個層次的防毒體系。

（5）“入侵檢測系統”可提供強大的網絡行為審計能力。

（6）用戶（包括黑客）、應用程序等對網絡的使用情況，幫助他們改進網絡規劃。

（7）因為“入侵檢測系統”是基于網絡沖突域的網絡嗅探和偵聽技術，因此要將“入侵檢測系統”放置在網絡中內網設備所在的網段，可通過兩種模式部署：

（8）通過交換機端口鏡像技術監控內網網段流量。

（9）在相應網段配置一臺HUB。

四．結束語

教育的信息化、數字化是當今世界發展的趨勢，而教育資源的信息化、數字化的支撐環境是網絡系統，如何保證網絡、數據資源系統的穩定、可靠與安全是教育系統網絡管理者必須考慮的問題，隨著信息技術的迅猛發展，人們與社會對信息的依賴越來越多，因此，我們必須在信息安全方面必須加大投入，在構建新的信息網絡系統是必須在安全方面有前瞻性、預見性，以防范于未然，確保系統安全，減少不必要的損失。

參考文獻

[1][5] 李衛.計算機網絡安全與管理[M]北京：清華大學出版社 2004，(1).218-290

[2][3] 計算機病毒防治管理辦法.[Z]中華人民共和國公安部令第51號令.第十一條（一）（四），2006/12/27

[4] 全國信息安全標準化技術委員會. 國際信息安全等級標準[DB/OL] http://www.tc260.org.cn

[6][8]（美）斯澤著，段新海譯.計算機病毒防范藝術[M]北京：機械工業出版社 2007，(1).243-391

[7] 謝冬青等. 計算機網絡安全技術教程[M]北京：機械工業出版社 2007，(1).6

Solutions of information security in educational systems

Ye HuiwenMo Shenghu

1、South China Normal University，Guangzhou，Guangdong， 510631

2、Guangzhou Sinorail Information Engineering Limited Company，Guangzhou，Guangdong，510635

Abstract：Information Technology is widely used in the education system， from education， teaching， research and office automation， each link can not be separated from IT. Therefore data security， network security in the education system has become an important issue. The safety problem exiting in educational information systems is discussed ，moreover， some good advice and strategies are put forward.

Keywords：Network Security， Information Security， Server， Virus Prevention， Education Information