防水墻技術在校園網中的應用研究

摘要： 隨著校園網絡的不斷擴建和升級，校園網在學校各項工作中發揮的作用越來越大。但同時，校園網也面臨著病毒泛濫、攻擊等安全問題。本文通過對防水墻系統的介紹與分析，探討了防水墻技術如何保證校園內網安全的實施方案。

關鍵詞：防水墻；網絡安全；內網安全；泄露

中圖分類號：TP393文獻標識碼：A文章編號：1009-3044(2008)05-00ppp-0c

1 引言

隨著網絡技術的發展，校園網已成為學校走向信息化的必然趨勢。在教學、科研、管理、通信等方面正發揮著積極的作用，而校園網的安全狀況直接影響著學校各項工作的開展，在建網初期對安全問題考慮不足，隨著應用領域的增多和用戶數量的不斷增長，校園網上的各種數據傳輸急劇增加，同時校園網絡的不斷擴建和升級，使網絡管理的難度越來越大，木馬病毒、黑客軟件的傳播速度越來越快，病毒泛濫、外部入侵、拒絕服務攻擊、內部的誤操作和濫用等，使得網絡安全成為校園網需要關注的重中之重。由于內部人員的攻擊和信息泄露使以往所采取的網絡安全措施顯得力不從心，而防水墻的強大的信息監控功能正好能夠為校園網提供有效的內部安全監管。

2 防水墻系統的介紹

2.1 防水墻的定義

防水墻是相對于防火墻這一概念提出的，是用來加強信息系統內部安全的重要工具，主要是防止內部信息的泄露。放水墻綜合技術就是以保護信息安全為核心，綜合利用密碼學技術、身份認證技術、訪問控制技術、PKI技術和信息審計技術等技術手段，對重要的或者敏感的信息數據的存儲、傳播和處理過程實施安全保護，最大限度地防止信息非法外傳，并完整記錄敏感信息的處理過程日志，以便事后可以審計和追蹤[1]。所以說利用防水墻技術可以很好得在事前、事中、事后對內網的數據安全進行全面防護，與放火墻、IDS、放病毒軟件等一同構筑內網數據安全屏障。

2.2 防水墻系統結構

防水墻系統處于內部網絡中，是內網的監控系統，它可以隨時監控內部主機的安全狀況，從內部安全體系架構和網絡管理層面上，實現了內部安全的完美統一，有效降低了“堡壘從內部攻破”的可能性[2]。整個防水墻系統由防水墻服務器、防水墻控制臺和防水墻客戶端組成。防水墻服務器包括服務器端軟件和支持數據庫，是放水墻系統的核心，通過安全認證機制，對多個防水墻的客戶端進行系統管理、參數配置、策略制定和系統審計等功能。防水墻控制臺是系統管理員、操作員、審計員等和防水墻系統交互的圖形界面系統，實現系統管理、參數配置、策略管理和系統審計等功能。采用分級的授權模式，嚴格控制對敏感信息的訪問權限。放水墻客戶端是安裝在受監控的主機上的檢測軟件，強制執行來自服務器的安全策略，根據安全策略檢測客戶端用戶的行為。客戶端軟件采用了嚴密措施，防止 本地用戶自行卸載、關閉監控程序。

2.3 功能特性

放水墻系統主要從以下幾個方面來構筑內網安全：監測內網中計算機系統信息；阻止內網信息向外網泄露；防止內網信息通過系統外設向外泄露；實現同一群組之間的通信和加密技術；防水墻客戶端與放水墻服務器系統內部快速、準確、安全的通信技術；管理計算機硬件配置和軟件安裝的系統資源，動態獲取、更新和審計；對客戶端計算機系統集中在防水墻的管理下，集中管理安全策略、系統配置、安全事件和安全事故。

3 防水墻在校園網中的實施方案

由于防水墻系統屬于程序軟件，部署簡單，維護方便，不需要改變當前內網的網絡結構，安全策略可由管理員制定配置，并強制分發給客戶端。防水墻客戶端軟件安裝在客戶計算機上，防水墻服務器與防水墻控制臺部署在防火墻后的第一道防線。這樣可建立內部安全管理體系，實現分層、分級、分權的內部安全管理；對內網中的軟硬件資源的實時監控和限制，有效地阻止內部網絡的信息通過網絡、計算機硬件設備或動態存儲設備向外泄露；而防水墻的事后審計可以提供對泄露審查的有效證據[3]。因此對校園網的內部安全可以提供最大限度地保障。具體表現在以下幾個方面：

3.1 用戶身份認證

校園辦公系統、電子圖書館系統、多媒體網絡課堂、遠程教育、教務管理系統、學生管理系統等都需要用戶的身份認證才能進入，眾多失泄密事件都是由于用戶身份認證的不嚴格而引起的。使用防水墻系統后，用戶要登錄到防水墻客戶端時，除需要提供操作系統用戶名和口令外，還需要提供防水墻用戶名和口令，由于防水墻使用的口令驗證與存放均采用哈希函數的MD5算法，可以有效的防止暴力破解。而在網絡數據庫中對用戶名和密碼的保護也采用MD5算法。

3.2 訪問控制

訪問控制主要包括網絡訪問控制、接口控制、打印機控制。網絡訪問控制（NAC）是一種軟件技術和硬件技術的混合體，可根據客戶系統符合策略的情況對其訪問網絡能力進行動態控制。如MAC地址過濾、VLAN隔離、IEEE802.1Q身份認證等。通過網絡訪問控制可以有效控制客戶端進行網頁瀏覽、上傳和下載文件、E-mail控制、網絡共享等網絡操作。特別對學校各部門的數據上報采用FTP方式起到很好的保護作用。

接口控制：對計算機USB接口、1394接口、串口、并口、紅外線等外設接口進行控制，可以使終端計算機用戶無法使用相應的接口設備，突出表現在上機考試，教師可以通過教師機發放試卷，最終可以利用教師機進行回收，中間就不用斷開機房的網絡連接，最大限度地杜絕了學生作弊的可能，也方便教師對操作題的回收。

打印機控制：對系統內部用戶打印機進行控制，可以根據需要設定不同的策略進行控制。即使是在授權狀態下，使用者的打印操作也將受到監控，打印內容會由系統自動備案處理，以便事后審查。

3.3 移動存儲介質控制

移動存儲介質在學校教學和管理中發揮著重要的作用。防水墻系統提供了可信移動存儲介質管理功能，通過將移動存儲介質劃分密級、加密存儲等技術手段，可以有效防止移動存儲介質在計算機上跨密級使用。從而保證了密級高的一同存儲介質不能用在密級低的計算機中。同時系統還將操作涉及的信息記錄成日志，系統具有事后審計功能，對違反策略的行為和時間可以跟蹤審計。對于筆記本用戶的某些特定功能進行限定，對敏感數據進行加密，對筆記本接入校園網時進行不定期的審計，解決其出現的安全問題。

3.4 網絡遠程監控

防水墻可以對內網的計算機進行遠程監控，抓取網上的計算機界面，對內網計算機的聯網、脫網和工作狀況可以做到一目了然。它可以詳細記錄網內的所有活動，如瀏覽網站、收發郵件、上傳和下載文件、QQ、MSN等聊天記錄和內容等。可以預先對某些網絡活動進行阻止，防止通過網絡傳送敏感數據或瀏覽無關工作的網站，如影響網絡流量的電影網站、證券交易等。

3.5 安全審計

防水墻系統具有“事前預防、事中控制、事后審計”三大特征，提供的“黑匣子”和“審計平臺”，能夠快速對出現的安全時間進行審計。“黑匣子”是安裝在用戶客戶端，用于記錄用戶操作的加密文件系統，如出現敏感信息被泄露可以通過這種記錄進行審計，以便追究責任。而這種記錄都保存在可靠地址并進行加密，使記錄不會被修改、非授權訪問或破壞。“審計平臺”主要是采集操作系統、服務器、應用系統、網絡設備包括安全設備等的日志及網絡應用通信，采用數據倉庫和數據挖掘等技術，分析處理收集到的審計時間及日志，進行更全面的問題追責。

4 結束語

在校園網絡中部署放水墻系統，能更好的滿足內網安全防護的需要，切實降低信息泄密的風險，在很大程度上提高校園網絡的服務質量和網絡的利用率。

參考文獻：

[1]董志民.基于防水墻技術的企業信息安全研究[J].計算機與網絡，2007，(3):89-91.

[2]陳尚義，劉勝平，趙泰.基于防水墻系統的信息安全與保密解決方案[J].信息安全與通信保密，2006，(7):50-52.

[3]李文劍.防水墻技術初探[J].信息安全與通信保密，2007，(5):107-108.

收稿日期：2007-12-10

作者簡介：張乾清（1978-）男，江蘇連云港人，助理實驗師，研究方向為：網絡安全和數據庫開發；樊偉（1978-）男 ，江蘇連云港人，講師，碩士，研究方向為：網絡安全及應用。