数字校园安全防护系统建设与应用

《数字校园安全防护系统建设与应用》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、数字校园安全防护系统建设与应用　　摘要：校园网在运行过程中面临多种安全威胁，必须全方位构建数字校园安全防护系统，建立互相支撑的多种安全机制，将各种安全技术综合应用，才能构建高效、安全、便利的网络系统。本文着重介绍从网络层、操作系统层、应用层和管理层对园区网进行安全防护，有效防止黑客攻击、蠕虫病毒、木马后门、间谍软件、僵尸网络、DDoS攻击、垃圾邮件、网络资源滥用等网络威胁，以成功阻止网络黑客的入侵，保证计算机、网络系统的安全和正常运行。　　关键词：安全防护；数字校园；信息资源；防护体系　　中图分类号：TP393文献标识码：B文章编号：1673-8454(20

2、12)21-0024-02　　学校网络安全与信息资源保密工作的重点：一是确保交换、服务、存储、备份设备正常运行；二是确保网上信息资源不被破坏或窃取；三是严格防止计算机或存储介质在校园网与互联网间混用，导致泄密；四是杜绝不符合校园网接入要求的终端或不合法用户入网。为有效防范各种攻击破坏行为，确保网络及信息资源安全，构建数字校园网络安全防护系统。　　一、建设目标与原则　　建设“数字校园安全防护系统”的目标和原则包括：构建整体防御体系；注重安全性能平衡；立足外围终端控制；着眼主动防范攻击；发挥原有设备作用；强化制度规定落实。　　二、建设内容与功能　　1.防范来自外

3、网的病毒及入侵行为　　（1）防火墙　　学院校园网与全军军事训练综合信息网相连，为防止来自外网的端口扫描、蠕虫等安全威胁，购置具有军队认证资质、性能优良、拥有自主知识产权的天融信NGFW4000(TG-470C)型防火墙，该设备最大并发连接数160万，每秒新建连接数6万，实现以下功能：采用在线模式部署、在优先保证业务持续的基础上提供全面的防护、基于状态的链路检测，可以识别并阻断非法报文、防统计型报文等攻击行为；可以根据数据包的来源和数据包的特征进行阻断设置；支持基于源IP地址、目的IP地址、源端口、目的端口、时间、用户、文件、网址、关键字、邮件地址、脚本、MA

4、C地址等多种方式进行访问控制；具有完善的日志收集、传输、存储、分析、报告等解决方案。　　配置位置：全军网入口处。　　（2）防毒墙　　为防止来自外网的病毒传播，利用已有的天融信TOPSEC防病毒网关，串接在内网到全军网的出口处，过滤拦截双向的病毒传播。　　配置位置：防火墙串行后端。　　（3）入侵防御系统　　为防止外网对校园网网络、服务、存储、终端设备和内部信息资源的破坏与窃取，及时发现、处理和防御各种入侵行为，购置1台H3CIPST200E入侵防御设备，配合相应软件构建内网入侵防御系统。该系统在跟踪数据流状态的基础上，对报文进行3层到7层信息的深度检测，可以在

5、蠕虫、病毒、木马、DoS/DDoS、后门、Walk-in蠕虫、连接劫持、带宽滥用等威胁发生前成功地检测并阻断，有效防御针对路由器、交换机、DNS服务器等网络重要基础设施的攻击。　　配置位置：防毒墙或防火墙串行后端。　　2.防范非法与不安全用户接入内网　　（1）身份认证（用户入网实名制）　　为防止外来终端随意接入校园网，利用已有的H3CCams认证系统，在客户端安装H3C认证软件，实现用户名、密码、IP地址、MAC地址绑定后的统一认证，实现数字校园网络接入的实名制。　　配置位置：安装在1台服务器上，接入核心交换机。　　（2）端点准入系统（EAD）　　为有效解决

6、用户不及时升级病毒库、不打操作系统补丁、携带众多安全漏洞上网、运行恶意程序、试用黑客程序等问题，购置1套H3C端点准入防御系统。该系统能够在身份认证（实名制）的基础上，支持终端安全的准入控制，实现下线、隔离、提醒、监控等多种控制方式，支持安全状态评估、网络中安全威胁定位、安全事件感知及保护措施执行等，预防终端补丁、防病毒、ARP攻击、异常流量、黑白软件安装和运行等因素可能带来的安全威胁，从端点接入上保证每一个接入网络的终端的安全，从而保证网络和信息安全。　　配置位置：安装在1台工控机上，接入核心交换机。　　（3）访问控制（ACL）　　利用核心交换机的VLAN

7、TAG划分及访问控制列表功能，对各VLAN之间的访问进行控制，杜绝非法的VLAN互访，从而通过设置只允许特定用户访问的VLAN，形成重要信息隔离区，以保证重要主机、系统和信息的安全，防止越权访问网络和使用资源。　　配置位置：核心交换机。　　3.用户终端安全防护　　（1）防病毒感染　　强制用户安装瑞星杀毒软件网络版或军事综合信息网防病毒系统，实时自动更新病毒库，有效防范病毒及木马。网管通过EAD端点准入防御系统，自动检测上网终端病毒库更新情况，遇有病毒库没有更新的终端，只允许其与杀毒软件服务器连接，不能访问网络上的其它任何设备或信息。　　配置位置：安装于用户上

8、网终端。　　（2）防入侵攻击　　网管利用网络提供各类