基于校园网的网络安全系统研究与设计

《基于校园网的网络安全系统研究与设计》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、万方数据◇信息技术◇科技嚣向导2010年第11月(]：)基于校园网的网络安全系统研究与设计李建生(兴化市中等专业学校江苏兴化225700)【摘要】传统模式的校园网络安全依靠单一的网络防火墙和防病毒软件构建的二层防护体系来实现，随着网络攻击手段的提高，二层防护体系已经很难适应当前的校园网。本文在比较了防火墙和入侵检测系统各自的区别和联系的基础上．提出一种将入侵检测与防火墙结合起来互动运行的校园网络安全防御系统的解决方案．在不必大幅增加运行成本的基础上大大提高校园网络系统的安全防护水平和网络管理水平。【关键词】校园网；入侵检测；防火墙随着互联网的迅速普及和国内各高校网络建设的不断发展．各大中专

2、院校及中小学相继建成或正存建设校同网．校园网的建成．使学校实现了管理网络化和教学手段现代化．这对于提高学校的管理水平和教学质量具有重要的意义．但随着黑客的入侵增多及网络病毒的泛滥．校园网的安全已成为不容忽视的问题．数据的安全性和学校自身的利益受到了严重的威胁。因此．能否保证计算机和网络系统的安全和正常运行便成为校同网络管理所面临的一个重要的问题，，校园网络安全系统的构建实际上是入侵者与反入侵者之间的持久的对抗过程，，网络安全体系不是一个能够一劳永逸地防范任何攻击的完美系统．这样的系统客观上是不存在的，．我们力图建立的是一个网络安全的动态防护体系．是动态加静态的防御．是被动加主动的防御甚至抗

3、击．是管理加技术的完整安全观念．1．防火墙技术与入侵检测系统的比较防火墙与入侵检测系统作为网络安全的主要技术．主要表现在以下几个方面：(1)防火墙要根据策略转发它所连接的链路上的所有数据流量，为了快速转发数据．防火墙不可能对所有转发数据报进行详细分析。而IDS不必转发数据流量．只是将网段上的收集查看数据报内容，监视其行为。这样IDS就可以对数据报的协议、内容作详细的分析。(2)防火墙可以根据策略对数据报进行过滤，减少进入内部网络的数据流量．从而减轻IDS的数据报分析任务．而IDS不能对数据报进行过滤．只能对已经进入网络韵数据报进行监视。(3)防火墙是根据策略对数据报在进入内部网络之前进行过

4、滤．故把入侵行为排除在外：而入侵检测系统是对绕过防火墙进入内部的数据报进行分析和监视．是对进入网络内部或正在发生的人侵进行检测与阻止。(4)防火墙只对数据报的地址、协议、端1：3号进行检查．而入侵检测需要对数据报的内容进行检查。综合防火墙与入侵检测系统的优势与不足可以看出．从功能分工上来看．有效抵御入侵的理想方式就是把防火墙和IDS的功能有机地组合在一起．这样．入侵检测系统能够弥补防火墙的不足，对过往流量进行人侵检测，一旦发现入侵后不仅发出报警，同时还进行实时阻断．为受保护网络提供有效的人侵检测及相应的防护手段，因此．防火墙和入侵检测系统之间十分适合建立紧密的联动关系．将两者的能力充分发挥

5、出来．相互弥补不足，互相提供保护。进一步地，从信息安全整体防御的角度出发，这种联动是十分必要的，极大地提高了网络安全体系的防护能力。2．联动模型的安全策略安全策略是指一个特定环境中，为保证提供一定级别的安全保护所必须遵守的规则。安全策略包括严格的管理、先进的技术和相关的法律。安全策略决定采用何种方式和手段来保证网络系统的安全。即首先要清楚自己需要什么．制定恰当的满足需求的策略方案．然后才考虑技术上如何实施。防火墙是保证安全的最基本方式。防火墙可以按照需要来阻断或允许网络通信。入侵检测系统不能充当防火墙的替代品。人侵检测技术的基本功能是监视内部网络的流量．并对识别到的重要攻击特征进行警报。一

6、种较为容易实现的策略是在防火墙遭受攻击时让入侵检测系统重新配置防火墙，、例如入侵检测系统和防火墙通信并让它自动地天掉端口或禁止土机，防火墙是减少扫描威胁的最有效的力‘式，人侵检测系统可以帮助探测和阻碍主机扫描，二但是入侵检测系统主要是监控内部网络传输．而不能作为防火墙来保护网络．这是冈为防火墙作为集中点．能够拦截或允许进出通信．有防火墙的地方．可以有效地使用一个系统去保护系统免受扫描、嗅探和拒绝服务攻击(DOS)．这种策略不仅可以保护校园免受外界攻击也可以对校园网内部的网络通信进行检测．并发出警报或采取相应的主动行为，、3．校园网络安全防御系统的实现众所周知．专用的入侵检测设备一般是监听网

7、络进出El处的信息．不是串接在其中．不能保证能够切断检测m来的攻击。只有将人侵检测和防火墙结合才能够保证网络不受攻击。互联网上的黑客开始对受保护网络内的主机发动攻击．这时位于网络出口处监听的入侵检测系统检测到黑客对内网主机的攻击行为后．人侵检测系统通过它与防火墙之间的“公共语言”发送通知报文通知防火墙．防火墙收到并验证报文后生成动态规则实现对攻击行为的控制和阻断．该系统主要包括的模块有：(1)入侵检测系统控制信息生成模块