天融信某大学远程教育安全解决方案

该大学远程教育网络现状

该大学的远程教育的网络一部分和中国电信相连，从电信来的访问客户直接访问放在电信网络上的服务器。一部分主机以教育网为网络出口，方便教育用户访问。我们发现LMS_webserver 一个机器两块网卡，两个IP地址，这样的结构，可能是从应用的角度来考虑，一方面方便内网维护，另外一方面外网可以通过中国电信的线路直接访问。另外，该大学的对外的远程教育网和内部的办公网络，是一个互联的网络系统，所有的服务器和内部的工作用的计算机都在同一个网段上，同时WEB服务器一机跨双网并有Internet相连的通道。

潜在风险和需求

无防火措施，网站拓扑部分裸露,网络边界不清晰，网站很容易受到来自外部的非法攻击和重要信息被窃取；一机跨双网的结构，使得黑客直接攻击入侵这台主机成功便可非常容易地以这台机器为跳板，盗取内网的机密信息；基于Internet公网的开放性、国际性与自由性，而内部工作用的主机很多，极可能遭到内部的对数据库和WEB的攻击，这些攻击行为包括：嗅探维护主机的密码,更改数据内容,让主机拒绝服务等；当遭到黑客攻击时，该大学的远程教育系统无法记录黑客攻击的手段及发现黑客攻击过程并且报警；互联网的飞速发展也给计算机病毒提供了最快捷的传播途径，虽然该网络采用了防火墙ids的网络，对正常的文件所携带的病毒也是没有办法的防御的。另外，该网络缺少主页防篡改系统，主机无加固手段,无系统漏洞检测手段，对应用安全风险，也没有控制手段。对盗版介质使用安全、电子邮件应用安全、网上浏览应用安全等该网络均没有保障手段。
该大学远程教育网络急切需要安全防火墙划分网络边界以实现访问控制需求，有效切断一机器跨双网的现象；需要分割内网办公用户和对外服务器，并进行访问控制对入侵行为进行检测；需要对全网或重要服务器进行病毒防范，对服务器主机安装主机加固软件，安装主页防篡改系统，安装脆弱性分析软件；需要建立健全的安全规章管理制度，增加安全管理员工或者将安全外包；控制应用风险需要加强电子邮件、网上浏览行为、磁盘安全管理。

天融信网络安全方案总体原则

在进行对该大学远程教育网络系统安全方案的设计和规划时，北京天融信公司遵循以下原则：
需求、风险、代价平衡的原则：对该网络进行实际的研究(包括任务、性能、结构、可靠性、可维护性等)，并对其面临的威胁及可能承担的风险进行定性与定量相结合的分析，然后制定相应的规范和措施，确定系统的安全策略。
综合性、整体性原则：应运用系统工程的观点、方法，分析网络的安全及具体措施，从系统整体的角度去看待、分析，以求达到有效、可行的安全措施。
一致性原则：一致性原则主要是为了网络安全问题与整个网络的工作周期(或生命周期)同时存在，制定的安全体系结构与该网络的安全需求相一致。
易操作性原则：采用的安全措施尽量做到对人的要求并不太高，这样可以增强安全性，但措施的采用不会影响系统的正常运行。
适应性及灵活性原则：采取的安全措施必须能随着网络性能及安全需求的变化而变化，容易适应、容易修改和升级。
多重保护原则：建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的安全。增加可靠性。
可评价性原则：如何评价一个，通过国家有关网络信息安全测评认证机构的预先评估网络的安全设计并验证其网络的安全性。
对于该大学网络的建设，我们建议采取以上的原则，先对整个网络进行整体的安全规划，然后，根据实际状况建立一个从防护--检测--响应为基础的安全防护体系，保证整个网络安全的最根本需要。

方案配备及功能特色

访问控制策略：对于该大学远程教育网络的访问控制策略，我们从防火墙和划分VLAN两个方面来考虑。防火墙可设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间，作为不同网络或网络安全域之间信息的唯一出入口。这样分割了服务器和内网,可以方便地进行访问控制,利用天融信防火墙的双地址路由可以轻松实现，服务器主机在中国电信的网络和教育网上进行方便的访问。这种策略解决了一网跨双关的风险，实现了安全访问、控制了入侵行为的检测、并有效保证了网络应用安全。
入侵检测系统策略：为了防止一些新的攻击、来自内部网络的攻击以及那些绕过防火墙访问而带来的攻击，我们采用安全检测系统，即入侵检测系统，对所有进出内部网络的访问行为进行检查并做相应反应（记录、报警、阻断），加强网络的安全性。该策略通过探测器能检测到所有进出被保护网段的访问行为并及时通知控制台，依据控制台的指令做出相应的反应（如报警、阻断等），同时还和天融信公司网络卫士防火墙进行联动，即探测器检测到违规的访问行为将通知网络卫士防火墙，防火墙将根据收到的信息自动生成动态过虑规则，将该违规访问行为进行阻断，并通知探测器。配置示意图如下所示：

主机加固产品策略：该策略主机加固产品用来安装在几台重要的数据库和WEB服务器里，以保证整个网络安全解决方案更加有效。