天融信某大学远程教育安全解决方案

在社会高速发展的今天，知识更新速度加快，有关人士分析过，现今知识更新的速度平均仅为2年，有些行业甚至半年、三个月就更新一次。面对如此快速的发展，传统的教育模式已经不能满足社会的需求，就在这样的情况下，远程网络教育应时而生。面向终身教育和学习型社会，远程网络教育满足了社会的需求，成为传统教育的最有力补充，也成为了当今各大院校积极建设推进的教育方式。但随着教育网络应用的扩大，其安全风险也变得更加严重和复杂，不安全网络环境给学习求知者带来诸多烦恼和不便。日前，天融信公司就为某大学远程教育网络提供了一套完善的安全解决方案，保障了该校远程网络教育的顺利实施。

该大学远程教育网络现状

该大学的远程教育的网络一部分和中国电信相连，从电信来的访问客户直接访问放在电信网络上的服务器。一部分主机以教育网为网络出口，方便教育用户访问。我们发现LMS_webserver 一个机器两块网卡，两个IP地址，这样的结构，可能是从应用的角度来考虑，一方面方便内网维护，另外一方面外网可以通过中国电信的线路直接访问。另外，该大学的对外的远程教育网和内部的办公网络，是一个互联的网络系统，所有的服务器和内部的工作用的计算机都在同一个网段上，同时WEB服务器一机跨双网并有Internet相连的通道。

潜在风险和需求

无防火措施，网站拓扑部分裸露,网络边界不清晰，网站很容易受到来自外部的非法攻击和重要信息被窃取；一机跨双网的结构，使得黑客直接攻击入侵这台主机成功便可非常容易地以这台机器为跳板，盗取内网的机密信息；基于Internet公网的开放性、国际性与自由性，而内部工作用的主机很多，极可能遭到内部的对数据库和WEB的攻击，这些攻击行为包括：嗅探维护主机的密码,更改数据内容,让主机拒绝服务等；当遭到黑客攻击时，该大学的远程教育系统无法记录黑客攻击的手段及发现黑客攻击过程并且报警；互联网的飞速发展也给计算机病毒提供了最快捷的传播途径，虽然该网络采用了防火墙ids的网络，对正常的文件所携带的病毒也是没有办法的防御的。另外，该网络缺少主页防篡改系统，主机无加固手段,无系统漏洞检测手段，对应用安全风险，也没有控制手段。对盗版介质使用安全、电子邮件应用安全、网上浏览应用安全等该网络均没有保障手段。
该大学远程教育网络急切需要安全防火墙划分网络边界以实现访问控制需求，有效切断一机器跨双网的现象；需要分割内网办公用户和对外服务器，并进行访问控制对入侵行为进行检测；需要对全网或重要服务器进行病毒防范，对服务器主机安装主机加固软件，安装主页防篡改系统，安装脆弱性分析软件；需要建立健全的安全规章管理制度，增加安全管理员工或者将安全外包；控制应用风险需要加强电子邮件、网上浏览行为、磁盘安全管理。

天融信网络安全方案总体原则

在进行对该大学远程教育网络系统安全方案的设计和规划时，北京天融信公司遵循以下原则：
需求、风险、代价平衡的原则：对该网络进行实际的研究(包括任务、性能、结构、可靠性、可维护性等)，并对其面临的威胁及可能承担的风险进行定性与定量相结合的分析，然后制定相应的规范和措施，确定系统的安全策略。
综合性、整体性原则：应运用系统工程的观点、方法，分析网络的安全及具体措施，从系统整体的角度去看待、分析，以求达到有效、可行的安全措施。
一致性原则：一致性原则主要是为了网络安全问题与整个网络的工作周期(或生命周期)同时存在，制定的安全体系结构与该网络的安全需求相一致。
易操作性原则：采用的安全措施尽量做到对人的要求并不太高，这样可以增强安全性，但措施的采用不会影响系统的正常运行。
适应性及灵活性原则：采取的安全措施必须能随着网络性能及安全需求的变化而变化，容易适应、容易修改和升级。
多重保护原则：建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的安全。增加可靠性。
可评价性原则：如何评价一个，通过国家有关网络信息安全测评认证机构的预先评估网络的安全设计并验证其网络的安全性。
&