校园网络安全范文第1篇

1．1网络安全的定义

国际标准化组织（ISO）将网络安全［2］定义为：为数据处理系统建立相应的安全保护措施，保护运行在网络系统中的硬件、软件以及系统中的数据不被黑客更改、破坏或者泄露，从而保证了网络服务不中断，使得系统可靠安全地运行．上述网络安全的定义包含两方面内容：物理安全和逻辑安全．其中物理安全是指在构建网络系统的时候，保证物理线路能够防雷、放火、防水、防盗等，能够保证物理线路连续的进行数据传输．而逻辑安全通常指的是传输在网络上数据的信息安全，即对网络上传输信息的保密性、可用性和完整性的保护．另一方面，网络安全性的涵义也可以理解成是信息安全的一种引申，即网络安全是对网络信息的保密性、可用性和完整性提供相应的保护．概括的说，可以将网络安全定义为：为保证目前网络中运行的系统、信息数据、信道传输数据和信息内容的安全而采取相应的措施，从而保证网络中信息传输、交换以及处理的保密性、可用性、可控性、可审查性、完整性．

1．2网络安全基本特征

网络安全应具有保密性、可用性、可控性、可审查性、完整性等五个方面的特征．保密性：信息未经授权不泄露给任何用户，而且信息的特性也具有保密性，其它非授权用户、实体或过程无法利用其特征．可用性：用户经过授权后可按需使用，即授权用户当需要该信息时能否正常存取．网络环境下常见的可用性的攻击包括拒绝服务攻击、破坏网络或系统的正常运行等．可控性：对网络中传播的信息及其内容具有控制能力．可审查性：当网络中出现安全问题时可提供相应的依据与手段，便于追踪攻击源．完整性：用户未经授权不能随意改变数据的特性，即信息在保存或者传输的过程中拥有不被修改、破坏或丢失的特性，保证了信息的完整性．

2校园网建设概述及其安全威胁

随着互联网的快速普及，校园网建设已经成为学校的基础建设之一，教育信息化、数字化已经成为教育发展的主方向，校园网已成为学校日常教学、办公、科研、管理、生活主要的工具和手段之一，并发挥着越来越重要的作用［3］．另一方面，随着国家科教兴国战略的实施，政府加强了对学校的投资，由此也加强了学校对校园网的建设．中国教育和科研计算机网（CER－NET）的成立，标志着教育网的形成．CERNET主干网络传输速率已达到2．5Gpbs，总容量达40Gpbs，它吸引超过1000所高校的鼎力加盟，覆盖全国超过200个城市．目前，大部分学校都已建成校园网，实现了校园网的整体覆盖，包括办公楼、教学楼、宿舍楼等．校园网同时与Internet对接，实现了校园办公教学的信息化、自动化．如图1所示，为一个简单的校园网组网模型．随着CERNET的建设不断提高，校园网已经成为互联网的重要组成部分之一，是学校信息化、数字化建设的基础设施，同时担任着科研与教学的重要任务．然而，目前国内大多数学校都缺乏对校园网建设的综合规划、缺乏相应的网络管理措施、以及对校园网络的认识不足，这些都极大阻碍了校园网的发展．因此合理地对校园网络升级，是目前学校校园网工程的首要目标之一［4］．同时，校园网作为学校数字化、信息化的基础设施，安全问题不容忽视．在互联网开放程度很高的今天，校园网往往最容易成为黑客攻击的目标．威胁校园网安全的因素有很多，但主要的安全威胁有以下几类．

2．1TCP／IP协议漏洞造成的威胁

现在互联网上使用最多的协议就是TCP／IP协议了，这几乎是所有校园网采用的网络传输协议．TCP／IP协议在设计之初，就没有考虑安全问题，它只考虑如何把信息互相传输，因此存在很大的安全威胁．虽然国际标准化组织提出的OSI七层协议能够很好的保证网络安全，但是由于TCP／IP协议的开放性和通用性几乎占用了整个市场，使得OSI七层协议无法推广．所以，目前网络黑客针对TCP／IP漏洞攻击有很多，例如：数据窃听、源地址欺骗、ARP欺骗等等．

（1）数据窃听（PacketSniff）．TCP／IP协议从设计之初，就采取的是数据包明码传输，这种传输模式使得数据包很容易被窃听、修改和伪造．黑客可以利用一系列工具获取网络中正在传输的数据包，窃取用户有利用价值的信息，如用户账户和密码等信息．同时，黑客也能修改和伪造数据包，让用户误入钓鱼网站或者窃取网上银行信息，给用户造成直接经济损失．特别是在校园网中，数据包流通比较集中，一旦获取了校园网服务器或管理员账号信息，将会给校园网络造成重大损失．

（2）源地址欺骗（SourceAddressSpoofing）．在网络安全中，一个比较重要的安全问题就是源地址欺骗．这里的源地址，能够是IP地址，也能是MAC地址．但是MAC地址随着路由转发，信息会发生变化，而且在实际的网络系统中，也有一定的限制，改造欺骗难度比较大，所以一般的源地址欺骗是指IP地址伪造欺骗．攻击者通常伪造被攻击的主机IP地址，骗取防火墙信任，从而对校园网内部发起攻击．

（3）源路由选择欺骗（SourceRoutingSpoo－fing）．在一个完整的IP数据包中，通常只包含源地址和目的地址，即路由器可以知道数据包从哪个主机发送出来，将要到达哪个主机．源路由是指数据包将会列出所要经过的路由，路由器将会根据这些指定的路由将数据包送达相应的主机，然后根据其反向路由进行应答，从而实现主机之间的通信．而源路由选择欺骗，则是攻击者通过伪造主机源路由，让数据包经过该主机必经路由，使受攻击主机出现错误判断，将某些被保护的数据提供给了攻击者．另一方面，由于路由器一般对接收到的路由信息是不经过检验的，这样就给攻击者提供便利，攻击者可以发送虚假数据包，改变某些重要数据包的传递路径，使得数据在传递到正常主机前，即可抓取分析，从而也达到攻击的目的．

（4）鉴别攻击（AuthenticationAttacks）．由于TCP／IP协议还无法证明网络身份的真实有效性，因此黑客可以伪造他人合法身份入侵到网络系统或者获取密钥信息，从而达到攻击目的．

（5）ARP欺骗（AddressResolutionProtocolSpoofing）．ARP即地址解析协议，作用是将网络中的IP地址转换成MAC物理地址的协议．因为在局域网中，尤其是在校园网中，使用最多的往往是MAC地址进行传输，而不是IP地址进行传输，所以ARP协议能够很快的让局域网中的两台主机进行通信．而黑客只需在局域网中进行网络监听，获取到一台主机A的节点信息（IP地址和MAC地址），就能伪造A的数据包，与B进行通信，获取有用信息．另一方面，黑客可以伪造一个不存在的MAC地址在局域网内传播，形成广播风暴，这样会造成网络不通，给局域网造成致命打击．

（6）DoS攻击（DenialofService）．DoS攻击，即拒绝服务攻击，攻击者的目的是让目标主机或网络无法提供正常服务．因为TCP协议采用三次握手建立一次连接，而任何一次握手失败，则会重新发送．攻击者正是利用这一个协议漏洞，采取不断建立连接，然后丢弃该连接数据包，使得服务器处于等待状态，如果攻击者一直持续连接和丢弃的过程，则服务器和网络所有的资源会被完全消耗，导致计算机或网络无法正常工作，从而达到攻击目的．

（7）DDoS攻击（DistributedDenialofServ－ice）．DDoS攻击，即分布式拒绝服务攻击，它是指攻击者借助一系列工具或手段，联合多个计算机组成攻击平台，对一个或数个目标发动DoS攻击．最基本的DoS是利用合法的服务请求，占用攻击目标主机大量服务资源，使得正常用户无法访问．然而DoS服务需要占用大量带宽，单个计算机攻击肯定无法达到攻击者想要的目标．因此网络黑客会抓取网络“肉鸡”，集合大量网络带宽，组成庞大的攻击平台，可以在瞬间让被攻击目标处于瘫痪状态．

（8）TCP序列号欺骗和攻击（TCPSequenceNumberSpoofingandAttack）．黑客利用一系列工具可以伪造TCP序列号，形成一个TCP封包，对网络中可信节点进行攻击．而且最重要的是，黑客可能利用伪造的TCP封包发动SYN攻击，让服务器无法完成三次握手，造成服务器开放大量等待端口，影响正常网络访问，严重时，可直接造成服务器死机，如果该服务器是WEB服务器或者DNS服务器，那么可能导致网站主页无法链接或者校园网内部用户无法访问外部网络．

（9）ICMP攻击（InternetControlMessageProtocolAttacks）．ICMP协议是Internet控制报文协议，它属于TCP／IP协议下的一个子协议，用于在IP主机和路由器之间传递控制消息．其中控制消息是指网络是否畅通、主机是否可连接、路由是否可用等一系列消息，它对数据传输有很重要的作用．而ICMP攻击是指利用操作系统ICMP的尺寸大小不得超过64KB这一规定，发动“PingofDeath”攻击，当主机ICMP数据包尺寸超过64KB时，主机会发生内存分配错误，导致TCP／IP堆栈崩溃，使得目标主机死机．虽然操作系统通过取消ICMP数据包大小限制来解决该漏洞，但是向目标主机发动持续、大规模的ICMP攻击，会消耗主机CPU、内存等资源，严重时也会导致目标主机瘫痪，无法提供正常服务．

2．2漏洞威胁

软件和操作系统是由程序员编写的，而在开发的过程中，多多少少会存在各种各样的漏洞问题，这些漏洞如果不能及时修复，将会对主机造成重大安全威胁．一旦该主机被攻破，同时也会给该主机处在的局域网中的其它机器造成威胁，情况严重时，甚至会造成整个网络瘫痪．近几年来，无论是Windows操作系统，还是Linux操作系统，的补丁数目一直持续增加．特别是Windows操作系统，在校园网内拥有的用户众多，如果没能及时修复各种漏洞，势必会影响整个校园网安全．

2．3病毒、木马威胁

近些年来，随着互联网的普及，网络上各种各样的开源软件繁多，有些开源软件打着免费的旗号，暗留后门或者对操作系统植入木马，稍不注意，就会对整个系统造成重大影响．同时，网络上黑客也会主动攻击，种植木马，抓取网络肉鸡，作为自己攻击的跳板，对互联网上其它的计算机造成严重威胁．

2．4初级黑客攻击

校园网因为自身局限性，其网络管理水平无法与企业相比，因此很容易受到网络上初级黑客的攻击，作为他们试手的目标．另外一方面，互联网出现的一系列黑客教程、黑客工具，这些教程和工具可以自由查阅和下载，加上很多黑客工具属于使用简单，这让许多初级黑客也能在一段时间内对网络造成严重的攻击．且根据心理学研究分析，很多普通攻击者往往有炫耀心理，即把校园网作为自己攻击的目标，以获取所谓的成功感，这让校园网增加更多的威胁．

3目前校园网网络建设中存在的主要安全问题

目前在校园网网络建设中主要存在的安全问题分为人为因素导致的安全问题和非人为因素导致的安全问题．

3．1人为因素导致的网络安全问题

3．1．1校园网用户数量庞大

校园网内用户量众多且处在同一个局域网中，同时，校园网内服务器数量也是别的局域网不能比拟的．用户量加上数目可观、功能强大的服务器，这些条件也吸引着互联网上众多黑客的攻击，因此存在着很大的安全隐患．

3．1．2校园网用户安全意识低

根据调查研究发现，校园网的用户大部分都安全意识不强，用户计算机整体水平偏低，有一部分校园网用户基本上不安装杀毒软件，也没能及时给系统打补丁，系统处于“裸奔”状态．这对于当今如此开放的互联网，将直接为黑客提供攻击目标．而且校园网用户极少学习相应的安全防范知识，在下载和使用软件时，基本上不考虑其风险性，这些都将会给黑客制造攻击机会，影响整个校园网安全［5］．

3．1．3信息泄密

信息泄密是指将信息透漏给非授权用户，它在一定程度上破坏了计算机系统的保密性．目前，常见的信息泄密有：操作系统漏洞、流氓软件、网络监听、病毒、木马、业务流分析、网络钓鱼、电磁、物理入侵、射频截获、非法授权、计算机后门程序．

3．1．4拒绝服务攻击（DoS）

攻击者使用一切办法让被攻击计算机停止提供服务，让合法的信息或资源访问被拒绝或者严重推迟．常见的DoS攻击有：SYNFlood、IP欺骗、UDP洪水攻击、Ping洪流攻击等．

3．1．5完整性破坏

攻击者通过系统漏洞、病毒、木马、后门程序等方式破坏信息的完整性，使得信息乱码．

3．1．6网络滥用

由于授权的用户因操作或行为不当，导致网络滥用，从而导致网络安全威胁，例如非法外联、非法内联、设备滥用、业务滥用、移动风险等等．

3．2非人为因素导致的网络安全问题

网络安全除去人为因素外，很大一部分安全威胁来自安全工具和操作系统自身的局限性．其具体特征为：每一种安全工具（如：杀毒软件）都有其自身的应用范围和环境，同时安全工具受到人为因素、系统漏洞、程序BUG的影响，这些因素反而给攻击者带来了一定的便利．对于操作系统而言，没有绝对安全的操作系统，无论是微软的Windows系列操作系统，还是开源的Linux操作系统，都有存在后门或漏洞的可能．世界上没有绝对安全的操作系统，因此在搭建校园网时，要选择安全性尽可能高的操作系统，而且要随时提供校园网用户漏洞补丁下载，以及杀毒软件，保证用户系统安全性始终最高．由上所述，我们可以说网络安全问题绝大部分是由人为因素引起的．现在，国家也制定了相应的法律来保护网络安全，打击相应的网络犯罪活动．但是校园网作为一个庞大的用户群，如何防范这些网络犯罪活动显得尤为重要．我们不能等着整个网络被攻击导致瘫痪后再想着去防范，而是要在攻击之前做好准备工作，让校园网在安全中运行．

4加强校园网网络安全建设的对策和建议

加强校园网网络安全建设主要从以下几个方面来进行．

4．1应重视校园网网络的安全搭建

在校园网工程的建设中，网络系统的搭建是属于弱电工程，它的耐压值比较低．由此，在校园网工程的设计和建设中，一定要首先考虑人以及网络中物理设备的防火、防电以及防雷等安全问题；考虑网络中布线系统与通信线路、照明线路、动力线路、空气对流管道以及暖气管道之间的距离；考虑网络中物理电路的接地安全；考虑建设合理的防雷系统，保证建筑物、计算机以及其它物理设备的防雷［6］．

4．2应加强校园网网络的安全维护技术

从技术层面来说，网络安全主要是由防火墙系统、入侵检测系统、病毒监测系统等多个安全组件组成，单独的一个组件是无法保证当前网络信息安全的．最早的网络安全技术是采用边界阈值控制法，即通过对网络边界的数据包进行监测，符合规定的数据包可通过，不符合规定的数据包就抛弃，这种方式在一定程度上能阻止对网络的入侵和攻击，但是不能有效防止网络攻击．目前，应用比较广泛的网络安全基本技术有：防火墙技术、防病毒技术、数据加密技术等．防火墙［7］指的是一个由硬件和软件混合组成的设备，用于将内部网络和外部网络隔离起来，建立一层安全保护屏障，它是一种隔离控制技术．常见的防火墙有包过滤技术、技术、状态监测技术等．相对于防火墙来说，防病毒技术将是从计算机网络内部进行防控，主要预防病毒程序、后门程序、网络监听等．目前采取比较多的防病毒手段是对系统进行监听，阻止不合规定进程．而且防病毒技术永远是滞后性的，即防病毒工具一直在病毒出现后才能组织．现在的防病毒技术和云平台技术结合，已经对病毒起到了一定的控制作用．相对前面两种技术来说，数据加密技术就比较灵活了．可以将用户的信息经过加密后，再在网络上传输，及时数据被黑客截获，没有有效的密钥，数据对黑客来说也只是一堆无效数据而已．在开放的互联网平台，数据加密能够有效的保证了用户的隐私以及数据的安全［8］．

4．3应建立科学的校园网网络管理人员岗位职责

计算机网络安全绝大部分是人为因素引起的．因此在校园网搭建过程中，关于对计算机系统管理员的培训及管理，是校园网网络安全中最重要的一部分．一个不合理的操作，很有可能让整个网络系统瘫痪，因此必须建立健全管理规范，明确管理员责任和权利．同时，要记录管理员操作信息，当发现不合规定的记录时，可以及时分析，如果发现黑客入侵，则及时采取必要措施杜绝黑客进一步入侵，必要时需向当地公安机关报案，减少学校损失．另外一方面，建立健全的管理制度以及严格的管理模式，可以保证校园网的正常、安全运行．总而言之，网络安全涉及的领域很多，是一个综合性的问题．只有合理的运用相关技术以及人员培训，才能尽最大可能的把安全威胁降到最低．

5结语

校园网络安全范文第2篇

关键词：校园网；网络安全；防范措施；防火墙；VLAN技术

校园网是指利用网络设备、通信介质和适宜的组网技术与协议以及各类系统管理软件和应用软件，将校园内计算机和各种终端设备有机地集成在一起，用于教学、科研、管理、资源共享等方面的局域网络系统。校园网络安全是指学校网络系统的硬件、软件及其系统中的数据受到保护，不因偶然和恶意等因素而遭到破坏、更改、泄密，保障校园网的正常运行。随着“校校通”工程的深入实施，学校教育信息化、校园网络化已经成为网络时代的教育的发展方向。目前校园网络内存在很大的安全隐患，建立一套切实可行的校园网络防范措施，已成为校园网络建设中面临和亟待解决的重要问题。

一、校园网络安全现状分析

（一）网络安全设施配备不够

学校在建立自己的内网时，由于意识薄弱与经费投入不足等方面的原因，比如将原有的单机互联，使用原有的网络设施；校园网络的各种硬件设备以及保存数据的光盘等都有可能因为自然因素的损害而导致数据的丢失、泄露或网络中断；机房设计不合理，温度、湿度不适应以及无抗静电、抗磁干扰等设施；网络安全方面的投入严重不足，没有系统的网络安全设施配备等等；以上情况都使得校园网络基本处在一个开放的状态，没有有效的安全预警手段和防范措施。

（二）学校校园网络上的用户网络信息安全意识淡薄、管理制度不完善

学校师生对网络安全知识甚少，安全意识淡薄，U盘、移动硬盘、手机等存贮介质随意使用；学校网络管理人员缺乏必要的专业知识，不能安全地配置和管理网络；学校机房的登记管理制度不健全，允许不应进入的人进入机房；学校师生上网身份无法唯一识别，不能有效的规范和约束师生的非法访问行为；缺乏统一的网络出口、网络管理软件和网络监控、日志系统，使学校的网络管理混乱；缺乏校园师生上网的有效监控和日志；计算机安装还原卡或使用还原软件，关机后启动即恢复到初始状态，这些导致校园网形成很大的安全漏洞。

（三）学校校园网中各主机和各终端所使用的操作系统和应用软件均不可避免地存在各种安全“漏洞”或“后门”

大部分的黑客入侵网络事件就是由系统的“漏洞”及“后门”所造成的。网络中所使用的网管设备和软件绝大多数是舶来品，加上系统管理员以及终端用户在系统设置时可能存在各种不合理操作，在网络上运行时，这些网络系统和接口都相应增加网络的不安全因素。

（四）计算机病毒、网络病毒泛滥，造成网络性能急剧下降，重要数据丢失

网络病毒是指病毒突破网络的安全性，传播到网络服务器，进而在整个网络上感染，危害极大。感染计算机病毒、蠕虫和木马程序是最突出的网络安全情况，遭到端口扫描、黑客攻击、网页篡改或垃圾邮件次之。校园网中教师和学生对文件下载、电子邮件、QQ聊天的广泛使用，使得校园网内病毒泛滥。计算机病毒是一种人为编制的程序，它具有传染性、隐蔽性、激发性、复制性、破坏性等特点。它的破坏性是巨大的，一旦学校网络中的一台电脑感染上病毒，就很可能在短短几分钟中内使病毒蔓延到整个校园网络，只要网络中有几台电脑中毒，就会堵塞出口，导致网络的“拒绝服务”，严重时会造成网络瘫痪。《参考消息》1989年8月2日刊登的一则评论，列出了下个世纪的国际恐怖活动将采用五种新式武器和手段，计算机病毒名列第二，这给未来的信息系统投上了一层阴影。从近期的“熊猫烧香”、“灰鸽子”、“仇英”、“艾妮”等网络病毒的爆发中可以看出，网络病毒的防范任务越来越严峻。

综上所述，学校校园网络的安全形势非常严峻，在这种情况下，学校如何能够保证网络的安全运行，同时又能提供丰富的网络资源，保障办公、教学以及学生上网的多种需求成为了一个难题。根据校园网络面临的安全问题，文章提出以下校园网络安全防范措施。

二、校园网络的主要防范措施

（一）服务器

学校在建校园网络之时配置一台服务器，它是校园网和互联网之间的中介，在服务器上执行服务的软件应用程序，对服务器进行一些必要的设置。校园网内用户访问Internet都是通过服务器，服务器会检查用户的访问请求是否符合规定，才会到被用户访问的站点取回所需信息再转发给用户。这样，既保护内网资源不被外部非授权用户非法访问或破坏，也可以阻止内部用户对外部不良资源的滥用，外部网络只能看到该服务器而无法获知内部网络上的任何计算机信息，整个校园网络只有服务器是可见的，从而大大增强了校园网络的安全性（二）防火墙

防火墙系统是一种建立在现代通信网络技术和信息安全技术基础上的应用性安全技术产品，是一种使用较早的、也是目前使用较广泛的网络安全防范产品之一。它是软件或硬件设备的组合，通常被用来进行网络安全边界的防护。防火墙通过控制和检测网络之中的信息交换和访问行为来实现对网络安全的有效管理，在网络间建立一个安全网关，对网络数据进行过滤（允许/拒绝），控制数据包的进出，封堵某些禁止行为，提供网络使用状况（网络数据的实时/事后分析及处理，网络数据流动情况的监控分析，通过日志分析，获取时间、地址、协议和流量，网络是否受到监视和攻击），对网络攻击行为进行检测和告警等等，最大限度地防止恶意或非法访问存取，有效的阻止破坏者对计算机系统的破坏，可以最大限度地保证校园网应用服务系统的安全工作。（三）防治网络病毒

校园网络的安全必须在整个校园网络内形成完整的病毒防御体系，建立一整套网络软件及硬件的维护制度，定期对各工作站进行维护，对操作系统和网络系统软件采取安全保密措施。为了实现在整个内网杜绝病毒的感染、传播和发作，学校应在网内有可能感染和传播病毒的地方采用相应的防病毒手段，在服务器和各办公室、工作站上安装瑞星杀毒软件网络版，对病毒进行定时的扫描检测及漏洞修复，定时升级文件并查毒杀毒，使整个校园网络有防病毒能力。

（四）口令加密和访问控制

校园网络管理员通过对校园师生用户设置用户名和口令加密验证，加强对网络的监控以及对用户的管理。网管理员要对校园网内部网络设备路由器、交换机、防火墙、服务器的配置均设有口令加密保护，赋予用户一定的访问存取权限、口令字等安全保密措施，用户只能在其权限内进行操作，合理设置网络共享文件，对各工作站的网络软件文件属性可采取隐含、只读等加密措施，建立严格的网络安全日志和审查系统，建立详细的用户信息数据库、网络主机登录日志、交换机及路由器日志、网络服务器日志、内部用户非法活动日志等，定时对其进行审查分析，及时发现和解决网络中发生的安全事故，有效地保护网络安全。

（五）VLAN(虚拟局域网)技术

VLAN(虚拟局域网)技术，是指在交换局域网的基础上，采用网络管理软件构建的可跨越不同网段、不同网络的端到端的逻辑网络。根据实际需要划分出多个安全等级不同的网络分段。学校要将不同类型的用户划分在不同的VLAN中，将校园网络划分成几个子网。将用户限制在其所在的VLAN里，防止各用户之间随意访问资源。各个子网间通过路由器、交换机、网关或防火墙等设备进行连接，网络管理员借助VLAN技

术管理整个网络，通过设置命令，对每个子网进行单独管理，根据特定需要隔离故障，阻止非法用户非法访问，防止网络病毒、木马程序，从而在整个网络环境下，计算机能安全运行。

（六）系统备份和数据备份

虽然有各种防范手段，但仍会有突发事件给网络系统带来不可预知的灾难，对网络系统软件应该有专人管理，定期做好服务器系统、网络通信系统、应用软件及各种资料数据的数据备份工作，并建立网络资源表和网络设备档案，对网上各工作站的资源分配情况、故障情况、维修记录分别记录在网络资源表和网络设备档案上。这些都是保证网络系统正常运行的重要手段。

（七）入侵检测系统（IntrusionDetectionSystem，IDS）

IDS是一种网络安全系统，是对防火墙有益的补充。当有敌人或者恶意用户试图通过Internet进入网络甚至计算机系统时，IDS能检测和发现入侵行为并报警，通知网络采取措施响应。即使被入侵攻击，IDS收集入侵攻击的相关信息，记录事件，自动阻断通信连接，重置路由器、防火墙，同时及时发现并提出解决方案，列出可参考的网络和系统中易被黑客利用的薄弱环节，增强系统的防范能力，避免系统再次受到入侵。入侵检测系统作为一种积极主动的安全防护技术，提供了对内部攻击、外部攻击和误操作的实时保护，在网络系统受到危害之前拦截和响应入侵，大大提高了网络的安全性。

（八）增强网络安全意识、健全学校统一规范管理制度

根据学校实际情况，对师生进行网络安全防范意识教育，使他们具备基本的网络安全知识。制定相关的网络安全管理制度（网络操作使用规程、人员出入机房管理制度、工作人员操作规程和保密制度等）。安排专人负责校园网络的安全保护管理工作，对学校专业技术人员定期进行安全教育和培训，提高工作人员的网络安全的警惕性和自觉性，并安排专业技术人员定期对校园网进行维护。

三、结论

校园网的安全问题是一个较为复杂的系统工程，长期以来，从病毒、黑客与防范措施的发展来看，总是“道高一尺，魔高一丈”，没有绝对安全的网络系统，只有通过综合运用多项措施，加强管理，建立一套真正适合校园网络的安全体系，提高校园网络的安全防范能力。

参考文献：

1、王文寿,王珂.网管员必备宝典——网络安全[M].清华大学出版社,2006.

2、张公忠.现代网络技术教程[M].清华大学出版社,2004.

3、刘清山.网络安全措施[M].电子工业出版社,2000.

4、谢希仁.计算机网络[M].大连理工大学出版社,2000.

5、张冬梅.网络信息安全的威胁与防范[J].湖南财经高等专科学校学报,2002(8).

6、李卫.计算机网络安全与管理[M].清华大学出版社,2004.

校园网络安全范文第3篇

校园网在实际运用中主要有以下一些安全隐患和漏洞：

1.校园网是直接通过主路由器与Internet相连，在享受Internet方便快捷的资源共享与数据共享的同时，也带来了一些安全性的隐患，随时遭遇着外来攻击的风险。

2.校园网内部建设结构存在着一些技术上的安全隐患，校园内部使用者对于网络的结构和基本模式都比较了解，所以对于内部的安全性存在的威胁更大，校园网用户大多以学生为主，其对于网络的理解和正确使用存在一定的误区，而对于个别学生的好奇心与心理特点利用一些黑客工具进行网络攻击，使得网络瘫痪而无法正常运转。

3.对于当前所使用的操作系统本身存在安全漏洞，也是造成网络安全的一大隐患。对于我校服务器安装的操作系统以Windows2003为主，由于Windows2003其操作的普遍性和本身缺点使得在使用过程中维护和管理出现一定的安全问题，例如本身操作系统系统的漏洞、浏览器访问出现的漏洞、IIS服务的漏洞、邮件服务器出现的漏洞、访问端口出现的漏洞等都对网络安全构成威胁。

4.随着校园网中计算机的数量增大以及应用范围的扩大，接入校园网的节点日益增多，而这些节点大部分是新的，没有采取一定的防护措施，随时有可能造成病毒泛滥、信息丢失、数据损坏、网络受攻击、系统瘫痪等严重后果。

二、在网络维护与管理中投入严重不足

没有理论性的系统投入和其网络安全设备硬件投资对于学校网络建设面临同一个问题就是经费严重不足，经费主要利用在购买有限的硬件设备而没有投入在维护与管理的设备上，对于维护网络安全必须拥有一套完整的硬件设备和系统维护方法。校园网基本处于一种开放状态下，没有任何有效的安全预警手段和防范措施。

三、学校的上网管理方式不到位

校园网中几乎多数终端机是直接连接到控制端与外网相连来提供给学生和教职员工上网、学习。由于缺乏统一的管理软件和监控设施以及日志系统，使得管理基本处在瘫痪状态。为了方便学生上网几乎网络处于开放状态，由于机房的计算机管理不到位或方便管理，基本上安装了还原卡或使用还原软件，使得计算机重启恢复到初始状态，这在安全管理中存在严重漏洞，无法按照安全部门要求保留至少三个月以上的上机和上网日志。

四、网络病毒泛滥

造成网络安全性能急剧下降，很多重要数据丢失，造成严重损失网络在提供给大家方便快捷资源共享的同时也是病毒传播主要途径。随着网络快速发展、网络病毒也同水平的速度快速发展，网络病毒造成的危害也急剧上升，使得网络资源造成严重的危害。从近期的“熊猫烧香”、“灰鸽子”、“ARP病毒”等网络病毒的爆发中可以看出，网络病毒的传播越来越厉害。对于病毒防范的措施，不仅仅体现在个人角色，而要建立一整套的防范措施，制止病毒的传播与破坏。

五、网络操作者使用安全意识淡薄

没有制定完善的网络安全管理制度校园网络上出现屡次数据丢失或攻击现象都未采取相应管理措施，说明校园网络上的用户安全意识淡薄；另外，没有制定完善而严格的网络安全制度，各校园网在安全管理上也没有任何标准，这也是网络安全问题泛滥的一个重要原因。综上所述，校园网络安全的形势非常严峻，能够彻底解决以上安全问题，根据我校校园网络的结构特点以及面临的安全问题，我们提出了以下校园网络安全解决办法并进行实施。校园网络安全解决方案：

（一）构建服务器部署。由于资金的限制，我校校园网在某一工作站构建一台服务器，与外网直接连接，而主服务器则需要通过服务器才能与外网连接。对服务器进行了以下必要的设置，如安装软防火墙、实时监控、限制服务、响应报警等。实际上，这样部署可以有效地保护校园网主服务器不被直接受到外网的攻击，既保护内网资源的安全，也可以阻止内部用户对外部不良资源的滥用，并能够对发生在网络中的安全事件进行跟踪和审计。

（二）防病毒系统部署。为了防止毒的感染、传播和发作，对于病毒多发区进行安全管理，同时建立一套完整的病毒安全防范措施。实现了远程安装、集中管理、分布查杀等功能。主要是按照以下的步骤去实施的：

1.将学校主控中心的一台服务器上安装NOD32管理员版；

2.在学校各科室及网络教室等多个分支安装NOD32标准版；

3.安装完NOD32管理员版后，对内网中所有的客户端进行定期定时查杀毒设置，保证所有客户端即使在没有联网的也能够定期定时对本机进行查杀毒，并及时更新病毒库使整个校园网都具有最强的防病毒能力。

（三）增强网络安全意识。对于病毒是防不胜防的，只有主观上增强网络信息安全的意识，提高警惕性，操作合理，才能最大程度的减少损害。

（四）完善安全管理制度。为了进一步管理好校园网络，学校分管领导组织相关老师，根据我校实际情况，认真制定了相关的网络安全管理制度。这些制度有计算机教室管理制度、多媒体制作室管理制度、网络管理中心管理制度及各办公室网络行为制度等，并采取切实有效的措施保证了制度的实施。

（五）及时公布网络安全信息。学校专门安排网络管理中心的老师，对病毒、漏洞、补丁等等及时进行公布，使的用户在最短的时间内得到最新的信息。不仅方便了网络的使用者，而且也减轻了网络管理者的工作量。

（六）周期性网络维护。网络维护包括网络软件维护和网络硬件维护。学校专门通过某种途径对学校管理人员和维护人员进行培训，提高维护技能和管理技能，加强操作水平。另外，还要做好计算机系统、网络、应用软件及各种资料数据的备份。下一阶段将要进一步解决的问题：

1.用内容过滤器技术和防火墙技术。过滤器技术使得访问者按要求进行有效的网络访问，对于禁止和非法网站进行杜绝。防火墙技术包含了动态的封包过滤、应用服务、用户认证、网络地址转接、IP防假冒、预警模声、日志及计费分析等功能，可以有效地将内部网与外部网隔离开来，保护校园网络不受未经授权的第三方侵入。

2.运用VLAN技术。采用VLAN技术来加强内部网络管理。VLAN技术的核心是网络分段，根据不同的应用业务以及不同的安全级别，将网络分段并进行隔离，实现相互间的访问控制，可以达到限制用户非法访问的目的。

校园网络安全范文第4篇

摘要：在校园网的初期建设中，由于安全意识、安全管理等多方面的原因，网络安全没有引起足够的重视，造成网络安全事故不断发生，校园网运行和管理所面临的安全问题也就愈发突出。因此, 建设健全校园网络安全体系已经成为数字化校园建设过程中不可忽视的重要组成部分。

关键词：校园；网络；隐患；安全技术

校园网络的发展改善了教育技术和网络教育应用的环境，革新了现有的教学手段、教学方法和教学模式，推动了信息技术和现代远程教育的发展。校园网络的普及和广泛应用，提升了学校的信息化、数字化水平；如何保证校园网络安全、有效地运行，已成为目前许多学校面临的重要课题。

一、校园网络安全概述

1.校园网络安全的定义

校园网是指基于互联网应用的，提供以学习活动为核心的，兼顾教学与学校管理的网络媒体教学环境。校园网网络安全是指校园网信息系统和信息资源不受自然和人为有害因素的威胁和危害。广义的校园网网络安全包括实体安全、运行安全、数据安全、软件安全和通信安全等。其中，实体安全主要是指校园网硬件设备和通信线路的安全，其威胁来自自然和人为危害等因素。信息安全包括数据安全和软件安全，其威胁主要来自信息破坏和信息泄漏。狭义的校园网网络安全是指校园网网络的信息安全，凡是涉及到网络上信息的保密性、完整性、可用性、真实性、可控性的相关技术和理论。

2.校园网络安全的特点

第一，开放性。由于学校具有教学和科研的特点，所以要求校园网络的环境是开放的，而且在管理方面较企业网络来说更宽松一些，这样就会留下一些安全隐患。第二，活跃性。在学校中，在校学生通常是最活跃的网络用户，而且数量非常庞大，他们对网络新技术充满好奇，敢于尝试。尤其是一些学生会尝试使用从网上学到的或者是自己研究的一些攻击技术，而这些行为可能对校园网络造成一定的影响和破坏。第三，复杂性。大多数用户基本上使用的是盗版软件或者是在互联网上下载的一些破解软件，这些软件存在很多的问题，例如留有后门、携带病毒等，这些将会影响计算机系统的正常运行。

二、校园网络安全隐患

1.网络连接安全隐患

几乎所有校园网都与Internet链接，这对宣传学校、扩大学校的影响和知名度很有好处。但是，在带来方便的同时也带来安全风险。对于校园网的安全来说所有的Internet用户都属于不信任的，无法保证不发生攻击行为，需要特别注意防范。浏览网页是绝大多数上网者的事情，令人遗憾的是，过去一直被认为浏览网页是安全的观念现在已经被彻底打破，大量事实表明仅仅是阅读了某些网页，就完全有可能在浏览者的机器上运行任何程序，比如格式化硬盘，安装木马，肆意篡改浏览器，限制某些功能等等。

2.系统漏洞安全隐患

系统的安全风险主要指操作系统、数据库系统和各种应用系统所存在的安全风险。目前校园网上所使用的操作系统主要有Unix，Linus，Windows系列，而且以Windows系列操作系统最多。不管哪一种操作系统都存在大量已知和未知的漏洞，国际上一些安全组织已经了大量的安全漏洞，其中一些漏洞可以导致入侵者获得管理员的权限，有一些漏洞则可以被用来实施拒绝服务攻击，一些漏洞则成为病毒攻击的对象。近几年来，利用漏洞开发的计算机病毒在互联网上泛滥成灾，频频掀起发作狂潮，并且随着网络带宽和计算机数量的增加，病毒的传播速度越来越快。

3.网络病毒侵袭隐患

计算机病毒指编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码。病毒以计算机为载体，利用操作系统和应用程序的漏洞主动进行攻击，是一种通过网络传统的恶性病毒。它不仅具有传播性，隐蔽性，破坏性等特性，同时还具有不利用文件寄生(有的只存在于内存中)，对网络造成拒绝服务，以及和黑客技术相结合等特征。在产生的破坏性上，计算机病毒可以在短短的时间内蔓延整个网络，造成网络瘫痪。

4.管理制度安全隐患

管理制度是保障信息化建设安全的重要组成部分，许多学校都存在着重建设轻管理的倾向。实践证明，安全管理制度不完善是网络风险的重要来源之一。比如，网络管理员配备不当、用户安全意识不强、用户口令设置不合理、管理制度不健全等，都会给信息安全带来严重威胁。IP地址的盗用、混用问题，校园网内部连接的计算机有的是得到合法的IP地址，有的没有申请过IP地址，如果没有IP地址的用户冒用合法用户的IP地址上网，这就是IP地址的盗用；IP地址的混用是指用户由于某些原因，人为地修改了机器的静态的IP地址。这两种情况都能造成局域网内部地址的冲突，严重影响着网络的正常使用。

另外，地震、水灾、火灾等环境事故，电源故障，人为操作失误或错误等网络的外部环境安全隐患也是整个网络系统安全的前提。

三、校园网络安全技术运用

1.网络防火墙技术 防火墙是网络安全的屏障，它能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。因此要在Internet与校园网内网之间部署一台防火墙，构筑内外网之间一道牢固的安全屏障。其中WWW、MAIL、FTP、DNS对外服务器连接在防火墙的DMZ区，与内、外网间进行隔离，内网口连接校园网内网交换机，外网口通过路由器与Internet连接。那么，通过Inter-net进来的公众用户只能访问到对外公开的一些服务(如WWW、MAIL、FTP、DNS等)，既保护内网资源不被外部非授权用户非法访问或破坏，也可以阻止内部用户对外部不良资源的滥用，并能够对发生在网络中的安全事件进行跟踪和审计。

2.网络入侵监测技术

对于网络安全来说，单纯的防火墙技术暴露出明显的不足和弱点，有些攻击方式可以绕过防火墙，直接侵入到内部网络，使得网络安全受到威胁。入侵检测系统(IDS)是近年来出现的新型网络安全技术，IDS能够实时分析内部网和外部网的数据通讯信息，分辨入侵企图，在网络系统受到危害前以各种方式发出警报，并且及时对网络入侵采取相应对策，最大限度保护网络的安全。它可以弥补防火墙的不足，作为一种积极主动地安全防护技术，提供了一种对外部攻击、内部攻击以及误操作的实时保护，最大限度的降低可能的入侵危害。由于它与防火墙有很强的互补性，所以在网络安全系统的设计过程中，入侵检测系统经常与防火墙实现联动。

3.数据加密技术 加密是通过对信息的重新组合，使得只有收发双方才能解码还原信息。数据加密技术是为提高网络上的信息系统及数据的安全性和保密性，防止秘密数据被外部破坏所采用的主要技术手段之一。数据加密技术作为主动网络安全技术，是提供网络系统数据的保密性、防止秘密数据被外部破解所采用的主要技术手段，是许多安全措施的基本保证。加密后的数据能保证在传输、使用和转换时不被第三方获取数据。基于数据加密技术以上特点，在校园网络中传送重要信息时要使用数据加密技术来保证信息的安全。

4.防网络病毒技术

在网络环境下，病毒传播速度很快，大量的数据包经常使网络瘫痪，仅用单机版的杀病毒软件已经难以清除网络病毒，必须使用网络版的杀病毒产品，并在网络设备上进行相应的设置，阻断病毒的传播，从病毒的源头和传播途径两方面解决问题。在学校网络中心配置一台高效的Windows2000服务器安装一个网络版杀毒软件系统中心，负责管理校园网内所有主机网点的计算机。在各主机节点分别安装网络版杀毒软件的客户端。安装完杀毒软件网络版后，在管理员控制台对网络中所有客户端进行定时查杀毒的设置，保证所有客户端即使在没有联网的时候也能够定时进行对本机的查杀毒，并自动对网络版杀毒软件进行更新。 安全防范体系的建立不是一劳永逸的，必须根据情况的变化和现有体系中暴露出的一些问题，不断对此体系进行及时的维护和更新，保证网络安全防范体系的良性发展。

参考文献：

[1]凌捷.计算机数据安全技术[M].北京:科学出版社.2004

[2]张世永.网络安全原理与应用「M].北京:科学出版社.2003

校园网络安全范文第5篇

关键词：校园无线网络；802.11标准；网络安全

一、概述

随着信息技术的发展和教育信息化进程的推进，无线局域网技术在高校校园网中的应用也逐渐普及。校园无线局域网表现出方便、灵活的组网方式和广泛的适用环境等优点，由于无线局域网技术其传输介质的开放性，使得数据在通信传播过程中，极有可能被一些非法的接收设备所接收，这就给入侵者有了可乘之机。加之校园无线网络自身的特殊性，无线局域网更易遭受黑客攻击和泄密；此外由于高校网络本身所具有的应用范围广、使用群体复杂、管理难度大等众多特点，致使网络本身更具脆弱性，致使网络本身更具脆弱性，因此如何保障高校校园无线局域网通信的安全，成为使用高校校园无线局域网过程中必须解决的问题。

二、无线网络存在的安全威胁

无线网络一般受到的攻击可分为两大类：

一类是关于网络访问控制、数据机密性保护以及数据完整性保护而进行的攻击；一类是无线通信网络的设计、部署以及维护的独特方式而进行的攻击。

对于第一类攻击在有线网络的环境下也会发生。可见，无线网络的安全性是在传统有线网络的基础上增加了新的安全性威胁。

（一）保密机制的弱点

1、过于简单的加密算法

WEP中的IV向量由于位数太短和初始化复位的设计，经常出现重复使用现象，从而轻易的被他人所破解。而对于其中的加密的RC4算法，在其头256个字节数据中的密钥存在弱点，容易被黑客攻破。而且，对明文完整性校验的CRC循环冗余校验码只能确保数据正确传输，并不能保证其是否被修改，因而也会出现安全的问题。

2、密钥管理复杂性

在WEP使用的密钥的过程中需要接受一个外部密钥管理系统的控制。网络的安全管理员可以通过外部管理系统控制方式减少IV的冲突数量，使无线网络难以被攻破。但由于这种方式的过程非常复杂，且需要手工进行操作，所以很多网络的部署者为了方便，使用缺省的WEP密钥，从而使黑客对破解密钥的难度大大减少。

3、用户安全意识不强

许多用户安全意识淡薄，没有改变缺省的配置选项，而缺省的加密设置都是比较简单或脆弱的，经不起黑客的攻击。

（二）类型繁多的网络攻击

1、探测式攻击实际上是信息采集活动，黑客们通过这种攻击搜集网络数据，用于以后进一步攻击网络。通常，软件工具（例如探测器和扫描器）被用于了解网络资源情况，寻找目标网络、主机和应用中的潜在漏洞。例如，有一种专门用于破解密码的软件。这种软件是为网络管理员而设计的，管理员可以利用它们来帮助那些忘记密码的员工，或者发现那些没有告诉任何人自己的密码就离开了公司的员工的密码。但是，这种软件如果被错误的人使用，就将成为一种非常危险的武器。

2、访问攻击用于发现身份认证服务、文件传输协议(FTP)功能等网络领域的漏洞，以访问电子邮件帐号、数据库和其他保密信息。

（三）拒绝服务攻击

1、信息泄露威胁与网络欺骗

泄露威胁包括窃听、截取和监听。窃听是指偷听流经网络的计算机通信的电子形式，它是以被动和无法觉察的方式入侵检测设备的。即使网络不对外广播网络信息，只要能够发现任何明文信息，攻击者仍然可以使用一些网络工具来监听和分析通信量，从而识别出可以破解的信息。欺骗这种攻击手段是通过骗过网络设备，使得它们错误地认为来自它们的连接是网络中一个合法的和经过同意的机器发出的。达到欺骗的目的，最简单的方法是重新定义无线网络或网卡的MAC地址。

2、用户设备安全威胁

由于IEEE802.11标准规定WEP加密给用户分配是一个静态密钥，因此只要得到了一块无线网网卡，攻击者就可以拥有一个无线网使用的合法MAC地址。也就是说，如果终端用户的笔记本电脑被盗或丢失，其丢失的不仅仅是电脑本身，还包括设备上的身份验证信息，如网络的SSID及密钥。[3]

三、无线校园网络安全解决方案

（一）身份认证：对于无线网络的认证可以是基于设备的，通过共享的WEP密钥来实现

上文中提到的 MAC 地址认证和共享密钥认证都还有一定的安全隐患。在无线网络进入校园以后， MAC地址认证需要进行维护和数据管理的问题。例如EAP-TLS、EAP-TTLS、LEAP和PEAP。[4]在无线网络中，设备认证和用户认证都应该实施，以确保最有效的无线网络安全性。用户认证信息应该通过安全隧道传输，从而保证用户认证信息交换是加密的。因此，对于所有的网络环境，如果设备支持，最好使用EAP-TTLS或PEAP。针对校园多用户群体的特点，可以对不同用户使用不同的认证方法，以此来确保无线校园网络的安全性。

（二）访问控制：网络用户的访问控制主要通过AAA服务器来实现

这种方式可以提供更好的可扩展性，有些访问控制服务器在802.1x的各安全端口上提供了机器认证，在这种环境下，只有当用户成功通过802.1x规定端口的识别后才能进行端口访问。

一般来说，无线校园网络可分为境内网和境外（下转第122页）（上接第120页）网两大类。境内网是指学校内部访问数据和资源的过程，教师和学生可根据需要随时在校园内访问网络。例如研究成果、研究资料以及论文等都要求有较好的安全性。这些用户可以采用802.1x 进行认证。也就是先由用户向认证服务器发出接入申请，在未通过认证的情况下，用户无法访问网络，也无法获取IP 地址。设立证书服务器，以数字证书的形式达到双向认证的目的，能够有效避免用户接入非法 AP 以及非法用户使用网络，只有在通过双向认证之后，用户方可访问网络，保证校园网资源的安全性。境外网指从学校外部访问数据和资源的过程，主要是针对来学校进行学术交流、培训等用户，这些用户关注的是能够方便、快捷的接入网络，已进行相关的文件传输、浏览网站等工作。因此，他们不能访问校园网内部如学校公共数据库、图书馆期刊全文数据库以及一些学校内部资源的一些受限资源。如果用户是境外网需要访问校园网以外的数据，要先通过强制 Portal 认证之后方可访问网络。[5]根据不同网络区分的需要采用不同的认证方法，将 802.1x 认证和强制 Portal 认证这两种认证方式相结合是解决目前无线校园网络安全问题的有效途径，并有极强的现实意义。

（三）可用性：无线网络有着与其它网络相同的需要，这就是要求最少的停机时间

不管是由于DOS攻击还是设备故障，无线基础设施中的关键部分仍然要能够提供无线客户端的访问。保证这项功能所花费资源的多少主要取决于保证无线网络访问正常运行的重要性。在校园的操场、食堂等场合，如不能给用户提供无线访问只会给用户带来不便而已。当一个客户端试图与某个特定的AP通讯，而认证服务器不能提供服务时也会产生可用性问题。这可能是由于拥塞的连接阻碍了认证交换的数据包，建议赋予该数据包更高的优先级以提供更好的QOS。另外应该设置本地认证作为备用，可以在AAA服务器不能提供服务时对无线客户端进行认证。

（四）审计：审计工作是确定无线网络配置是否适当的必要步骤

保护WLAN的第一步就是完成网络审计，实现对内部网络的所有访问节点都做审计，确定欺骗访问节点，建立规章制度来约束它们，或者完全从网络上剥离掉它们。从短期来看，校园网络中心管理员应该使用一些能检测WLAN网络流量（以及WLAN访问节点）的网络监控产品或工具，例如SnifferTechnologies和WildPackets厂家的产品。不过，采取的这些措施能达到的安全程度毕竟还是有限的，因为它要求网络管理员要根据WLAN的信号来检测网络流量，知道网络内部的数据流量情况。现在，WLAN的提供商们（例如3Com，Avaya，Cisco，Enterasys和Symbol）将会开发出新的能够检测远程访问节点的网络管理工具。校园网络中心管理者应该形成一个管理政策，保证网络审计成为一个规范化的行为（至少每三个月检测一次），来限制具有欺骗访问行为的站点恣意进入WLAN。