基于策略網(wǎng)絡的圖書館網(wǎng)絡安全管理方案——以大連理工大學圖書館為例

王政軍 金玉玲 俞小怡

(大連理工大學圖書館，遼寧 大連116023)

隨著數(shù)字化圖書館的迅速發(fā)展，計算機網(wǎng)絡在圖書館的應用越來越廣泛，網(wǎng)絡安全成為新信息安全的熱點［1］。數(shù)字化圖書館作為向教學科研提供先進、便捷、廣泛地獲取知識的平臺，需要保證網(wǎng)絡信息化服務的穩(wěn)定、安全及可靠。圖書館網(wǎng)絡安全的主要目的是實現(xiàn)對整個圖書館網(wǎng)絡用戶可訪問資源的完全控制、抵御內(nèi)外網(wǎng)絡的惡意訪問，同時保證關鍵業(yè)務的高質(zhì)量網(wǎng)絡服務［2］。

大連理工大學圖書館 (以下簡稱大工圖書館) 近幾年注重提升網(wǎng)絡安全，不斷探索適應圖書館網(wǎng)絡信息安全的管理方式。通過多年的理論研究和實踐總結(jié)，設計部署了一套基于策略的網(wǎng)絡安全解決方案。該方案采用先進的安全技術(shù)手段，將動態(tài)入侵響應與基于角色的策略進行聯(lián)動，在保證網(wǎng)絡安全穩(wěn)定可靠的前提下，實現(xiàn)網(wǎng)絡管理的智能化自動化。

1 策略網(wǎng)絡的關鍵技術(shù)

策略網(wǎng)絡將基于角色的策略和動態(tài)入侵響應兩項關鍵技術(shù)有機地結(jié)合起來，主要體現(xiàn)了網(wǎng)絡體系的安全性和管理上的便捷性。

1.1 基于角色的策略

雖然路由器和交換機具有一定的管理功能，但交換機只能對局域網(wǎng)中的帶寬分配和訪問權(quán)限做簡單決定。而網(wǎng)絡中的管理要面對簡化網(wǎng)絡運作、應用優(yōu)先權(quán)分配、靈活的體系結(jié)構(gòu)、多廠商支持等4個關鍵業(yè)務領域的需求［5］。策略管理的目的就是以簡化的、自動化的方式，實現(xiàn)業(yè)務驅(qū)動的網(wǎng)絡，幫助降低運行成本。因此，基于多元化應用需求，在網(wǎng)絡設備上安裝、使用策略管理器的解決方案應運而生。

研究表明，角色/權(quán)限之間的變化比角色/用戶關系之間的變化相對慢，而且委派用戶到角色不需要很多技術(shù)，可以由行政管理人員來執(zhí)行。配置權(quán)限到角色的工作比較復雜，需要一定的技術(shù)，要由專門的技術(shù)人員來承擔。不給他們委派用戶的權(quán)限，也與現(xiàn)實中情況相一致。基于角色的訪問控制方法可以很好地描述角色層次關系，方便權(quán)限管理，實現(xiàn)最少權(quán)限原則和職責分離的原則。

網(wǎng)絡管理員在策略管理器上定義具體的策略，決定怎樣利用網(wǎng)絡資源。這些策略由一套規(guī)則構(gòu)成，規(guī)則與業(yè)務優(yōu)先級有關，能夠在逐個用戶或分組基礎上設置所需的服務水平，以及進行封鎖或訪問控制。

1.2 動態(tài)入侵響應

很多圖書館通過在網(wǎng)絡邊界部署防火墻、企業(yè)級防病毒軟件、對服務器安裝各種補丁程序等方法來保護其IT基礎架構(gòu)。但是，這些預防措施并沒有阻止出現(xiàn)在互聯(lián)網(wǎng)上的蠕蟲和惡意用戶的不斷攻擊。動態(tài)入侵響應 (DIR) 是一種安全網(wǎng)絡解決方案，它能夠檢測網(wǎng)絡當中的異常行為，然后干預、隔離異常用戶或故障設備。動態(tài)入侵響應隔離了每一種安全威脅并用列表分類，識別安全威脅來源并自動配置網(wǎng)絡，降低網(wǎng)絡威脅產(chǎn)生的損失，從而保護網(wǎng)絡免受已知和未知安全威脅的侵害。

通過部署動態(tài)入侵響應解決方案，可以降低圖書館資源暴露在內(nèi)部和外部威脅面前的機會，預防業(yè)務破壞和資源竊取。入侵檢測安全功能可以預測可能存在的安全威脅，能夠更有效地利用網(wǎng)絡基礎架構(gòu)的投資。在不必重新配置或影響上網(wǎng)用戶的前提下，動態(tài)入侵響應是已經(jīng)部署的安全設備的有效補充。主要優(yōu)勢如下:

(1) 降低風險和系統(tǒng)復雜性，在網(wǎng)絡結(jié)構(gòu)當中嵌入了主動響應和自動安全功能。

(2) 將業(yè)務策略映射到網(wǎng)絡系統(tǒng)當中。

(3) 改善可視化，將網(wǎng)絡作為一個整體處理，更快地確定網(wǎng)絡當中存在的故障。

(4) 根據(jù)內(nèi)部和外部用戶在組織當中不同的角色，為其提供不同的安全的可靠的訪問。

(5) 提供自動的系統(tǒng)級的控制，降低管理、實施和故障處理的成本。

(6) 滿足業(yè)務增長和擴展的需要。

(7) 改善對數(shù)據(jù)和應用系統(tǒng)的訪問，提高生產(chǎn)效率。

2 圖書館使用策略網(wǎng)絡安全方案的實現(xiàn)

數(shù)字化圖書館網(wǎng)絡系統(tǒng)是一個大型的數(shù)據(jù)資源系統(tǒng)，其信息量巨大，信息敏感度程度不同，用戶的訪問需求多樣化，使得安全管理非常復雜?；诮巧牟呗韵到y(tǒng)安全控制模型是目前國際上流行的先進的網(wǎng)絡安全管理控制方法［3］。策略網(wǎng)絡以高性能網(wǎng)絡硬件平臺為基礎，設計合理的網(wǎng)絡拓撲提高網(wǎng)絡性能。除基本的網(wǎng)絡路由聯(lián)通之外，還需要設計多種網(wǎng)絡策略下發(fā)網(wǎng)絡接入交換機，開發(fā)適合實際需要的網(wǎng)絡安全認證系統(tǒng)，將用戶角色與網(wǎng)絡訪問策略聯(lián)動，將入侵檢測系統(tǒng)與網(wǎng)絡策略聯(lián)動［4］。對不同的用戶角色采用不同的網(wǎng)絡策略，用戶角色的改變將導致網(wǎng)絡策略的改變;入侵檢測系統(tǒng)實時監(jiān)測用戶的訪問行為，自動識別不正常用戶并通知策略管理器改變用戶的角色，通過策略的改變限制用戶的可訪問權(quán)限，將所有非法的訪問排除在外。主要功能如下:

(1) 制定整個網(wǎng)絡的多種策略，靈活配置每種策略的服務質(zhì)量和訪問控制。

(2) 根據(jù)用戶功能特點劃分多種角色，將角色與網(wǎng)絡策略關聯(lián)。

(3) 采用功能完備的網(wǎng)絡管理軟件，便于管理和監(jiān)控整個網(wǎng)絡。

(4) 開啟網(wǎng)絡認證的功能，對使用網(wǎng)絡的用戶驗證授權(quán)。

(5) 實時監(jiān)控網(wǎng)絡的健康狀況，自動調(diào)整隔離不良的訪問用戶，制止惡意破壞。

2.1 網(wǎng)絡拓撲結(jié)構(gòu)

大連理工圖書館網(wǎng)絡采用兩層結(jié)構(gòu)，核心采用智能萬兆交換機，接入層使用支持端口策略應用交換機。干線使用萬兆光纖連接，到桌面全部為千兆雙絞線連接。各閱覽室設有高性能無線AP，提供讀者的無線接入服務。其它校區(qū)的分館通過教育網(wǎng)以VPN的形式訪問本部圖書館的資源。拓撲圖如圖1所示。

整個圖書館根據(jù)功能區(qū)劃分VLAN，分別為服務器、數(shù)據(jù)庫、業(yè)務、免費檢索、電子閱覽室、無線檢索、VPN等。VLAN劃分如表1:

表1 大連理工大學圖書館VLAN劃分表

整個網(wǎng)絡采用策略路由的機制，內(nèi)部網(wǎng)絡之間的數(shù)據(jù)流動直接通過交換機交換。當內(nèi)部網(wǎng)絡用戶訪問外網(wǎng)地址時，通過代理服務器進行地址轉(zhuǎn)換 (SNAT) 的代理。

2.2 基于角色的策略網(wǎng)絡管理的實現(xiàn)

通過分配和取消角色來完成用戶權(quán)限的授予和取消，并提供角色分配規(guī)則和操作檢查規(guī)則。網(wǎng)絡安全管理人員根據(jù)需要定義各種角色，設置合適的訪問權(quán)限，根據(jù)用戶的責任和資歷將其指派為不同的角色。整個訪問控制過程分成兩個部分，即訪問權(quán)限與角色相關聯(lián)，角色再與用戶關聯(lián)，從而實現(xiàn)了用戶與訪問權(quán)限的邏輯分離，極大地方便了權(quán)限管理。角色可以看成是一個表達訪問控制策略的語義結(jié)構(gòu)，它可以表示承擔特定應用的資格［6］。如圖2所示:

圖2 基于角色的策略原理

由于實現(xiàn)了用戶與訪問權(quán)限的邏輯分離，基于角色的策略同一個物理位置可能會服務于不同應用需要的人員，認證系統(tǒng)驗證用戶身份后，分配一個適合其角色的訪問策略。網(wǎng)絡系統(tǒng)不需要確定用戶的物理位置，而是通過用戶的實際身份來確定訪問策略。

網(wǎng)絡策略管理器是一個圖形化的、操作簡單的策略管理工具，可以對網(wǎng)絡用戶和可用設備服務進行分類，定義每個用戶能夠使用什么服務的規(guī)則，所有的規(guī)則、服務和角色都可以利用的策略配置向?qū)нM行調(diào)整。

目前智能網(wǎng)管交換機都支持策略的管理，其表現(xiàn)形式以ACL的方式來制定網(wǎng)絡訪問的具體內(nèi)容，包括對網(wǎng)絡地址、訪問端口、網(wǎng)絡協(xié)議的篩選。具體的策略規(guī)則可以在交換機上通過命令行的方法定義，但是當策略比較復雜時，對ACL的維護工作比較繁瑣。為了簡化網(wǎng)管的勞動強度，可以通過在網(wǎng)管控制臺利用圖形化界面工具進行ACL的集中管理，然后推送到下方網(wǎng)管接入交換機，最終以交換機配置文件的形式體現(xiàn)在交換機中。例如設置兩個簡單的策略，OPAC圖書檢索策略只是訪問 DNS(IP:202.118.72.61) 和OPAC(IP:202.118.72.80) 服務器，業(yè)務用機只能訪問自動化系統(tǒng)服務器 (IP:192.168.10.3) ，配置文件如下所示:

#set policy profile 1 name″OPAC″pvid － status enable

#set policy profile 2 name″LIBAUTO″pvid － status enable

#set policy rule 1 ipxdest202.118.72.61 forward

#set policy rule 1 ipxdest202.118.72.80 forward

#set policy rule 1 all drop

#set policy rule 2 ipxdest 192.168.10.3 forward

#set policy rule 2 all drop

網(wǎng)絡系統(tǒng)能夠識別連接到網(wǎng)絡上來的任何使用者身份以及終端設備的類型、屬性，識別后根據(jù)事先定義的策略在交換機的端口上啟用相應的權(quán)限。定義每個用戶能夠使用什么服務的規(guī)則，根據(jù)不同的用戶身份和屬性建立不同的角色，賦予不同角色不同的策略，策略中包含了允許或禁止的網(wǎng)絡服務及權(quán)限，在用戶登錄的同時，完成用戶和角色的動態(tài)映射，實現(xiàn)按用戶個性化定制網(wǎng)絡。

2.3 動態(tài)入侵響應與策略網(wǎng)絡聯(lián)動的實現(xiàn)

傳統(tǒng)靜態(tài)的入侵檢測系統(tǒng) (IDS) 缺乏對入侵的處理手段，雖然能感知問題的所在，但不能制止問題的出現(xiàn)［7］。對于已經(jīng)部署了防火墻、包檢測和補丁管理保護系統(tǒng)來說，動態(tài)入侵響應是一個理想的補充。

大連理工圖書館網(wǎng)絡安全管理系統(tǒng)將基于角色的策略網(wǎng)絡和動態(tài)入侵檢測進行聯(lián)動，構(gòu)成了安全的網(wǎng)絡。先由網(wǎng)絡管理員定義網(wǎng)絡策略，針對不同安全事件確定不同的網(wǎng)絡響應。當入侵檢測系統(tǒng)檢測到異常的網(wǎng)絡訪問行為，入侵檢測系統(tǒng)上報網(wǎng)絡安全事件，策略管理器根據(jù)安全事件的類型進行預先定義的響應，直接發(fā)送指令給網(wǎng)絡交換機進行網(wǎng)絡策略的調(diào)整，將識別出來的有安全威脅的用戶進行網(wǎng)絡權(quán)限的降級處理甚至隔離，執(zhí)行預先制定的補救措施。

例如，在圖書館的網(wǎng)絡環(huán)境中，因為某些用戶使用電腦不當，會使電腦感染ARP欺騙木馬，有可能導致整個局域網(wǎng)無法上網(wǎng)，甚至帶來整個網(wǎng)絡的癱瘓。在沒有網(wǎng)絡安全防護措施的情況下，網(wǎng)絡管理員需要通過MAC地址查找感染木馬的電腦，將其隔離查殺木馬病毒之后，才能讓其正常上線。一些有入侵防御措施的網(wǎng)絡系統(tǒng)，雖然可以感知到感染ARP欺騙木馬的計算機，但只能報告給網(wǎng)絡管理員，不能立即阻斷有網(wǎng)絡安全風險的計算機造成的破壞性影響。

采用動態(tài)入侵檢測與策略網(wǎng)絡聯(lián)動的機制，入侵檢測系統(tǒng)能夠檢測出ARP欺騙木馬的安全威脅，識別此種安全事件，報告給策略網(wǎng)絡的自動安全管理器。自動安全管理器利用復雜算法和智能網(wǎng)絡映射，確定異常用戶或設備在網(wǎng)絡當中的精確位置。策略管理工具接收到ARP欺騙木馬安全事件后，自動地發(fā)送策略更改指令，在交換機的接入端口處直接實行ACL的限制指令，及時將異常用戶或故障設備從網(wǎng)絡環(huán)境移走隔離，杜絕感染ARP欺騙木馬計算機對網(wǎng)絡的破壞。ARP欺騙只是木馬病毒的一種，竊聽、重傳、篡改、拒絕服務、行為否認、電子欺騙、非授權(quán)訪問、傳播病毒等等安全事件，在策略管理工具中都可以事先制定相應的策略進行預防和補救。

2.4 用戶身份驗證

采用基于角色策略的網(wǎng)絡安全管理模式，需要用戶在接入網(wǎng)絡時進行身份認證。認證系統(tǒng)對用戶的身份角色進行識別，為其分配相應的策略。標準網(wǎng)絡設備支持標準的802.1x認證協(xié)議，大連理工圖書館采用基于開源的Freeradius部署認證服務器，自主開發(fā)了標準802.1x認證客戶端，方便用戶提交身份識別。

圖書館的無線網(wǎng)絡已經(jīng)基本覆蓋整個圖書館，有相當一部分無線網(wǎng)絡用戶。無線網(wǎng)絡具有設備不固定性，認證客戶端需要安裝的形式不能滿足實際需要。網(wǎng)絡設備提供的PWA認證功能是一種基于Web認證的形式，在接入網(wǎng)絡時自動出現(xiàn)認證界面，用戶通過Web提交自己的身份，認證服務器識別身份后為其分配策略。認證客戶端、PWA認證界面及管理平臺界面如圖3所示。

圖3 認證客戶端及管理平臺

3 結(jié)束語

安全管理是圖書館網(wǎng)絡安全的重要環(huán)節(jié)，也是計算機網(wǎng)絡安全體系結(jié)構(gòu)的基礎性組成部分。通過基于角色的策略管理和動態(tài)入侵響應，規(guī)范組織各項業(yè)務活動，使網(wǎng)絡有序地進行，是獲取安全的重要條件［8］。

網(wǎng)絡安全策略的制定不是短期內(nèi)能完成的，也不僅僅是個人的技術(shù)問題。策略的成功在很大程度上依賴于高層管理者的支持和職員的安全意識，并非單純依賴網(wǎng)絡安全策略的制定過程。威脅改變、脆弱性的改變、業(yè)務需求改變和可得的服務措施變化等等，全部需定期地重新評估，以保證網(wǎng)絡安全策略有效及可行。

［1］黃玉華.對圖書館網(wǎng)絡安全需求的分析［J］.圖書館工作，2005，(1) :17－18.

［2］黃永躍.數(shù)字圖書館的安全防護技術(shù)［J］.現(xiàn)代情報，2005，(3) :97－99.

［3］江小燕.學校辦公自動化的網(wǎng)絡安全管理［J］.信息與電腦:理論版，2010，(5) :85－86.

［4］李荔.淺談網(wǎng)絡安全的技術(shù)與管理［J］.科技信息，2010，(10) :234－234.

［5］王希忠，黃俊強.《網(wǎng)絡安全管理》標準介紹［J］.信息技術(shù)與標準化，2010，(10) :29－32.

［6］高澤毅.淺析計算機網(wǎng)絡安全管理［J］.信息與電腦:理論版，2010，(12) :86－86.

［7］王希忠，段志鳴，黃俊強.淺議網(wǎng)絡架構(gòu)中的安全問題［J］.網(wǎng)絡安全技術(shù)與應用，2014，(2) :91－92.

［8］關雷，王希忠，黃俊強.神經(jīng)網(wǎng)絡在信息系統(tǒng)安全評價中的應用研究［J］.計算機安全，2014，(4) :29－32.