随着Internet 在全球的日趋普及，计算机网络己经深入军事、教育、政府、商业等各行各业，成为社会重要的基础设施。如果计算机网络的正常运行受到威胁，将会影响人们的学习、工作和生活。
高等教育和科研机构是互联网诞生的摇篮，也是各种网络技术最早的应用环境。全国各国的高等教育都是最早建设和利用互联网技术的行业之一。高校校园网最先应用最先进的网络技术，网络应用普及率也很高，同时用户群密度比较活跃，然后校园网由于自身的特点也是安全问题比较突出的地方。
校园网络安全是指校自网信息系统和信息资源不受自然和人为有害因素的威胁和危害。广义的校园网网络包括实体安全、运行安全、数据安全、软件安全和通信安全等。其中实体安全主要是指校园网硬件设备和通信线路的安全，其威胁来自自然和人为危害等因素。信息安全包括数据安全和软件安全，其威胁主要来自信息破坏和信息泄漏。狭义的校园网网络安全是指校园网网络的信息安全以及凡是涉及到网络上信息的保密性、完整性、可用性、真实性、可控性的相关技术和理论。
目前，对校自网网络安全构成威胁的因素很多，归结起来有以下凡点:
1.对网络硬件设备的破坏
这种威胁是目前校园网中比较常见的安全威胁，主要表现为对校园网络线路的破坏，例如施工不慎挖断线路、室内装修剪短线路、网络交换设备的损坏。
2. 窃取和干扰网络传输媒介上承载的信号
这种威胁主要是以窃听和干扰正常通信为目的的，主要表现方式有:校园网内一些恶意用户在局域网内介入非法终端或在传输线路上非法安装接收/转发设备，对网络传输媒介上的电磁信号进行屏蔽、窃听和分析，对其传播进行人为干扰。
3. 对邮件服务器进行攻击
恶意用户利用校园网内邮件服务器系统的缺陷攻击邮件服务器，而常见的邮件服务器缺乏有效的邮件过滤机制和邮件转发限制机制。对邮件服务器进行的攻击的常见方式有:一类是中继攻击，即远程攻击邮件服务器向外发送邮件。另一类攻击是垃圾邮件，通过大量发送垃圾邮件，造成邮件服务器阻塞，增大校园网流量，甚至系统崩愤。
4. 针对应用服务器的攻击
校园网中较易受到攻击的应用服务器是DNS 服务器、Web 应用服务器。对DNS 服务器的攻击有缓存区中毒、域劫持、域传送等。对Web 服务器的攻击更是十分多样。最常见的就是口令入侵，由于校园网的管理人员来说缺乏一定的安全意识和相关的安全知识，在很多情况下会使用软件中默认的用户名和密码，这样就为口令入侵提供了可能性:Web 服务器存在SQL 注入和文件上传漏洞导致服务器上信息泄露和主机被控。
5. 管理者和使用者的威胁
严格的管理是校园网安全的重要措施。实际上，很多学校都属于这方面的管理，对网络的管理疏忽大意，对网络安全的保护不够重视，这些都是校园网安全所需要面临的问题。除了管理者之外，还有学生的因素。由于校园网主要是防御外部的攻击，在校园网的内部主要是为学生们提供服务的，在内部的防护则较为的薄弱。但是对于具有较高的黑客能力的学生，他们可能更加方便地入侵到校园网的管理内网中，如果这些学生在校园网的内网中安装了木马或者是配置了后门程序，那么对于校团网的管理者来说，也是很难发现的。
以上都是目前高校校园网中普遍存在的弊病。但是对于一个具体的高校的校园网，它所面临的实际的安全威胁还要具体的分析。相应地，校园网安全系统的设计和实现也会有所不同。下面~某校园网为例来具体说明校园网安全系统的设计问题。
该校园网络安全系统的建设必须立足于全校系统整体网络安全。安全设计方案要求立足于学校对校园网络平台建设的统一要求，从学校整体网络安全需求考虑，制定一套网络安全的整体设计方案，包括基本安全如网络防火墙、防病毒等，需要制定有关的网络安全的管理制度，安全策略等。该网络系统应建成一个以宽带技术为基础、提供多层次服务、支持多媒体应用的信息服务网络。从结构上看，其网络结构应该包括三个层次:核心层、汇聚层、接入层。接入层:主要功能是为最终用户既过网络接入。汇聚层:是网络接入层和核心层之间的分界点。核心层:核心层的主要目的是尽可能快地交接数据。主要是用来提供交换区块间的连接、提供到其他区块的访问。总体来说，需要建设一个高速、高效的网控中心，提供多种网络功能服务和安全服务，主要负责业务信息数据服务器网络、业务网的完善与安全运行管理、网控中心设备的运行维护:赋值内部局域网、办公楼局域网的运行管理和维护:负责对外提供网络介入相关业务等。
图6-3 是一个典型的校园网的网络体系结构示意图。从图中可以看出，校园网的网络体系结构包括校园网的网络边界设备，核心及骨干设备，网络介入层设备，网络服务提供设备和这些设备的连接方式以及该结构采用的协议和技术。该校园网络一般有边界路由器，高性能的核心路由机，各分布的三层路由交换机，大量的二崖可阿管接入交换机以及接入认证系统、防火墙、IDS 、内容过滤系统、流量分析系统、网络设备管理系统等网络硬件设备。

根据上面网络体系结构的设计思想和校园网络所遇到的网络安全成胁，校园网络需要组合必要的安全设备和安全服务来构建网络安全系统，提供路由安全、路由过滤、防火墙、IDS ， VPN、电子邮件安全、Web 安全等。
1.路由安全
具有一个安全路由体系结构的网络与一个路由结构设计拙劣的网络相比，前者更不容易受攻击，不易出现维漏。设计适当的路由基础结构还能够帮助网络在遭受攻击期间降低故障时间。
2. 路由过滤
适当的路由过滤对于任{可实现良好的网络都是重要的。在校园网中，确保路由过滤用于过滤那些进入校园网的假的和不受欢迎的路白，并且确保只有真正包含在内部网络上的路由才能允许通过。路由过滤也用于隐藏某一块网络。阿时，通过配备适当的防火墙和其他认证机制，路由过滤也能够阻挡从安全性较低的网络区到安全性高的网络区的访问。常见的路由设置方案有静态路由和路由认证。但是这两者的使用均有一定的局限性。所以很多时候，不能使用单一的路由方法来用作路由过滤，要结合多种路由设置方法。同时还不能将路由过滤作为网络安全的单一手段。
3. 防火墙设置
设置防火墙并正确配置防火墙都很重要i 在校园网中，防火墙的设置应该需要满足
以下原则。
(1)防火墙应该尽可能设置在网络最终出口和入口的校园网边界。这样专用网络中最大数量的设备能够受到防火墙的保护，间时也有助于校园网和公用网络保持分明的界眼。
(2) 除了将防火墙设置在网络入口点之外，某些情况可能也需要将防火墙设置在校园网内部。比如校匮网中的财务处服务器、图书馆网段或教务处服务器所在的网段都需要设置防火墙。这些服务器都需要被保护议避免网络中的其他用户访问。
(3)在多数情况下，防火墙不应该与其他的网络设备，比如路由器并行设置。这样可能导致防火墙被旁路。同时，我们也需要避免在网络拓扑中加入任何可能导致防火墙被旁路的设备。随着防火墙技术的发展，防火墙又有了新的特性可以进一步增强我们的网络安全，比如过滤SYN 泛洪、ICMP 泛洪、E 欺骗等网络攻击。利用防火墙的配置，能够限制每个用户的连接数甚至根据部分应用层服务特性阻脐比如电驴、BT 等P2P 应用或限制带宽，这为保证HTTP 之类的应用提供了重要安全保障和带宽保障。
4. 虚拟专用隔。TPN)的设置
虚拟专用网VPN 综合了传统数据网络的性能优点和共享数据网络结构的优点，能够进行远程访问，连接内部网和外部网，同时价格低廉。在降低成本的同时还能保证对网络带宽接入和服务不断增加的需求。利用VPN 特性在Internet 上组建世界范围的内部虚拟网。利用Internet 的线路保证网络的互联性，利用隧道、加密等VPN 特性可以保证信息在整个内部虚拟网上的安全传输。内部虚拟网通过一个使用专有连接的共享基础设施连接各校旺，使它们拥有与专用网络相同的服务，包括安全、服务质量、可管理性和可靠性。并且，如果使用扩展的虚拟专用网，能够很容易地外部网进行部署和管理，学生计算机可以通过学生专用许可连接至校园网内部，通过这种方式可以有效地对校园网进行安全管理。所以，通过VPN 的方式不仅可以连接学校的各个分校区，同时还可以将校园网的各种服务延伸至校园外供老师、学生使用。
5. 电子邮件服务器安全
电子邮件是校园网中最难管理和维护的系统之一。随着用户不断增多，邮件系统所面临的安全问题日益增多，例如垃圾邮件、中继利用等。所以校自网安全的电子邮件系统必须能够有效地消除垃圾邮件、病毒邮件、部分网络入侵。作为一个安全的电子邮件系统应该具备~下功能t 系统本身具有较强的稳定性和可靠性;应具有与防病毒系统集成的病毒邮件查杀、处理能力:具有灵活的垃圾邮件防范机制:具有严格的发信认证机制和反邮件中继功能，从市避免本身成为垃圾邮件和病毒邮件的发送源。一个安全的邮件服务器一般会具有邮件传输代理、邮件过滤器和邮件分发代理。邮件传输代理需要具有较高的健壮性，即使在重负荷之下仍然可以工作。同时还需要具有良好的安全性，最好是具有多层防御结构，能够有效地抵御恶意入侵者。最好是可以运行在较假的权限之下，不可以通过网络访问与安全相关的本地应用程序。
6. DDoS 防御
在校园网中最常见的DDoS 的攻击方式通常是利用系统的漏橱，恶意占用大量的CPU 资源和内存资源，导致受害主机系统服务性能下降甚至造成系统瘫痪。由于DDoS攻击的复杂性，很难依靠某种单一的系统或产品防御DDoS 的攻击。通常情况下，在校自网内防御DDoS 攻击能力的措施有以下凡种:高性能的硬件设备抵抗DoS 甚至DDoS攻击:充足的网络带宽和系统优化:安装专业的抗DDoS 防火墙。
7. 身份认证
如今的数字化校园通常包括了自动化办公、财务信息系统、教务管理、图书馆系统、电子邮件系统、就业管理系统等应用，其中都需要进行身份的认证并且对不同身份所拥有的角色进行授权，而校园网就常常需要面对各种应用系统在用户管理过程中的分散管理的问题。解决这个问题的有效方法就是采用统一、集中管理用户访问极限的认证系统。通过建立一个统一身份认证平台，将校园网中用户登录系统的基本验证信息统一存储、统一管理，对应用系统进行统一授权，这样就可以为不同应用系统提供用户管理服务。校园阿统一身份认证系统，将用户信息资源统一保存到认证服务器中，保证了信息资源的稳定、可靠、安全。使用统一的认证系统提供的接口连接服务，系统就可以很好地支持基于平台的各种应用系统的调用，简单易实现。同时，各应用系统只需保留角色和权限控制，用户和角色的管理由应用系统自行管理，从而简化了应用系统中用户管理模块的建设和后期维护。
8. 病毒防范和补丁服务
在学校网络中心配置一台高效的服务器，安装一个网络版杀毒软件系统中心，负责管理校自肉内所有主机网点的计算机，然后在各主机结点分别安装网络版杀毒软件的客户端。同时为了安全和管理起见，管理员需要对网络中心的杀毒软件进行定期的更新。而杀毒软件的选择自前在市场上也有很多的产品。具体选择什么样的产品还需要根据学校具体'情况而定。与此同时，还需要注意的是封锁系统安全漏洞。在校园网的管理过程中，要及时下载和安装各种补丁、更新程序、升级操作系统，封锁系统安全漏擂。这样对于保护网络和信息系统的安全有很大的帮助，可以有效地防止一些攻击者利用操作系统或各种应用软件的漏洞对校园网资源进行非法访问和恶意篡改。
9. IDS 的设置
不同于防火墙， IDS 入侵检测系统是一个监听设备，主要是对流量进行基于网络特征、协议分析以及流量异常等方式的检测，并对检测到的异常和攻击事件记录到攻击数据库中，并且可以和其他的交换机、防火墙配合使用进行整体防御。因此，一般都是将IDS 部署在关键流量流经的链路上。这里的关键流量一般指的是，来自高危网络区域的访问流量和需要进行监视的流量。鉴于目前大部分的网络区域是交换式网络结构，所以IDS 在交换机网络中的位置是选择以下的地方，服务器区域的交换机上、Intemet 介入路由器之后的第一台交换机上、重点保护网段的局域网交换机上。一个典型的IDS 的部署方案如图6-4 所示。在部署了IDS 系统之后， IDS 能够实时分析校园网外部以及校园网内部的数据通信信息，分辨入侵攻击，在校园网网络系统收到危害前以各种方式发出警报，并且及时对网络入侵采取相应措施，最大限度保护校园系统的安全。通过多级、分布式的网络监测、管理、控制机制， IDS 能够有效对校园网中的关键资源进行控制和危险预警。
10. WAF
防火墙主要是防范校园网外部的攻击，但是如果要有效地保证校屈网网站站点的安全性，就需要使用到WAF 技术。WAF 是Web Application Firewall 的简称，中文翻译为Web 应用防火墙。WAF 是一种网页监控与恢复系统，基于对HTTPIHTTPS 流量的双向分析，对网站页面进仔实时监控。要在系统中部署井且利用好WAF 需要进行一系列的步骤和操作。首先，要在校园网站Web 服务器启动监控端服务，两站这时就会处在网页被保护监控保护状态。其次是网页保护设置、监控管理的工作。在控制端登录控制台，连接监控端主机进行设置，进行用户管理，添加或删除监控的目标文件或吕录，设置备份服务器。管理员平时要注意日志文件的观察。对日志文件的分析可以即使发现安全薄弱点和已被入侵的站点，并且完整的网站日志在出现网络安全事件后可能也是因溯追踪的重要线索。

综合考虑了以上所分析的网络安全的标准、技术、机构以及该校园网网络建设的实际现状，再加上校园网网络建设的网络安全部署方案。最终该校园网的网络拓扑图如图6δ 所示。

通过以高校校园网的网络安全建设为例，从网络安全所存在的安全威胁的各个方面对目前校园网存在的安全威胁进行了分析，同时以网络安全体系结构为核心，以网络安全的设计原则作为准则，对校自网进行了网络安全的设计，从十个方面来对校园网的网络安全进行了安全部署。通过目前的网络安全设计，能够有效地解决目前校自网所面临的j问题。但是，安全防范体系的建立不是一劳永逸的，校园网络自身的情况不断变化，新的安全问题不断涌现，必须根据情况的变化和现有体系中暴露出的一些问题，不断地对此体系进行及时的维护和更新，保证肉络安全体系的良性发展，确保它的有效性和先进性。同时，利用漏洞扫描其不定期的检查整个网络、主机和服务的安全缺陷和安全漏洞，及时打补丁，更新安全策略。