网络教育站点的安全是网络教育机构组织不得不严厉考虑的问题。除了建立网络安全策略用于指导和规范各网络教育治理人员的网络安全治理职责外，对网络教育站点的安全改进是使站点安全运行的重要方法。本文从服务器主机选择、虚拟网络(VLAN)运用和划分原则、服务器主机和服务器软件的配置、服务器治理等四方面论述了如何对网络教育站点进行安全改进。
1 教育站点服务器主机的选择 在选择教育站点服务器主机时，除了考虑诸如功能、性能和价格等因素外，更重要的要考虑安全需求，服务器很多，但它们的安全性能是不一样的，要使教育站点具有安全性就必须选择满足安全需求的服务器，网络教育站点的安全需求一般包括: ⑴较小的易受攻击性 ⑵只能由授权用户进行治理的限制能力 ⑶拒绝访问服务器中没有发布的信息的能力 ⑷关闭操作系统或服务器软件中不必要的网络服务的能力 ⑸访问各种外部可执行程序(如CGI scripts、服务器plug-ins)的可控能力 ⑹为侦测入侵或企图入侵，记录教育站点服务器活动的能力 2 教育网络分段及虚拟网络(VLAN)运用和划分原则 对局域网来说，网络分段和VLAN的运用是保证教育网络安全的有效措施。 2.1 教育网络分段改善安全性能。 教育网络分段是保证安全的一项重要措施，同时也是一项基本措施，其指导思想在于将非法用户与网络资源相互隔离，从而达到限制用户非法访问的目的。教育网络分段可分为物理分段和逻辑分段两种方式: 物理分段通常是指将网络从物理层和数据链路层(ISO/OSI模型中的第一层和第二层)上分为若干网段,各网段相互之间无法直接通讯。目前，许多交换机都有一定的访问控制能力，可实现对网络的物理分段。 逻辑分段则是指将整个系统在网络层(ISO/OSI模型中的第三层)上进行分段。例如，对于TCP/IP网络，可把网络分成若干IP子网，各子网间必须通过路由器、路由交换机、网关或防火墙等设备进行连接，利用这些中间设备(含软件、硬件)的安全机制来控制各自网间的访问。在实际应用过程中可采取物理分段与逻辑分段相结合的方法来实现对网络系统的安全性能控制。 2.2 运用VLAN改变安全性能 以太网从本质基于广播机制，但应用了交换和VLAN技术后，实际上转变为点到点通讯，除非设置了监听口，信息交换也不会存在监听和插入(改变)问题。 由以上运行机制带来的网络安全的好处是显而易见的: 信息只到达应该到达的地点。因此、防止了大部分基于网络监听的入侵手段。 通过虚拟网设置的访问控制，使在虚拟网外的网络节点不能直接访问虚拟网内节点。 2.3 VLAN 之间的划分原则 VLAN 的划分方式的目的是保证系统的安全性。因此，可以按照系统的安全性来划分VLAN;可以将主要的服务器系统单独划分作一个VLAN，如数据库服务器、电子邮件服务器等。也可以按照教育机构、对象的设置来划分VLAN，如可以按照教育机构服务器治理员所在的网络单独作为一个leader VLAN(LVLAN)，其它层次的分别作为另一个或几个VLAN，并且控制LVLAN与其他VLAN之间的单向信息流向，即答应LVLAN查看其他VLAN的相关信息，其他VLAN不能访问LVLAN的信息。VLAN之内的连接采用交换实现，VLAN 与VLAN之间采用路由实现。 3 服务器主机和服务器软件的配置 3.1 教育站点服务器与内部网络隔离 公用服务器主机是一个供公众访问的计算机，无论主机及其应用软件配置的如何好，总会有人发现新的入侵点，入侵者可以观察或捕捉到内部主机之间的网络通信，也可能进入内部主机，获得更具体的信息，为此需要把服务器主机与内部网络隔离。 3.2 在一个更安全的主机上维持一个可靠的教育站点内容拷贝。 当服务器上的信息完整性受到破坏时，需要一个可信赖的拷贝来恢复.建议把一个可靠的信息拷贝存贮于与服务器主机隔离的更安全的主机上(即放在网络防火墙内的内部网络上)，并且除了教育站点治理员可以访问这个拷贝外，其它用户(无论是内部还是外部的)都不能访问拷贝。 3.3 教育站点服务器主机只提供基本的网络服务 现代的计算机具有可提供多种服务和应用的功能，假如多项服务和应用同时在一台主机上提供，会使主机的安全性能减弱，为此，应该按以下方法来配置教育站点服务器: ⑴.尽可能多地关掉服务和应用，然后有选择地打开那些基本的教育服务; ⑵.确定你打算支持教育服务器的功能(如CGI脚本); ⑶.假如有其它的方法提供同样功能，选择更安全的方法; ⑷.一旦最少的教育服务和应用确定后，确保它们在主机上是可用的; ⑸.当所有配置选项确定后，为要害系统软件生成并记录加密校验或其它完整校验信息。
3.4 配置教育站点服务器，增加安全性 由于不同的机构组织对公用站点的需求是不一样的，因此服务器软件已提供了各种软件配置选项以满足不同站点的需求.省缺的配置设定可能是对“典型”站点的最优设定，当然这是销售商想象的最优化，一般是基于性能需求或轻易安装来设定的.但在安装教育站点服务器软件时，必须认真仔细地按安全需求配置服务器. ⑴.配置教育站点服务器日志能力 教育站点服务器日志文件记录着服务器对每一请求的响应行为信息，分析这些日志可以得到有用的用户信息和安全信息.目前有许多日志文件分析工具，大部分可对两种标准日志文件格式进行分析，这两种格式是“Common Log Format”和“Extended Common Log Format” ，服务器应该配置成能生成两种格式中任意一种格式的日志文件。 ⑵. 配置教育站点服务器的辅助网络服务 一般教育站点服务器可同时提供其它的网络服务，如文件传输协议(FTP)，gopher协议，电子邮件或按受从客户机来的文件上载等，为增加教育站点服务器的安全性，在确定不需要这些服务的条件下,建议关闭所有的辅助服务 ⑷. 配置教育站点服务器的本地或远程治理 利用教育站点主机控制台来治理教育站点，这样可以控制在教育站点服务器(防火墙外)与治理工作站(防火墙内)之间的网络传输，以增加安全性。 但是在许多情况下，教育站点服务器治理不得不从远程进行治理，这时必须要保证: ①.服务器主机有很强的验证用户身份能力，非凡要避免传送明文口令，除非这是一个一次性口令。 ②.服务器主机只答应从某个特定远程主机进行远程治理 ③.在治理主机与服务器之间的网络传输不应有这样的信息，这些信息假如入侵者截获后，可访问到服务器或内部网络。 ⑸.确定操作系统提供什么样的访问控制 有些操作系统可以对教育站点服务的远程访问文件加以限制，这些进程可以限制为对某些文件的只读访问，而对一些文件不答应访问。 ⑹ . 利用文件访问控制来实现: ①. 公用教育站点的内容文件只能读，不能由服务器治理进程来写 ②. 存贮教育站点内容的目录不能由服务器治理进程来写 ③. 公用教育站点内容文件只能由服务器治理进程来写 ④. 教育站点服务器日志文件可由服务器进程写，但不能作为教育站点内容来读 ⑤. 教育站点服务器日志文件只能由治理进程读 ⑥. 任何由教育站点服务器进程生成的临时文件(如在生成动态页面时所需的临时文件)必须限制在某个特定的子目录下。 ⑺. 不答应目录列表服务 按照教育站点协议(http)，一个以斜杠结束的URL是请求列出一个目录中的文件。按一般的规则，即使该目录下的所有文件都是预备发布的文件，也不答应服务器对这类请求有响应。这类请求表示试图用非教育站点提供的方法来定位信息，当浏览有困难或链接断裂了，用户就可能企图重新排序。入侵者可用此方法定位那些由教育站点接口隐藏的信息。可以从服务器日志文件中查出这类请求。 ⑻.配置服务器使之不能提供指定文件目录数以外文件的服务。 具体的实现可以通过服务器软件本身的配置选择，也可以通过操作系统选择。必须避免在文件目录树中使用链接或别名，因为它指出了服务器主机或网络中的其它文件。 ⑼. 确保服务器日志文件或配置文件不能作为公用教育站点内容文件。 日志文件应该存贮在服务器主机上，而不是传送到内部网络的另一台主机上，同样，服务器配置文件或参考文件也应保持在服务器主机上。 利用服务器配置选项和操作系统访问控制，确保这些文件不能传送给用户，即使用户知道这些文件的名字(URLs)。假如可能，把这些文件放在公用数据目录树以外的地方。 ⑽. 当所有的的配置选择完成好后，要为服务器软件生成一个密码校验或其它的完整检验基准信息。 4 网络教育站点服务器治理 表1 日志文件的信息活动类型日志包含的信息用户活动·登记活动·用户身份改变·用户访问文件·授权信息·验证信息处理活动·用户运行的命令·运行进程信息，包括程序名、用户、开始和停止时间、以及执行参数系统活动·系统的启动和关闭·治理登录网络连接·试图与系统连接、已经与系统连接的细节（时间、地点、类型）·从系统建立连接的细节网络通讯监控·所有网络通讯事务的记录WEB服务活动·远程主机名或IP地址、·请求的日期和时间·请求成功与否的回答码·用户的远程登录名
4.1 用安全模式治理教育站点服务器 教育站点服务器治理包括为服务器增加新内容，检查服务器日志，安装新的外部程序以及改变服务器配置等等。这些治理可以在服务器控制台上完成，也可以通过网络在另一主机上来治理，无论从哪里来管，一定要确保其安全性，非凡是以远程主机治理服务器时，安全更加重要。 ⑴.当选用远程主机来治理教育站点服务器时，应选用安全的方式来治理 ①.教育站点服务器主机应有很强的用户身份验证功能，要避免使用明文形式传输密码口令。 ②.教育站点服务器从某一特定主机进行治理，主机的验证不依靠于网络解析信息，如IP地址或DNS名等。 ③.在治理员主机与服务器之间的网络传输过程中，不应给入侵者提供访问服务器或内部网络的信息。 ⑵.假如答应，可使用活动存贮介质把教育站点的内容拷贝到教育站点服务器上。 ⑶ .当需要在另一台主机上检查服务器的日志文件时，要用安全方法把日志文件传送到那台主机上。 ⑷.当服务器的配置或站点内容改变后，要生成一个新的加密校验或其它的完整校验信息。 4.2 检查目录和文件有无意外的改变 网络环境中的文件系统包括了大量软件和数据文件，目录和文件的意外改变，非凡是那些访问受到限制的目录和文件的意外改变，表明发生了某种入侵。入侵者为了隐藏他们在系统中的存在，通常用相同功能的程序替换系统的原有程序并修改日志文件，或在系统中生成新的文件。所以，利用检查系统的目录和文件的更改信息的方法，可尽早发现入侵。 ⑴. 为系统文件建立优先级和检查时间表。 ⑵. 对要害文件和目录一个权威参考数据，这些数据包括: ·在文件系统中的位置 ·可选择的路径 ·文件的内容、目录的入口 ·实际长度、如可能还应有分配的单元 ·文件和目录生成和最后修改的时间、日期 ·所属权和访问许可设定 ⑶. 按照建立的计划，用权威参考数据比较文件的属性和内容，查验目录和文件的完整性。 ⑷.查验丢失的文件或目录 ⑸.查验任何新的文件和目录 ⑹.调查已发现的任何意外改变的原因 4.3 检查系统和网络日志 日志文件记录了系统和网络中发生的异常和意外活动，入侵者经常在日志文件中留下了其活动的足迹，因此定期地检查系统和网络日志是发现入侵者的方法之一。日志文件依操作系统、运行的应用软件和配置的不同而不同，表1给出了典型的日志文件包含的信息。 表2 异常或意外的活动 日志类型异常或意外活动用户活动·连续登录失败·从一个意外的地点登录·在某一异常的时间登录·异常地企图改变用户标识·用户运行的异常进程·未经授权企图访问受限文件进程活动·在意外的时间内运行的进程·过早中止的进程·异常的进程系统活动·意外的关机·意外的再启动网络连接·与或从异常的接点连接·连续的连接失败·在异常的时间进行的连接·意外的网络通信（如：与你的防火墙配置相反，或意外的通信量）网络通讯监控·扫描各种服务的网络地址空间，表明企图识别你的网络和服务器主机·连续地半打开连接（表明企图IP欺骗或服务活动拒绝）·成功地连接到网络主机的异常服务·起源于你的网络外部的事务，而其目标也是网络的外部（表明该通信不应该横穿你的网络）·连续地连接某个特定服务，表明有人企图运用网络探测工具来对付你的网络系统WEB服务器活动·连续企图滥用服务器（表明有人想破坏站点）·引起拒绝服务的大量活动（注重远程主机名或5 结束语 假如网络教育站点不能很好地设置和治理，将使网络教育机构组织受到各种安全问题的困扰，使自身的网络教育机构组织处于非常窘迫的处境。公用网络教育站点也是入侵者入侵教育站点机构组织内部网络的入口，通过它使得机构组织的重要信息泄露，使网络教育机构组织的数据蒙受巨大的损失，所以如何改进公用网络教育站点的安全，对网络教育站点进行安全有效地维护和治理，是网络教育系统安全正常运行的要害。 网络教育站点服务器主机选择、教育网络分段及VLAN的运用、教育站点服务器主机和服务器软件的配置、服务器治理是提高教育站点安全的有效方法。只有加强教育站点服务器治理，才能使教育站点始终处于安全状态。 参 考 文 献 1 (美) Christian Huitema 著. 陶文星译. 因特网路由技术. 北京:清华大学出版社,1998 2(美)TERE PARNELL 著. 张侃，赵粮等译. 广域网建立与治理指南. 北京:机械工业出版社,1998 3(美)LEONID BRAGINSKI，MATTHEW POWELL 著，北京华中兴业科技发展有限公司 译. Microsoft Internet Information server 4.0 使用大全.北京:人民邮电出版社，1998
4 Microsoft 著. 曹康，曹锋，李珍明 译. 网络服务器的技术支持. 北京:学苑出版社，1994 5 方亚隽，詹建梁 编著. Windows NT 联网技术. 北京:清华大学出版社，1996
