職業(yè)院校信息化網(wǎng)絡(luò)安全管理

前言：想要寫出一篇引人入勝的文章？我們特意為您整理了職業(yè)院校信息化網(wǎng)絡(luò)安全管理范文，希望能給你帶來靈感和參考，敬請閱讀。

一、引言

職業(yè)院校的信息安全問題對于職業(yè)院校的重要程度不言而喻，而信息化程度越高，一旦發(fā)生安全事件，職業(yè)院?？赡茉馐艿膿p失也就越大。隨著職業(yè)院校信息化技術(shù)的發(fā)展，職業(yè)院校信息化的規(guī)模正變得越來越大，業(yè)務信息系統(tǒng)的集中度也越來越高，特別在云計算技術(shù)被應用之后，計算資源被高度的整合和集中，混合著物理設(shè)備和虛擬機的職業(yè)院校信息化系統(tǒng)的網(wǎng)絡(luò)安全管理的復雜程度不斷提高，這使得傳統(tǒng)的網(wǎng)絡(luò)安全管理方法很難理清信息系統(tǒng)之間的關(guān)系，難以發(fā)現(xiàn)并避免可能存在的安全問題，也難以尋找到有效的網(wǎng)絡(luò)安全設(shè)備部署位置。隨著大數(shù)據(jù)技術(shù)的興起，職業(yè)院校信息化在計算資源被集中整合后，又開始了對數(shù)據(jù)信息的集中整合，這更加劇了職業(yè)院校信息化系統(tǒng)安全管理的重要性，提高了對網(wǎng)絡(luò)數(shù)據(jù)傳輸合法、合規(guī)性的安全審核要求。軟件定義網(wǎng)絡(luò)技術(shù)是一種以軟件定義的方式來管理網(wǎng)絡(luò)中節(jié)點間通信轉(zhuǎn)發(fā)技術(shù)的統(tǒng)稱，將該技術(shù)引入職業(yè)院校信息化網(wǎng)絡(luò)環(huán)境中，能夠有效地讓原本復雜且難以管控的網(wǎng)絡(luò)通信環(huán)境變得清晰可控，從而為網(wǎng)絡(luò)的安全管理提供有力的技術(shù)支撐。本文針對職業(yè)院校信息化在新型網(wǎng)絡(luò)環(huán)境中的網(wǎng)絡(luò)安全管理問題，提出了一種從網(wǎng)絡(luò)控制層面結(jié)合職業(yè)院校業(yè)務模型的有效的網(wǎng)絡(luò)安全管理解決方案。

二、相關(guān)工作

云計算是被認為是繼微型計算機、互聯(lián)網(wǎng)后的第三次IT革命，它不僅是互聯(lián)網(wǎng)技術(shù)發(fā)展、優(yōu)化和組合的結(jié)果，也為整個社會信息化帶來了全新的服務模式。云計算的定義在業(yè)界并未達成共識，不同機構(gòu)賦予云計算不同的定義和內(nèi)涵。其中，美國國家標準與技術(shù)研究院對云計算的定義是被接受和引用最廣泛的。NIST認為，云計算是一個模型，這個模型可以方便地按需訪問一個可配置的計算資源（如網(wǎng)絡(luò)、服務器、存儲設(shè)備、應用程序以及服務）的公共集。這些資源可以在實現(xiàn)管理成本或服務提供商干預最小化的同時被快速提供和。云模型包括了5個基本特征、3個云服務模式、4個云部署模型。從技術(shù)的角度來看，云計算不僅僅是一種新的概念，并行計算和虛擬化也是實現(xiàn)云計算應用的主要技術(shù)手段。由于硬件技術(shù)的快速發(fā)展，使得一臺普通的物理服務器所具有的性能遠遠超過普通的單一用戶對硬件性能的需求。因此，在職業(yè)院校信息化系統(tǒng)的構(gòu)建中，通過虛擬化的手段，將一臺物理服務器虛擬為多臺虛擬機，提供虛擬化服務成了構(gòu)建職業(yè)院校私有云的技術(shù)基礎(chǔ)。軟件定義網(wǎng)絡(luò)是一種新興的控制與轉(zhuǎn)發(fā)分離并直接可編程的網(wǎng)絡(luò)架構(gòu)。傳統(tǒng)網(wǎng)絡(luò)設(shè)備耦合的網(wǎng)絡(luò)架構(gòu)被分拆成應用、控制、轉(zhuǎn)發(fā)三層分離的架構(gòu)。控制功能被轉(zhuǎn)移到服務器之上，上層應用、底層轉(zhuǎn)發(fā)設(shè)施被抽象成多個邏輯實體。該研究來源于斯坦福大學的一個名為CleanSlate的項目，其目的是為了在不受現(xiàn)有互聯(lián)網(wǎng)技術(shù)架構(gòu)的影響下，重新設(shè)計新的網(wǎng)絡(luò)底層實現(xiàn)方案。本文針對新型網(wǎng)絡(luò)環(huán)境下職業(yè)院校信息化過程實際存在的問題，結(jié)合基于SDN的安全防護技術(shù)，提出一種結(jié)合職業(yè)院校網(wǎng)絡(luò)業(yè)務信息流的邏輯關(guān)系的網(wǎng)絡(luò)安全管理方案，并設(shè)計出一種基于可信業(yè)務訪問關(guān)系表的網(wǎng)絡(luò)安全管理系統(tǒng)，使得網(wǎng)絡(luò)安全管理能夠深度結(jié)合職業(yè)院校的真實業(yè)務邏輯，并實現(xiàn)高靈活、細粒度和高性能的網(wǎng)絡(luò)安全管理。

三、新型網(wǎng)絡(luò)環(huán)境下職業(yè)院校信息化面臨的安全挑戰(zhàn)

所謂新型網(wǎng)絡(luò)環(huán)境，主要指使用了虛擬化技術(shù)來構(gòu)建職業(yè)院校信息化系統(tǒng)的網(wǎng)絡(luò)環(huán)境，這里既包括職業(yè)院校私有云的形態(tài)也包括僅適用服務器虛擬化技術(shù)的職業(yè)院校網(wǎng)絡(luò)環(huán)境。在這樣的網(wǎng)絡(luò)環(huán)境中，通常用戶的業(yè)務系統(tǒng)不僅僅存在于虛擬化環(huán)境中，由于信息化系統(tǒng)向虛擬化平臺遷移并不能瞬間完成，因此在真實的應用場景中，往往會存在混合虛擬化環(huán)境和傳統(tǒng)物理網(wǎng)絡(luò)環(huán)境的情況。在這樣復雜的網(wǎng)絡(luò)環(huán)境下，存在以下幾個方面的安全挑戰(zhàn)：

（一）業(yè)務系統(tǒng)間信息流監(jiān)測和梳理困難的問題

梳理清楚業(yè)務系統(tǒng)間的通信關(guān)系，并對業(yè)務系統(tǒng)間信息流提供實時的監(jiān)測功能，對職業(yè)院校信息化環(huán)境實施安全防護方案有著重要作用，是讓安全方案能夠真正理解業(yè)務安全需求的重要步驟之一。但由于職業(yè)院校信息化不斷向著計算系統(tǒng)的高度集中化發(fā)展，大量的業(yè)務主機集中管理在一個大型的網(wǎng)絡(luò)環(huán)境中，如私有云的環(huán)境，使得跟蹤和監(jiān)測系統(tǒng)間的信息流變得非常困難：難以找到合適的監(jiān)測點，并且由于虛擬機和物理主機的數(shù)量龐大，難以把分散在各處的監(jiān)測數(shù)據(jù)整合起來。

（二）業(yè)務系統(tǒng)邏輯網(wǎng)絡(luò)邊界難以界定和隔離的問題

業(yè)務系統(tǒng)在使用虛擬機作為服務器后，傳統(tǒng)的物理網(wǎng)絡(luò)邊界就失去了意義，虛擬機可以在虛擬化環(huán)境中進行漂移。雖然在邏輯上，一個業(yè)務系統(tǒng)仍然是由原先那幾臺服務器構(gòu)成，但這幾臺服務器在物理拓撲位置上卻并不一定在一起，甚至不固定，可能隨著虛擬化環(huán)境資源的調(diào)配而發(fā)生變化，這樣就使得以邊界防護和隔離為管理目標的傳統(tǒng)網(wǎng)絡(luò)安全管理失去了存在的意義，同時也難以對一個業(yè)務系統(tǒng)的邊界實施有效的安全隔離。

（三）安全設(shè)備監(jiān)測負載過大、噪音數(shù)據(jù)過多的問題

在傳統(tǒng)網(wǎng)絡(luò)環(huán)境中，監(jiān)控網(wǎng)絡(luò)流量需要依靠在交換機上對數(shù)據(jù)包的捕獲，再通過安全設(shè)備進行檢測分析。而在虛擬化環(huán)境中，由于無法找到明確的網(wǎng)絡(luò)邊界，因此若想保證不存在安全監(jiān)控的盲區(qū)，往往需要在所有物理交換機或虛擬交換機上進行抓包，以保證所有可能與被監(jiān)控業(yè)務系統(tǒng)的通信流量都能夠被捕獲，這樣就會在捕獲到真正屬于被監(jiān)控業(yè)務系統(tǒng)的通信流量的同時，也抓取到大量的不屬于被監(jiān)控系統(tǒng)和主機的干擾數(shù)據(jù)，從而容易造成用于進行安全檢測和防御的安全設(shè)備接收到過量的負載而導致處理能力和響應速度受到影響，同時大量的噪音數(shù)據(jù)也會影響安全檢測的準確性，易產(chǎn)生大量的誤報警。

四、基于軟件定義網(wǎng)絡(luò)技術(shù)的網(wǎng)絡(luò)安全管理系統(tǒng)

針對上述問題，本文給出了一種基于軟件定義網(wǎng)絡(luò)技術(shù)構(gòu)建的、可與新型職業(yè)院校信息化環(huán)境緊密結(jié)合的網(wǎng)絡(luò)安全管理系統(tǒng)。采用集中式的管理，基于全景式的系統(tǒng)拓撲和業(yè)務關(guān)聯(lián)的相關(guān)知識，能夠有效地對復雜職業(yè)院校信息系統(tǒng)網(wǎng)絡(luò)環(huán)境進行細粒度的信息流梳理和安全管理。為了獲得全景式的系統(tǒng)拓撲，并能夠提高細粒度的網(wǎng)絡(luò)流安全管控能力，需要將軟件定義網(wǎng)絡(luò)的基礎(chǔ)架構(gòu)引入到職業(yè)院校的信息化網(wǎng)絡(luò)環(huán)境中，即需要讓整個網(wǎng)絡(luò)環(huán)境中的軟件交換機和硬件交換機都開啟對Openflow協(xié)議的支持。安全管理系統(tǒng)通過調(diào)用SDN網(wǎng)絡(luò)控制器的北向接口來獲得整個網(wǎng)絡(luò)的拓撲知識，并根據(jù)需求操控業(yè)務系統(tǒng)間的信息流的轉(zhuǎn)發(fā)。在混合了虛擬化（云計算）網(wǎng)絡(luò)環(huán)境和傳統(tǒng)物理網(wǎng)絡(luò)環(huán)境的企業(yè)信息化網(wǎng)絡(luò)環(huán)境中，傳統(tǒng)的物理交換機和虛擬交換機都需要開啟Openflow協(xié)議的支持。傳統(tǒng)物理網(wǎng)絡(luò)仍然以物理局域網(wǎng)的邊界為安全檢測和防護的邊界，并且可以支持以虛擬局域網(wǎng)的方式在虛擬化環(huán)境中使用虛擬機以擴展傳統(tǒng)物理局域網(wǎng)的規(guī)模。為了能夠提供基于業(yè)務的安全管理，我們提出采用業(yè)務流可信表的方式來關(guān)聯(lián)業(yè)務模型與底層的網(wǎng)絡(luò)流安全管控。系統(tǒng)通過提供管配接口，讓安全管理員能夠?qū)ζ渎殬I(yè)院校內(nèi)部的系統(tǒng)進行邏輯邊界的建模，形成以邏輯安全邊界為管理對象的安全管理模型。業(yè)務流可信表則允許用戶以軟件定義的方式定義業(yè)務系統(tǒng)間的可信互訪關(guān)系，包括業(yè)務系統(tǒng)內(nèi)部主機間的相互訪問是否可信，不同業(yè)務系統(tǒng)間的相互訪問是否可信等規(guī)則?；ピL關(guān)系的定義將作為SDN控制器流表的生成規(guī)則，當互訪關(guān)系為可信時，認為是無須監(jiān)測的業(yè)務流，Openflow的流表項上將直接轉(zhuǎn)發(fā)至目的節(jié)點，不在業(yè)務流可信表中的網(wǎng)絡(luò)流量需要根據(jù)對安全設(shè)備的配置轉(zhuǎn)發(fā)到相應的安全設(shè)備接入端口。在整個業(yè)務流的安全管理流程中，安全防護和檢測的工作由專業(yè)的安全設(shè)備完成，這些安全設(shè)備被接入到職業(yè)院校的網(wǎng)絡(luò)環(huán)境中，由安全管理系統(tǒng)統(tǒng)一管理。當用戶創(chuàng)建業(yè)務系統(tǒng)模型后，即可為該業(yè)務系統(tǒng)指定邊界安全防護和檢測設(shè)備，這樣就形成了一套完整的、基于業(yè)務系統(tǒng)邏輯邊界的細粒度安全防護和檢測流程。系統(tǒng)在啟動后，通過虛擬化管控和SDN管控獲得整個網(wǎng)絡(luò)的拓撲信息，以可視化的方式將這些拓撲信息展現(xiàn)出來，并讓用戶在此基礎(chǔ)上進行業(yè)務系統(tǒng)邏輯邊界的建模，即指定哪些虛擬機屬于一個業(yè)務系統(tǒng)?；谝褎?chuàng)好的業(yè)務系統(tǒng)邏輯邊界可在業(yè)務流可信表中指定相互間的可信互訪關(guān)系以及一個業(yè)務系統(tǒng)內(nèi)的主機間的互訪是否可信。通過業(yè)務流可信關(guān)系轉(zhuǎn)換模塊將定義好的表項翻譯為Openflow的轉(zhuǎn)發(fā)規(guī)則，并通過SDN管控下發(fā)到相應的SDN交換機上。通過業(yè)務流可信表對業(yè)務邏輯和網(wǎng)絡(luò)流管控的關(guān)聯(lián)，網(wǎng)絡(luò)安全管理系統(tǒng)能夠?qū)γ總€通過交換機的網(wǎng)絡(luò)流進行監(jiān)控與審計，對于符合業(yè)務流可信表定義的網(wǎng)絡(luò)流直接進行轉(zhuǎn)發(fā)，以減小安全設(shè)備的負載壓力；對于不符合業(yè)務流可信表定義的網(wǎng)絡(luò)流通過SDN的流表轉(zhuǎn)發(fā)功能，將其轉(zhuǎn)發(fā)至接入的物理安全設(shè)備上進行分析和檢測，如對于數(shù)據(jù)庫服務器和web服務器之間的連接關(guān)系認為是可信的，則他們之間的網(wǎng)絡(luò)流將被直接轉(zhuǎn)發(fā)，而外部主機直接對數(shù)據(jù)庫服務器的訪問將被認為不可信而需要被重定向至安全設(shè)備進行檢測。同時系統(tǒng)也通過對業(yè)務流關(guān)系的跟蹤分析提供基于業(yè)務流的安全審計預警能力，從而進一步加強整個系統(tǒng)的安全管理功能。

五、結(jié)論

本文通過分析現(xiàn)有軟件定義網(wǎng)絡(luò)技術(shù)的應用以及職業(yè)院校在新的網(wǎng)絡(luò)環(huán)境下信息化系統(tǒng)所面臨的安全管理問題，提出了一種有效可行的基于業(yè)務系統(tǒng)間可信互訪關(guān)系表的網(wǎng)絡(luò)安全管理模式，利用該方法實現(xiàn)的網(wǎng)絡(luò)安全管理系統(tǒng)能夠在業(yè)務系統(tǒng)級別實現(xiàn)對網(wǎng)絡(luò)流的安全管控，并通過與業(yè)務邏輯的結(jié)合實現(xiàn)更加細粒度和有效的安全管理，并且能夠有效降低安全設(shè)備的計算負載，是一種切實可行的網(wǎng)絡(luò)安全管理方案。

作者：程慶梅 單位：北京信息職業(yè)技術(shù)學院