職業(yè)院校信息化網絡安全管理

前言：想要寫出一篇引人入勝的文章？我們特意為您整理了職業(yè)院校信息化網絡安全管理范文，希望能給你帶來靈感和參考，敬請閱讀。

一、引言

職業(yè)院校的信息安全問題對于職業(yè)院校的重要程度不言而喻，而信息化程度越高，一旦發(fā)生安全事件，職業(yè)院校可能遭受的損失也就越大。隨著職業(yè)院校信息化技術的發(fā)展，職業(yè)院校信息化的規(guī)模正變得越來越大，業(yè)務信息系統(tǒng)的集中度也越來越高，特別在云計算技術被應用之后，計算資源被高度的整合和集中，混合著物理設備和虛擬機的職業(yè)院校信息化系統(tǒng)的網絡安全管理的復雜程度不斷提高，這使得傳統(tǒng)的網絡安全管理方法很難理清信息系統(tǒng)之間的關系，難以發(fā)現(xiàn)并避免可能存在的安全問題，也難以尋找到有效的網絡安全設備部署位置。隨著大數(shù)據(jù)技術的興起，職業(yè)院校信息化在計算資源被集中整合后，又開始了對數(shù)據(jù)信息的集中整合，這更加劇了職業(yè)院校信息化系統(tǒng)安全管理的重要性，提高了對網絡數(shù)據(jù)傳輸合法、合規(guī)性的安全審核要求。軟件定義網絡技術是一種以軟件定義的方式來管理網絡中節(jié)點間通信轉發(fā)技術的統(tǒng)稱，將該技術引入職業(yè)院校信息化網絡環(huán)境中，能夠有效地讓原本復雜且難以管控的網絡通信環(huán)境變得清晰可控，從而為網絡的安全管理提供有力的技術支撐。本文針對職業(yè)院校信息化在新型網絡環(huán)境中的網絡安全管理問題，提出了一種從網絡控制層面結合職業(yè)院校業(yè)務模型的有效的網絡安全管理解決方案。

二、相關工作

云計算是被認為是繼微型計算機、互聯(lián)網后的第三次IT革命，它不僅是互聯(lián)網技術發(fā)展、優(yōu)化和組合的結果，也為整個社會信息化帶來了全新的服務模式。云計算的定義在業(yè)界并未達成共識，不同機構賦予云計算不同的定義和內涵。其中，美國國家標準與技術研究院對云計算的定義是被接受和引用最廣泛的。NIST認為，云計算是一個模型，這個模型可以方便地按需訪問一個可配置的計算資源（如網絡、服務器、存儲設備、應用程序以及服務）的公共集。這些資源可以在實現(xiàn)管理成本或服務提供商干預最小化的同時被快速提供和。云模型包括了5個基本特征、3個云服務模式、4個云部署模型。從技術的角度來看，云計算不僅僅是一種新的概念，并行計算和虛擬化也是實現(xiàn)云計算應用的主要技術手段。由于硬件技術的快速發(fā)展，使得一臺普通的物理服務器所具有的性能遠遠超過普通的單一用戶對硬件性能的需求。因此，在職業(yè)院校信息化系統(tǒng)的構建中，通過虛擬化的手段，將一臺物理服務器虛擬為多臺虛擬機，提供虛擬化服務成了構建職業(yè)院校私有云的技術基礎。軟件定義網絡是一種新興的控制與轉發(fā)分離并直接可編程的網絡架構。傳統(tǒng)網絡設備耦合的網絡架構被分拆成應用、控制、轉發(fā)三層分離的架構?？刂乒δ鼙晦D移到服務器之上，上層應用、底層轉發(fā)設施被抽象成多個邏輯實體。該研究來源于斯坦福大學的一個名為CleanSlate的項目，其目的是為了在不受現(xiàn)有互聯(lián)網技術架構的影響下，重新設計新的網絡底層實現(xiàn)方案。本文針對新型網絡環(huán)境下職業(yè)院校信息化過程實際存在的問題，結合基于SDN的安全防護技術，提出一種結合職業(yè)院校網絡業(yè)務信息流的邏輯關系的網絡安全管理方案，并設計出一種基于可信業(yè)務訪問關系表的網絡安全管理系統(tǒng)，使得網絡安全管理能夠深度結合職業(yè)院校的真實業(yè)務邏輯，并實現(xiàn)高靈活、細粒度和高性能的網絡安全管理。

三、新型網絡環(huán)境下職業(yè)院校信息化面臨的安全挑戰(zhàn)

所謂新型網絡環(huán)境，主要指使用了虛擬化技術來構建職業(yè)院校信息化系統(tǒng)的網絡環(huán)境，這里既包括職業(yè)院校私有云的形態(tài)也包括僅適用服務器虛擬化技術的職業(yè)院校網絡環(huán)境。在這樣的網絡環(huán)境中，通常用戶的業(yè)務系統(tǒng)不僅僅存在于虛擬化環(huán)境中，由于信息化系統(tǒng)向虛擬化平臺遷移并不能瞬間完成，因此在真實的應用場景中，往往會存在混合虛擬化環(huán)境和傳統(tǒng)物理網絡環(huán)境的情況。在這樣復雜的網絡環(huán)境下，存在以下幾個方面的安全挑戰(zhàn)：

（一）業(yè)務系統(tǒng)間信息流監(jiān)測和梳理困難的問題

梳理清楚業(yè)務系統(tǒng)間的通信關系，并對業(yè)務系統(tǒng)間信息流提供實時的監(jiān)測功能，對職業(yè)院校信息化環(huán)境實施安全防護方案有著重要作用，是讓安全方案能夠真正理解業(yè)務安全需求的重要步驟之一。但由于職業(yè)院校信息化不斷向著計算系統(tǒng)的高度集中化發(fā)展，大量的業(yè)務主機集中管理在一個大型的網絡環(huán)境中，如私有云的環(huán)境，使得跟蹤和監(jiān)測系統(tǒng)間的信息流變得非常困難：難以找到合適的監(jiān)測點，并且由于虛擬機和物理主機的數(shù)量龐大，難以把分散在各處的監(jiān)測數(shù)據(jù)整合起來。

（二）業(yè)務系統(tǒng)邏輯網絡邊界難以界定和隔離的問題

業(yè)務系統(tǒng)在使用虛擬機作為服務器后，傳統(tǒng)的物理網絡邊界就失去了意義，虛擬機可以在虛擬化環(huán)境中進行漂移。雖然在邏輯上，一個業(yè)務系統(tǒng)仍然是由原先那幾臺服務器構成，但這幾臺服務器在物理拓撲位置上卻并不一定在一起，甚至不固定，可能隨著虛擬化環(huán)境資源的調配而發(fā)生變化，這樣就使得以邊界防護和隔離為管理目標的傳統(tǒng)網絡安全管理失去了存在的意義，同時也難以對一個業(yè)務系統(tǒng)的邊界實施有效的安全隔離。

（三）安全設備監(jiān)測負載過大、噪音數(shù)據(jù)過多的問題

在傳統(tǒng)網絡環(huán)境中，監(jiān)控網絡流量需要依靠在交換機上對數(shù)據(jù)包的捕獲，再通過安全設備進行檢測分析。而在虛擬化環(huán)境中，由于無法找到明確的網絡邊界，因此若想保證不存在安全監(jiān)控的盲區(qū)，往往需要在所有物理交換機或虛擬交換機上進行抓包，以保證所有可能與被監(jiān)控業(yè)務系統(tǒng)的通信流量都能夠被捕獲，這樣就會在捕獲到真正屬于被監(jiān)控業(yè)務系統(tǒng)的通信流量的同時，也抓取到大量的不屬于被監(jiān)控系統(tǒng)和主機的干擾數(shù)據(jù)，從而容易造成用于進行安全檢測和防御的安全設備接收到過量的負載而導致處理能力和響應速度受到影響，同時大量的噪音數(shù)據(jù)也會影響安全檢測的準確性，易產生大量的誤報警。

四、基于軟件定義網絡技術的網絡安全管理系統(tǒng)

針對上述問題，本文給出了一種基于軟件定義網絡技術構建的、可與新型職業(yè)院校信息化環(huán)境緊密結合的網絡安全管理系統(tǒng)。采用集中式的管理，基于全景式的系統(tǒng)拓撲和業(yè)務關聯(lián)的相關知識，能夠有效地對復雜職業(yè)院校信息系統(tǒng)網絡環(huán)境進行細粒度的信息流梳理和安全管理。為了獲得全景式的系統(tǒng)拓撲，并能夠提高細粒度的網絡流安全管控能力，需要將軟件定義網絡的基礎架構引入到職業(yè)院校的信息化網絡環(huán)境中，即需要讓整個網絡環(huán)境中的軟件交換機和硬件交換機都開啟對Openflow協(xié)議的支持。安全管理系統(tǒng)通過調用SDN網絡控制器的北向接口來獲得整個網絡的拓撲知識，并根據(jù)需求操控業(yè)務系統(tǒng)間的信息流的轉發(fā)。在混合了虛擬化（云計算）網絡環(huán)境和傳統(tǒng)物理網絡環(huán)境的企業(yè)信息化網絡環(huán)境中，傳統(tǒng)的物理交換機和虛擬交換機都需要開啟Openflow協(xié)議的支持。傳統(tǒng)物理網絡仍然以物理局域網的邊界為安全檢測和防護的邊界，并且可以支持以虛擬局域網的方式在虛擬化環(huán)境中使用虛擬機以擴展傳統(tǒng)物理局域網的規(guī)模。為了能夠提供基于業(yè)務的安全管理，我們提出采用業(yè)務流可信表的方式來關聯(lián)業(yè)務模型與底層的網絡流安全管控。系統(tǒng)通過提供管配接口，讓安全管理員能夠對其職業(yè)院校內部的系統(tǒng)進行邏輯邊界的建模，形成以邏輯安全邊界為管理對象的安全管理模型。業(yè)務流可信表則允許用戶以軟件定義的方式定義業(yè)務系統(tǒng)間的可信互訪關系，包括業(yè)務系統(tǒng)內部主機間的相互訪問是否可信，不同業(yè)務系統(tǒng)間的相互訪問是否可信等規(guī)則?；ピL關系的定義將作為SDN控制器流表的生成規(guī)則，當互訪關系為可信時，認為是無須監(jiān)測的業(yè)務流，Openflow的流表項上將直接轉發(fā)至目的節(jié)點，不在業(yè)務流可信表中的網絡流量需要根據(jù)對安全設備的配置轉發(fā)到相應的安全設備接入端口。在整個業(yè)務流的安全管理流程中，安全防護和檢測的工作由專業(yè)的安全設備完成，這些安全設備被接入到職業(yè)院校的網絡環(huán)境中，由安全管理系統(tǒng)統(tǒng)一管理。當用戶創(chuàng)建業(yè)務系統(tǒng)模型后，即可為該業(yè)務系統(tǒng)指定邊界安全防護和檢測設備，這樣就形成了一套完整的、基于業(yè)務系統(tǒng)邏輯邊界的細粒度安全防護和檢測流程。系統(tǒng)在啟動后，通過虛擬化管控和SDN管控獲得整個網絡的拓撲信息，以可視化的方式將這些拓撲信息展現(xiàn)出來，并讓用戶在此基礎上進行業(yè)務系統(tǒng)邏輯邊界的建模，即指定哪些虛擬機屬于一個業(yè)務系統(tǒng)?；谝褎?chuàng)好的業(yè)務系統(tǒng)邏輯邊界可在業(yè)務流可信表中指定相互間的可信互訪關系以及一個業(yè)務系統(tǒng)內的主機間的互訪是否可信。通過業(yè)務流可信關系轉換模塊將定義好的表項翻譯為Openflow的轉發(fā)規(guī)則，并通過SDN管控下發(fā)到相應的SDN交換機上。通過業(yè)務流可信表對業(yè)務邏輯和網絡流管控的關聯(lián)，網絡安全管理系統(tǒng)能夠對每個通過交換機的網絡流進行監(jiān)控與審計，對于符合業(yè)務流可信表定義的網絡流直接進行轉發(fā)，以減小安全設備的負載壓力；對于不符合業(yè)務流可信表定義的網絡流通過SDN的流表轉發(fā)功能，將其轉發(fā)至接入的物理安全設備上進行分析和檢測，如對于數(shù)據(jù)庫服務器和web服務器之間的連接關系認為是可信的，則他們之間的網絡流將被直接轉發(fā)，而外部主機直接對數(shù)據(jù)庫服務器的訪問將被認為不可信而需要被重定向至安全設備進行檢測。同時系統(tǒng)也通過對業(yè)務流關系的跟蹤分析提供基于業(yè)務流的安全審計預警能力，從而進一步加強整個系統(tǒng)的安全管理功能。

五、結論

本文通過分析現(xiàn)有軟件定義網絡技術的應用以及職業(yè)院校在新的網絡環(huán)境下信息化系統(tǒng)所面臨的安全管理問題，提出了一種有效可行的基于業(yè)務系統(tǒng)間可信互訪關系表的網絡安全管理模式，利用該方法實現(xiàn)的網絡安全管理系統(tǒng)能夠在業(yè)務系統(tǒng)級別實現(xiàn)對網絡流的安全管控，并通過與業(yè)務邏輯的結合實現(xiàn)更加細粒度和有效的安全管理，并且能夠有效降低安全設備的計算負載，是一種切實可行的網絡安全管理方案。

作者：程慶梅 單位：北京信息職業(yè)技術學院