職業(yè)院校信息化網(wǎng)絡(luò )安全管理優(yōu)秀論文
一、引言
職業(yè)院校的信息安全問(wèn)題對于職業(yè)院校的重要程度不言而喻，而信息化程度越高，一旦發(fā)生安全事件，職業(yè)院�？赡茉馐艿膿p失也就越大。隨著(zhù)職業(yè)院校信息化技術(shù)的發(fā)展，職業(yè)院校信息化的規模正變得越來(lái)越大，業(yè)務(wù)信息系統的集中度也越來(lái)越高，特別在云計算技術(shù)被應用之后，計算資源被高度的整合和集中，混合著(zhù)物理設備和虛擬機的職業(yè)院校信息化系統的網(wǎng)絡(luò )安全管理的復雜程度不斷提高，這使得傳統的網(wǎng)絡(luò )安全管理方法很難理清信息系統之間的關(guān)系，難以發(fā)現并避免可能存在的安全問(wèn)題，也難以尋找到有效的網(wǎng)絡(luò )安全設備部署位置。隨著(zhù)大數據技術(shù)的興起，職業(yè)院校信息化在計算資源被集中整合后，又開(kāi)始了對數據信息的集中整合，這更加劇了職業(yè)院校信息化系統安全管理的重要性，提高了對網(wǎng)絡(luò )數據傳輸合法、合規性的安全審核要求。軟件定義網(wǎng)絡(luò )技術(shù)是一種以軟件定義的方式來(lái)管理網(wǎng)絡(luò )中節點(diǎn)間通信轉發(fā)技術(shù)的統稱(chēng)，將該技術(shù)引入職業(yè)院校信息化網(wǎng)絡(luò )環(huán)境中，能夠有效地讓原本復雜且難以管控的網(wǎng)絡(luò )通信環(huán)境變得清晰可控，從而為網(wǎng)絡(luò )的安全管理提供有力的技術(shù)支撐。本文針對職業(yè)院校信息化在新型網(wǎng)絡(luò )環(huán)境中的網(wǎng)絡(luò )安全管理問(wèn)題，提出了一種從網(wǎng)絡(luò )控制層面結合職業(yè)院校業(yè)務(wù)模型的有效的網(wǎng)絡(luò )安全管理解決方案。
二、相關(guān)工作
云計算是被認為是繼微型計算機、互聯(lián)網(wǎng)后的第三次IT革命，它不僅是互聯(lián)網(wǎng)技術(shù)發(fā)展、優(yōu)化和組合的結果，也為整個(gè)社會(huì )信息化帶來(lái)了全新的服務(wù)模式。云計算的定義在業(yè)界并未達成共識，不同機構賦予云計算不同的定義和內涵。其中，美國國家標準與技術(shù)研究院對云計算的定義是被接受和引用最廣泛的。NIST認為，云計算是一個(gè)模型，這個(gè)模型可以方便地按需訪(fǎng)問(wèn)一個(gè)可配置的計算資源（如網(wǎng)絡(luò )、服務(wù)器、存儲設備、應用程序以及服務(wù)）的公共集。這些資源可以在實(shí)現管理成本或服務(wù)提供商干預最小化的同時(shí)被快速提供和發(fā)布。云模型包括了5個(gè)基本特征、3個(gè)云服務(wù)模式、4個(gè)云部署模型。從技術(shù)的角度來(lái)看，云計算不僅僅是一種新的概念，并行計算和虛擬化也是實(shí)現云計算應用的主要技術(shù)手段。由于硬件技術(shù)的快速發(fā)展，使得一臺普通的物理服務(wù)器所具有的性能遠遠超過(guò)普通的單一用戶(hù)對硬件性能的需求。因此，在職業(yè)院校信息化系統的構建中，通過(guò)虛擬化的手段，將一臺物理服務(wù)器虛擬為多臺虛擬機，提供虛擬化服務(wù)成了構建職業(yè)院校私有云的技術(shù)基礎。軟件定義網(wǎng)絡(luò )是一種新興的控制與轉發(fā)分離并直接可編程的網(wǎng)絡(luò )架構。傳統網(wǎng)絡(luò )設備耦合的網(wǎng)絡(luò )架構被分拆成應用、控制、轉發(fā)三層分離的架構�？刂乒δ鼙晦D移到服務(wù)器之上，上層應用、底層轉發(fā)設施被抽象成多個(gè)邏輯實(shí)體。該研究來(lái)源于斯坦福大學(xué)的一個(gè)名為CleanSlate的項目，其目的是為了在不受現有互聯(lián)網(wǎng)技術(shù)架構的影響下，重新設計新的網(wǎng)絡(luò )底層實(shí)現方案。本文針對新型網(wǎng)絡(luò )環(huán)境下職業(yè)院校信息化過(guò)程實(shí)際存在的問(wèn)題，結合基于SDN的安全防護技術(shù)，提出一種結合職業(yè)院校網(wǎng)絡(luò )業(yè)務(wù)信息流的邏輯關(guān)系的網(wǎng)絡(luò )安全管理方案，并設計出一種基于可信業(yè)務(wù)訪(fǎng)問(wèn)關(guān)系表的網(wǎng)絡(luò )安全管理系統，使得網(wǎng)絡(luò )安全管理能夠深度結合職業(yè)院校的真實(shí)業(yè)務(wù)邏輯，并實(shí)現高靈活、細粒度和高性能的網(wǎng)絡(luò )安全管理。
三、新型網(wǎng)絡(luò )環(huán)境下職業(yè)院校信息化面臨的安全挑戰
所謂新型網(wǎng)絡(luò )環(huán)境，主要指使用了虛擬化技術(shù)來(lái)構建職業(yè)院校信息化系統的網(wǎng)絡(luò )環(huán)境，這里既包括職業(yè)院校私有云的形態(tài)也包括僅適用服務(wù)器虛擬化技術(shù)的職業(yè)院校網(wǎng)絡(luò )環(huán)境。在這樣的網(wǎng)絡(luò )環(huán)境中，通常用戶(hù)的業(yè)務(wù)系統不僅僅存在于虛擬化環(huán)境中，由于信息化系統向虛擬化平臺遷移并不能瞬間完成，因此在真實(shí)的應用場(chǎng)景中，往往會(huì )存在混合虛擬化環(huán)境和傳統物理網(wǎng)絡(luò )環(huán)境的情況。在這樣復雜的網(wǎng)絡(luò )環(huán)境下，存在以下幾個(gè)方面的安全挑戰：
�。ㄒ唬I(yè)務(wù)系統間信息流監測和梳理困難的問(wèn)題
梳理清楚業(yè)務(wù)系統間的通信關(guān)系，并對業(yè)務(wù)系統間信息流提供實(shí)時(shí)的監測功能，對職業(yè)院校信息化環(huán)境實(shí)施安全防護方案有著(zhù)重要作用，是讓安全方案能夠真正理解業(yè)務(wù)安全需求的重要步驟之一。但由于職業(yè)院校信息化不斷向著(zhù)計算系統的高度集中化發(fā)展，大量的業(yè)務(wù)主機集中管理在一個(gè)大型的網(wǎng)絡(luò )環(huán)境中，如私有云的環(huán)境，使得跟蹤和監測系統間的信息流變得非常困難：難以找到合適的監測點(diǎn)，并且由于虛擬機和物理主機的數量龐大，難以把分散在各處的監測數據整合起來(lái)。
�。ǘI(yè)務(wù)系統邏輯網(wǎng)絡(luò )邊界難以界定和隔離的問(wèn)題
業(yè)務(wù)系統在使用虛擬機作為服務(wù)器后，傳統的物理網(wǎng)絡(luò )邊界就失去了意義，虛擬機可以在虛擬化環(huán)境中進(jìn)行漂移。雖然在邏輯上，一個(gè)業(yè)務(wù)系統仍然是由原先那幾臺服務(wù)器構成，但這幾臺服務(wù)器在物理拓撲位置上卻并不一定在一起，甚至不固定，可能隨著(zhù)虛擬化環(huán)境資源的調配而發(fā)生變化，這樣就使得以邊界防護和隔離為管理目標的傳統網(wǎng)絡(luò )安全管理失去了存在的意義，同時(shí)也難以對一個(gè)業(yè)務(wù)系統的邊界實(shí)施有效的安全隔離。
�。ㄈ┌踩O備監測負載過(guò)大、噪音數據過(guò)多的問(wèn)題
在傳統網(wǎng)絡(luò )環(huán)境中，監控網(wǎng)絡(luò )流量需要依靠在交換機上對數據包的捕獲，再通過(guò)安全設備進(jìn)行檢測分析。而在虛擬化環(huán)境中，由于無(wú)法找到明確的網(wǎng)絡(luò )邊界，因此若想保證不存在安全監控的盲區，往往需要在所有物理交換機或虛擬交換機上進(jìn)行抓包，以保證所有可能與被監控業(yè)務(wù)系統的通信流量都能夠被捕獲，這樣就會(huì )在捕獲到真正屬于被監控業(yè)務(wù)系統的通信流量的同時(shí)，也抓取到大量的不屬于被監控系統和主機的干擾數據，從而容易造成用于進(jìn)行安全檢測和防御的安全設備接收到過(guò)量的負載而導致處理能力和響應速度受到影響，同時(shí)大量的噪音數據也會(huì )影響安全檢測的準確性，易產(chǎn)生大量的誤報警。
四、基于軟件定義網(wǎng)絡(luò )技術(shù)的網(wǎng)絡(luò )安全管理系統
針對上述問(wèn)題，本文給出了一種基于軟件定義網(wǎng)絡(luò )技術(shù)構建的、可與新型職業(yè)院校信息化環(huán)境緊密結合的網(wǎng)絡(luò )安全管理系統。采用集中式的管理，基于全景式的系統拓撲和業(yè)務(wù)關(guān)聯(lián)的相關(guān)知識，能夠有效地對復雜職業(yè)院校信息系統網(wǎng)絡(luò )環(huán)境進(jìn)行細粒度的信息流梳理和安全管理。為了獲得全景式的系統拓撲，并能夠提高細粒度的網(wǎng)絡(luò )流安全管控能力，需要將軟件定義網(wǎng)絡(luò )的基礎架構引入到職業(yè)院校的信息化網(wǎng)絡(luò )環(huán)境中，即需要讓整個(gè)網(wǎng)絡(luò )環(huán)境中的軟件交換機和硬件交換機都開(kāi)啟對Openflow協(xié)議的支持。安全管理系統通過(guò)調用SDN網(wǎng)絡(luò )控制器的北向接口來(lái)獲得整個(gè)網(wǎng)絡(luò )的拓撲知識，并根據需求操控業(yè)務(wù)系統間的信息流的轉發(fā)。在混合了虛擬化（云計算）網(wǎng)絡(luò )環(huán)境和傳統物理網(wǎng)絡(luò )環(huán)境的企業(yè)信息化網(wǎng)絡(luò )環(huán)境中，傳統的物理交換機和虛擬交換機都需要開(kāi)啟Openflow協(xié)議的支持。傳統物理網(wǎng)絡(luò )仍然以物理局域網(wǎng)的邊界為安全檢測和防護的邊界，并且可以支持以虛擬局域網(wǎng)的方式在虛擬化環(huán)境中使用虛擬機以擴展傳統物理局域網(wǎng)的規模。為了能夠提供基于業(yè)務(wù)的安全管理，我們提出采用業(yè)務(wù)流可信表的方式來(lái)關(guān)聯(lián)業(yè)務(wù)模型與底層的網(wǎng)絡(luò )流安全管控。系統通過(guò)提供管配接口，讓安全管理員能夠對其職業(yè)院校內部的系統進(jìn)行邏輯邊界的建模，形成以邏輯安全邊界為管理對象的安全管理模型。業(yè)務(wù)流可信表則允許用戶(hù)以軟件定義的方式定義業(yè)務(wù)系統間的可信互訪(fǎng)關(guān)系，包括業(yè)務(wù)系統內部主機間的相互訪(fǎng)問(wèn)是否可信，不同業(yè)務(wù)系統間的相互訪(fǎng)問(wèn)是否可信等規則�；ピL(fǎng)關(guān)系的定義將作為SDN控制器流表的生成規則，當互訪(fǎng)關(guān)系為可信時(shí)，認為是無(wú)須監測的業(yè)務(wù)流，Openflow的流表項上將直接轉發(fā)至目的節點(diǎn)，不在業(yè)務(wù)流可信表中的網(wǎng)絡(luò )流量需要根據對安全設備的配置轉發(fā)到相應的安全設備接入端口。在整個(gè)業(yè)務(wù)流的安全管理流程中，安全防護和檢測的工作由專(zhuān)業(yè)的安全設備完成，這些安全設備被接入到職業(yè)院校的網(wǎng)絡(luò )環(huán)境中，由安全管理系統統一管理。當用戶(hù)創(chuàng )建業(yè)務(wù)系統模型后，即可為該業(yè)務(wù)系統指定邊界安全防護和檢測設備，這樣就形成了一套完整的、基于業(yè)務(wù)系統邏輯邊界的細粒度安全防護和檢測流程。系統在啟動(dòng)后，通過(guò)虛擬化管控代理和SDN管控代理獲得整個(gè)網(wǎng)絡(luò )的拓撲信息，以可視化的方式將這些拓撲信息展現出來(lái)，并讓用戶(hù)在此基礎上進(jìn)行業(yè)務(wù)系統邏輯邊界的建模，即指定哪些虛擬機屬于一個(gè)業(yè)務(wù)系統�；谝褎�(chuàng )好的業(yè)務(wù)系統邏輯邊界可在業(yè)務(wù)流可信表中指定相互間的可信互訪(fǎng)關(guān)系以及一個(gè)業(yè)務(wù)系統內的主機間的互訪(fǎng)是否可信。通過(guò)業(yè)務(wù)流可信關(guān)系轉換模塊將定義好的表項翻譯為Openflow的轉發(fā)規則，并通過(guò)SDN管控代理下發(fā)到相應的SDN交換機上。通過(guò)業(yè)務(wù)流可信表對業(yè)務(wù)邏輯和網(wǎng)絡(luò )流管控的關(guān)聯(lián)，網(wǎng)絡(luò )安全管理系統能夠對每個(gè)通過(guò)交換機的網(wǎng)絡(luò )流進(jìn)行監控與審計，對于符合業(yè)務(wù)流可信表定義的網(wǎng)絡(luò )流直接進(jìn)行轉發(fā)，以減小安全設備的負載壓力；對于不符合業(yè)務(wù)流可信表定義的網(wǎng)絡(luò )流通過(guò)SDN的流表轉發(fā)功能，將其轉發(fā)至接入的物理安全設備上進(jìn)行分析和檢測，如對于數據庫服務(wù)器和web服務(wù)器之間的連接關(guān)系認為是可信的，則他們之間的網(wǎng)絡(luò )流將被直接轉發(fā)，而外部主機直接對數據庫服務(wù)器的訪(fǎng)問(wèn)將被認為不可信而需要被重定向至安全設備進(jìn)行檢測。同時(shí)系統也通過(guò)對業(yè)務(wù)流關(guān)系的跟蹤分析提供基于業(yè)務(wù)流的安全審計預警能力，從而進(jìn)一步加強整個(gè)系統的安全管理功能。
五、結論
本文通過(guò)分析現有軟件定義網(wǎng)絡(luò )技術(shù)的應用以及職業(yè)院校在新的網(wǎng)絡(luò )環(huán)境下信息化系統所面臨的安全管理問(wèn)題，提出了一種有效可行的基于業(yè)務(wù)系統間可信互訪(fǎng)關(guān)系表的網(wǎng)絡(luò )安全管理模式，利用該方法實(shí)現的網(wǎng)絡(luò )安全管理系統能夠在業(yè)務(wù)系統級別實(shí)現對網(wǎng)絡(luò )流的安全管控，并通過(guò)與業(yè)務(wù)邏輯的結合實(shí)現更加細粒度和有效的安全管理，并且能夠有效降低安全設備的計算負載，是一種切實(shí)可行的網(wǎng)絡(luò )安全管理方案。
【職業(yè)院校信息化網(wǎng)絡(luò )安全管理優(yōu)秀論文】相關(guān)文章：
信息化管理方案02-21
網(wǎng)絡(luò )安全管理方案03-11
信息化管理培訓心得09-28
學(xué)校網(wǎng)絡(luò )安全管理方案03-29
企業(yè)財稅信息化管理的應用模式10-01
網(wǎng)絡(luò )安全管理個(gè)人簡(jiǎn)歷12-07
信息化管理工作總結11-13
數學(xué)建模優(yōu)秀論文11-16