网络教育站点安全性能的改进.doc

网络教育站点安全性能的改进.doc网络教育站点安全性能的改进
摘要: 网络教育站点的安全是网络教育机构组织不得不严肃考虑的问题。除了建立网络安全策略用于指导和规范各网络教育管理人员的网络安全管理职责外,对网络教育站点的安全改进是使站点安全运行的重要方法。本文从服务器主机选择、虚拟网络(VLAN)运用和划分原则、服务器主机和服务器软件的配置、服务器管理等四方面论述了如何对网络教育站点进行安全改进。关键词:VLAN;网络隔离;服务器;安全模式
Abstract The security of provement of the security on the portant phasis of the established strategies for guidance and duty of provements on the security of the ent of servers.
Key on Log Format”和“Extended mon Log Format”,服务器应该配置成能生成两种格式中任意一种格式的日志文件。
⑵. 配置教育站点服务器的辅助网络服务
一般教育站点服务器可同时提供其它的网络服务,如文件传输协议(FTP),gopher协议,电子邮件或按受从客户机来的文件上载等,为增加教育站点服务器的安全性,在确定不需要这些服务的条件下,建议关闭所有的辅助服务
⑷. 配置教育站点服务器的本地或远程管理
利用教育站点主机控制台来管理教育站点,这样可以控制在教育站点服务器(防火墙外)与管理工作站(防火墙内)之间的网络传输,以增加安全性。
但是在许多情况下,教育站点服务器管理不得不从远程进行管理,这时必须要保证:
①.服务器主机有很强的验证用户身份能力,特别要避免传送明文口令,除非这是一个一次性口令。
②.服务器主机只允许从某个特定远程主机进行远程管理
③.在管理主机与服务器之间的网络传输不应有这样的信息,这些信息如果入侵者截获后,可访问到服务器或内部网络。
⑸.确定操作系统提供什么样的访问控制
有些操作系统可以对教育站点服务的远程访问文件加以限制,这些进程可以限制为对某些文件的只读访问,而对一些文件不允许访问。
⑹. 利用文件访问控制来实现:
①. 公用教育站点的内容文件只能读,不能由服务器管理进程来写
②. 存贮教育站点内容的目录不能由服务器管理进程来写
③. 公用教育站点内容文件只能由服务器管理进程来写
④. 教育站点服务器日志文件可由服务器进程写,但不能作为教育站点内容来读
⑤. 教育站点服务器日志文件只能由管理进程读
⑥. 任何由教育站点服务器进程生成的临时文件(如在生成动态页面时所需的临时文件)必须限制在某个特定的子目录下。
⑺. 不允许目录列表服务
按照教育站点协议(http),一个以斜杠结束的URL是请求列出一个目录中的文件。按一般的规则,即使该目录下的所有文件都是准备发布的文件,也不允许服务器对这类请求有响应。这类请求表示试图用非教育站点提供的方法来定位信息,当浏览有困难或链接断裂了,用户就可能企图重新排序。入侵者可用此方法定位那些由教育站点接口隐藏的信息。可以从服务器日志文件中查出这类请求。
⑻.配置服务器使之不能提供指定文件目录数以外文件的服务。
具体的实现可