校园网络安全实施方案

第一篇：校园网络安全实施方案

校园网络安全实施方案

校园网网络是一个分层次的拓扑结构，因此网络的安全防护也需采用分层次的拓扑防护措施。即一个完整的校园网网络信息安全解决方案应该覆盖网络的各个层次，并且与安全管理相结合。

一、网络信息安全系统设计原则

· 1.1满足Internet分级管理需求

· 1.2需求、风险、代价平衡的原则

· 1.3综合性、整体性原则

· 1.4可用性原则

· 1.5分步实施原则

目前，对于新建网络及已投入运行的网络，必须尽快解决网络的安全保密问题，设计时应遵循如下思想：

（1）大幅度地提高系统的安全性和保密性；（2）保持网络原有的性能特点，即对网络的协议和传输具有很好的透明性；（3）易于操作、维护，并便于自动化管理，而不增加或少增加附加操作；

（4）尽量不影响原网络拓扑结构，便于系统及系统功能的扩展；

（5）安全保密系统具有较好的性能价格比，一次性投资，可以长期使用；

（6）安全与密码产品具有合法性，并便于安全管理单位与密码管理单位的检查与监督。

基于上述思想，网络信息安全系统应遵循如下设计原则：

满足因特网的分级管理需求

根据Internet网络规模大、用户众多的特点，对Internet/Intranet信息安全实施分级管理的解决方案，将对它的控制点分为三级实施安全管理。

--第一级：中心级网络，主要实现内外网隔离；内外网用户的访问控制；内部网的监控；内部网传输数据的备份与稽查。

--第二级：部门级，主要实现内部网与外部网用户的访问控制；同级部门间的访问控制；部门网内部的安全审计。

--第三级：终端/个人用户级，实现部门网内部主机的访问控制；数据库及终端信息资源的安全保护。

需求、风险、代价平衡的原则

对任一网络，绝对安全难以达到，也不一定是必要的。对一个网络进行实际额研究（包括任务、性能、结构、可靠性、可维护性等），并对网络面临的威胁及可能承担的风险进行定性与定量相结合的分析，然后制定规范和措施，确定本系统的安全策略。

综合性、整体性原则

应用系统工程的观点、方法，分析网络的安全及具体措施。安全措施主要包括：行政法律手段、各种管理制度（人员审查、工作流程、维护保障制度等）以及专业措施（识别技术、存取控制、密码、低辐射、容错、防病毒、采用高安全产品等）。一个较好的安全措施往往是多种方法适当综合的应用结果。一个计算机网络，包括个人、设备、软件、数据等。这些环节在网络中的地位和影响作用，也只有从系统综合整体的角度去看待、分析，才能取得有效、可行的措施。即计算机网络安全应遵循整体安全性原则，根据规定的安全策略制定出合理的网络安全体系结构。

可用性原则

安全措施需要人为去完成，如果措施过于复杂，要求过高，本身就降低了安全性，如密钥管理就有类似的问题。其次，措施的采用不能影响系统的正常运行，如不采用或少采用极大地降低运行速度的密码算法。

分步实施原则：分级管理 分步实施

由于网络系统及其应用扩展范围广阔，随着网络规模的扩大及应用的增加，网络脆弱性也会不断增加。一劳永逸地解决网络安全问题是不现实的。同时由于实施信息安全措施需相当的费用支出。因此分步实施，即可满足网络系统及信息安全的基本需求，亦可节省费用开支。

二、网络信息安全系统设计步骤

网络安全需求分析

确立合理的目标基线和安全策略

明确准备付出的代价

制定可行的技术方案

工程实施方案（产品的选购与定制）

制定配套的法规、条例和管理办法

本方案主要从网络安全需求上进行分析，并基于网络层次结构，提出不同层次与安全强度的校园网网络信息安全解决方案。

三、网络安全需求

确切了解校园网网络信息系统需要解决哪些安全问题是建立合理安全需求的基础。一般来讲，校园网网络信息系统需要解决如下安全问题：

局域网LAN内部的安全问题，包括网段的划分以及VLAN的实现

在连接Internet时，如何在网络层实现安全性

应用系统如何保证安全性 l 如何防止黑客对网络、主机、服务器等的入侵

如何实现广域网信息传输的安全保密性

加密系统如何布置，包括建立证书管理中心、应用系统集成加密等

如何实现远程访问的安全性

如何评价网络系统的整体安全性

基于这些安全问题的提出，网络信息系统一般应包括如下安全机制：访问控制、安全检测、攻击监控、加密通信、认证、隐藏网络内部信息（如NAT）等。

四、网络安全层次及安全措施

4.1链路安全

4.2网络安全

4.3信息安全

网络的安全层次分为:链路安全、网络安全、信息安全

网络的安全层次及在相应层次上采取的安全措施见下表。

信息安全 信息传输安全（动态安全）数据加密 数据完整性鉴别 安全管理

信息存储安全（静态安全）数据库安全 终端安全

信息的防泄密 信息内容审计

用户 鉴别 授权（CA）

网络安全 访问控制（防火墙)网络安全检测 入侵检测（监控)IPSEC（IP安全）审计分析

链路安全 链路加密

4.1链路安全

链路安全保护措施主要是链路加密设备，如各种链路加密机。它对所有用户数据一起加密，用户数据通过通信线路送到另一节点后立即解密。加密后的数据不能进行路由交换。因此，在加密后的数据不需要进行路由交换的情况下，如DDN直通专线用户就可以选择路由加密设备。

一般，线路加密产品主要用于电话网、DDN、专线、卫星点对点通信环境，它包括异步线路密码机和同步线路密码机。异步线路密码机主要用于电话网，同步线路密码机则可用于许多专线环境。

4．2网络安全

网络的安全问题主要是由网络的开放性、无边界性、自由性造成的，所以我们考虑校园网信息网络的安全首先应该考虑把被保护的网络由开放的、无边界的网络环境中独立出来，成为可管理、可控制的安全的内部网络。也只有做到这一点，实现信息网络的安全才有可能，而最基本的分隔手段就是防火墙。利用防火墙，可以实现内部网（信任网络）与外部不可信任网络（如因特网）之间或是内部网不同网络安全域的隔离与访问控制，保证网络系统及网络服务的可用性。

目前市场上成熟的防火墙主要有如下几类，一类是包过滤型防火墙，一类是应用代理型防火墙，还有一类是复合型防火墙，即包过滤与应用代理型防火墙的结合。包过滤防火墙通常基于IP数据包的源或目标IP地址、协议类型、协议端口号等对数据流进行过滤，包过滤防火墙比其它模式的防火墙有着更高的网络性能和更好的应用程序透明性。代理型防火墙作用在应用层，一般可以对多种应用协议进行代理，并对用户身份进行鉴别，并提供比较详细的日志和审计信息；其缺点是对每种应用协议都需提供相应的代理程序，并且基于代理的防火墙常常会使网络性能明显下降。应指出的是，在网络安全问题日益突出的今天，防火墙技术发展迅速，目前一些领先防火墙厂商已将很多网络边缘功能及网管功能集成到防火墙当中，这些功能有：VPN功能、计费功能、流量统计与控制功能、监控功能、NAT功能等等。

信息系统是动态发展变化的，确定的安全策略与选择合适的防火墙产品只是一个良好的开端，但它只能解决60%－80%的安全问题，其余的安全问题仍有待解决。这些问题包括信息系统高智能主动性威胁、后续安全策略与响应的弱化、系统的配置错误、对安全风险的感知程度低、动态变化的应用环境充满弱点等，这些都是对信息系统安全的挑战。

信息系统的安全应该是一个动态的发展过程，应该是一种检测──监视──安全响应的循环过程。动态发展是系统安全的规律。网络安全风险评估和入侵监测产品正是实现这一目标的必不可少的环节。

网络安全检测是对网络进行风险评估的重要措施，通过使用网络安全性分析系统，可以及时发现网络系统中最薄弱的环节，检查报告系统存在的弱点、漏洞与不安全配置，建议补救措施和安全策略，达到增强网络安全性的目的。

入侵检测系统是实时网络违规自动识别和响应系统。它位于有敏感数据需要保护的网络上或网络上任何有风险存在的地方，通过实时截获网络数据流，能够识别、记录入侵和破坏性代码流，寻找网络违规模式和未授权的网络访问尝试。当发现网络违规模式和未授权的网络访问时，入侵检测系统能够根据系统安全策略做出反应，包括实时报警、事件登录，自动阻断通信连接或执行用户自定义的安全策略等。

另外，使用IP信道加密技术（IPSEC）也可以在两个网络结点之间建立透明的安全加密信道。其中利用IP认证头（IP AH）可以提供认证与数据完整性机制。利用IP封装净载（IP ESP）可以实现通信内容的保密。IP信道加密技术的优点是对应用透明，可以提供主机到主机的安全服务，并通过建立安全的IP隧道实现虚拟专网即VPN。目前基于IPSEC的安全产品主要有网络加密机，另外，有些防火墙也提供相同功能。

五、校园网网络安全解决方案

5.1 基本防护体系（包过滤防火墙＋NAT＋计费）

用户需求：全部或部分满足以下各项 · 解决内外网络边界安全，防止外部攻击，保护内部网络

· 解决内部网安全问题，隔离内部不同网段，建立VLAN · 根据IP地址、协议类型、端口进行过滤

· 内外网络采用两套IP地址，需要网络地址转换NAT功能

· 支持安全服务器网络SSN

· 通过IP地址与MAC地址对应防止IP欺骗

· 基于IP地址计费

· 基于IP地址的流量统计与限制

· 基于IP地址的黑白名单。

· 防火墙运行在安全操作系统之上

· 防火墙为独立硬件

· 防火墙无IP地址

解决方案：选用宝信的 eCop XSA3000

5.2 标准防护体系（包过滤防火墙＋NAT＋计费＋代理＋VPN）

用户需求：在基本防护体系配置的基础之上，全部或部分满足以下各项 · 提供应用代理服务，隔离内外网络

· 用户身份鉴别

· 权限控制

· 基于用户计费

· 基于用户的流量统计与控制

· 基于WEB的安全管理

· 支持VPN及其管理

· 支持透明接入

· 具有自身保护能力，防范对防火墙的常见攻击

解决方案：

（1）选用宝信的 eCop XSA3000

（2）防火墙基本配置＋网络加密机（IP协议加密机）

5.3 强化防护体系（包过滤＋NAT＋计费＋代理＋VPN＋网络安全检测＋ 监控）

用户需求：在标准防护体系配置的基础之上，全部或部分满足以下各项

· 网络安全性检测（包括服务器、防火墙、主机及其它TCP/IP相关设备）

· 操作系统安全性检测

· 网络监控与入侵检测

解决方案：选用宝信的 eCop XSA3000＋网络安全分析系统＋网络监控器

第二篇：校园网络安全责任书

XXX中学校园网络安全责任书

围绕总目标，落实总目标，为安全使用计算机，保护校园网络系统的安全，保证校园网络的正常运行，促进我校教育教学，提高教育教学质量，制定本责任书。

一、不得利用网络从事危害国家安全、泄露国家机密等犯罪活动，不制作、查阅、复制、传播有碍社会治安和违反社会公德的信息；

二、不得利用网络干扰其他网络用户、破坏网络服务、网络信息和网络设备等，不散布计算机病毒、不向他人发送恶意的、挑衅性的信息。

三、增强网络安全意识，不使用盗版或来路不明的软件，不将有安全隐患的计算机接入校园网，各教师必须按学校分配的IP地址上网使用，任何人不得更改IP及网络设置，不得盗用IP地址及计算机名称。

四、每台计算机上必须安装防病毒软件，各教研组、办公室要切实做好防病毒措施，随时注意杀毒软件是否开启，及时在线升级杀毒软件并及时杀毒。

五、不得在校园网上玩电子游戏，不得传阅有政治问题和淫秽色情内容的信息；不得利用微信、QQ、微博等软件传播危害民族团结、社会稳定、国家安全的信息。

任何人不得查阅、复制或传播下列信息：

（1）煽动分裂国家、破坏国家统一和民族团结、推翻社会主义制度；

（2）煽动抗拒、破坏宪法和国家法律、行政法规的实施；（3）捏造或者歪曲事实，故意散布谣言，扰乱社会秩序；（4）公然侮辱他人或者捏造事实诽谤他人；

（5）宣扬封建迷信、淫秽、色情、暴力、凶杀、恐怖等。

六、所有上网用户必须遵守国家有关法律、法规，严格执行安全保密制度，并对所提供的信息负责。任何办公室和个人不得利用联网计算机从事危害校园网及本地局域网服务器的活动。

七、使用网络的全体教职员工必须向学校法人和有关学校领导报告违法行为和有害信息。

八、不得在校园网内使用来历不明、引发病毒传染的软件或文件；对于外来光盘、优盘上的文件应使用合格的杀毒软件进行检查、杀毒。

九、不得未经允许使用各种各样的WIFI设备。

十、责任人应妥善保管所使用的计算机，并对该机所发出的任何信息及浏览内容负责。

十一、对于违反本管理规定造成不良后果，将给予相应的党纪、政纪处分，情节严重的，移交司法部门处理。

教职工签字：

网络管理员签字：

校长签字：

书记签字：

XXX中学（盖章）2017年3月10日

第三篇：校园网络安全知识

校园网络安全知识

常见的几种网络安全问题

1.陷入网络游戏中欲罢不能，玩了第一级，就想玩到第二级、第三级……玩者在游戏过程中为了获得荣誉、自尊，不惜出卖友谊、信誉，对同伴欺骗、讹诈甚至施暴。

2.玩游戏不仅花费他们所有的业余时间，而且一旦上瘾就很难控制自己甚至不想上学，经常旷课、逃学，成绩下降，导致退学。

3.网络还隐藏着其它陷阱。网上聊天交友是学生喜欢的“节目”，但在虚拟环境下交网友比现实生活中要更加警惕，以防上当受骗。

4.过度使用互联网，使自身的社会功能、工作、学习和生活等方面受到严重的影响和损害。长时间的上网会造成不愿与外界交往，行为孤僻，丧失了正常的人际关系。

上网要警惕哪些心理健康问题

1.计算机依赖成瘾。使用者没有任何明确目的，不可抑制地长时间操作计算机或上网浏览网页、玩游戏等，几乎每天上网5-6个小时，常熬夜上网，网瘾日益严重。

2.网络交际成瘾。在现实生活中不愿和人直接交往，不合群，沉默寡言，但喜欢网络交际，经常上网聊天或通过其他网络交流方式与人交流思想情感，一天不上网交际就浑身不舒服。

3.网络色情成瘾。上网者迷恋网上的所有色情音乐、图片以及影像等。有专家指出每周花费11小时以上用来漫游色情网站的人，就有色情成瘾的嫌疑。4.强迫信息收集成瘾。这包括强迫性地从网上收集无用的、无关紧要的或者不迫切需要的信息。

5.游戏成瘾。包括不可抑制地长时间玩计算机游戏，这是较普遍存在的现象，不但用家中的电脑可以轻松地进行连网游戏，遍街的电脑网吧更是绝佳的去处，既可以逃避家长的耳目，还可众人一起连机，使游戏更加的刺激有趣。

6.如果一段时间不能上网，就会产生失落感、焦虑症、空虚感，烦躁不安，想找人吵架或想攻击别人；有的心情郁闷，产生悲观厌世情绪和自杀念头。

如何摆脱网络成瘾症

如果你觉得网瘾太大，自己抵抗力太小，那么以下的三条具体建议，可以帮助你预防网络成瘾症：

1.不要把上网作为逃避现实生活问题或者消极情绪的工具。“借网消愁愁更愁”。理由是，上网逃脱不了现实，逃得过初一，逃不过十五。更重要的是，因为你的上网行为在不知不觉中已经得到了强化，网瘾加重。

2.上网之前先定目标。每次花两分钟时间想一想你要上网干什么，把具体要完成的任务列在纸上。不要认为这个两分钟是多余的，它可以为你省10个两分钟，甚至100个两分钟。

3.上网之前先限定时间。看一看你列在纸上的任务，用1分钟估计一下大概需要多长时间。假设你估计要用40分钟，那么把小闹钟定到20分钟，到时候看看你进展到哪里了。

总之，我们在享受高科技带来的全新概念时，不能忘记很重要的一个原则：网络的精彩绝伦、快速便捷以及其他的种种优点都不能完完全全地替代现实生活，网络生活只能作为现实生活的一部分。

上网应小心网络陷阱

不可否认，互联网确实开拓了我们的视野，丰富了我们的生活，但是互联网上也存在着大量的陷阱。如果不能认识到这些陷阱的危害并预防它们，那么，互联网带给我们的恐怕不再是鲜花和美酒，而是财物的浪费、秘密的泄露，更有甚者会危及到人身的安全。

“网络陷阱”到底有几种，如何破解？根据近年来网络陷阱的表现大致可以分成四大类：病毒陷阱、色情陷阱、感情陷阱以及金钱陷阱。

1.病毒陷阱。病毒陷阱是网上最常见的一种陷阱。电脑病毒是一种经过恶意设计，能隐蔽运行和自我复制、具有破坏力和不良表现欲的计算机软件，它们在用户不注意的时候侵入计算机系统，破坏用户文件，窃取用户隐私，强迫用户浏览不良站点。因特网的广泛应用，使得病毒的制造和传播空前活跃，带有黑客性质的病毒和嵌入网页的恶意代码大量涌现。由于个人计算机系统的天生脆弱性与互联网的开放性，我们将不得不与病毒长久共存。

应对措施：对付病毒陷阱的最有效方法就是选择一个合适的在线杀毒软件，并随时升级它的防毒代码，对可能带有恶意代码的不良网站保持警惕，在没有通过病毒检测前不要轻易打开来路不明的文件。

2.色情陷阱。色情陷阱是互联网的一大毒害。因为各个国家法律不同，所以色情陷阱是长期存在的。目前出现了一种依托色情网站的恶意拨号软件，用户在浏览该网页时会受到诱惑而下载运行它，此时，配有“猫”的电脑会自动拨打国际长途，给用户造成巨额话费。

应对措施：对付这类陷阱的最根本方法就是不去浏览色情网页，转移自己的注意力，如听听音乐、打打球等，使自己的兴趣逐渐转移到健康的活动上去。3.感情陷阱。感情陷阱是上过网的青年男女的困惑。不少人热衷于去聊天室找异性聊天。沉迷于精神恋爱之中，这不仅耗时劳神，而且还有一定的风险性。有人想把网上恋情向现实生活中扩展，则大多不能如意。有心理变态者专门扮作异性去谈情说爱，还有人通过网络搞爱情骗局，险象环生。

应对措施：对付这种陷阱，关键是要有定力，端正自己的上网观，不做有悖于道德和为人准则的事情。

4.金钱陷阱。金钱陷阱是目前网络新产生的一种危害极大的陷阱，陷阱设计者的最终目的就是骗到钱，主要有这么几种方式：

一是网络传销。交钱入会，靠发展下线赚钱，上线赚下线、下下线的钱；与传统传销相比，网络扩散范围更广、速度更快，而且传销的产品也不仅限于化妆品、药品等实物，还包括计算机软件、各种信息等。

二是网上竞拍。此种骗术主要是找“托儿”或者自己哄抬拍品价格，以诱人上当，高价将拍品买走。国内目前还没有相应的法规对此种行为进行有效约束。如果你要参加商品或藏品竞拍的话，一定要了解拍品的价值及市场定位，可千万不要在轮番叫价中上了拍主及“托儿”的当。

三是邮件行骗。网上“幸运邮件陷阱”的制造者常常转换地点，在网上发出无数的电子邮件，信中说：“阁下收到的是‘幸运邮件’，只要你按照信中的地址寄出小额幸运款，幸运则会降临，你将收到数以万元计的汇款，如果你有意失去这次机会，噩运将会长久地追随……云云。”如果你真信了这套胡诌，把钱寄了出去，那么你等到的将是无休止的后悔。

四是短信诈骗、电话诈骗。

应对措施：对付这类陷阱就是不能贪图小便宜，不要轻易向个人或不知名的小型网站寄钱或者透露你的信用卡。

上网应遵守的道德准则和规范

1.讲究社会公德和 IT 职业道德，用掌握的计算机知识技术服务社会，造福社会，自觉维护国家安全和社会公共利益，保护个人、法人和其他组织的合法权益，不以任何方式、目的危害计算机信息系统安全。

2.珍惜网络匿名权，做文明的“网民”。3.尊重公民的隐私权，不进行任何电子骚扰。4.尊重他人的知识产权，不侵占他人的网络资源。

5.尊重他人的知识产权、通信自由和秘密，不进行侵权活动。6.诚实守信，不制作、传播虚假信息。

7.远离罪恶、色情信息，不查阅、复制、制作或传播有害信息。8.遵守《全国青少年网络文明公约》： 要善于网上学习，不浏览不良信息。要诚实友好交流，不侮辱欺诈他人。要增强自护意识，不随意约会网友。要维护网络安全，不破坏网络秩序。要有益身心健康，不沉溺虚拟时空。

第四篇：校园网络安全方案设计

汕尾职业技术学院-------数学与应用系

校园网络安全方案设计

班级:123网络技术2班

姓名:李仲富 学号：2012324208

设计题目: 校园网络安全方案设计

设计时间:6月20号至6月30号

汕尾职业技术学院-------数学与应用系

一、校园网方案设计原则与需求

1.1设计原则：保证校园网的稳定运行和利用。

1.2网络建设需求：高度的稳定性和高性能性，对网络统一管理和高效处理。

二、校园网方案设计

2.1校园网现网拓扑图

整个网络采用二级的网络架构：核心、接入。

核心采用一台RG－S4909，负责整个校园网的数据转发，同时为接入交换机S1926F+、内部服务器提供百兆接口。网络出口采用RG-WALL1200防火墙。

2.2校园网设备更新方案

更换核心设备

汕尾职业技术学院-------数学与应用系

核心采用一台锐捷网络面向10万兆平台设计的多业务IPV6路由交换机RG-S8606，负责整个校园网的数据转发。在C区增加一台SAM服务器，部署SAM系统，同时A区和B区用3台S2126G替换原有S1926F+。将原有的S4909放到东校区做为汇聚设备，下接三台S2126G实现安全控制，其它二层交换机分别接入相应的S2126G。B区汇聚采用一台S2126G，剩余两台S2126G用于保护重点机器，其它交换机接入对应的S2126G。C区的网络结构也做相应的调整，采用现有的两台S2126G做为汇聚设备，其它交换机分别接入这两台交换机，从而实现所有汇聚层交换机都能进行安全控制，重点区域在接入层进行安全控制的网络布局。

2.3 网络安全系统的管理

1、确定计算机安全管理责任人和安全领导小组负责人 应当履行下列职责：

（一）组织宣传计算机信息网络安全管理方面的法律、法规和有关政策；

（二）拟定并组织实施本校计算机信息网络安全管理的各项规章制度；

（三）定期组织检查本校计算机信息网络系统安全运行情况，及时排除各种安全隐患；

（四）负责组织本校学生的安全教育和培训；

汕尾职业技术学院-------数学与应用系

2、配备１至２名计算机学生安全员（由技术负责人和技术操作人员组成），应当履行下列职责：

（一）执行本单位计算机信息网络安全管理的各项规章制度；

（二）按照计算机信息网络安全技术规范要求对计算机信息系统安全运行情况进行检查测试，及时排除各种安全隐患；

2.4网络安全系统的风险评估

一般可能会遭受到外部的攻击和入侵、内部的攻击或误用、企业内的病毒传播，以及安全管理漏洞等方面。

2.5网络安全设计

2.5.1校园网网络安全需求分析

1.网络安全的防范：

病毒产生的原因：校园网很重要的一个特征就是用户数比较多，会有很多的PC机缺乏有效的病毒防范手段，这样，当用户在频繁的访问INTERNET的时候，通过局域网共享文件的时候，通过U盘，光盘拷贝文件的时候，系统都会感染上病毒，当某个学生感染上病毒后，他会向校园网的每一个角落发送，发送给其他用户，发送给服务器。

病毒对校园网的影响：校园网万兆、千兆、百兆的网络带宽都被大量的病毒数据包所消耗，用户正常的网络访问得不到响应，办公平台不能使用；资源库、VOD不能点播；INTERNET上不了，学生、老师面临着看着丰富的校园网资源却不能使用的尴尬境地。

2、防止IP、MAC地址的盗用

IP、MAC地址的盗用的原因：某校园网采用静态IP地址方案，如果缺乏有效的IP、MAC地址管理手段，用户可以随意的更改IP地址，在网卡属性的高级选项中可以随意的更改MAC地址。如果用户有意无意的更改自己的IP、MAC地址，会引起多方冲突，如果与网关地址冲突，同一网段内的所有用户都不能使用网络；如果恶意用户发送虚假的IP、MAC的对应关系，用户的大量上网数据包都落入恶意用户的手中，造成ARP欺骗攻击。

IP、MAC地址的盗用对校园网的影响：在用户看来，校园网络是一个很不可靠是会给我带来很多麻烦的网络，因为大量的IP、MAC冲突的现象导致了用户经常不能使用网络上的资源，而且，用户在正常工作和学习时候，自己的电脑上会经常

汕尾职业技术学院-------数学与应用系

弹出MAC地址冲突的对话框。由于担心一些机密信息比如银行卡账户、密码、邮箱密码泄漏，用户会尽量减少网络的使用，这样，学生、老师对校园网以及网络中心的信心会逐渐减弱，投入几百万的校园网也就不能充分发挥其服务于教学的作用，造成很大程度上的资源浪费。

3、安全事故发生时候，需要准确定位到用户 安全事故发生时候，需要准确定位到用户原因：

资料：国家的要求：2002年，朱镕基签署了282号令，要求各大INTERNET运营机构（包括高校）必须要保存60天的用户上网记录，以待相关部门审计。

校园网正常运行的需求：如果说不能准确的定位到用户，学生会在网络中肆无忌弹进行各种非法的活动，会使得校园网变成“黑客”娱乐的天堂，更严重的是，如果当某个学生在校外的某个站点发布了大量涉及政治的比如法轮功的言论，这时候公安部门的网络信息安全监察科找到我们的时候，我们无法处理，学校或者说网络中心只有替学生背这个黑锅。

4、安全事故发生时候，不能准确定位到用户的影响：

一旦发生这种涉及到政治的安全事情发生后，很容易在社会上广泛传播，上级主管部门会对学校做出处理；同时也会大大降低学校在社会上的影响力，降低家长、学生对学校的满意度，对以后学生的招生也是大有影响的。

5、用户上网时间的控制

无法控制学生上网时间的影响：如果缺乏有效的机制来限制用户的上网时间，学生可能会利用一切机会上网，会旷课。像网吧一样无人监管，通宵、影响明天的课程。精力。

6、用户网络权限的控制

在校园网中，不同用户的访问权限应该是不一样的，比如学生应该只能够访问资源服务器，上网，不能访问办公网络、财务网络。办公网络的用户因该不能访问财务网络。因此，需要对用户网络权限进行严格的控制。例如：学院的重要的部门。学生选课。资料档案。

7、各种网络攻击的有效屏蔽

校园网中常见的网络攻击比如MAC FLOOD、SYN FLOOD、DOS攻击、扫描攻击、ARP欺骗攻击、流量攻击、非法组播源、非法DHCP服务器及DHCP攻击、窃取交换机的管理员密码、发送大量的广播报文，这些攻击的存在，会扰乱网络的正常运行低了校园网的效率。计算机专业的学生搞恶作剧，做实验

2.6.2某校园网网络安全方案设计思想和实施

汕尾职业技术学院-------数学与应用系

2.6.2.1安全到边缘的设计思想

用户在访问网络的过程中，首先要经过的就是交换机，如果我们能在用户试图进入网络的时候，也就是在接入层交换机上部署网络安全无疑是达到更好的效果。2.6.2.2全局安全的设计思想

锐捷网络提倡的是从全局的角度来把控网络安全，安全不是某一个设备的事情，应该让网络中的所有设备都发挥其安全功能，互相协作，形成一个全民皆兵的网络，最终从全局的角度把控网络安全。2.6.2.3全程安全的设计思想

用户的网络访问行为可以分为三个阶段，包括访问网络前、访问网络的时候、访问网络后。对着每一个阶段，都应该有严格的安全控制措施。2.6.3校园网网络安全方案

锐捷网络结合SAM系统和交换机嵌入式安全防护机制设计的特点，从三个方面实现网络安全：事前的准确身份认证、事中的实时处理、事后的完整审计。2.6.3.1事前的身份认证

对于每一个需要访问网络的用户，我们需要对其身份进行验证，身份验证信息包括用户的用户名/密码、用户PC的IP地址、用户PC的MAC地址、用户PC所在交换机的IP地址、用户PC所在交换机的端口号、用户被系统定义的允许访问网络的时间，通过以上信息的绑定，可以达到如下的效果：

每一个用户的身份在整个校园网中是唯一，避免了个人信息被盗用.当安全事故发生的时候，只要能够发现肇事者的一项信息比如IP地址，就可以准确定位到该用户，便于事情的处理。

只有经过网络中心授权的用户才能够访问校园网，防止非法用户的非法接入，这也切断了恶意用户企图向校园网中传播网络病毒、黑客程序的通道。2.6.3.2网络攻击的防范

1、常见网络病毒的防范

对于常见的比如冲击波、振荡波等对网络危害特别严重的网络病毒，通过部署扩展的ACL，能够对这些病毒所使用的TCP、UDP的端口进行防范，一旦某个用户不小心感染上了这种类型的病毒，不会影响到网络中的其他用户，保证了校园网网络带宽的合理使用。

2、未知网络病毒的防范

汕尾职业技术学院-------数学与应用系

对于未知的网络病毒，通过在网络中部署基于数据流类型的带宽控制功能，为不同的网络应用分配不同的网络带宽，保证了关键应用比如WEB、课件资源库、邮件数据流有足够可用的带宽，当新的病毒产生时，不会影响到主要网络应用的运行，从而保证了网络的高可用性。

3、防止IP地址盗用和ARP攻击

通过对每一个ARP报文进行深度的检测，即检测ARP报文中的源IP和源MAC是否和端口安全规则一致，如果不一致，视为更改了IP地址，所有的数据包都不能进入网络，这样可有效防止安全端口上的ARP欺骗，防止非法信息点冒充网络关键设备的IP（如服务器），造成网络通讯混乱。

4、防止假冒IP、MAC发起的MAC FloodSYN Flood攻击

通过部署IP、MAC、端口绑定和IP+MAC绑定（只需简单的一个命令就可以实现）。并实现端口反查功能，追查源IP、MAC访问，追查恶意用户。有效的防止通过假冒源IP/MAC地址进行网络的攻击，进一步增强网络的安全性。

5、非法组播源的屏蔽

锐捷产品均支持IMGP源端口检查，实现全网杜绝非法组播源，指严格限定IGMP组播流的进入端口。当IGMP源端口检查关闭时，从任何端口进入的视频流均是合法的，交换机会把它们转发到已注册的端口。当IGMP源端口检查打开时，只有从路由连接口进入的视频流才是合法的，交换机把它们转发向已注册的端口；而从非路由连接口进入的视频流被视为是非法的，将被丢弃。锐捷产品支持IGMP源端口检查，有效控制非法组播，实现全网杜绝非法组播源，更好地提高了网络的安全性和全网的性能，同时可以有效杜绝以组播方式的传播病毒.在校园网流媒体应用多元化和潮流下具有明显的优势，而且也是网络带宽合理的分配所必须的。同时IGMP源端口检查，具有效率更高、配置更简单、更加实用的特点，更加适用于校园运营网络大规模的应用环境。

6、对DOS攻击，扫描攻击的屏蔽

通过在校园网中部署防止DOS攻击，扫描攻击，能够有效的避免这二种攻击行为，节省了网络带宽，避免了网络设备、服务器遭受到此类攻击时导致的网络中断。2.7 业务连续策略

可分为4种类型：人力不可抗拒事件、高传染性疾病、物理访问、it逻辑访问 2.8 业务持续计划进行测试、保持和重新评估（1）测试即使：1桌面测试 2模拟

汕尾职业技术学院-------数学与应用系

3技术恢复测试

4供应商设备和服务测试 5排练

（2）保持与重新评估：考虑各方面的更新1人员 2地址或电话号码 3过程 4风险

第五篇：校园网络安全管理制度

黄香小学校园网络安全管理制度

第一章

总 则

第一条 为了保护校园网络系统的安全、促进学校计算机网络的应用和发展、保证校园网络的正常运行和网络用户的使用权益，制定本安全管理制度。

第二条 本管理制度所称的校园网络系统，是指由学校投资购买、由信息中心负责维护和管理的校园网络主、辅节点设备、配套的网络线缆设施及网络服务器、工作站所构成的、为校园网络应用及服务的硬件、软件的集成系统。

第三条 校园网系统的系统设备管理、维护工作由电教室负责，任何单位和个人，未经信息中心同意、不得擅自安装、拆卸或改变网络设备。

第四条 任何单位和个人、不得利用联网计算机从事危害校园网及本地局域网服务器、工作站的活动，不得危害或侵入未授权的（包括CERNET或其它互联网在内的）服务器、工作站。

第二章

安全管理组织

第五条 校园网络安全领导小组由校长、信息中心、办公室等部门负责人组成，对校园网络安全负责。信息中心在安全领导小组指导下负责具体的网络安全运行管理工作。信息中心指定专人作为网络安全专管员，负责对本部门工作人员的安全教育；网络安全保护的管理工作，对各项安全保护制度的执行情况进行监督；配合公安机关开展案件调查工作。

第三章

安全保护运行

第六条 除信息中心，其他单位或个人不得以任何方式试图登陆进入校园网主、辅节点、服务器等设备进行修改、设置、删除等操作；任何人不得以任何借口盗窃、破坏网络设施；不得采用各种手段切断学校、部门或他人网络的连接。

第七条 校园内从事施工、建设，不得危害计算机网络系统的安全。校园网络主结点及二级结点必须保证节点设备24小时正常运行，不得以任何理由关闭有关设备或电源。

第八条校园网出口处安装防火墙对有害连接和有害信息进行记录和过滤。所有提供公开服务的计算机上均应安装病毒防火墙和入侵检测系统，对网络连接进行记录，记录保存半年以上。

第九条 任何连入校园网络的计算机均须安装防病毒软件。信息中心应及时将有碍校园网络安全的计算机断开连接后通报其所在部门进行处理。

第十条 凡未通过信息中心而自行与ISP联网的计算机不得接入校园网。

第十一条 未经信息中心允许，任何人不得非法私自将计算机接入校园网，不得以不真实身份使用网络资源，不得窃取他人帐号、口令使用网络资源, 不得盗用其它人的IP地址入网。第十二条任何人不得利用各种网络设备或软件技术从事用户帐户及口令的侦听、盗用活动，不得使用任何非法手段获取他人信息。

第十三条校园网主、辅节点设备、连接线路及服务器等发生破坏案件后，信息中心必须在24小时内向学校领导及公安机关报告。

第十四条 凡发现有《计算机信息网络国际互联网安全保护管理办法》第四、五、六、七条情形之一的，应保留有关原始记录，做好数据备份，通知校园网络安全领导小组，并于24小时内向当地公安机关报告。情节严重的应立即报告公安机关，并配合公安部门做好调查处置工作。

第四章

信息管理

第十五条 网络用户必须遵守《计算机信息网络国际互联网安全保管办法》。

第十六条 校园网内的系统软件、应用软件及信息数据要实施保密措施。信息资源保密等级可分为：（１）可向Internet公开的；（２）可向校内公开的；（３）可向本部门公开的。

第十七条 校园网中对外发布信息的WWW服务器中的内容，网站发布内容由网站管理员审核、审核备案后，通过信息中心分配的专用帐号进行发布。帐号由各部门专人保管使用，不得随意公布转借。

第十八条 未经学校网络安全领导小组允许，任何单位或个人不得在学校网站上开设交互式栏目，不得设立游戏站点或纯娱乐性站点，一经发现，要追究有关人员的责任。第十九条 凡需开设的电子公告栏（BBS）的部门必须建立信息审核员、站长和栏目主持人组成的三级管理，分级负责制；填写《BBS开设申请表》，明确所开办的栏目内容及范围；建立栏目主持人资格审定制度、用户登记制度、日志备份制度。BBS开放期间必须有专人管理，采取有效的身份识别、安全防护和有害信息过滤保存技术，并具有安全审计功能。

第二十条 校园网的所有用户有义务向网络安全管理人员或有关部门报告违法犯罪行为和有害的、不健康的信息，并协助有关部门进行调查。校网络安全小组要不定期检查校园网络信息发布的内容，督促信息中心和各部门对有害信息进行清除和备份。信息中心建立备案制度，记录来自校园网络内部和外部的可疑行为，记录保存半年以上。

第二十一条 校园网接入用户必须遵守知识产权的有关法律法规。

第二十二条 严禁在校园网上使用来历不明、引发病毒传染的软件；对于来历不明的可能引起计算机病毒的软件应使用公安部门推荐的杀毒软件检查、杀毒。

第五章 违约责任与处罚

第二十三条 违反本条例规定，有下列行为之一者，信息中心可向所在部门提出警告，并停止其网络使用。

1.查阅、复制或传播下列信息:（1）煽动抗拒、破坏宪法和国家法律、行政法规实施；（2）煽动分裂国家、破坏国家统一和民族团结、推翻社会主义制度;（3）捏造或者歪曲事实，散布谣言扰乱社会秩序;（4）公然侮辱他人或者捏造事实诽谤他人的;（5）宣扬封建迷信、淫秽、色情、暴力、凶杀、恐怖等。（6）损害学校形象和学校利益的；（7）其他违反宪法和法律、行政法规的。2.破坏、盗用计算机网络中的信息资源和危害计算机网络安全的活动的。

3.盗用他人帐号或IP地址的。4.私自转借、转让用户帐号的。

5.故意制作、传播计算机病毒等破坏性程序的。6.不按国家和学校有关规定擅自接纳网络用户的。7.上网信息审查不严, 造成严重后果的。

8.使用任何工具破坏网络正常运行或窃取他人信息的。

上述违规造成学校一定损失的，由学校保卫科依照有关法律、法规及校纪校规进行处理，情节严重者移交公安机关处理。

第六章 其他

第二十四条 本管理制度中由学校信息中心负责解释。

第二十五条 本制度自公布之日起实行。

云梦县黄香小学 2016年9月5日