智慧图书馆网络安全防护策略

2.6.2.1　用备份技术提高数据可靠性

“备份”的意思是在另一个地方制作一份原件的拷贝，这个拷贝将被保存在一个安全的地方应该有规律地进行备份，以避免由于硬件的故障而导致数据损失。提高可靠性是提高安全性的一种方法，它可以保障今天存储的数据明天还可以使用。备份对于防范人为破坏也至关重要。如果计算机中的数据已经备份，就可以在另一台计算机上恢复。如果黑客攻破计算机系统并删掉所有文件，备份机制将能够把它们恢复。对于备份技术本书将在本书的第五章进行详细介绍。

2.6.2.2　数据加密技术

在网络环境中，数据可能会受到篡改、干扰和假冒等主动攻击以及窃听等被动攻击，对数据进行加密是切实可行的。工作中，为保护人们的原始数据（称为明文），人们用密钥对数据进行加密，使得数据不能被任何人读懂。加密后的数据（称为密文）表面上看来是一些毫无意义的比特序列，与明文没有明显的关系。为了恢复明文，接收方要对密文进行解密。加密有两个主要的组成部分——算法和密钥。算法是一种数学变换或公式，安全度很高的算法并不多见，绝大多数算法是作为标准或数学论文发表的。密钥是一串任意的且无任何意义的二进制数字，它用来进行加密或解密工作，通过算法，将明文变换为密文，或是将密文还原成明文。

2.6.2.3　身份认证技术

认证是用来确认信息或身份真实性的方法，包括信息认证和身份认证两方面。信息认证主要用于保证信息的完整性和抗否认性。身份认证用于鉴别用户身份，在用户访问安全系统之前，必须通过身份认证，然后才能访问某些系统资源。身份认证的方法主要有基于生物特征（如指纹、声音、照片等）的方法、基于秘密信息（如口令等）的方法和基于安全令牌（如智能卡、信用卡等）的方法。在计算机网络中身份认证技术主要是采用基于密码学的方法。现在在数字图书馆中最常用的是以校园一卡通为代表的RFID 智能卡和密码口令相结合的身份认证技术。

2.6.2.4　访问控制技术

访问权限控制是指对合法用户进行文件或数据操作权限的限制。这种权限主要包括对信息资源的读、写、删、改、拷贝、执行等。在内部网中，应该确定合法用户对系统资源有何种权限，可以进行什么类型的访问操作，防止合法用户对系统资源的越权使用。数字图书馆在使用这项技术，通常是通过在操作系统中设置不同的用户组，并给用户组设定权限来加以实现的。为了更好地维护系统的安全，一个用户应被授予尽可能少的权限，只要能满足日常的工作需要即可。

2.6.2.5　审计跟踪技术

审计跟踪是一种事后追查手段，它对涉及计算机系统安全保密的操作进行完整的记录，以便事后能有效地追查事件发生的用户、时间、地点和过程。审计是记录用户使用计算机网络系统进行所有活动的过程；跟踪是对发现的侵犯行为实时监控，掌握证据，及时阻断攻击的行动。这是提高系统安全保密性的重要工作。这个技术通常是利用网管软件和系统监控软件来实现的。审计信息对于发现网络是否被攻击和确定攻击源非常重要，也是查处各种侵犯系统安全保密事件的有力证据。因此，除使用一般的网管软件和系统监控功能外，数字图书馆还应使用目前较为成熟的网络监控设备或实时入侵检测设备，以便对网络操作进行实时检查、监控、报警和阻断，从而防止针对网络的攻击行为。(www.xing528.com)

2.6.2.6　VPN　技术

VPN（虚拟专网）技术的核心是采用隧道技术，将图书馆专网的数据加密封装后，通过虚拟的公网隧道进行传输，从而防止敏感数据的被窃。VPN 可以在因特网、服务提供商的IP、帧中继或ATM 网上建立。数字图书馆通过公网建立VPN，就如同在公共网中建立一个专属图书馆的内部网一样，拥有较高的安全性、优先性、可靠性和管理性，而其建立周期、投入资金和维护费用却大为降低，同时还为实现移动计算提供了可能。特别是在拥有多校区的情况下，通过VPN 技术，可以让多个地址位置相隔遥远的校区，通过以因特网建立起安全隧道，使该网上所有主机如同处在一个内部网络中，享受主馆一样的服务。

2.6.2.7　防火墙技术

防火墙用来控制内部网络和外部因特网的连接，主要用来选择可访问的因特网地址以及被访问的因特网地址。防火墙也可以禁止特定的协议通过相应的网络。它可由硬件设备组成，也可以由路由器中的软件模块组成。构成防火墙的主要部分有路由器、双穴主机以及服务处理器防火墙。防火墙必须带有路由部分或路由器一起使用。防火墙主要采用白名单和黑名单决定对网络访问者进行控制。利用白名单和黑名单，防火墙可以禁止对某些IP 地址的报文转发。即对于目的地址在黑名单中的IP 报文来说，防火墙丢弃该报文。另外，对于由外部进来的报文来说，如果其源地址在白名单中，防火墙将同样放弃转发该报文，使得该报文无法进入网络内部。防火墙还可禁止TFTP、NIS、TELNET 等远程访问协议，这只要检查一下报文中的有关协议的控制域就可办到。

防火墙是近期发展起来的一种保护计算机网络安全的技术性措施，它是一个用以阻止网络中的黑客访问某个机构网络的屏障，也可称之为控制进出两个方向通信的门槛。在网络边界上通过建立起来的相应网络通信监控系统来隔离内部和外部网络，以阻挡外部网络的侵入。目前的防火墙主要有以下三种类型：

第一，包过滤防火墙：包过滤防火墙设置在网网络层，可以在路由器上实现包过滤。首先应建立一定数量的信息过滤表，信息过滤表是以其收到的数据包头信息为基础而建成的。信息包头含有数据包源IP 地址、目的IP 地址、传输协议类型（TCP、UDP、ICMP 等）、协议源端口号、协议目的端口号、连接请求方向、ICMP 报文类型等。当一个数据包满足过滤表中的规则时，则允许数据包通过，否则禁止通过。这种防火墙可以用于禁止外部不合法用户对内部的访问，也可以用来禁止访问某些服务类型。但包过滤技术不能识别有危险的信息包，无法实施对应用级协议的处理，也无法处理UDP、RPC 或动态的协议。

第二，代理防火墙：代理防火墙又称应用层网关级防火墙，它由代理服务器和过滤路由器组成，是目前较流行的一种防火墙。它将过滤路由器和软件代理技术结合在一起。过滤路由器负责网络互连，并对数据进行严格选择，然后将筛选过的数据传送给代理服务器。代理服务器起到外部网络申请访问内部网络的中间转接作用，其功能类似于一个数据转发器，它主要控制哪些用户能访问哪些服务类型。当外部网络向内部网络申请某种网络服务时，代理服务器接受申请，然后它根据其服务类型、服务内容、被服务的对象、服务者申请的时间、申请者的域名范围等来决定是否接受此项服务，如果接受，它就向内部网络转发这项请求。代理防火墙无法快速支持一些新出现的业务（如多媒体）。现要较为流行的代理服务器软件是WinGate 和Proxy Server。

第三，双穴主机防火墙：该火墙是用主机来执行安全控制功能。一台双穴主机配有多个网卡，分别连接不同的网络。双穴主机从一个网络收集数据，并且有选择地把它发送到另一个网络上。网络服务由双穴主机上的服务代理来提供。内部网和外部网的用户可通，过双穴主机的共享数据区传递数据，从而保护了内部网络不被非法访问。双穴主机具有两个以上的网络接口，其中一个和外部网段连接，而另一个则和内部网段连接。双穴主机是防火墙的核心。

在图书馆的数字化建设中，应该根据自身需要并结合不同的应用环境来选用防火墙。如在主控机房这样的地方，本书建议使用包过滤防火墙或双穴主机防火墙，这样效率和安全性高的防火墙；而在电子阅览厅和工作机这样的地方则可选用包过滤防火墙或代理防火墙。