基于校园网的高校教务信息管理系统安全探讨

张 晶

贵州大学 贵州贵阳 550025

基于校园网的高校教务信息管理系统安全探讨

张 晶

贵州大学 贵州贵阳 550025

依托校园网建立的高校教务信息管理系统是现代化教学管理的一个重要手段。因此如何保障整个教务信息管理系统安全有效运行是一个急需解决的问题。并就教务信息管理系统安全存在的问题，提出了实现系统安全应达到的目标和采取的措施。

校园网；教务信息管理系统；系统安全

随着以网络的广泛、全面、深入运用为特征的信息化时代的到来，学校校园网络迅猛发展，以数字化校园网为依托，高校的教务信息管理也由原来的手工、桌面单用户数据库管理变为建立在以B/S,C/S模式下的网络教务信息管理系统。基于校园网的教务信息管理系统，既可将教务工作的手工管理转化为计算机网络化管理，从根本上减轻教务人员的工作强度和压力，也更好地利用了现有的校园网资源和环境，有助于学校管理工作的信息化、规范化，使各项工作更加准确、方便、快速和安全。教务信息管理系统中包含着各种重要信息：教学计划、学籍信息、选课信息、考试安排、学生成绩等，一旦这些信息受到破坏就会对学校的正常教学产生极大的影响。因此确保教务信息管理系统安全正常的运行是确保高校教学管理秩序稳定和提高教学质量的重要保障。

1 教务信息管理系统中主要存在的安全问题

一方面由于计算机网络的开放性和信息共享性促进了教务管理的信息化，另一方面也正是这方面的开放性和计算机本身的脆弱性导致了网络安全方面诸多漏洞。由于计算机网络具有联结形式多样性、终端分布不均匀性和网络的开放性、互联性等特征,致使计算机网络在带给人们便利的同时也导致网络的不安全性，网络被攻击、侵害事件时有发生。

在C/S,B/S模式架构下的教务信息管理系统在安全问题上主要表现在以下几个方面：

1.1 用户安全

用户密码简单、账号或密码泄露、没有安全退出应用系统、用户机感染病毒等，都直接影响到数据安全从而影响了学生网上选课和教师网上发布成绩的真实性等，并降低了教务工作的效率。

1.2 服务器安全配置

一方面是Web服务器上系统代码缺陷，由于设计不当，使得代码安全性过于脆弱，目前较为流行的Web入侵方式都是通过寻找程序的漏洞先得到网站的Webshell然后再根据服务器的配置来找到相应的可以利用的方法进行提权，进而拿下服务器权限的。另一方面是来自服务器配置的问题，当安装好服务器后，应根据系统的实际运行环境对服务器的配置参数进行设置、调整，否则配置不当的服务器容易被一些未公布的系统漏洞攻破，严重威胁数据安全。

1.3 网络负载缺陷

由于DDOS(分布式拒绝服务攻击)的巨大威胁以及服务器网络缺乏对数据的有效过滤，导致学生选课受阻，教师无法正常登录考试成绩，并发各类的网络堵塞，影响教学管理工作的正常进行。

1.4 病毒感染

病毒一直是教务信息管理系统安全最直接的威胁。病毒可以借助文件在网络中进行传播和蔓延，利用被控制的计算机为平台，破坏数据信息，毁损硬件设备，阻塞整个网络的正常信息传输。

2 实现教务信息管理系统安全的目标

根据计算机安全体系，我们可以把教务信息管理系统的安全结构设计成如图1所示的层次结构：

图1 教务信息管理系统安全层次结构

2.1 网络安全

网络安全是最高级别的安全。它要求支撑教务信息管理系统的网络中的各个信息系统能够正常运行并能正常地通过网络交流信息。通过对网络系统中的各种设备运行状况的监测，发现不安全因素能及时报警并采取措施改变不安全状态，保障网络系统正常运行。

2.2 系统安全包括两方面

2.2.1 硬件方面的安全

服务器和客户端计算机的安全，要保护这些硬件设施不受损害，能够正常工作。

2.2.2 软件方面的安全

操作系统安全和教务信息管理系统软件不被篡改或破坏，不被非法操作或误操作，功能不会失效，不被非法复制。

2.3 用户安全

只有那些真正被授权的用户才能够使用系统中的资源和数据。

2.4 程序安全

只有合法的用户才能够对特定的数据进行合法的操作。

2.5 数据安全

教务信息管理系统中存储及流通数据的安全，要保护在教务系统中流动、交换数据的完整性、保密性、可用性，使其不被篡改、非法增删、复制、解密、显示、使用等，它是保障教务信息管理系统安全最根本的目的。

3 加强教务信息管理系统安全应采取的措施

3.1 网络安全措施

与校园网的安全机制相结合，在服务器上安装安全性高的防火墙。利用防火墙,我们可以将教务管理系统所在的网络和Internet分开,并在网络通讯时执行一种访问控制尺度,允许防火墙同意访问的人与数据进入自己的内部网络,同时将不允许的用户与数据拒之门外,最大限度地阻止网络中的黑客来访问内部网络,防止他们随意更改、移动甚至删除网络内的重要信息。在教务信息管理系统的网络中必须有专门的管理员对网络进行监控,由于防火墙只能基于IP层对访问进行控制,不能监控用户的其他行为,对于内部人员对服务器实施的攻击也无能为力,所以管理员还需要利用入侵检测系统实时地监测所有访问服务器资源的用户行为,对可能出现危害服务器的行为做出及时报警、阻断响应、同时提供日志记录以供分析。

3.2 服务器安全措施

(1)由于FAT32文件格式不能限制用户对文件的访问从而导致系统的不安全，因此服务器的数据分区应该设置成NTFS的格式，防止用户的越权访问，同时有利于防止病毒蔓延。

(2)安装功能强大的防病毒软件并及时对操作系统打补丁。

(3)配置完善的访问控制规则，严格分配用户权限。权限的选项包括“访问”和“管理”两种，“访问”表示用户或角色能访问应用系统资源的权限，“管理”表示用户或者角色可以把相应的资源进行二次授权，即可以给别人授权。通过判定某个账户是否拥有某个资源的访问权限，就可以操控应用系统的权限和对该资源进行二次授权并根据不同的安全级别将用户分为若干等级,每一等级的用户只能访问与其等级相应的系统资源和数据。

3.3 用户安全措施

任何一位系统用户必须通过密码登陆，并且密码强度能够应付一般的密码猜解程序的破解。对于B/S用户的查询访问，系统提供密码修改功能，且操作须在规定时间内完成，否则应重新登录；对于进行数据维护的访问，如进行网上教师成绩录入，系统在每次开放录入状态之际，更新密码并允许修改密码，同时在登录时，首先通过安全通道。

3.4 数据安全措施

教务信息管理系统中有大量的数据在互联网中传输，其中部分信息可以以明文的形式存在于数据库中,以提高数据存取、处理的效率,但重要信息在传输过程中必须加密以保证证数据在网络中传输的保密性、可靠性以及完整性。因此在实现的过程中,可以根据数据对安全性的不同要求选择不同的加密方法。可以采用RSA公钥体制对数据进行加密。该体制保密性高,密码分析的难度大,缺点是加密过程复杂、耗时长,安全性要求高的数据可以采用这种方法。传统的DES加密标准加密速度快,但是算法相对简单,容易被攻击者破解。例如教务管理系统的用户密码,信息量不大,一旦使用明文,有攻击者或系统权限不够的用户进入数据库后,通过访问该表,即能获得系统的最高访问权限。

3.5 数据备份措施

系统可采取完整备份、增量备份和差异备份相结合的数据备份策略对系统数据进行备份。数据是管理信息系统最宝贵的资源，维护数据的实时性、完整性和一致性是确保教务管理系统正常有效运行的最重要的环节。当系统遭遇灾难性破坏或进行历史性数据查询时，备份的数据能够及时恢复或再现历史数据的实时状态。

3.6 完善操作日志管理

对于登录教务信息管理系统的用户，系统自动记录下该用户操作的模块、操作时间、操作地点等信息；对于登录选课系统的学生，系统亦自动记录学号、时间、地点、选课状态、地址等信息。完善的日志管理，以备日后查询、落实责任、数据统计、防止黑客等。

3.7 加强教务信息管理系统管理人员队伍的建设

俗话说“三分技术，七分管理”，技术与管理不是孤立的，教务信息管理系统的安全不仅仅是一个技术问题，也是一个安全管理问题。要保证系统安全的关键，首先要做到重视安全管理，可以说，教务信息系统的安全，是一个整体的问题，制定与时俱进的整体管理策略，并切实认真地实施这些策略，才能达到提高教务信息管理系统安全性的目的。

4 结束语

开放性和互联性越来越强的网络环境对教务信息管理系统的安全提出了更高的要求，因而保障教务信息管理系统安全可靠运行的策略也应不断地进行完善以适应出现的新问题。

[1]李芳.基于局域网的信息系统安全监控体系研究[J].上海理工大学学报,2007,29(6)：562～566

[2]张明.数字化校园环境下高校教务管理系统的安全性[J].长沙大学学报,2008,22(5)：76～78

[3]王春彦.网络信息安全存在的问题及对策[J].跨世纪,2008，16(5)：117～118

[4]宣华.清华大学综合教务系统在教务管理中的应用[J].计算机工程与应用,2002,12：236～238

[5]褚建立.构建多层次校园网安全体系[J].计算机信息技术,2006，z1：98～100

Abstract: The security of educational administration information system in college network is one of the most important means in modern teaching managements. How to ensure the security of educational administration information system is an urgent proplem for educational functioning. We present a security goal and measure in this paper in solving this problem.

Key words: college networks； educational administration information system； system security

Discussion for security of educational administration information system in college network

Zhang Jing
Guizhou university, Guiyang, 550025, China

2010-09-25

张晶，硕士，高级工程师。