对网络教学平台网络安全风险及防范研究

王德铭

（徐州技师学院信息工程系 江苏 221000）

1 网络教学平台网络安全风险分析

网络教学系统中包括教师的教学资料、学生的学习成绩以及教师和学生的个人信息等。这些网络信息难免会在教师和学生访问教学平台过程中进行更新和传播，这就容易造成网络信息的泄露。网络教学平台结构如图1所示。

图1 网络教学平台结构图

1.1 系统安全风险与数据库安全风险

网络安全风险的重要来源之一就是网络平台操作系统的风险，包括各类办公软件的操作系统和数据库服务器等，因此说操作系统存在的漏洞已成为重大的安全隐患。数据库是网络教学平台中不可缺少的工具，它的建设过程难免会出现一定的安全漏洞，并且建立在数据库之上的多个应用程序也间接的存在一定安全隐患。同时，若存在一些非正常访问使数据库受到攻击，很可能导致系统的崩溃。

1.2 网络安全风险与管理层安全风险

一般来说，网络教学平台在建设时会带有相应的安全防护体制，在教学平台系统被非法入侵后，安全防护系统就已经遭到了严重破坏，会对教学平台的正常运行产生极其不利的影响。对网络平台进行科学的管理和防护能够较好的减少网络安全风险。此外，教学内部对系统进行管理过程中也可能会引入一些风险因素。管理人员的搞专业水平就能够减少不必要的风险，因此管理者要对网络理解深刻，专业水平过硬，在系统遭到攻击时，可以及时的确定应对方案，排除风险。

1.3 病毒危害与应用层安全风险

网络风险传播最快的路径就是网络病毒，这是对网络安全最大的威胁。网络病毒可以对网页进行非法的浏览、下载、自动通过社交手段等方式对网络教学平台进行入侵。病毒也可以在短时间内进行快速的传播，使系统中的信息泄露，相关的一些文件彻底删除，中断网络和服务器，甚至引起硬件系统的损坏。从目前来看，国内大部分网络教学平台的入口身份认证采用依靠用户的口令和密码的方式，这种方式存在较大的安全隐患。研究表明，采用第三方认证或是动态口令认证，加之科学的管理可以有效较少网络安全风险。

1.4 信息传输与骇客入侵风险

完整的信息传输过程可以有效避免网络风险。在信息传输过程中，如果出现病毒入侵或是软件不同步等情况就会导致信息传输不完整，这会带来一定安全风险。当系统遭到骇客入侵时，入侵者会利用一定手段，采用网络监听、网络探测等技术手段获取用户的相关认证信息和动态口令，非法进入系统对网络教学平台进行程序攻击和信息窃取，甚至散发一些不良信息，导致整个网络教学平台的瘫痪，并且对学校的声誉产生恶劣影响。

2 网络教学平台的安全模型

传统的网络安全技术一般都在把重点放在加强系统自身的防护上面，比如采用集中的身份认证产品、在网络出口位置安装防火墙、采用B级数据库及操作系统、在信息传输过程中进行加密等。但是这种方法会导致整个系统的盲目建设。盲目建设会产生不必要的浪费，在并不理解当前现状的情况下，对整个系统进行整体的加固是没必要的，安全投入过大，但没有抓住安全防护问题上的关键环节。

鉴于以上情况，同时考虑到大多数高校的校园网络教学平台都缺乏有效的安全模型，导致安全设计不能有效的引入到功能设计中，本文特提出图2所示的网络教学平台安全模型。从图中可以看出，通过建立4层防御空间，相应建立4层保护措施，而不是毫无方向性的对整个系统进行传统的加固，把信息空间与外部存在危险的空间进行隔离，从而可以高效的保护网络教学平台的信息数据，把核心信息封锁在系统内部，大大降低系统数据外泄的危险，保护网络教学平台系统的安全。

图2 网络教学平台安全模型

3 网络教学平台网络安全风险防范策略

对于以上提出的可能存在的风险，本文基于ISO网络层次模型，提出了相应的应对方法。

3.1 物理层安全

所谓物理层，是指通信线路、安全和网络设备、机房等全部硬件系统。确保这些硬件的物理安全是维护网络教学平台系统安全的前提条件。这些设备的安全包括设别不要被恶意破坏或者被盗取、线路的物理安全和不被监听、各种信息的辐射不被恶意获取、应对电源意外断电的紧急措施等。设备在使用过程中难免会出现故障，当某一设备出现故障时，为了防止正在运行的系统数据不会因此而丢失，就需要设立一定的备用数量的设备。其次，对于重要的数据要进行备份。也就是说，物理层的安全要从下面这三个方面来考虑，设备安全、环境安全和线路安全。可以采用电源接地、隐蔽布置线路、数据传输过程加密和对机房辐射的信号进行屏蔽等措施。

3.2 数据链层安全

嗅探是对数据链层最常见的攻击方式。它的攻击模式是利用共享的网络通道，在网络接口接收并不属于自己的数据。基于此，要保证数据链层的数据安全就需要保证通过公共网络传送的数据不被非法截获，或者对每一个连接点上的所有用户的数据进行保密设置。

3.3 系统层安全

系统层的安全隐患主要是来自数据库和操作系统。国内大部分教学网络用的操作系统都存在一些安全上的漏洞，并且数据库和服务器也都是安全级别较低，以上因素都会降低系统的安全指数。

（1）操作系统安全防护

随着软件开发的日新月异，甚至连windows系统也出现了一些安全漏洞，成为网络安全的主要威胁之一。操作系统对于网络安全十分重要，毕竟所有的应用及安全防护软件都是要求操作系统提供支持的。一般的安全防护软件包括杀毒软件、防火墙和入侵检测等。增强身份的验证和标识、加强对自主访问的控制和安全管理等措施都可以增强系统的安全防护能力。强化安全的措施要从多个方面考虑，包括硬件安全、用户信息安全、文件存储安全、注册表的安全、应用系统的安全等。特别是涉密的网络，在建设过程中，必须要加强保障整体安全的基础设施建设，最主要的就是操作系统的建设。在这点上，Linux系统就比Windows要好，因为它的源代码是完全公开的，方便形成具有完全自主知识产权的产品。也可以从提高安全性的角度出发进行自主设计，以用作涉密软件的操作系统，很大程度上提高信息的安全性。此外，对于要求安全性要求高的信息，要用服务器版本的操作系统来维护服务器和工作站的安全。

（2）数据库安全防护

应用比较广的数据库安全系统主要是 MS SQL Server、Orac1e等。数据库系统应该包含下面功能：第一，对访问数据库的用户设定一定权限以及进行身份的验证和审计；第二，对利用数据库进行传输和储存的数据进行加密和备份。但是，最严密的措施也难保信息和数据的万无一失。正如前文所提到的，病毒的意外入侵、设备的故障、操作失误等因素都可能导致重要数据的丢失。所以，在网络教学平台设计中建立数据的备份和恢复是很有必要的。如果出现由于计算机硬件问题造成数据库的无法使用或数据丢失，也可以在最短时间内恢复数据，使系统能正常运行。

3.4 应用层安全

应用系统的安全性随应用系统的不同而不同。应用系统的安全性是动态的，因为一方面系统的用户是多种多样的，另一方面系统本身是动态和变化的，是不断升级的。通常网络教学系统是要对外提供DNS服务、E-MAIL服务、www服务等，所以可能存在外网的非法访问对系统安全造成威胁。可以从下面几方面来增强防护：

（1）增强身份认证技术

网络教学平台中含有大量的信息，学习成绩和学籍等都涉及到用户的隐私，都理应受到保护。身份认证的加强是重要的一环。公开密钥基础设施（PKI）能够服务于远方教学系统的身份认证，为所有网络服务提供数字签名服务。RSA SecurID是一种一次性的口令系统，也可以用来应对网络监听。在使用过程中，传输的口令只能一次有效，发送给用户的源口令不会上传到网络上，提高口令安全性。

（2）据不完全统计，病毒是网络安全中最大的威胁。就目前来看，网络病毒正从以传统文件和磁盘操作为传播方式发展到以INTERNET为传播方式。借助互联网实现快速传播。危害大小不一。我们的防护意识也应该随病毒传播方式的变化而做出相应的变化，把重点放在邮件系统和防火墙上。特别是防火墙技术，它可以在发现病毒后及时的将数据包丢弃或返回，从源头上解决病毒问题。

（3）服务器的安全防护

因为Web服务器是连接学生与学校的桥梁，意义重大，所以要对网页进行实时监控，备份和恢复。建立良好的账号管理体系，恰当设定用户的访问权限，采用动态的登录口令；及时更新和检查系统安装的补丁。

邮件服务也是越来越普遍的工具，但是其自身带有很多漏洞，比较容易遭到病毒的攻击，容易成为系统的短板。所以要做好防护，避免短板效应，就要做好邮件的安全防护。要做好邮件系统自身的安全，邮件要进行加密、远程命令执行做好配置等等。

3.5 网络管理安全

网络教学平台本身是一个整体，网络管理理应也是一个整体的安全管理，要做到各个部分的安全措施无缝结合。网络管理人员要根据系统的安全防护策略进行整体部署和管理。若没有统一的安全管理系统，很可能造成小网络之间的安全防护引起冲突，出现1+1<2的情况，甚至引起整个系统的瘫痪。完整的管理系统应该包含以下几个字系统：防火墙设备管理系统、安全漏洞扫描系统、网络安全公告系统和网络设备管理系统等。对子系统进行统一管理，有利于整体系统的维护和升级，增强系统的安全指数。

总而言之，随着网络教学平台的发展，网络安全风险的防范也逐渐成为涉及到政治、文化、国防、经济等多个领域的时代议题和国际议题。这是一项动态的、复杂的、成体系的系统工程。要加强高校的网络教学平台的网络安全风险的管理和防范首先就是要建立健全相关的立法体系，完善网络安全保护制度，逐步建立起完善的网络立法体系；其次，利用安全防护模型，建立层层防护系统，多重保护系统的核心数据；第三，综合国内外已经出现的实例，总结网络安全防护中出现的经验和教育，进一步完善网络教学平台的安全防护措施。网络安全维护理应与社会政治、经济、文化等多个领域的发展实现同步，也需要多个部门做到相互协调和配合，共同来解决网络教学平台存在的安全方面防范问题，为广大高校师生创建一个安全、稳定的教学和学习环境。

[1]何彩英.我国现行信息网络安全法律体系的缺陷及其完善[J]；网络安全技术与应用.2007.

[2]顾华详，安娜.国外依法保障网络信息安全措施比较与启示[J]；上海政法学院学报（法治论丛）.2011.

[3]王铁占，安海兴.建立网络安全保障体系的法律思考—以网络安全文化为视角[J]；河南科技大学学报：社会科学版.2011.

[4]刘引涛.网络教学系统安全模式的研究与实现[D].华东师范大学硕士学位论文.2009.