【摘要】文章从远程网络教学平台的安全现状出发，就其面临的安全威胁进行了阐述。同时针对上述问题，论文对保障远程网络教学的信息安全策略进行了初步的研究，最后就如何完善基于网络的远距离教学信息安全策略提出了相关意见。
【关键字】远程教学网络；安全策略；预防；保护；恢复
【中图分类号】G40-057 【文献标识码】A 【论文编号】1009―8097（2008）13―0109―03
一 引言
自Internet在全球广泛应用以来，基于Internet的计算机远程教学（又称在线教育）在世界范围内得到了迅速的发展。基于网络的远程教学正是这种新教学模式的表现形式之一，也是当前快速发展的前沿研究领域之一。Internet的早期设计并未考虑到网络的安全性问题，它灵活、松散的体系结构，使其很难抵御恶意和有害的攻击。随着Internet应用的发展，Internet的安全问题变得日益重要，因此基于网络的远程教学系统信息安全问题也是一个不容忽视的问题。
二 远程教学网络安全现状分析
网络远程教学实际上包含两方面的含义：一是指学校在网上提供全方位的教学服务，支持学生的远程学习；二是学校把信息放上网，让社会共享自己的教学资源。系统在计算机网络的支持下实现学生与教师分离的、开放的模拟教学。采用的技术有：WWW，E-mail，FTP，BBS，VOD，数据库等，“实现在时间、地点上的完全独立的教学模式。”[1]
概括起来，现代远程教学系统面临的网络安全威胁主要有计算机病毒、网络攻击、设备失效等问题。
第一、计算机病毒。计算机病毒是目前威胁网络安全的重大祸首。计算机病毒的侵入在严重的情况下会使网络系 统瘫痪，重要数据无法访问甚至丢失。当前Internet已成为计算机病毒传播的重要途径，而为了丰富教学系统的资源从网上下载一些软件又在所难免，因此身处Internet的远程教学系统应建立多层次的“病毒”防范体 系，“采取及时升级杀毒软件，定时运行杀毒软件查找“病毒”，重点防范要害部分，对重要 信息进行备份等措施。”[2]�
第二、网络攻击。网络攻击可以分为两种：一种是主动攻击，它以各种方式有选择地破坏信息的有效性和完整性。他们以发现和攻击网络操作系统的漏洞和缺陷作为乐趣，利 用网络的脆弱性进行非法活动，如修改网页，非法进入主机破坏程序，窃取网上信息对电子 邮件进行骚扰，阻塞网络和窃取网络用户口令等。目前，在Internet环境中进行的远程教学常常通过E-mail、BBS、聊天室等工具实现师生间 的信息交流。因此，在系统建设中应对来自信息交互过程的非安全因素有所防范。另一类是被动攻击，它是在不影响网络正常工作的情况下，进行截获、窃取、破译以获得重要机密信息。随着网络技术在远程教育领域中应用的进一步深入，基于Internet远程教学系统与外界交互的信息种类不断增多，其中“有些保密性要求较高的信息。这些信息一旦被截取、盗用或删除 就会严重影响远程教学系统的运作，甚至会危及远程教学系统的安全，如管理帐号和密码 、考试信息等等。” [3]
第三、设备失效。由于计算设备、网络设备、存储设备的故障，或用户的误操作导致系统数据完整性受到破坏，从而使服务无法正常提供。
三 设计信息安全策略，保障远程教学网络的信息安全
远程教学网络的信息安全系统实际是一种网络实时监控和恢复被破坏信息的系统。其信息安全策略务必体现出网络保护中的三个层次：事前预防网络信息安全隐患，事中监测与防护网络病毒攻击，事后恢复数据。最后堵上安全漏洞，对网络信息安全系统予以动态更新。事前以预防为核心设计相关策略，依靠访问控制与密钥等技术实现；事中以保护通信畅通和防止网络攻击为核心设计相关策略，通过入侵检测、防火墙等技术配合实现；事后灾难恢复则以最大限度恢复原有信息为核心设计相关策略，通过数据备份等有关技术实现。针对以上信息安全策略设计原则，远程教学系统应该在安全访问，入侵检测，系统恢复以及病毒防护等方面建立一套从“预防――保护――恢复”全面的安全防护体系。其体系如图1所示：
1 预防策略
（1） 严格执行访问控制。基于Internet的远程教育系统的用户大致可分为三类：教师用户、学习者用户以及管理 员。不同用户所能见到的内容、所拥有的权限是有所不同的。也就是说，教学系统中的信息是分级保密的。基于Internet的远程教学系统应妥善管理用户的帐号及密码，特别 是权限较高用户的信息，对密码的长度、复杂度、更改频度作出要求。而且“在传输重要信息 时应使用加密技术。”[4]与此同时，对系统中的资源也应进行分类，实行多级管理。�
（2） 加强密钥和证书管理。PKI（Public-Key Infrastructure，公共密钥基础设施）是在公开密钥理论和技术基础上发展起来的一种综合安全平台，能够为所有网络应用透明地提供采用加密和数字签名等密码服务所必需的密钥和证书管理，从而达到保证网上传递信息的安全、真实、完整和不可抵赖的目的。利用PKI可以方便地建立和维护一个可信的网络教学环境，从而使得人们在这个无法直接相互面对的环境里，能够确认彼此的身份和所交换的信息，能够安全地从事教学活动。
在PKI体系中，CA（Certificate Authority，认证中心）和数字证书是密不可分的两个部分。认证中心通常采用多层次的分级结构，上级认证中心负责签发和管理下级认证中心的证书，最下一级的认证中心直接面向最终用户。是由认证中心发放并经认证中心数字签名，包含公开密钥拥有者以及公开密钥相关信息的一种电子文件，可以用来证明数字证书持有者的真实身份。为了保障信息不被越权访问应加强访问控制工作，按用户类别进行注册，记录用户相关信息，必要时可以启用数字签名技术。
2 保护策略
（1） 入侵检测系统（IDS）的设计
入侵检测系统（Intrusion Detection System简称IDS）通过“收集和分析计算机网络或计算机系统中若干关键点的信息”[5]，检查网络或系统中是否存在违反安全策略的行为和被攻击的迹象。
IDS通过检测和记录远程教学网络中的安全违规行为，防止干扰教学的网络入侵事件的发生；检测其他安全措施未能阻止的攻击或安全违规行为；检测黑客在攻击前的探测行为，预先给管理员发出警报；报告计算机系统或网络中存在的安全威胁；提供有关攻击的信息，帮助管理员诊断网络中存在的安全弱点，利于其进行修补。
IDS把大部分的系统资源用于对采集报文的分析，通过独特的数据收集功能，将网段上的流量全部（或有选择的）收集上来，然后在此基础上进行内容分析等基本操作。通过这些操作，IDS可以轻易做到很多有益的工作，如入侵活动报警、不同业务类别的网络流量统计、实时监控等。IDS高智能的数据分析技术、“详尽的入侵知识描述库可以提供比防火墙更准确、更严格、更全面的访问行为审查功能。”[6]
（2） 防火墙设计。
防火墙技术是为了保证网络路由安全性而在内部网和外部网之间的界面上构造一个保护层。所有的内外连接都强制性地经过这一保护层接受检查过滤，只有被授权的通信才允许通过。防火墙的安全意义是双向的，一方面可以限制外部网对内部网的访问，另一方面也可以限制内部网对外部网中不健康或敏感信息的访问。同时，防火墙还可以对网络存取访问进行记录和统计，对可疑动作告警，以及提供网络是否受到监视和攻击的详细信息。防火墙系统的实现技术一般分为两种，一种是分组过滤技术，一种是代理服务技术。分组过滤基于路由器技术，其机理是“由分组过滤路由器对IP分组进行选择，根据特定组织机构的网络安全准则过滤掉某些IP地址分组，从而保护内部网络。”[7]代理服务技术是由一个高层应用网关作为代理服务器，对于任何外部网的应用连接请求首先进行安全检查，然后再与被保护网络应用服务器连接。代理服务技术可使内、外网络信息流动受到双向监控。
（3） 病毒防护系统设计。
身处Internet的远程教学系统应建立多层次的“病毒”防范体系，采取及时升级杀毒软件，定时运行杀毒软件查找“病毒”，重点防范要害部分，对重要 信息进行备份等措施。一个需要作好防毒措施的网络架构可以分成以下三个不同的阶层：
第一层―――网关（Internet Gateways）防毒机制
如果一个网络设置了第一层的病毒防护，那么只要在一两个网关上替整个网络捕捉和拦截病毒就可以了。一旦病毒通过了网关，就必须依靠服务器代理程序（Server Agents）对众多的服务器进行扫描和修复，而不再只是处理一个网关。倘若由于某种原因病毒穿透了服务器层，那就必须依靠客户端这一层的防毒软件，这可能会影响到成百上千的节点。所以，在第一层阻止病毒是最有效的解决方法。
第二层―――服务器防毒机制
在远程教学系统之中，不同的服务器提供着不同的服务，其中最容易遭受病毒的攻击的服务器，首推文件服务器，因为“文件服务器有着文件集中的特性，提供教育体制中文件储存及交换的便利性”[8]，正是这种特性，更容易让病毒有机可乘，更容易散播开来。因此我们更应该针对所有可能的通道加以防护，这就是架构中的第二层防护：需要在每台存放文件和E-mail的服务器上作好病毒的防护工作，在这些服务器上，防毒软件都必须设置成提供实时防护和定期的防毒扫描（Scheduled Scanning）。
第三层―――工作站防毒机制
教学工作站病毒防护策略，除了考虑环境及病毒人侵的防护外，还必须考虑到人为因素及管理因素，在如此复杂的环境中，可先从病毒可能进行感染的通道防堵。
首先针对一般感染路径，文件的存取及网络的存取，已经是一种基本应有的功能，必须在幕后随时监视及扫描你所存取的所有文件，包含压缩档及较不为一般人所注意的Office宏文件，以防止一般性的病毒威胁。在电子邮件的传染途径中，除了针对SMTP的通讯协议作保护外，还必须考虑到一些使用者由外部的邮件服务器收取邮件，或者是下载互联网上的文件，因此在下载文件的部分以及POP3、MAPI等通讯协议上必须加强防护。同样的来自于浏览网站或者是利用FTP上传或下载文件也是必须防护的重点，如此构成了严密的三层病毒防护系统。[9]
3 恢复策略
恢复的基础是及时地进行备分。如果没有进行备分，计算机将无法进行恢复。但需要注意的是如果备份的内容是很久以前的东西的话，可能也无法通过恢复来重新得到想要的资料。
通常在重要的数据服务器里采用容错磁盘技术来保证数据安全。常用的有镜像卷（Mirro Volume）是指“在两个物理磁盘上复制数据的容错卷。通过使用两个相同的卷（被称为镜像），镜像卷提供了数据冗余以复制卷上包含的信息。”[10]镜像总是位于另一个磁盘上。如果其中一个磁盘出现故障，则该故障磁盘上的数据将不可用，但是系统可以在位于其他磁盘上的镜像中继续进行操作。RAID-5卷RAID是（Redudant Array of Inexpensive Disks）的缩写，简称磁盘阵列。后来演变成了“独立冗余磁盘阵列” （Redudant Array of Independent Disks）。“RAID的实现方式有两种：软件方式和硬件方式。硬件方式是使用专门的硬件设备，如RAID卡，SCSI硬盘等。这种方式由于部分处理工作由RAID卡处理，所以性能，速度都有明显的优势，专用的服务器都采用这种方式。”[11]软件方式是通过操作系统或其他软件实现的，从Windows NT开始就已经支持RAID功能了。 RAID-5需要至少三块硬盘才能建立，每块硬盘必须提供相同的磁盘空间。使用RAID-5卷时，数据除了会分散写入各硬盘中外，也会同时建立一份奇偶校验数据信息，保存在不同的硬盘上。例如若以三块硬盘建立RAID-5卷时，第1组数据可能分散存于第1，2块硬盘中，而校验信息则写到第3块硬盘上，但下一组数据则可能存于第2，3块硬盘，校验则存于第1块硬盘上，若有一块硬盘发生故障时，则可由剩余的磁盘数据结合校验信息计算出该硬盘上原有的数据。而且与镜像卷相比，RAID-5卷有较高的磁盘利用率。
4 设计安全评估系统,随时堵住安全漏洞，完善信息安全策略。
在进行网络安全评估时，应涉及到网络安全体系的各个方面，包括主机、网络通信设备、操作系统、网络类型、数据库、信息传送等。通过全面检测整个网络系统存在的安全隐患，“准确发现易于遭受攻击的薄弱环节，及时采取补救及防范措施，以达到增强网络安全性的目的。”[12]
（1） 体系结构
系统分为三层，第一层为界面层，为用户提供系统的使用界面，便于用户使用操作；第二层为检测分析层，这一层为系统的核心，用于对整个系统的主机、网络设备等进行检测，自动生成检测报告。通过检测结果进行分析，评估整个网络的安全状况并提出改进策略；第三层为系统支撑层，“该层中的漏洞库存放已发现的安全漏洞，以便安全检测组件在检测时进行搜索。”[13]分析结果库中存放检测分析结果。系统如图2所示：
（2） 系统功能
①总控模块：为系统的主程序，提供用户界面，用于控制整个系统中各个模块之间的调用。
②漏洞库更新组件：动态更新漏洞库。
③客户机信息检测组件：通过读取系统配置信息文件等，搜索漏洞库，查找漏洞，并把检测结果写入结果分析库。
④网络信息检测组件：通过获取网络服务器的操作系统类型、版本信息及开放的服务端口等信息，“搜索漏洞库，获取安全漏洞信息”[14]，并将结果写入分析结果库。
⑤口令检测组件：对工作站用户口令和服务器口令进行口令破解检测，并把检测结果写入结果分析库。
⑥模拟攻击组件：从结果分析库中调出相关检测记录，根据检测出来的安全漏洞，对网络主机进行远程模拟攻击，并将攻击结果写入结果分析库。
⑦评估分析模块：调用各检测组件的检测结果，根据系统设置的评估模型参数，自动进行评估分析，生成网络安全评估报告，并提出改进措施及策略。
四 结束语
本文在利用远程教学网络安全现有设备和策略的基础上，对远程教学网络的信息安全策略进行了初步研究，根据实际状况建立一个以预防―――防护―――恢复基本策略为基础的信息安全防护体系，保证整个网络信息安全的最根本需要。对教学网络实行多重保护，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的安全，以构建安全可靠的远程教学网络环境，使得远程教学的应用和发展更加广泛和深入。
参考文献
[1] 纪润博.我国网络安全现状与对策[J].网络与电子商务, 2005,(4):28-30.
[2] 陆楠.现代网络技术[M].西安:西安电子科技大学出版社, 2003:45-46.
[3] 蔡凤娟.信息网络安全管理[J].信息化建设,2004,(5):45-47,
[4] 逢玉台.网络信息安全综述[J].现代通信,2003,(10):17-18,
[5] 彭海英.网络信息安全技术概述[J].现代计算机, 2003,(4):55-56.
[6] 石美红.计算机网络工程[M].西安:西安电子科技大学出版社,2005:109-112.
[7] 孙延蘅.网络信息安全隐患及其防御[J].情报杂志, 2002,(7):58-59.
[8] 崔波.电子商务网络信息安全问题[J].图书馆理论也实践, 2003,(2):55-56.
[9] 罗莉.网络信息安全技术[J].太原科技,2000,(3):22-23.
[10] 刘学军,王永君,车伟涛等.三角剖分中拓扑关系的动态创建与维护[J].湖南科技大学学报(自然科学版),2008,(2):80-81.省略.“Effective Feedback” [EB/OL].
[12] 谢宜辰.论当前我国高等教育价值取向问题[J].湖南科技大学学报(社会科学版),2008,(1):121-122.
[13] 李书振.网络环境下的信息安全措施[J].系统安全, 2004,(7):45-47.
[14] 李军.远程教育中的网络安全对策[J].现代远距离教育, 2005,(6):53-54.