Pt代表系统为了保护安全目标设置各种保护后的防护时间；或者理解为在这样的保护方式下，黑客（入侵者）攻击安全目标所花费的时间。Dt代表从入侵者开始发动入侵开始，系统能够检测到入侵行为所花费的时间。Rt代表从发现入侵行为开始，系统能够做出足够的响应，将系统调整到正常状态的时间。那么，针对于需要保护的安全目标，如果上述数学公式满足防护时间大于检测时间加上响应时间，也就是在入侵者危害安全目标之前就能被检测到并及时处理。
（2）公式 2：Et = Dt + Rt，如果 Pt = 0。
公式的前提是假设防护时间为0。Dt代表从入侵者破坏了安全目标系统开始，系统能够检测到破坏行为所花费的时间。Rt代表从发现遭到破坏开始，系统能够做出足够的响应，将系统调整到正常状态的时间。比如，对Web Server被破坏的页面进行恢复。那么，Dt与Rt的和就是该安全目标系统的暴露时间Et。针对于需要保护的安全目标，如果Et越小系统就越安全。
通过上面两个公式的描述，实际上给出了安全一个全新的定义：“及时的检测和响应就是安全”，“及时的检测和恢复就是安全”。而且，这样的定义为安全问题的解决给出了明确的方向：提高系统的防护时间 Pt，降低检测时间 Dt和响应时间 Rt。
5.5.2校园网络安全防范体系
安全模型中的安全策略、防护、检测、响应始终贯穿着安全技术和安全管理两个方面的重要内容，校园网络安全防范体系构建是以安全策略为核心,防护，检测和响应为实施方法,并通过安全培训加强所有人员的安全意识，完善安全体系安全单元环境。安全体系的示意图如图5-3所示。
40
图5-3 安全防范体系
针对以上校园网网络安全体系应用以下安全技术来实现： （1）配置防火墙和入侵检测系统
在校园网的进口处架设了防火墙和网络入侵检测系统。防火墙作为一种将内外网隔离的技术， 普遍运用于校园网安全建设中。防火墙可以有效地隔离内部网与外部网， 保护校园内部网络免遭非法的侵入。网络安全检测工具是一个网络安全性评估分析软件，不时的扫描分析网络系统， 网络管理员根据检测的报告系统分析存在的弱点和漏洞，及时采取补救措施，以达到增强网络安全性的目的。基于网络的入侵检测系统，对监视网段中的各种数据包进行特征分析，会根据产品中配置规则情况录取是否发出警报或直接切断网络连接。 （2）采用V L A N技术
按学校各部门拥有不同的应用业务以及不同的安全级别，有限制非法访问可以运用 V L A N技术。如使用三层交换机基于端口划分技术将网络分段并进行隔离，实现访问控制。
（3）配置代理服务器
在计算机中心学生机房配置访问控制列表，使用二级防火墙，并利用代理软件配置代理服务器，在代理服务器上安装双网卡，连接外网的网卡使用公网I P地址，连接内网的网卡使用私有地址，学生客户机 I P地址与代理服务器内网 I P地址在同一网段，网关 I P为代理服务器内网 I P地址。机房机器通过代理服务器连接互联网，可以控制前往I n t e me t 的所有用户的流量。
41
（4）安装杀毒软件
在整个校园网中只要有可能感染和传播病毒的地方都采取相应的防病毒手段，安装相适应的防杀毒软件，有效地防止病毒在校园网上感染、传播和发作。对防病毒软件要有效、快速地升级病毒定义码和扫描引擎。网络的安全管理是一个长期的、动态的过程。本网络系统的安全性还存在不少问题，比如说防止网络攻击方面， 尽管使用了入侵检测系统和防火墙的联动技术，但是，目前的入侵检测系统对未知的攻击检测能力较弱，且存在误报率太高的缺点。这些问题有待我们作进一步的探讨和改进，不断的分阶段完善安全防范体系。 （5）制定安全策略
安全策略是赋予了组织机构技术人员或信息资产使用权的人员必须履行的准则的正规陈述它是一个成功的网络安全体系的基础与核心。业务需求和风险分析是安全策略的主要制定依据。校园网络的安全策略是依据校园网的业务需求描述了校园网近期安全目标和长期安全目标，以及安全风险评估分析，不同安全评估标准中保护对象的安全等级方面的内容。
5.5.3完善安全制度与管理
安全管理贯穿整个安全防范体系，是安全防范体系的核心，代表了安全防范体系中人的因素。网络系统的安全性不只是技术方面的问题，如果日常管理上没有相应规章制度来管理约束，再先进的软件技术, 硬件设备对网络系统的安全来说也是不安全的。一个有效的安全防范体系应该是以安全策略为核心，以安全技术为支撑，以安全管理为落实,安全管理主要是对安全技术和安全策略的管理， 安全策略为安全管理提供管理方向，安全技术是辅助安全管理的措施。当网络出现攻击行为或其它一些安全威胁时，无法进行实时的检测、监控、报告与预警。同时，当事故发生后，也无法提供黑客攻击行为的追踪线索，即缺乏对网络的可控性与可审查性。这就要求网络管理员经常通过网络攻击扫描器提前识别弱点区域，入侵检测系统监控和响应安全事件，必须对站点的访问活动进行多层次的记录，及时发现非法入侵行为。
安全管理主要是对安全策略的一系列实施操作，这些操作是构建网络安全体系必不可少的。没有完善的安全管理体系，很难保证网络系统的安全。必须制定详细的安全管理制度，如机房管理制度、病毒防范制度等，并采 取切实有效的措施保证制度的执行。学院网络安全防范体系建立以后，学院的网络控制中心负责网络设备的运行管理，信息中心负责网络教学资源的安全管理。规定系统管理员要进行日常的网络安全管理，实时
42
地、动态地监控网络运行情况，每日必须检查服务器的日志，对重要的数据服务器，每日必须进行异地数据备份。同时管理员的密码必须达到一定的长度并且建议每周修改一次。管理员需及时对操作系统打补丁和防病毒软件包的升级，不断完善和优化网络安全防范体系。
5.6 其他网络安全解决方案
网络安全技术是解决校园网安全问题的基础，我们在对校园网安全分析时综合采用了防火墙、入侵检测、内容过滤和安全评价等技术，提出了一些安全解决方案，以增强校园网络的安全覆盖范围和程度。
5.6.1关闭不必要的端口
以下是一些可能被攻击的端口，一般情况下，应该要把这些端口屏蔽掉。
（1）23端口。若这个端口开着非常的危险，这个端口主要用做TELNET登录。Telnet服务给我们的最直接的感受就是它可以使得我们忘掉电脑与电脑之间的距离。利用23端口的Telnet我们可以象访问本机那样访问远程的计算机。Telnet协议的初衷是用来帮助我们对于计算机实现远程管理与维护，以提高我们的工作效率。但在一定情况下反而成为了一个黑客攻击最常利用的一个端口。若不怀好意的人利用Telnet服务登陆到23端口，就可以任意在对方电脑上上传与下载数据，包括上传木马与病毒等等。 （2）21端口。这个端口主要用来运行FTP服务。糟糕的是，这个端口，若管理不善的话，是可以用户进行匿名登陆的。并能够利用这个端口远程登陆并运行远程命令，这也就是说，可以在远程上传木马等工具并在远程控制其运行。同时，还可以利用FTP服务了解到攻击所需要的基本信息，如用的是什么操作系统等等；甚至能够获知可用的帐号，等等。一般情况下，没有必要开启21号端口。
（3）135端口。通过135端口入侵实际上就是在利用操作系统的RPC漏洞。一般情况下，135端口主要用来实现远程过程调用。通过RPC可以保证在一台计算机上运行的程序可以顺利地执行远程计算机上的代码。利用这个漏洞，可以通过这个端口得到电脑上的“主机”文件。得到这个文件后，再利用一定的工具便可以知道该电脑上可用的计算机用户名与密码，甚至是管理员的用户名与密码。得到这个用户名之后，如可以上传木马工具，随意的查看重要的文件，并对进行破坏和窃取。
43
5.6.2 巩固安全策略
(1)利用防火墙将内部网络、对外服务器网络和外网进行有效隔离，避免与外部网络直接通信；
(2)利用防火墙建立网络各主机和对外服务器的安全保护措施，保证系统安全； (3)利用防火墙对网上服务请求内容进行控制，使非法访问在到达主机前被拒绝；利用防火墙加强合法用户的访问认证，同时在不影响用户正常访问的基础上将用户的访问权限控制在最低限度内；
(4)利用防火墙全面监视对公开服务器的访问，及时发现和阻止非法操作；
(5)利用防火墙及各服务器上的审计记录，形成一个完善的审计体系，在策略之后建立第二条防线；
(6)在本校区和各校区，利用入侵检测系统，监测对内，对外服务器的访问；
(7)在本校区和各校区，利用入侵检测系统，对服务请求内容进行控制，使非法访问在到达主机前被阻断；
(8)在Internet出口处，使用NetHawk网络行为监控系统进行网络活动实时监控和内容过滤；
(9)在本校区部署RJ-iTop网络隐患扫描系统，定期对整个网络的安全状况进行评估，及时弥补出现的漏洞；
(10)使用安全加固手段对现有服务器进行安全配置，保障服务器本身的安全性； (11)加强网络安全管理，提高校园网系统全体人员的网络安全意识和防范技术。
44