数字化图书馆网络安全策略浅议.docVIP

数字化图书馆网络安全策略浅议【摘要】 数字图书馆依托网络环境传输数字化信息。因此对网络黑客防范和服务器安全管理必不可少，文中提出的几点措施可使数字图书馆服务器的运行安全基本上得到保证。 【关键词】 数字图书馆；网络安全；安全管理；黑客 目前大部分数字图书馆的信息服务器主要采用Web界面和基于TCP/IP协议的信息技术系统。其程序的基本构架基于Client-Server (客户机-服务器)结构，服务器端一般用Winnt4.0或者Windows 2000 Advance Server (现在以后一种为多)，并且多数系统要求安装使用IIS服务器（Internet Information Servers）。众所周知, Windows系列是Microsoft公司的产品, 以图形化界面和易操作闻名, 但也存在数之不尽的安全漏洞。数字图书馆购置的数字化文献数据库大都要求在Windows 2000 环境下运行，如果图书馆工作人员在安装Windows 2000 时，只选择默认方式安装，而不进行正确的安全配置的话，其安全性几乎得不到保证。因此，笔者根据自己的工作经验，对数字图书馆服务器的一些基本网络安全及其配置提出几点方案和一些建议。 1 组件的安装和定制 windows 2000在默认情况下会安装一些常用的组件，但是正是这个默认安装是极度危险的。美国最著名的“黑客”米特尼科说过，他可以进入任何一台默认安装的服务器。笔者认为应该先了解有关数据库运行与提供服务的功能，只安装确实需要的服务。根据一般安全原则：最少的服务+最小的权限=最大的安全，典型的Web服务器需要的最小组件选择是：只安装IIS的Common Files，IIS Snap-In，WWW Server组件。目前大多数图书馆使用的信息检索系统（VIP,CNKI）只需要安装IIS即可。如果确实需要安装其他组件，一定要慎之又慎，特别是Indexing Service, FrontPage 2000 Server Extensions, Internet Service Manager (HTML)这几个极易留下安全隐患的服务。 2 分区和逻辑盘的分配 在安装系统时，有的技术人员图省事，将硬盘仅做一个逻辑分区，所有的程序和文档资料都装在C驱上，这是很不科学也及其危险的，因为，微软的IIS经常会有泄漏源码/溢出的漏洞，如果把系统和IIS放在同一个驱动器会导致系统文件的泄漏甚至入侵者远程获取Administrator（超级管理员账号）。最安全配置是建立三个逻辑驱动器，第一个大于2GB，用来装系统和重要的日志文件，第二个放IIS，第三个放FTP，这样无论IIS或FTP出了安全漏洞都不会直接影响到系统目录和系统文件。IIS和FTP是支持对外服务的，把它们分开防止了入侵者通过FTP上传程序并在IIS中运行。 3 补丁的更新 尼姆达病毒正是利用了Windows 的一系列网络安全漏洞进行传播，它的破坏力也是有目共睹的。IIS6.0版服务器不容易感染上尼姆达病毒，但是IIS5.0及其更早版本要注意及早下载Q269862(微软提供的防尼姆达病毒补丁名) 。同尼姆达病毒同样臭名昭著的红色代码也是如此，可以打上微软的Q300972补丁，或者可以给整个操作系统打上最新的Windows 2000 advance SP3 补丁，但请注意有些数据库并不支持最新的SP3，我们只能下载单独补丁补上安全漏洞。另外，补丁的安装应该在所有应用程序安装完之后，因为补丁程序往往要替换/修改某些系统文件，如果先安装补丁再安装应用程序有可能导致补丁不能起到应有的效果。 4 端口的设置 端口是计算机和外部网络相连的逻辑接口，也是计算机的第一道屏障，端口配置正确与否直接影响到主机的安全。一般来说，仅打开你需要使用的端口会比较安全。配置的方法是在网卡属性-TCP/IP-高级-选项-TCP/IP筛选中启用TCP/IP筛选。不过对于Windows 2000的端口过滤来说，有一个不好的特性：只能规定开哪些端口，不能规定关闭哪些端口，这样对于需要开大量端口的数据库系统运行就比较麻烦，碰上这种情况应该跟有关数据库厂商协调，共同解决问题。 5 IIS漏洞的解决方案 IIS是微软的组件中漏洞最多的一个，平均两三个月就要出一个漏洞，而微软的IIS默认安装又实在不敢恭维，所以IIS的配置是我们的重点。首先，把C盘Inetpub目录彻底删掉，在D盘建一个Inetpub（也可以不用用默认的目录名），在IIS管理器中将主目录指向D:＼Inetpub。 其次，将IIS安装时默认的scripts等虚拟目录一概删除，如果需要什么权限的目录可以自己慢慢建，需要什么权限开什么。特别注意写权限和执行程序的权限，