防火墙技术在图书馆网络中的应用

2022-09-12

1 前言

互联网的迅速发展, 让图书馆的系统建立和规模不断扩大, 作为学校信息资源中心的图书馆, 各种资源如书目数据库、借阅数据库和自建或引进的数据库等是图书馆正常工作、提供网上服务和创收的基础, 一旦遭到破坏, 将造成重大损失。为了防止非法用户侵入数字图书馆系统损害数据, 防止对图书馆信息资源的非授权使用和各种计算机病毒对图书馆系统的危害, 图书馆必须在其网络系统中建立高效的安全保护屏——防火墙。

2 防火墙的概述

2.1 防火墙的基本概念

防火墙是设置在内部网络与外部网络之间的一道屏障, 既可以是一组硬件, 也可以是一组软件, 还可以是软、硬件的结合。它用于控制、允许、拒绝、监测出入两个网络之间的信息流, 且本身有较强的抗攻击能力。在逻辑上, 防火墙是一个分离器, 一个控制器, 也是一个分析器, 有效地监控了两个网络之间的任何活动, 保证了内部网络的安全。

2.2 防火墙的主要技术

(1) 包过滤技术

包过滤防火墙工作在网络层, 对数据包的源及目地IP具有识别和控制作用, 对于传输层也只能识别数据包是T C P还是U D P及所用的端口信息。现在的路由器、Switch Router以及某些操作系统已经具有用Packet Filter控制的能力。由于只对数据包的I P地址、TCP/UDP协议和端口进行分析, 包过滤防火墙的处理速度较快, 并且易于配置。

(2) 代理技术

代理服务器接收客户请求后会检查验证其合法性, 若合法代理服务器就像一台客户机一样取回所需的信息再转发给客户, 它将内部系统与外界隔离开来, 从外面只能看到代理服务器, 而看不到任何内部资源。它只允许那些有代理的、被认为可信赖的服务通过防火墙, 而其他所有服务都被封锁住, 这一点对系统安全是很重要的。代理服务还可以过滤协议, 如可与过滤FTP联接, 拒绝使用FTP放置命令, 以保证用户不能将文件写到匿名服务器。

(3) 网络地址转换

支持网络地址转换 (N A T) 。内部网络一般使用专为内部网保留的IP地址, 这部分IP地址是无法直接访问Internet的, 这时就可以通过网络地址转换 (N A T) 得到完美解决。

(4) 状态检测技术

遇到利用动态端口的协议时, 状态检测技术采用的是一种基于连接的状态检测机制, 将属于同一连接的所有的包作为一个整体的数据流看待, 构成动态连接状态表, 通过规则表与状态表的共同配合, 对表中的各个连接状态因素加以识别, 及时打开或关闭动态端口。这种检测技术具有灵活性和安全性。

3 防火墙技术在图书馆网络中的应用

3.1 防火墙技术在图书馆网络中应用的必要性

(1) 网络自身的不安全因素

Internet所基于的TCP/IP协议以及多种应用层协议如HTTP、FTP、Telnet等都存在安全隐患。通过安装防火墙, 将这些不安全应用及运行应用的设备如主机和路由器隔离于内部网之外 (如将这些设备置于屏蔽子网中) , 可有效保障内部网的数据安全和正常运行。

(2) 来自图书馆内部的不安全因素

图书馆在馆内建立了电子阅览室、音像视听室和联机检索室等, 为读者提供高质量的服务, 而读者的范围和数量又在不断扩大, 因此, 不能忽视来自内部的不安全因素。防火墙把服务器机群和馆内系统管理机群划到安全服务隔离区, 以保证内部数据高速通信的同时, 更好的保护重要信息的安全。

(3) 外部入侵的不安全因素

首先, 信息真实性的入侵, 所谓信息真实性的入侵, 就是当网络用户使用网络资料时接收到大量的无用信息, 影响网络的正常服务。其次, 系统服务可用性的入侵, 所谓系统服务可用性的入侵, 就是攻击者通过攻击系统, 使系统拒绝对合法用户提供访问服务。

3.2 防火墙在图书馆网络系统中的效用

(1) 防火墙能增强图书馆局域网的安全性。防火墙是一种将图书馆局域网和公众网分开的方法, 它能限制被保护的网络与互联网络之间, 或者与其他网络之间进行的信息存取、传递操作。防火墙可以作为不同网络之间信息的出入口, 可根据图书馆的安全策略控制出入网络的信息流, 且本身具有较强的抗攻击能力。它是提供信息安全服务, 实现网络和信息安全的基础设施。在逻辑上, 防火墙是一个分离器, 一个限制器, 也是一个分析器, 有效地监控了局域网和因特网之间的任何活动, 保证了网络的安全。

(2) 防火墙可以控制不安全的服务。它执行图书馆局域网的安全策略, 仅允许在局域网授权的协议和服务才能通过防火墙。防火墙技术是一种被动式防御技术, 通过在网络边界上建立起相应的网络通信监控系统来实现其功能, 该系统决定了哪些内部服务可以被外界访问, 外界的哪些人可以访问内部的哪些可以访问的服务, 哪些服务器可以访问哪些服务器不可以访问, 以保护图书馆主服务器的安全, 从而保护图书馆内部图书资料等数据的安全。同时控制那些外部服务可以被内部人员访问, 对不健康及敏感资源网站的限制, 对一些如反动、黄色色情站点应予禁止。

(3) 通过M A C-I P地址绑定、防火墙日志分析器, 可以有效地监视图书馆局域网内的活动, 从而维护图书馆局域网的安全。

3.3 防火墙的配置

(1) 安全服务配置

安全服务隔离区 (DMZ) 把服务器机群和馆内系统管理机群单独划分出来, 设置为安全服务隔离区, 它既是内部网络的一部分, 又是一个独立的局域网, 单独划分出来是为了更好的保护服务器上数据和馆内系统管理的正常运行。

(2) 配置访问策略

访问策略是防火墙的核心安全策略, 所以要经过详尽的信息统计才可以进行设置。在过程中我们需要了解本馆对内对外的应用以及所对应的源地址、目的地址、TCP或UDP的端口, 并根据不同应用的执行频繁程度对策略在规则表中的位置进行排序, 然后才能实施配置。原因是防火墙进行规则查找时是顺序执行的, 如果将常用的规则放在首位就可以提高防火墙的工作效率。