网络安全的背景
随着信息技术的迅猛发展和互联网的全面普及，网络安全问题日益凸显，已然成为了社会各界普遍关注的热点话题。网络安全，这一术语不仅仅指代一个简单的技术概念，而是涵盖了保护计算机网络及其中的数据、系统、服务免受任何形式非法侵害的一系列技术和管理措施。
网络安全的本质在于构建一个坚固的防御体系，以防范未经授权的访问、恶意攻击、数据盗窃等潜在威胁。这包括了对个人隐私的严格保护，确保用户信息不被非法获取和滥用；对数据完整性的维护，防止数据在传输或存储过程中被篡改或破坏；以及对数据保密性的保障，避免敏感信息泄露给未经授权的第三方。
网络安全问题涉及的因素繁多且复杂。首先，恶意的攻击者总是企图通过各种手段，如病毒、木马、钓鱼网站等，来制造网络安全事件，以达到窃取信息、破坏系统、瘫痪网络等目的。其次，内部泄露也是一个不容忽视的问题。由于员工疏忽、故意泄露或系统权限管理不当，可能导致工作单位的重要数据被非法获取或滥用。此外，技术上的漏洞也是网络安全的一大隐患。无论是操作系统、应用程序还是硬件设备，都可能存在潜在的安全风险，而错误的配置、漏洞的利用都可能为攻击者提供可乘之机。大多数网络安全问题都来源这三类，当然除了这三类还有其他许多方面的因素也会带来网络安全相关问题。
网络安全的重要性不言而喻。它不仅关乎到个人隐私的保护、企业商业机密的安全，更关系到国家信息安全和社会稳定。在信息化日益深入的今天，我们每个人都与网络紧密相连，网络安全已经渗透到我们生活的方方面面。因此，加强网络安全意识，提高网络安全防护能力，已经成为我们每个人的共同责任。
- 部门对网络安全的相关要求
我国对于网络安全问题制定了一系列相关政策，以确保网络空间的安全和稳定。
-
- 《中华人民共和国网络安全法》：于2016年11月7日由第十二届全国人民代表大会常务委员会第二十四次会议通过，自2017年6月1日起施行。该法旨在保障网络安全，维护网络空间主权和国家安全、社会公共利益，保护公民、法人和其他组织的合法权益，促进经济社会信息化健康发展。
- 2024年十四五网络安全规划方案：该方案强调通过推进网络安全基础设施建设、加强网络安全技术创新和人才培养、提升网络安全意识等措施，以实现建设网络强国、提高网络安全水平的目标。
- 《“数据要素×”三年行动计划(2024—2026年)》：由国家数据局等17部门联合发布，旨在推动数据要素价值创造和实现全过程的安全保障。
- 《关于加强行政事业单位数据资产管理的通知》：财政部发布，要求落实网络安全等级保护制度，建立数据资产安全管理制度和监测预警、应急处置机制。
- 《数据安全技术 数据分类分级规则》：全国网安标委发布，规定了数据分类分级的原则、框架、方法和流程，为各行业各领域的数据安全提供了规范。
除此之外，我国还积极开展网络空间治理、网络技术研发和标准制定、打击网络违法犯罪等方面的国际交流与合作，推动构建和平、安全、开放、合作的网络空间。加强网络安全法律法规的制定和执行，提高对网络安全犯罪的惩治力度，打击网络黑产等违法活动。
这些政策为我国网络安全提供了坚实的法律基础和政策保障，有助于构建一个安全、稳定、繁荣的网络空间。
- 校园网的背景
校园网作为现代学校信息化建设的重要基石，已经成为师生日常教学、科研和管理不可或缺的一部分。随着信息技术的飞速发展，校园网不仅提供了高速、稳定的网络环境，还通过整合各种教学资源、科研支持以及管理功能，极大地推动了学校的信息化建设。
校园网的功能十分丰富，涵盖了教学、科研、管理等多个方面。在教学方面，校园网提供了多媒体教学资源，支持在线教学、远程教育等新型教学模式，使学习更加灵活多样。在科研方面，校园网为科研人员提供了便捷的信息检索、数据分析等服务，促进了科研工作的深入开展。同时，校园网也承担着教务、行政和总务管理的重要任务，实现了各部门之间的信息共享和协同工作。
为构建更为智能便利的校园网络环境，增加学生和老师的用户体验，要建立覆盖学校教学、科研、管理、生活等各个区域的宽带高速网络环境，提供面向全体师生的基本网络服务和安全防护服务，要建设高质量的数字化图书馆、教学楼、办公区域、宿舍区域等组成的校园网络体系。
- 组员信息
| 序号 | 姓名 | 学号 | 负责内容 |
| 1 | 陈淼荣 | 3121004886 | 网络架构分析、边界安全分析、边界安全建设、整合 |
| 2 | 廖恒锋 | 3121001120 | 入侵检测建设、安全远程办公分析、安全远程办公VPN建设 |
| 3 | 罗志松 | 3121004098 | 入侵检测分析、安全远程办公VPN建设、网络安全技术检测建设 |
| 4 | 林俊余 | 3121003772 | 入侵检测建设、安全远程办公分析、网络安全技术检测分析 |
| 5 | 李康生 | 3121003058 | 边界安全分析、边界安全建设、入侵检测分析 |
- 需求分析
- 网络架构分析
我们的网络架构图大致可以分为三层，接入层、汇聚层以及核心层。
- 核心层：核心层承是校园网络的核心，承担着整个校园网的所有数据交换传输任务，包括通过内网之间的访问，如学生访问教务系统、学生教务管理系统、图书馆资源管理中心等等一系列官网，也包括内网与公网之间的数据交互。
- 汇聚层：汇聚层是核心层到接入层之间的连接，它连接着较多的接入设备，使用多层交换机，提供VLAN划分、路由转发和流量控制等功能，将宿舍区、办公区、图书馆以及教学区连接起来。汇聚层的故障可能会导致某一区域的网络瘫痪。
- 接入层：接入层是汇聚层的延伸，接入层使用交换机为用户提供接入端口，将区域中的每个用户连接起来，形成小的区域网。
当前的网络架构图存在的网络安全风险：
- 存在边界安全风险：由于网络边界的存在，尽管使用了路由器和NAT映射，但如果这些设备的安全配置不当，或者存在未修补的漏洞，就可能成为信息泄露的通道。同时网络边界上的设备可能成为DoS/DDoS攻击的目标，这些攻击可能导致网络拥堵，使合法用户无法访问WEB服务器。
- 缺乏入侵检测风险：该网络架构图中缺少入侵检测系统（IDS）或入侵防御系统（IPS）的存在。这意味着网络可能无法及时发现和应对潜在的入侵行为，增加了安全风险。
- 缺乏安全远程办公：该网络架构图中缺少防火墙等可以保证安全远程办公的防范措施，当用户使用远程办公服务时，可能导致敏感数据泄露、恶意软件感染或未经授权的访问等问题。
- 缺乏网络安全技术检测服务：图中并未明确的措施对外来用户与内部用户之间的通信进行限制，对于网络安全的处理过于单一，可能导致组织对网络中的安全风险缺乏全面、及时和准确的了解，从而无法有效地应对网络攻击和数据泄露等安全事件。
- 边界安全分析
校园网中的边界安全是确保校园内部局域网与公网之间信息交换安全的重要一环。边界安全的重要性不言而喻，它不仅能保证校园网与互联网进行正常的信息通讯，还能有效地阻止来自网络的恶意攻击、非授权访问行为、病毒、不良网站等威胁。然而当前的校园中的边界安全措施不足，不仅缺少防火墙的部署，还缺少入侵检测、入侵防御系统，以及对于外来用户的限制性访问。这些措施的缺乏会使得校园网的边界安全性大大降低，遭受外来风险的可能性增加。对其危害分析如下：
- 缺少防火墙的部署：防火墙作为网络安全的第一道防线，它为我们提供了许多方面的安全保护，然而，当前的网络架构缺少了防火墙的保护，这无疑给校园网的网络安全带来了严重的威胁。首先，没有防火墙的防护，外来人员将更容易地访问校园网，他们可能通过非法手段获取网络访问权限，进而访问并窃取敏感的数据信息，给个人隐私和学校的运营带来巨大风险。其次，缺少防火墙的网络架构更容易遭受DoS（拒绝服务）或DDoS（分布式拒绝服务）攻击，导致服务中断或瘫痪，影响到学校的正常教学和管理秩序。此外，没有防火墙的保护还意味着网络更容易受到外来病毒的入侵，病毒一旦进入网络，将在网络中迅速传播，感染大量的计算机和服务器，导致系统崩溃、数据损坏等严重后果，这不仅会影响学校的正常运营，还可能对学校的声誉造成负面影响。
- 缺少入侵检测和入侵防御系统：入侵检测系统（IDS）和入侵防御系统（IPS）是网络安全的重要组成部分，它们的存在可以帮助用户减轻许多安全上工作。缺少入侵检测和入侵防御系统，网络的脆弱性将暴露无遗，这使得用户不得不面临更多的潜在威胁和外来攻击，以及需要自行承担起对潜在威胁的识别和防御工作，这无疑将大大增加他们的处理负担。同时用户还需要耗费更多的时间和精力来分析和评估网络流量、系统日志等信息，以发现潜在的威胁。更为严重的是，一旦网络遭受攻击，用户可能无法及时发现并应对，这将导致攻击者在网络中长时间潜伏、窃取敏感数据、破坏系统正常运行等恶劣后果，这不仅会给用户带来重大的经济损失和声誉损害，还可能影响到整个组织的运营和发展。
- 缺少对外来用户的限制性访问：在校园网环境中，安全性尤为重要，因为这里涉及到大量的敏感数据、学术资源以及学生和教职工的隐私信息。当校园网缺乏对外来用户的限制性访问时，一些未经授权的个人、黑客、恶意软件传播者等，他们可能试图通过非法手段访问校园网，以窃取数据、破坏系统或进行其他形式的网络攻击，给学校带来无法估量的损失。此外，缺少对外来用户的限制性访问还可能导致网络拥堵和性能下降，当大量外部用户涌入校园网时，网络带宽和服务器资源可能会被迅速耗尽，导致合法用户无法正常使用网络服务，这不仅影响了学生的学习和教职工的工作，还可能影响到学校的正常运营。更为严重的是，外部用户的非法访问还可能为校园网带来病毒、木马等恶意软件的感染风险，这些恶意软件可能会潜伏在校园网内，窃取用户信息、破坏系统文件或进行其他形式的恶意行为，甚至可能导致整个网络的瘫痪。
- 入侵检测分析
入侵检测主要是对当前网络中的事件进行监控、分析、检测、响应，当发现可能存在威胁的事件时，能够及时地报告给用户并及时的拦截事件，等待用户的处理，入侵系统是保障用户安全的重要手段，它可以大大减少用户的工作以及其及时性可以时刻保护着用户免受威胁。然而当前的校园网架构缺少了入侵检测的应用，这无疑是一个巨大的潜在威胁，使得当前的校园网缺乏对于外来威胁的处理手段以及防范措施。其危害具体分析如下：
- 数据泄露与隐私侵犯：校园网存储了大量学生、教职工的个人信息、学习资料和研究数据，涉及敏感内容。如果缺乏入侵检测系统，攻击者可能通过非法手段悄悄窃取这些信息，对个人隐私构成严重威胁。例如，他们可以利用未加密的传输通道或未受保护的数据库访问权限，获取到学生的身份证号码、家庭地址等个人身份信息。这种行为不仅仅侵犯了个人隐私，还可能导致身份盗窃、金融欺诈等更为严重的后果。此外，校园网还可能包含教职工和学生的学术研究数据。如果这些数据泄露，可能会导致研究成果被盗用或篡改，严重影响学术诚信和研究成果的真实性。
- 服务中断与业务受阻：缺乏入侵检测系统的保护使得校园网容易成为恶意攻击的目标，例如分布式拒绝服务攻击（DDoS），这种攻击会使得网络服务中断，严重影响师生的正常上网、远程教学和科研工作。攻击者可能利用大量虚假请求淹没网络，导致服务器资源耗尽，进而阻碍学校的日常运行。对于教学活动而言，网络服务中断可能导致在线课堂无法进行，学生无法及时获取教材或参与课程讨论，从而直接影响教学质量和学习效果。此外，科研工作的进行也会受到影响，研究人员无法访问或共享实验数据和文献资料，阻碍了研究成果的交流和进展。学校被迫中断服务或频繁出现网络故障也会引起师生和公众的不满和质疑，对学校的声誉和形象造成负面影响，降低学校在社会中的信任度和声誉。
- 安全漏洞的放大效应：校园网中的设备和应用系统可能存在安全漏洞，如果缺乏入侵检测系统对校园网进行实时监控，维护人员可能无法及时修复这些漏洞。这些安全漏洞如果被攻击者利用，就会扩大攻击范围，影响更多的设备和系统，从而加剧校园网的安全风险。攻击者可能利用已知的软件漏洞或配置错误，逐步侵入校园网内部。例如，他们可以通过未及时更新的操作系统或应用程序来利用已公开的漏洞，从而获取对系统的未授权访问。在没有入侵检测系统的情况下，这些入侵行为可能长时间未被察觉，直至造成严重后果。一旦攻击者在校园网内部建立起足够的权限，他们可以利用内部网络通信进行横向扩展攻击，感染更多设备或篡改更多系统。这种放大效应将使得校园网的安全状况进一步恶化，可能最终导致整个网络的瘫痪或数据的大规模泄露。
- 安全远程办公
远程办公服务可以提供非常大的便利性，校职工跟学生可以通过远程办公来提高工作效率，维护人员也可以通过远程办公功能实现随时随地保护校园网的安全，然而该校园网中缺少防火墙这类强力保障安全的防护手段，在这种校园网环境中，远程办公面临着严重的安全风险。下面是其危害的具体分析：
- 恶意攻击风险：在缺乏防火墙等基础设施的校园网环境中，恶意攻击的风险显著增加。防火墙作为网络的第一道防线，可以有效监控和过滤入侵尝试，但如果缺乏这一安全设施，攻击者便能更轻易地渗透进校园网。这种情况下，远程办公中的用户数据面临泄露风险，敏感信息可能被窃取，甚至整个网络的运行稳定性可能受到严重影响，导致服务中断或数据损坏。
- 工作效率大大降低：安全防护手段的不完善直接导致远程办公功能的使用受限，用户由于安全顾虑而不敢充分利用这些功能。员工和学生可能会选择避免使用远程办公工具，转而采用传统的工作方式，如面对面会议或本地文件处理，以规避潜在的安全风险。这种情况下，工作和学习的灵活性和效率显著降低，对教学和管理活动的正常进行构成直接影响。
- 信息泄露风险：缺乏完善的信息隐私保护机制是一个非常严重问题。在远程办公环境中，由于缺乏信息隐私保护机制，员工和学生的个人信息及敏感数据容易受到黑客攻击。未经加密的数据可能被窃取，用于身份盗窃或金融欺诈等非法活动，给个人和学校的声誉带来严重损害。此外，若信息泄露牵涉到个人身份认证信息，更可能导致长期的个人信用和安全问题，对受害者的生活和工作造成持续性影响。
- 潜在漏洞风险：远程办公系统的便利性同时也为攻击者提供了潜在的入侵机会。缺乏防火墙等基本安全措施使得校园网更易受到网络扫描和漏洞利用的攻击，攻击者可能利用这些漏洞直接篡改系统或者中断服务。这种风险不仅会影响到学校的教学和管理活动的正常进行，还可能在未被察觉的情况下长时间存在，给安全团队带来极大的挑战和应急响应压力。
- 网络安全技术检测分析
网络安全技术检测，作为一项核心的技术支撑，其在校园网络环境中具有举足轻重的地位。这项技术不仅能够对网络攻击实施实时、不间断的监控，还能够迅速识别并响应网络内部潜在的安全隐患，以及来自外部的非法用户活动。在面对多样化的网络威胁时，它能够根据不同威胁的危害程度，采取针对性的处理策略，确保网络安全防护的灵活性和多样性。但是在该校园网中，缺少了这一功能的事件，使得整个网络架构对于安全处理过于单一，对外来用户的限制力度有限，这会对校园网的安全造成巨大的威胁。下面是对于其危害的具体分析：
- 数据泄露风险增加：在缺乏网络安全技术检测的校园网环境中，敏感数据的安全防线几乎形同虚设。学生个人信息、成绩记录、教职工档案以及研究数据等，都是极具价值的资源，一旦这些数据遭到不法分子的觊觎，他们便可能利用漏洞或弱点，悄无声息地窃取这些数据。甚至不法分子将这些数据卖进暗网，可能被用于身份盗窃、欺诈等犯罪活动，给个人和社会带来极大的危害。
- 系统被篡改的风险：没有网络安全技术检测的校园网，黑客或恶意用户可以任意地长驱直入。他们可以利用已知的或未知的漏洞，对校园网系统进行攻击，篡改网站内容、修改用户权限等，这种篡改不仅可能导致网站信息的失真，误导用户，还可能破坏系统的正常运行，导致服务中断。更为严重的是，如果黑客获得了管理员权限，他们甚至可能对整个校园网进行操控，对学校的信息化建设和运营构成严重威胁。
- 病毒和恶意软件的传播：在缺乏网络安全技术检测的校园网中，病毒和恶意软件难以及时处理，可能会出现在网络中迅速传播地情况，一旦这些恶意程序进入校园网，它们便会迅速扩散，感染大量用户设备。被感染的设备可能会出现性能下降、数据丢失、系统崩溃等问题，严重影响师生的正常工作和学习。此外，一些高级病毒和恶意软件还可能窃取用户信息、破坏数据完整性，对校园网的安全构成严重威胁。
- 非法访问和滥用资源：没有有效的入侵检测系统，校园网就像是一个不设防的公共场所，任何人都可以随意进出。这导致了大量的非法访问和资源滥用。非法用户可能利用校园网进行未经授权的下载、上传、占用带宽等行为，这不仅占用了大量的网络资源，还可能导致网络拥堵、服务响应缓慢等问题。更为严重的是，这些非法行为还可能引发网络安全事件，如拒绝服务攻击（DoS）、分布式拒绝服务攻击（DDoS）等，对校园网的稳定性和可用性构成严重威胁。
- 实施方案
- 建设后网络架构
在新的网络架构图中，我们通过植入防火墙、IDPS以及路由器的安全性配置的方式，进一步完善原有网络架构的不足以及加强校园网的安全性，降低非法入侵、恶意攻击等可能造成大损失的事件发生性。
-
- 边界安全建设
在校园网中，边界安全是保障内部局域网与公网相连接的安全性的第一道防线，可以通过使用各种安全设备以及相应的网络配置，实施访问检测、流量监测、控制访问等等功能，确保仅有安全授权的合法用户以及合法流量才能进入校园网中，通知大部分外部的攻击和恶意行动。对于边界安全的建设，我们采用搭建防火墙、部署IDPS以及对边界路由器进行一定的安全设置的方式。选择路由器以及防火墙时，我们需要综合其考虑覆盖范围、带宽需求、安全性、网络管理、成本效益等多个因素，以确保校园网的安全性和稳定性，同时，还要关注无线标准、端口数量与类型、附加功能等细节，以满足校园网的特殊需求。下面是我们推荐的设备：
防火墙：
- HiSecEngine USG12004防火墙
设备参数：
| 接口 | 24端口10GBase SFP+ + 2端口100GBase-QSFP28接口板 |
| 产品形态 | 9.8U |
| 宽×深×高(mm) | 442 × 874 × 438 |
| 输入额定电压 | 直流（DC）：-48V/-60V |
| 输入电压范围 | 直流（DC）：-40V～-72V |
| 最大输入电流 | 直流（DC）：58.5A @ -40V |
| 风扇类型 | 可插拔风扇 |
| 电源冗余 | 支持 |
| 重量（空配，不含包材） | USG12004-DC：81kg |
| 重量（满配，不含包材） | USG12004-DC：141.4kg |
HiSecEngine USG12004防火墙是华为公司推出的T级AI防火墙，专为大型企业、云计算数据中心及校园网出口设计。它采用先进的硬件架构设计和多种绿色节能创新技术，旨在为用户提供高效、稳定且节能的网络安全防护。USG12004提供高达T级的业务处理性能，能够轻松应对大流量、多业务威胁防御场景。其单槽位接口密度最高可达18x100GE，满足校园网大流量的需求。具有丰富的安全特性，集成NAT、CGN、VPN、虚拟化以及内容安全等多种安全特性，为用户构建全方位的安全防护体系。还具备完善的运营商级高可靠性架构和方案，支持双主控、双机热备、NSR、GR等多种可靠性机制，确保校园网络服务的连续性和稳定性。
- Cisco Cisco Secure Firewall 4245
设备参数：
| 吞吐量：固件 + AVC （1024B） | 140 Gbps的 |
| 吞吐量：固件 + AVC + IPS （1024B） | 140 Gbps的 |
| 最大并发会话数，带 AVC | 6000万 |
| 每秒新连接数，AVC | 800 千米 |
| TLS（硬件解密）1 | 45 Gbps的 |
| 吞吐量：NGIPS （1024B） | 140 Gbps的 |
| IPSec VPN 吞吐量 | 140 Gbps的 |
| 最大 VPN 对等体 | 30,000 |
| 集中管理 | 集中配置、日志记录、监控和报告由防火墙管理中心执行，或者使用思科防御协调器在云中执行 |
| 应用程序可视性和 | 标准，支持 4000 多种应用程序，以及地理位置、用户和网站 |
| AVC：OpenAppID 支持自定义、开源、应用程序检测器 | 标准 |
| 思科安全智能 | 标配 IP、URL 和 DNS 威胁情报 |
| 思科安全 IPS | 可用;可以被动检测端点和基础设施，以进行威胁关联和入侵指标 （IOC） 情报 |
| 思科恶意软件防御 | 可用;能够检测、阻止、跟踪、分析和遏制有针对性和持久性的恶意软件，从而解决攻击期间和之后的攻击连续性问题。与CISCO安全终端的集成威胁关联也可选择使用 |
| 思科安全恶意软件分析 | 可用 |
| URL 过滤：类别数量 | 超过 80 个 |
| URL 过滤：分类的 URL 数量 | 超过2.8亿 |
| 尺寸（高 x 宽 x 深） | 4.39 x 42.9 x 81.28 厘米 （1.73 x 16.89 x 32.0 英寸） |
| 外形尺寸（机架单元） | 1RU |
| 固定端口 | 8 个 1/10/25 千兆以太网端口 （SFP28） |
| 集成网络管理端口 | 2 个 1/10/25 千兆以太网端口 （SFP28） |
| 网络模块 | ● 8 端口 1Gbps 铜缆，FTW（故障接线）网络模块 ◦未配置为 FTW 的端口可用作常规 1 Gb 铜缆端口 ● 8 x 1/10 千兆以太网小型可插拔 （SFP+） 网络模块 ● 8 个 1/10/25 千兆以太网小型可插拔 （SFP28） 网络模块 ● 4 个 40 Gb 以太网四通道 SFP+ 网络模块 ● 4 个 40/100/200 千兆以太网四通道 SFP28 （QSFP28） 网络模块 ● 2 个 100G 千兆以太网 QSFP SFP28 网络模块 ● 6 端口 10Gbps SR 光纤 FTW（不接线）网络模块 ● 6 端口 10Gbps LR 光纤 FTW（不接线）网络模块 ● 6 端口 25Gbps LR 光纤 FTW（不接线）网络模块 ● 6 端口 25Gbps SR 光纤 FTW（不接线）网络模块 |
| 最大接口数 | 多达 24 个 10 Gb 以太网 （SFP+） 接口;多达 8 个 25 千兆以太网 （SFP28） 接口，带 2 个网络模块;多达 8 个 40 Gb 以太网 （QSFP+） 接口，带 2 个网络模块;多达 24 个 1 千兆以太网端口 （SFP），带有 2 个网络模块和固定端口;多达 8 个 100 Gb 以太网 （QSFP28） 接口，带 2 个网络模块 |
| 串行端口 | 1 x RJ-45 控制台 |
| USB接口 | 1 个 USB 2.0 |
| 存储 | 1.8 TB x 2 |
| 重量 | 46 磅（20.8 千克）：2 个电源、2 个纳米管、3 个风扇模块;36 磅（16.3 千克）：无电源、无 NM、无风扇 |
Cisco Cisco Secure Firewall 4245是一款高端防火墙设备，专为满足大型企业、数据中心和服务提供商的安全需求而设计，能够在紧凑的1RU外形规格内提供卓越的威胁防御能力。Cisco Cisco Secure Firewall 4245具有高性能与可扩展性，提供高达180Gbps的防火墙吞吐量和140Gbps的IPS吞吐量（FPR-4245型号），满足校园网大流量的需求，还支持8x节点集群，为未来的网络扩展提供了坚实的基础。它的接口提供最多2个接口模块槽位，支持额外的接口支持，满足校园网不同的连接需求，最多可定制200G接口，满足未来网络带宽的增长需求。双管理接口确保设备的正常运行时间和恢复能力，故障时自动旁路网络模块，增强了设备的可靠性和容错能力。同时还支持思科Firepower威胁防御软件和思科ASA软件，提供全面的网络安全防护。
我们考虑将防火墙部署在边界地带以及两个重要的数据中心的入口，形成对校园网外来用户的访问限制以及校园内重要数据的多重保护，提供一定程度上的安全隔离。
边界路由器：
- NetEngine AR5710-H8T2TS1路由器
设备参数：
| SD-WAN 转发性能 | 1Gbps |
| 固定 WAN 接口 | 2*GE Combo |
| 固定 LAN 接口 | 8*GE 电 可切换为 WAN 口 |
| WLAN | - |
| PoE | - |
| PoE 供电能力 | - |
| MIC 插槽 | 1*MIC |
| 串行辅助/控制台端口 | 1* RJ45 Console 串口 |
| USB 接口 | 1*USB2.0 |
| 内存 | 4GB |
| Flash | 2GB |
| 不含包材尺寸（H*W*D） | 44.0 mm x 300.0 mm x 220.3 mm |
| 含包材尺寸（H*W*D） | 110.0 mm x 435.0 mm x 360 mm |
| 重量（空配） | 1.8 kg |
| 可安装机架 | IEC |
| 占用机架高度 | 1U |
| 额定输入电压（AC） | 100V to 240V |
| 额定输入频率（AC） | 50 Hz/60 Hz |
| 最大输入电压范围（AC） | 90V to 264V |
| 最大输出电流（AC） | 3A |
| 最大输出功率（AC） | 36W |
| 最大功耗 | 29W |
| 风扇 | 内置风扇，不可插拔 |
| 风道 | 左进冷风、右出热风 |
| 噪声水平 | 41.9dB |
| 工作环境温度 | 0℃～45℃ |
| 工作环境湿度 | 5%～95% （不结露） |
| 工作环境海拔 | 小于 5000m |
| 存储环境温度 | -40℃~70℃ |
| 存储环境海拔 | 小于 5000m |
NetEngine AR5710-H8T2TS1是该华为NetEngine AR5700系列中的一款代表性产品，其强大的功能和灵活的配置能力使其成为校园网络的理想选择。华为NetEngine AR5710-H8T2TS1路由器遵循电信级标准设计，提供电源模块、光模块热插拔机制，为校园用户提供可靠优质的服务。此外，该系列路由器还具备设备防攻击机制，抵御来自网络的攻击，保障校园网络的安全稳定。该路由器还具备多业务集成能力，让企业用户可以轻松地使用路由器、交换机和无线设备的各种特性。路由器提供目前业界最高的端口密度和可灵活组合的插槽，满足局域网、广域网和无线网的接入需求。这种硬件扩展能力使得校园可以根据自身业务的发展需求，灵活地扩展网络规模。该系列路由器支持一站式部署，即插即用，免现场调测的维护方式。同时，还支持对用户侧设备CPE进行远程集中管理功能，极大地降低了企业用户的维护成本，提高了维护效率。
- Cisco 111x 8P
设备参数：
| 尺寸（高 x 宽 x 深） | 1.75 x 12.70 x 9.015 英寸 |
| 重量 | 4.37磅（1.98千克） |
| 最大功耗（不包括外部 PS 损耗） | C1111：19.2W C111x：35.3瓦 |
| 外接电源 | ●交流输入电压：通用 100 至 240 VAC，50 至 60 Hz ●输出电压：12 VDC ●最大输出功率：66W ●需要 150W 电源用于可选的 PoE 和 PoE+ ●PoE 输出电压为 -53.5 VDC |
| 操作条件 | ●温度：海平面 0° 至 40°C，40°C 降额 1°C/1000 英尺 ●海拔高度：0 至 10,000 英尺（0 至 3048 米） ●湿度：10% 至 85% 相对湿度（非冷凝） |
| 非工作条件 | ●温度：-40° 至 +70°C（-40° 至 +158°F） ●海拔高度：0 至 15,000 英尺（0 至 4572 米） ●湿度：5% 至 95% 相对湿度（非冷凝） |
思科111x 8P是一款功能强大的企业级路由器，设计用于中小型企业或校园网络，提供丰富的网络功能和出色的性能。该系列路由器旨在满足现代网络对高带宽、安全性、灵活性和可扩展性的需求。它提供两种DRAM选项（4GB和8GB），为运行复杂应用和网络服务提供了足够的内存空间。同时，较大的闪存容量有助于存储操作系统、配置文件和日志信息。还支持Cisco IOS XE操作系统，这是一个功能强大且易于管理的操作系统，提供广泛的网络功能和安全性特性。具有超高的加密吞吐量，最大（单隧道，IMIX）可达到679 Mbps，这确保了即使在高加密需求的网络环境中，也能保持出色的性能。同时具有4或8个集成GE LAN端口（铜缆）和1个GE WAN端口（铜缆或组合端口），可以根据需要灵活配置网络接口。除此之外还提供PoE/PoE+升级、嵌入式LTE技术和嵌入式接入点（802.11ac无线LAN）等可选功能，大大增强了路由器的灵活性和可扩展性。
边界路由器是连接局域网与广域网的设备，它的位置非常敏感，因此我们决定采用安全性更为先进的路由器设备作为边界路由器，在硬件上增强安全性能。还结合防火墙以及IDPS（详细情况请看3.入侵检测分析）形成三层防线，在最大程度上安全校园网的出入口安全。在相关的安全配置上，我们需要经常的修改默认口令，并使用复杂且独特的密码，避免被偶然或者强力破解。还要配置访问控制列表（ACL），ACL可以精确控制进出路由器的数据包，从而限制对网络的访问，只允许必要的流量通过路由器，并阻止潜在的恶意流量。还可以只赋予用户和应用程序所需的最小权限，避免潜在的安全风险，降低网络被内部人员或外部攻击者滥用的可能性。
-
- 入侵检测建设
我们将入侵检测建设分为两部分，一个是入侵检测建设，另一个是入侵防御建设，这分别需要用到IDS以及IPS的相关的设备。在选择IPS设备和IDS设备时，需要综合考虑性能、检测率、稳定性与可靠性、部署与管理、价格与成本等多个因素。下面是我们推荐的设备
IDS：
- 天融信TopSentry 3000(TS-21106)
设备参数：
| 端口性能： | 机架式设备，配置为默认包含4个10/100/1000 电接口，支持Bypass，可扩展8个SFP插槽 |
| 吞吐率： | 8Gbps |
| 最大并发连接数： | 220万 |
| IDS吞吐率： | 6Gbps |
| DDOS防御功能： | 支持检测包括land、Smurf、Pingofdeath、winnuke、tcp_sscan、ip_option、teardrop、targa3、ipspoof、Synflood、Icmpflood、Udpflood、Portscan、ipsweep等在内的DOS/DDOS攻击；支持DHCP flood、DNS Flood、CC攻击防御；支持DDOS 机器人自学习功能，学习时间可设置。 |
| 策略要求： | 能够检测包括溢出攻击类、RPC攻击类、WEBCGI攻击类、拒绝服务类、木马类、蠕虫类、扫描类、网络访问类、HTTP攻击类、系统漏洞类等在内的超过3500种攻击事件；支持丢弃报文、记录日志、禁止连接、TCP reset等多种响应动作；支持自定义攻击检测规则、支持黑名单，将攻击源加入黑名单，一段时间内禁止访问；支持攻击报文取证功能，检测到攻击事件后将原始报文完整记录下来，作为电子证据。 |
天融信TopSentry 3000(TS-21106)是一款高性能的入侵检测系统（IDS），配备了专用的安全操作系统TOS，具有完全自主知识产权。该系统采用机架式硬件设备，具备多核处理器和全并发多核系统，确保在处理网络流量和检测潜在威胁时具有出色的性能。该系统支持多种接入模式，包括直连、路由、VLAN、旁路监听和混合部署，以满足不同网络环境的部署需求。该系统支持基于源/目的地址、接口的策略路由，为用户提供灵活的网络流量控制和管理能力。采用多核处理器和全并发多核系统，提供高达8Gbps的吞吐率和6Gbps的IDS吞吐率，支持高达220万的最大并发连接数。还有可扩展的SFP插槽设计允许用户根据需求增加网络接口，提高系统的可扩展性。具有强大的DDOS防御功能，能够检测并防御包括land、Smurf、Pingofdeath等多种DOS/DDOS攻击，支持DHCP flood、DNS Flood、CC攻击等现代网络威胁的防御。DDOS机器人自学习功能允许系统根据学习到的攻击模式自动优化防御策略，提高防御效果。可检测攻击事件超过3500种，覆盖溢出攻击类、RPC攻击类、WEBCGI攻击类等多种攻击类型，确保系统能够及时发现并应对各种网络威胁。系统支持多种响应动作，包括丢弃报文、记录日志、禁止连接、TCP reset等，允许用户根据攻击类型和严重程度选择合适的响应方式。此外，还支持自定义攻击检测规则和黑名单功能，为用户提供更加灵活和个性化的安全防御策略。此外该系统支持攻击报文取证功能，当检测到攻击事件时，可以完整记录原始报文作为电子证据。这对于后续的安全事件分析和追责具有重要意义。
- HiSecEngine IPS6525FD
设备参数：
| 固定端口 | 16*GE(RJ45) + 12*GE(SFP) + 4*10GE(SFP+) |
| USB 接口 | 1×USB2.0 1×USB3.0 |
| 外置存储 | 选配，2.5 英寸形态硬盘，支持 SSD 240GB/480GB/960GB/1920GB，支持热插拔 |
| Bypass 插卡 | 支持 |
| 产品形态 | 1U |
| 尺寸(W×D×H,单 位 mm) | 442 x 420 x 43.6 |
| 风扇 | 1+1 |
| 散热（气流走向） | 前面板进，后面板出 |
| 最大功耗 | 180W |
| 电源输入电压 | 100V～240V |
| 电源冗余 | 可选配 1+1 冗余电源 |
| 重量(空配） | 7.2kg |
| 工作环境 | 温度：0℃～45℃ 湿度：5%RH～95%RH，无冷凝 |
| 存储环境 | 温度：-40℃～70℃ 湿度：5%RH～95%RH，无冷凝 |
华为HiSecEngine IPS6525FD是一款功能全面的网络安全设备，具备强大的安全检测、应用识别、入侵检测、病毒检测等能力。该系统采用专用的安全操作系统，结合多核处理器和全并发多核系统架构，确保在高网络流量下也能保持高效的性能。该IDS支持丰富的安全策略，如基于VLAN ID、五元组、安全域等的流量管控，为企业的网络安全提供全方位的保护。采用非基于端口的识别技术，如签名、关联识别、行为识别等，能够准确识别出网络中的6000+种应用，并支持自定义应用和细分应用。此外，该系统还支持50+的分类和20+的风险标签，方便用户基于分类和标签进行访问控制。还能够实时获取最新的威胁信息，准确检测针对漏洞的攻击，它支持万级CVE漏洞覆盖，能够检测漏洞攻击、Web攻击（如SQL注入、跨站脚本攻击等）、僵尸网络/远控/木马等恶意流量。同时，该系统还支持基于用户行为的暴力破解检测，以及自定义签名等功能，为用户提供强大的入侵检测能力。除此之外，该系统支持多种协议的文件病毒检测，包括HTTP、FTP、SMTP等，能够检测包括木马、蠕虫、间谍软件在内的各种病毒类型。该系统也支持旁路检测部署，支持二、三层基本转发和静态/动态路由协议。在响应方式上，该系统支持日志告警、记录日志、禁止连接等多种响应方式，确保在检测到攻击时能够迅速做出响应。
IPS：
- IPS6520F-K
| ||||||||||||||||||||||||
华为HiSecEngine IPS6520F-K是华为公司推出的新一代专业入侵检测防御产品（Intrusion Prevention System, IPS）。不仅继承了传统IPS产品的核心功能，如深度包检测、应用层威胁检测等，还加入了更多的智能特性，以满足当前复杂的网络安全环境的需求。IPS6520F-K主要面向企业、IDC（互联网数据中心）、校园网和运营商等客户群体，旨在为客户提供强大的网络安全保障。IPS6520F-K增加了对被检测内容、深度应用和网络环境的感知能力。这种感知能力使得它能够更准确地识别网络中的正常流量和潜在威胁，从而实现更精准的检测。而且面对日益增加的网络攻击技术，IPS6520F-K还能通过先进的分析技术和威胁情报库，提供了对未知威胁的防御能力。这种能力可以有效应对零日攻击等新型威胁。IPS6520F-K具有高性能的检测和防御能力，即使在处理高速网络流量时，也能保证低延迟和高吞吐率。同时还支持多种部署方式，包括透明模式、路由模式等，方便用户根据实际需求进行部署，提供了丰富的管理接口和工具，使得用户可以轻松地进行配置、监控和维护。此外，IPS652F-K不仅关注网络层面的威胁，还提供了对应用层、客户端和网络带宽性能的全面防护，这种全方位的防护可以确保客户网络的安全和稳定运行。
- H3C SecPath T1080
设备参数：
| 接口 | 1个配置口（CON） 2个外置USB host接口 16个千兆以太电口 8个千兆以太光口 2个万兆以太光口 |
| 扩展槽位 | 2个 |
| 电源 | 双电源 |
| 外型尺寸（W×D×H） | 440mm×435mm×44.2mm |
| 环境温度 | 工作：0～45℃ 非工作：-40～70℃ |
| 环境湿度 | 工作：10～95%，无冷凝 非工作：5～95%，无冷凝 |
SecPath T1080是H3C团队的一款高性能的入侵防御系统（IPS），专为保护校园网络免受各类网络攻击和恶意行为而设计。该系统采用了专用的64位多核高性能处理器和高速存储器，结合CPU+Switch的架构，实现了高性能安全业务处理能力。T1080具备丰富的端口配置，包括千兆电口、千兆光口以及万兆SFP+光口，以满足不同规模网络的需求。它采用64位多核高性能处理器和高速存储器，确保在安全业务处理中具备出色的性能。以及支持多种虚拟化方式，如N:1, 1:N, N:1:M等，满足云计算资源池的需求，实现资源的灵活调度和管理。将入侵防御与检测、病毒防护、带宽管理和URL过滤等功能集成起来，提供7层深度分析与检测，有效阻断各类网络攻击和恶意行为。还支持IPv4和IPv6，提供对异常报文攻击、地址欺骗攻击、扫描攻击、泛洪攻击等多种网络攻击的有效防护。提供阻断、丢弃、允许、CP Reset等多种响应方式，灵活应对不同的安全威胁。支持Web-GUI、CLI、SSH等多种管理方式，提供基于角色的权限控制，确保管理的便捷性和安全性。采用通用的Linux操作系统，提供Netconf接口、TCL脚本执行功能等，便于用户自定义功能开发。
IDS跟IPS通常是组合搭配的，他们一同组成IDPS（入侵检测和防护系统），为网络提供了深层次的安全防护。在部署IDPS时，IDS主要负责实时监控网络流量，检测潜在的威胁和异常行为，而IPS则位于IDS之后，用于实时拦截和阻止检测到的恶意流量。我们将IDS以旁路模式部署在边界路由器后以及办公区、数据中心等敏感信息位置。IDS不会直接参与数据的转发，而是对经过的流量进行镜像或复制，然后进行深度分析和检测，这样就不会对网络性能造成影响，还能够全面监控网络流量。对于IPS，我们将其串联在网络的数据传输路径上，以便对流量进行实时的过滤和防护，当IPS检测到恶意流量时，它会立即阻止该流量继续传播，从而保护内部网络不受攻击。
在安全策略上，我们启用应用识别功能，对网络中传输的应用流量进行识别和分类，设置相应的访问控制策略，如允许、拒绝或限制某些应用的访问。同时配置入侵检测模块，启用对漏洞攻击、Web攻击、僵尸网络/远控/木马等恶意流量的检测功能。同时，配置IPS的防护策略，确保在检测到恶意流量时能够迅速进行拦截和阻止。还有启用病毒检测模块，对HTTP、FTP、SMTP等协议的文件进行病毒检测，确保在检测到病毒文件时能够立即阻止其传播。同样离不开对配置日志和报表功能，记录IDS和IPS的检测和防护日志，这样我们就可以定期的对日志和报表进行分析，了解网络的安全状况和风险趋势，为后续的安全策略调整和优化提供依据。最终的一点就是需要定期更新IDS和IPS的特征库和软件版本，以确保其能够检测和防护最新的威胁和漏洞，定期对IDPS进行维护和优化，确保其性能和稳定性。为了避免内部人员的错误操作或者黑客成功入侵后破坏IDPS,我们还对IDPS进行分权分域管理，确保每个管理员只能访问和操作其权限范围内的设备和功能。
-
- 安全远程办公VPN建设
为了更好的提高工作效率以及及时的对校园里网络安全问题进行处理，远程办公功能的是非常必要的，那么如何实现安全的远程办公，这就需要用到VPN建设，VPN不仅能提高工作效率，还能确保校园网络的安全，有效处理网络安全问题。我们决定从防火墙以及路由器两个方面入手。
在选择用于建设安全远程访问VPN的防火墙和路由器时，需要综合考虑安全性、网络性能、网络功能、管理方式、速度和稳定性、功能和兼容性、预算和性价比以及品牌和口碑等多个因素，下面我们推荐的设备：
防火墙：
- HiSecEngine USG6525E防火墙(盒式)
| 固定接口 | 2 x 10GE (SFP+) + 8 x GE Combo + 2 x GE WAN |
| 产品形态 | 1U |
| 存储 | 选配，支持M.2卡，64G/240G |
| 一体化防护 | 集传统防火墙、VPN、入侵防御、防病毒、数据防泄漏、带宽管理、Anti-DDoS、URL过滤、反垃圾邮件等多种功能于一身，全局配置视图和一体化策略管理 |
| 应用识别与管控 | 识别6000+应用，访问控制精度到应用功能，例如：区分微信的文字和语音。应用识别与入侵检测、防病毒、内容过滤相结合，提高检测性能和准确率。 |
| 带宽管理 | 在识别业务应用的基础上，可管理每用户/IP使用的带宽, 确保关键业务和关键用户的网络体验。管控方式包括：限制最大带宽或保障最小带宽、应用的策略路由、修改应用转发优先级等 |
| 入侵防御与Web防护 | 第一时间获取最新威胁信息，准确检测并防御针对漏洞的攻击。可防护各种针对web的攻击，包括SQL注入攻击和跨站脚本攻击等。 |
| APT防御 | 与本地/云端沙箱联动，对恶意文件进行检测和阻断 |
| 云管理模式 | 设备自行向云管理平台发起认证注册，实现即插即用，简化网络创建和开局 |
| 云应用安全感知 | 可对企业云应用进行精细化和差异化的控制，满足企业对用户使用云应用的管控需求 |
华为HiSecEngine USG6525E(盒式)华为推出的企业级AI防火墙，在提供NGFW能力的基础上，联动其他安全设备，主动积极防御网络威胁，增强边界检测能力，有效防御高级威胁，同时解决性能下降问题。产品提供模式匹配以及加解密业务处理加速能力，使得防火墙处理内容安全检测、IPSec等业务的性能显著提升。支持联动华为乾坤安全云服务，提供边界防护与响应、漏洞扫描、日志审计等服务，端云联动，立体防御。可以有效的保护我们的远程办公安全。
- H3C F1000-AK1180
设备参数
| 接口 | 1个配置口（CON） 2个USB接口 2个MGMT接口 18个千兆以太电口 8个Combo接口 4个Bypass接口 2个万兆以太光口 |
| 扩展槽 | 无 |
| 硬盘 | 支持双硬盘 |
| 外形尺寸（宽×深×高） | 440mm x 260mm x 43.6mm (1U) |
| 环境温度 | 工作：0～45℃ 非工作：-40～70℃ |
| 环境湿度 | 工作：10～95%，无冷凝 非工作：5～95%，无冷凝 |
H3C SecPath F1000-AK1180防火墙是一款高性能、多千兆及超万兆智慧型安全网关产品。该防火墙基于非X86多核处理器架构，为业务处理提供了强大的硬件支持，确保数据流量能够高效、安全地通过。此外，其丰富的接口扩展能力使得它能够适应各种复杂的网络环境。F1000-AK1180防火墙的VPN功能使得远程用户能够安全地接入校园内部网络，从而访问所需的资源和数据。同时，防火墙的深度安全防御功能能够保护校园办公区网络免受来自远程用户的潜在威胁。此外，该系列防火墙还支持远程管理和监控，管理员可以通过远程方式配置、监控和维护防火墙，大大提高了工作效率和响应速度。
路由器：
- NetEngine AR6100系列企业路由器
设备参数：
| 规格名称 | NetEngine AR6140-16G4XG |
| 转发性能 | 9Mpps-40Mpps |
| 整机交换容量 | 20Gbps-80Gbps |
| 固定WAN接口 | 4*GE + 4*10GE光（兼容GE光） |
| 固定LAN接口 | 12*GE电（可切换为WAN口） |
| SIC插槽 | 4 |
| WSIC插槽（缺省/最大） | 0/2 |
| 5G | 支持5G-SIC业务板卡 |
| 串行辅助/控制台端口 | 1* RJ45 console串口 |
| USB接口 | 1*USB |
| 内存 | 4GB |
| Flash | 1 GB |
| 热插拔 | 支持 |
NetEngine AR6140-16G4XG路由器是华为针对云化时代设计并推出的企业级高端路由器。这款路由器集成了高性能转发引擎、大容量存储和强大的处理能力，以满足现代企业对网络带宽、安全性和灵活性的高要求。AR6140-16G4XG通过其先进的硬件架构和软件优化，实现了业界领先的转发性能，可以确保校园内大量用户同时在线办公时，网络仍然保持流畅，避免因网络拥堵导致的办公效率低下。内置的安全功能可以有效防止网络攻击和数据泄露，保护校园内敏感信息的安全。而且不仅集成了SD-WAN（软件定义广域网）、云管理、VPN（虚拟私人网络）、MPLS（多协议标签交换）、安全、语音等多种功能，还通过开放的API接口支持第三方应用的集成，为用户提供了丰富的网络服务和应用选择。
- H3C MSR5600-WiNet路由器
设备参数：
| 转发性能 | 16Mpps |
| 建议带机量 | 800-1000 |
| NAT并发连接数 | 100万 |
| USB2.0 | 2，支持3/4G Modem扩展 |
| 固定GE接口 | 3GE（Combo）+ 2SFP+ |
| CON/AUX | 1 |
| CON(Mini-USB Type AB) | / |
| SIC槽位 | 4 |
| HMIM插槽 | 1 |
| DHMIM | / |
| VPM | / |
| 最大功耗 | 300W |
| 冗余电源 | 内置双电源 |
| 电源 | AC:100V a.c.～240V a.c.；50Hz/60Hz DC: -48～-60V |
| 机架高度（U高） | 2个机架高度（2RU） |
| 外形尺寸（W×D×H，mm） | 440（mm）*480（mm）*88.1mm |
| 环境温度 | 0～45℃ |
| 环境相对湿度 | 5～95%（不结露） |
| EMC | FCC Part 15 (CFR 47) CLASS A ICES-003 CLASS A VCCI-3 CLASS A VCCI-4 CLASS A CISPR 22 CLASS A EN 55022 CLASS A AS/NZS CISPR22 CLASS A CISPR 24 EN 55024 EN 61000-3-2 EN 61000-3-3 EN 61000-6-1 ETSI EN 300 386 EN 301 489-1 EN 301 489-17 |
| 安全 | UL 60950-1 CAN/CSA C22.2 No 60950-1 IEC 60950-1 EN 60950-1/A11 AS/NZS 60950 EN 60825-1 EN 60825-2 FDA 21 CFR Subchapter J GB 4943 |
H3C MSR5600-WiNet路由器是一款集成了先进技术、高性能、高安全性和高可靠性的网络设备。它采用了H3C成熟的Comware网络操作系统，支持智能的业务调度管理机制，以及多业务模块化的松耦合设计，为复杂多变的网络环境提供了强大的支持。配备了卓越的高性能多核CPU处理器，结合无阻塞交换架构，确保了多业务并发处理能力的大幅提升。双主控系统架构和多种业务协处理引擎（如数据加密引擎和语音DSP处理引擎）进一步增强了其处理复杂网络任务的能力。H3C MSR5600-WiNet路由器强大的安全功能包括报文过滤、VPN技术、路由协议安全防护、终端接入安全、设备管理安全等，确保了远程办公过程中数据的安全性和网络的稳定性。支持VPN技术的多样化（如IPsec、L2TP、GRE、ADVPN、MPLS VPN等），允许远程用户安全地接入校园内部网络，实现远程办公。
建设安全远程访问的VPN时，我们考虑从防火墙以及路由器两方面入手。对于防火墙的配置，我们设定只允许特定IP地址或IP地址范围通过VPN进行远程访问，只允许ESP、IKEv2等VPN通信所需的协议通过，以及端口只开放用于VPN通信的端口。对VPN连接使用AES-256加密算法加密。启用日志记录，记录所有VPN连接的详细信息，包括连接时间、源IP地址、使用的端口和协议等，方便用户及时发现可以数据包。
对于路由器配置，我们在办公区专门配置了一个路由器用于实现安全远程办公，在该路由器上，我们需要配置一个专门的VPN隧道，设置IPSec的VPN协议，设置访问控制列表，只允许经过身份验证的远程用户通过VPN访问内部网络资源。同时对VPN隧道使用强加密算法进行加密。配置VPN用户身份验证，可以使用预共享密钥、证书或用户名/密码等方式。禁用不必要的服务，关闭路由器上不必要的服务和端口，尽量将路由器“隐藏”起来。
-
- 网络安全技术检测建设
网络安全技术检测是保障网络安全的重要手段之一，下面是具体分析：
- 自动化漏洞扫描器：使用如OWASP Zap、BurpSuite等自动化工具，对DVWA靶机进行漏洞扫描。这些工具可以模拟攻击者行为，检测SQL注入、跨站脚本（XSS）、跨站请求伪造（CSRF）等常见Web漏洞。
- 动态应用安全测试（DAST）：通过模拟实际用户行为来测试应用程序的安全性。DAST可以发现应用程序在运行时可能存在的安全漏洞，如会话管理不当、权限控制问题等。
- 静态应用安全测试（SAST）：在代码编译前对源代码进行扫描，以识别潜在的安全漏洞。使用如Checkmarx、SonarQube等工具进行SAST，可以发现与输入验证、编码、访问控制等相关的漏洞。
- 模糊测试：使用模糊测试工具（如Sulley、Peach）向DVWA靶机发送大量随机或伪随机数据，以触发潜在的异常和崩溃，从而发现可能的安全漏洞。
- IDPS技术：IDPS技术可以帮助用户监控网络流量和系统日志，识别潜在的一些入侵行为或异常行为，并及时发出警告以及进行相关的安全处理，保护网络免受安全威胁。
漏洞原理分析与修复建议：
- SQL注入
原理：攻击者通过构造恶意的SQL查询语句，绕过应用程序的输入验证，直接对数据库进行查询、修改或删除操作。
修复建议：使用预编译语句或参数化查询来确保用户输入不会被当作可执行的SQL代码；对用户输入进行严格的验证和过滤；限制数据库用户的权限。
- 跨站点脚本（XSS）
原理：攻击者通过向网页中注入恶意脚本，当其他用户访问该网页时，恶意脚本会在用户浏览器中执行，窃取用户信息或执行其他恶意操作。
修复建议：对用户输入进行严格的过滤和转义；使用HTTP响应头来增强浏览器的XSS防护能力；
- 跨站请求伪造（CSRF）
原理：攻击者利用受害者的已认证身份，发送恶意请求到受信任的网站，执行受害者本不打算进行的操作。
修复建议：使用CSRF令牌（如同步令牌模式）来验证请求的来源；在HTTP头中设置Referrer Policy来限制请求的来源；对于敏感操作，使用二次验证或其他安全措施。
- 文件包含
原理：攻击者通过构造恶意的文件路径或URL，使应用程序包含并执行非预期的文件，从而执行恶意代码或访问敏感文件。
修复建议：限制文件包含功能的使用范围；对包含的文件路径或URL进行严格的验证和过滤；使用白名单机制来限制可包含的文件类型或目录。
- 命令注入
原理：攻击者通过构造恶意的命令字符串，使应用程序在执行系统命令时包含并执行这些命令，从而获得对系统的控制权。
修复建议：对用户提供的任何参数或数据，在执行系统命令之前进行严格的验证和过滤；使用安全的系统调用或库函数来执行命令；限制应用程序的权限。
- 文件上传漏洞
原理：攻击者通过上传包含恶意代码的文件到服务器，然后执行或传送给其他用户，实现远程代码执行或数据泄露。
修复建议：对上传的文件进行严格的类型验证和内容检查；使用安全的文件上传库或框架；限制上传文件的目录权限；对上传的文件进行隔离或沙箱处理。
- 靶机攻防（加分项）
pikachu靶场通关
基于表单的暴力破解
- 先随便输入一个用户名
开启burpsuite拦截，然后用用户名登录，拦截成功
450
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
