1、校园网络信息安全监控系统的设计与实现校园网络信息安全监控系统的设计与实现兰州职业技术学院（电子与信息工程系）毕业设计（论文）课 题 校园网络信息安全监控系统的 设计与实现 所属教学单位 电子与信息工程系 专 业 计算机网络技术 年 级 2013级 学 号 20131050 姓 名 杨翻过 指导教师 李想 2015 年 12 月 4 日摘要信息科技的快速发展，叩响了我国教育行业实现信息化教学的大门。我国教育行业内校园网的普及和应用，正按照现代教学的需求稳健、有序地发展着。但与此同时，在风险控制，安全运行等管理方面也提出了新的要求。随着教育网应用的日益普及, 校园网的安全问题显得越加突出，信息的安
2、全性受到了极大的挑战。基于对网络和系统进行监控与安全审计的迫切需求, 提出了网络安全监控模型及实现流程。通过网络安全监控、网络设备状态监控、IP地址盗用监控的安全审计等关键技术的探讨, 实现了校园网安全监控系统的总体规划和设计, 保证校园网络安全可靠的运行。本次论文研究主要围绕建立一套适用于国内高校运营管理的网络监控系统进行。网络监控系统的主要功能包括：用户管理，对象管理，故障管理，日常巡检管理等。本次论文研究设计的工作包括：研究网络监控系统的运行环境；研究系统总体构架；依据需求分析成果，进行系统总体构架设计；完成数据库，部署架构和系统安全性方面的设计；在系统实现阶段，完成了系统功能运行测试，
3、和系统优化处理工作。关键词：校园网络，信息安全，监控系统第一章绪论1.1课题研究的背景随着信息化的迅速发展，网络故障和安全问题也日渐突出，与外网的监控管理相比局域网的监控管理越来越受到高校的重视。由于网络结构及网络设备日趋复杂，如何在局域网范围内有效地管理院校的内部信息，提高局域网设备的使用率，减少管理人员对机器维护的工作量，已经成为高校迫切需要解决的重要问题之一。随着安全控制理论的发展和计算机技术水平的提高，远程监控系统不仅仅是指对网络设备的监控，它已成为信息管理系统的一个重要组成部分，最大限度地将网络监控的过程有机集成到高校信息管理系统中。所以，对校园网络监控管理系统的研究具有非常现实的意
4、义。网络监控管理的重点内容是故障信息采集、数据分析和传递和警报信号的处置等三大部分，其构成包括客户端、服务器端和子网相关功能部件和模块。1.2 课题研究的意义校园网络应用规模不断扩大, 网络入侵和破坏手段也越来越先进,网络安全技术也同趋复杂，因此，以成熟技术为基础，从应用特性出发，构建满足特定运行环境的网络监控系统具有重要的现实意义。本次课题研究的主攻方向是在充分分析高校网络运行管理需求的基础上，设计和实现一个具有较高产品化的网络监控系统。这次研究不是简单的对几种网络监控技术和产品的研究分析，也不是一次软件实施项目的总结，这是一次将网络监控领域成熟技术与具体应用需求相结合的过程，涉及到项目技术
5、可行性分析，用户需求分析。在每一个环节中，整理和归纳了行之有效的方法和最佳实践，可以为类似项目实施工作提供借鉴。1.3论文研究内容本次论文研究主要围绕校园网络监控系统的设计与实现展开。主要进行了这样几个方面的研究：（1）相关理论和关键技术方面研究。以建设校园网络监控系统为目标，针对相关理论和关键技术进行研究。（2）系统需求分析方面研究。从网络监控系统的应用环境分析入手，确定系统未来定位。采用从整体到局部逐层分解的分析方法，分析系统的总体架构。（3）系统设计方面研究。以需求分析阶段成果为基础，采用分层设计方法完成系统总体设计。同时，针对数据库、系统运行部署架构和系统安全进行设计。1.4 论文组织
6、结构本次论文共分为五章，在论文的第一章绪论部分论述了论文的选题背景。第二章是关键技术概述，主要论述了网络监控系统涉及的一些重要技术方法。第三章、第四章和第五章是论文的主要部分，分别论述了网络监控系统的需求分析、系统设计和技术实现。结论部分论述了论文研究中的收获和不足，以及今后改进的方向，各章主要内容如下：第一章：绪论。阐述了校园网络信息安全方面的问题，由此产生的对校园网络监控系统建设的需求。第二章：相关理论和关键技术介绍。针对网络监控系统的设计与实现研究中涉及的关键技术和重要方法进行论述。第三章：网络监控系统需求分析。在分析校园网络环境的基础上，确定网络监控系统的职能定位。对系统总体架构分析，
7、对系统功能分析从系统运行性能、安全性、可靠性和易操作性四个方面进行了系统非功能性需求分析。第四章：网络监控系统的设计。以校园网络信息安全分析为基础，展开网络监控系统的设计工作。第五章：网络监控系统的实现。网络监控系统的实现部分主要围绕论文研究的三个部分展开，网络设备监控实现和系统测试。第二章相关理论和关键技术介绍2.1 SNMP协议SNMP是简单网络管理协议是基于TCP/IP(传输控制协议)协议族的网络管理标准，是一种在IP网络中管理网络节点（如服务器、工作站、路由器、交换机等）的标准协议。SNMP能够使网络管理员提高网络管理效能，及时发现并解决网络问题以及规划网络的增长。网络管理员还可以通过
8、SNMP接收网络节点的通知消息以及告警事件报告等来获知网络出现的问题。2.2数据库技术的概述随着信息技术应用的不断深入，人们对数据存储的要求不断增加，希望通过结构化的数据存储以实现数据安全保存，方便检索，实现在加工。数据库技术就是为满足这种数据存储需求而诞生的。（1）数据库数据库是一个共享的、集成的计算机结构，它包括最终用户数据和元数据。最终用户数据主要指最终用户感兴趣的“原始”事实。元数据是关于数据的数据，元数据提供了数据库中数据的特性，及数据的关系描述。在某种意义上，一个数据库就像一个管理的非常好的电子档案柜，并有非常大的软件管理档案柜中的内容。相对于传统的文件管理模式，数据库具有很多优势
9、：首先，文件管理数据是“平面”的，而数据库管理数据是“立体”的；其次，数据库支持事务处理，能够保证数据的完整性，文件管理不能做到数据完整性控制；而且数据库可以存放大量的数据，并能够有效的进行数据的组织和管理，而文件管理缺乏组织和管理的功能；最后，数据库的相关技术可以实现高速度，高效率的数据检索，文件管理仅支持简单顺序读取操作。（2）数据库系统凡是能够本叫做“系统”对象一定是由多个部分组成在一起，数据库系统是实现对数据进行管理的技术规范，软件系统，人员要求和外围应用。目前被广泛认同的数据库系统包括：数据库技术，数据库管理系统，数据库管理员，数据库运用程序及用户五部分。数据库系统可以提供各用户共享
10、、具有最小冗余度、数据对程序的独立的、有数据库管理系统统一管理和控制的数据。第三章网络监控系统的需求分析3.1 网络组建实施需求校园信息网络组建，是一项综合性很强的系统工程，需要根据学校实际工作的需求，配合专业网络建设人员进行需求信息的沟通对接，完成网络构建的各种方案，以合理的技术路线，逐一项目、逐步实施实现。3.1.1网络组建方案校园信息网是把当前比较先进的网络技术、多媒体技术和互联网技术等链接组合起来的计机网络，不仅可以把学校各个职能部门子网络和分布在学校各处的计算机终端都连接在一起同时也能起到校内用户与外界沟通的桥梁作用。校园信息网通过先进的硬件设备和大量实用的应用软件来实现高效工作。学
11、校的日常办公、教学管理、信息查询、新闻发布、后勤管理和访问外部资源都可以依托校园网幵展。如图3-1所示：图3-1校园信息网络的基本架构3.2 系统安全性分析3.2.1校园网主要安全威胁类型1)非法访问非法访问主要有假冒、身份攻击、非法进入网络、未授权操作等。在校园网中主要表现为有意或无意闯入学生记录和考试数据库。2)信息丢失或泄露通常包括信息在传输或存储介质中丢失或泄露。如“黑客”们利用电磁泄漏或搭线窃听等方式截取机密信息;或通过对信息流向、流量、通信频度和长度等参数的分析,推断出用户口令、账号等重要信息;还可以通过建立隐蔽隧道等方式窃取敏感信息等。3)破坏数据完整性破坏数据完整性通常指以非法
12、手段窃得对数据的使用权,删除、修改、插入或重发某些重要信息,以取得有益于攻击者的响应, 同时干扰用户的正常使用。4)破坏性攻击破坏性攻击是一种旨在干扰用户正常使用计算机的侵袭行为, 它不断地对网络服务系统进行干扰, 改变其正常的作业流程, 执行无关程序使系统响应减慢甚至瘫痪, 影响正常用户的使用, 甚至使合法用户不能进入计算机网络系统或不能得到相应的服。5)利用网络传播病毒网络的普及为病毒检测与消除带来了极大的难度, 使病毒的破坏性大大高于单机系统, 而且用户很难防范, 成为计算机及其网络安全的一大公害。6)来自内部网的安全问题现在, 黑客攻击工具在网上泛滥成灾, 而个别学生的心理特点决定了其
13、利用这些工具进行攻击的可能性。解决这类问题, 好的管理体制是必不可少的,但还须结合对校园网内部实行全面的监控措施, 才能较为彻底地防范此类问题的危害。3.2.2网络设备监控管理系统的建设需求网络硬件安全方面，除了保证网络设备本身性能稳定可靠，硬件之间数据传输兼容，并且可相互转换之外，还需要有一套对网络硬件设备可以起到监控管理的系统。该系统用于对网络设备工作状态进行实时监控，一旦有错误出现，自动通过系统诊断程序进行修复，如不能修复则进行系统报警并记录。报警形式可以采用多种方式，如：声音提示、短信通知、电子邮件、屏显提示等方式。网络硬件的运行管理。一套稳定可靠的管理系统，可以节省人工成本和全系统的
14、运行成本，也可以避免人工操作存在的时间滞后、出错率高的弊端。由此可见完善的网络监控管理系统，对学校信息网的正常运行十分重要，不仅可以降低经济成本，还可以体现出网络服务的质量，提高用户的满意度和使用效率。3.3 系统功能分析3.3.1用户管理用户管理需求部分包括：密码验证、用户密码规则的控制、修改密码、权限管理、用户注册、用户注销、用户改密、修改用户权限和登录九个功能。用户管理涉及两类用户，所有用户代表通用型用户，可以进行登录处理和修改密码处理；管理员用户属于特殊用户，管理员用户继承了所有用户的能力，同时，也具有特殊的能力，用户注销、用户注册和修改用户权限。功能之间的配合关系以及被外部用户的调用
15、方式采用UML的用例图3-2所示：图3-2 用户管理例图3.3.2对象管理对象管理主要是指被监控对象的管理，包括服务器、网络设备、电信线路及关键业务的应用服务。管理的范围包括对象基本信息的增删改查处理，以及对象监控指标信息的增删改查处理。对象基本信息包括对象的ID编号，中文名称，对象的所属部门，对象的操作维护权限，对象登记进入系统的时间，对象基本信息变更的记录等。对象管理主要包括：被监控对象录入、被监控对象查询、被监控对象变更和被监控对象删除四个功能。功能之间的配合关系以及被外部用户的调用方式采用 UML 的用例图3-3所示：图3-3 对象管理例图对象管理同样涉及两类用户，分别是所有用户和管理
16、员从所有用户继承了基本功能，同时具有自己特殊的功能。所有用户可以处理被监控对象查询，管理员可以操作被监控对象录入、被监控对象变更和被监控对象删除。3.3.3 故障管理监控对象有五种状态，分是：正常、一般告警、严重告警、故障、其他。监控对象的状态与它的处于最严重级别的监控指标的状态值相等，及只要有一个指标的状态为“故障”；则监控对象的状态为“故障”；否则另一个指标的状态为“严重告警”，则监控对象的状态为“严重告警”；以此类推；当能监控的指标的状态均为“正常”；只有在所有指标的状态均为“其他”时，监控对象的状态为“其他”。监控指标的五种状态的含义分别如下：（1）其他。由于某种原因导致无法得到希望的
17、指标状态此时指标的状态表现为“其他”。原因可能有三种，一是设备本身无法连通，导致指标无法采集；二是设备本身没有问题，但指标值返回错误或者超时；（2）严重告警。当指标的当前值触发了一条“严重告警”时，指标转换到“严重告警”状态。（3）一般告警。当指标的当前值触发了一条“一般告警”时，指标转换到“一般告警”状态。（4）故障。当指标的当前值触发了一条“故障”时，指标转换到“故障”状态。（5）正常。当指标的当前值触发了一条“正常”时，指标转换到“正常”状态。在监控视图上，监控对象图标具有不同的背景色，以标识监控对象的状态。监控对象的背景颜色与监控对象的对应关系分别为：红色故障；橙色严重告警；黄色一般告
18、警；灰色其他；无背景色正常。监控对象的背景颜色动态刷新，总是反应监控对象的当前状态。故障管理主要包括：设定故障参数、修改故障参数、故障通知方式、故障知识库维护故障处置五个部分。功能之间的配合关系以及被外部用户的调用方式采用 UML 的用例图3-4所示：图3-4故障管理例图故障管理同样涉及两类用户，分别是所有用户和管理员，所有又何必可以处理故障知识库维护和故障处置，管理员可以操作设定故障参数、修改故障参数和故障通知方式。3.3.4 日常巡检日常巡检主要是通过一系列的自动处理作业，通过监控系统的数据采集功能获取被监控对象的运行情况。日常巡检主要包括：新增巡检策略、巡检策略查询、变更巡检策略和巡检报
19、告输出四个部分。功能之间的配合关系以及被外部用户的调用方式采用 UML 的用例图3-5表示：图3-5日常巡检管理例图日常巡检涉及所有用户和管理员两类用户，管理员从所有用户继承了基本功能的同时具有自己的特殊功能。所有用户可以处理巡检报告输出和巡检，管理员可以操作设定故障参数，修改故障参数和故障通知方式。3.3.5 监控管理监控管理是本系统的核心功能，通过构建自动采集程序获取被监控对象的运行信息，并将采集信息记录入库。在采集的过程中，通过读取被监控对象中设定的监控指标项，根据设定的采集间隔定期获取被监控对象的信息，根据定义将采集得到的信息记录进入数据库。监控管理主要包括：单一对象健康检查和异常情况
20、分析两个部分。功能之间的配合关系以及被外部用户的调用方式采用 UML 的用例图3-6所示：图3-6监控管理管理例图监控管理只涉及管理员，管理员用户可以操作设定对象监控策略和变更对象策略两个用例。3.4 非功能性需求的分析系统的非功能性需求主要指为保障系统运行提供的必要功能，包括系统运行性能要求，系统安全性要求，系统可靠性要求和系统易用性要求。3.4.1系统运行性能需求分析监控系统运行的主要性能指标在于可以并发对多少个被监控对象进行监控数据库采集，以及在预期并发采集要求下，单条采集数据记录进入数据库的处理能力。3.4.2系统可靠性需求的分析系统可靠性主要包括系统成熟性、容错性和已恢复性方面的要求
21、。在系统成熟性方面，要求选择行业成熟的硬件设备，选择成熟的操作系统。在系统容错性方面，要求系统的硬件设备可以避开单点硬件故障的风险。在系统易恢复方面，要求在出现异常时可以通过简单操作实现硬件切换，实现软件服务的停止服务和重新启动服务。3.4.3系统易操作性需求的分析系统易操作性要求监控系统应当具有图形化、操作友好的人机界面。系统用户提供菜单项和工具栏，界面风格遵循一般的Windows界面操作风格。在信息变更维护时，用户提供先查询，在修改编辑、最后保存结果的变更操作方式，以减少用户使用的复杂度。第四章网络监控系统的设计网络监控系统的设计以需求分析为依据，在系统总体设计的基础上，重点针对功能层的用
22、户管理、对象管理、故障管理等功能进行论述。4.1 系统总体设计4.1.1系统拓扑结构本系统的拓扑结构如图4-1所示。图4-1系统拓扑结构图4.1.2系统功能模型的实现流程系统功能模型实现流程如图4-2所示：图4-2系统功能实现模型图4.2 系统业务功能的设计4.2.1 用户管理设计用户管理设计主要关注用户权限的设定以及用户权限和访问资源之间的关系管理。（1）用户权限的设计原则用户权限管理的基本原则是控制不同的用户访问不同的资源，未为保证系统未来的灵活性需要考虑用户权限和被访问资源之间的动态关联。通常实现方式采用在系统中预制一定数量的角色，通过角色权限来控制用户访问资源，用户可以赋予多个角色，也
23、获得了多个角色的权限。（2）用户访问权限的实现用户权限控制在系统中是通过一张访问控制列表和用户ID和角色映射关系表组合实现的。4.2.2 对象管理设计网络监控系统的对象管理主要包括两个主要功能部件，一个是监控对象的登记处理，另一个是监控对象才加处理。前者是对监控设备中计划进行监控的指标项进行登记，后者则是监控过程中数据的记录。（1）监控对象登记监控对象登记处理包括对象信息的登记和操作处理。监控对象信息涉及：监控指标项的名称、ID标识、数据类型等信息。监控对象的操作涉及信息的录入、变更和删除。（2）监控数据记录监控数据记录主要完成数据存储处理。4.2.3 故障管理设计（1）故障参数维护故障参数维
24、护涉及对故障参数和故障告警参数的处理操作，包括参数数据的增加，变更和删除操作。由于故障参数和故障告警参数属于重要信息，因此其相关操作执行需要进行权限控制验证，操作执行后需要记录重要操作日志。（2）故障告警故障通知的职能是网络监控系统发现被监控设备在运行过程中，信息状态达到某种临界值时，根据系统定义的通知对象和通知方式进行告警信息通知。（3）日常巡检设计日常巡检处理主要是对被监控设备进行日常的健康检查操作网络监控系统中的日常巡检将此前的手工操作设定为一个一个的批处理操作日常巡检包括两种工作形式：定期作业和手动出发。（1）定期作业定期作业采用后台作业形式工作。定期作业将巡检结果形成报告，以报表的形
25、式展现。（2）手动触发手动触发是由操作人员手工触发的设备巡检处理，手工触发一般会对批处理设备进行巡检。巡检结果的展现可以是报表形式，也可以是一个结果标识。4.3 数据库设计根据系统功能性需求分析，从数据存储角度，针对用户管理，对象管理、故障管理、日常巡检进行数据库设计。（1）用户管理部分数据库设计用户管理部分主要包括用户登记表，权限登记表和用户登录表。用户登记表中记录用户名和用户口令，用于进行用户验证密码，最近变更时间用于记录用户修改权限修改密码等，重要操作。权限登记表用于记录用户与相关资源的对应关系。用户登录表记录了不同用户登录系统的情况，涉及登录时间。（2）对象管理部分数据库设计对象管理的
26、数据库设计主要包括对象类型登记表，对象基本信息登记表和对象监控信息登记表。（3）对象管理部分数据库设计故障管理的数据库设计主要包括故障参数表，故障通知参数表。（4）日常巡检部分数据库设计日常巡检部分的数据库设计主要包括日常巡检策略配置表。日常巡检策略配置表属于参数维护表，记录了用于进行日常巡检的工作策略。（5）系统公共功能部分的数据库设计系统公共功能部分的数据库设计主要包括重要操作日志表和系统相应代码表。重要操作日志表记录了用户操作系统的历史记录，包括操作时间和操作描述。系统相应代码表属于参数维护表，登记了处理过程中每一个相应代码对应的中文描述含义。4.4 系统安全设计4.4.1数据安全控制的
27、设计网络系统的数据的安全控制主要通过控制重要操作日志、数据加密处理和数据备份管理三个部分组成。（1）重要操作日志的管理重要日志操作管理的重要操作范围包括：用户和角色的创建，删除、用户权限的调整、监控对象的增删改、系统备份系统的启动、系统的暂停服务等操作。重要操作日志需要定义存储文件大小，对于滚动记录的日志文件需要定义滚动周期，对于连续记录的日志文件需要定义归档周期和操作。（2）数据加密的处理为保证系统的安全性，用户的敏感信息在数据库中采用密文形式储存。（3）数据备份的管理数据备份采用存储过程完成，数据库系统建立定时任务运行存储过程，定时数据的备份和清理。第5章网络监控系统的实现5.1系统关键技
28、术的实现5.1.1网络安全监控模块的实现为了实现对校园网中的交换式网络进行监控, 首要的工作就是要捕获被监控主机中传输的数据包, 并把捕获的数据包转给负责监控的计算机进行分析和过滤处理。5.1.2监控数据的捕获本系统采用SNMP和RMON相结合的技术实现数据的捕获。 SNMP即简单网络管理协议, 通过使用其嵌入到网络设施中的代理软件, 可以捕获到网络的通信信息和有关网络设备的统计数据。而RMONMIB远程监控管理信息库则是一种特殊的SNMP管理信息库,可以使各种网络监控器和控制台系统之间很好地交换网络监控数据。通过访问RMON设备, 可以获得更多的网络管理信息, 为网络管理员选择符合特殊网络需
29、求的控制台和网络监控探测器提供了更多的自由和便利。5.1.3监控数据的过滤对于捕获的数据包,通过设置一定的控制策略来判断其Destination IPAddress是否属于规则库中设定的限制访问集合, 如果是, 监控主机可以采用切断或关闭TCP连接的手段阻止用户的继续访问。网络设备监控实现网络监控系统对网络设备监控的过程是一个从总体向局部的过程，也是由总体向细节逐层细化的过程。5.2网络设备状态监控模块的实现5.2.1网络设备状态数据的采集网络设备状态监控数据的采集主要通过基于UCD SNMP的开发平台来设计实现。该平台提供大量封装好的库函数和链接库, 可以很方便地开发出运行在被管设备上的代理
30、程序。代理程序不断地收集统计数据,并把数据记录到MIB中并描述被管设备所能提供的管理信息,网络系统通过与代理软件的交互获取需要的设备状态数据。5.2.2网络设备状态数据的监控网络设备状态数据的监控主要是通过收集校园网内交换机/路由器各个端口的流入和流出字节数,并形成统计数据, 从而计算出交换机、路由器的利用率、丢包率等关键数据, 并在Web浏览器中以图表的形式直观显示出来。管理人员可以实时地观察网络的运行情况, 发现超载的部件, 找出潜在的问题。通过对不同时期、不同时间网络流量的分析, 可以预测网络的发展趋势。5.3IP地址盗用监控模块的实现5.3.1端口数据采集的实现端口数据采集的过程, 即
31、通过基于Socket的代理端口采集程序来采集网络中处于活动状态的IP地址信息及MAC地址,与登记在库的合法IP和MAC地址相比较, 作为判定IP地址合法性的依据。5.3.2IP地址合法性的判断判断一个IP地址合法性, 第一步要在数据库中建立IP地址与MAC的对应表。第二步通过搜索、配置程序建立起IP与MAC地址的绑定。数据分析模块负责接收和分析Socket程序采集到的数据,并将数据和合法IP和MAC对应表比较,判断是否存在IP地址盗用。一旦发现IP盗用, 系统会自动产生报警信息, 同时记录盗用主机的原始 IP、MAC地址和被盗用主机的IP地址、MAC地址、登记信息,提供给网络管理员采取相应处。5.4系统测试5.4.1系统性能测试性能测试阶段通过设计多种测试场景，模拟系统在复杂环境下可能应对的不同情况，检验系统的处理性能、可用性和稳定。（1）性能测试环境性能测试的目标是测试系统运行环境下处理能力的最大限度，为达到测试目标，首先需要构建一个测试环境，尽量模拟未来运行环境，同时需要规避干扰因素，考虑到这些因素，在性能测试环境建立时，选择了服务器、路由器和交换机作为被监控设备，选择与生产环境同配置的服务器作为网络监控服务器，被监控设备与网络监控系统测试机通过专网连接，避免没有必要的网络干扰。网络监控系统
