《中华人民共和国网络安全法》第一章第十条中规定:建设、运营网络或者通过网络提供服务，应当依照法律、行政法规的规定和国家标准的强制性要求，采取技术措施和其他必要措施，保障网络安全、稳定运行，有效应对网络安全事件，防范网络违法犯罪活动，维护网络数据的完整性、保密性和可用性［1］。高等学校图书馆是学校的文献信息资源中心，是为人才培养和科学研究服务的学术性机构，是学校信息化建设的重要组成部分，是校园文化和社会文化建设的重要基地［2］，更应当注重网络安全建设工作，加强网络的安全性、可靠性和稳定性，为充分发挥其功能提供保障。

1高校图书馆网络安全建设现状

目前，高校图书馆在网络安全建设工作中主要存在以下五类问题:1)网络安全重视不足。高校图书馆在高校建设规划中的地位呈逐渐下降的趋势［3］，或因为一些客观原因导致经济下行压力加大，高校图书馆信息化建设的投入受到一定限制，网络安全作为信息化建设中一个需要长期投入又难以显现成效的子项目，很大程度上未得到足够的重视。2)防御手段单一。高校图书馆发展的重心一直是各类型纸质和数字资源建设及以其为基础的文献信息服务，服务平台中的网络安全设备投入较少，网安防御组件通常只使用防火墙和杀毒软件，导致防御手段十分单一。事实上，网络安全防御技术包括防病毒技术、身份认证、IPS入侵检测、流量可视化分析、日志审计、安全态势感知等多种技术手段［4］。3)防御纵深不足。部分高校图书馆信息服务平台建设和网络维护人员的专业背景和网络安全贴合度较低，在运维图书馆网络时通常仅使用传统的网络安全设备，迭代更新迟缓，并且未能发挥各网安组件的联动功能，导致网络系统的防御纵深不足。4)对网络攻击的敏感度差。传统的网络安全设备如防火墙、病毒检测系统等，都是基于签名匹配的原理来检测攻击，可以应对那些存在于特征库中的网络攻击，但对于零日漏洞、APT(AdvancedPersistentThreat，高级持续性威胁)攻击以及缺乏签名的攻击则无能为力。网络攻击并非总是立即生成破坏力，而是隐藏于网络中不断地窃取系统内的重要信息，只使用传统网络安全设备的网络架构将很难发现这样的网络攻击［5］。5)网络架构混乱。高校图书馆网络服务的对象包含且不限于学生、教师、职工等校内外读者，对于不同的角色需要使用不同的网络管理策略，同时读者基于学习和教学科研等需要会将自己的设备接入图书馆的网络中，这样动态的变化给图书馆的网络架构设计尤其是网络安全带来了严峻的挑战，而很多高校图书馆并没有完美地应对这种挑战。

2高校图书馆网络安全建设关键点

2．1确保网络边界安全高校图书馆的网络系统通常隶属于校园主干网，如图1所示，高校图书馆内网通过防火墙和核心路由器接入校园主干网。虽然校园主干网会提供一定的安全防护机制，但这并不意味着图书馆的网络系统可以高枕无忧地呆在“保护伞”下，相反，校园网是非常容易遭受网络攻击的对象，一旦校园网被突破，缺乏防御机制的图书馆内网将直接暴露在攻击者面前。因此，高校图书馆在设计其网络架构时更应当严格划分网络安全职责，确保网络边界安全。

2．2网络架构分层良好的层次架构能给日常的网络安全维护工作和日后的架构升级工作带来巨大的便利［6］，在设计高校图书馆网络的层次架构时，应当遵循以下基本原则:1)每一层的业务逻辑独立，最大限度地减少系统耦合性;2)除相邻两层外，其余各层之间的互相交流少;3)相邻层分为上下两层，下层应当实现更为基础的功能，并为上层提供服务。一种典型的高校图书馆网络架构如图2所示，整个架构分为4层，由上至下分别是核心层、汇聚层、接入层和终端层。核心层的功能是接入校园主干网，高效、可靠地转发内网和外网的交互流量;汇聚层的功能是汇聚整个网络系统的流量，对流量进行监控和管理;接入层负责接入不同组织的终端设备;终端层则是用户直接使用的硬件或软件设备。

2．3内网组织架构划分与管理高校图书馆网络需要为各种类型的对象提供服务，业务逻辑纷杂繁多，如果使用统一的规则来管理所有用户、终端和服务器，将导致整个网络混乱不堪，信息资产毫无安全性可言，因此，合理地划分组织架构，对不同的组织架构使用不同的网络管理策略是至关重要的。

2．4网络状况实时监控与态势感知我国公共图书馆的网络安全防御存在防御手段单一、防御纵深不足、对网络攻击的敏感度差等特点，因此，对图书馆内部的网络状态进行实时监控和态势感知势在必行。为了解决防御手段单一的问题，可以在图书馆网络架构中部署防火墙、IPS入侵检测系统、漏洞扫描系统、日志审计系统、流量分析系统等不同功能的网络安全设备。为了解决防御纵深不足的问题，可以将自动防御设备和人工结合在一起，将网络状态可视化，人为地监测自动防御设备漏报的威胁。为了解决对网络攻击敏感度差的问题，应当让不同功能的网络安全设备形成联动，分步把关，尽最大努力对网络中的流量进行安全检测。

3系统总体架构

高校图书馆的网络系统承担着丰富高校师生读者的精神生活、为教学和科研工作提供便捷的基础服务、繁荣发展中国特色社会主义文化等职能，因此，建设一个容错高、可靠性大、效率高、速度快的高校图书馆网络系统迫在眉睫。基于此背景，本文提出一个分层建设、可扩展性大、安全性高且能提供高效网络服务的网络架构设计。如图3所示，系统一共分为4层，由上至下分别是核心层、汇聚层、接入层和设备层。核心层负责将图书馆内网和校园主干网进行互联，提供内网和外网的快速流量转发。它的主要组成设备有防火墙和核心路由器，防火墙清晰地将校园主干网和图书馆内网划分开，对进出图书馆内网的流量进行了初步的监管，能一定程度地排除不安全的流量。汇聚层汇聚了整个图书馆内网所有流量，对这些流量进行系统的分析和管控是保证整个网络安全性的重中之重。因此，在汇聚层的交换机上可以旁路部署多种多样的网络安全设备和组件，如漏洞扫描、IPS入侵检测、日志审计、网络安全态势感知、数据库审计等，这些组件并非各自为战，而是相辅相成、互相联动，共同捍卫整个系统的网络安全。接入层负责将各个组织的终端接入网络系统中，它的主要设备是防火墙和交换机，可以在防火墙上对具体的组织设置具体的网络使用规则。终端层是用户直接使用的硬件或软件设备。为了让整个网络系统在日常网络管理、网络安全维护和系统动态扩展、策略动态配置方面更加便利，需要对整个图书馆内网的组织进行合理的划分。根据使用对象的不同，终端层的组成主要分为核心业务服务器、DMZ区服务器、员工终端、非员工终端和业务机终端。核心业务服务器主要包括电子资源数据库服务器、读者借还管理服务器、员工及读者信息管理服务器等所有存储信息价值重大的服务器。DMZ区服务器主要部署图书馆门户网站、馆藏查询网站等需要对高校读者公开的服务站点。员工终端是图书馆在职员工所使用的终端设备，非员工终端则是读者为了学习任务自行带入图书馆且需要接入图书馆网络的终端设备，而业务机终端则是分布在各楼层的瘦客户端、查询机、智能机器人等。不同组织的终端设备接入图书馆后应当使用不同的管理策略，一刀切的管理策略会让图书馆的网络服务混乱不堪。

4结语

高校图书馆提供的网络服务必须具有稳定性、高效性和安全性，肩负的责任重大，而高校图书馆网络用户类型多样，管理难度大，网络安全维护工作异常艰巨。本文在分析了高校图书馆的网络安全建设现状和建设难点后，针对现有网络架构的各种安全性能问题，提出了一种分层设计、安全性高、稳定性强且扩展性高的网络架构，能为图书馆日常的网络安全维护工作、动态安全策略部署工作和网络系统的升级工作带来极大的便利。

参考文献:

［1］中华人民共和国网络安全法［EB/OL］．(2016-11-07)［2022-12-09］．

［2］教育部关于印发《普通高等学校图书馆规程》的通知(教高［2015］14号)［EB/OL］．(2016-01-04)［2021-04-12］．

［3］李华群．智慧化建设背景下高校图书馆信息化建设实践研究:以河南理工大学图书馆为例［J］．江苏科技信息，2022，39(17):31－34．

［4］朱岑园．数字图书馆计算机网络的安全技术及其防护策略［J］．科技创新与应用，2022，12(1):153－155．

［5］吴玉灵．智慧图书馆网络安全态势感知平台建设研究［J］．图书馆研究，2022，52(3):93－100．

［6］张元俊．高校图书馆网络信息安全体系建设［C］//．第十五届全国信号和智能信息处理与应用学术会议论文集，2022:138－143．

作者:余礼洋 单位:中南大学图书馆