北京大学校园网是国内规模最大的校园网络之一。自1989年参加“中关村地区示范网”建设伊始，已完成了220栋教学楼、办公楼、学生宿舍、教工宿舍的光纤互连，提供近6万个有线信息点，校园网已经通达了学校的每一个角落。校园网上的计算机已超过4.7万台。日常同时在线计算机近2.5万台。校园网为北京大学的教学、科研、行政办公和生活服务创造了一个良好的信息网络环境，在学校的人才培养、学科建设、科学研究、行政管理和师生员工的生活等方面产生了明显的效益，对北京大学“创建世界一流大学”战略的全面实施起到了保障作用。

北京大学校园网提供多种接入方式，用户可以自由地使用有线、无线、拨号等手段在任何时间、任何地点连入校园网。基于目录服务的校园网用户管理系统，实现了校园网用户的统一认证、统一管理和统一计费。

在提供普通以文字和图像为主要形式的信息服务的同时，北京大学校园网上还有丰富的音视频流媒体资源，以及大量的专业信息服务。

北京大学院系楼群、学生公寓众多，物理网络接入较为复杂，各部门的信息系统很分散，安全需求也不尽相同，如图书馆、档案馆、财务部、教务部等都各自有独立的信息服务系统，甚至独立的网络结构和专职的网络管理员，而多数的部门则主要是依托网络中心来提供信息服务。鉴于这种管理结构，北京大学校园网采用的是部门独立，相对分散的信息安全管理架构。对图书馆、财务部等有一定网络规模或对信息安全有特殊要求的部门，自成一个安全实体，而其它全校公共信息服务系统，如电子邮件系统，Web服务、校内信息服务、校园一卡通、网络电视等系统，则由网络中心统一负责管理。

网络中心为校园提供基本的安全服务和安全保障，主要有以下四个部分：

网络安全基础设施

防火墙是校园网信息安全保障的核心点，它负责校园网中最基本的信息服务系统的安全，一旦被非法进入，存在着内容被窃取、泄密、篡改、损坏等巨大风险，属于安全等级中最严重的事件。通过部署防火墙，把这些信息系统集中隔离到一个逻辑安全区中，在防火墙集中控制点处定制严格的访问控制策略，实施严格的数据流监控。因为防火墙的安全性源于其优秀的访问控制能力，可做到基于IP、协议、用户的访问控制，能灵活地对服务对象、操纵权限、服务范围进行控制。 同时也对各具体的服务系统从底层操作系统到应用系统做了针对性的安全优化和加强，如停用无关服务、启用系统审计、精简定制系统等。而且对安全性有特殊要求的服务系统，在防火墙和服务系统上也做了较为详细的日志记录，为安全事件的事后取证工作提供依据，当然取证是多因素的综合，也包括其它手段如IDS、蜜罐等手段的补充。

IDS系统是重要的网络安全诊断工具，可实时监控网络中的异常情况、跟踪安全事件的新动向、统计分析安全历史记录等。IDS系统通常把探测引擎分布式地部署在网络的各关键点，然后汇总到控制中心进行分析、统计、显示、报警等动作。由于外网的攻击，如网络扫描、蠕虫、DOS等攻击，只能是被动地阻断或向相关组织反馈，而对攻击源无法处罚，内网则由于可利用的监控手段多，攻击源的定位和控制也相对容易。鉴于这些考虑，北京大学IDS系统的探测器部署在校园网的总出入口处，主要监控内外网之间发生的安全事件，为网管人员执法提供依据。

垃圾邮件过滤系统和防病毒邮件网关

北京大学为全校教师和学生提供一个以pku-edu-cn域的邮箱账号，用户数规模高达2万多。根据日常的监控统计，垃圾邮件和高度疑似的垃圾邮件就占了总量的90%之多，消耗了大量的系统资源，包括CPU性能、磁盘空间、内存、响应速度等。垃圾邮件主要分两大类，一类是病毒造成，另一类是广告行为。

对于大量泛滥的广告邮件，采用基于行为分析的垃圾邮件过滤系统，即通过识别垃圾邮件的行为（如分析邮件路由逻辑，反向验证IP地址域，辨别仿冒邮件地址等行为特征）进行过滤。事实证明通过这种基于行为方式的过滤，垃圾邮件会大幅度地降低，根据对校园网邮件系统的统计，最后能到达用户的邮件只占邮件总量的5-10%，而且即使是过滤后的邮件，垃圾邮件也能占到一定的比例。这部分被漏掉的垃圾邮件，一是由于系统不对内容做判断，另一方面是因为有一些行为没能被识别出来造成的。

病毒邮件同样是垃圾邮件，而且占相当大的比例，由于病毒极强的传染力，导致邮件系统成了散播病毒的源头，严重威胁着邮件接收者的终端系统，因此在校园网邮件系统的前端我们部署了邮件防病毒网关，凡是进入邮件系统的信件都要经防病毒网关的过滤后，才最终被送到用户邮箱中。

桌面防病毒系统

计算机病毒充分利用了网络和黑客攻击技术，使得病毒的传播性、感染性和攻击性急剧增强，造成严重的安全事件。由于病毒种类繁多，数量达数十万之多，如果接入网络的桌面系统不安装防病毒系统，感染病毒是无法避免的。校园网作为一个管理实体，拥有众多的终端桌面用户和服务器系统，如果防病毒完全是分散的无管理的个体行为，效果并不十分理想，许多防护系统形同虚设，给校园网带来了严重的安全隐患。北京大学在校园网采用了Symantec Antivirus企业版的解决方案，对校园网的桌面防病毒系统进行集中管理，实现自动从服务器获取新的病毒定义，实时具备最新的防护能力，无须用户再干预。对移动的用户，可通过校内代理以手动方式从服务器获得最新的病毒定义。另外，通过管理端不仅可清楚地了解网络中感染病毒主机的比率情况，而且还可明确主机感染了何种病毒。

漏洞补丁管理和发布系统

软件程序缺陷和漏洞对互联的计算机系统是个灾难，利用系统漏洞的攻击危害性极大，尤其是近年来病毒借用了这种具有黑客攻击的技术后，给网络带来严重的后果，如CodeRed、Nimda、Blaster等都无一例外使得校园网，甚至是整个Internet陷于瘫痪状态。由于补丁程序是这类问题的唯一根本解决方案，加之各类补丁程序数量规模巨大，所以出现了漏洞补丁管理和发布这样的安全应用系统。校园网内以Windows系统为主，而Windows系统漏洞的危害较严重，北京大学在校园网内专门设置了Windows系统漏洞补丁管理和发布服务器，用于对校园内的Windows系统进行统一管理，从本地服务器下载更新补丁程序。此应用系统采用的是微软免费的Microsoft Software Update Service系统，用户规模近一万，系统负荷、流量都相对比较大。本系统的管理功能很弱，但基本符合校园网松散的安全管理模式，所以能够满足校园网的需求。而且其分析统计功能能够详细地列出每个受管理系统的补丁程序更新状况，实用性很强。另外，为避免补丁程序更新不及时或其它意外因素，对重大的漏洞补丁程序，以传统的网络公告方式发布并提供直接下载，有效地避免恶性安全事件的大范围发生。

具备完备的安全设施是安全保障的必要条件，但更重要的是网络安全管理的规范化和拥有专业化的安全管理团队。北京大学网络中心做为校园网和教育网华北主节点之一的管理者，既要负责整体的安全管理和规划，又要负责各院系和最终用户的琐碎的具体安全工作，在常年的实践中已形成了一整套默认的规范，有些已经成为明文的制度。

通常情况下，设备或系统都有专门的系统管理员，网络设备如交换机、路由器、网管应用系统等由NOC组的管理员负责，信息系统如邮件、Web、数据库等具体的应用服务系统则由NIC组的系统管理员负责，这样大量局部的、简单的安全事件就能被管理员直接解决。另外，北京大学设立了网络安全紧急响应小组，专门负责处理那些重大的紧急安全事故。这个小组没有专职人员，主要是由部门领导挂职，在遇到突发事件时协调网络管理员和信息系统管理员的工作。由于安全技术的完善和人们安全意识的提高，象红色蠕虫之类大规模的网络安全事件已经不多见了，而对偶尔的突发事件，通常管理员就能做出快速的判断和反应，所以具有经验丰富、专业化的技术团队是网络安全管理的根本。