◆徐鵬民 曲麗君 黃國富

?

以數據為中心的高校網絡信息安全體系研究

◆徐鵬民 曲麗君 黃國富

（青島農業(yè)大學網絡管理中心 山東 266109）

高校信息系統(tǒng)日趨龐大、復雜，面臨的安全威脅也越來越嚴重，傳統(tǒng)的安全防護方法已經無法適應這種新的形勢。本文從高校的實際情況出發(fā)，提出了以數據為中心的網絡與信息安全體系和實施方法。通過與傳統(tǒng)的安全防護方法的對比分析表明，新的防護體系能夠滿足高校信息系統(tǒng)安全基本需要，并具有較高的性價比。

校園網；網絡安全；信息安全；安全體系

0 引言

從數字校園到智慧校園，再到社會集成，高校信息化的飛速發(fā)展，使信息技術滲透到校園的每一個角落，學校的教學、科研、管理與生活都離不開各種各樣的信息系統(tǒng)，這也使網絡與信息安全防護日趨重要。

1 高校信息安全面臨的困境[1]

1.1信息系統(tǒng)龐雜

高校信息系統(tǒng)數量龐大、類型復雜。大部分高校的網站數量過百，甚至上千，加上教務管理、財務管理、圖書管理、資產管理等，構成極為可觀的系統(tǒng)規(guī)模。單一的安全設備根本無法滿足龐雜應用系統(tǒng)的安全需求。

1.2海量數據

多媒體教學、科研資源、用戶網絡行為數據、管理數據形成高校海量數據存儲。很多高校存儲系統(tǒng)超過P級，校園網出口動輒幾個G，甚至十幾個G，一般的安全設備很難承受如此大數據量的安全檢測。

1.3涉及領域廣泛

高校信息設備類型復雜、數量眾多，涉及的安全領域也十分廣泛，包括：CPU安全、編譯器安全、軟件代碼安全、第三方組件安全、操作系統(tǒng)安全、服務器安全、網絡鏈路安全、傳輸協(xié)議安全、用戶側安全、非技術因素安全等。

1.4網絡與安全邊界模糊

網絡終端設備的日益豐富，改變了網絡自身的本質。用戶不再局限于自己的PC機，或者筆記本電腦，平板電腦、智能手機等移動設備成為了更為常見的終端設備。這些新技術和設備為通信和數據共享提供了新應用和方法，但也加劇了信息安全問題，不僅增加了系統(tǒng)出現漏洞的環(huán)節(jié)，更重要的是，模糊了傳統(tǒng)網絡的邊界，使信息安全完全處于一個新的形勢。

很多高校以下網絡并存：有線網絡(WAN/LAN)、虛擬網絡(vLAN)、移動通信網絡、藍牙、近場通訊(NFC)、無線射頻識別(RFID)、物聯(lián)網(IoT)等等。

用戶終端也豐富多樣，如：工作站、筆記本電腦、應用程序、BYOD(手機、平板)等。

1.5數據存儲的分布化

大部分高校建有私有云，普遍使用池化、云化存儲技術，使傳統(tǒng)的數據集中化管理與防護越來越無能為力。

1.6用戶類型的復雜化

高校本身用戶類型眾多，隨著信息系統(tǒng)的復雜化，校園信息系統(tǒng)和數據管理會有大量公司參與，不僅在建設開發(fā)期間，日常維護使用也出現了外包服務，導致用戶類型復雜化，加劇了信息安全的防護難度。如形形色色的用戶，包括：教師、學生、研究者、實驗者、測試者、開發(fā)商、承包商、來賓、客戶、互聯(lián)網用戶等。

1.7安全防護成本的急劇提高

近年來，由于網絡信息安全形勢日趨嚴峻，加上國家對信息安全的重視，高校安全防護方面資金投入急劇增長，包括：設備費、管理維護費和人員費。

上述情況表明，傳統(tǒng)的高校信息安全防護體系已經不能適應高校信息化發(fā)展的新形勢，迫切需要改變思路，探索新的安全防護方法。

2 高校網絡與信息安全的主要危脅和突出問題[2]

高校目前面臨的主要安全危險有以下三個方面：

2.1數據丟失

大量的教學、科研數據丟失，會產生無法彌補的損失。

2.2信息篡改

信息篡改表現在：網頁篡改、掛馬、暗鏈、學生成績修改等，這些威脅既可能產生政治危害，也可能產生經濟危害，甚至嚴重干擾學校正常的教學科研秩序。

2.3數據竊取

數據竊取導致的數據泄露，如涉及國家安全的科研成果、教師學生檔案信息、考試試卷等，會嚴重影響正常的教學科研活動。

3 以數據為中心的信息安全防護策略

高校傳統(tǒng)的信息安全防護方案是以堵為主，拒敵于城門之外，查殺為輔。投入大量資金，購買各種安全設備，消耗大量人力、財力。在當前的信息安全新形勢下，這種方法日趨見拙，疲于奔命，為此，我們提出以數據為中心的安全防護體系。

3.1理論依據

以數據為中心的安全防護體系，首先基于以下風險管理模型：

該公式含義如下：

Risk（風險）：信息系統(tǒng)被攻擊或破壞所產生的損失；

Vulnerability（漏洞）：信息系統(tǒng)中的薄弱環(huán)節(jié)，包括：網絡、操作系統(tǒng)、應用服務器、應用系統(tǒng)、數據庫等各個環(huán)節(jié)，可能是系統(tǒng)漏洞、編程缺陷、編碼錯誤或不當配置，某些特性——擬保護系統(tǒng)或應用中存在的任何可被攻擊者利用來做壞事的東西；

Threat（威脅）：可能造成危害的程序和攻擊者，包括：遠程侵入、物理破壞、網絡釣魚、病毒或者惡意軟件；

Counter Measure Score（對策）：為實現安全所做的所有工作，包括VPN或防火墻之類訪問控制措施的部署、入侵檢測系統(tǒng)、警報和監(jiān)視解決方案、文件完整性監(jiān)測、白名單解決方案以及終端防護；

Valuation（估值）：擬保護系統(tǒng)和數據的價值，以及安全工作的成本。

該風險管理模型表示了風險、成本與價值的關系，安全防護的最終目標是要以最小的成本換取最小的風險。

風險包括經濟風險和政治風險，即經濟損失和社會影響。

風險與系統(tǒng)漏洞、面臨的威脅、系統(tǒng)或數據的價值成正比，因而，也基本上與要保護的信息系統(tǒng)和數據規(guī)模成正比，即越龐大的系統(tǒng)，漏洞越多，面臨的威脅越大，系統(tǒng)被攻擊產生的損失也越嚴重。

風險與對策成反比，而對策基本上與資金投入成正比，所以，風險與投入成反比。

3.2現實需求[3]

校園應用信息系統(tǒng)盡管數量龐大，種類繁多，但大部分對實時性要求較弱，用戶并發(fā)時間短，并發(fā)用戶數量少，短時間的停頓一般不會產生嚴重后果，小部分對實時性要求較高的系統(tǒng)，如校園“一卡通”，往往在設計時就提供了脫機運行功能，即無論網絡系統(tǒng)還是數據中心發(fā)生故障，系統(tǒng)都能在一定時間段保證正常運行，如果在此時間段內修復系統(tǒng)，不會對用戶產生影響。這種現實應用特點，為以數據中心的安全防護提供了可行性。

3.3安全模型[4]

根據上述分析，我們提出如下以數據保護為中心的安全防護體系，主要對數據進行防護，其它環(huán)節(jié)以事后恢復和加固為主。

按照3.1中的風險管理模型，在安全投資不變（即對策基本不變）和系統(tǒng)價值基本不變（信息系統(tǒng)中價值最大是數據）的情況下，由于防護環(huán)節(jié)減少，導致防護對象的減少，從而信息系統(tǒng)的漏洞（Vulnerability）和威脅（Threat）也相應減少，結果是整個系統(tǒng)風險的減少。

防護模型如下：數據復本+實時監(jiān)控+數據恢復+數據分析+安全加固，如圖1所示：

圖1 以數據保護為中心的安全防護體系示意圖

（1）數據復本：要求所有數據在生產時，同時至少產生一個復本，一份用于在線使用，一份離線備份。

（2）實時監(jiān)控：安裝在線監(jiān)控系統(tǒng)，以便盡早發(fā)現系統(tǒng)故障。

（3）數據恢復：對于被攻擊而癱瘓的系統(tǒng)，利用備份數據，恢復系統(tǒng)。

（4）數據分析：對被攻擊系統(tǒng)的相關運行日志進行分析，確定原因、來源和手法。

（5）安全加固：針對上述分析，進行系統(tǒng)加固。

3.4實施方案[5]

（1）確定數據復本實現策略

數據從在信息系統(tǒng)中的用途可分應用類數據和管理類數據，前者包括教學、科研、學校管理等各種應用數據，后者主要是系統(tǒng)管理所產生的數據，如各種設備日志、用戶網絡行為記錄、系統(tǒng)配置數據等。

應用類數據可采用分布式解決方案，同時實現多復本，或在專門備份設備上定時備份，這在大部分高校數據中心已經實現。

管理類數據可采用集中日志服務器，將系統(tǒng)相關的網絡設備、操作系統(tǒng)和應用服務器日志集中保存。對于數據復本采取更嚴格的防護，確保數據的安全和完整。

（2）實時監(jiān)控

主要用于應用系統(tǒng)運行的實時監(jiān)控，以應用軟件和應用服務器為主要對象，以盡早發(fā)現問題。目前，市場上有各種基于態(tài)勢感知的監(jiān)控系統(tǒng)。

（3）數據恢復

包括系統(tǒng)修復與應用數據恢復。

（4）數據分析

對系統(tǒng)日志和用戶行為數據等管理類數據進行分析，目前可借助于大數據分析技術，查找攻擊源、攻擊手法，以便確定漏洞所在。

（5）安全加固

根據分析結果，進行漏洞掃描、漏洞管理、補丁管理，加固系統(tǒng)，防止此類攻擊再次發(fā)生。

4 比較分析

4.1高校傳統(tǒng)的信息安全防護體系

高校傳統(tǒng)的信息安全防護體系如圖2所示。

圖2 高校傳統(tǒng)的信息安全防護體系示意圖

一般包括：防火墻、IPS、漏洞掃描、WAF、網站防篡改系統(tǒng)、實時監(jiān)控系統(tǒng)等。網絡與信息安全經費在整個信息系統(tǒng)經費中的占比約為15%。由于傳統(tǒng)信息安全設備需要經常的升級維護，大部分高校的人力難以保障，所以使用效果都不夠理想。

4.2以數據為中心的防護體系

主要包括數據多復本實現、數據備份和實時監(jiān)控系統(tǒng)，經費投入比傳統(tǒng)方式降低，占比約為10%，維護工作量也有所減少，能夠較好地實現對數據丟失和信息篡改的防護，但對數據泄露保護不足。

5 結論

以數據為中心的安全防護是一種被動防護措施，但基于風險管理模型分析，比較適合高校應用信息系統(tǒng)特點，具備較好的性價比。

[1]萬雪蓮等.基于攻、防的信息系統(tǒng)安全綜合評估方法的研究[J].計算機科學，2016.

[2]于莉潔等.高校信息化建設中的信息安全問題研究[J].信息安全與技術，2016.

[3]楊品林.高校校園網的信息安全策略研究[J].信息安全與技術，2015.

[4]孫紅梅，賈瑞生.大數據背景下企業(yè)網絡信息安全技術體系研究[J].通信技術，2017.

[5]國家互聯(lián)網應急中心.http://www.cert.org.cn/publish/main/17/index.html.