陳躍輝，王以伍

成都醫(yī)學(xué)院現(xiàn)代教育技術(shù)中心， 成都 610500

隨著國家對信息化產(chǎn)業(yè)的重視，信息化技術(shù)不斷升級創(chuàng)新，高校教育信息化從中也得到了大力發(fā)展。無論是學(xué)校的多媒體教學(xué)、科技信息查詢服務(wù)，還是無紙化辦公等，都能看到信息化技術(shù)發(fā)展的成果。高校網(wǎng)絡(luò)作為信息傳播的通道，不僅是學(xué)校信息化平臺建設(shè)的基礎(chǔ)，更是學(xué)?？沙掷m(xù)發(fā)展的重要保障。2017年6月1日，《中華人民共和國網(wǎng)絡(luò)安全法》正式頒布實施，要求“建設(shè)、運營網(wǎng)絡(luò)或者通過網(wǎng)絡(luò)提供服務(wù)，應(yīng)當依照法律、行政法規(guī)的規(guī)定和國家標準的強制性要求，采取技術(shù)措施和其他必要措施，保障網(wǎng)絡(luò)安全、穩(wěn)定運行，有效應(yīng)對網(wǎng)絡(luò)安全事件，防范網(wǎng)絡(luò)違法犯罪活動，維護網(wǎng)絡(luò)數(shù)據(jù)的完整性、保密性和可用性”[1]。高校作為校園網(wǎng)絡(luò)建設(shè)、運營、提供服務(wù)的主體，必須承擔起應(yīng)有的社會和法律責任，參考相關(guān)政策和標準，加強和保障網(wǎng)絡(luò)安全，促進校園網(wǎng)絡(luò)的穩(wěn)定運行。

1 高校網(wǎng)絡(luò)安全現(xiàn)狀

隨著人工智能技術(shù)的不斷突破，神經(jīng)網(wǎng)絡(luò)和深度學(xué)習(xí)等前沿技術(shù)的不斷進步，教育管理模式在不斷地變革，高校信息化建設(shè)呈現(xiàn)出數(shù)字化特性向智慧化特性邁進的趨勢[2]。然而，隨之而來的網(wǎng)絡(luò)安全問題也日漸突出，諸如安全設(shè)備增多[3]，管理難度增大，用戶數(shù)量及行為越發(fā)難控[4]，再如拒絕服務(wù)攻擊(DDoS)、系統(tǒng)漏洞攻擊、網(wǎng)頁篡改等安全威脅不斷，對高校正常教學(xué)辦公、科研工作造成難以估量的影響和破壞。同時，高校網(wǎng)絡(luò)安全管理工作受限于人員編制、運維成本等因素，缺乏順暢的管理機制、精細的管控服務(wù)、規(guī)范的運維流程，亟需形成統(tǒng)一的安全防護系統(tǒng)，建立相應(yīng)的應(yīng)急預(yù)警機制[5]。

2 高校校園網(wǎng)絡(luò)安全風險因素

2.1 高校各信息系統(tǒng)網(wǎng)絡(luò)安全防護能力水平不一

網(wǎng)絡(luò)應(yīng)用和管理系統(tǒng)的安全防護能力有異，高校的網(wǎng)絡(luò)應(yīng)用和管理系統(tǒng)大多數(shù)是由不同的服務(wù)商建設(shè)，服務(wù)商的水平直接決定了該系統(tǒng)的網(wǎng)絡(luò)安全防護水平，導(dǎo)致安全防護能力參差不齊，最低安全防護能力決定了全校信息平臺的安全水平，且部分高校缺乏統(tǒng)一的網(wǎng)絡(luò)安全體系建設(shè)，存在較大的安全隱患。

2.2 網(wǎng)絡(luò)安全問題重視程度不夠

因為國家對學(xué)校投入的資源有限，所以學(xué)校方面更加重視教育教學(xué)資源的投入，認為網(wǎng)絡(luò)安全對于學(xué)校而言不像企業(yè)研發(fā)或政府機密部門那么重要，網(wǎng)絡(luò)安全防護等級較低；另外，學(xué)校在安全問題的處置上，幾乎都是事后補漏，不能及時對網(wǎng)絡(luò)安全態(tài)勢做出判斷和響應(yīng)，預(yù)防措施不足；還有，高校對網(wǎng)絡(luò)安全防護相關(guān)的軟硬件設(shè)備認識不足，即使擁有了設(shè)備也無法充分發(fā)揮設(shè)備的作用，大多數(shù)高校目前都缺乏成熟的網(wǎng)絡(luò)安全體系和網(wǎng)絡(luò)安全專業(yè)管理人員，對于網(wǎng)絡(luò)安全防護的認識滯后于互聯(lián)網(wǎng)絡(luò)行業(yè)的發(fā)展。

2.3 高校站群是網(wǎng)絡(luò)入侵安全事件并發(fā)的重災(zāi)區(qū)

高校網(wǎng)站建設(shè)和管理相分離，數(shù)量體積龐大，建設(shè)需求雜亂，給安全管理帶來難度；②網(wǎng)站重復(fù)建設(shè)，維護不到位，存在“僵尸”網(wǎng)站；鑒于高校的公益性，即使網(wǎng)站被入侵或網(wǎng)頁被篡改，造成的損失也不大，網(wǎng)站系統(tǒng)存在弱口令和信息泄漏的風險；網(wǎng)站服務(wù)器普遍存在漏洞，安全維護技術(shù)力量不足，漏洞修復(fù)不及時，經(jīng)常成為黑客攻擊的突破口。

2.4 師生缺乏對網(wǎng)絡(luò)安全知識的認知

在互聯(lián)網(wǎng)時代，網(wǎng)絡(luò)已成為人們工作生活中不可或缺的工具。在高校，網(wǎng)絡(luò)的使用普及率更高，但大部分人對網(wǎng)絡(luò)安全知識認識不足。2017年5月，暴發(fā)了全球性的網(wǎng)絡(luò)安全事件—永恒之藍事件(如圖1所示)，我國部分高校成為重災(zāi)區(qū)，被勒索支付高額贖金才能解密恢復(fù)文件，對重要數(shù)據(jù)造成嚴重損失。此次事件說明，如果平時我們養(yǎng)成良好的上網(wǎng)習(xí)慣，學(xué)習(xí)網(wǎng)絡(luò)安全知識，事前必定能夠起到一定的防范作用，事后也能降低甚至避免造成的損失。高校師生對于網(wǎng)絡(luò)安全認識的匱乏已成為高校網(wǎng)絡(luò)安全的隱患。

圖1 “永恒之藍”事件截圖

3 高校網(wǎng)絡(luò)安全風險防控策略

3.1 遵循科學(xué)原則，合理規(guī)劃網(wǎng)絡(luò)安全防護體系

做好網(wǎng)絡(luò)安全防護體系[6]頂層設(shè)計，將有助于提高學(xué)校網(wǎng)絡(luò)整體安全防護能力，降低運行成本，具體可遵循以下幾個原則使規(guī)劃更為科學(xué)合理：①等級保護原則，安全體系建設(shè)必須嚴格遵循教育部及公安部門信息系統(tǒng)的安全等級定級辦法，按照各應(yīng)用系統(tǒng)相對應(yīng)的防護能力進行建設(shè)；②體系化設(shè)計原則，通過安全集成的形式完善技術(shù)體系建設(shè)和管理體系建設(shè)；③技管并重原則，采取技術(shù)和管理相結(jié)合的安全防護措施，將各種安全技術(shù)與運行管理機制、正確安全觀引導(dǎo)、技術(shù)培訓(xùn)、安全規(guī)章制度建設(shè)相結(jié)合；④安全域劃分原則，可根據(jù)現(xiàn)有的網(wǎng)絡(luò)結(jié)構(gòu)和管理模式，在充分保障安全的基礎(chǔ)上，進行可操作、方便易用的區(qū)域劃分，以較小的代價完成安全域劃分和網(wǎng)絡(luò)梳理(如圖2所示)。

圖2 安全域劃分示例圖

3.2 重視網(wǎng)絡(luò)安全技術(shù)體系設(shè)計，加強網(wǎng)絡(luò)安全管理體系建設(shè)

網(wǎng)絡(luò)安全技術(shù)體系設(shè)計[7]主要包括以下幾個方面(如圖3所示)：①安全技術(shù)環(huán)境設(shè)計，首先應(yīng)進行安全區(qū)域邊界設(shè)計，例如在外網(wǎng)出口位置部署應(yīng)用安全防護系統(tǒng)，用于阻止和降低Web安全帶來的威脅和風險，其次還應(yīng)注重內(nèi)網(wǎng)主機防病毒能力的提高，部署防病毒服務(wù)器，負責制定終端主機防病毒策略，例如在內(nèi)網(wǎng)建立全網(wǎng)統(tǒng)一的升級服務(wù)器。②安全通信網(wǎng)絡(luò)設(shè)計，首先應(yīng)做好流量管控，實現(xiàn)對網(wǎng)絡(luò)流量的全面透析與管控，優(yōu)化網(wǎng)絡(luò)帶寬，為網(wǎng)絡(luò)管理者提供網(wǎng)絡(luò)的可見性，幫助組織構(gòu)建可視、可控、可優(yōu)化的高效網(wǎng)絡(luò)，其次應(yīng)保護通信完整性，通過對重要敏感字段進行強加密來保障通信傳輸?shù)谋Ｃ苄院桶踩浴＂鄄渴鹁C合運維審計平臺，通過收集所有服務(wù)器(如syslog、Net- BIOS等)、網(wǎng)絡(luò)設(shè)備、應(yīng)用系統(tǒng)的日志，對日志進行智能關(guān)聯(lián)分析。

圖3 高校網(wǎng)絡(luò)安全技術(shù)體系設(shè)計拓撲示例圖

網(wǎng)絡(luò)安全管理體系建設(shè)，主要從以下幾方面加強：①設(shè)立安全管理機構(gòu)，承擔學(xué)校網(wǎng)絡(luò)信息化建設(shè)與運行維護工作；②貫徹和落實國家相關(guān)政策規(guī)定，制定適合學(xué)校實際情況的網(wǎng)絡(luò)安全管理制度；③設(shè)置網(wǎng)絡(luò)安全專業(yè)技術(shù)人員崗位，專職從事學(xué)校網(wǎng)絡(luò)安全管理工作；④加強網(wǎng)絡(luò)安全體系系統(tǒng)運維管理工作，如網(wǎng)絡(luò)運行環(huán)境管理、資產(chǎn)管理、介質(zhì)管理、設(shè)備管理、監(jiān)控與安全管理、系統(tǒng)安全管理等；⑤建立應(yīng)急管理機制及安全事件處置策略[8]，制定應(yīng)急預(yù)案，針對可能發(fā)生的信息安全事件，預(yù)先制定科學(xué)有效的行動規(guī)范和工作流程，在發(fā)生信息安全事件時，能夠及時、有序、有效地開展應(yīng)急響應(yīng)工作。

3.3 安全服務(wù)體系與網(wǎng)絡(luò)安全態(tài)勢感知監(jiān)測預(yù)警平臺建設(shè)

安全服務(wù)體系包括但不限于以下內(nèi)容(如表1所示)：①滲透測試，是一種以模擬攻擊、反應(yīng)分析的方式確定軟件安全漏洞存在性的方法[9]，能夠直觀地讓管理人員知道自己網(wǎng)絡(luò)所面臨的問題；②風險評估，通過第三方對現(xiàn)有系統(tǒng)進行全方位的評估服務(wù)，一般通過現(xiàn)場訪談、工具掃描、手工檢查等手段進行，根據(jù)評估結(jié)果制定風險分析和風險管理規(guī)劃；③安全掃描，采用掃描工具對信息系統(tǒng)進行安全掃描，發(fā)現(xiàn)漏洞，出具掃描報告，并根據(jù)掃描報告給出整改建議；④安全加固，根據(jù)系統(tǒng)情況制定相應(yīng)測試方案、加固方案與回退方案，通過安裝補丁、修改安全配置、增加安全機制等方法，增強信息系統(tǒng)抵抗風險的能力，從而提高整個系統(tǒng)的安全性。

與此同時，通過教育管理部門統(tǒng)籌協(xié)調(diào)全省乃至全國高校搭建教育行業(yè)網(wǎng)絡(luò)安全態(tài)勢感知監(jiān)測預(yù)警平臺[10]，實現(xiàn)高校網(wǎng)絡(luò)信息安全問題提前知曉，及時攔截，進一步強化安全體系建設(shè)。網(wǎng)絡(luò)安全態(tài)勢感知是指在大規(guī)模網(wǎng)絡(luò)環(huán)境中，對能夠引起網(wǎng)絡(luò)態(tài)勢發(fā)生變化的安全要素進行獲取、理解、顯示以及預(yù)測最近的發(fā)展趨勢[11]。安全監(jiān)測預(yù)警技術(shù)是指通過對某一類事件的異常跟蹤，發(fā)現(xiàn)特定的問題并加以合并分析，對發(fā)現(xiàn)的潛在威脅和脆弱環(huán)節(jié)相應(yīng)的特征及特點及時通報預(yù)警。

3.4 推進站群云服務(wù)平臺試點建設(shè)

表1 安全服務(wù)體系主要內(nèi)容

站群云服務(wù)是指通過云服務(wù)技術(shù)提供站群建設(shè)空間的服務(wù)[12]。高校站群建設(shè)可在教育管理部門主導(dǎo)下，通過社會企業(yè)共同參與，開展高校站群云服務(wù)試點建設(shè)[13]。通過站群云服務(wù)平臺統(tǒng)一管理，有利于提高各高校站點的安全性，降低分散建設(shè)成本，同時，能夠及時向主管部門提供有利于支撐決策的信息數(shù)據(jù)，精準定位高校教育信息化2.0建設(shè)發(fā)展方向[14]，從根本上解決各高校站點管理不到位，安全投入不足，漏洞修補不及時等問題。

3.5 強化教育形成網(wǎng)絡(luò)安全意識，共同維護高校網(wǎng)絡(luò)空間安全

只有注重對全校師生網(wǎng)絡(luò)安全知識的普及，提高其安全防范意識，才能做到安全有效的防范，因此需要經(jīng)常對高校師生進行網(wǎng)絡(luò)安全意識教育和相關(guān)安全技術(shù)科普?？破盏膬?nèi)容包括本單位的信息安全方針、信息安全方面的基礎(chǔ)知識、安全技術(shù)、相關(guān)的安全責任要求、法律責任和懲戒措施等。教育科普的形式包括網(wǎng)上問卷調(diào)查、召開信息安全學(xué)習(xí)大會、部門網(wǎng)絡(luò)安全知識學(xué)習(xí)會議、學(xué)校網(wǎng)絡(luò)安全公開課等。

高校網(wǎng)絡(luò)安全問題將伴隨高校信息化建設(shè)發(fā)展全過程，在網(wǎng)絡(luò)空間成為國家生存和發(fā)展的戰(zhàn)略高地的同時，沒有網(wǎng)絡(luò)安全就沒有國家安全[15]，同樣也沒有高?？蒲薪虒W(xué)及人才培養(yǎng)等教育事業(yè)發(fā)展的安全。因此，需要在教育管理部門主導(dǎo)下，通過高校不斷加強自身安全體系建設(shè)，社會企業(yè)共同參與，多方協(xié)作共同努力才能維護好高校網(wǎng)絡(luò)空間安全。