艾 飛，時東曉，黃建波，蘇林忠

（1.華南理工大學(xué)信息網(wǎng)絡(luò)工程研究中心，廣東 廣州 510640；2.廣州城市職業(yè)學(xué)院信息工程學(xué)院，廣東 廣州 510640）

21 世紀(jì)的信息技術(shù)與各領(lǐng)域的深度融合，在促進(jìn)社會、經(jīng)濟(jì)發(fā)展的同時，因信息技術(shù)的快速更迭、管理制度的不完善以及安全意識薄弱等因素所造成的網(wǎng)絡(luò)安全問題亦日趨嚴(yán)重[1-2]。2017 年，《中華人民共和國網(wǎng)絡(luò)安全法》正式頒布實施，從法律層面明確國家信息安全的等級保護(hù)機(jī)制的落實[3]。信息安全等級保護(hù)的目的是保障我國基礎(chǔ)信息網(wǎng)絡(luò)和關(guān)系國家安全、經(jīng)濟(jì)命脈、社會穩(wěn)定等方面的重要信息系統(tǒng)的安全，維護(hù)國家安全和公共利益[4]。目前，我國重點高等學(xué)校的一卡通系統(tǒng)的信息安全等級保護(hù)定級為第三級[5]。

那么，高校一卡通系統(tǒng)安全防護(hù)對象包括哪些？如何實施安全防護(hù)以應(yīng)對日趨嚴(yán)重的信息安全威脅？如何保障校園一卡通系統(tǒng)滿足網(wǎng)絡(luò)信息安全的第三級等保要求？針對這些問題，該文從一卡通計算體系的視角分析一卡通系統(tǒng)可能存在的網(wǎng)絡(luò)安全威脅，結(jié)合第三級等保要求，從技術(shù)和管理兩個方面提出高校一卡通系統(tǒng)的安全體系架構(gòu)，為高校一卡通系統(tǒng)的安全運行提供一個可執(zhí)行方案。

1 第三級等保的安全體系

2019 年正式實施《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護(hù)基本要求》（GB/T 28448-2019）標(biāo)志著我國的信息安全等保進(jìn)入2.0 時代[6]。信息系統(tǒng)根據(jù)其在國家安全、經(jīng)濟(jì)建設(shè)、社會生活中的重要程度，遭到破壞后對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權(quán)益的危害程度等，由低到高劃分為五級[7]。

GB/T 28448-2019 定義的第三級等保安全體系涵蓋安全技術(shù)和安全管理兩個方面[8]，其中安全技術(shù)針對當(dāng)前新形勢、新技術(shù)提出網(wǎng)絡(luò)信息系統(tǒng)的安全要求項和對應(yīng)的技術(shù)措施，進(jìn)而保護(hù)信息系統(tǒng)的運行環(huán)境（物理、計算和網(wǎng)絡(luò)）、系統(tǒng)服務(wù)、系統(tǒng)數(shù)據(jù)的安全；安全管理則從組織機(jī)構(gòu)、人員、軟件生命周期等方面建立規(guī)章制度，明確安全管理的方向、目標(biāo)、范圍和職責(zé)，從外圍加固安全技術(shù)無法解決的安全問題[9]，如圖1 所示。

圖1 第三級等保的安全體系

1）測評對象

隨著新技術(shù)、新環(huán)境的發(fā)展，第三級等保的測評對象在通用的信息系統(tǒng)對象的基礎(chǔ)上擴(kuò)延到新型的計算環(huán)境、網(wǎng)絡(luò)環(huán)境、管理環(huán)境和應(yīng)用對象，包括云計算、移動計算、大數(shù)據(jù)、物聯(lián)網(wǎng)和工業(yè)控制。

2）安全技術(shù)

安全技術(shù)要求物理環(huán)境、通信網(wǎng)絡(luò)、網(wǎng)絡(luò)區(qū)域邊界和計算環(huán)境的安全性，其中計算環(huán)境由主機(jī)、數(shù)據(jù)庫、中間件、信息系統(tǒng)、數(shù)據(jù)等對象組成。

3）安全管理

安全管理從頂層規(guī)劃安全體系的總綱，明確管理的機(jī)構(gòu)、人員、職責(zé)和規(guī)程，強(qiáng)調(diào)信息系統(tǒng)整個生命周期的安全規(guī)劃，包括安全管理制度、安全管理機(jī)構(gòu)、安全管理人員、安全建設(shè)管理和安全運維管理。

2 一卡通系統(tǒng)的安全威脅分析

2.1 一卡通系統(tǒng)的計算體系

作為高校信息化的基礎(chǔ)工程[10]，一卡通系統(tǒng)的應(yīng)用場景覆蓋智慧校園，融合智慧校園的信息系統(tǒng)和社會應(yīng)用，為全校師生的教學(xué)、科研、學(xué)習(xí)和生活提供便利服務(wù)[11]，并為領(lǐng)導(dǎo)決策提供大數(shù)據(jù)分析的數(shù)據(jù)支持[12]。一卡通系統(tǒng)2.0 以軟件架構(gòu)為中心，卡片虛擬化，實現(xiàn)身份識別、消費、充值、考勤/簽到、自助服務(wù)等功能[13]，其計算體系在邏輯結(jié)構(gòu)上分成5層，如圖2 所示。

圖2 一卡通系統(tǒng)計算體系

其中，網(wǎng)絡(luò)通信層融合移動網(wǎng)、無線網(wǎng)、有線網(wǎng)，建立智慧校園的寬帶泛在網(wǎng)絡(luò)，打破一卡通傳統(tǒng)的專網(wǎng)；計算與存儲層融合云計算技術(shù)，提供高可用的計算平臺；核心服務(wù)層基于軟件模塊化計算范式，采用標(biāo)準(zhǔn)的Web 服務(wù)接口，實現(xiàn)與智慧校園應(yīng)用、互聯(lián)網(wǎng)應(yīng)用之間的數(shù)據(jù)集成和服務(wù)融合。

2.2 一卡通系統(tǒng)存在的安全威脅

我國高校一卡通系統(tǒng)始于二十世紀(jì)90 年代，技術(shù)架構(gòu)先后融合C/S、B/S 和移動計算。因此，一卡通系統(tǒng)存在安全問題既有技術(shù)上的客觀因素，也有管理上的主觀因素[14]：

1）信息系統(tǒng)的安全威脅不斷升級，一卡通系統(tǒng)的早期技術(shù)架構(gòu)無法滿足當(dāng)今安全要求。

2）業(yè)務(wù)需求動態(tài)變化，一卡通系統(tǒng)不斷融合其他應(yīng)用，計算體系的技術(shù)架構(gòu)比較混雜，計算體系內(nèi)的漏洞具有多樣性和隱蔽性。

3）一卡通專網(wǎng)邊界的打破，網(wǎng)絡(luò)服務(wù)邊界模糊化，訪問控制管控復(fù)雜、難度大。

4）高校師生的安全意識普遍薄弱、安全防范意識嚴(yán)重不夠。

5）缺乏貫通一卡通軟件生命周期的網(wǎng)絡(luò)信息安全的規(guī)劃和建設(shè)。

綜合上述的一卡通系統(tǒng)的計算體系和一卡通系統(tǒng)自身的不安全要素，安全威脅主要存在以下幾個方面：

1）網(wǎng)絡(luò)通信

三網(wǎng)融合打破專網(wǎng)的限制，專網(wǎng)與校園網(wǎng)、校園網(wǎng)與移動網(wǎng)、移動網(wǎng)與專網(wǎng)之間的網(wǎng)絡(luò)邊界易造成非法訪問和計算機(jī)病毒的傳播。

2）計算環(huán)境

在一卡通系統(tǒng)的向下兼容的計算環(huán)境內(nèi)，存在低版本的操作系統(tǒng)、數(shù)據(jù)庫和中間件，這些低版本系統(tǒng)的漏洞甚至已無法修復(fù)，而這些漏洞卻是非法入侵的突破口。

3）技術(shù)融合

目前一卡通系統(tǒng)2.0 的技術(shù)架構(gòu)融合Web 技術(shù)、移動計算技術(shù)等，技術(shù)的融合存在接口上的安全漏洞以及數(shù)據(jù)泄露風(fēng)險。

4）管理制度

管理制度涉及物理環(huán)境、計算環(huán)境、系統(tǒng)生命周期等。制度不完善的后果是用戶的安全意識薄弱，系統(tǒng)的脆弱性高，易遭到網(wǎng)絡(luò)攻擊和人為破壞。

3 高校一卡通系統(tǒng)的安全體系設(shè)計

信息系統(tǒng)的安全應(yīng)具備機(jī)密性、完整性、可用性、可審查性和抗抵賴性等特征[15]。一卡通計算體系由物理環(huán)境、網(wǎng)絡(luò)環(huán)境和計算環(huán)境組成，其中物理環(huán)境對象是機(jī)房以及相應(yīng)的機(jī)房設(shè)施，網(wǎng)絡(luò)環(huán)境對象包括網(wǎng)絡(luò)分區(qū)以及相應(yīng)的網(wǎng)絡(luò)設(shè)備，計算環(huán)境包括計算硬件和計算軟件。因此，一卡通系統(tǒng)的安全防護(hù)對象主要包括：機(jī)房、網(wǎng)絡(luò)結(jié)構(gòu)（網(wǎng)絡(luò)拓?fù)?、網(wǎng)絡(luò)通信）、網(wǎng)絡(luò)設(shè)備、計算硬件（服務(wù)器、存儲、POSE 機(jī)、充值機(jī)等終端）和計算軟件（包括配置數(shù)據(jù)和業(yè)務(wù)數(shù)據(jù)）。

結(jié)合第三級等保體系的安全要求，文中從技術(shù)和管理兩個方面設(shè)計一卡通系統(tǒng)安全體系，對一卡通系統(tǒng)的組成對象進(jìn)行縱深防護(hù)，如圖3 所示。

圖3 一卡通系統(tǒng)安全體系

3.1 技術(shù)體系設(shè)計

技術(shù)體系是通過采用客觀的技術(shù)手段實現(xiàn)可控的一卡通系統(tǒng)的物理安全、網(wǎng)絡(luò)安全和計算安全。

3.1.1 物理安全

依據(jù)第三級等保的物理環(huán)境要求建設(shè)機(jī)房，配置電子門禁、消防系統(tǒng)、監(jiān)控系統(tǒng)、精密空調(diào)、UPS、發(fā)電機(jī)等。在此基礎(chǔ)上，獨立設(shè)置一卡通計算設(shè)備的物理區(qū)域，保護(hù)一卡通計算設(shè)備以防人為破壞。

3.1.2 網(wǎng)絡(luò)安全

網(wǎng)絡(luò)安全是對網(wǎng)絡(luò)的可用性和可靠性的要求。實施網(wǎng)絡(luò)鏈路、核心網(wǎng)絡(luò)設(shè)備的冗余設(shè)計；合理劃分三網(wǎng)融合（專網(wǎng)、校園網(wǎng)、移動網(wǎng)）的網(wǎng)絡(luò)區(qū)域，網(wǎng)絡(luò)區(qū)域邊界部署安全設(shè)備，并集中管控訪問策略、審計分析和入侵檢測。

3.1.3 計算安全

計算安全是保證一卡通業(yè)務(wù)7×24 小時正常、安全、穩(wěn)定運行，保障一卡通服務(wù)的連續(xù)性。集群技術(shù)是一卡通系統(tǒng)高可用性的關(guān)鍵技術(shù)；主機(jī)的安裝和訪問基于最小權(quán)限和最少安裝原則；開啟主機(jī)和應(yīng)用系統(tǒng)的審計功能記錄用戶操作；定期升級病毒軟件和支撐軟件從而避免非法入侵和病毒傳播。

數(shù)據(jù)安全包括數(shù)據(jù)的完整性、保密性和備份恢復(fù)。數(shù)據(jù)訪問控制結(jié)合身份認(rèn)證和網(wǎng)絡(luò)認(rèn)證，并基于加密算法加密通信數(shù)據(jù)以防數(shù)據(jù)竊取；部署異地容災(zāi)系統(tǒng)實時備份重要數(shù)據(jù)并定期驗證備份數(shù)據(jù)有效性。

3.2 管理體系設(shè)計

網(wǎng)絡(luò)安全強(qiáng)調(diào)“三分技術(shù)，七分管理”[16]，安全技術(shù)的實施需要管理制度的規(guī)范約束。管理體系涉及一卡通信息安全領(lǐng)域、信息安全技術(shù)框架、安全操作規(guī)程、安全管理機(jī)構(gòu)和人員等對象。

3.2.1 安全總綱

從頂層闡述安全總體目標(biāo)和范圍、安全技術(shù)和安全框架，制定相應(yīng)的管理制度，明確各安全管理活動和應(yīng)遵循的規(guī)程。

3.2.2 機(jī)構(gòu)人員

設(shè)立專門的信息安全機(jī)構(gòu)和職能部門，配置一卡通安全崗位，制定相應(yīng)崗位的職責(zé)和安全操作規(guī)程，建立安全人員的培養(yǎng)體系。

3.2.3 建設(shè)運維

從一卡通系統(tǒng)的建設(shè)、開發(fā)、部署、運維等各階段規(guī)劃安全方案，實施安全措施，完備一卡通資產(chǎn)管理，制定安全事件響應(yīng)和應(yīng)急方案，不定期進(jìn)行安全檢測和安全演練。

4 一卡通系統(tǒng)的安全體系應(yīng)用

華南理工大學(xué)的一卡通系統(tǒng)由基礎(chǔ)網(wǎng)絡(luò)、運行環(huán)境、服務(wù)器、計算機(jī)及相關(guān)配套的設(shè)備構(gòu)成。一卡通系統(tǒng)跨越3 個校區(qū)，融合當(dāng)前的Web2.0 技術(shù)和移動計算技術(shù)實現(xiàn)實體卡與虛擬卡的結(jié)合以支持移動自助服務(wù)。目前一卡通系統(tǒng)集成圖書館、醫(yī)院、食堂、超市、校巴、體育場館、會議室簽到、教學(xué)樓考勤、宿舍門禁以及水電空調(diào)等校園業(yè)務(wù)，實現(xiàn)“一卡在手，走遍校園”。

基于該文的一卡通系統(tǒng)安全體系，學(xué)校從外而內(nèi)對一卡通系統(tǒng)實施縱深防御，建立全局域的安全防護(hù)和一卡通局域的安全防護(hù)，如圖4 所示。

圖4 華南理工大學(xué)一卡通安全體系

其中，全局域的安全防護(hù)對象涉及公共的物理環(huán)境、網(wǎng)絡(luò)環(huán)境以及管理制度，通過集中管控的方式保護(hù)全校的網(wǎng)絡(luò)信息安全；一卡通局域安全體系針對一卡通獨立的計算體系，安全保護(hù)對象涉及一卡通系統(tǒng)相關(guān)的物理、網(wǎng)絡(luò)、計算、數(shù)據(jù)。

在當(dāng)前信息安全新要求和信息安全威脅新環(huán)境的驅(qū)動下，華南理工大學(xué)先后實施機(jī)房改造、網(wǎng)絡(luò)設(shè)備升級、網(wǎng)絡(luò)安全設(shè)備的加固、一把手負(fù)責(zé)的安全管理機(jī)構(gòu)的設(shè)立、以及貫徹軟件生命周期的管理制度的制定，從全局域范圍建立全校的網(wǎng)絡(luò)信息安全防護(hù)。一卡通系統(tǒng)涉及全校師生的身份和消費，系統(tǒng)的重要性促使一卡通系統(tǒng)完善計算架構(gòu)，其中包括：核心計算主機(jī)集群的實施、存儲設(shè)備的冗余設(shè)計、以及異地容災(zāi)系統(tǒng)和網(wǎng)絡(luò)邊界的防火墻的部署，同時完善相應(yīng)的管理條例以規(guī)范一卡通系統(tǒng)的運維。

目前，華南理工大學(xué)一卡通系統(tǒng)具有主動防御能力的安全運行環(huán)境。從2019 年始，華南理工大學(xué)一卡通系統(tǒng)每年持續(xù)通過網(wǎng)絡(luò)信息安全第三級等保評測。反之，每年的第三級等保評測又促進(jìn)一卡通系統(tǒng)安全體系的不斷完善。

5 結(jié)束語

一卡通系統(tǒng)作為高校智慧校園的基礎(chǔ)工程，教育部要求定級為第三級等保。文中系統(tǒng)地厘清一卡通系統(tǒng)可能存在的安全威脅，針對這些安全威脅和當(dāng)前信息安全要求，引入網(wǎng)絡(luò)安全第三級等保的安全體系，自下而上設(shè)計了高校一卡系統(tǒng)的安全體系?；谖闹械陌踩w系，建設(shè)和整改了華南理工大學(xué)一卡通系統(tǒng)的安全架構(gòu)，該架構(gòu)具有縱深防御能力，保障一卡通系統(tǒng)具有第三級等保的安全防護(hù)能力。下一階段將在訪問控制授權(quán)粒度、多重身份認(rèn)證模式、數(shù)據(jù)庫審計等方面加強(qiáng)系統(tǒng)的抗抵賴性。