廣告近年來，國家相繼出臺了《中華人民共和國網(wǎng)絡(luò)安全法》《中華人民共和國數(shù)據(jù)安全法》《中華人民共和國個人信息保護(hù)法》等，為網(wǎng)絡(luò)空間綜合治理提供了法律依據(jù)。對高校而言，同樣是“沒有網(wǎng)絡(luò)安全，就沒有校園安全”。隨著高校信息化的快速發(fā)展，“牽一發(fā)而動全身”的校園網(wǎng)絡(luò)安全問題越來越多，信息系統(tǒng)被攻擊勒索、網(wǎng)站被非法篡改、師生隱私被泄露、網(wǎng)絡(luò)詐騙等安全事件頻繁發(fā)生，造成極其惡劣的影響。這對高校信息化建設(shè)提出了新的挑戰(zhàn)，深入踐行新時代網(wǎng)絡(luò)安全觀，推進(jìn)網(wǎng)絡(luò)安全綜合治理體系建設(shè)，有效應(yīng)對各種網(wǎng)絡(luò)安全威脅，打造和筑牢高校網(wǎng)絡(luò)安全屏障刻不容緩。
一、高校網(wǎng)絡(luò)安全現(xiàn)狀
目前，高校網(wǎng)絡(luò)安全工作與高校信息化建設(shè)發(fā)展節(jié)奏不匹配，“重建設(shè)、輕安全”的局面依然存在，隨著外部網(wǎng)絡(luò)威脅日益激烈，高校網(wǎng)絡(luò)安全主要存在如下問題。
第一，防御碎片化。部分高校由于經(jīng)費有限，在安全防護(hù)方面投入不夠，安全覆蓋面較小，防護(hù)效果不明顯。部分高校投入了大量經(jīng)費，采購了眾多網(wǎng)絡(luò)安全設(shè)備，但隨著技術(shù)的發(fā)展，網(wǎng)絡(luò)安全防護(hù)設(shè)備的種類和防護(hù)功能不斷增加，網(wǎng)絡(luò)安全設(shè)備層出不窮。這些設(shè)備或“各自為戰(zhàn)”不能建立聯(lián)動體系，或功能重復(fù)甚至沖突，沒有發(fā)揮出“1+1>2”的效果。管理人員對設(shè)備的使用也僅限于最基本的功能操作，沒有利用專業(yè)知識加以思考轉(zhuǎn)化，利用不同網(wǎng)絡(luò)安全設(shè)備的功能特性，探索高效的聯(lián)動處置流程，形成一體化防御體系，提高學(xué)校的網(wǎng)絡(luò)安全防護(hù)能力。
第二，部分常見網(wǎng)絡(luò)安全問題頻發(fā)。筆者對某高校三年間接收到的來自教育部、公安局等上級部門的漏洞通報進(jìn)行統(tǒng)計分析，發(fā)現(xiàn)漏洞發(fā)生頻次由高到低的類型是：弱密碼、敏感信息泄露、SQL注入、未授權(quán)訪問、操作系統(tǒng)漏洞、師生個人終端中毒，這六類漏洞合計占比約80%。對此六類問題重點排查防范，即可解決80%的網(wǎng)絡(luò)安全漏洞，通過加強網(wǎng)絡(luò)安全教育、提高師生網(wǎng)絡(luò)安全意識，可以防范弱密碼、敏感信息泄露、個人終端中毒等漏洞，包括提醒工程師及時修改弱密碼、網(wǎng)站發(fā)布人員注意個人信息保護(hù)、師生及時給個人終端殺毒打補丁等。SQL注入、未授權(quán)訪問、操作系統(tǒng)漏洞則是常見的技術(shù)漏洞，防范手段包括信息系統(tǒng)開發(fā)上線前進(jìn)行代碼審計和安全檢測、運維人員及時更新系統(tǒng)版本等。
第三，安全意識教育難度大。高校網(wǎng)站和信息系統(tǒng)數(shù)量多，安全防護(hù)難度大，一旦出現(xiàn)安全事件會造成惡劣的影響。很多二級部門負(fù)責(zé)人認(rèn)為，本部門的系統(tǒng)運行在信息中心的機房中，系統(tǒng)的網(wǎng)絡(luò)安全跟本部門沒有關(guān)系。然而事實上，信息中心作為全校信息化管理單位，網(wǎng)絡(luò)安全只是其工作中的一部分，要完全依靠信息中心來做好全校的網(wǎng)絡(luò)安全管理比較困難。網(wǎng)絡(luò)安全不僅僅是信息部門的事，而是需要全體單位和師生共同參與。
針對高校網(wǎng)絡(luò)安全面臨的形勢和存在的問題，我們基于信息安全保障技術(shù)框架（IATF）提出了以下方案。
二、“縱深防御”式綜合治理體系建設(shè)方案
IATF是由美國國家安全局發(fā)布的技術(shù)框架，為保障美國政府和工業(yè)的信息基礎(chǔ)設(shè)施提供技術(shù)指南。其核心思想是通過人、技術(shù)和操作這三個核心要素共同實現(xiàn)縱深防御，重點關(guān)注網(wǎng)絡(luò)和基礎(chǔ)設(shè)施、區(qū)域邊界、計算環(huán)境和支撐性基礎(chǔ)設(shè)施四個保障領(lǐng)域。
本文借鑒IATF的縱深防御思想，重點關(guān)注三個核心要素和四個保障領(lǐng)域，從高校網(wǎng)絡(luò)安全管理工作實際出發(fā)，探索建立一套高校網(wǎng)絡(luò)安全綜合治理體系，旨在為高校網(wǎng)絡(luò)安全工作提供一個參考性的建設(shè)框架（見表1）。
表1 基于IATF思想的“縱深防御”網(wǎng)絡(luò)安全綜合治理體系
三個核心要素
技術(shù)是實現(xiàn)高校網(wǎng)絡(luò)安全保障的重要手段，安全保障體系所需的各項安全服務(wù)就是通過技術(shù)機制來實現(xiàn)的。安全的技術(shù)架構(gòu)、TCP/IP、SSH等安全協(xié)議，以及加密技術(shù)、身份鑒別、訪問控制、安全檢測、雙因素認(rèn)證等是各個保障領(lǐng)域比較常見的技術(shù)手段。
網(wǎng)絡(luò)安全不是純粹靠技術(shù)就能實現(xiàn)的，技術(shù)是安全的基礎(chǔ)，管理是安全的靈魂?！叭恕笔切畔⑾到y(tǒng)的主體，也是信息系統(tǒng)的擁有者、管理者和使用者，是網(wǎng)絡(luò)安全保障的核心和第一要素。再安全的網(wǎng)絡(luò)設(shè)備也離不開人的管理，再好的安全策略最終要靠人來實現(xiàn)。人的安全意識是整個網(wǎng)絡(luò)安全中最為重要的一環(huán)，也是要求最高的一環(huán)。設(shè)置網(wǎng)絡(luò)安全機構(gòu)、確立制度體系和責(zé)任體系、明確管理要求、規(guī)范事件處置流程、制定應(yīng)急響應(yīng)預(yù)案等等，都是通過“人”的管理手段來降低網(wǎng)絡(luò)安全風(fēng)險。
操作也指運行，與技術(shù)手段的被動防御不同，操作是將各方面技術(shù)緊密結(jié)合在一起的主動防御的過程，包括風(fēng)險評估、監(jiān)控審計、入侵檢測、響應(yīng)恢復(fù)等。通過滲透測試、攻防演練等形式，細(xì)化信息系統(tǒng)安全防護(hù)策略，加強態(tài)勢感知與漏洞掃描，完善校園網(wǎng)絡(luò)安全主動防御體系。
四個保障領(lǐng)域
1.網(wǎng)絡(luò)和基礎(chǔ)設(shè)施
網(wǎng)絡(luò)和基礎(chǔ)設(shè)施是所有信息系統(tǒng)及業(yè)務(wù)的支撐，高校網(wǎng)絡(luò)和基礎(chǔ)設(shè)施結(jié)構(gòu)復(fù)雜，用戶群體量大，網(wǎng)絡(luò)安全風(fēng)險因素多，應(yīng)采取措施確保網(wǎng)絡(luò)和基礎(chǔ)設(shè)施穩(wěn)定可靠運行。第一，從學(xué)校實際情況出發(fā)，至少考慮未來3～5年的發(fā)展情況，從整體頂層設(shè)計合理規(guī)劃骨干網(wǎng)。第二，根據(jù)業(yè)務(wù)發(fā)展需求，統(tǒng)籌做好網(wǎng)絡(luò)建設(shè)統(tǒng)一規(guī)劃，建設(shè)統(tǒng)一管理的有線和無線網(wǎng)絡(luò)，實現(xiàn)網(wǎng)絡(luò)接入形式統(tǒng)一、業(yè)務(wù)辦理統(tǒng)一、用戶服務(wù)統(tǒng)一、互聯(lián)網(wǎng)出口統(tǒng)一等。第三，高校網(wǎng)絡(luò)和基礎(chǔ)設(shè)施在實際應(yīng)用和運維過程中，很大程度上依賴供應(yīng)商的產(chǎn)品和服務(wù)，所以規(guī)范供應(yīng)鏈管理十分重要。開展供應(yīng)鏈清單梳理，與供應(yīng)商簽訂安全保密協(xié)議，對接觸核心系統(tǒng)、數(shù)據(jù)或擁有管理權(quán)限的校外單位人員進(jìn)行背景審查和保密審查，通過堡壘機對第三方運維人員進(jìn)行實名制認(rèn)證和運維日志審計等。
此外，對重要設(shè)備進(jìn)行雙機熱備，以便進(jìn)行災(zāi)難恢復(fù)，提高網(wǎng)絡(luò)可靠性。管理人員的日常巡檢運維十分必要，包括利用網(wǎng)絡(luò)系統(tǒng)、虛擬化系統(tǒng)和環(huán)控系統(tǒng)的監(jiān)測平臺對網(wǎng)絡(luò)負(fù)載狀態(tài)、信息系統(tǒng)（網(wǎng)站）虛擬化服務(wù)器和物理環(huán)境等進(jìn)行巡檢，做到有報警第一時間發(fā)現(xiàn)，有故障立即進(jìn)行維修處理。
2.區(qū)域邊界
近年來，零信任的出現(xiàn)代表了新一代的網(wǎng)絡(luò)安全防護(hù)理念，它的關(guān)鍵在于打破默認(rèn)的“信任”，默認(rèn)不信任網(wǎng)絡(luò)內(nèi)外的任何人、設(shè)備和系統(tǒng)，但目前零信任的概念應(yīng)用到高校領(lǐng)域的實踐還相對較少，高校應(yīng)用較多的仍是傳統(tǒng)基于防火墻的物理邊界防御，也就是為大眾所熟知的“內(nèi)網(wǎng)”，正是因為區(qū)域邊界的重要性，黑客一旦成功從外網(wǎng)突破，可以對內(nèi)網(wǎng)的情況一覽無余。
除了在校園網(wǎng)出口統(tǒng)一邊界安全防護(hù)，防火墻建立防御邊界，動態(tài)設(shè)置黑白名單管理策略，加強安全防護(hù)設(shè)備的差異化配置動態(tài)管理外，劃分校內(nèi)不同的安全域，增加防護(hù)隔離設(shè)備，形成縱深防御體系十分重要，如安全運維區(qū)、互聯(lián)區(qū)、終端區(qū)、無線接入?yún)^(qū)等。通過不同安全域之間設(shè)置隔離防護(hù)措施，使外網(wǎng)突破滲透到內(nèi)部網(wǎng)絡(luò)的黑客難以開展跨安全域的內(nèi)網(wǎng)橫向滲透的攻擊，他們往往受限于身份認(rèn)證和訪問控制，在內(nèi)網(wǎng)的活動也會被審計系統(tǒng)記錄，為追蹤溯源工作提供了線索，防止出現(xiàn)部分主機感染勒索病毒，在很短時間大面積感染，導(dǎo)致整個校園網(wǎng)絡(luò)不能正常使用的情況。
對于重要的數(shù)據(jù)中心服務(wù)器區(qū)加強白名單管理，服務(wù)器運維人員通過限制遠(yuǎn)程訪問IP，使只有運維人員的固定IP可以訪問服務(wù)器，減小其互聯(lián)網(wǎng)暴露面，降低安全風(fēng)險。制定并嚴(yán)格落實信息系統(tǒng)（網(wǎng)站）訪問策略分級“0+3”制度?！?+3”制度指按照不同信息系統(tǒng)（網(wǎng)站）重要性結(jié)合實際業(yè)務(wù)情況，將信息系統(tǒng)（網(wǎng)站）分級定級，在網(wǎng)絡(luò)安全重要保障期的不同時段實施不同的互聯(lián)網(wǎng)訪問策略，在關(guān)鍵時段當(dāng)天，僅開放一級資產(chǎn)（如學(xué)校網(wǎng)站群、信息平臺、進(jìn)出校系統(tǒng)、公文系統(tǒng)等），保證公開網(wǎng)站和辦公系統(tǒng)的正常訪問；在關(guān)鍵時段前后，僅開放一、二級資產(chǎn)（如二級部門業(yè)務(wù)系統(tǒng)）；其他時段開放三級資產(chǎn)，一旦發(fā)生重大網(wǎng)絡(luò)安全事件，立即啟動0級安全策略，即一鍵斷網(wǎng)。
加強機房物理安全管理。包括從物理訪問控制、防盜竊防破壞、防雷擊、防火等方面對物理環(huán)境進(jìn)行規(guī)范管理，建設(shè)精密空調(diào)、UPS供電、防靜電、防雷、防水浸、防火等環(huán)境狀態(tài)的全監(jiān)控與自動報警系統(tǒng)，建設(shè)異地容災(zāi)備份系統(tǒng)等。
3.計算環(huán)境
計算環(huán)境一般指信息系統(tǒng)中的服務(wù)器、客戶機以及安裝的操作系統(tǒng)、軟件等，對于高校而言，計算環(huán)境安全主要包含服務(wù)器主機、信息系統(tǒng)和師生終端三方面。保護(hù)計算環(huán)境通常采用身份鑒別、訪問控制、加密等一系列技術(shù)以確保計算環(huán)境內(nèi)的數(shù)據(jù)保密性、完整性、可用性、不可否認(rèn)性等。
全校建設(shè)統(tǒng)一的私有云計算資源平臺，將計算、網(wǎng)絡(luò)和存儲資源融合于虛擬集成平臺，統(tǒng)一對所有信息化系統(tǒng)和教學(xué)科研應(yīng)用分配計算資源，數(shù)據(jù)中心統(tǒng)一配置安全策略、統(tǒng)一監(jiān)控運維、統(tǒng)一應(yīng)急響應(yīng)。
高校的信息系統(tǒng)涉及教學(xué)、科研、管理等，基數(shù)較大，管理人員對資產(chǎn)運行狀況、備案情況、是否存在安全隱患等信息掌握不全面，對資產(chǎn)的承建方、開發(fā)方、使用方、運維方的信息掌握不夠全面，導(dǎo)致資產(chǎn)管理困難，安全風(fēng)險較大。因此，信息系統(tǒng)和網(wǎng)站的校內(nèi)備案尤為重要，通過主動探測的方式對目標(biāo)網(wǎng)段進(jìn)行探測，發(fā)現(xiàn)開放的業(yè)務(wù)系統(tǒng)或開放的端口，通過分析網(wǎng)絡(luò)流量，對備案資產(chǎn)進(jìn)行確認(rèn)，做到“底數(shù)清、情況明”，出現(xiàn)問題能快速定位所屬主體。
此外，核查信息系統(tǒng)上線相關(guān)技術(shù)文檔，利用安全檢測工具對已部署的信息系統(tǒng)進(jìn)行代碼審計、系統(tǒng)檢查、軟件檢查、漏洞掃描等上線檢測，對端口開放情況、系統(tǒng)管理權(quán)限開放情況、訪問權(quán)限開放情況、網(wǎng)頁篡改情況等進(jìn)行檢查監(jiān)控。學(xué)校定期全面排查網(wǎng)絡(luò)安全薄弱環(huán)節(jié)，以信息資產(chǎn)備案信息為基礎(chǔ)，重點排查雙非信息系統(tǒng)（非學(xué)校IP地址、非學(xué)校域名）和使用頻率低、長期未更新、無專人運維的“僵尸”信息系統(tǒng)，全面排查弱口令、默認(rèn)口令、通用口令、長期不變口令，高危漏洞不修復(fù)、非必要端口及服務(wù)長期開啟、陳舊版本基礎(chǔ)軟件和通用軟件不更新、僵尸主機和系統(tǒng)不整改等問題。
4.支撐性基礎(chǔ)設(shè)施
傳統(tǒng)IATF定義了兩種類型的支撐性基礎(chǔ)設(shè)施：KMI/PKI和檢測與響應(yīng)。筆者將提供安全服務(wù)的基礎(chǔ)設(shè)施和與之相關(guān)的一系列活動均歸類為支撐性基礎(chǔ)設(shè)施，包括制度建設(shè)、教育培訓(xùn)、值班值守等管理手段，以及入侵防御、漏洞掃描、滲透測試等防護(hù)手段。
嚴(yán)格落實網(wǎng)絡(luò)安全責(zé)任制要求，完善組織機構(gòu)設(shè)置和職責(zé)劃分，成立網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組，加強對學(xué)校網(wǎng)絡(luò)安全與信息化建設(shè)的統(tǒng)籌領(lǐng)導(dǎo)，按照“誰主管誰負(fù)責(zé)、誰建設(shè)誰負(fù)責(zé)、誰使用誰負(fù)責(zé)、誰運維誰負(fù)責(zé)”和“分級管理、逐級負(fù)責(zé)”的原則，建立“黨委（黨組）領(lǐng)導(dǎo)、信息中心主導(dǎo)、各二級部門履行主體責(zé)任、主動監(jiān)測和防御”的網(wǎng)絡(luò)安全治理體系，把各項安全責(zé)任分解到部門、落實到崗位、明確到個人。
制定并落實監(jiān)測預(yù)警通報機制，信息中心匯集教育行業(yè)漏洞報告平臺和教育部安全管理平臺等多途徑預(yù)警信息，或通過漏洞掃描、態(tài)勢感知等網(wǎng)絡(luò)安全設(shè)備、滲透測試等手段自主發(fā)現(xiàn)信息系統(tǒng)的安全隱患，及時通報所屬單位進(jìn)行整改，并做好監(jiān)督復(fù)測工作。重要保障期或有重大網(wǎng)絡(luò)安全隱患時，向二級單位發(fā)送安全預(yù)警，要求其進(jìn)行自查整改。
積極開展網(wǎng)絡(luò)安全宣傳教育和培訓(xùn)，一是定期召開全校網(wǎng)絡(luò)安全工作會議，研究部署學(xué)校網(wǎng)絡(luò)安全保障工作，深刻認(rèn)識網(wǎng)絡(luò)安全工作的重要性和緊迫性，切實增強做好網(wǎng)絡(luò)安全工作的責(zé)任感和使命感；校內(nèi)充分利用國家網(wǎng)絡(luò)安全宣傳周和網(wǎng)絡(luò)文化節(jié)，開展網(wǎng)絡(luò)安全知識講座、政策宣傳、參觀體驗、安全知識競賽等活動，普及網(wǎng)絡(luò)安全知識，提升師生安全素養(yǎng)。二是組織相關(guān)人員參加網(wǎng)絡(luò)安全培訓(xùn)和技術(shù)交流，學(xué)習(xí)兄弟院校的先進(jìn)工作經(jīng)驗，提高安全人員的管理水平和技術(shù)水平，組織參加網(wǎng)絡(luò)安全攻防競賽，提升網(wǎng)絡(luò)安全管理人員的攻防實戰(zhàn)能力。
在學(xué)校服務(wù)器區(qū)出口部署IPS入侵防御系統(tǒng)，通過威脅防護(hù)、敏感信息防護(hù)、惡意DNS過濾、DDoS防護(hù)、告警分析等監(jiān)測服務(wù)器區(qū)網(wǎng)絡(luò)攻擊行為，持續(xù)優(yōu)化調(diào)整白名單黑名單，最終實現(xiàn)誤報率低的攔截，提高學(xué)校信息系統(tǒng)和網(wǎng)站安全防護(hù)能力。
通過流量探針數(shù)據(jù)采集，以態(tài)勢感知平臺為核心，進(jìn)行風(fēng)險資產(chǎn)可視化、漏洞管理、威脅情報與分析、攻擊事件追蹤溯源等，對疑似被入侵資產(chǎn)持續(xù)監(jiān)測，并結(jié)合防火墻聯(lián)動處置，實時封堵攻擊源，縮短應(yīng)急響應(yīng)時間，實現(xiàn)檢測預(yù)警與防護(hù)處置的閉環(huán)。
針對復(fù)雜多變的網(wǎng)絡(luò)安全形勢，如何做好網(wǎng)絡(luò)安全工作對高校網(wǎng)絡(luò)安全管理者而言是一個難題。高校將網(wǎng)絡(luò)安全管理制度、安全責(zé)任體系和技術(shù)防護(hù)能力相結(jié)合，主動防御和被動防御相結(jié)合，安全設(shè)備和安全服務(wù)相結(jié)合，在制度建設(shè)、隊伍建設(shè)、宣傳教育、安全防護(hù)和安全運維等方面探索適合學(xué)校本身的網(wǎng)絡(luò)安全綜合治理體系，才能有效應(yīng)對各種網(wǎng)絡(luò)安全威脅，保障業(yè)務(wù)穩(wěn)定運行和師生個人信息安全。
來源：《中國教育網(wǎng)絡(luò)》2023年10月刊
作者：司艷波、柳丹彤（對外經(jīng)濟貿(mào)易大學(xué)網(wǎng)絡(luò)安全和信息化處）
責(zé)編：陳永杰
本文鏈接：http://www.3ypm.com.cn/news-8-1530-0.html基于IATF思想構(gòu)建網(wǎng)絡(luò)安全治理體系
聲明：本網(wǎng)頁內(nèi)容由互聯(lián)網(wǎng)博主自發(fā)貢獻(xiàn)，不代表本站觀點，本站不承擔(dān)任何法律責(zé)任。天上不會到餡餅，請大家謹(jǐn)防詐騙！若有侵權(quán)等問題請及時與本網(wǎng)聯(lián)系，我們將在第一時間刪除處理。
上一篇：2023年度中國基礎(chǔ)教育十大關(guān)鍵詞揭曉！
下一篇：有編有崗，教育部發(fā)通知了
點擊右上角
微信好友
朋友圈
點擊瀏覽器下方“
”分享微信好友Safari瀏覽器請點擊“
”按鈕
點擊右上角
QQ
點擊瀏覽器下方“”分享QQ好友Safari瀏覽器請點擊“”按鈕
