陳躍輝，王以伍

成都醫(yī)學(xué)院現(xiàn)代教育技術(shù)中心， 成都 610500

隨著國(guó)家對(duì)信息化產(chǎn)業(yè)的重視，信息化技術(shù)不斷升級(jí)創(chuàng)新，高校教育信息化從中也得到了大力發(fā)展。無(wú)論是學(xué)校的多媒體教學(xué)、科技信息查詢服務(wù)，還是無(wú)紙化辦公等，都能看到信息化技術(shù)發(fā)展的成果。高校網(wǎng)絡(luò)作為信息傳播的通道，不僅是學(xué)校信息化平臺(tái)建設(shè)的基礎(chǔ)，更是學(xué)?？沙掷m(xù)發(fā)展的重要保障。2017年6月1日，《中華人民共和國(guó)網(wǎng)絡(luò)安全法》正式頒布實(shí)施，要求“建設(shè)、運(yùn)營(yíng)網(wǎng)絡(luò)或者通過(guò)網(wǎng)絡(luò)提供服務(wù)，應(yīng)當(dāng)依照法律、行政法規(guī)的規(guī)定和國(guó)家標(biāo)準(zhǔn)的強(qiáng)制性要求，采取技術(shù)措施和其他必要措施，保障網(wǎng)絡(luò)安全、穩(wěn)定運(yùn)行，有效應(yīng)對(duì)網(wǎng)絡(luò)安全事件，防范網(wǎng)絡(luò)違法犯罪活動(dòng)，維護(hù)網(wǎng)絡(luò)數(shù)據(jù)的完整性、保密性和可用性”[1]。高校作為校園網(wǎng)絡(luò)建設(shè)、運(yùn)營(yíng)、提供服務(wù)的主體，必須承擔(dān)起應(yīng)有的社會(huì)和法律責(zé)任，參考相關(guān)政策和標(biāo)準(zhǔn)，加強(qiáng)和保障網(wǎng)絡(luò)安全，促進(jìn)校園網(wǎng)絡(luò)的穩(wěn)定運(yùn)行。

1 高校網(wǎng)絡(luò)安全現(xiàn)狀

隨著人工智能技術(shù)的不斷突破，神經(jīng)網(wǎng)絡(luò)和深度學(xué)習(xí)等前沿技術(shù)的不斷進(jìn)步，教育管理模式在不斷地變革，高校信息化建設(shè)呈現(xiàn)出數(shù)字化特性向智慧化特性邁進(jìn)的趨勢(shì)[2]。然而，隨之而來(lái)的網(wǎng)絡(luò)安全問(wèn)題也日漸突出，諸如安全設(shè)備增多[3]，管理難度增大，用戶數(shù)量及行為越發(fā)難控[4]，再如拒絕服務(wù)攻擊(DDoS)、系統(tǒng)漏洞攻擊、網(wǎng)頁(yè)篡改等安全威脅不斷，對(duì)高校正常教學(xué)辦公、科研工作造成難以估量的影響和破壞。同時(shí)，高校網(wǎng)絡(luò)安全管理工作受限于人員編制、運(yùn)維成本等因素，缺乏順暢的管理機(jī)制、精細(xì)的管控服務(wù)、規(guī)范的運(yùn)維流程，亟需形成統(tǒng)一的安全防護(hù)系統(tǒng)，建立相應(yīng)的應(yīng)急預(yù)警機(jī)制[5]。

2 高校校園網(wǎng)絡(luò)安全風(fēng)險(xiǎn)因素

2.1 高校各信息系統(tǒng)網(wǎng)絡(luò)安全防護(hù)能力水平不一

網(wǎng)絡(luò)應(yīng)用和管理系統(tǒng)的安全防護(hù)能力有異，高校的網(wǎng)絡(luò)應(yīng)用和管理系統(tǒng)大多數(shù)是由不同的服務(wù)商建設(shè)，服務(wù)商的水平直接決定了該系統(tǒng)的網(wǎng)絡(luò)安全防護(hù)水平，導(dǎo)致安全防護(hù)能力參差不齊，最低安全防護(hù)能力決定了全校信息平臺(tái)的安全水平，且部分高校缺乏統(tǒng)一的網(wǎng)絡(luò)安全體系建設(shè)，存在較大的安全隱患。

2.2 網(wǎng)絡(luò)安全問(wèn)題重視程度不夠

因?yàn)閲?guó)家對(duì)學(xué)校投入的資源有限，所以學(xué)校方面更加重視教育教學(xué)資源的投入，認(rèn)為網(wǎng)絡(luò)安全對(duì)于學(xué)校而言不像企業(yè)研發(fā)或政府機(jī)密部門那么重要，網(wǎng)絡(luò)安全防護(hù)等級(jí)較低；另外，學(xué)校在安全問(wèn)題的處置上，幾乎都是事后補(bǔ)漏，不能及時(shí)對(duì)網(wǎng)絡(luò)安全態(tài)勢(shì)做出判斷和響應(yīng)，預(yù)防措施不足；還有，高校對(duì)網(wǎng)絡(luò)安全防護(hù)相關(guān)的軟硬件設(shè)備認(rèn)識(shí)不足，即使擁有了設(shè)備也無(wú)法充分發(fā)揮設(shè)備的作用，大多數(shù)高校目前都缺乏成熟的網(wǎng)絡(luò)安全體系和網(wǎng)絡(luò)安全專業(yè)管理人員，對(duì)于網(wǎng)絡(luò)安全防護(hù)的認(rèn)識(shí)滯后于互聯(lián)網(wǎng)絡(luò)行業(yè)的發(fā)展。

2.3 高校站群是網(wǎng)絡(luò)入侵安全事件并發(fā)的重災(zāi)區(qū)

高校網(wǎng)站建設(shè)和管理相分離，數(shù)量體積龐大，建設(shè)需求雜亂，給安全管理帶來(lái)難度；②網(wǎng)站重復(fù)建設(shè)，維護(hù)不到位，存在“僵尸”網(wǎng)站；鑒于高校的公益性，即使網(wǎng)站被入侵或網(wǎng)頁(yè)被篡改，造成的損失也不大，網(wǎng)站系統(tǒng)存在弱口令和信息泄漏的風(fēng)險(xiǎn)；網(wǎng)站服務(wù)器普遍存在漏洞，安全維護(hù)技術(shù)力量不足，漏洞修復(fù)不及時(shí)，經(jīng)常成為黑客攻擊的突破口。

2.4 師生缺乏對(duì)網(wǎng)絡(luò)安全知識(shí)的認(rèn)知

在互聯(lián)網(wǎng)時(shí)代，網(wǎng)絡(luò)已成為人們工作生活中不可或缺的工具。在高校，網(wǎng)絡(luò)的使用普及率更高，但大部分人對(duì)網(wǎng)絡(luò)安全知識(shí)認(rèn)識(shí)不足。2017年5月，暴發(fā)了全球性的網(wǎng)絡(luò)安全事件—永恒之藍(lán)事件(如圖1所示)，我國(guó)部分高校成為重災(zāi)區(qū)，被勒索支付高額贖金才能解密恢復(fù)文件，對(duì)重要數(shù)據(jù)造成嚴(yán)重?fù)p失。此次事件說(shuō)明，如果平時(shí)我們養(yǎng)成良好的上網(wǎng)習(xí)慣，學(xué)習(xí)網(wǎng)絡(luò)安全知識(shí)，事前必定能夠起到一定的防范作用，事后也能降低甚至避免造成的損失。高校師生對(duì)于網(wǎng)絡(luò)安全認(rèn)識(shí)的匱乏已成為高校網(wǎng)絡(luò)安全的隱患。

圖1 “永恒之藍(lán)”事件截圖

3 高校網(wǎng)絡(luò)安全風(fēng)險(xiǎn)防控策略

3.1 遵循科學(xué)原則，合理規(guī)劃網(wǎng)絡(luò)安全防護(hù)體系

做好網(wǎng)絡(luò)安全防護(hù)體系[6]頂層設(shè)計(jì)，將有助于提高學(xué)校網(wǎng)絡(luò)整體安全防護(hù)能力，降低運(yùn)行成本，具體可遵循以下幾個(gè)原則使規(guī)劃更為科學(xué)合理：①等級(jí)保護(hù)原則，安全體系建設(shè)必須嚴(yán)格遵循教育部及公安部門信息系統(tǒng)的安全等級(jí)定級(jí)辦法，按照各應(yīng)用系統(tǒng)相對(duì)應(yīng)的防護(hù)能力進(jìn)行建設(shè)；②體系化設(shè)計(jì)原則，通過(guò)安全集成的形式完善技術(shù)體系建設(shè)和管理體系建設(shè)；③技管并重原則，采取技術(shù)和管理相結(jié)合的安全防護(hù)措施，將各種安全技術(shù)與運(yùn)行管理機(jī)制、正確安全觀引導(dǎo)、技術(shù)培訓(xùn)、安全規(guī)章制度建設(shè)相結(jié)合；④安全域劃分原則，可根據(jù)現(xiàn)有的網(wǎng)絡(luò)結(jié)構(gòu)和管理模式，在充分保障安全的基礎(chǔ)上，進(jìn)行可操作、方便易用的區(qū)域劃分，以較小的代價(jià)完成安全域劃分和網(wǎng)絡(luò)梳理(如圖2所示)。

圖2 安全域劃分示例圖

3.2 重視網(wǎng)絡(luò)安全技術(shù)體系設(shè)計(jì)，加強(qiáng)網(wǎng)絡(luò)安全管理體系建設(shè)

網(wǎng)絡(luò)安全技術(shù)體系設(shè)計(jì)[7]主要包括以下幾個(gè)方面(如圖3所示)：①安全技術(shù)環(huán)境設(shè)計(jì)，首先應(yīng)進(jìn)行安全區(qū)域邊界設(shè)計(jì)，例如在外網(wǎng)出口位置部署應(yīng)用安全防護(hù)系統(tǒng)，用于阻止和降低Web安全帶來(lái)的威脅和風(fēng)險(xiǎn)，其次還應(yīng)注重內(nèi)網(wǎng)主機(jī)防病毒能力的提高，部署防病毒服務(wù)器，負(fù)責(zé)制定終端主機(jī)防病毒策略，例如在內(nèi)網(wǎng)建立全網(wǎng)統(tǒng)一的升級(jí)服務(wù)器。②安全通信網(wǎng)絡(luò)設(shè)計(jì)，首先應(yīng)做好流量管控，實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)流量的全面透析與管控，優(yōu)化網(wǎng)絡(luò)帶寬，為網(wǎng)絡(luò)管理者提供網(wǎng)絡(luò)的可見(jiàn)性，幫助組織構(gòu)建可視、可控、可優(yōu)化的高效網(wǎng)絡(luò)，其次應(yīng)保護(hù)通信完整性，通過(guò)對(duì)重要敏感字段進(jìn)行強(qiáng)加密來(lái)保障通信傳輸?shù)谋Ｃ苄院桶踩?。③部署綜合運(yùn)維審計(jì)平臺(tái)，通過(guò)收集所有服務(wù)器(如syslog、Net- BIOS等)、網(wǎng)絡(luò)設(shè)備、應(yīng)用系統(tǒng)的日志，對(duì)日志進(jìn)行智能關(guān)聯(lián)分析。

圖3 高校網(wǎng)絡(luò)安全技術(shù)體系設(shè)計(jì)拓?fù)涫纠龍D

網(wǎng)絡(luò)安全管理體系建設(shè)，主要從以下幾方面加強(qiáng)：①設(shè)立安全管理機(jī)構(gòu)，承擔(dān)學(xué)校網(wǎng)絡(luò)信息化建設(shè)與運(yùn)行維護(hù)工作；②貫徹和落實(shí)國(guó)家相關(guān)政策規(guī)定，制定適合學(xué)校實(shí)際情況的網(wǎng)絡(luò)安全管理制度；③設(shè)置網(wǎng)絡(luò)安全專業(yè)技術(shù)人員崗位，專職從事學(xué)校網(wǎng)絡(luò)安全管理工作；④加強(qiáng)網(wǎng)絡(luò)安全體系系統(tǒng)運(yùn)維管理工作，如網(wǎng)絡(luò)運(yùn)行環(huán)境管理、資產(chǎn)管理、介質(zhì)管理、設(shè)備管理、監(jiān)控與安全管理、系統(tǒng)安全管理等；⑤建立應(yīng)急管理機(jī)制及安全事件處置策略[8]，制定應(yīng)急預(yù)案，針對(duì)可能發(fā)生的信息安全事件，預(yù)先制定科學(xué)有效的行動(dòng)規(guī)范和工作流程，在發(fā)生信息安全事件時(shí)，能夠及時(shí)、有序、有效地開(kāi)展應(yīng)急響應(yīng)工作。

3.3 安全服務(wù)體系與網(wǎng)絡(luò)安全態(tài)勢(shì)感知監(jiān)測(cè)預(yù)警平臺(tái)建設(shè)

安全服務(wù)體系包括但不限于以下內(nèi)容(如表1所示)：①滲透測(cè)試，是一種以模擬攻擊、反應(yīng)分析的方式確定軟件安全漏洞存在性的方法[9]，能夠直觀地讓管理人員知道自己網(wǎng)絡(luò)所面臨的問(wèn)題；②風(fēng)險(xiǎn)評(píng)估，通過(guò)第三方對(duì)現(xiàn)有系統(tǒng)進(jìn)行全方位的評(píng)估服務(wù)，一般通過(guò)現(xiàn)場(chǎng)訪談、工具掃描、手工檢查等手段進(jìn)行，根據(jù)評(píng)估結(jié)果制定風(fēng)險(xiǎn)分析和風(fēng)險(xiǎn)管理規(guī)劃；③安全掃描，采用掃描工具對(duì)信息系統(tǒng)進(jìn)行安全掃描，發(fā)現(xiàn)漏洞，出具掃描報(bào)告，并根據(jù)掃描報(bào)告給出整改建議；④安全加固，根據(jù)系統(tǒng)情況制定相應(yīng)測(cè)試方案、加固方案與回退方案，通過(guò)安裝補(bǔ)丁、修改安全配置、增加安全機(jī)制等方法，增強(qiáng)信息系統(tǒng)抵抗風(fēng)險(xiǎn)的能力，從而提高整個(gè)系統(tǒng)的安全性。

與此同時(shí)，通過(guò)教育管理部門統(tǒng)籌協(xié)調(diào)全省乃至全國(guó)高校搭建教育行業(yè)網(wǎng)絡(luò)安全態(tài)勢(shì)感知監(jiān)測(cè)預(yù)警平臺(tái)[10]，實(shí)現(xiàn)高校網(wǎng)絡(luò)信息安全問(wèn)題提前知曉，及時(shí)攔截，進(jìn)一步強(qiáng)化安全體系建設(shè)。網(wǎng)絡(luò)安全態(tài)勢(shì)感知是指在大規(guī)模網(wǎng)絡(luò)環(huán)境中，對(duì)能夠引起網(wǎng)絡(luò)態(tài)勢(shì)發(fā)生變化的安全要素進(jìn)行獲取、理解、顯示以及預(yù)測(cè)最近的發(fā)展趨勢(shì)[11]。安全監(jiān)測(cè)預(yù)警技術(shù)是指通過(guò)對(duì)某一類事件的異常跟蹤，發(fā)現(xiàn)特定的問(wèn)題并加以合并分析，對(duì)發(fā)現(xiàn)的潛在威脅和脆弱環(huán)節(jié)相應(yīng)的特征及特點(diǎn)及時(shí)通報(bào)預(yù)警。

3.4 推進(jìn)站群云服務(wù)平臺(tái)試點(diǎn)建設(shè)

表1 安全服務(wù)體系主要內(nèi)容

站群云服務(wù)是指通過(guò)云服務(wù)技術(shù)提供站群建設(shè)空間的服務(wù)[12]。高校站群建設(shè)可在教育管理部門主導(dǎo)下，通過(guò)社會(huì)企業(yè)共同參與，開(kāi)展高校站群云服務(wù)試點(diǎn)建設(shè)[13]。通過(guò)站群云服務(wù)平臺(tái)統(tǒng)一管理，有利于提高各高校站點(diǎn)的安全性，降低分散建設(shè)成本，同時(shí)，能夠及時(shí)向主管部門提供有利于支撐決策的信息數(shù)據(jù)，精準(zhǔn)定位高校教育信息化2.0建設(shè)發(fā)展方向[14]，從根本上解決各高校站點(diǎn)管理不到位，安全投入不足，漏洞修補(bǔ)不及時(shí)等問(wèn)題。

3.5 強(qiáng)化教育形成網(wǎng)絡(luò)安全意識(shí)，共同維護(hù)高校網(wǎng)絡(luò)空間安全

只有注重對(duì)全校師生網(wǎng)絡(luò)安全知識(shí)的普及，提高其安全防范意識(shí)，才能做到安全有效的防范，因此需要經(jīng)常對(duì)高校師生進(jìn)行網(wǎng)絡(luò)安全意識(shí)教育和相關(guān)安全技術(shù)科普?？破盏膬?nèi)容包括本單位的信息安全方針、信息安全方面的基礎(chǔ)知識(shí)、安全技術(shù)、相關(guān)的安全責(zé)任要求、法律責(zé)任和懲戒措施等。教育科普的形式包括網(wǎng)上問(wèn)卷調(diào)查、召開(kāi)信息安全學(xué)習(xí)大會(huì)、部門網(wǎng)絡(luò)安全知識(shí)學(xué)習(xí)會(huì)議、學(xué)校網(wǎng)絡(luò)安全公開(kāi)課等。

高校網(wǎng)絡(luò)安全問(wèn)題將伴隨高校信息化建設(shè)發(fā)展全過(guò)程，在網(wǎng)絡(luò)空間成為國(guó)家生存和發(fā)展的戰(zhàn)略高地的同時(shí)，沒(méi)有網(wǎng)絡(luò)安全就沒(méi)有國(guó)家安全[15]，同樣也沒(méi)有高?？蒲薪虒W(xué)及人才培養(yǎng)等教育事業(yè)發(fā)展的安全。因此，需要在教育管理部門主導(dǎo)下，通過(guò)高校不斷加強(qiáng)自身安全體系建設(shè)，社會(huì)企業(yè)共同參與，多方協(xié)作共同努力才能維護(hù)好高校網(wǎng)絡(luò)空間安全。