信息安全工作的首要目標(biāo)是保證高校核心業(yè)務(wù)系統(tǒng)和主要信息發(fā)布平臺(tái)的正常運(yùn)行。

　　隨著高校信息化建設(shè)的快速發(fā)展，高校信息化建設(shè)已經(jīng)滲透到日常學(xué)習(xí)、科研、管理和服務(wù)的方方面面。在建設(shè)期，難免強(qiáng)調(diào)建設(shè)的發(fā)展而忽視運(yùn)維的安全，使得高校信息系統(tǒng)安全基礎(chǔ)薄弱。同時(shí)，高校也必須面對(duì)日益嚴(yán)峻的安全形勢(shì)和相關(guān)部門(mén)越來(lái)越高的安全要求。挑戰(zhàn)和壓力是巨大的。在有限的人力物力和緊迫的網(wǎng)絡(luò)安全需求下，高校信息安全工作應(yīng)制定明確務(wù)實(shí)的工作目標(biāo)，實(shí)施簡(jiǎn)潔高效的安全措施。

　　求職目標(biāo)

　　確保核心業(yè)務(wù)系統(tǒng)和主要信息發(fā)布平臺(tái)的正常運(yùn)行。

　　高校師生的日常工作、學(xué)習(xí)和科研已經(jīng)高度依賴(lài)于各種業(yè)務(wù)信息系統(tǒng)和信息發(fā)布平臺(tái)的正常運(yùn)行。如果核心業(yè)務(wù)信息系統(tǒng)和主要信息發(fā)布平臺(tái)停止運(yùn)行，將導(dǎo)致高校日常工作中斷，信息無(wú)法傳達(dá)的嚴(yán)重后果。同時(shí)，信息安全工作也就失去了意義，所以信息安全工作的首要目標(biāo)是保證高校核心業(yè)務(wù)系統(tǒng)和主要信息發(fā)布平臺(tái)的正常運(yùn)行。

　　確保敏感的業(yè)務(wù)數(shù)據(jù)不被竊取。

　　教育相關(guān)業(yè)務(wù)數(shù)據(jù)泄露造成嚴(yán)重后果。例如，2016年8月，山東臨沂市高考錄取新生徐玉玉被冒充教育、財(cái)政部門(mén)工作人員的犯罪分子詐騙9900元，導(dǎo)致猝死。本案中，不法分子掌握的大量被害人個(gè)人信息被通過(guò)技術(shù)手段攻擊“山東2016年高考網(wǎng)上報(bào)名信息系統(tǒng)”的黑客竊取并出售給詐騙團(tuán)伙。確保高校信息系統(tǒng)中的敏感業(yè)務(wù)數(shù)據(jù)不被濫用和竊取是高校信息安全的重要目標(biāo)。

　　確保高顯示級(jí)別的系統(tǒng)不被篡改。

　　近年來(lái)，高校面臨的一大安全挑戰(zhàn)是面向公眾的網(wǎng)站和各種應(yīng)用系統(tǒng)的快速增加。黑客通過(guò)官網(wǎng)或應(yīng)用系統(tǒng)接口達(dá)到非法目的，讓高校蒙受巨大損失。近年來(lái)，一個(gè)海外黑客組織主要針對(duì)機(jī)構(gòu)和大學(xué)的外部網(wǎng)站，造成了一系列嚴(yán)重后果。確保高校網(wǎng)站和各大應(yīng)用系統(tǒng)的用戶(hù)界面不被非法編輯，是高校信息安全不可或缺的一部分。

　　總之，在保證網(wǎng)絡(luò)安全的前提下，盡可能保證師生的網(wǎng)絡(luò)應(yīng)用需求。

　　值得注意的是，各種信息網(wǎng)絡(luò)安全措施的實(shí)施，必然會(huì)給高校師生的信息網(wǎng)絡(luò)應(yīng)用帶來(lái)額外的不便。各種應(yīng)用已經(jīng)成為師生工作生活中不可或缺的一部分，需要在保證信息網(wǎng)絡(luò)安全的前提下，盡可能地保證師生的網(wǎng)絡(luò)應(yīng)用需求。

　　幾個(gè)關(guān)鍵點(diǎn)

　　網(wǎng)絡(luò)-網(wǎng)絡(luò)級(jí)

　　在網(wǎng)絡(luò)層面，應(yīng)該注意的是:

　　1.在校園網(wǎng)內(nèi)將用戶(hù)網(wǎng)絡(luò)與數(shù)據(jù)中心網(wǎng)絡(luò)分離，在數(shù)據(jù)中心網(wǎng)絡(luò)內(nèi)進(jìn)一步實(shí)現(xiàn)業(yè)務(wù)分區(qū)；

　　2.策略性關(guān)閉部分校園網(wǎng)邊界端口，限制外部網(wǎng)絡(luò)對(duì)校園網(wǎng)的SSH/Telnet/Ftp和常用遠(yuǎn)程控制端口的訪問(wèn)；

　　3.建立高安全性、多因素認(rèn)證的可信用戶(hù)內(nèi)網(wǎng)，建設(shè)專(zhuān)門(mén)的業(yè)務(wù)系統(tǒng)接入VPN、堡壘機(jī)等渠道；

　　4.在數(shù)據(jù)中心邊緣部署IPS/IDS和防火墻，對(duì)服務(wù)器網(wǎng)絡(luò)實(shí)施比用戶(hù)網(wǎng)絡(luò)更高的網(wǎng)絡(luò)安全策略；

　　5.由于通過(guò)無(wú)線(xiàn)監(jiān)聽(tīng)和MAC偽造技術(shù)非常容易非法登錄，因此應(yīng)該逐步關(guān)閉基于MAC匹配的無(wú)感知認(rèn)證的無(wú)線(xiàn)網(wǎng)絡(luò)，采用安全性更高的802.1x接入認(rèn)證。

　　IAAS-虛擬機(jī)級(jí)別

　　在網(wǎng)絡(luò)層面，應(yīng)該注意的是:

　　1.在虛擬機(jī)層面，應(yīng)利用虛擬網(wǎng)絡(luò)的軟件定義特性來(lái)實(shí)現(xiàn)比數(shù)據(jù)中心邊界更精細(xì)的網(wǎng)絡(luò)訪問(wèn)控制策略，以提高安全能力；

　　2.應(yīng)在虛擬機(jī)層面部署低于操作系統(tǒng)的防病毒、防惡意代碼安全產(chǎn)品，實(shí)現(xiàn)高效的全局安全控制；

　　3.要充分利用虛擬機(jī)層面的資源，利用統(tǒng)計(jì)數(shù)據(jù)進(jìn)行安全預(yù)警和判斷。

　　OS操作系統(tǒng)級(jí)別

　　在操作系統(tǒng)級(jí)別，應(yīng)該注意:

　　1.要做好操作系統(tǒng)尤其是服務(wù)器操作系統(tǒng)的補(bǔ)丁控制策略，及時(shí)升級(jí)修復(fù)操作系統(tǒng)漏洞；

　　2.應(yīng)減少操作系統(tǒng)的多樣性，盡可能安裝統(tǒng)一的操作系統(tǒng)，便于統(tǒng)一管理安全漏洞，簡(jiǎn)化安全工作；

　　3.資源監(jiān)控代理應(yīng)該安裝在操作系統(tǒng)級(jí)，是及時(shí)發(fā)現(xiàn)資源使用異常的重要手段。

　　4.在操作系統(tǒng)級(jí)別設(shè)置默認(rèn)的安全訪問(wèn)策略，遵循最小開(kāi)放原則，最大化安全能力。

　　網(wǎng)站級(jí)別

　　在網(wǎng)站系統(tǒng)層面，需要注意的是:

　　1.應(yīng)執(zhí)行網(wǎng)站最低開(kāi)放規(guī)則，關(guān)閉所有能關(guān)閉的網(wǎng)站B/S服務(wù)；

　　2.加強(qiáng)必須對(duì)外開(kāi)放網(wǎng)站的安全性，包括但不限于靜態(tài)、防篡改、全新部署等手段；并最小化網(wǎng)站的可訪問(wèn)范圍；

　　3.高校二級(jí)機(jī)構(gòu)獨(dú)立搭建的網(wǎng)站，安全能力參差不齊，網(wǎng)絡(luò)地址分散在各處，難以集中防護(hù)，安全隱患極大，一直是黑客攻擊的重災(zāi)區(qū)。站群系統(tǒng)的集中和標(biāo)準(zhǔn)化建設(shè)可以大大提高網(wǎng)站的安全性；

　　4.高校主要網(wǎng)站應(yīng)定期主動(dòng)掃描漏洞，通過(guò)IDS被動(dòng)分析其進(jìn)出流量，及時(shí)發(fā)現(xiàn)安全隱患。

　　重大保障期間的特別措施

　　再保險(xiǎn)期是指重大事件的網(wǎng)絡(luò)安全期。由于其特殊性，高校往往需要在國(guó)家重大活動(dòng)期間臨時(shí)增強(qiáng)信息網(wǎng)絡(luò)安全的防御能力，需要實(shí)施一系列特殊措施。包括:

　　重要服務(wù)器的重新部署

　　重要的服務(wù)器應(yīng)該完全從操作系統(tǒng)中重新部署，以防止可能的歷史黑客留下的潛在后門(mén)的存在。對(duì)于高校來(lái)說(shuō)，與DNS系統(tǒng)和主頁(yè)相關(guān)的服務(wù)器是重要的高風(fēng)險(xiǎn)服務(wù)器，應(yīng)視情況進(jìn)行重新部署。Ansible等服務(wù)器部署工具可用于批量系統(tǒng)配置、批量程序部署、批量運(yùn)行命令，實(shí)現(xiàn)配置的標(biāo)準(zhǔn)化和自動(dòng)化。

　　加強(qiáng)重要服務(wù)器的安全

　　對(duì)于重要的服務(wù)器，要加強(qiáng)安全策略的保護(hù)，利用漏洞掃描工具主動(dòng)發(fā)現(xiàn)潛在的安全問(wèn)題，采用站群部署的模式有效提升二級(jí)單位網(wǎng)站的安全等級(jí)，采用網(wǎng)站靜態(tài)手段最大限度降低安全風(fēng)險(xiǎn)。靜態(tài)網(wǎng)站的本質(zhì)是簡(jiǎn)化和減少信息產(chǎn)生和傳遞的環(huán)節(jié)，減少被攻擊的站點(diǎn)。非靜態(tài)網(wǎng)站存在安全風(fēng)險(xiǎn)，如SQL注入、權(quán)限旁路、XSS和CSRF。但缺乏交互性并不等同于靜態(tài)網(wǎng)站:引用第三方圖片、JS腳本、類(lèi)庫(kù)、樣式表等資源，一旦第三方被篡改，就會(huì)被聯(lián)合篡改。完全靜態(tài)意味著所有第三方內(nèi)容都從可信來(lái)源下載并在本地固化，甚至完全圖形化。

　　應(yīng)急計(jì)劃

　　信息安全措施不能達(dá)到絕對(duì)的安全。一旦網(wǎng)站頁(yè)面編輯事件真的發(fā)生，應(yīng)該在第一時(shí)間屏蔽外部對(duì)網(wǎng)站頁(yè)面的訪問(wèn)。各級(jí)都可以制定“一鍵斷網(wǎng)”的計(jì)劃。在操作系統(tǒng)層面，可以預(yù)制防火墻規(guī)則在需要時(shí)生效，也可以直接關(guān)閉系統(tǒng)；在Web服務(wù)器層面，可以設(shè)置一個(gè)關(guān)閉Web服務(wù)的切換頁(yè)面；在虛擬機(jī)層面，可以關(guān)閉虛擬機(jī)網(wǎng)絡(luò)，也可以關(guān)閉虛擬機(jī)本身；在物理機(jī)層面，可以直接拔掉網(wǎng)線(xiàn)甚至電源；在數(shù)據(jù)中心網(wǎng)絡(luò)邊界，可以預(yù)制WAF、IPS、FW的阻斷規(guī)則；在接入網(wǎng)層面，可以在出口網(wǎng)關(guān)上預(yù)制ACL規(guī)則，從路由器上拔下網(wǎng)線(xiàn)甚至電源。

　　這些方法適用于不同職業(yè)的工作人員，可以供人們?cè)诰o急執(zhí)勤時(shí)使用，第一時(shí)間阻斷不同級(jí)別的通道。

　　攻擊可追溯性

　　信息安全攻擊發(fā)生后，為了給下一步工作積累經(jīng)驗(yàn)，固定證據(jù)，要做好攻擊源頭的追查工作，將相關(guān)日志寫(xiě)入專(zhuān)門(mén)的遠(yuǎn)程日志服務(wù)器，通過(guò)虛擬機(jī)快照的方式對(duì)重要服務(wù)器進(jìn)行分鐘級(jí)的遠(yuǎn)程備份，防止攻擊者擦除攻擊痕跡。

　　網(wǎng)站關(guān)閉通知頁(yè)面

　　對(duì)于部分因安全風(fēng)險(xiǎn)而暫時(shí)離線(xiàn)的網(wǎng)站，可以使用應(yīng)用交付設(shè)備或?qū)隓NS到特定的通知頁(yè)面，最大限度減少網(wǎng)站離線(xiàn)對(duì)用戶(hù)的負(fù)面影響。為了防止搜索引擎通過(guò)臨時(shí)替換網(wǎng)站頁(yè)面內(nèi)容來(lái)刪除原網(wǎng)站信息，通知頁(yè)面應(yīng)該返回503 HTTP狀態(tài)碼，或者根據(jù)恢復(fù)時(shí)間指定Retry-After返回值。

　　在再保險(xiǎn)期間幫助站點(diǎn)和客戶(hù)服務(wù)

　　再保險(xiǎn)期間實(shí)施的各種信息安全管理策略，必然會(huì)影響用戶(hù)體驗(yàn)?；谧钚￠_(kāi)放原則的原系統(tǒng)幫助頁(yè)面的關(guān)閉，會(huì)大大增加客服部門(mén)的工作量。要根據(jù)信息系統(tǒng)在再保險(xiǎn)期間的客服特點(diǎn)，提前設(shè)計(jì)好求助現(xiàn)場(chǎng)和客服方案。

　　將不可控風(fēng)險(xiǎn)的負(fù)面影響降至最低

　　對(duì)于非主觀措施可以防范的偽攻擊也要做好預(yù)案，比如篡改上級(jí)DNS、CDN，甚至偽造頁(yè)面截圖。如果發(fā)現(xiàn)攻擊，要及時(shí)下線(xiàn)，進(jìn)行檢查。如果確定不是自身因素，要及時(shí)恢復(fù)上線(xiàn)，并在頁(yè)面顯著位置公布，消除不良影響。有條件的話(huà)要建立第三方視頻存儲(chǔ)證書(shū)，可以自動(dòng)刷新頁(yè)面。

　　(作者是廈門(mén)大學(xué)信息與網(wǎng)絡(luò)中心)

　　本文發(fā)表于《中國(guó)教育網(wǎng)絡(luò)雜志》2018年9月刊。