基于新高考改革的招生考试管理信息系统安全防护体系研究与应用实践

钱建良 符耀章

一、招生考试管理信息系统安全防护体系建设与研究的必要性

高考综合改革是党中央、国务院着眼全面建成小康社会和社会主义现代化建设全局作出的一项重大部署，事关党和国家人才培养选拔大计，承载着千家万户对幸福生活的向往和对美好未来的期盼。确保高考改革平稳落地实施，是教育行政部门和招生考试机构最重大的政治任务。江苏省作为全国第三批高考改革试点省份，已于2019年启动新高考改革工作，全面实施了新高考改革配套信息化工程建设（整体系统架构见图1），满足了春季职教高考（含对口招生、高职提前招生、面向社会人员招生及其他分类考试）、秋季高考、普通高中学业水平考试及其他单招、特殊类型等各类招生考试的考生报名、考试组织、体检信息采集、计划管理、志愿填报、评卷管理、录取管理等工作的需要。

图1 江苏新高考综合管理平台的系统架构

习近平总书记强调，没有网络安全就没有国家安全，就没有经济社会稳定运行，广大人民群众利益也难以得到保障。招生考试管理信息系统涉及考生的姓名、身份证号等个人信息，以及考试成绩信息、录取结果信息等，用户访问量大、社会关注度高，如果遭到攻击，系统不能提供服务或者信息安全出现问题，不仅会给改革带来不利影响，给考生个人带来不可估量的损失，也会对社会秩序和公共利益带来损害，甚至会影响国家和社会稳定。因此加强招考信息管理系统的安全防护体系建设，并对移动互联、云计算、微服务、大数据、区块链等新技术应用安全防护进行研究，有其必要性。

二、招生考试管理信息系统安全防护体系构建

新高考管理信息系统在建设和实施的全过程中，必须落实网络安全等级保护2.0的要求。根据《教育行业信息系统安全等级保护定级工作指南》和招生考试信息系统特点，结合信息系统涉及业务和部署模式，江苏省教育考试院对普通高校招生考试信息服务系统、网上录取系统、教育考试数据中心、门户网站和江苏招考APP五个系统进行了三级备案，对标准化考点系统等进行了二级备案，并按照规定每年进行测评。

新一代招生考试信息系统安全防护体系要按照“事前感知、事中防护、事后处置”的原则实现主动防御模型落地，形成动态、多层次防御体系。

（1）事前态势感知

通过研发安全基线Agent获取招生考试管理信息系统所涉及网络设备、主机的关键状态指标，基于告警关联分析，实现事前的主机和网络设备的安全态势感知及受攻击预警。主机关键状态指标包括监测运行状态、配置合规、应用日志、系统异常行为4大类，能够支撑资产脆弱性、异常行为、攻击威胁等告警的关联分析。态势感知的数据来源包括网络结构数据、网络服务数据、漏洞数据、脆弱性数据、威胁与入侵数据、用户异常行为数据，通过知识图谱技术对多源数据进行综合分析，实现对信息系统自身安全漏洞扫描、安全状态监视、恶意行为跟踪、安全事件防范等各种资源数量、状态的精确感知。

（2）事中动态防护和深度监测

基于人工智能模型构建面向招生考试管理系统使用场景的监测分析模型和算法，实现安全威胁实时发现和挖掘。通过全景视图展现安全防护设备逻辑拓扑结构，实现运维可视化监控、边界异常流量监控等，兼顾安全态与运行态。同时，对终端内网外联情况、服务器感染木马病毒情况等进行监控，并准确定位。实时监测系统的关键进程信息和程序执行流，实现攻击的追踪溯源。

（3）事后研判处置

建立基于策略的多级联动防御机制，通过安全威胁发现和防御策略联动执行实现招生考试信息系统设备和应用的联动，通过对漏洞进行全生命周期管控，发现漏洞信息并进行解析，实现可视化展现漏洞的整改情况，达到事后应急响应和闭环跟踪的效果。

建立健全招生考试管理信息系统网络安全技术防护体系，对整个信息系统的通信网络、区域边界和计算环境等各个区域落实信息安全策略和安全机制，确保访问者对每一个系统组件访问时都能被多层次安全保障机制所监控，以实现系统的主动防御和全面防御，降低系统受到攻击的风险，确保系统安全性和可靠性。

新一代招生考试信息系统要在等级保护2.0级“一个中心、三重防护”的指导思想下构建网络安全保护纵深防御体系（见图2），采用三重防护进行安全建设。

图2 新高考综合管理信息系统安全防护子网

（1）安全通信网络防护。一是划分安全子网，划分运维终端区、安全管理区、办公区、业务系统区、开发测试区等子网，重要网络区域部署防火墙进行隔离；二是网络线路、核心网络设备和关键计算设备采用双路或双机冗余部署，保证系统可用性；三是使用加密技术保证通信过程重要数据的保密性及完整性。

（2）安全区域边界防护。一是部署了上网行为管理系统、防毒墙、Web应用防护、IDS/IPS、日志审计系统、抗APT攻击系统、防垃圾邮件系统等安全设备和系统，并及时更新规则库；二是通过建立白名单制度①通过设置白名单加强访问控制，在白名单中的用户（或IP地址、IP包、邮件等）才允许访问网络资源。配置细粒度的访问控制策略；三是通过部署堡垒机②堡垒机是为了保障网络和数据不受来自外部和内部用户的入侵和破坏，运用各种技术手段监控和记录运维人员对网络内的服务器、网络设备、安全设备、数据库等设备的操作行为，以便集中报警、及时处理及审计定责。，实现对设备和用户行为的统一管理和集中审计。

（3）安全计算环境防护。一是采用口令或生物技术结合密码技术对用户进行身份鉴别，配置符合等级保护标准要求的口令并定期更新；二是采用基于角色/属性或安全标记的访问控制技术管理操作系统、数据库、应用用户的权限；三是对重要的用户行为和重要安全事件进行集中审计，审计记录的保存期限不少于六个月；四是采用漏洞检测、终端管理结合补丁管理、终端威胁防御、主动免疫可信验证、主机加固等技术保障终端及服务器等计算资源的安全；五是采用加密和灾难恢复备份等技术手段保障重要数据的完整性、机密性和可用性；六是对敏感数据和重要个人信息实施保护。

三、招生考试信息管理系统安全运维管理体系构建

招生考试管理信息系统安全运维“三分技术，七分管理”，大多数安全事件的发生和安全隐患的存在，很大程度是由于管理不善造成的，因此加强信息系统的安全运维管理对实现信息系统安全目标来说尤其重要。招生考试信息管理系统安全运维管理体系构建包括以下三个方面：

（1）健全安全管理制度建设。建立健全网络安全管理制度，明确安全管理职责，强化人员网络安全培训，提高全员网络安全意识，使网络安全管理工作制度化、常态化、规范化。建设符合ISO27001标准的信息安全管理体系，包括总体方针策略、各类网络安全活动制度、日常管理操作规程、制度落实的记录表单等。

（2）加强运维人员管理。加强对安全运行维护人员的管理，建立内部运行维护管理团队，提高运行维护团队网络安全专业技能和全员网络安全防护意识。首先要完善岗位设置，明确系统管理员、安全管理员、安全审计员等人员岗位并各司其职。其次要加强人员培训，根据岗位特点为技术人员提供相应的技能培训。三是强化人员考核，通过考核监督相关人员主动提高专业技能，提高培训效果。

（3）建立应急响应机制。加强与省网信办、省公安厅、省通信管理局等网络安全管理部门的联动协调，建立网络安全信息共享和通报预警机制，强化网络安全协同处置能力，制定网络安全应急预案，开展预案培训与演练，提升网络安全威胁发现和及时应对突发事件的处置能力。

四、新技术应用下的招生考试管理信息系统安全应用和防护

江苏省在新高考招生考试管理信息系统建设和运维过程中使用了微服务架构、云防护、态势感知安全防护等技术，进一步加强对系统的安全防护。

（1）微服务技术应用安全防护。通过采用微服务模式，将大的应用拆分为小应用，将相互耦合的模块拆分为不同的小业务，提高了系统开发效率和可维护性，但也需要进一步加强微服务的身份验证和授权、微服务进行通信机制等安全性。一是采用开放标准如OAuth、SAML等安全协议对用户、开发人员、系统管理员进行身份认证；二是通过OAuth Token、APP Key和RBAC策略来进行细粒度授权管理；三是利用SSL/TLS来保护通讯链路层的安全；四是利用日志、监控和审计进行安全分析；五是加强XML、JSON和DoS攻击防护等。

（2）云防护技术应用。为进一步保证新高考管理信息系统安全性，在安全防护体系中采用云防护技术对系统进行了安全防护，云防护自动隐藏源站，通过解析网站返回高防的防护节点地址，从而使攻击者无法直接对源站服务器发起攻击；云防护还可以防护多种类型的DDoS攻击，包括SYN Flood、ACK Flood、ICMP Flood、UDP Flood、TCP Flood、CC等，并提供黑白名单等精准防御机制。从防护结果分析来看，云防护对管理信息系统的安全运行提供了很好的防护效果。

（3）态势感知安全防护技术应用。针对网络安全攻击的隐蔽性和潜伏长期性，为了实时、准确地反映整个网络安全态势状况，发现潜在的和恶意的攻击行为，在安全防护体系中部署了网络安全态势感知系统，通过攻击数据分析、网络安全态势特征提取、态势评估、态势预测和态势展示等对网络攻击进行预警和防范。

五、以高考志愿填报信息系统安全防护为例落实安全防护举措

在招生考试信息系统整体防护体系下，落实高考志愿填报信息系统安全防护举措。

一是加强网络安全防护：配置网络访问安全控制策略，限制开放端口；部署入侵检测系统和网络安全监测系统，对志愿填报系统的进出流量、访问请求进行全面监测，发现异常立即进行拦截并预警；对所有服务器进行内、外网隔离。

二是加强信息安全防护：基于区块链架构强化招生考试信息系统的数据存储与访问安全，将志愿信息更新到分类账上实现链上存储，以考生与机构管理人员与分布式服务器作为通信节点，通过有策略的信息验证，保障招生考试信息系统信息更新的安全性。其中，通过利用基于用户属性的多层次访问控制策略，提高区块链上志愿信息操作的安全性。部署多种功能的区块链安全组件，包括：（1）安全连接中间件，保障考生与机构管理人员安全连接招生考试信息系统；（2）基于访问控制策略的区块链查询中间件，保证不同用户读取重要区块链节点信息时信息的隐私性，防止无权限用户对志愿信息的窃取；（3）基于访问控制策略的链码函数调用中间件，保障不同用户仅可调用自身权限下的链码函数。基于以上区块链访问控制策略与安全组件，强化了招生考试信息系统的数据存储与读取安全。使用加密算法对志愿数据进行加密和签名，密钥分段管理，杜绝任何个人私自窃取志愿信息，志愿数据的解密按照严格程序、多人执行；对考生志愿生成数据摘要，利用数据摘要对每一条志愿数据的合法性进行校验，防止考生志愿被恶意篡改；考生登录采用动态口令卡，管理员登录均需绑定手机；部署数据库安全审计系统，加强数据安全溯源；采用磁盘阵列，数据库双机热备；每15分钟自动备份数据库文件到另一磁盘阵列，并异地存储；每天将最新备份刻盘交纪检部门留存备查。

三是加强日常运维和应急事件处置：强化机构和人员管理，引进专业化的安全运维团队，构建安全运维体系，管理和技术紧密结合进一步加强系统安全。制定应急事件处理预案，联合网信、公安、通讯管理等部门，省市县校四级联动，确保考生在规定时间内顺利完成志愿填报。

六、结语

经监测，江苏省在2020年招生考试系统安全运维中，系统全年受到攻击上万次，全年安全扫描264次，共修复高危漏洞311个，修复中危漏洞2103个，可见网络安全形势的严峻性和复杂性。通过加强网络和系统安全防护体系及运维体系建设，江苏省教育考试院实现了网络安全“零事故”，连续三年取得网络安全等级保护先进单位称号，在全国教育招生考试信息系统安全攻防演练中取得优异成绩，有效地保证了招生考试工作的顺利进行。

高考改革是一项系统工程，改革的所有政策、举措均需要通过信息系统的支撑来落实，因此必须进一步加强网络和信息系统安全防护体系研究，落实网络安全等级保护、监测预警和个人信息保护制度，提升网络安全态势感知能力和应急管理水平，确保高考改革平稳实施。