中职学校网络安全体系研究

林飘萍 郭伊葭 吴蝶媚

一、引言

信息作为单位组织的重要资产，需要得到妥善保护。信息技术高速发展的同时也伴随很多安全问题，如系统瘫痪、黑客入侵、病毒感染、网页篡改、资料泄露等。信息安全问题给单位组织的经营、管理、生存甚至国家安全都带来严重的影响。

随着校园教育信息化的不断深入，校园网络系统已经成为中职学校重要的现代化基础设施。学校的教学、办公和管理都离不开网络平台，校园网络系统的安全性及稳定性直接关系到校内数据安全，影响校内人员办公，教师教学和科研等。目前大部分学校网络内部已部署防火墙、防病毒等安全设备，但网页挂马、网页篡改、DDOS攻击等事件不仅没有减少，反而有飙升的趋势。因此，保障校园网络信息安全已经成为当前各中职学校网络建设中不可忽视的问题。

二、常见的校园网络安全隐患

（一）人员安全隐患

校园网用户信息安全意识薄弱，很大程度上会给校园网络带来各种隐患。

教职工作为校内办公的主体，安全意识薄弱、不良上网行为等问题会带来一定的安全隐患，如使用弱密码，使得非法用户成功登录系统获取信息，造成信息泄露；访问非信任网站，下载非官方软件等导致办公终端中木马病毒；存在安全隐患的不可信移动终端接入网络，从而造成内网被攻击；用户访问钓鱼邮件发送校内账号信息给攻击者；信息管理人员把服务器当成个人电脑使用，致使服务器中木马病毒等行为。

目前，大部分中职学校信息系统管理员主要负责系统管理和运维工作，而信息系统一般采取外包、采购的方式来部署搭建。第三方人员往往会进入学校驻场办公，具备访问控制权限的第三方人员若安全意识薄弱也会给校园网带来一定的安全隐患，如在主机上部署后门，恶意监控网络信息；违规扫描访问其他信息系统、获取信息数据；部署的程序包于站点目录下被攻击者下载，导致站点代码泄露等各类安全问题。

（二）数据安全隐患

中职学校学生学籍、教师档案、财务数据等信息作为核心数据应妥善保護，要避免数据泄露。信息系统管理人员负责信息系统的运维工作，拥有服务器的管理权限，可绕过堡垒机直接登录服务器操作获取数据，办公人员登录信息系统查看、导出敏感数据时未记录用户操作行为，数据下载到个人电脑后，通过qq、微信等途径无意识地发送传播，导致数据泄露。第三方人员作为信息系统的建设方，拥有信息系统的权限。部分第三方人员进场未签署保密协议，可直接访问获取敏感数据，没有记录访问日志。信息系统搭建完成交付后，权限一直未释放，拥有系统权限等给信息系统带来极大的安全隐患，导致数据安全问题。

信息系统出现常见的漏洞时，未修复则存在着安全隐患。如SQL注入漏洞，敏感数据未进行加密处理存储于数据库中，则可通过SQL注入漏洞直接获取数据库内容，造成信息泄露。文件上传漏洞，通过上传动态脚本获取服务器权限，直接链接访问核心数据库获取数据，搜索服务器上文件内容信息，横向渗透获取更多权限及数据内容等。

账号角色权限方面，一般后台信息系统会划分普通管理员、超级管理员等角色，每种角色用户能访问的数据应遵循数据最小化原则，只允许访问权限范围内的数据。在中职学校中往往缺少专门的信息系统运营人员，有时会临时指派某个教职工去管理某个系统，给职工用户分配需要的权限，从而导致临时分配的权限没有及时回收，用户可一直操作访问数据。权限分配混乱，可访问的数据没有得到隔离控制。另外，创建新账号未实名制，随机命名，不能定位账号的真实使用用户，出安全事故后无法定位到实际操作人员。

（三）服务器和PC终端安全隐患

服务器上运行着各种信息系统，主机安全问题同样不可忽视，如操作系统漏洞修复不及时、操作系统版本过低、服务器操作不规范等。教职员工外带不可信个人设备接入办公网，统一终端控制器无法纳管，不可信设备主机存在漏洞等。办公电脑主机、服务组件存在漏洞，缺乏终端管控，无法推送补丁，未修复的漏洞存在被利用的风险等，如震惊国内的永恒之蓝漏洞，办公人员浏览下载非官方授权文件，点击恶意邮件导致终端主机中病毒，教职工通过U盘拷贝敏感数据、通过邮件、qq、网盘传输敏感数据等行为未得到有效管控。

（四）网络安全隐患

IDC（Internet Data Center）服务器直接暴露于互联网区，加大了被攻击的风险。缺乏网络区域划分或者区域划分不明显，所有服务器部署在同一块区域，信息数据互通互联，缺乏有效的网络隔离，一旦某台服务器沦陷，导致整个IDC沦陷。网络策略缺乏管控，服务器运维人员映射服务器管理端口到公网，导致某服务器被入侵，内网被横向穿透。各个VPC（Virtual Private Cloud）隔离区策略太宽，能互相访问，一旦某个VPC沦陷，可横向访问任意VPC。缺少内网网络安全感知系统，服务器被入侵，攻击者对外发送DDOS流量攻击、内网横向渗透等行为，无法进行监控预警。

（五）应用安全隐患

系统软件运行组件存在默认配置，攻击者可通过默认配置上传恶意代码导致服务器被提权。系统及其组件存在未知漏洞，导致被利用攻击，造成服务器沦陷等风险。而作为数据、权限的后台管理信息系统，本应只允许在内部办公网访问，却被开放至公网，攻击者登录访问，造成信息泄露。

信息系统承建方安全开发意识薄弱，导致开发的系统存在大量漏洞。如部署环境的代码可能存在压缩包未及时删除被下载利用的风险。把代码托管到第三方代码平台，泄露信息系统的配置信息及代码，被进一步利用攻击。信息系统缺乏售后闭环服务，后期发现漏洞，开发商没有及时修复而学校信息管理人员无法修复漏洞。

三、校园网络安全体系建设

现阶段信息安全技术环境下，攻击成本越来越小，防御成本越来越大，网络安全环境并未有所好转，反而有日益恶化之虞。在复杂的校园网络中，任何一个教职员工的疏漏都会给校园安全带来威胁。因此，在学校内部制定工作流程和管理制度，应约束教职员工操作。提高教职员工安全意识是根本要求，同时依靠技术手段和后期的安全运营来验证制度流程的落地情况，不断完善制度流程、规则来弥补短板效应。具体的方案体系如图1所示，流程制度作为技术管控的依据和安全运营的行为准则，通过技术管控手段和安全运营来完善流程制度；技术管控作为安全运营的技术基础，由后期的安全运营管理来不断地优化技术管控。

（一）制定制度及流程

制定适合中职学校网络安全管理制度和流程是网络安全综合管理的基础工作。

1 .网络安全管理组织架构的设立

网络安全管理委员会是网络安全管理的核心机构，由校领导、安保部门、网络部门等多部门共同组成，负责制定网络安全规定、安全策略、安全预案等，下设网络安全工作小组，由网络安全组长和技术人员组成，负责日常具体的网络安全工作。

2 .制定网络安全管理制度

根据校园实际情况，制定网络安全管理制度，明确网络安全的管理要求和标准。制度内容包括但不限于网络使用管理、设备安全管理、软件使用管理、权限安全管理、数据安全管理、安全意识培训考核、第三方人员安全管理、安全检查和评估、安全事件处理等方面。

3 .制定网络安全管理流程

制定完善的网络安全管理流程，包括安全事件的发现、处理、通报和跟踪等方面，使网络安全管理流程规范化、标准化。在流程中需要指定责任人、时间节点和审批流程，确保安全管理流程的顺畅和有效性。

（二）技术管控手段

技术管控手段是指利用技术手段来保障网络安全和减轻潜在的安全隐患。

1 .账号权限安全管控

统一身份认证系统，给每一个用户只分配一个账号，用户通过这个账号登录所有的业务系统实现了单点登录功能，简化了教职工的办事流程，提升工作流畅度，提高工作效率。在身份证认证中设置密码规则，可强化用户密码体系，规避弱密码。登录处设置二次身份，如短信验证码、手机令牌等可杜绝账号共享的问题。

2 .数据安全管控

对信息系统数据类型进行分级分类，设置敏感数据规则。承载敏感数据的业务系统导出敏感数据文件时需添加水印，信息展示时进行脱敏处理，防范数据泄露。

3 .办公终端安全管控

教职工人员是校内网络办公的主体，使用的PC终端积累了大量校内人员的办公信息，因此，通过办公终端安全管控体系可大大提高校内办公终端安全管理水平，如图2所示。

搭建域控服务器（AD Controller），所有办公电脑加入AD域进行统一管控。统一分配域账号，通过AD域下发策略，让办公电脑统一安装防病毒软件，提高主机安全性。安装USB管控软件，禁止拷出文件、WiFi共享。安装DLP软件，追踪溯源敏感文件，防止数据信息泄露。当外界爆发主机漏洞时，可通过域控下发补丁策略，所有计算机软件自行更新补丁，规避安全风险。

辦公终端访问网络，需通过身份认证，避免外带电脑随意接入网络。划分byod网络， 移动设备接入网络认证通过后，不允许访问办公区资源，只允许访问互联网，规避安全风险。部署上网行为管理，对用户访问网站和运行软件进行控制管理，可规避教职员工乱下载、乱访问导致的安全问题。

4 .IDC安全管控

（1）服务器安全管控

第一，安全基线要求。遵循端口最小化原则，确保主机操作系统版本安全，没有系统层面漏洞。设置强密码规则，禁止自行创建添加系统账号。审查是否开放不合规的服务配置项，系统最高权限启用服务应用，如web应用、redis服务等。使用dba权限账号连接数据库，服务支持匿名访问或者弱密码等其他服务配置项。

第二，主机入侵防护。服务器主机安装主机型入侵检测系统（hids），可监测主机网络、文件目录、进程的异常情况，及时发现安全风险，阻断并上报安全问题。

第三，主机漏洞扫描。通过安装部署漏洞扫描工具，扫描主机对外端口服务的实时情况，排查端口开放的情况及安全，加强服务器主机的整体安全性。

（2）网络安全管控

防火墙隔离。在IDC边界部署防火墙，保护内部网络免受外部网络的侵扰。将网络划分为不同的安全域实施不同的安全策略。当一个区域沦陷后，通过区域划分隔离有效地缓解整个IDC沦陷。

（3）网络流量监控

安装部署网络监控软件，分析统计服务器的流量速率、总流量的周期性，评估设定合理峰值。当服务器的速度、总流量超出设定的峰值时，通过告警进一步排查主机的安全性。

异常流量监控，在内部部署网络入侵防护检测设备，收集内部网络流量请求，可分析主机DNS请求记录，匹配威胁情报，识别主机风险，作为后期审计、应急的日志源。

（4）安全蜜罐

蜜罐是一种安全机制，用于吸引和监测攻击者的活动。攻击者获取内网某台服务器权限后，往往会扫描探测同个区域网段的端口服务。蜜罐服务器日常没有任何访问量，一旦有访问链接请求，会立即触发告警，确保网络环境的安全性。

（5）应用安全管控

在网络边界部署web应用防火墙，可检测日常web攻击行为并进行阻断和ip封禁。在web运行组件上部署rasp扩展，hook高危函数执行，阻断告警，能实时检测和阻断安全攻击，使应用程序具备自我保护能力。新系统上线、系统功能迭代必须通过安全测试才能上线，系统上线后，定期对站点进行主动扫描，加强系统安全性。在网络内部，部署资产风险评估平台，收集资产所有信息，形成资产可视化，当外界爆出漏洞时，可第一时间感知追踪。

（三）安全运营

制定可落地的工作流程和管理制度作为技术实施的根本依据。

1 .服务器操作系统安全运营

日常做好操作系统用户、权限和口令管理。根据最小授权原则设定用户访问权限，根据密码复制度要求设定口令并定期更换等，及时发现不合规的操作项，如角色分配不合理、绕过堡垒机直接登录操作服务器、网络策略申请是否定期回收等。通过设定终端接入方式、网络地址范围等条件限制终端登录。根据安全策略设置登录终端的操作超时锁定，限制单个用户对系统资源的最大或最小使用限度。定期对服务器磁盘阵列数据进行备份，提高数据的可靠性和容错性。定期查看日志，对各种安全事件进行审计和追踪。

2 .数据安全运营

定期检测和鉴别重要业务数据信息在传输过程中的完整性是否受到破坏。通过采用加密或其他保护措施实现鉴别信息的存储保密性。定期进行数据备份，并建立可靠的备份系统，以防止网络系统硬件故障、人为操作失误或黑客入侵导致数据完整性损坏。提供关键网络设备、通信线路和数据处理系统的硬件冗余，保证应用系统的可用性。

3 .应用系统安全运营

定期检测用户访问系统权限，防止用户未授权访问。采取结束会话、限制非法登录次数和自动退出等措施来处理登录失败情况。控制应用系统的有效资源，对应用系统的最大并发会话连接数和单个账户的多重并发会话进行限制。完善日志分析规则，通过自动化分析，发现风险点。对安全设备的规则进行日常维护，提高设备的检测率，更有效地识别及拦截攻击行为，确保web应用程序在受到攻击时能够正常运转。采购第三方安全渗透服务，对应用系统进行安全检查，避免单一方检测遗漏存在的安全风险。

四、结论

教育信息化的不断发展，给用户带来了方便快捷体验的同时，如何防范信息泄露，已成为中职学校迫切需要解决的问题。针对校园网所存在的各种风险，加强校园网络安全管理，构建网络安全体系是中职学校网络管理工作应对网络教育新时代发展的必然要求。我们必须清楚地认识到，再好的网络安全管理体系也做不到绝对的安全，只能做到相对安全。本文通过分析校园网络安全现状和存在的各种威胁，从管理制度和工作流程、技术管控和安全运营三大方面展开研究。在技术实施过程中，流程制度的完善是一个不断优化的过程。在实践中，需要对现有的流程和制度进行评估和调整，以确保其与实际情况相符合，并随着安全威胁的变化不断进行调整和完善。在技术实施建设完成后，持续的安全运营至关重要。只有通过持续的安全运营，才能及时发现和应对安全隐患，并不断提升校园网络安全的整体水平，确保校园网络的稳定运行和安全性。

责任编辑  何丽华