高校网络安全问题研究

朱丽霞

摘要：随着高校信息化建设的高速发展，教育行业对网络和信息技术的依赖程度越来越高，但很多高校的网络安全意识却相对滞后，网络安全防护能力不足，网络攻击和数据泄露事件时有发生，学生的个人信息、学校的学术资源等都面临着被窃取或滥用的风险，网络设备、软件和系统等存在安全漏洞，容易受到黑客攻击或病毒侵害，网络安全问题日益突出。从高校网络安全现状及普遍存在的问题、高校常见的网络安全风险类型，高校网络安全防护及优化措施三个方面进行分析研究。

关键词：高校；网络安全；威胁；数据

一、前言

随着信息技术的高速发展，互联网已经深入到高等教育的各个角落，为师生带来了前所未有的便利。然而，网络是把双刃剑，在享受互联网带来的便利同时，网络安全问题也日渐突出，表现在网络安全事件频繁发生、安全环境越来越复杂、网络安全威胁类型多样化。本文将分析高校网络安全面临的主要危险和风险，以及如何提升网络安全防护水平。

二、高校网络安全现状

2024年1月，Check Point软件技术有限公司的威胁情报部门发布了2023 年12月《全球威胁指数》报告。报告数据显示，与2022年的数据相比，2023年全球网络攻击次数增加了3%，其中教育/研究部门遭受的攻击次数最多，每个机构平均每周遭受2160 次攻击，与2022年同期相比增加了5%。教育行业涉及的人员众多，各级各类学生总数超过3.5億人，教育系统域名有10万多个，相关信息系统涉及超过100万人的数据，教育行业信息系统安全风险多样，高校网络安全防护常常缺人手、缺经费、缺技术。

经分析，现阶段各高校网络安全主要有以下几个方面的问题：

（一）管理制度不够完善

部分高校的网络安全制度不完善，首先体现在相关管理制度缺失或没有及时修订，时效性差，没有制定详细的网络安全管理规定或者内容过于简单，缺乏实际操作性，导致网络安全管理无法可依，无章可循。其次，高校网络安全责任主体不明确，职能部门责任边界划分不清晰，统筹协调网络安全工作的能力较差。最后，部分高校没有建立完善的管理措施。例如，没有建立网络安全监测机制、应急处置机制等，导致网络安全风险无法及时被发现和处理。

（二）网络安全意识淡薄

一些高校没有开展足够的网络安全教育，师生和管理者的安全意识淡薄，普遍缺乏对网络安全威胁的警觉性，缺乏对个人隐私的保护意识，随意透露个人信息，使用弱密码，或者在不安全的网站上输入个人信息，导致个人信息被窃取或滥用。师生缺乏对网络攻击的防范意识，缺乏安全使用网络的常识等，容易成为网络攻击的目标，不能及时有效地应对病毒入侵、黑客攻击。例如，随意使用U盘、移动硬盘等存储介质可能导致感染木马，随意点击邮件中的链接，存在被钓鱼的风险等。

（三）校园网络容易受到攻击

校园网通常是一个开放的、共享的网络环境，存储了大量的个人信息、学术资料等敏感信息，对于攻击者来说具有很高的价值。同时，学生群体对新鲜事物的好奇心强，尝试欲望旺盛，但是，安全意识相对不足，一些学生可能会使用不安全的网络服务，如下载未知来源的文件、访问恶意网站等，使得学生可能无意识地触发一些安全问题。例如，学生可能会尝试破解校园网的防火墙、非法获取管理员权限等，师生日常使用各种网站、App留下了大量的安全隐患，一些黑客可能会利用这些漏洞，攻击校园网络，窃取数据或者破坏系统等。据某高校安全监测平台统计，仅2023年12月，学校单个服务器被攻击多达1700余万次[1]。

（四）病毒和恶意软件的威胁

高校常常面临着勒索病毒、恶意App、钓鱼邮件等安全威胁，校园网用户群体庞大、网络活跃度高，导致这些病毒和恶意软件往往传播极快，影响范围极广，如果不及时防范和处理，可能会对师生的工作和学习造成严重影响。

（五）信息资产杂乱无序

高校网络环境复杂，设备众多，信息资产包括各种不同的业务系统和数据，涉及众多职能部门和业务流程及师生个人敏感信息。高校信息资产是动态变化的，随着业务发展和政策变化，需要不断更新和维护，职能部门业务服务器分区管理，师生上网设备数量庞大，没有完善的资产管理体系，导致难以统一监管。

（六）数据安全隐患大

随着教育行业信息化程度的提高，大量的敏感信息集中存储在数据库系统中，高校拥有大量的数据资产，包括学生的学籍、身份、成绩，以及教师的信息、科研成果等，这些数据资产一旦被泄露，可能会产生严重的影响。高校大量的业务系统数据标准不统一，导致众多数据难以共享和整合，增加了数据泄露风险。与此同时，高校信息化部门缺乏数据安全的专业人才和技术支持，导致数据安全保护不力，容易发生数据泄露和网络被攻击的事件。

（七）技术能力不足

高校繁多的业务系统没有有效的监控手段，导致非法调用、越权使用、违规批量下载等行为严重失控。缺乏专业的网络安全人才，技术防范措施单一，综合防控能力不足，网络安全设备和系统无法灵活联动[2]。除此之外，随着大数据和网络技术的突飞猛进，病毒的更新速度大幅度提升，但是，网络安全防护技术的发展依旧滞后，无法灵活应对更加隐蔽和复杂的入侵形式，防御效果较差。

三、高校常见的网络安全风险类型

（一）横向威胁

横向威胁是指黑客利用网络安全漏洞进行攻击时，获得系统内其他用户的权限，从而进一步攻击系统中的其他主机或用户的过程。高校网络中通常存在很多台计算机以及其他网络设备，黑客可以通过横向沦陷攻击不断进入其他计算机，在整个系统中释放恶意软件或者窃取敏感信息。一旦黑客控制了系统的核心节点，他们可以轻松地获取所有用户的敏感数据。

经网络安全监测平台统计，某高校仅2023年12月份，捕获横向威胁主机多达8000余台，威胁事件150万件，平均每日发起横向威胁4.85万件。其中，开源和商业应用漏洞利用攻击排名第一，其次是客户端应用漏洞利用攻击、Web中间件漏洞利用攻击。

（二）外连威胁

高校的外连威胁主要指外部对校园网络安全的威胁，包括但不限于：外部黑客利用校园网络的安全漏洞非法入侵业务系统，篡改、窃取、破坏业务数据；校园网终端用户感染病毒、木马等恶意软件，病毒在校园网内快速传播，导致数据泄露；校园网遭受DDoS攻击，网络服务无法正常运行；师生在外网系统中泄露个人隐私信息，被不法分子利用进行诈骗等违法行为。

网络安全监测平臺统计，某高校在2023年12月份遭受外连威胁攻击事件多达93万余次，平均每日发起外连威胁3.02万件，其中，APT C&C通信排名第一。外连地区境外主要来自美国、摩尔多瓦、新加坡、德国等国家，境内主要来自四川、浙江、北京、湖北、香港等地。

（三）漏洞利用

漏洞利用是最常见的一种网络攻击方法。高校漏洞利用的威胁主要来自外部黑客和内部人员的恶意行为，黑客利用高校网络或系统中存在的安全漏洞进行网络攻击和入侵、获取敏感数据、篡改系统文件、传播病毒和木马等，内部人员可能因为获取某些利益，利用漏洞进行相关非法操作。

网络安全监测平台统计，某高校在2023年12月份共捕获漏洞利用攻击告警470万余次，平均每天15.6万多次，排名前三的分别是Web框架漏洞利用攻击、开源和商业应用漏洞攻击、Web中间件漏洞利用攻击。

（四）文件安全

随着高校信息化的发展，越来越多的科研成果、教学资源、学生信息等敏感信息被存储在计算机系统中，这些文件对于高校正常运转和发展具有非常重大的意义。高校文件安全面临的主要威胁来自外部黑客攻击、内部人员误操作和恶意行为、病毒和恶意软件等，可能会导致文件损坏、泄露或非法篡改，给高校带来严重的损失和影响。

（五）邮件安全

高校邮件安全是指保护高校电子邮件系统免受未经授权的访问、干扰或破坏，同时确保邮件中的敏感信息和重要数据不被泄露。在高校，邮件系统是师生之间交流的重要工具，也用于发送各种通知、学术资料、课程安排等信息，具有重要作用。黑客可能会利用各种手段，如暴力破解、恶意软件入侵、钓鱼攻击等，获取邮件系统的账号密码或邮箱内容，甚至可能利用邮件系统发送垃圾邮件或进行网络诈骗。同时，内部人员也可能因为利益、报复等原因，滥用权限或进行非法操作，导致邮件系统的不稳定或数据泄露。

（六）暴力破解

暴力破解是指采用反复试错的方法并希望最终猜对，以尝试破解密码、用户名，或找到隐藏的网页、用于加密消息的密钥。暴力破解是一把双刃剑，一方面能够被恶意者使用，另一方面在计算机安全性方面却非常重要，被用于检查系统、网络或应用程序中使用的弱密码。

网络安全监测平台统计，某高校在2023年12月份共捕获暴力破解攻击告警1.47万次，RDP账号爆破、SSH账号爆破、Web账号爆破排名前三。

（七）业务脆弱性

业务脆弱性是指“资产中能被威胁所利用的弱点”，包括技术层面的脆弱性，如漏洞、Web明文传输、配置错误，还有管理层面的风险，如弱密码。高校作为教育机构，其业务脆弱性主要包括以下几个方面。第一，高校的信息系统包括教学、科研、办公等多个方面，这些系统可能存在安全漏洞，如未授权访问、数据泄露、拒绝服务等。第二，高校的计算机网络规模庞大，涉及的用户数量多，网络环境复杂，存在着各种网络安全风险，如病毒、木马、钓鱼网站等，可能导致数据泄露、系统崩溃等安全事件。第三，部分高校的内部管理存在一定的漏洞，如身份认证管理不严格、访问控制不合理等，可能导致敏感数据被泄露、未经授权的访问等安全问题。第四，高校的人员众多，包括学生、教职工、外部合作伙伴等，这些人员对安全意识的认知程度不同，一些人员可能存在弱口令、私自泄露敏感数据等不安全行为，这些行为可能导致安全事件的发生[3]。

网络安全监测平台统计，某高校在2023年12月共监测到Web明文传输风险619个，配置错误风险673个，弱密码风险3671个。捕获最多的是IIS漏洞，其次是Apache httpd漏洞、文件上传漏洞。

（八）网站攻击

高校遭受的网站攻击主要包括以下几种类型：跨站脚本攻击（XSS），攻击者在网站中注入恶意脚本，当用户访问该网站时，恶意脚本会在用户的浏览器中执行，窃取用户的敏感信息或对用户进行钓鱼攻击。注入攻击，攻击者通过输入恶意的SQL代码，对网站进行注入攻击，窃取或篡改数据库中的数据。跨站请求伪造（CSRF），攻击者通过伪造合法用户的身份，利用用户的身份执行恶意请求，对网站进行攻击。文件上传漏洞，攻击者通过上传恶意文件，在服务器上执行恶意代码，篡夺网站的控制权。DDoS攻击，攻击者通过大量合法的或被劫持的计算机，向目标网站发送大量无效或高流量的网络请求，导致网站无法正常访问。点击劫持，攻击者通过在网页中插入透明的iframe或利用JavaScript等技术，诱导用户点击恶意链接或下载病毒等。会话劫持，攻击者通过窃取用户的会话令牌，冒充用户与服务器进行通信，获取用户的敏感信息或进行非法操作。

网络安全监测平台统计，某高校在2023年12月共捕获网站类攻击751万次，平均每日捕获网络攻击24万次，境外攻击源主要来自美国、俄罗斯、澳大利亚、土耳其、立陶宛；境内主要来自浙江、北京、香港、上海、福建。被攻击最多次数的是学校主页，其次是教务、学工等系统。

四、高校网络安全防护及优化措施

（一）健全网络安全工作机制

高校需提升网络安全意识，充分认识网络安全的重要性和紧迫性，重点关注网络安全相关制度建设、技术培训、人员培养工作，落实网络安全领导责任制和监督责任，并建立应急响应机制。加强对业务系统的上线前审批、运行时监管、下线时注销域名的全流程管理，建立信息系统完善的备案登记流程，完善信息系统台账，定期进行网络安全检查，及时发现和修补相关安全漏洞，确保网络的安全稳定[4]。

（二）提升网络安全技术保障力量

加强软硬件基础设施建设，梳理学校网络设备及业务系统，实行分级管理制度，构建网络安全大数据监测平台，部署安全防护设备，包括防火墙、漏洞扫描平台、态势感知平台、Web应用防护系统、入侵检测系统等，采用数据加密和备份技术，强化预警监控体系建设。在校园网中安装杀毒软件和防火墙，以防止病毒和恶意软件的入侵。同时，对于重要的数据和文件，应进行定期备份，以防数据丢失。进一步加大对高级别网络安全人才的引进，提升全面统筹协调能力，强化网络安全重点运维、检测、处置工作。

（三）加强网络安全宣传培训

结合高校实际，利用学校官网、微信企业号、大屏、横幅等媒体渠道，向全校师生传播网络安全知识，普及网络攻击类型、防范措施等。定期举办网络安全讲座和专题活动，开展网络安全攻防演练，通过实际操作和案例分析，提升师生对网络安全的关注度和防范技能，促使师生养成良好的网络安全习惯。例如，定期修改密码、做好数据备份、补丁更新等，教会师生如何正确使用互联网，保护个人隐私信息。

（四）强化网络隔离

高校应结合实际的网络使用需求，配置防火墙安全策略，将网络划分为多个虚拟局域网，实现不同部门、不同区域之间的逻辑隔离，通过配置访问控制列表，制定严格的人员管理制度，对不同用户分配不同的网络访问权限，防止未经授权访问敏感数据。日常的运维需要加强监管，定期对安全设备、网络设备进行安全审计，确保网络隔离有效、合规。

（五）强化网络安全巡查

高校应对本单位的服务器、信息系统和网站等进行全面检查，全面排查弱口令、高危漏洞、补丁未更新、僵尸系统等问题，存在安全隐患的须及时整改，特别是操作系统和信息系统存在的高危安全漏洞务必及时修复。加强公共区域LED屏等信息展示终端的安全管理，明确管理人员职责，定期杀毒和升级补丁，严禁连接互联网，严格內容审查程序，使用完后及时关闭[5]。

（六）加强网站与业务系统管理

高校应对非必须公网开放的业务系统进行评估，将其限制在校园网内，师生可通过VPN访问相应系统。明确网站的责任人和管理人，切实加强对本单位网站的监控，积极开展网络信息安全自查。一是要全面清查网站上的外部链接，避免外部链接网站被不法分子利用而导致本网站出现安全问题。二是要清查网站上的信息公示内容，避免出现师生个人信息泄露。三是加强对网站的日常检查，严格信息发布审核，妥善保管信息发布账户的密码，定期开展账号巡检。

（七）提升网络资产管理能力

高校应重视对信息资产的管理，建立健全的管理流程和管理机构，包括定期对资产进行清查、盘点、维护等，确保资产的安全、完整和有效利用。同时，应加强对资产的动态管理，及时更新资产信息，确保资产数据的准确性，确保资产可查询、可追溯。明确信息资产的范围、类型、责任主体和使用权限，建立完善的管理体系，确保资产只授权给部分人员访问，资产的访问和使用需建立严格的审批流程。

五、结语

随着网络技术的发展，网络安全威胁和攻击方式越来越复杂多样，网络安全不仅关乎个人隐私的保护，更关乎国家安全和社会稳定，高校作为教育和科研的重要场所，更应加强对网络安全的重视。本文分析研究了高校网络安全面临的主要威胁和挑战，并提出了相应的解决方案，应对高校网络安全问题需要从多个层面入手，包括技术层面、管理层面、意识层面等。希望本文的研究成果能够为高校网络安全工作提供一定的参考和借鉴，促进网络安全领域的发展和进步。

参考文献

[1]钟锡宝.网络安全等级保护技术实现与分析[J].网络安全技术与应用，2021（02）：173-174.

[2]李振宇.计算机网络安全的因素及解决策略分析[J].网络安全技术与应用，2021（02）：165-167.

[3]张雪.新时期提高事业单位网络安全管理能力对策[J].广播电视网络，2021，28（02）：59-60.

[4]李悦.中国网民信息安全状况研究[J].合作经济与科技，2021（05）：182-183.

[5]陈德.云计算技术环境下计算机网络安全分析[J].佳木斯职业学院学报，2021，37（03）：137-138.

作者单位：武汉工程大学

责任编辑：张津平、尚丹