信息安全工作的首要目標是保證高校核心業務系統和主要信息發布平臺的正常運行。

　　隨著高校信息化建設的快速發展，高校信息化建設已經滲透到日常學習、科研、管理和服務的方方面面。在建設期，難免強調建設的發展而忽視運維的安全，使得高校信息系統安全基礎薄弱。同時，高校也必須面對日益嚴峻的安全形勢和相關部門越來越高的安全要求。挑戰和壓力是巨大的。在有限的人力物力和緊迫的網絡安全需求下，高校信息安全工作應制定明確務實的工作目標，實施簡潔高效的安全措施。

　　求職目標

　　確保核心業務系統和主要信息發布平臺的正常運行。

　　高校師生的日常工作、學習和科研已經高度依賴于各種業務信息系統和信息發布平臺的正常運行。如果核心業務信息系統和主要信息發布平臺停止運行，將導致高校日常工作中斷，信息無法傳達的嚴重后果。同時，信息安全工作也就失去了意義，所以信息安全工作的首要目標是保證高校核心業務系統和主要信息發布平臺的正常運行。

　　確保敏感的業務數據不被竊取。

　　教育相關業務數據泄露造成嚴重后果。例如，2016年8月，山東臨沂市高考錄取新生徐玉玉被冒充教育、財政部門工作人員的犯罪分子詐騙9900元，導致猝死。本案中，不法分子掌握的大量被害人個人信息被通過技術手段攻擊“山東2016年高考網上報名信息系統”的黑客竊取并出售給詐騙團伙。確保高校信息系統中的敏感業務數據不被濫用和竊取是高校信息安全的重要目標。

　　確保高顯示級別的系統不被篡改。

　　近年來，高校面臨的一大安全挑戰是面向公眾的網站和各種應用系統的快速增加。黑客通過官網或應用系統接口達到非法目的，讓高校蒙受巨大損失。近年來，一個海外黑客組織主要針對機構和大學的外部網站，造成了一系列嚴重后果。確保高校網站和各大應用系統的用戶界面不被非法編輯，是高校信息安全不可或缺的一部分。

　　總之，在保證網絡安全的前提下，盡可能保證師生的網絡應用需求。

　　值得注意的是，各種信息網絡安全措施的實施，必然會給高校師生的信息網絡應用帶來額外的不便。各種應用已經成為師生工作生活中不可或缺的一部分，需要在保證信息網絡安全的前提下，盡可能地保證師生的網絡應用需求。

　　幾個關鍵點

　　網絡-網絡級

　　在網絡層面，應該注意的是:

　　1.在校園網內將用戶網絡與數據中心網絡分離，在數據中心網絡內進一步實現業務分區；

　　2.策略性關閉部分校園網邊界端口，限制外部網絡對校園網的SSH/Telnet/Ftp和常用遠程控制端口的訪問；

　　3.建立高安全性、多因素認證的可信用戶內網，建設專門的業務系統接入VPN、堡壘機等渠道；

　　4.在數據中心邊緣部署IPS/IDS和防火墻，對服務器網絡實施比用戶網絡更高的網絡安全策略；

　　5.由于通過無線監聽和MAC偽造技術非常容易非法登錄，因此應該逐步關閉基于MAC匹配的無感知認證的無線網絡，采用安全性更高的802.1x接入認證。

　　IAAS-虛擬機級別

　　在網絡層面，應該注意的是:

　　1.在虛擬機層面，應利用虛擬網絡的軟件定義特性來實現比數據中心邊界更精細的網絡訪問控制策略，以提高安全能力；

　　2.應在虛擬機層面部署低于操作系統的防病毒、防惡意代碼安全產品，實現高效的全局安全控制；

　　3.要充分利用虛擬機層面的資源，利用統計數據進行安全預警和判斷。

　　OS操作系統級別

　　在操作系統級別，應該注意:

　　1.要做好操作系統尤其是服務器操作系統的補丁控制策略，及時升級修復操作系統漏洞；

　　2.應減少操作系統的多樣性，盡可能安裝統一的操作系統，便于統一管理安全漏洞，簡化安全工作；

　　3.資源監控代理應該安裝在操作系統級，是及時發現資源使用異常的重要手段。

　　4.在操作系統級別設置默認的安全訪問策略，遵循最小開放原則，最大化安全能力。

　　網站級別

　　在網站系統層面，需要注意的是:

　　1.應執行網站最低開放規則，關閉所有能關閉的網站B/S服務；

　　2.加強必須對外開放網站的安全性，包括但不限于靜態、防篡改、全新部署等手段；并最小化網站的可訪問范圍；

　　3.高校二級機構獨立搭建的網站，安全能力參差不齊，網絡地址分散在各處，難以集中防護，安全隱患極大，一直是黑客攻擊的重災區。站群系統的集中和標準化建設可以大大提高網站的安全性；

　　4.高校主要網站應定期主動掃描漏洞，通過IDS被動分析其進出流量，及時發現安全隱患。

　　重大保障期間的特別措施

　　再保險期是指重大事件的網絡安全期。由于其特殊性，高校往往需要在國家重大活動期間臨時增強信息網絡安全的防御能力，需要實施一系列特殊措施。包括:

　　重要服務器的重新部署

　　重要的服務器應該完全從操作系統中重新部署，以防止可能的歷史黑客留下的潛在后門的存在。對于高校來說，與DNS系統和主頁相關的服務器是重要的高風險服務器，應視情況進行重新部署。Ansible等服務器部署工具可用于批量系統配置、批量程序部署、批量運行命令，實現配置的標準化和自動化。

　　加強重要服務器的安全

　　對于重要的服務器，要加強安全策略的保護，利用漏洞掃描工具主動發現潛在的安全問題，采用站群部署的模式有效提升二級單位網站的安全等級，采用網站靜態手段最大限度降低安全風險。靜態網站的本質是簡化和減少信息產生和傳遞的環節，減少被攻擊的站點。非靜態網站存在安全風險，如SQL注入、權限旁路、XSS和CSRF。但缺乏交互性并不等同于靜態網站:引用第三方圖片、JS腳本、類庫、樣式表等資源，一旦第三方被篡改，就會被聯合篡改。完全靜態意味著所有第三方內容都從可信來源下載并在本地固化，甚至完全圖形化。

　　應急計劃

　　信息安全措施不能達到絕對的安全。一旦網站頁面編輯事件真的發生，應該在第一時間屏蔽外部對網站頁面的訪問。各級都可以制定“一鍵斷網”的計劃。在操作系統層面，可以預制防火墻規則在需要時生效，也可以直接關閉系統；在Web服務器層面，可以設置一個關閉Web服務的切換頁面；在虛擬機層面，可以關閉虛擬機網絡，也可以關閉虛擬機本身；在物理機層面，可以直接拔掉網線甚至電源；在數據中心網絡邊界，可以預制WAF、IPS、FW的阻斷規則；在接入網層面，可以在出口網關上預制ACL規則，從路由器上拔下網線甚至電源。

　　這些方法適用于不同職業的工作人員，可以供人們在緊急執勤時使用，第一時間阻斷不同級別的通道。

　　攻擊可追溯性

　　信息安全攻擊發生后，為了給下一步工作積累經驗，固定證據，要做好攻擊源頭的追查工作，將相關日志寫入專門的遠程日志服務器，通過虛擬機快照的方式對重要服務器進行分鐘級的遠程備份，防止攻擊者擦除攻擊痕跡。

　　網站關閉通知頁面

　　對于部分因安全風險而暫時離線的網站，可以使用應用交付設備或導入DNS到特定的通知頁面，最大限度減少網站離線對用戶的負面影響。為了防止搜索引擎通過臨時替換網站頁面內容來刪除原網站信息，通知頁面應該返回503 HTTP狀態碼，或者根據恢復時間指定Retry-After返回值。

　　在再保險期間幫助站點和客戶服務

　　再保險期間實施的各種信息安全管理策略，必然會影響用戶體驗?；谧钚￠_放原則的原系統幫助頁面的關閉，會大大增加客服部門的工作量。要根據信息系統在再保險期間的客服特點，提前設計好求助現場和客服方案。

　　將不可控風險的負面影響降至最低

　　對于非主觀措施可以防范的偽攻擊也要做好預案，比如篡改上級DNS、CDN，甚至偽造頁面截圖。如果發現攻擊，要及時下線，進行檢查。如果確定不是自身因素，要及時恢復上線，并在頁面顯著位置公布，消除不良影響。有條件的話要建立第三方視頻存儲證書，可以自動刷新頁面。

　　(作者是廈門大學信息與網絡中心)

　　本文發表于《中國教育網絡雜志》2018年9月刊。