智慧校园网络安全体系构建研究

时间：2024-09-03

◆杨瑛霞王静

智慧校园网络安全体系构建研究

◆杨瑛霞王静

（国防大学政治学院上海 201703）

随着智慧校园建设的深入推进，高校网络也面临着巨大的安全威胁，智慧校园网络安全体系构建是一项关乎技术、管理、人员、法规制度的系统工程，需立足需求、确定目标、加固技术、完善制度并通过人员落实形成合力。

智慧校园；网络安全；安全体系

0 引言

2018年6月7日，国家标准《智慧校园总体框架》（Smart campus overall framework）发布[1]。智慧校园将教学管理系统、学生成绩系统、科研管理系统、网上办公系统等集成在一起，为学生、教师和办公人员提供了强大的数据支撑[2]。智慧校园在为师生提供便捷服务的同时，作为一个高度开放共享、广泛互联的信息空间，也面临着巨大的安全威胁，因此构建一个严格的、健全的安全体系，进一步提高智慧校园的安全防御能力[3]，具有非常重要的现实意义。

1 智慧校园网络安全现状

（1）安全风险复杂多样。高校网络具有覆盖范围大、用户基数大、网络结构复杂、多厂商应用叠加、软硬件综合集成等特点，来自系统本身、内网、外网的潜在安全风险具有不可预知、不能枚举等特征。随着智慧校园建设的深入推进，物联网、云计算、大数据分析等高新技术手段的广泛应用，网络安全也呈现出技术更加复杂，管控难度更大的特点。大数据增加智能的同时，访问控制成为难点，在数据采集、数据集成、数据融合、数据分析与存档的整个生命周期中，无限度的信息挖掘、信息滥用、信息侵权等行为也时时发生[4]。2016年以来，高校的安全风险主要来自系统及软件漏洞、病毒木马、外部网络的恶意破坏、内部网络的攻击、不良信息的传播、垃圾邮件以及人为因素，因此拒绝服务攻击、网页篡改、病毒入侵等网络安全事件时有发生。

（2）安全体系有待健全。在智慧校园建设中重建设轻管理、重应用轻安全的现象普遍存在，网络安全缺乏宏观层面的顶层设计。比如有些学校网络安全管理的组织机构不健全，安全管理的责、权不明确；有些学校核心业务与互联网隔离，如果没有配套的系统更新和漏洞扫描机制，容易受到来自内部的嗅探和蠕虫攻击；许多智慧校园部署了感知层，由于感知层的节点数量众多、部署分散，而且传感器搭载着智能模块，节点脆弱，难于管控。因此，智慧校园系统级的安全监测、评估、预警及防护还需形成体系。

（3）技术策略单一滞后。目前智慧校园广泛采用的安全管理技术主要有访问控制技术、防火墙、杀毒软件、入侵检测技术等，这些安全策略主要基于网络层和连接层防御，但对于来自应用层的攻击行为无法监控、识别和拦截。网络安全设备部署分散、管理复杂，难于协同管理。网络管控策略往往滞后于网络破坏行为，属于被动防御，对于分散在网络的安全威胁难以及时发现。

（4）制度机制尚需完善。很多高校没有从管理制度上建立相应的安全防范机制，在智慧校园整个运行过程中，缺乏行之有效的安全检查和相应的保护制度。坚强的网络安全组织领导、科学的网络安全管控策略、完善的网络安全应急响应机制、有效的日常安全检查督导以及细致的网络安全教育培训，都需要制定相应制度机制来明确权责、规范运行和保障长远。

2 智慧校园网络安全体系构建

2.1 智慧校园网络安全体系框架

智慧校园网络安全防范体系构建是一项关乎技术、管理、人员、法规制度等多个方面的系统工程。根据智慧校园网络分层特点，贯彻整体防御、分区隔离、分层把守、技管并重原则，构建智慧校园网络五层安全体系框架，如图1所示。

图1 智慧校园网络安全体系框架

此框架模型按照智慧校园五层体系结构，每层对应相应的安全策略，其中感知层通过感知网关、终端加密、物理隔离和接入认证等策略增加安全性；数据层通过数据容灾备份确保物理安全，通过数据清洗、数据加密增加内容安全；部署安全态势感知设备，增加对当前安全状态的感知以及对未来威胁的预测能力。态势感知设备采集防火墙、IPS、路由器、交换机、服务器等安全数据，支持流量探针、安全日志、网络日志、基线扫描、漏洞扫描等多维度安全信息采集，这些数据包括DDOS监控、网站防篡改监控、漏洞监控、用户访问记录等[5]；采集到的数据送到安全分析平台，如果存在异常就及时启动数据挖掘技术，利用数据挖掘发现潜藏的安全威胁，进行安全预警。整个安全体系通过安全组织领导、安全管理制度和人才队伍作为保障，技术和策略需要各级安管人员在运行过程中落实，不断反馈迭代，逐步动态完善。

2.2 智慧校园网络安全体系构建对策

（1）完善网络安全组织领导。网络安全涉及全校方方面面，宏观决策、组织实施、技术支撑等方面需要环环相扣，只有完善网络安全组织领导体系，才能确保网络安全工作方向明确、协调有力、技术可靠、责任清晰。

（2）立足需求，科学划分安全区域。通过对智慧校园网络特点及所面临的安全风险分析，科学划分管理安全域，制定一体化网络安全解决方案。智慧校园网络安全拓扑如图2所示。

图2 智慧校园网络安全拓扑结构图

智慧校园安全域一般划分为四个区域包括互联网边界接入域、核心数据计算域、终端接入域以及安全管理运维域。

（3）加固安全设备，筑牢主动防御技术屏障。在边界安全域部署入侵防御系统（IPS）和防火墙，对进入校园网的所有数据流动进行实时检测分析[6]。在安全管理域部署管理交换机和防火墙，将入侵检测、漏洞扫描、主机综合防护、堡垒机和数据库审计等安全管理设备通过管理交换机、防火墙接入核心交换机，限制区外用户对安全管理设备的访问；把终端监控与审计、综合日志审计、终端安全管控等设备集中通过业务交换机、防火墙接入核心交换，实现管理与业务的操作隔离；通过部署安全管理日志收集与分析系统，接受所有安全设备上报的审计数据，识别攻击行为和违规操作，实现对网络访问行为的审计记录；在核心数据计算域，通过数据管理交换机、防火墙接入核心交换机，实现数据层安全隔离；制定数据安全建设方案，实现数据异地灾备安全备份、数据库访问控制、数据脱密处理等，从而在数据层面保障信息安全；利用防火墙的包过滤和隔离功能，设置DMZ区域来保障邮件和DNS等服务器的安全[7]；在终端接入域通过终端安全管控系统，实现用户注册管理和身份鉴别，有效防范非授权用户登录。除此之外，建立网络安全监测预警。在安全防护的基础上，建立对于漏洞、木马、篡改等多层次的监测，实现更为主动、有计划的抵御，研究并充分利用网络数据及安全设备产生的日志数据与态势分析、攻击分析、安全告警及追踪溯源，实现对整体系统的安全态势感知及预警监控[8]。

（4）完善制度机制，加强人员培训，保证网络安全体系健康持续动态进化。

制度的缺失是网络安全最大的漏洞，因此学校要建立从设备机房、运行维护，到信息发布、技术策略等全方位的管理制度，强化安管人员的安全意识和法律意识。完善风险评估机制、等级保护定义机制、信息系统加固修复机制、信息安全制度自查与优化机制、信息安全防御机制等，实现智慧校园网络的安全操作与防护[9]。