智慧校園網絡安全體系構建研究

◆楊瑛霞 王 靜

智慧校園網絡安全體系構建研究

◆楊瑛霞 王 靜

（國防大學政治學院 上海 201703）

隨著智慧校園建設的深入推進，高校網絡也面臨著巨大的安全威脅，智慧校園網絡安全體系構建是一項關乎技術、管理、人員、法規制度的系統工程，需立足需求、確定目標、加固技術、完善制度并通過人員落實形成合力。

智慧校園；網絡安全；安全體系

0 引言

2018年6月7日，國家標準《智慧校園總體框架》（Smart campus overall framework）發布[1]。智慧校園將教學管理系統、學生成績系統、科研管理系統、網上辦公系統等集成在一起，為學生、教師和辦公人員提供了強大的數據支撐[2]。智慧校園在為師生提供便捷服務的同時，作為一個高度開放共享、廣泛互聯的信息空間，也面臨著巨大的安全威脅，因此構建一個嚴格的、健全的安全體系，進一步提高智慧校園的安全防御能力[3]，具有非常重要的現實意義。

1 智慧校園網絡安全現狀

（1）安全風險復雜多樣。高校網絡具有覆蓋范圍大、用戶基數大、網絡結構復雜、多廠商應用疊加、軟硬件綜合集成等特點，來自系統本身、內網、外網的潛在安全風險具有不可預知、不能枚舉等特征。隨著智慧校園建設的深入推進，物聯網、云計算、大數據分析等高新技術手段的廣泛應用，網絡安全也呈現出技術更加復雜，管控難度更大的特點。大數據增加智能的同時，訪問控制成為難點，在數據采集、數據集成、數據融合、數據分析與存檔的整個生命周期中，無限度的信息挖掘、信息濫用、信息侵權等行為也時時發生[4]。2016年以來，高校的安全風險主要來自系統及軟件漏洞、病毒木馬、外部網絡的惡意破壞、內部網絡的攻擊、不良信息的傳播、垃圾郵件以及人為因素，因此拒絕服務攻擊、網頁篡改、病毒入侵等網絡安全事件時有發生。

（2）安全體系有待健全。在智慧校園建設中重建設輕管理、重應用輕安全的現象普遍存在，網絡安全缺乏宏觀層面的頂層設計。比如有些學校網絡安全管理的組織機構不健全，安全管理的責、權不明確；有些學校核心業務與互聯網隔離，如果沒有配套的系統更新和漏洞掃描機制，容易受到來自內部的嗅探和蠕蟲攻擊；許多智慧校園部署了感知層，由于感知層的節點數量眾多、部署分散，而且傳感器搭載著智能模塊，節點脆弱，難于管控。因此，智慧校園系統級的安全監測、評估、預警及防護還需形成體系。

（3）技術策略單一滯后。目前智慧校園廣泛采用的安全管理技術主要有訪問控制技術、防火墻、殺毒軟件、入侵檢測技術等，這些安全策略主要基于網絡層和連接層防御，但對于來自應用層的攻擊行為無法監控、識別和攔截。網絡安全設備部署分散、管理復雜，難于協同管理。網絡管控策略往往滯后于網絡破壞行為，屬于被動防御，對于分散在網絡的安全威脅難以及時發現。

（4）制度機制尚需完善。很多高校沒有從管理制度上建立相應的安全防范機制，在智慧校園整個運行過程中，缺乏行之有效的安全檢查和相應的保護制度。堅強的網絡安全組織領導、科學的網絡安全管控策略、完善的網絡安全應急響應機制、有效的日常安全檢查督導以及細致的網絡安全教育培訓，都需要制定相應制度機制來明確權責、規范運行和保障長遠。

2 智慧校園網絡安全體系構建

2.1 智慧校園網絡安全體系框架

智慧校園網絡安全防范體系構建是一項關乎技術、管理、人員、法規制度等多個方面的系統工程。根據智慧校園網絡分層特點，貫徹整體防御、分區隔離、分層把守、技管并重原則，構建智慧校園網絡五層安全體系框架，如圖1所示。

圖1 智慧校園網絡安全體系框架

此框架模型按照智慧校園五層體系結構，每層對應相應的安全策略，其中感知層通過感知網關、終端加密、物理隔離和接入認證等策略增加安全性；數據層通過數據容災備份確保物理安全，通過數據清洗、數據加密增加內容安全；部署安全態勢感知設備，增加對當前安全狀態的感知以及對未來威脅的預測能力。態勢感知設備采集防火墻、IPS、路由器、交換機、服務器等安全數據，支持流量探針、安全日志、網絡日志、基線掃描、漏洞掃描等多維度安全信息采集，這些數據包括DDOS監控、網站防篡改監控、漏洞監控、用戶訪問記錄等[5]；采集到的數據送到安全分析平臺，如果存在異常就及時啟動數據挖掘技術，利用數據挖掘發現潛藏的安全威脅，進行安全預警。整個安全體系通過安全組織領導、安全管理制度和人才隊伍作為保障，技術和策略需要各級安管人員在運行過程中落實，不斷反饋迭代，逐步動態完善。

2.2 智慧校園網絡安全體系構建對策

（1）完善網絡安全組織領導。網絡安全涉及全校方方面面，宏觀決策、組織實施、技術支撐等方面需要環環相扣，只有完善網絡安全組織領導體系，才能確保網絡安全工作方向明確、協調有力、技術可靠、責任清晰。

（2）立足需求，科學劃分安全區域。通過對智慧校園網絡特點及所面臨的安全風險分析，科學劃分管理安全域，制定一體化網絡安全解決方案。智慧校園網絡安全拓撲如圖2所示。

圖2 智慧校園網絡安全拓撲結構圖

智慧校園安全域一般劃分為四個區域包括互聯網邊界接入域、核心數據計算域、終端接入域以及安全管理運維域。

（3）加固安全設備，筑牢主動防御技術屏障。在邊界安全域部署入侵防御系統（IPS）和防火墻，對進入校園網的所有數據流動進行實時檢測分析[6]。在安全管理域部署管理交換機和防火墻，將入侵檢測、漏洞掃描、主機綜合防護、堡壘機和數據庫審計等安全管理設備通過管理交換機、防火墻接入核心交換機，限制區外用戶對安全管理設備的訪問；把終端監控與審計、綜合日志審計、終端安全管控等設備集中通過業務交換機、防火墻接入核心交換，實現管理與業務的操作隔離；通過部署安全管理日志收集與分析系統，接受所有安全設備上報的審計數據，識別攻擊行為和違規操作，實現對網絡訪問行為的審計記錄；在核心數據計算域，通過數據管理交換機、防火墻接入核心交換機，實現數據層安全隔離；制定數據安全建設方案，實現數據異地災備安全備份、數據庫訪問控制、數據脫密處理等，從而在數據層面保障信息安全；利用防火墻的包過濾和隔離功能，設置DMZ區域來保障郵件和DNS等服務器的安全[7]；在終端接入域通過終端安全管控系統，實現用戶注冊管理和身份鑒別，有效防范非授權用戶登錄。除此之外，建立網絡安全監測預警。在安全防護的基礎上，建立對于漏洞、木馬、篡改等多層次的監測，實現更為主動、有計劃的抵御，研究并充分利用網絡數據及安全設備產生的日志數據與態勢分析、攻擊分析、安全告警及追蹤溯源，實現對整體系統的安全態勢感知及預警監控[8]。

（4）完善制度機制，加強人員培訓，保證網絡安全體系健康持續動態進化。

制度的缺失是網絡安全最大的漏洞，因此學校要建立從設備機房、運行維護，到信息發布、技術策略等全方位的管理制度，強化安管人員的安全意識和法律意識。完善風險評估機制、等級保護定義機制、信息系統加固修復機制、信息安全制度自查與優化機制、信息安全防御機制等，實現智慧校園網絡的安全操作與防護[9]。

3 結束語

智慧校園網絡安全體系構建是智慧校園建設成功的基石，是一項關乎技術、管理、人員、法規制度的系統工程，需立足需求、確定目標、加固技術、完善制度并通過人員落實形成合力。

[1]智慧校園總體框架. 國家標準化管理委員會.

[2]張瑜，韓文舉.智慧校園網的云計算安全體系架構的探索[J].網絡安全技術與應用，2014.

[3]馮登國，張敏，李昊.大數據安全與隱私保護[J].計算機學報，2014.

[4]孫志新，李寧.論高校校園網絡安全的現狀與管理對策[J].中國教育技術裝備，2011.

[5]陳鍇.智慧校園環境中網絡態勢感知系統的構建[J].電子技術與軟件工程，2018.

[6]羅國富，王乙明.校園網絡安全防范體系研究與應用[J].現代教育技術，2012.

[7]陳博，謝文佳.智慧校園環境下網絡信息安全威脅的研究[J].中國新通信，2018.

[8]高靜.高校網絡安全體系框架研究[J].信息與電腦，2018.

[9]蔣東興，付小龍，袁芳，吳海燕，劉啟新.大數據背景下的高校智慧校園建設探討[J].華東師范大學學報，2015.