教育行業(yè)信息系統(tǒng) 網(wǎng)絡(luò)安全風(fēng)險分析與安全防護措施研究

彭楚風(fēng) 呂建富

摘要：隨著教育信息化的快速發(fā)展，大量教育信息系統(tǒng)迅速上線，網(wǎng)絡(luò)安全問題不容小覷。本文通過對攻防演習(xí)工作中發(fā)現(xiàn)的網(wǎng)絡(luò)安全問題進行風(fēng)險分析，并結(jié)合網(wǎng)絡(luò)安全法的相關(guān)要求，提出了如何做好網(wǎng)絡(luò)安全防護的建議。

關(guān)鍵詞：教育信息化;風(fēng)險分析;安全防護措施

中圖分類號：G434? 文獻標識碼：A? 論文編號：1674-2117（2021）15-0097-04

● 引言

隨著移動互聯(lián)網(wǎng)、云計算和大數(shù)據(jù)為特征的新一輪信息技術(shù)的發(fā)展，我國教育信息化已進入融合應(yīng)用向創(chuàng)新發(fā)展轉(zhuǎn)型的2.0階段。[1]網(wǎng)絡(luò)攻擊等網(wǎng)絡(luò)安全風(fēng)險也進一步向現(xiàn)實世界滲透，為教育行業(yè)信息系統(tǒng)的網(wǎng)絡(luò)安全保障工作帶來諸多挑戰(zhàn)，如何確保教育行業(yè)信息系統(tǒng)的網(wǎng)絡(luò)安全成為迫切解決的問題。

根據(jù)《中華人民共和國網(wǎng)絡(luò)安全法》及《國家網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案》等法律法規(guī)要求，國家級的攻防演練已經(jīng)成為檢驗網(wǎng)絡(luò)強國建設(shè)的重要手段。[2]攻防演練通常是在真實網(wǎng)絡(luò)環(huán)境下對參演單位目標系統(tǒng)進行全程可控、可審計的實戰(zhàn)攻擊，擬通過演練檢驗參演單位的安全防護和應(yīng)急處置能力，提高網(wǎng)絡(luò)安全的綜合防控能力。[3]近幾年，我國較大規(guī)模的攻防演習(xí)主要包括公安機關(guān)組織的針對關(guān)鍵信息基礎(chǔ)設(shè)施的攻防演習(xí)、各部委組織的對各省和直屬單位重要系統(tǒng)的攻防演習(xí)以及大型企業(yè)組織對下屬單位重要系統(tǒng)的攻防演習(xí)。

本文將對中央電化教育館的信息系統(tǒng)參加2020年教育部攻防演習(xí)工作中發(fā)現(xiàn)的問題進行分析，結(jié)合網(wǎng)絡(luò)安全法的相關(guān)要求，總結(jié)教育行業(yè)信息系統(tǒng)網(wǎng)絡(luò)安全風(fēng)險特點，并提出相應(yīng)的安全防護措施。

● 信息系統(tǒng)網(wǎng)絡(luò)安全風(fēng)險分析

按照信息系統(tǒng)主管單位的不同，教育行業(yè)信息系統(tǒng)分為“教育行政部門及其直屬事業(yè)單位信息系統(tǒng)”和“學(xué)校信息系統(tǒng)”兩類。2018年的教育數(shù)據(jù)統(tǒng)計顯示，教育行業(yè)信息系統(tǒng)平臺網(wǎng)站主要有涉及用戶人員多、系統(tǒng)數(shù)量多、數(shù)據(jù)多三個特點[4]，這對網(wǎng)絡(luò)安全保障能力提出了更高的要求，在完善管理體系，保障應(yīng)用安全、數(shù)據(jù)安全、業(yè)務(wù)連續(xù)性等方面將面臨更大的挑戰(zhàn)。

網(wǎng)絡(luò)安全的保障主要體現(xiàn)在兩個方面：第一是健全和落實安全管理體系，其中包括安全管理制度、機構(gòu)、人員安全、系統(tǒng)建設(shè)和運維管理五個方面;第二是搭建以基礎(chǔ)網(wǎng)絡(luò)建設(shè)、服務(wù)器安全、應(yīng)用系統(tǒng)安全和數(shù)據(jù)安全為核心組成部分的技術(shù)安全體系。[5]

結(jié)合筆者所在單位參加2020年教育部攻防演習(xí)的工作情況，筆者認為教育行業(yè)信息系統(tǒng)存在的網(wǎng)絡(luò)安全風(fēng)險主要涉及以下幾個方面。

1.管理安全風(fēng)險

目前，網(wǎng)絡(luò)安全管理的工作主要在管理制度、安全人才培養(yǎng)、安全培訓(xùn)三個方面存在不足。

在管理制度方面，雖然隨著《中華人民共和國網(wǎng)絡(luò)安全法》的實施，各企事業(yè)單位、學(xué)校等網(wǎng)絡(luò)安全管理制度不斷完善，但在安全運維管理的規(guī)范性方面仍存在不足，如對軟硬件資產(chǎn)的梳理不夠清晰，掌握不夠全面，影響應(yīng)急措施的實施;由于歷史原因，信息系統(tǒng)越來越多，架構(gòu)復(fù)雜不一，早期建設(shè)的部分信息系統(tǒng)的安全管理存在漏洞，如開發(fā)時安全性考慮不足，存在無人維護的信息系統(tǒng)，造成了極大的安全隱患;域名管理體系不夠完善，存在不使用的域名未及時注銷的情況，存在鏈接不法網(wǎng)站的風(fēng)險。部分核心開發(fā)、運維人員的重要數(shù)據(jù)保密性管理不足，保存在可連外網(wǎng)的設(shè)備上，存在泄露的風(fēng)險。

在安全人才培養(yǎng)方面，我國目前網(wǎng)絡(luò)安全人才形勢嚴峻，從業(yè)人員普遍在知識儲備、技能等方面存在短板，因此完善網(wǎng)絡(luò)安全人才培養(yǎng)體系成為重中之重。但目前各企事業(yè)單位、學(xué)校對第三方安全服務(wù)商過于依賴，自身的安全運維技術(shù)力量薄弱，特別是專業(yè)安全人員儲備匱乏，關(guān)鍵性技術(shù)崗位人力單薄。

在安全培訓(xùn)方面，對在崗工作人員的網(wǎng)絡(luò)安全技能及安全認知的培訓(xùn)不夠全面和體系化，在處理應(yīng)急事件的過程中難免有疏漏。

2.技術(shù)安全風(fēng)險

隨著教育行業(yè)信息系統(tǒng)的數(shù)量越來越多、規(guī)模越來越大，在基礎(chǔ)設(shè)備、應(yīng)用安全和數(shù)據(jù)安全方面的風(fēng)險問題應(yīng)該引起重視。

在基礎(chǔ)設(shè)備方面，部分硬件設(shè)備過于老舊，超過服務(wù)年限，不支持基礎(chǔ)軟件向高版本升級;網(wǎng)絡(luò)安全設(shè)備不足，如缺少雙因子動態(tài)認證、主機防護產(chǎn)品、SSL證書解密設(shè)備等。

在應(yīng)用安全方面，大部分信息系統(tǒng)在設(shè)計和開發(fā)過程中對網(wǎng)絡(luò)安全方面考慮不足，如用戶權(quán)限劃分不明確，導(dǎo)致系統(tǒng)中存在越權(quán)漏洞;對系統(tǒng)登錄口令復(fù)雜的限制不嚴格，系統(tǒng)中存在弱口令賬戶;對用戶輸入的內(nèi)容過濾不嚴格，可能存在SQL注入及XSS漏洞等;部分操作系統(tǒng)、數(shù)據(jù)庫、中間件等基礎(chǔ)軟件版本較低，無法進行漏洞修復(fù)。

在數(shù)據(jù)安全方面，隨著傳統(tǒng)網(wǎng)絡(luò)安全問題數(shù)據(jù)化，新型數(shù)據(jù)安全問題不斷涌現(xiàn)，在數(shù)據(jù)收集、數(shù)據(jù)存儲、數(shù)據(jù)分析等過程中存在隱患。教育類的業(yè)務(wù)數(shù)據(jù)存儲量大，數(shù)據(jù)類型多，進行數(shù)據(jù)治理工作則非常重要。在數(shù)據(jù)收集階段，數(shù)據(jù)分類分級既是數(shù)據(jù)治理的基礎(chǔ)，也是開展數(shù)據(jù)安全工作的前提，存在數(shù)據(jù)安全分級不匹配從而導(dǎo)致高敏感數(shù)據(jù)保護不足的風(fēng)險;在數(shù)據(jù)存儲階段，對于關(guān)鍵的業(yè)務(wù)系統(tǒng)如教務(wù)、一卡通等應(yīng)用系統(tǒng)，若遭遇機房火災(zāi)、斷電、網(wǎng)絡(luò)入侵、勒索病毒攻擊等可能導(dǎo)致數(shù)據(jù)丟失和業(yè)務(wù)中斷的危險事件的發(fā)生;在數(shù)據(jù)分析階段，如在利用大數(shù)據(jù)技術(shù)進行數(shù)據(jù)分析的時候，在制定個性化學(xué)習(xí)方案時，就需要獲取大量學(xué)生的敏感信息，存在數(shù)據(jù)泄露的風(fēng)險。

● 信息系統(tǒng)網(wǎng)絡(luò)安全防護措施

攻防演習(xí)工作結(jié)束以后，針對暴露的網(wǎng)絡(luò)安全問題進行分析，筆者在管理體系和技術(shù)兩個方面提出了以下網(wǎng)絡(luò)安全防護措施。

1.管理體系措施

在管理制度方面，依據(jù)《教育信息化“十三五”規(guī)劃》和《教育信息化2.0行動計劃》的指示，應(yīng)該建立統(tǒng)一的安全部署策略，明確運維人員和第三方運維方遵守網(wǎng)絡(luò)設(shè)備、系統(tǒng)安全配置要點等要求，如杜絕弱口令、關(guān)閉不必要的服務(wù)和端口、開啟系統(tǒng)日志等;不斷完善信息系統(tǒng)名錄表登記制度，定期排查存在管理疏漏的信息系統(tǒng)，明確第三方托管系統(tǒng)的安全職責和權(quán)限劃分，及時處理停用、轉(zhuǎn)移等陳舊系統(tǒng)的安全問題;不斷完善安全運維管理制度，對日常操作建立操作規(guī)程，根據(jù)工作需要為核心開發(fā)、運維、安全人員配置專用安全電腦;建立信息系統(tǒng)安全自查制度，定期進行系統(tǒng)滲透測試、代碼檢測、漏洞掃描等;形成規(guī)范的備份管理機制，內(nèi)容包括備份方式、備份頻度、備份保存期等。

在安全人才培養(yǎng)面，加強安全隊伍建設(shè)與資金投入，強化相關(guān)人員關(guān)于安全技術(shù)、安全管理的培訓(xùn)力度，完善網(wǎng)絡(luò)安全人才培養(yǎng)體系，增進與企業(yè)的安全技術(shù)交流，協(xié)同創(chuàng)新。

在安全培訓(xùn)方面，定期對在崗人員進行系統(tǒng)化的安全知識培訓(xùn)，并通過應(yīng)急演練進行安全知識考核，提升全員的安全防護意識。

2.技術(shù)安全措施

在網(wǎng)絡(luò)安全技術(shù)體系方面，基礎(chǔ)網(wǎng)絡(luò)環(huán)境的安全保障是信息系統(tǒng)運行的重要前提。在基礎(chǔ)網(wǎng)絡(luò)建設(shè)過程中，需要根據(jù)信息的業(yè)務(wù)功能、特點及各業(yè)務(wù)系統(tǒng)的安全需求進行區(qū)域劃分，并根據(jù)業(yè)務(wù)節(jié)點重要程度，通過主、備形式部署流量控制器，對上網(wǎng)流量進行有效的控制，以保證帶寬的使用要求。在網(wǎng)絡(luò)設(shè)備上啟用雙鏈路，并加入互聯(lián)網(wǎng)防火墻、WAF、防DDOS設(shè)備等以加固基礎(chǔ)網(wǎng)絡(luò)。筆者建議網(wǎng)絡(luò)拓撲設(shè)計如右圖所示。

網(wǎng)絡(luò)安全架構(gòu)劃分為互聯(lián)網(wǎng)接入?yún)^(qū)、核心交換區(qū)、數(shù)據(jù)備份區(qū)、安全管理區(qū)、服務(wù)器區(qū)（數(shù)據(jù)庫區(qū)、虛擬化區(qū)）、云服務(wù)器區(qū)6個區(qū)域?；ヂ?lián)網(wǎng)接入?yún)^(qū)通過移動網(wǎng)和教育網(wǎng)兩條鏈路外聯(lián)，經(jīng)過路由設(shè)備、安全設(shè)備連接到互聯(lián)網(wǎng)防火墻，然后接入到核心交換機，核心交換區(qū)部署智能流量管理系統(tǒng)和應(yīng)用層防火墻，服務(wù)器區(qū)、數(shù)據(jù)備份區(qū)、安全管理區(qū)、云服務(wù)區(qū)接入到核心交換區(qū)的核心交換機上，虛擬化區(qū)和數(shù)據(jù)庫區(qū)部署在服務(wù)器區(qū)，經(jīng)過匯聚交換機和WAF防火墻連接到核心交換區(qū)的防火墻上。

在服務(wù)器安全方面，服務(wù)器承載著企業(yè)的關(guān)鍵業(yè)務(wù)應(yīng)用，需重點關(guān)注、重點防護。首先對服務(wù)器定期檢查，及時更換使用年限到期的服務(wù)器;對服務(wù)器進行深入的威脅排查以及安全加固工作，包括病毒、后門、Webshell的掃描刪除、補丁更新、基線檢查與配置等內(nèi)容;對服務(wù)器的基本信息進行全面的收集和管理，如端口、服務(wù)、應(yīng)用、賬戶等，在這些信息的基礎(chǔ)上，還需與主機安全加固產(chǎn)品結(jié)合，基于微隔離技術(shù)、HIPS技術(shù)、Webshell攔截技術(shù)等，對核心服務(wù)器做好精細化防護。最后，將上述內(nèi)容統(tǒng)一做好詳細記錄，集中、安全存儲與管理，供分析和溯源使用。

在應(yīng)用安全方面，應(yīng)加強對信息系統(tǒng)的需求、設(shè)計、編碼、測試以及運行、廢棄等生命周期的每一個階段的安全防護。在系統(tǒng)需求分析階段就開始考慮軟件的安全需求，制訂開發(fā)安全編碼規(guī)范，引入開發(fā)安全框架，對SQL注入、CSS攻擊、跨站腳本攻擊、掛馬、緩沖區(qū)溢出等常見的安全漏洞進行預(yù)防和監(jiān)測;在系統(tǒng)驗收階段，委托第三方評測機構(gòu)對系統(tǒng)源代碼進行審計，并留存審計報告;在系統(tǒng)運行階段，部署網(wǎng)頁防篡改產(chǎn)品，監(jiān)控系統(tǒng)受攻擊情況，然后及時調(diào)整阻斷策略，防止網(wǎng)頁被篡改;在系統(tǒng)運維階段，對網(wǎng)絡(luò)設(shè)備的運行狀況、網(wǎng)絡(luò)流量、用戶行為等進行監(jiān)測和報警，并保存記錄，同時定期對系統(tǒng)進行滲透性測試和漏洞整改。

在數(shù)據(jù)安全方面，根據(jù)業(yè)務(wù)功能需求劃分用戶的角色，不同角色訪問不同的功能模塊，提供安全審計功能，對系統(tǒng)后臺操作、用戶登錄登出、失敗登錄、系統(tǒng)訪問日志等行為進行記錄;對重要數(shù)據(jù)進行加密存儲，采用經(jīng)國家密碼主管部門認可的密碼技術(shù)，防止重要數(shù)據(jù)在存儲過程中泄露;利用通信網(wǎng)絡(luò)將關(guān)鍵數(shù)據(jù)定時批量傳送至備用場地，實現(xiàn)異地數(shù)據(jù)異地備份，保證業(yè)務(wù)的連續(xù)性;用戶鑒別信息在認證結(jié)束后自動清除，只允許系統(tǒng)采集必要的個人信息。

● 結(jié)束語

在后疫情時代，教育信息化程度越高，面臨的安全風(fēng)險就越高，網(wǎng)絡(luò)安全的保障工作就至關(guān)重要。為了保障教育系統(tǒng)的安全通暢運行，需要不斷完善安全管理體系，增強安全技術(shù)防護能力，加大網(wǎng)絡(luò)安全人才培養(yǎng)力度，關(guān)注網(wǎng)絡(luò)攻擊態(tài)勢，為教育信息化的高速發(fā)展提供強有力的安全支撐。

參考文獻：

[1]陳麗，李波，郭玉娟.等.“互聯(lián)網(wǎng)+”時代我國基礎(chǔ)教育信息化的新趨勢和新方向[J].電化教育研究，2017，038（05）：5-12.

[2]吳云坤.網(wǎng)絡(luò)安全演習(xí)探索與實踐[J].中國信息安全，2019（01）：39-42.

[3]劉陽.網(wǎng)絡(luò)安全攻防演練的部署與方案設(shè)計[J].信息安全與技術(shù)，2017（10）：88-90.

[4]潘潤凱.教育系統(tǒng)網(wǎng)絡(luò)安全政策解讀[R].教育系統(tǒng)網(wǎng)絡(luò)安全專題研討班培訓(xùn)材料，2018.

[5]武騰，宋好好.教育行業(yè)信息系統(tǒng)等級保護研究[J].網(wǎng)絡(luò)空間安全，2017，8（12）：8-12.