智慧校園信息安全立體化縱深防御體系的構(gòu)建與應(yīng)用*

南陽師范學(xué)院計(jì)算機(jī)科學(xué)與技術(shù)學(xué)院 張新剛 孫曉林 王保平 李賀 劉泉

智慧校園環(huán)境下信息安全面臨著新的威脅和挑戰(zhàn)。分析了智慧校園環(huán)境下若干典型的信息安全威脅，設(shè)計(jì)了智慧校園信息安全立體化縱深防御體系模型，分析了該模型各部分功能模塊。該模型在校園網(wǎng)的部署應(yīng)用結(jié)果表明，能夠進(jìn)一步提高智慧校園的信息安全水平，這對(duì)于智慧校園信息安全建設(shè)具有一定的借鑒意義和參考價(jià)值。

數(shù)字化賦能智慧校園建設(shè)，推動(dòng)教學(xué)、科研、管理和數(shù)字化的深度融合，為學(xué)校各項(xiàng)業(yè)務(wù)工作的高效運(yùn)行提供了充分的網(wǎng)絡(luò)資源保障，智慧校園建設(shè)應(yīng)用進(jìn)入了一個(gè)新的層次[1]。近年來我國高度重視信息安全建設(shè)，加快了在信息安全領(lǐng)域的立法進(jìn)程，《網(wǎng)絡(luò)安全法》、《數(shù)據(jù)安全法》等一系列法律法規(guī)出臺(tái)，這對(duì)學(xué)校信息安全建設(shè)提出了更高的要求。智慧校園的各種業(yè)務(wù)應(yīng)用在給廣大師生帶來便利的同時(shí)，智慧校園自身也面臨著多樣化的安全威脅和挑戰(zhàn)，如數(shù)據(jù)安全、APT攻擊等，因此亟需構(gòu)建信息安全立體化縱深防御體系，通過部署實(shí)施來進(jìn)一步提升信息安全防護(hù)水平，保障智慧校園各項(xiàng)業(yè)務(wù)應(yīng)用的正常開展。

1 智慧校園信息安全若干典型威脅分析

智慧校園面臨著多樣化的信息安全風(fēng)險(xiǎn)，對(duì)學(xué)校各種業(yè)務(wù)信息系統(tǒng)的運(yùn)行構(gòu)成了巨大的威脅。特別是在疫情防控期間，傳統(tǒng)威脅和新型威脅疊加，隱私泄露、數(shù)據(jù)安全、DDoS攻擊、APT攻擊等頻發(fā)，對(duì)學(xué)校的智慧化應(yīng)用造成了嚴(yán)重的威脅。下面就簡單列舉其中的幾種典型安全威脅進(jìn)行分析。

1.1 數(shù)據(jù)安全風(fēng)險(xiǎn)加劇

大數(shù)據(jù)和云計(jì)算環(huán)境下，智慧校園中師生教學(xué)、科研、管理等網(wǎng)絡(luò)行為產(chǎn)生了海量數(shù)據(jù)，這些數(shù)據(jù)包括學(xué)習(xí)記錄、社交信息、搜索記錄、地理信息、身份信息等，這些信息一旦泄露，被不法攻擊者數(shù)據(jù)挖掘和關(guān)聯(lián)分析后，將不法獲取師生更多的重要隱私信息，師生有可能面臨精準(zhǔn)信息營銷和網(wǎng)絡(luò)詐騙的風(fēng)險(xiǎn)，影響學(xué)校的安全穩(wěn)定[2]。此外，新技術(shù)環(huán)境下新應(yīng)用的推廣會(huì)帶來數(shù)據(jù)安全問題，如何避免新應(yīng)用過度采集和使用師生的隱私信息也十分重要，如何確保數(shù)據(jù)安全的前提下合理共享利用數(shù)據(jù)是當(dāng)前的努力方向。

1.2 高級(jí)可持續(xù)威脅攻擊

高級(jí)可持續(xù)威脅攻擊（Advanced Persistent Threat, 簡稱APT）一般是利用社會(huì)工程學(xué)、0Day漏洞等，采取復(fù)雜多樣化的滲透技術(shù)，對(duì)政府機(jī)構(gòu)的核心資源、工業(yè)控制信息系統(tǒng)等進(jìn)行大規(guī)模、有組織、持續(xù)性的破壞性攻擊。國家計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心發(fā)布的《2020年中國互聯(lián)網(wǎng)網(wǎng)絡(luò)安全報(bào)告》（以下簡稱“安全報(bào)告”）顯示，APT組織多次運(yùn)用供應(yīng)鏈對(duì)我國的一些重要行業(yè)進(jìn)行攻擊，特別是在疫情防控期間我國在線教育、遠(yuǎn)程辦公急劇增多更是擴(kuò)大了網(wǎng)絡(luò)暴露風(fēng)險(xiǎn)，擴(kuò)大了APT的攻擊范圍。例如2020年3～7月,“響尾蛇”組織隱蔽控制我國某重點(diǎn)高校主機(jī)，持續(xù)竊取了多份文件，帶來了巨大的安全隱患[3]。

1.3 分布式拒絕服務(wù)攻擊

分布式拒絕服務(wù)攻擊（Distributed Denial of Service ，簡稱DDoS ）一般是利用某些網(wǎng)絡(luò)協(xié)議的漏洞，采用協(xié)同式、分布式攻擊方法，發(fā)動(dòng)多個(gè)攻擊者針對(duì)某個(gè)攻擊目標(biāo)實(shí)施攻擊。DDoS攻擊已成為互聯(lián)網(wǎng)上最常見且危害性較大的攻擊類型之一。常見的是綜合運(yùn)用多種攻擊方式偽造IP源地址，瞬時(shí)大流量攻擊而使攻擊目標(biāo)癱瘓而獲得某種利益，并且還呈現(xiàn)攻擊者向境外遷移的趨勢(shì)。

2 智慧校園信息安全立體化縱深防御體系模型構(gòu)建

首先從安全威脅、安全保障和安全主體三個(gè)維度分析了智慧校園信息安全基本要素，為了實(shí)現(xiàn)立體化全周期動(dòng)態(tài)化安全防護(hù)，提出了智慧校園信息安全立體化縱深防御體系模型，并分析了各功能模塊的功能。

2.1 智慧校園信息安全基本要素

智慧校園信息安全要素結(jié)構(gòu)如圖1所示，主要由安全威脅、安全保障和安全主體構(gòu)成。三者之間的關(guān)系是，安全主體是安全保障的目標(biāo)和對(duì)象，安全威脅是對(duì)安全主體可能發(fā)生的威脅和攻擊，安全保障是為了保護(hù)安全主體，對(duì)抗安全威脅而采取的針對(duì)性保障措施[4]。

圖1 智慧校園信息安全要素結(jié)構(gòu)Fig.1 Smart campus information security element structure

2.2 智慧校園信息安全整體框架設(shè)計(jì)

智慧校園信息安全整體框架如圖2所示，該架構(gòu)主要由信息安全技術(shù)防護(hù)體系、信息安全管理體系和信息安全保障體系、網(wǎng)絡(luò)基礎(chǔ)設(shè)施、網(wǎng)絡(luò)信息資產(chǎn)等部分組成。該框架的各功能模塊情況如下：信息安全管理體系主要是為了提高信息安全綜合管理能力和水平，主要包括信息安全責(zé)任落實(shí)、信息資產(chǎn)管理、信息安全風(fēng)險(xiǎn)管理等。信息安全技術(shù)防護(hù)體系側(cè)重于運(yùn)用技術(shù)手段做好信息安全的頂層設(shè)計(jì)，做好安全區(qū)域和安全層次劃分，構(gòu)建信息安全綜合管理中心，實(shí)現(xiàn)縱深安全防御，包括風(fēng)險(xiǎn)評(píng)估、安全審計(jì)、容災(zāi)備份等。信息安全保障體系用于做好信息安全的基礎(chǔ)保障工作，主要包括組織機(jī)構(gòu)、宣傳培訓(xùn)等。網(wǎng)絡(luò)基礎(chǔ)設(shè)施是智慧校園信息安全運(yùn)行的基礎(chǔ)和載體，主要包括校園有線網(wǎng)、無線網(wǎng)、物聯(lián)網(wǎng)、私有云平臺(tái)等。網(wǎng)絡(luò)信息資產(chǎn)是智慧校園信息安全的重要組成部分。按照要求做好網(wǎng)絡(luò)信息資產(chǎn)測(cè)繪，全面準(zhǔn)確梳理網(wǎng)絡(luò)信息資產(chǎn)，做好網(wǎng)絡(luò)信息資產(chǎn)的全鏈條全周期管理[5]。網(wǎng)絡(luò)使用主體包括校內(nèi)用戶和校外用戶，應(yīng)采用合理的訪問控制策略分配不同的訪問操作權(quán)限。

圖2 智慧校園信息安全整體框架Fig.2 Overall framework of smart campus information security

2.3 智慧校園信息安全立體化縱深防御體系模型

根據(jù)《數(shù)據(jù)安全法》等相關(guān)法律法規(guī)，為了更好地應(yīng)對(duì)智慧校園的各種信息安全威脅，保障智慧校園各項(xiàng)業(yè)務(wù)系統(tǒng)的安全可靠穩(wěn)定運(yùn)行，實(shí)現(xiàn)智慧校園信息安全的立體化動(dòng)態(tài)化防御，設(shè)計(jì)了智慧校園信息安全立體化縱深防御體系模型如圖3所示。

該模型主要考慮了大數(shù)據(jù)云計(jì)算等環(huán)境下智慧校園信息安全防御的關(guān)鍵因素，構(gòu)建了以智慧校園信息安全立體化全周期防護(hù)體系為核心的縱深防御系統(tǒng)模型，包括智慧校園信息安全立體化全周期防護(hù)體系，以及數(shù)據(jù)安全防護(hù)體系、應(yīng)急響應(yīng)處置體系、安全態(tài)勢(shì)感知體系、政策法規(guī)標(biāo)準(zhǔn)規(guī)范體系和安全力量協(xié)同體系，各體系功能模塊之間相互協(xié)同。該模型的各功能模塊分析如下：

智慧校園信息安全立體化全周期防護(hù)體系呈現(xiàn)了智慧校園層次化、全生命周期的信息安全狀況。從全生命周期來看，智慧校園信息安全分為風(fēng)險(xiǎn)評(píng)估、動(dòng)態(tài)防護(hù)、實(shí)時(shí)監(jiān)測(cè)等六個(gè)流程。從邏輯結(jié)構(gòu)上來看，智慧校園信息安全自上而下分別為內(nèi)容安全、數(shù)據(jù)安全、系統(tǒng)安全、設(shè)備安全等四個(gè)層次。內(nèi)容安全層主要包括網(wǎng)絡(luò)輿情、信息泄露、有害信息等[6]。數(shù)據(jù)安全主要包括數(shù)據(jù)在采集、存儲(chǔ)等全過程的一系列安全問題，包括情報(bào)竊取、密碼破解等問題。近年來數(shù)據(jù)安全事件頻發(fā)，社會(huì)危害嚴(yán)重。系統(tǒng)安全層主要指信息系統(tǒng)面臨的安全挑戰(zhàn)和威脅，包括黑客攻擊、軟件故障等問題。設(shè)備安全層指校園網(wǎng)網(wǎng)絡(luò)設(shè)備的安全問題，包括電磁干擾、設(shè)備故障等問題。

數(shù)據(jù)安全防護(hù)體系是智慧校園信息安全體系中的重要組成部分，目前的安全體系正在逐步從以傳統(tǒng)的系統(tǒng)安全、網(wǎng)絡(luò)安全為核心轉(zhuǎn)變?yōu)橐詳?shù)據(jù)安全為核心的防護(hù)體系。當(dāng)前數(shù)據(jù)安全防護(hù)工作還面臨一些嚴(yán)峻挑戰(zhàn)，例如教育系統(tǒng)數(shù)據(jù)分類和分級(jí)保護(hù)標(biāo)準(zhǔn)不明確，數(shù)據(jù)利用的邊界模糊等。應(yīng)急響應(yīng)處置體系已成為信息安全防護(hù)中的最后一道屏障和防線。它主要通過監(jiān)控、分析、研判等方式，有效應(yīng)對(duì)智慧校園各種可能發(fā)生或已經(jīng)發(fā)生的信息安全突發(fā)事件，力爭將造成的破壞程度和影響范圍降到最低水平。安全態(tài)勢(shì)感知體系是網(wǎng)絡(luò)安全主動(dòng)防御的重要基礎(chǔ)，它是在網(wǎng)絡(luò)防御視角下，采用數(shù)據(jù)挖掘和推演等方法，全面、準(zhǔn)確、實(shí)時(shí)地感知理解當(dāng)前智慧校園的安全態(tài)勢(shì)，及時(shí)發(fā)現(xiàn)智慧校園的網(wǎng)絡(luò)安全攻擊，預(yù)測(cè)未來的網(wǎng)絡(luò)安全趨勢(shì)，為網(wǎng)絡(luò)安全防御提供輔助決策支持[7]。政策法規(guī)標(biāo)準(zhǔn)規(guī)范體系是智慧校園信息安全體系建設(shè)的基本遵循。近年來我國加快了在網(wǎng)絡(luò)信息安全領(lǐng)域的立法進(jìn)程，一系列法律法規(guī)標(biāo)準(zhǔn)規(guī)范密集出臺(tái)。安全力量協(xié)同體系主要是為了形成集成化的信息安全多要素保障力量，學(xué)校信息化部門協(xié)同上級(jí)教育信息化主管部門、電信運(yùn)營商、第三方技術(shù)公司、公安機(jī)關(guān)等相關(guān)部門，構(gòu)建業(yè)務(wù)聯(lián)動(dòng)、資源支撐和數(shù)據(jù)共享的暢通聯(lián)動(dòng)機(jī)制，有效協(xié)同應(yīng)急處置。

3 應(yīng)用部署

將上述設(shè)計(jì)的智慧校園信息安全立體化縱深防御體系模型在校園網(wǎng)中進(jìn)行了部署應(yīng)用，加強(qiáng)外部防御、內(nèi)部控制、態(tài)勢(shì)感知和應(yīng)急處置，重新劃分安全域，實(shí)施7×24小時(shí)實(shí)時(shí)監(jiān)測(cè)防護(hù)。對(duì)智慧校園的業(yè)務(wù)應(yīng)用系統(tǒng)進(jìn)行資產(chǎn)測(cè)繪和梳理，全面篩查清理僵尸網(wǎng)站，對(duì)訪問控制等各種系統(tǒng)進(jìn)行測(cè)評(píng)加固。部署應(yīng)用后智慧校園的整體安全水平得到了進(jìn)一步提升。

智慧校園部署應(yīng)用的網(wǎng)絡(luò)安全態(tài)勢(shì)感知系統(tǒng)效果如圖4所示。該系統(tǒng)能夠?qū)崟r(shí)監(jiān)控智慧校園風(fēng)險(xiǎn)態(tài)勢(shì)和最近30天的風(fēng)險(xiǎn)趨勢(shì)，通過可視化展示系統(tǒng)可以直觀了解智慧校園整體安全態(tài)勢(shì)和當(dāng)前系統(tǒng)管理的資產(chǎn)數(shù)量、脆弱性數(shù)量和威脅告警數(shù)量等。

圖4 智慧校園網(wǎng)絡(luò)安全態(tài)勢(shì)可視化展示圖Fig.4 Visual display of smart campus network security situation

智慧校園全部業(yè)務(wù)資產(chǎn)風(fēng)險(xiǎn)態(tài)勢(shì)情況如圖5所示，從該圖中可以直觀展示全局風(fēng)險(xiǎn)態(tài)勢(shì)指數(shù)、業(yè)務(wù)資產(chǎn)數(shù)量、校園網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、待處置告警級(jí)別分布情況、告警歷史趨勢(shì)等，從宏觀上感知智慧校園全局業(yè)務(wù)資產(chǎn)的風(fēng)險(xiǎn)態(tài)勢(shì)和趨勢(shì)發(fā)展情況。

圖5 全部業(yè)務(wù)資產(chǎn)風(fēng)險(xiǎn)態(tài)勢(shì)圖Fig.5 Risk situation chart of all business assets

重要資產(chǎn)持續(xù)監(jiān)測(cè)風(fēng)險(xiǎn)態(tài)勢(shì)情況如圖6所示，從該圖中可以直觀展示校園網(wǎng)中的Web攻擊數(shù)量、攻擊者IP數(shù)量、受害域名數(shù)量、攻擊類型等分別情況。

圖6 重要資產(chǎn)持續(xù)監(jiān)測(cè)風(fēng)險(xiǎn)態(tài)勢(shì)圖Fig.6 Continuous monitoring of risk situation of important assets

4 結(jié)語

近年來我國高度重視信息安全建設(shè)，加快了在信息安全領(lǐng)域的立法進(jìn)程，《網(wǎng)絡(luò)安全法》、《數(shù)據(jù)安全法》、《個(gè)人信息保護(hù)法》等一系列法律法規(guī)相繼出臺(tái)，大數(shù)據(jù)、云計(jì)算和人工智能環(huán)境下智慧校園信息安全面臨著新的威脅和挑戰(zhàn)。首先分析了智慧校園環(huán)境下數(shù)據(jù)安全風(fēng)險(xiǎn)加劇、分布式拒絕服務(wù)攻擊等若干典型的信息安全威脅，設(shè)計(jì)分析了智慧校園信息安全立體化縱深防御體系模型，實(shí)現(xiàn)了信息安全防御的全周期、立體化和動(dòng)態(tài)化，該模型對(duì)于提高智慧校園信息安全水平具有一定的借鑒價(jià)值和參考意義。該模型在智慧校園的應(yīng)用部署結(jié)果表明，能夠進(jìn)一步提高智慧校園信息安全的防御水平。今后，隨著人工智能、區(qū)塊鏈等新技術(shù)新應(yīng)用的發(fā)展，智慧校園面臨著更加復(fù)雜多樣化的信息安全威脅，這需要我們不斷實(shí)踐探索中逐步完善解決。