新形势下高校网络安全防护路径探究

2021-11-25杨永青

蚌埠学院学报 2021年6期

杨永青

(安徽体育运动职业技术学院基础部，安徽合肥 230051)

随着我国教育行业信息技术的快速发展，计算机及信息网络对促进教育资源的发展发挥着日益重要的作用，同时加强对重要领域内计算机信息系统安全保护工作的监督管理，打击各类计算机违法犯罪活动，是我国教育信息化顺利发展的重要保障。《网络安全法》、等保2.0等法律法规以及标准规范的正式施行，对我国高校信息化的安全方面提出了更高的要求，网络安全不再是单纯的技术工作，网络信息出了问题，不仅要承担行政责任，还要承担法律责任。

1 高校网络安全现状

1.1 网络基础设施建设亟需拓展与升级

大部分校园网的网络架构和业务系统基本相似，高校要满足《网络安全法》和网络安全等级保护相关要求。按照等级保护定级相关要求，学校网络需要部署安全设备，提升一定的安全防护能力，实现合规。但是，随着网络的扩容、大量的接入、业务应用的规模壮大，防护能力应以防护、检测、响应、预警于一体的自适应安全防护体系来保障校园网整体安全。学校业务系统承载业务应用的不断深入和丰富，出现了很多其他外部网络对接的需求，在对接边界处缺乏必要的安全防护设备，既不能对外部用户进行资源访问控制，也不能进行安全端口过滤，一定程度上存在很大的安全隐患。

1.2 数据共享交换需明确共享主体安全责任并强化保护

大多数高校通过在数据中心区部署相关的安全防护设备对校园网信息资源整合共享交换提供基础防护。但是，缺乏数据安全保障体系，以数据为核心资产，围绕数据全生命周期进行整体防护，会出现数据责权不清、数据泄露、数据抵赖等事件，使数据提供方“不愿共享”“不敢共享”。然而病毒传播、黑客的攻击并不是一个静态的过程，这就要求网络安全防护系统是动态的、整体的，要真正实现一个系统的安全，就需要建立一个从保护、检测、响应到恢复的一套全方位的安全保障体系。信息安全保障方案需要从体系化的角度，全面、整体、长期地满足高校安全保障的要求。

2 网络安全防护原则

依照网络安全等级保护的要求，规划网络安全设计思路。综合利用大数据、云计算、人工智能、威胁情报、安全运营等先进技术措施，构建以防护、检测、响应、预警于一体的自适应安全防护体系，从静态、被动的防护转变为动态、主动的防护，实现一体化、自动化的安全防护能力，提升大数据时代防攻击、防泄露、防窃取的监测、预警、控制和应急处置能力，加强信息通报和应急演练，确保其网络基础设施安全稳定运行，切实提升其网络安全保障能力。形成动态监测和态势感知能力，实现对网络空间的全时全域立体监控，网络安全在生态文明建设和推进各行业治理体系和治理能力现代化中发挥重要作用[1]。

2.1 依法依规，紧扣需求

安全规划应遵循《中华人民共和国网络安全法》《信息安全技术-网络安全等级保护基本要求》《密码法》《数据安全法(草案)》等相关政策标准为依据，以高校信息化业务安全需求为导向，规范建设安全保障体系。

2.2 先进高效、弹性扩展

要充分考虑未来发展需要，既要采用软件定义安全、安全即服务、智慧安全运营等新颖的安全理念和先进的安全技术，又要保证业务的高效运行，做到安全与高效并举。

2.3 整体规划、分期建设

按照整体规划、分期建设的要求，网络安全规划大致分三个阶段完成。第一步，基础防护，完善基础防护保障体系；第二步，完善体系，完成数据中心、数据安全、安全态势感知等安全系统的建设，形成比较健全、安全能力良好的安全体系；第三步，提升能力，进一步提升数据安全治理能力，完善信息安全标准，建成以安全运营为抓手，智能化发展相适应的健全的网络安全保障体系。

2.4 技管并重、安全运营

安全运营重点突出实战能力与保障能力，以安全事件发现、分析研判、通告预警、响应处置、追踪调查、复盘整改为核心，构建面向实战的安全运营体系，将技术、管理、流程进行有机整合，支撑业务实战，形成保障业务、促进业务的闭环安全运营。

2.5 高校网络安全规划总体框架

基于现有信息安全建设情况、结合平台统一规划与建设、数据受控共享与开放等特点，提出主动防御型的网络安全保障体系整体框架，突破网络安全防护监测处置一体化、安全综合监管、多维异质数据流动安全管控等关键技术，形成其主动防御网络安全保障体系[2](见图1)。

图1 网络安全保障体系

依据网络安全保障体系，加强信息安全保护措施，推动规划基于大数据、云计算的网络安全和等级保护评估体系，划分区域边界并进行网络安全评估分析。健全网络安全、数据安全应急响应预案，形成相关流程体系，增强信息安全事件的应急响应速度。强化安全管理，完善公共数据和个人信息保护，增强安全技术支撑保障能力，全面提高网络空间安全整体综合防御能力[3]。

网络安全保障体系，其安全能力全面覆盖了终端、云平台、数据、应用、网络边界等领域，具备了云、管、端三位一体的立体化安全防护能力。

基础安全服务设施，通过密码密钥管理服务、电子认证服务，实现加解密、签名验证、摘要计算等密码应用服务及统一的证书签发应用服务；完善用户身份认证、访问权限管理，通过互联网保障用户访问业务系统的身份可信、访问权限管控、操作行为审计和追溯。

终端安全管理接入，采用相关准入控制技术、终端安全控制、主机恶意代码防护以及VPN安全接入等举措，确保终端安全管控及移动办公的安全接入。

数据安全，对于敏感重要的公共数据和个人隐私信息基于数据分类分级策略，通过数据加密、数据脱敏、数据授权、数据溯源等方式进行安全保护。

边界安全，网络边界或专网互联，采用网络访问控制、链路冗余等技术，确保边界网络接入安全。

安全运营管理，整体的网络态势分析、威胁发现与识别，态势呈现，事件响应处置功能，将技术、人员、流程的有机结合，使架构安全、被动防御与主动防御体系形成有机运转，持续提升安全体系的自我演进发展能力。

3 探讨网络安全防护思路

3.1 强化网络安全顶层设计

制定实施网络空间安全战略，落实国家《网络安全法》《密码法》《数据安全法(草案)》《网络安全审查办法》等相关法律法规要求。落实等级保护制度，夯实网络基础设施安全保障，强化数据资源保护，优化技管并重的安全管理体系。

3.2 夯实网络基础设施安全保障

异地实现双机房的数据备份，当同城机房因为自然灾害等出现意外情况，异地灾备的备份数据可以进行恢复，以保证数据的完整性。

加强校园网防护粒度。评估外网、互联网安全防护现状，构建以防护、检测、响应、预警于一体的自适应安全防护体系，以等级保护合规要求，按照分区分域，通过威胁流量检测、入侵防御、漏洞扫描、日志审计、上网行为管理、堡垒机等安全防护措施，解决新型攻击、0day漏洞利用和APT攻击等未知威胁发现及对抗能力，强化边界防护、准入控制、安全防御、安全运维能力。通过配置安全策略，加强企业用户接入区、其他专网接入区的安全防护，保证其访问互联网安全[4]。

完善网络安全接入能力，建设功能齐全、稳定性高、结构规范的安全接入平台，满足不低于1万学校用户通过公众基础网络(互联网、3G/4G/5G网络)访问外网。平台基于身份认证与权限管理服务，通过VPN或安全认证网关的部署模式，对移动用户进行强身份认证与访问控制，对接入行为进行审计，对接入终端进行管控，保障其安全接入外网。

3.3 提升云计算平台安全防护能力

云计算安全体系。遵循“安全即服务”理念，评估现有云安全建设现状，构建一体化、自动化的云安全防护体系，其安全架构包括平台层安全、租户层(如对外提供租户)安全和安全资源池三大部分，见图2所示。

图2 云安全防护架构

平台层安全着眼于云平台自身应满足的基线安全能力，重点从云网络安全、云主机安全和虚拟化安全等方面进行设计。

租户层安全主要从用户实际使用场景出发，依托安全资源池或云平台自身提供的弹性安全能力，实现用户访问云上业务过程的安全接入管控、访问控制、入侵防御和安全审计等。

安全资源池主要针对云平台或第三方安全厂商，提出弹性可扩展的安全能力要求，主要服务于云上租户，同时也可为云平台本身进行安全加固。依托云密码机、云防火墙、云IPS、云WAF、云VPN等云扩展安全组件，构建云安全资源池。云安全资源池具有开放性特点，支持第三方安全组件集成，提供云安全功能市场，可根据系统需求进行预定义和自由组合。

3.4 强化关键数据资源的保护能力

进入大数据时代后，各类数据将陆续开放，数据应用会越来越多，数据交叉共享会越来越复杂，在这种情况下一旦发生数据安全事件，影响范围是无法估量的。在复杂的数据流动情况下，更容易出现疏忽的地方，这给数据安全防护带来了巨大的挑战。传统的方式是针对风险点采取管理手段或技术手段进行管控，但在复杂的数据流动场景下，单一的数据安全技术或产品是无法整体提升数据安全管控能力的，也无法适应数据应用场景的快速变化。

探索数据安全体系。随着《数据安全法(草案)》的发布，数据安全有法可依，各行业信息资源数据以遵循法律法规为基准，体系化工程思维，构建数据为核心资产的安全保障体系，对数据采集、数据传输、数据存储、数据共享、数据处理及数据销毁等全生命周期进行安全防护，见图3。

图3 数据安全保障体系

采用分层架构搭建的方式，结合敏感数据资产化管理的技术和数据运营服务贯穿辅助的加持手段，实现数据全生命周期的安全防护和风险感知。

数据安全运营服务体系，基于数据分级分类的标准，针对数据资源进行全面梳理，对数据安全风险事件进行识别及响应处理。

从数据资产化的视角和手段分析，对数据全生命周期的管理。基于数据业务场景，从数据的静态、动态两种形态采用技术手段发现识别，并基于业务背景和不同标准进行类别拆分和级别设定，并制定细粒度数据权限策略，同时采用可视化手段对数据的流转和态势进行跟踪和展示。

数据汇聚、治理、数据中台搭建等的场景和过程涉及的数据存储、访问等基础设施，如数据库、大数据平台组件等，以及相应场景下的数据访问、运维、分析处理等操作过程，通过匹配场景的基础防护和加固手段结合整体的敏感数据资产管理策略进行相应的防护策略实施，保障数据基础设施的安全和数据运维安全。其中，数据加密依托云密码服务提供的加解密、签名验证等密码应用服务接口，对结构化数据、非结构化数据进行加密；通过数字水印、数字签名、区块链等先进密码技术，对数据进行溯源，保证其行为可追溯及责任认定。

针对数据的智能化、智慧化落地应用，面向数据开放场景和开放的形态对象，进行相应场景的安全防护和加固，保障数据从内而外、数据业务化和业务数据化转变全过程的安全。

加强数据安全监管执法，参考《信息安全技术-数据安全能力成熟度模型》(GB/T37988-2019)对于数据安全组织建设的分层结构，数据安全管理组织架构应具备四层关键能力岗位设定来支撑组织架构上的管理职能落地，其中包括决策层、管理层、执行层、监督层及其他协同对象[5]。

决策层是数据安全管理体系建设中策略方针的牵引和最终主责方，应由机构、单位、企业等组织的高层人员担任，如CSO(首席安全官)、首席科学家等高管职位。因为组织的业务发展和数据安全是密不可分的，决策层是需要具备参与到组织的业务发展决策的职能，从业务发展和数据安全结合的视角制定数据安全体系建设的策略和方针，同时也需要高层的重视和关注。

管理层是数据安全管理体系架构中承上启下的职能对象。管理层会基于决策层给出的策略和方针，制定详细的数据安全实际建设工作方案，并承担安全和业务发展的平衡与协同。管理层对数据安全工作的全面落地负责，管理层的团队应涵盖组织中关键业务和核心部门的岗位人员，同时也要负责对接外部专业资源和相互间的工作协同。

执行层是与管理层紧密配合的管理策略和计划落地的核心团队，执行层可能是多方向的团队或者人员组成，主要聚焦在每个具体的场景，对业务背景和数据安全场景进行逐个实现场景下的数据安全建设。执行层主要包括数据安全专职人员和业务部门的接口人员、安全风险管理人员、数据主责人等。

监督层是对数据安全建设工作开展过程的监督和阶段性成果评审的审计团队，定期对管理层团队、执行层团队、其他协同对象在数据安全建设和管理过程中对于策略和管理要求的执行情况进行监督审核，并向决策层汇报。显而易见，监督层是要具备完全的独立性，不能与管理层团队、执行层团队等岗位人员出现兼任重叠，应由组织内部的中立的审计部门或者第三方团队担任。

3.5 建设网络安全态势感知平台，构建网络安全统一管控

建设相应网络安全态势感知平台，掌握基础设施的网络安全风险和状态，针对信息系统网络安全监测实时分析。通过该平台对不同行业网络安全整体情况进行汇总分析、展现和处置，结合大数据、威胁情报、机器学习、深度学习等技术与手段，完善网络安全分析研判能力，准确把握其网络空间的安全威胁、风险和隐患，及时发现网络安全问题，实现对不同行业的网络安全预警和通报，有力支撑属地网络空间安全保障工作。

建立网络安全态势感知平台的配套管理运行机制，形成高校多源数据汇聚总枢纽、监测感知、分析研判和应急指挥处理中心，提升信息安全运维效率，提高信息安全事件风险的预警和响应能力，提高对安全宏观态势的掌控、分析和评估水平，为态势感知平台的安全建设提供原则和指导，帮助描绘未来安全保障建设的思路和任务，理清安全保障建设的内容，以满足当前和长期的安全业务发展需求。提升安全运营服务管理队伍的建设，推进“制度管理、队伍保障”。

建立并完善网络安全事件、指挥机制，指导预警通报、信息发布等工作，实现网络安全预警信息发布，指导采取相应预防措施，完成网络安全事件应急响应和通报。高校应建立网络安全应急响应中心，网络安全事件的发生有相应检测和处置流程、制定应急预案及组织攻防演练。当发生网络安全威胁可以及时有效地进行统一管控、上报、跟踪、汇总、调度与监督，快速开展研判、呈报与审核工作，完成预警发布、事件通报与信息发布，并统一进行协调处置[6]。

3.6 建立情报共享和协同联动机制

建立网络安全情报共享和协同联动机制是各行业网络安全防护与产业发展的重大举措。网络安全情报作为网络安全防护能力的重要差异化因素之一，对优化风险应对策略，强化应急处置能力，完善网络安全纵深防御体系，提升网络安全整体防御能力，助推高校信息化建设具有重要意义。

建设完善的网络安全情报引入机制，一是要结合国家级网络安全情报共享信息，积极引入社会力量，实现网络安全相关研究机构与社会企业的网络安全情报信息的有机结合。采用多源情报采集技术，在保障网络安全情报有效性与可靠性前提下，扩充网络安全情报信息来源，掌握突发性网络安全热点事件与全球性网络空间事件动向，收集信息系统漏洞信息与高级持续性威胁信息，构建由威胁通告、持续监控、态势感知、快速响应和全面追溯反制组成的适应性防御体系[7]。