校园网络安全方案

自“数字校园”的建设目标提出以来，全国各高校的信息化水平便以极大步调高速发展。在这样的发展形势下，各类网络信息系统如雨后春笋一般在高校出现和发展。

每一项工作，甚至每个项目，均能衍生出多个信息系统。时至今日，“数字校园”已升格为“智慧校园”，而高校教学的教学、科研、管理等均高度依赖于信息化手段的支撑。

各类网络信息系统的出现最初是为了解决高校的管理问题，而这些系统的盲目建设又引发了新一轮的管理问题。国家政策法规对于我们解决这些问题提供了依据和指导意见。

早在2008年，我国公安部即颁布《信息安全技术信息系统安全等级保护基本要求(GB/T22239-2008)》（以下简称等保1.0）。根据标准，高校作为信息系统的建设者和运营者，应对其进行定级并实施分级保护。

2019年12月1日，《信息安全技术网络安全等级保护基本要求（GB/T22239-2019）》（以下简称等保2.0）的正式实施标志着我国的信息安全等级保护工作已从1.0时代跨入2.0时代^[1]。

等保2.0在等保1.0的基础上进行了优化和调整，扩大了等级保护对象的范围，变被动防御为主动防御，明确了“一个中心，三重防护”的防护体系^[2]。

等保2.0明确指出，网络运营者应根据保护对象的安全保护等级及其他级别保护对象的关系进行安全整体规划和安全方案设计^[3]。因此高校亟需对学校整体网络安全进行规划，形成安全方案。

安全方案应该实现涵盖全校网络信息系统的目标，并综合考虑学校信息化和网络安全的现状和发展趋势，以便对学校网络安全工作起到规范和指导作用。

高校网络安全方案设计应遵循如下原则：

1.符合等保2.0标准。在进行高校网络安全方案设计时，应以等保2.0标准为基本依据，方案内容与标准中的控制点应形成对应关系，确保安全方案实施后学校的网络安全工作切实符合等级保护相关要求。

2.立足校级层面，力求通用性。应以高校整体管理的角度把握网络安全方案的设计原则，避免将某个系统或某个部门作为设计的切入点。

3.实现网络安全等级保护全生命周期管理，实现可持续发展。每个网络信息系统作为一个单独的等级保护对象，有着建设、运维、优化、更新迭代和注销的生命周期。方案的设计应覆盖保护对象的全部生命周期，充分考虑高校网络安全工作各个环节，并在当前工作现状的基础上，预留发展的空间。

高校网络安全方案总体框架如图1所示，分为相关依据、安全管理体系和安全技术体系三部分。

高校网络安全人员管理分为内部人员管理和外部人员管理两方面，如图3所示。

内部人员管理涵盖人员录用、安全意识教育培训、人员离岗三个环节。

人员录用一般由人事处和用人单位配合完成，人事处完成对入职人员相关资格的审查，用人单位对人员技能进行考核，并与录用人员签署岗位职责协议和保密协议。

网络安全和信息化办公室负责制定培训计划以及对员工进行定期的技能考核。人员离岗时，用人单位应终止其全部访问权限并办理调离手续，手续中包含承诺保密义务的环节。

外部人员管理的主要内容是外部人员访问管理，包括访问受控区域或介入受控网络前需进行书面申请、全程陪同、登记备案、离场后清理权限以及保密协议的签署等。

高校网络安全管理的各个层面，上至机构的规划和人员的管理，下至各项工作的开展，均需由相应制度提供支撑。同时制度也是使安全管理体系和安全技术体系相互配合的重要联系方式。

安全制度体系可划分为总体规划、机构人员、建设管理、运维管理和数据管理五个层面。

安全技术体系分为机房安全、基础网络、安全防护设备、主机及软件安全防护、安全管理中心五个部分。安全管理中心由于其组成和地位的特殊性独立作为一个章节来阐述，以下介绍其余四个部分：

除特殊应用场景要求外，高校内各信息系统均应集中部署于数据中心机房，实现物理环境标准的统一。按照等保2.0要求，机房应满足以下要求或具备以下设施：

1.机房位置选择。机房设置在抗震、防风、防雨、防雷击，且建筑材料耐火等级在B2级以上的建筑物一层。

2.机房设施。机房配备电子门禁、视频监控设备、防雷保安器、自动消防系统、新风换气、动力环境监测系统、专用空调、接地系统和UPS；机房放置防静电手环供运维人员使用；机房划分网络设备、安全设备、业务服务器等区域，并设置隔离防火措施。

3.电力供应。机房配置双路供电，实现电源冗余。

安全方案中应包括网络拓扑图，如图4所示。

拓扑图应符合学校网络实际部署情况，标明网络设备、安全设备、服务器等的具体位置。由于学校的网络拓扑结构会经常调整，网络拓扑图应当至少每年更新一次。

方案中应明确列出校园网及数据中心机房内已部署的安全防护设备清单和其防护作用范围。建有三级信息系统的高校至少需配备以下安全防护设备，参见表1。

表1 安全防护设备参考

业务系统服务器除按照要求集中部署在数据中心机房外，还应满足以下安全要求。

1.身份鉴别与访问控制。各设备均应按照实际应用需要采取最小化原则分配账户和权限，采用高强度口令和密码技术组合的形式实现用户身份鉴别，鉴别信息在远程管理时应采取加密传输方式。用户登录模块应对登录失败次数进行限制，并在连接超时后自动断开。

2.安全审计。安全审计功能应覆盖全部用户的全部行为，定期备份，并对审计进程进行保护。审计记录发送至安全管理中心。

3.恶意代码防护。设备应安装防恶意代码软件。

4.数据安全。重要数据应加密存储、加密传输；除在本地保证实时备份和恢复外，还应实时备份到异地安全场所。当存储空间移为他用时，应对其进行完全格式化。涉及到采集个人信息的业务环节时，应当对用户进行声明，并在用户勾选同意后方可进入采集阶段，采集的个人信息严格按照声明进行使用。

安全管理中心是安全技术体系的一部分，由于其特殊的功能和地位，所以本文将安全管理中心作为一个独立的章节来阐述。

等保2.0中要求网络运营者划分出独立的网络区域，建立安全传输信道，用于安全管理中心对网络设备、安全设备等进行集中管控。

安全管理中心并非单一的设备或独立的物理区域，而是一个进行安全管理的虚拟区域，通常为多个安全管理系统的合集。安全管理中心的主要功能是实现系统管理、审计管理、安全管理和集中管控。一般来讲，典型的高校安全管理中心包含堡垒机、网络安全大数据平台、恶意代码防护软件管理中心和操作系统补丁服务器。

堡垒机一般部署在数据中心机房中，用于实现集中可控的系统管理、审计管理、安全管理功能。校园网内安全设备、汇聚层以上的网络设备、业务系统服务器等均应全部通过堡垒机配置相应账号权限进行维护。

网络安全大数据平台基于高校网络安全管理工作的实际需要进行设计，用于实现审计日志集中存储和管理、上网行为管理、网络流量监测、设备运行状态监控和安全策略集中管理等功能。

1.审计日志存储与分析。平台采集网络设备、安全设备和服务器软硬件运行的审计日志，集中存储，结合在校园网不同位置部署的流量探针所采集到的数据进行分析，对网络安全态势进行研判。

2.设备运行状态监控。在服务器中安装代理程序，监控设备运行状况并发送至平台。运行数据超过阈值时，平台向管理员发送告警消息。

3.安全策略收集与综合管理。通过接口与防火墙、WAF等安全设备对接，集中管理各安全设备策略。

企业版恶意代码防护软件一般都向管理员提供安全管理系统。通过恶意代码防护管理系统，校级管理员可实时掌握恶意代码软件安装、更新和恶意代码查杀情况。