以數(shù)據(jù)為中心的高校網(wǎng)絡(luò)信息安全體系研究

◆徐鵬民 曲麗君 黃國富

?

以數(shù)據(jù)為中心的高校網(wǎng)絡(luò)信息安全體系研究

◆徐鵬民 曲麗君 黃國富

（青島農(nóng)業(yè)大學網(wǎng)絡(luò)管理中心 山東 266109）

高校信息系統(tǒng)日趨龐大、復(fù)雜，面臨的安全威脅也越來越嚴重，傳統(tǒng)的安全防護方法已經(jīng)無法適應(yīng)這種新的形勢。本文從高校的實際情況出發(fā)，提出了以數(shù)據(jù)為中心的網(wǎng)絡(luò)與信息安全體系和實施方法。通過與傳統(tǒng)的安全防護方法的對比分析表明，新的防護體系能夠滿足高校信息系統(tǒng)安全基本需要，并具有較高的性價比。

校園網(wǎng)；網(wǎng)絡(luò)安全；信息安全；安全體系

0 引言

從數(shù)字校園到智慧校園，再到社會集成，高校信息化的飛速發(fā)展，使信息技術(shù)滲透到校園的每一個角落，學校的教學、科研、管理與生活都離不開各種各樣的信息系統(tǒng)，這也使網(wǎng)絡(luò)與信息安全防護日趨重要。

1 高校信息安全面臨的困境[1]

1.1信息系統(tǒng)龐雜

高校信息系統(tǒng)數(shù)量龐大、類型復(fù)雜。大部分高校的網(wǎng)站數(shù)量過百，甚至上千，加上教務(wù)管理、財務(wù)管理、圖書管理、資產(chǎn)管理等，構(gòu)成極為可觀的系統(tǒng)規(guī)模。單一的安全設(shè)備根本無法滿足龐雜應(yīng)用系統(tǒng)的安全需求。

1.2海量數(shù)據(jù)

多媒體教學、科研資源、用戶網(wǎng)絡(luò)行為數(shù)據(jù)、管理數(shù)據(jù)形成高校海量數(shù)據(jù)存儲。很多高校存儲系統(tǒng)超過P級，校園網(wǎng)出口動輒幾個G，甚至十幾個G，一般的安全設(shè)備很難承受如此大數(shù)據(jù)量的安全檢測。

1.3涉及領(lǐng)域廣泛

高校信息設(shè)備類型復(fù)雜、數(shù)量眾多，涉及的安全領(lǐng)域也十分廣泛，包括：CPU安全、編譯器安全、軟件代碼安全、第三方組件安全、操作系統(tǒng)安全、服務(wù)器安全、網(wǎng)絡(luò)鏈路安全、傳輸協(xié)議安全、用戶側(cè)安全、非技術(shù)因素安全等。

1.4網(wǎng)絡(luò)與安全邊界模糊

網(wǎng)絡(luò)終端設(shè)備的日益豐富，改變了網(wǎng)絡(luò)自身的本質(zhì)。用戶不再局限于自己的PC機，或者筆記本電腦，平板電腦、智能手機等移動設(shè)備成為了更為常見的終端設(shè)備。這些新技術(shù)和設(shè)備為通信和數(shù)據(jù)共享提供了新應(yīng)用和方法，但也加劇了信息安全問題，不僅增加了系統(tǒng)出現(xiàn)漏洞的環(huán)節(jié)，更重要的是，模糊了傳統(tǒng)網(wǎng)絡(luò)的邊界，使信息安全完全處于一個新的形勢。

很多高校以下網(wǎng)絡(luò)并存：有線網(wǎng)絡(luò)(WAN/LAN)、虛擬網(wǎng)絡(luò)(vLAN)、移動通信網(wǎng)絡(luò)、藍牙、近場通訊(NFC)、無線射頻識別(RFID)、物聯(lián)網(wǎng)(IoT)等等。

用戶終端也豐富多樣，如：工作站、筆記本電腦、應(yīng)用程序、BYOD(手機、平板)等。

1.5數(shù)據(jù)存儲的分布化

大部分高校建有私有云，普遍使用池化、云化存儲技術(shù)，使傳統(tǒng)的數(shù)據(jù)集中化管理與防護越來越無能為力。

1.6用戶類型的復(fù)雜化

高校本身用戶類型眾多，隨著信息系統(tǒng)的復(fù)雜化，校園信息系統(tǒng)和數(shù)據(jù)管理會有大量公司參與，不僅在建設(shè)開發(fā)期間，日常維護使用也出現(xiàn)了外包服務(wù)，導(dǎo)致用戶類型復(fù)雜化，加劇了信息安全的防護難度。如形形色色的用戶，包括：教師、學生、研究者、實驗者、測試者、開發(fā)商、承包商、來賓、客戶、互聯(lián)網(wǎng)用戶等。

1.7安全防護成本的急劇提高

近年來，由于網(wǎng)絡(luò)信息安全形勢日趨嚴峻，加上國家對信息安全的重視，高校安全防護方面資金投入急劇增長，包括：設(shè)備費、管理維護費和人員費。

上述情況表明，傳統(tǒng)的高校信息安全防護體系已經(jīng)不能適應(yīng)高校信息化發(fā)展的新形勢，迫切需要改變思路，探索新的安全防護方法。

2 高校網(wǎng)絡(luò)與信息安全的主要危脅和突出問題[2]

高校目前面臨的主要安全危險有以下三個方面：

2.1數(shù)據(jù)丟失

大量的教學、科研數(shù)據(jù)丟失，會產(chǎn)生無法彌補的損失。

2.2信息篡改

信息篡改表現(xiàn)在：網(wǎng)頁篡改、掛馬、暗鏈、學生成績修改等，這些威脅既可能產(chǎn)生政治危害，也可能產(chǎn)生經(jīng)濟危害，甚至嚴重干擾學校正常的教學科研秩序。

2.3數(shù)據(jù)竊取

數(shù)據(jù)竊取導(dǎo)致的數(shù)據(jù)泄露，如涉及國家安全的科研成果、教師學生檔案信息、考試試卷等，會嚴重影響正常的教學科研活動。

3 以數(shù)據(jù)為中心的信息安全防護策略

高校傳統(tǒng)的信息安全防護方案是以堵為主，拒敵于城門之外，查殺為輔。投入大量資金，購買各種安全設(shè)備，消耗大量人力、財力。在當前的信息安全新形勢下，這種方法日趨見拙，疲于奔命，為此，我們提出以數(shù)據(jù)為中心的安全防護體系。

3.1理論依據(jù)

以數(shù)據(jù)為中心的安全防護體系，首先基于以下風險管理模型：

該公式含義如下：

Risk（風險）：信息系統(tǒng)被攻擊或破壞所產(chǎn)生的損失；

Vulnerability（漏洞）：信息系統(tǒng)中的薄弱環(huán)節(jié)，包括：網(wǎng)絡(luò)、操作系統(tǒng)、應(yīng)用服務(wù)器、應(yīng)用系統(tǒng)、數(shù)據(jù)庫等各個環(huán)節(jié)，可能是系統(tǒng)漏洞、編程缺陷、編碼錯誤或不當配置，某些特性——擬保護系統(tǒng)或應(yīng)用中存在的任何可被攻擊者利用來做壞事的東西；

Threat（威脅）：可能造成危害的程序和攻擊者，包括：遠程侵入、物理破壞、網(wǎng)絡(luò)釣魚、病毒或者惡意軟件；

Counter Measure Score（對策）：為實現(xiàn)安全所做的所有工作，包括VPN或防火墻之類訪問控制措施的部署、入侵檢測系統(tǒng)、警報和監(jiān)視解決方案、文件完整性監(jiān)測、白名單解決方案以及終端防護；

Valuation（估值）：擬保護系統(tǒng)和數(shù)據(jù)的價值，以及安全工作的成本。

該風險管理模型表示了風險、成本與價值的關(guān)系，安全防護的最終目標是要以最小的成本換取最小的風險。

風險包括經(jīng)濟風險和政治風險，即經(jīng)濟損失和社會影響。

風險與系統(tǒng)漏洞、面臨的威脅、系統(tǒng)或數(shù)據(jù)的價值成正比，因而，也基本上與要保護的信息系統(tǒng)和數(shù)據(jù)規(guī)模成正比，即越龐大的系統(tǒng)，漏洞越多，面臨的威脅越大，系統(tǒng)被攻擊產(chǎn)生的損失也越嚴重。

風險與對策成反比，而對策基本上與資金投入成正比，所以，風險與投入成反比。

3.2現(xiàn)實需求[3]

校園應(yīng)用信息系統(tǒng)盡管數(shù)量龐大，種類繁多，但大部分對實時性要求較弱，用戶并發(fā)時間短，并發(fā)用戶數(shù)量少，短時間的停頓一般不會產(chǎn)生嚴重后果，小部分對實時性要求較高的系統(tǒng)，如校園“一卡通”，往往在設(shè)計時就提供了脫機運行功能，即無論網(wǎng)絡(luò)系統(tǒng)還是數(shù)據(jù)中心發(fā)生故障，系統(tǒng)都能在一定時間段保證正常運行，如果在此時間段內(nèi)修復(fù)系統(tǒng)，不會對用戶產(chǎn)生影響。這種現(xiàn)實應(yīng)用特點，為以數(shù)據(jù)中心的安全防護提供了可行性。

3.3安全模型[4]

根據(jù)上述分析，我們提出如下以數(shù)據(jù)保護為中心的安全防護體系，主要對數(shù)據(jù)進行防護，其它環(huán)節(jié)以事后恢復(fù)和加固為主。

按照3.1中的風險管理模型，在安全投資不變（即對策基本不變）和系統(tǒng)價值基本不變（信息系統(tǒng)中價值最大是數(shù)據(jù)）的情況下，由于防護環(huán)節(jié)減少，導(dǎo)致防護對象的減少，從而信息系統(tǒng)的漏洞（Vulnerability）和威脅（Threat）也相應(yīng)減少，結(jié)果是整個系統(tǒng)風險的減少。

防護模型如下：數(shù)據(jù)復(fù)本+實時監(jiān)控+數(shù)據(jù)恢復(fù)+數(shù)據(jù)分析+安全加固，如圖1所示：

圖1 以數(shù)據(jù)保護為中心的安全防護體系示意圖

（1）數(shù)據(jù)復(fù)本：要求所有數(shù)據(jù)在生產(chǎn)時，同時至少產(chǎn)生一個復(fù)本，一份用于在線使用，一份離線備份。

（2）實時監(jiān)控：安裝在線監(jiān)控系統(tǒng)，以便盡早發(fā)現(xiàn)系統(tǒng)故障。

（3）數(shù)據(jù)恢復(fù)：對于被攻擊而癱瘓的系統(tǒng)，利用備份數(shù)據(jù)，恢復(fù)系統(tǒng)。

（4）數(shù)據(jù)分析：對被攻擊系統(tǒng)的相關(guān)運行日志進行分析，確定原因、來源和手法。

（5）安全加固：針對上述分析，進行系統(tǒng)加固。

3.4實施方案[5]

（1）確定數(shù)據(jù)復(fù)本實現(xiàn)策略

數(shù)據(jù)從在信息系統(tǒng)中的用途可分應(yīng)用類數(shù)據(jù)和管理類數(shù)據(jù)，前者包括教學、科研、學校管理等各種應(yīng)用數(shù)據(jù)，后者主要是系統(tǒng)管理所產(chǎn)生的數(shù)據(jù)，如各種設(shè)備日志、用戶網(wǎng)絡(luò)行為記錄、系統(tǒng)配置數(shù)據(jù)等。

應(yīng)用類數(shù)據(jù)可采用分布式解決方案，同時實現(xiàn)多復(fù)本，或在專門備份設(shè)備上定時備份，這在大部分高校數(shù)據(jù)中心已經(jīng)實現(xiàn)。

管理類數(shù)據(jù)可采用集中日志服務(wù)器，將系統(tǒng)相關(guān)的網(wǎng)絡(luò)設(shè)備、操作系統(tǒng)和應(yīng)用服務(wù)器日志集中保存。對于數(shù)據(jù)復(fù)本采取更嚴格的防護，確保數(shù)據(jù)的安全和完整。

（2）實時監(jiān)控

主要用于應(yīng)用系統(tǒng)運行的實時監(jiān)控，以應(yīng)用軟件和應(yīng)用服務(wù)器為主要對象，以盡早發(fā)現(xiàn)問題。目前，市場上有各種基于態(tài)勢感知的監(jiān)控系統(tǒng)。

（3）數(shù)據(jù)恢復(fù)

包括系統(tǒng)修復(fù)與應(yīng)用數(shù)據(jù)恢復(fù)。

（4）數(shù)據(jù)分析

對系統(tǒng)日志和用戶行為數(shù)據(jù)等管理類數(shù)據(jù)進行分析，目前可借助于大數(shù)據(jù)分析技術(shù)，查找攻擊源、攻擊手法，以便確定漏洞所在。

（5）安全加固

根據(jù)分析結(jié)果，進行漏洞掃描、漏洞管理、補丁管理，加固系統(tǒng)，防止此類攻擊再次發(fā)生。

4 比較分析

4.1高校傳統(tǒng)的信息安全防護體系

高校傳統(tǒng)的信息安全防護體系如圖2所示。

圖2 高校傳統(tǒng)的信息安全防護體系示意圖

一般包括：防火墻、IPS、漏洞掃描、WAF、網(wǎng)站防篡改系統(tǒng)、實時監(jiān)控系統(tǒng)等。網(wǎng)絡(luò)與信息安全經(jīng)費在整個信息系統(tǒng)經(jīng)費中的占比約為15%。由于傳統(tǒng)信息安全設(shè)備需要經(jīng)常的升級維護，大部分高校的人力難以保障，所以使用效果都不夠理想。

4.2以數(shù)據(jù)為中心的防護體系

主要包括數(shù)據(jù)多復(fù)本實現(xiàn)、數(shù)據(jù)備份和實時監(jiān)控系統(tǒng)，經(jīng)費投入比傳統(tǒng)方式降低，占比約為10%，維護工作量也有所減少，能夠較好地實現(xiàn)對數(shù)據(jù)丟失和信息篡改的防護，但對數(shù)據(jù)泄露保護不足。

5 結(jié)論

以數(shù)據(jù)為中心的安全防護是一種被動防護措施，但基于風險管理模型分析，比較適合高校應(yīng)用信息系統(tǒng)特點，具備較好的性價比。

[1]萬雪蓮等.基于攻、防的信息系統(tǒng)安全綜合評估方法的研究[J].計算機科學，2016.

[2]于莉潔等.高校信息化建設(shè)中的信息安全問題研究[J].信息安全與技術(shù)，2016.

[3]楊品林.高校校園網(wǎng)的信息安全策略研究[J].信息安全與技術(shù)，2015.

[4]孫紅梅，賈瑞生.大數(shù)據(jù)背景下企業(yè)網(wǎng)絡(luò)信息安全技術(shù)體系研究[J].通信技術(shù)，2017.

[5]國家互聯(lián)網(wǎng)應(yīng)急中心.http://www.cert.org.cn/publish/main/17/index.html.