高校智慧圖書館信息安全體系構(gòu)建

王寧邦

(云南師范大學(xué)信息管理處，云南 昆明 650500)

高校圖書館是高校學(xué)生學(xué)習(xí)、教師科研的重要場所。隨著信息技術(shù)的快速發(fā)展，高校圖書館在信息安全方面面臨更多挑戰(zhàn)。特別是隨著高校信息化向縱深發(fā)展，高校進(jìn)行智慧圖書館建設(shè)，網(wǎng)絡(luò)信息安全形勢日益嚴(yán)峻。計算機(jī)病毒、木馬、蠕蟲等嚴(yán)重危害智慧圖書館的正常運行和服務(wù)。高校圖書館一般采用接入層、匯聚層、核心層的3層網(wǎng)絡(luò)架構(gòu)，并建設(shè)有標(biāo)準(zhǔn)化的圖書館中心機(jī)房，中心機(jī)房作為中樞系統(tǒng)，承載了核心交換機(jī)、服務(wù)器、存儲、UPS主機(jī)、云計算平臺等。我校圖書館還有電子閱覽室、公共機(jī)房、智能終端、電子讀報設(shè)備、門禁系統(tǒng)、RFID自助借還書系統(tǒng)、圖書館信息墻(實時顯示讀者在館情況)、網(wǎng)上圖書館、微信公眾號、云南高校數(shù)字化共享平臺、CALIS云南省文獻(xiàn)信息服務(wù)中心、索引文摘數(shù)據(jù)庫、學(xué)習(xí)資源庫，以及中英文期刊數(shù)據(jù)庫等。

“智慧圖書館”一詞最早由歐美圖書館界提出。2003年芬蘭奧盧大學(xué)圖書館的Markus Aittolash在《智慧圖書館：基于位置感知的移動圖書館服務(wù)》一文中提出，智慧圖書館(smart library)是一個不受空間限制且可被感知的移動圖書館[1]。關(guān)于智慧圖書館的概念，國內(nèi)學(xué)者并無統(tǒng)一界定。嚴(yán)棟[2]認(rèn)為“智慧圖書館=圖書館+物聯(lián)網(wǎng)+云計算+智慧化設(shè)備”。王中婧[3]認(rèn)為智慧圖書館是建立在RFID、物聯(lián)網(wǎng)、大數(shù)據(jù)、云計算、人工智能等信息技術(shù)和智能技術(shù)的基礎(chǔ)上，是可被感知的新一代圖書館，基于智能服務(wù)，由先進(jìn)的管理理念支持，不受時間和空間限制。智慧圖書館的組成主要包括智慧系統(tǒng)、智能基礎(chǔ)設(shè)施和智慧服務(wù)[4]。《中華人民共和國計算機(jī)信息系統(tǒng)安全保護(hù)條例》將信息安全界定為“保障計算機(jī)及其相關(guān)的配套設(shè)備、設(shè)施(網(wǎng)絡(luò))的安全，運行環(huán)境的安全，保障信息安全，保障計算機(jī)功能的正常發(fā)揮，以維護(hù)計算機(jī)信息系統(tǒng)的安全”[5]。信息安全管理國際標(biāo)準(zhǔn)ISO27000—2009將信息安全定義為：“信息安全就是保持信息的保密性、完整性與可用性?！薄稊?shù)字圖書館安全管理指南》指出，數(shù)字圖書館安全要素包括安全政策、環(huán)境安全、訪問控制、過程管理、信息資源安全、備份與容災(zāi)、應(yīng)急響應(yīng)與安全公告等[5]。

1 高校智慧圖書館信息安全研究現(xiàn)狀

譚世芬[1]針對高校圖書館網(wǎng)絡(luò)安全隱患從網(wǎng)絡(luò)安全技術(shù)、網(wǎng)絡(luò)病毒防范、網(wǎng)絡(luò)安全管理、人員配備等方面構(gòu)建高校圖書館網(wǎng)絡(luò)信息安全體系。林昌意等[4]為降低高校多校區(qū)圖書館網(wǎng)絡(luò)安全風(fēng)險，在分析系統(tǒng)安全與數(shù)據(jù)安全基礎(chǔ)上，給出網(wǎng)絡(luò)安全防范體系的實施過程。趙亮等[5]通過對國內(nèi)外數(shù)字圖書館安全問題的研究及對信息安全相關(guān)標(biāo)準(zhǔn)體系的詳細(xì)分析，對《數(shù)字圖書館安全管理指南》進(jìn)行解讀。嚴(yán)莊[6]探討了基于WPDRRC動態(tài)安全模型的高校圖書館網(wǎng)絡(luò)安全防護(hù)體系的構(gòu)建方法。丘柏林[7]從保密性、完整性和可用性的角度構(gòu)建出圖書館網(wǎng)絡(luò)信息安全管理模型，從人員、管理、建筑與技術(shù)、運行與操作及安全文化5個維度闡述信息安全管理的實踐和應(yīng)用。李柏冬等[8]探討了網(wǎng)絡(luò)環(huán)境下圖書館局域網(wǎng)內(nèi)計算機(jī)病毒幾種防范措施。劉卓然[9]從網(wǎng)絡(luò)的環(huán)境安全、硬件安全、數(shù)據(jù)安全、操作系統(tǒng)和應(yīng)用程序安全、用戶安全等方面提出對應(yīng)的解決策略和安全操作方案。李仲良[10]探討了VPN在數(shù)字圖書館遠(yuǎn)程訪問中的應(yīng)用，認(rèn)為SSL VPN是解決遠(yuǎn)程用戶訪問數(shù)字圖書館信息資源最為簡捷、安全的技術(shù)。袁淑艷等[11]認(rèn)為數(shù)字圖書館的安全問題主要分為硬件安全、軟件安全、數(shù)據(jù)安全和管理安全4類。王芳[12]認(rèn)為網(wǎng)絡(luò)安全隱患時刻威脅著信息化藏書建設(shè)進(jìn)程，需防范病毒傳播、黑客攻擊，使高校圖書資源共享健康發(fā)展。鐘戈[13]提出了保證網(wǎng)絡(luò)安全所應(yīng)采取的技術(shù)和措施。高穎[14]從智慧圖書館的內(nèi)涵和主要功能入手，提出地方高校智慧圖書館建設(shè)所面臨的問題。徐海軍等[15]綜述了影響高校圖書館網(wǎng)絡(luò)安全隱患的各種因素，提出保障圖書館網(wǎng)絡(luò)的安全管理策略。

智慧圖書館需要一個完整信息安全體系，單靠建設(shè)一方面的信息安全是不能有效保障信息安全的。做好高校智慧圖書館的信息安全體系建設(shè)，既保障圖書館各種系統(tǒng)和資源的正?？捎?，免于遭受黑客入侵、滲透，也對高校的意識形態(tài)安全增加了安全保障，具有重要的現(xiàn)實意義。筆者作為高校信息安全技術(shù)管理人員，以云南師范大學(xué)智慧圖書館信息化建設(shè)為例，闡釋信息安全體系設(shè)計與建設(shè)，以期為全國同類高校的建設(shè)提供參考。云南師范大學(xué)智慧圖書館信息化建設(shè)系統(tǒng)框架如圖1所示。

圖1 云南師范大學(xué)智慧圖書館信息化建設(shè)系統(tǒng)框架

2 傳統(tǒng)的信息安全防護(hù)體系

2.1 出口防火墻

出口防火墻(next-generation application firewall，下一代防火墻，簡稱NGAF)提供L2-L7的全面防御能力，提供專業(yè)的應(yīng)用層防御能力，內(nèi)部融合眾多安全模塊如IPS、WAF、AV、URL過濾等，精確封鎖惡意威脅，形成事前風(fēng)險預(yù)知、事中安全防護(hù)、事后檢測及響應(yīng)的全程防護(hù)和全程可視，能攔截全球熱點TOP10應(yīng)用攻擊及企業(yè)高危的應(yīng)用層攻擊，如SQL注入，Webshell上傳，水坑、魚叉、郵件等釣魚攻擊，能對勒索病毒、遠(yuǎn)控木馬、異常流量等深度檢測，抵御外聯(lián)風(fēng)險。細(xì)粒度內(nèi)容過濾、應(yīng)用識別、精細(xì)化訪問控制、策略優(yōu)化等機(jī)制可幫助用戶將風(fēng)險最小化。根據(jù)深信服AF9020出口防火墻設(shè)備防護(hù)情況可知，在我校平均每天發(fā)現(xiàn)1 977次僵尸網(wǎng)絡(luò)活動、1個業(yè)務(wù)系統(tǒng)失陷、12個業(yè)務(wù)系統(tǒng)遭受攻擊、350起攻擊事件、6個失陷終端，檢測到黒鏈1個、外發(fā)攻擊事件142個。

2.2 Web防火墻

由于業(yè)務(wù)的擴(kuò)展，網(wǎng)站和應(yīng)用的數(shù)量越來越多，易出現(xiàn)Web資產(chǎn)防護(hù)遺漏而致其成為黑客攻擊的靶機(jī)。對于多數(shù)黑客攻擊行為可以通過特征簽名的方式來檢測，但對于無法明確攻擊特征的未知威脅則缺乏有效的檢測和處置手段，易導(dǎo)致應(yīng)用失陷。網(wǎng)站應(yīng)用程序和Web框架漏洞無法及時發(fā)現(xiàn)并進(jìn)行修復(fù)，成為黑客利用的攻擊跳板。Web應(yīng)用防火墻(Web application firewall，簡稱WAF)專注于網(wǎng)站及Web應(yīng)用系統(tǒng)的應(yīng)用層專業(yè)安全防護(hù)，解決傳統(tǒng)安全產(chǎn)品如網(wǎng)絡(luò)防火墻、入侵防御系統(tǒng)、UTM等難以應(yīng)對的應(yīng)用層深度防御的問題，能有效應(yīng)對網(wǎng)站及Web應(yīng)用系統(tǒng)面臨的威脅，如OWASP TOP 10中定義的常見威脅，并且可以快速應(yīng)對惡意攻擊者針對Web業(yè)務(wù)發(fā)起的0Day威脅、未知威脅等攻擊，實現(xiàn)Web業(yè)務(wù)應(yīng)用安全與可靠交付。根據(jù)深信服AF8020 Web防火墻設(shè)備業(yè)務(wù)防護(hù)情況可知，在我校平均每天發(fā)現(xiàn)1個已失陷業(yè)務(wù)、52個業(yè)務(wù)遭受攻擊、5個業(yè)務(wù)存在漏洞但未被攻擊、18個高危漏洞、13個中危漏洞，Web應(yīng)用防護(hù)檢測到2萬6 216起攻擊事件。

2.3 上網(wǎng)行為審計

上網(wǎng)行為審計串行在出口前端，對上網(wǎng)用戶行為進(jìn)行記錄和管理，幫助管理員過濾違法、違規(guī)不良網(wǎng)頁，攔截不良言論、含有不良關(guān)鍵字的網(wǎng)絡(luò)信息，有效管控網(wǎng)絡(luò)輿論和避免法律風(fēng)險。通過設(shè)定關(guān)鍵字進(jìn)行審計，觸發(fā)后可攔截或告警，實現(xiàn)上網(wǎng)的可視可控；針對加密的網(wǎng)頁、郵箱等，進(jìn)行關(guān)鍵字過濾和內(nèi)容審計；通過配置URL列表，對列表中指定的SSL加密網(wǎng)站或Web郵箱進(jìn)行過濾和審計。上網(wǎng)行為審計可以配合網(wǎng)安、網(wǎng)信等部門查詢用戶上網(wǎng)日志。上網(wǎng)行為審計可與實名認(rèn)證系統(tǒng)做關(guān)聯(lián)，根據(jù)IP地址得到用戶名，避免了跨系統(tǒng)溯源查人。在我校該系統(tǒng)外置數(shù)據(jù)中心有30T的存儲空間，與實名認(rèn)證對接根據(jù)IP關(guān)聯(lián)到用戶名。根據(jù)深信服AC10000上網(wǎng)行為審計設(shè)備審計情況可知，目前我校系統(tǒng)已接入用戶4萬6 658個，添加審計關(guān)鍵字60余個，已成功配合屬地公安落地查人3次，按照學(xué)校黨辦、保衛(wèi)處、學(xué)生處、統(tǒng)戰(zhàn)部、學(xué)院等要求對學(xué)生上網(wǎng)行為進(jìn)行查詢各1次。

2.4 VPN技術(shù)

VPN(virtual private network，虛擬專網(wǎng))是以SSL/IPSec VPN網(wǎng)關(guān)作為基礎(chǔ)，專業(yè)管理用戶身份認(rèn)證、訪問權(quán)限、移動設(shè)備的統(tǒng)一接入平臺，實現(xiàn)遠(yuǎn)程Web安全接入。通過提升訪問接入的安全性能，簡化安全策略部署，優(yōu)化傳輸速度，讓用戶獲得最佳的移動訪問體驗，幫助高校節(jié)省大量的IT建設(shè)投入。VPN支持通過現(xiàn)有實名認(rèn)證系統(tǒng)的Radius服務(wù)器認(rèn)證，避免了2套認(rèn)證體制。通過VPN，用戶在校外也可以如同在校內(nèi)一樣訪問圖書館期刊數(shù)據(jù)庫等資源。通過資源管理和角色授權(quán)對用戶訪問資源的權(quán)限進(jìn)行定義，用戶在校外使用SSL VPN通過https方式登錄，資源授權(quán)分為學(xué)校官網(wǎng)、圖書館資源、校園網(wǎng)內(nèi)網(wǎng)3類。深信服VPN-2150-Q設(shè)備運行情況表明，我校系統(tǒng)授權(quán)在線總數(shù)500個，并發(fā)用戶最高在線37人。

2.5 堡壘主機(jī)

堡壘主機(jī)(bastion host)是對圖書館內(nèi)部的網(wǎng)絡(luò)設(shè)備和服務(wù)器進(jìn)行保護(hù)，對此類資產(chǎn)的常用訪問方式進(jìn)行監(jiān)控和審計，例如對字符終端、圖形終端等訪問方式進(jìn)行監(jiān)控和審計，實現(xiàn)對用戶運維過程的標(biāo)準(zhǔn)化管理，滿足圖書館內(nèi)部網(wǎng)絡(luò)對核心資源訪問安全的要求。通過堡壘主機(jī)對網(wǎng)絡(luò)設(shè)備、服務(wù)器、信息系統(tǒng)實現(xiàn)統(tǒng)一管理，用戶登錄堡壘主機(jī)，訪問授權(quán)資源，提高了系統(tǒng)的運維效率和安全性。使用堡壘主機(jī)實現(xiàn)網(wǎng)絡(luò)設(shè)備、服務(wù)器、Web站點的單點登錄，實現(xiàn)統(tǒng)一運維和審計。運維管理人員只須面對堡壘主機(jī)，不需要直接面對設(shè)備或信息系統(tǒng)，提高了系統(tǒng)的運維審計和安全性。將telnet、遠(yuǎn)程桌面、http、https方式訪問的資源統(tǒng)一添加進(jìn)堡壘主機(jī)，再進(jìn)行角色授權(quán)，根據(jù)分工不同對資源進(jìn)行授權(quán)，如系統(tǒng)管理員、審計員等。天融信堡壘主機(jī)使用情況表明，我校添加網(wǎng)絡(luò)設(shè)備50余臺、Web訪問的系統(tǒng)41個、虛擬機(jī)19臺。

2.6 漏洞掃描系統(tǒng)

漏洞是計算機(jī)軟件(包括CMOS固化指令、操作系統(tǒng)、應(yīng)用程序等)自身的固有缺陷或因使用不當(dāng)造成的配置缺陷。漏洞掃描系統(tǒng)(vulnerability scanning system)基于漏洞數(shù)據(jù)庫，通過掃描等手段，對Web網(wǎng)站、主機(jī)(服務(wù)器)、操作系統(tǒng)、數(shù)據(jù)庫、網(wǎng)絡(luò)設(shè)備、應(yīng)用軟件、弱口令等的安全脆弱性進(jìn)行檢測，發(fā)現(xiàn)可利用的漏洞的一種安全檢測行為。漏洞掃描就是發(fā)現(xiàn)系統(tǒng)缺陷。2017年5月12日全球爆發(fā)的WannaCry病毒，利用的就是Windows的MS-010漏洞。漏洞掃描的流程如圖2所示。

圖2 漏洞掃描的流程圖

使用綠盟RSAS漏洞掃描系統(tǒng)對我校圖書館所有在用Web應(yīng)用系統(tǒng)、數(shù)據(jù)庫、服務(wù)器等進(jìn)行漏掃，及時發(fā)現(xiàn)圖書館管理系統(tǒng)等漏洞200余個，得出高危漏洞頁面URL、頁面風(fēng)險、漏洞風(fēng)險、站點風(fēng)險報表和安全處置建議。漏洞整改相關(guān)工作由廠商技術(shù)人員配合完成。

3 高校智慧圖書館安全態(tài)勢感知體系

1988年，Endsley首次提出“態(tài)勢感知”(situational awareness，SA)的定義，態(tài)勢感知是指在一定時空范圍內(nèi)，對環(huán)境因素的獲取、理解及對未來趨勢的預(yù)測[5]。整個態(tài)勢感知過程由3級模型直觀表示，如圖3所示。網(wǎng)絡(luò)態(tài)勢感知(cyberspace situational awareness，CSA)是安全防護(hù)技術(shù)體系中進(jìn)行網(wǎng)絡(luò)安全預(yù)警的新技術(shù)，通過大數(shù)據(jù)分析技術(shù)，將網(wǎng)絡(luò)設(shè)備運行狀況、網(wǎng)絡(luò)行為以及用戶行為等因素所構(gòu)成的整個網(wǎng)絡(luò)的當(dāng)前狀態(tài)數(shù)據(jù)和變化趨勢進(jìn)行獲取、理解、評估、顯示以及對未來發(fā)展趨勢進(jìn)行預(yù)判預(yù)警，為管理者提供決策支持[1-2]。

圖3 態(tài)勢感知的3級模型

態(tài)勢感知是一種基于環(huán)境的，動態(tài)、整體地洞悉安全風(fēng)險的能力，是以安全大數(shù)據(jù)為基礎(chǔ)，從全局視角提升對安全威脅的發(fā)現(xiàn)識別、理解分析、響應(yīng)處置能力的一種方式，最終是為了決策與行動，是安全能力的落地。其目的是檢測、分析、預(yù)測、防御。2016年4月19日，習(xí)近平總書記在網(wǎng)絡(luò)安全與信息化工作座談會上明確指出：“加快構(gòu)建關(guān)鍵信息基礎(chǔ)設(shè)施安全保障體系，全天候全方位感知網(wǎng)絡(luò)安全態(tài)勢，增強(qiáng)網(wǎng)絡(luò)安全防御能力和威懾能力”。隨著《中華人民共和國網(wǎng)絡(luò)安全法》和《國家網(wǎng)絡(luò)空間安全戰(zhàn)略》相繼出臺，態(tài)勢感知被提升到了戰(zhàn)略高度，代表了當(dāng)前網(wǎng)絡(luò)安全攻防對抗的最新趨勢?！吨腥A人民共和國網(wǎng)絡(luò)安全法》提出要加強(qiáng)信息安全的預(yù)警和監(jiān)測，態(tài)勢感知具備網(wǎng)絡(luò)安全預(yù)警監(jiān)測功能。

為適配智慧圖書館的網(wǎng)絡(luò)安全需求，搭建網(wǎng)絡(luò)態(tài)勢感知平臺，和現(xiàn)有的上網(wǎng)行為審計、下一代防火墻、WAF(Web application firewall，Web應(yīng)用防火墻)、VPN、堡壘主機(jī)、終端安全檢測響應(yīng)平臺以及漏洞掃描等系統(tǒng)一起，共同構(gòu)筑網(wǎng)絡(luò)安全防護(hù)體系，從而基本上達(dá)到“發(fā)現(xiàn)過去、感知現(xiàn)在、預(yù)警未來”的目的，有效提升學(xué)校的信息安全效益。

3.1 終端安全檢測響應(yīng)平臺

圍繞終端資產(chǎn)安全生命周期，通過預(yù)防、防御、檢測、響應(yīng)，賦予終端更為細(xì)致的隔離策略，更為精準(zhǔn)的查殺能力，更為持續(xù)的檢測能力，更為快速的處置能力。在應(yīng)對高級威脅的同時，通過云端聯(lián)動協(xié)同、威脅情報共享、多層級響應(yīng)機(jī)制，快速處置終端安全問題，構(gòu)建輕量級、智能化、響應(yīng)快的下一代終端安全系統(tǒng)。終端安全檢測響應(yīng)(endpoint detection and response，EDR)平臺由管理端和終端構(gòu)成，是一款服務(wù)器版的殺毒軟件，服務(wù)器或重要終端安裝EDR插件后，管理端能統(tǒng)一管理，識別并下發(fā)查殺策略，更新插件版本、病毒庫等，能有效查殺“驅(qū)動人生”木馬、挖礦病毒等。EDR對Vmware等云計算平臺的虛擬化環(huán)境進(jìn)行安全域隔離和東西向流量的清洗，對虛擬機(jī)進(jìn)行防護(hù)，完善虛擬化環(huán)境的安全建設(shè)。深信服EDR使用情況表明，我校目前已對27臺Windows/Linux服務(wù)器和1臺PC終端安裝客戶端插件，通過管理端統(tǒng)一下發(fā)全盤查殺或快速查殺，累計病毒查殺50次，處理威脅文件502次，病毒庫定期更新。對辦公電腦和電子閱覽室PC機(jī)，一律安裝360殺毒軟件和防火墻，并及時更新至最新病毒庫，以提高病毒和網(wǎng)絡(luò)攻擊防范能力。

3.2 安全態(tài)勢感知平臺

安全態(tài)勢感知平臺(situation awareness platform)是一個安全大數(shù)據(jù)分析平臺。通過部署全網(wǎng)安全態(tài)勢感知平臺，在學(xué)校各關(guān)鍵節(jié)點部署探針，并將下一代防火墻、Web防火墻、上網(wǎng)行為審計、終端安全檢測響應(yīng)平臺和VPN升級為探針，提供足夠多的數(shù)據(jù)用于安全大數(shù)據(jù)分析，完成學(xué)校全網(wǎng)安全態(tài)勢感知平臺的搭建。這些產(chǎn)品均為同一廠商、同一品牌。這樣可實現(xiàn)全校業(yè)務(wù)系統(tǒng)核心資產(chǎn)的識別，梳理用戶與資產(chǎn)的訪問關(guān)系；能夠讓我校對內(nèi)部重要業(yè)務(wù)資產(chǎn)已發(fā)生的安全事件進(jìn)行持續(xù)檢測，第一時間發(fā)現(xiàn)已發(fā)生的安全事件；能夠?qū)⑷W(wǎng)的風(fēng)險進(jìn)行可視化的呈現(xiàn)，看到全網(wǎng)的風(fēng)險以實現(xiàn)有效的安全處置。在實踐中，筆者發(fā)現(xiàn)不同的信息安全設(shè)備廠商都對外稱自己產(chǎn)品能和其他公司產(chǎn)品進(jìn)行兼容對接，但在實際對接中會出現(xiàn)技術(shù)問題和接口費用問題。采用不同廠商的信息安全設(shè)備有助于增加信息安全生態(tài)的多樣性，但會在對接、聯(lián)動、兼容性等方面帶來困難。其主要原因在于不同廠商的安全產(chǎn)品采用的體系架構(gòu)不同，數(shù)據(jù)格式不同，且由于市場競爭等因素，接口一般不對外免費開放。

基于hadoop的安全大數(shù)據(jù)處理平臺整體架構(gòu)如圖4所示，整體架構(gòu)是基于hadoop的大數(shù)據(jù)處理平臺，后端的存儲是基于安全大數(shù)據(jù)存儲平臺系統(tǒng)。該平臺通過提取各個檢測節(jié)點上報的標(biāo)準(zhǔn)數(shù)據(jù)元，并結(jié)合大數(shù)據(jù)海量提取、機(jī)器挖掘、聚類分析、歸并整理、行為建模等方式，提取威脅類比、安全趨勢、風(fēng)險報告，提供統(tǒng)一多維度的查詢窗口，并配合策略中心輸出安全加固建議。

態(tài)勢感知平臺將眾多的信息安全設(shè)備關(guān)聯(lián)起來，收集足夠多的數(shù)據(jù)進(jìn)行安全大數(shù)據(jù)分析，并能和安全設(shè)備進(jìn)行聯(lián)動，在檢測到安全事件的時候給其他安全設(shè)備下發(fā)策略，進(jìn)行聯(lián)動封堵，有效遏制信息安全事件的發(fā)生，實現(xiàn)“發(fā)現(xiàn)—預(yù)警—處置”的閉環(huán)機(jī)制，有效防止信息安全設(shè)備“信息孤島”的問題。態(tài)勢感知平臺有助于校園網(wǎng)信息安全體系的建立和完善。智慧圖書館信息安全體系拓?fù)鋱D如圖5所示。

圖4 基于hadoop的安全大數(shù)據(jù)處理平臺整體架構(gòu)

圖5 智慧圖書館信息安全體系拓?fù)鋱D

我校深信服態(tài)勢感知平臺SIS上線運行1年半以來共發(fā)現(xiàn)：網(wǎng)絡(luò)中的資產(chǎn)1 960個，其中風(fēng)險/失陷資產(chǎn)165個；活躍終端用戶2萬9 589個，其中風(fēng)險用戶1 091個；有效攻擊事件0個，其中已失陷業(yè)務(wù)21個，已失陷用戶133個，來自外部高危攻擊7 086個，疑似信息失泄密事件18個；可被黑客利用的高危漏洞和脆弱點212個并已進(jìn)行加固；共135個主機(jī)感染僵尸網(wǎng)絡(luò)病毒，淪為僵尸主機(jī)，這可能造成黑客跳板攻擊、敏感信息失泄密、成為肉雞攻擊他人引起法律責(zé)任等，已及時進(jìn)行隔離；部分業(yè)務(wù)系統(tǒng)存在弱密碼，明文傳輸?shù)那闆r；約2 615個外部風(fēng)險訪問者對我校44臺服務(wù)器及94個用戶發(fā)起風(fēng)險訪問，且絕大部分為境外對我校主機(jī)進(jìn)行遠(yuǎn)程登陸或遠(yuǎn)程桌面操作；態(tài)勢感知平臺的特色功能“潛伏威脅黃金眼”發(fā)現(xiàn)了10余起中勒索病毒變種的事件，中毒主機(jī)被利用來進(jìn)行挖礦，通過關(guān)聯(lián)查詢，定位到校園網(wǎng)用戶，及時采取病毒查殺措施，防止了病毒在內(nèi)網(wǎng)的擴(kuò)散。

通過使用態(tài)勢感知平臺，發(fā)現(xiàn)了較多的外部攻擊和內(nèi)部攻擊的安全事件，主要表現(xiàn)為高危攻擊、殘余攻擊、暴力破解、文件威脅等，發(fā)現(xiàn)威脅事件總數(shù)8 734個，威脅情報1 198個，違規(guī)訪問117次，主要是永恒之藍(lán)、虛擬貨幣挖礦、暗云木馬3、CPU漏洞利用、黑鏈和外發(fā)攻擊等。

筆者發(fā)現(xiàn)：通過態(tài)勢平臺呈現(xiàn)的數(shù)據(jù)中心服務(wù)器若存在病毒問題則需要盡快處理，特別是云計算平臺的虛擬機(jī)，由于虛擬機(jī)和虛擬機(jī)之間缺乏東西向流量的防護(hù)，病毒向鄰近的虛擬機(jī)擴(kuò)散迅速；病毒查殺工作也需要整體推進(jìn)，只要還有一臺虛擬機(jī)未處理，會導(dǎo)致其他虛擬機(jī)反復(fù)中毒，進(jìn)而導(dǎo)致系統(tǒng)運行異常，甚至宕機(jī)。發(fā)現(xiàn)信息安全問題，越快處理越好。信息安全問題處理的順序應(yīng)根據(jù)重要性和優(yōu)先級，先服務(wù)器后普通終端的原則進(jìn)行。態(tài)勢感知基于安全大數(shù)據(jù)分析，對智慧圖書館安全事件進(jìn)行分析，在僵木蠕(即僵尸網(wǎng)絡(luò)、木馬、蠕蟲病毒)大規(guī)模爆發(fā)前進(jìn)行預(yù)警，可有效提升信息安全運維水平。

通過安全態(tài)勢感知平臺，提升智慧圖書館信息中心安全運營和安全運維效率，從而將更多精力投入到業(yè)務(wù)中并提升業(yè)務(wù)價值，實現(xiàn)IT價值轉(zhuǎn)型，將網(wǎng)絡(luò)安全態(tài)勢，包括攻擊、漏洞、失陷主機(jī)、安全事件、操作行為等信息，通過可視化的方式統(tǒng)一進(jìn)行展現(xiàn)。在智慧圖書館數(shù)據(jù)泄露、丟失前就提前防范，可有效地減少經(jīng)濟(jì)損失，使得安全威脅降到最低，信息安全的效益達(dá)到最高，有效地維護(hù)信息安全，構(gòu)建安全的智慧圖書館網(wǎng)絡(luò)環(huán)境。從網(wǎng)絡(luò)安全、信息安全、數(shù)據(jù)安全方面，在智慧圖書館內(nèi)部和外部打造一站式的“預(yù)防，檢測，響應(yīng)，加固”的四維安全服務(wù)，具備事前有效預(yù)警、事中及時處理、事后插補(bǔ)漏洞的有效的信息安全防范手段，真正做到“安全態(tài)勢可感知、安全威脅可預(yù)警、異常行為可監(jiān)控、安全價值可呈現(xiàn)”。

4 遵照國家信息安全相關(guān)法律法規(guī)而建設(shè)的信息安全體系

4.1 實名認(rèn)證

實名認(rèn)證可以實現(xiàn)主流接入方式的認(rèn)證、接入控制、計費、日志管理及對外統(tǒng)一接口等。圖書館內(nèi)網(wǎng)和外網(wǎng)的訪問均采用準(zhǔn)入準(zhǔn)出機(jī)制，對用戶上網(wǎng)信息進(jìn)行記錄，可在發(fā)生信息安全事件時進(jìn)行溯源查人。我校實名認(rèn)證系統(tǒng)現(xiàn)有注冊用戶4萬2 142人，有教師、學(xué)生、臨時用戶等類別。銳捷網(wǎng)絡(luò)SAM+實名認(rèn)證采用準(zhǔn)入準(zhǔn)出機(jī)制，記錄上網(wǎng)認(rèn)證信息，如用戶名、IP地址、上線時間、下線時間、在線時長等信息。圖書館有線和無線均采用Web認(rèn)證，用戶訪問外網(wǎng)時重新定向到認(rèn)證頁面完成實名認(rèn)證，記錄認(rèn)證上網(wǎng)日志，以便需要時輔助落地查人。

4.2 軟件正版化

通過搭建軟件正版化服務(wù)平臺(genuine platform)提供Windows系統(tǒng)及Office辦公軟件資源與服務(wù)，部署KMS服務(wù)器，使用激活客戶端即可將盜版激活為正版，這樣有效預(yù)防電腦病毒危害，降低IT維護(hù)成本，樹立知識產(chǎn)權(quán)保護(hù)形象，避免法律風(fēng)險，滿足各級用戶針對軟件資源管理、軟件學(xué)習(xí)與使用的不同需求。正版操作系統(tǒng)則通過打補(bǔ)丁方式提高系統(tǒng)的安全性，提升系統(tǒng)防護(hù)能力。微軟已經(jīng)停止Windows XP的補(bǔ)丁更新，圖書館的計算機(jī)應(yīng)避免使用Windows XP系統(tǒng)。2017年5月12爆發(fā)的WannaCry勒索病毒，我校圖書館有3臺使用了該操作系統(tǒng)的主機(jī)感染W(wǎng)annaCry勒索病毒[16]。軟件正版化涉及操作系統(tǒng)和辦公軟件，操作系統(tǒng)包括Windows 7/8/8.1/10，Office辦公軟件系列產(chǎn)品包括Office 2010/2013/2016、Office for mac 2011/2016等，涵蓋范圍包括全校辦公室、教室、實驗室和圖書館、宿舍等場所的所有計算機(jī)。我校支持通過VPN接入校園網(wǎng)完成個人電腦的正版化。目前，根據(jù)北京金智華教的校園軟件正版化服務(wù)平臺使用情況可知，正版化激活總記錄為6萬1 100條。

4.3 信息安全等級保護(hù)

圖書館信息系統(tǒng)很重要，其安全保障需要遵循《計算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則》(GB 17859—1999)、《信息安全技術(shù) 信息系統(tǒng)安全等級保護(hù)基本要求》(GB/T 22239—2008)等信息安全等級保護(hù)相關(guān)標(biāo)準(zhǔn)和規(guī)范。我校已完成包括圖書館管理系統(tǒng)在內(nèi)的19個信息系統(tǒng)的信息安全等級保護(hù)測評工作：定級、到公安機(jī)關(guān)備案、聘請等級保護(hù)測評機(jī)構(gòu)開展測評、整改、復(fù)測等。

5 為有效提升安全性而建設(shè)的安全內(nèi)容

5.1 反向代理

統(tǒng)一資源管理平臺(resources unified mmanagement platform，簡稱RUMP)，支持網(wǎng)站備案管理、一鍵斷網(wǎng)、僵尸網(wǎng)站管理、資源發(fā)布、安全防護(hù)等。反向代理(reverse proxy)統(tǒng)一資源訪問入口，關(guān)閉除資源統(tǒng)一管理平臺外的所有訪問，屏蔽系統(tǒng)的漏洞，隱藏服務(wù)器真實IP，減少內(nèi)外網(wǎng)對服務(wù)器的掃描和攻擊。不同物理位置的服務(wù)器集中發(fā)布，統(tǒng)一安全策略，對服務(wù)器狀態(tài)健康集中監(jiān)測，提升業(yè)務(wù)系統(tǒng)的安全性。反向代理工作原理如圖6所示。

圖6 反向代理工作示意圖

在校內(nèi)或校外通過域名訪問圖書館資源均需要經(jīng)過反向代理。目前上線的阿姆瑞特統(tǒng)一資源管理平臺有網(wǎng)站資源220個，通過該平臺可以在手機(jī)端實現(xiàn)一鍵斷網(wǎng)，可以快速關(guān)停網(wǎng)站。

5.2 站群管理系統(tǒng)

傳統(tǒng)的一臺服務(wù)器一個網(wǎng)站應(yīng)用，采用不同的操作系統(tǒng)、數(shù)據(jù)庫、網(wǎng)站開發(fā)語言，管理和運維不方便，且各個系統(tǒng)存在不同的漏洞，尤其是個人開發(fā)的網(wǎng)站，網(wǎng)頁容易被掛馬、添加暗鏈、篡改等。站群管理能夠集中運維、統(tǒng)一管理、節(jié)約成本、提高網(wǎng)站安全水平等。站群(Website group)管理系統(tǒng)采用“主站+子站”模式，能夠?qū)⒏鱾€網(wǎng)站遷移到站群管理系統(tǒng)中統(tǒng)一管理，可以再自行添加和修改欄目。站群發(fā)文具有審核機(jī)制和敏感關(guān)鍵字告警機(jī)制，既提高了安全性，也節(jié)約了服務(wù)器資源。站群管理系統(tǒng)一般要求通過信息系統(tǒng)安全等級保護(hù)3級。目前，在用的西安博達(dá)站群管理系統(tǒng)已完成76個網(wǎng)站遷移工作，完成2個定制設(shè)計網(wǎng)站。

智慧圖書館信息安全體系建設(shè)采用立體縱深防御思維，從多維度展開信息安全協(xié)同防護(hù)。此外，智慧圖書館還建設(shè)有日志審計系統(tǒng)用于集中收集和保存服務(wù)器、網(wǎng)絡(luò)設(shè)備等的syslog日志；建設(shè)有網(wǎng)頁防篡改系統(tǒng)，通過設(shè)定關(guān)鍵詞庫周期性爬取網(wǎng)頁，通過比對，當(dāng)發(fā)現(xiàn)被篡改為博彩、暴力、政治敏感網(wǎng)頁等時進(jìn)行告警；建設(shè)有無人值守終端監(jiān)控與告警系統(tǒng)，可對路由器、交換機(jī)、服務(wù)器、虛擬機(jī)、UPS主機(jī)、空調(diào)、溫濕度監(jiān)控、IP攝像頭等采用輪詢(polling)機(jī)制，發(fā)現(xiàn)設(shè)備工作異常時通過短信網(wǎng)關(guān)進(jìn)行告警，以便管理人員及時發(fā)現(xiàn)設(shè)備異常情況；建設(shè)有行為感知系統(tǒng)，可以對上網(wǎng)行為進(jìn)行大數(shù)據(jù)分析，對熱點事件、突發(fā)事件進(jìn)行感知，提前進(jìn)行預(yù)警。

6 建立健全智慧圖書館信息安全管理體系

智慧圖書館信息安全工作具有專業(yè)性、長期性、周期性。

1)高校圖書館網(wǎng)絡(luò)信息中心是信息安全等級保護(hù)工作的責(zé)任部門，需要建立健全信息安全管理體系，加強(qiáng)制度建設(shè)，從機(jī)構(gòu)設(shè)置、管理、技術(shù)、人員配備、機(jī)制、體制等方面進(jìn)行細(xì)化落實，建立硬件層面的信息安全立體防護(hù)體系。智慧圖書館信息安全管理組織架構(gòu)如圖7所示。

圖7 智慧圖書館信息安全管理組織架構(gòu)圖

2)“三分技術(shù)，七分管理”，建立管理層面的信息安全管理體系，相關(guān)工作納入年終考核。建立信息安全事件處置、匯報、通報機(jī)制并流程化。形成突發(fā)信息安全事件預(yù)警和處置預(yù)案，出現(xiàn)信息安全事件時，根據(jù)相關(guān)規(guī)定進(jìn)行處置和上報。

3)加強(qiáng)對網(wǎng)站的統(tǒng)一管理，定期掃描網(wǎng)站，并將掃描結(jié)果通報給相關(guān)管理人員進(jìn)行整改，不能達(dá)到要求的給予關(guān)停。通過加強(qiáng)管理來強(qiáng)化網(wǎng)絡(luò)信息安全。

4)定期組織信息安全演練，查缺補(bǔ)漏，從技術(shù)和管理上不斷進(jìn)行完善。圖書館要以信息安全管理為抓手，構(gòu)建智慧圖書館信息安全環(huán)境。加大信息安全管理體系的建立不是一勞永逸，需要不斷學(xué)習(xí)、提高，掌握先進(jìn)的技術(shù)，需要定期和兄弟院校的同行進(jìn)行交流學(xué)習(xí)。

5)提升信息安全素養(yǎng)。不打開來歷不明的郵件，不運行未經(jīng)驗證的程序，定期更換密碼，杜絕使用弱口令，使用殺毒軟件和防火墻并及時更新病毒庫，及時對操作系統(tǒng)打補(bǔ)丁等。信息安全具有專業(yè)性，可以通過參加CISP等培訓(xùn)和考試，持證上崗，組建專業(yè)化信息安全隊伍。智慧圖書館信息安全建設(shè)體系框架如圖8所示。

圖8 智慧圖書館信息安全建設(shè)體系框架

世界各國有關(guān)信息安全管理都制定了相應(yīng)標(biāo)準(zhǔn)，主要有ITIL標(biāo)準(zhǔn)、CC標(biāo)準(zhǔn)、COBIT標(biāo)準(zhǔn)、ISO/IEC27000系列標(biāo)準(zhǔn)、BS-7799標(biāo)準(zhǔn)、ISO/IEC13335標(biāo)準(zhǔn)等，我國也出臺了一系列適合我國信息安全現(xiàn)狀的國家標(biāo)準(zhǔn)。國際上廣泛使用的ISO/IEC27000:2013標(biāo)準(zhǔn)采用PDCA循環(huán)的基本模式：P(Plan，計劃)、D(Do，執(zhí)行)、C(Check，檢查)、A(Act，糾正)[16]。智慧圖書館信息安全管理體系(information security management system，簡稱ISMS)的PDCA模式圖如圖9所示。信息安全管理體系的建立和完善也是一個螺旋式上升的過程。

圖9 智慧圖書館信息安全管理體系的PDCA模式圖

7 結(jié)束語

本文從信息安全技術(shù)和信息安全管理體系建設(shè)2方面對高校智慧圖書館信息安全體系構(gòu)建進(jìn)行闡述：分別從傳統(tǒng)的信息安全防護(hù)、基于安全大數(shù)據(jù)分析的態(tài)勢感知體系、遵照國家信息安全相關(guān)法律法規(guī)的建設(shè)和開展、有效提升安全性等方面展開信息安全體系構(gòu)建，以我校智慧圖書館為例，闡釋信息安全體系設(shè)計與建設(shè)。通過網(wǎng)絡(luò)安全大數(shù)據(jù)挖掘分析，態(tài)勢感知平臺的全天候全方位感知智慧圖書館網(wǎng)絡(luò)安全態(tài)勢，可提升攻擊防御能力，提升發(fā)現(xiàn)漏洞、分析風(fēng)險、解決問題的能力，提升網(wǎng)絡(luò)與信息安全監(jiān)測和預(yù)警能力，準(zhǔn)確把握網(wǎng)絡(luò)安全風(fēng)險發(fā)生的規(guī)律、動向、趨勢。實踐表明，構(gòu)建的信息安全體系，有效提升了智慧圖書館信息安全效益，該方法對全國同類高校智慧圖書館信息安全體系構(gòu)建具有參考借鑒意義。