高校校園網(wǎng)安全現(xiàn)狀及優(yōu)化探討

◆王巖紅

（廣東外語外貿(mào)大學(xué)教育技術(shù)中心 廣東 510420）

從 1994年中國教育和科研計(jì)算機(jī)網(wǎng) CERNET工程啟動開始，高校的校園網(wǎng)經(jīng)過了二十多年的飛速發(fā)展，在一定程度上代表了國內(nèi)互聯(lián)網(wǎng)發(fā)展的現(xiàn)狀。校園網(wǎng)經(jīng)歷了從管理型網(wǎng)絡(luò)到運(yùn)營型網(wǎng)絡(luò)，再到服務(wù)型網(wǎng)絡(luò)的快速轉(zhuǎn)變。在轉(zhuǎn)變的過程中，對網(wǎng)絡(luò)管理部門在技術(shù)和管理上提出了新的要求和挑戰(zhàn)。隨著2017年6月《網(wǎng)絡(luò)安全法》的頒布實(shí)施，網(wǎng)絡(luò)安全提到了國家安全的高度。在新時期，承載著教學(xué)、科研、招生等各項(xiàng)工作的高?；ヂ?lián)網(wǎng)，也應(yīng)提升管理水平，改造網(wǎng)絡(luò)架構(gòu)，守護(hù)數(shù)據(jù)信息安全。

1 高校校園網(wǎng)的現(xiàn)狀及特點(diǎn)

1.1 校園網(wǎng)的網(wǎng)絡(luò)環(huán)境區(qū)劃及特點(diǎn)

在高校的校園網(wǎng)發(fā)展歷程中，逐漸形成了相對穩(wěn)定的校內(nèi)網(wǎng)絡(luò)環(huán)境區(qū)劃。一般劃分成了如下7個功能區(qū)域：

（1）網(wǎng)絡(luò)業(yè)務(wù)核心區(qū)。包括對外業(yè)務(wù)發(fā)布區(qū)和對內(nèi)業(yè)務(wù)發(fā)布區(qū)。側(cè)重于對該區(qū)域的安全防護(hù)。

（2）專用網(wǎng)。包括財(cái)務(wù)專網(wǎng)、一卡通專網(wǎng)、安防監(jiān)控專網(wǎng)等專用網(wǎng)絡(luò)。同一個校區(qū)內(nèi)通過光纖將專網(wǎng)業(yè)務(wù)網(wǎng)絡(luò)設(shè)備直連。不同校區(qū)之間，在租用的運(yùn)營商裸光纖鏈路上使用波分設(shè)備實(shí)現(xiàn)專網(wǎng)連接。

（3）教學(xué)區(qū)。包括普通上課教室和電腦密集的實(shí)驗(yàn)室環(huán)境，要求網(wǎng)絡(luò)質(zhì)量可靠，一般都采用有線網(wǎng)絡(luò)。

（4）辦公區(qū)。包括各行政單位和院系單位的辦公室區(qū)域，要求有線和無線網(wǎng)絡(luò)相結(jié)合。

（5）公共區(qū)域。包括大禮堂，圖書館，食堂，體育場等人員密集的公共區(qū)域，主要注重?zé)o線網(wǎng)絡(luò)的質(zhì)量，滿足手機(jī)上網(wǎng)的需求。

（6）學(xué)生宿舍區(qū)。主要特點(diǎn)是人員密集，要求有線和無線網(wǎng)絡(luò)相結(jié)合，由于多數(shù)學(xué)校都是針對校園網(wǎng)用戶付費(fèi)使用網(wǎng)絡(luò)，故側(cè)重防代理功能。

（7）家屬區(qū)。教職工的住宅區(qū)域，多數(shù)學(xué)校需要付費(fèi)使用網(wǎng)絡(luò)，要求在家中可使用路由器自建 WIFI，有線和無線網(wǎng)絡(luò)相結(jié)合，滿足多終端的上網(wǎng)需求。

1.2 校區(qū)擴(kuò)張帶來的多校區(qū)管理挑戰(zhàn)

高校為了適應(yīng)國家發(fā)展和人民群眾對高等教育的需求，在不斷擴(kuò)大招生的情況下，也在不斷建設(shè)新的校區(qū)，以突破原有校區(qū)地理位置的制約，向著更全面的學(xué)科建設(shè)和人才培養(yǎng)方向發(fā)展。同時，相應(yīng)的校園網(wǎng)建設(shè)也需要擴(kuò)張到新的校區(qū)。多校區(qū)的校園網(wǎng)管理也給網(wǎng)絡(luò)管理部門帶來了新的挑戰(zhàn)。

不同校區(qū)之間的網(wǎng)絡(luò)互聯(lián)一般采用租用運(yùn)營商的裸光纖來實(shí)現(xiàn)。根據(jù)實(shí)際情況，不同校區(qū)可建立統(tǒng)一的互聯(lián)網(wǎng)出口，優(yōu)點(diǎn)是方便統(tǒng)一的出口管理，缺點(diǎn)是分校區(qū)的外網(wǎng)訪問流量要繞回主校區(qū)，如果校區(qū)間租用的裸光纖鏈路一旦發(fā)生故障，則分校區(qū)的用戶將遭遇不能訪問外網(wǎng)的問題；或采用不同校區(qū)分別連接互聯(lián)網(wǎng)出口，優(yōu)點(diǎn)是即使校區(qū)間的鏈路發(fā)生故障，也不會影響各校區(qū)用戶上網(wǎng)的需求，缺點(diǎn)是策略管理復(fù)雜，不易統(tǒng)籌規(guī)劃。

1.3 網(wǎng)絡(luò)業(yè)務(wù)龐雜，涉及部門眾多，帶來管理方面的挑戰(zhàn)

隨著互聯(lián)網(wǎng)產(chǎn)業(yè)的發(fā)展，高校中越來越多的業(yè)務(wù)轉(zhuǎn)為網(wǎng)上業(yè)務(wù)，如：門戶系統(tǒng)、辦公系統(tǒng)、教務(wù)系統(tǒng)、人事系統(tǒng)、薪酬系統(tǒng)、科研系統(tǒng)等等，而且各個業(yè)務(wù)系統(tǒng)之間多存在數(shù)據(jù)交互和共享，存在著不斷的功能升級和業(yè)務(wù)合并。

教學(xué)科研需求下的各種網(wǎng)絡(luò)發(fā)布空間和網(wǎng)絡(luò)實(shí)驗(yàn)空間的需求旺盛。很多老師申請科研項(xiàng)目的展示和驗(yàn)收都依賴于服務(wù)器，還有一些老師自己研究或帶領(lǐng)學(xué)生團(tuán)隊(duì)研發(fā)一些應(yīng)用系統(tǒng)，也依賴于服務(wù)器。導(dǎo)致托管到網(wǎng)絡(luò)部門的服務(wù)器越來越多，且這些服務(wù)器使用者多“輕維護(hù)，重實(shí)用”，服務(wù)器的安全性完全無法得到保證，也帶來了越來越復(fù)雜的管理問題。原有的那種“買臺服務(wù)器跑一個系統(tǒng)”的模式，已經(jīng)不能滿足現(xiàn)階段的網(wǎng)絡(luò)安全管理要求。

1.4 有線和無線一體化管理

校園網(wǎng)在發(fā)展的過程中，已經(jīng)從有線網(wǎng)絡(luò)占主體，發(fā)展到有線和無線網(wǎng)絡(luò)并存，再到無線網(wǎng)絡(luò)占主體的局面。根據(jù)廣外的實(shí)際情況，經(jīng)統(tǒng)計(jì)，目前校園網(wǎng)內(nèi)通過無線上網(wǎng)的人數(shù)已經(jīng)占到了全校上網(wǎng)總?cè)藬?shù)的70%左右。校園網(wǎng)用戶的網(wǎng)絡(luò)使用習(xí)慣已經(jīng)發(fā)生了巨大的變化，無線網(wǎng)成了大多數(shù)校園網(wǎng)用戶的主要上網(wǎng)方式。有線網(wǎng)絡(luò)則主要是提供給辦公教學(xué)區(qū)域和學(xué)生宿舍的臺式電腦使用，其他場景下多數(shù)用戶都是通過各種設(shè)備使用無線網(wǎng)絡(luò)。所以，提供優(yōu)質(zhì)可靠的無線網(wǎng)絡(luò)成了工作的重點(diǎn)。

在多數(shù)高校都進(jìn)行網(wǎng)絡(luò)收費(fèi)和要求實(shí)名上網(wǎng)的背景下，在需要突破原有校園網(wǎng)的IP和VLAN規(guī)劃的情況下，有線和無線的一體化認(rèn)證管理，也對我們的管理水平提出了挑戰(zhàn)。

1.5 使用群體龐大，管理模式相對松散

校園網(wǎng)的使用群體非常的龐大，師生人數(shù)規(guī)模通常在幾萬人。面對數(shù)量龐大，并具有極高自主性的群體，高校的網(wǎng)絡(luò)管理部門無法像小型企業(yè)那樣，強(qiáng)制員工對電腦進(jìn)行一些安全方面的防護(hù)，只能實(shí)行相對松散的管理模式。除了部分IT愛好者和計(jì)算機(jī)專業(yè)相關(guān)的理工科師生外，大多數(shù)師生的安全意識淡薄，不具備網(wǎng)絡(luò)安全常識，不知道要及時更新操作系統(tǒng)補(bǔ)丁，不安裝殺毒軟件，U盤到處插拔使用等等不安全的操作，導(dǎo)致了校園網(wǎng)內(nèi)的病毒易傳播，一旦中招，影響范圍也廣。

2 新時期對高校校園網(wǎng)提出的挑戰(zhàn)

2.1 網(wǎng)絡(luò)安全上升到國家層面

習(xí)近平總書記在中央網(wǎng)信領(lǐng)導(dǎo)小組第一次會議上強(qiáng)調(diào)：“網(wǎng)絡(luò)安全與信息化是事關(guān)國家安全和國家發(fā)展、事關(guān)廣大人民群眾工作生活的重大戰(zhàn)略問題，沒有網(wǎng)絡(luò)安全就沒有國家安全，網(wǎng)絡(luò)安全和信息化是一體之兩翼、驅(qū)動之雙輪，必須統(tǒng)一謀劃、統(tǒng)一部署、統(tǒng)一推進(jìn)、統(tǒng)一實(shí)施?！?/p>

2016年11月7日，全國人民代表大會常務(wù)委員會發(fā)布了《中華人民共和國網(wǎng)絡(luò)安全法》，并自2017年6月1日起施行。該法是為了保障網(wǎng)絡(luò)安全，維護(hù)網(wǎng)絡(luò)空間主權(quán)和國家安全、社會公共利益，保護(hù)公民、法人和其他組織的合法權(quán)益，促進(jìn)經(jīng)濟(jì)社會信息化健康發(fā)展，而制定的法律。

2.2 等級保護(hù)制度的安全要求

等級保護(hù)制度（簡稱“等保”）是《中華人民共和國網(wǎng)絡(luò)安全法》所規(guī)定的，國家網(wǎng)絡(luò)安全保障工作的基本制度、基本策略、基本方法。網(wǎng)絡(luò)安全等級保護(hù)是指對國家重要信息、法人和其他組織及公民的專有信息以及公開信息和存儲、傳輸、處理這些信息的信息系統(tǒng)分等級實(shí)行安全保護(hù)，對信息系統(tǒng)中使用的信息安全產(chǎn)品實(shí)行等級管理，對信息系統(tǒng)中發(fā)生的信息安全事件分等級響應(yīng)、處置。開展網(wǎng)絡(luò)安全等級保護(hù)工作是保護(hù)信息化發(fā)展、維護(hù)國家信息安全的根本保障，是信息安全保障工作中國家意志的體現(xiàn)[1]。

目前，等級保護(hù)制度已經(jīng)從等保1.0時代進(jìn)入了等保2.0時代。等保2.0重新對定級對象進(jìn)行調(diào)整，定級對象從信息系統(tǒng)進(jìn)一步擴(kuò)展到基礎(chǔ)信息網(wǎng)絡(luò)、信息系統(tǒng)和其他信息系統(tǒng)，其中信息系統(tǒng)再細(xì)分為工業(yè)控制系統(tǒng)、物聯(lián)網(wǎng)、大數(shù)據(jù)、移動互聯(lián)以及云計(jì)算平臺。等保2.0不但進(jìn)一步擴(kuò)大了等級保護(hù)制度所涵蓋的范圍，而且還制定了相應(yīng)的安全要求、實(shí)施和測評指南，為等保制度的實(shí)施提供了詳細(xì)的依據(jù)[2]。

高校校園網(wǎng)的建設(shè)也要嚴(yán)格遵守《中華人民共和國網(wǎng)絡(luò)安全法》所規(guī)定的“等級保護(hù)制度”。校園網(wǎng)在高速發(fā)展時期，往往“重建設(shè)、輕安全”，在國家法規(guī)發(fā)布之后，校園網(wǎng)要以此為契機(jī)，重新調(diào)整網(wǎng)絡(luò)結(jié)構(gòu)，重視網(wǎng)絡(luò)安全防護(hù)方面的建設(shè)，來保障校園網(wǎng)的安全。

2.3 目前面臨的安全威脅

現(xiàn)階段，網(wǎng)絡(luò)犯罪分子不斷翻新攻擊手段，互聯(lián)網(wǎng)黑色產(chǎn)業(yè)鏈滲透更多供應(yīng)鏈，網(wǎng)絡(luò)威脅行為中單純僅造成破壞性的炫技式行為逐漸減少，而以獲得經(jīng)濟(jì)利益和政治訴求為目的滲透破壞行為快速增加。目前，校園網(wǎng)內(nèi)存在的主要的安全威脅有網(wǎng)站篡改、數(shù)據(jù)竊取、木馬病毒、惡意挖礦、勒索病毒、巨量DDoS攻擊威脅等。特別是勒索病毒，主要以郵件、程序木馬、網(wǎng)頁掛馬的形式進(jìn)行傳播。這種病毒利用各種加密算法對文件進(jìn)行加密，被感染者一般無法解密，必須拿到解密的私鑰才有可能破解。該病毒性質(zhì)惡劣、危害極大，一旦感染將給用戶帶來無法估量的損失。

隨著大數(shù)據(jù)和人工智能的逐步應(yīng)用，數(shù)據(jù)資產(chǎn)已經(jīng)成為單位和個人的重要資產(chǎn)。在目前高校的各類信息數(shù)據(jù)就是學(xué)校最重要的數(shù)據(jù)資產(chǎn)。如何有效保護(hù)這些數(shù)據(jù)的安全，成為我們工作中的重中之重。

3 新形勢下的網(wǎng)絡(luò)安全對策

3.1 網(wǎng)絡(luò)結(jié)構(gòu)優(yōu)化——扁平化

將高校傳統(tǒng)的基于三層（接入-匯聚-核心）的傳統(tǒng)網(wǎng)絡(luò)架構(gòu)向扁平化架構(gòu)轉(zhuǎn)變。扁平化的網(wǎng)絡(luò)架構(gòu)，不是要求物理連接層次上的必然減少，而是要從網(wǎng)絡(luò)中設(shè)備所承擔(dān)的功能上區(qū)分，將網(wǎng)絡(luò)邏輯劃分為業(yè)務(wù)控制層和帶寬接入層。帶寬接入層由匯聚和接入設(shè)備構(gòu)成，僅提供基本的用戶高帶寬接入功能和相互間VLAN的二層隔離功能；業(yè)務(wù)控制層則由核心層設(shè)備構(gòu)成，提供網(wǎng)絡(luò)中的用戶控制、業(yè)務(wù)功能實(shí)現(xiàn)等復(fù)雜功能。扁平化網(wǎng)絡(luò)結(jié)構(gòu)模式，其優(yōu)勢是實(shí)現(xiàn)精細(xì)化管理，高性能網(wǎng)絡(luò)運(yùn)行和便捷的網(wǎng)絡(luò)管理。網(wǎng)絡(luò)結(jié)構(gòu)扁平化使得校內(nèi)的 IP和實(shí)名認(rèn)證管理，以及有線無線一體化管理變得更加簡單和精確[3]，也避免了IP地址的浪費(fèi)，方便了IPv6的部署。

3.2 收縮出口，強(qiáng)化邊界防護(hù)

校內(nèi)的各項(xiàng)業(yè)務(wù)基本分為對內(nèi)和對外兩個部分。對內(nèi)業(yè)務(wù)主要是對校園網(wǎng)內(nèi)的用戶提供服務(wù)，例如：DHCP服務(wù)，DNS服務(wù)，教務(wù)系統(tǒng)，人事系統(tǒng)，學(xué)工系統(tǒng)等等。此類業(yè)務(wù)僅需對校園內(nèi)網(wǎng)用戶提供服務(wù)，在出口防火墻上應(yīng)設(shè)置對外網(wǎng)用戶禁止訪問。對外部分業(yè)務(wù)主要是指學(xué)校需要對校園網(wǎng)之外的網(wǎng)絡(luò)用戶提供的服務(wù)，例如：網(wǎng)站訪問，郵件系統(tǒng)，招聘系統(tǒng)等等。此類業(yè)務(wù)需要經(jīng)過嚴(yán)格的系統(tǒng)漏洞掃描，確保其不存在中高危漏洞，才能在防火墻上開放對外訪問的相應(yīng)端口。一般的黑客攻擊都來自外網(wǎng)，故對外訪問的權(quán)限設(shè)置要特別慎重，出口防火墻上的策略應(yīng)遵循最小化原則。

另外，有許多安全設(shè)備或服務(wù)可以給這些對外服務(wù)提供保障，例如 IPS、WAF、VPN、漏洞掃描設(shè)備，堡壘機(jī)，審計(jì)系統(tǒng)等，升級網(wǎng)絡(luò)安全設(shè)備，并針對特定的服務(wù)配置相應(yīng)的策略，安全設(shè)備便可以為我們的信息安全保駕護(hù)航。

3.3 整合各項(xiàng)業(yè)務(wù)平臺，提高整體安全性

針對各種需求而產(chǎn)生的各類網(wǎng)站和信息系統(tǒng)，需要進(jìn)行業(yè)務(wù)梳理，對業(yè)務(wù)相近的系統(tǒng)進(jìn)行業(yè)務(wù)和數(shù)據(jù)整合，減少零散的業(yè)務(wù)系統(tǒng)，減少安全風(fēng)險點(diǎn)，提高整體安全性。

對于校園網(wǎng)內(nèi)各二級學(xué)院和行政單位自建的各類網(wǎng)站，安全性沒有任何保障，SQL注入，掛馬，跨站攻擊，惡意篡改等安全隱患層出不窮，管理的難度非常大。可以將這些網(wǎng)站都統(tǒng)一整合到網(wǎng)站群平臺，網(wǎng)站的安全性由網(wǎng)站群大平臺來保障，各部門就可以專注于內(nèi)容的充實(shí)，而無須顧及安全方面的問題。

對于各種業(yè)務(wù)系統(tǒng)，各類數(shù)據(jù)都進(jìn)行單獨(dú)采集，其安全性和準(zhǔn)確性都無法得到保障?？梢越?shù)據(jù)共享平臺，使得學(xué)校的各類基礎(chǔ)數(shù)據(jù)統(tǒng)一采集，統(tǒng)一維護(hù)，統(tǒng)一格式，各業(yè)務(wù)系統(tǒng)需要的時候只需調(diào)用數(shù)據(jù)共享平臺的數(shù)據(jù)即可，這樣對數(shù)據(jù)的維護(hù)管理也更加方便。

對于教學(xué)科研需求下的各種網(wǎng)絡(luò)發(fā)布空間和實(shí)驗(yàn)空間的需求，可以建立私有云平臺，避免了各使用單位和個人單獨(dú)購買服務(wù)器而造成的財(cái)政方面的浪費(fèi)和管理成本的提高。建立私有云平臺，可以讓使用者按需申請，調(diào)配相應(yīng)的云平臺資源供其使用。便于管理的同時，也方便統(tǒng)一部署安全防護(hù)措施。

3.4 建立網(wǎng)絡(luò)安全與信息化領(lǐng)導(dǎo)小組，強(qiáng)化內(nèi)部管理

信息安全工作需要管理和建設(shè)并重，重建設(shè)而輕管理是無法做好信息安全工作的。校內(nèi)的部門及涉及的業(yè)務(wù)系統(tǒng)繁多，迫切需要建立一個網(wǎng)絡(luò)安全與信息化領(lǐng)導(dǎo)小組，來統(tǒng)籌校內(nèi)的信息化建設(shè)和管理工作[4]。該職能部門的主要職責(zé)如下：

（1）制度建設(shè)。建立網(wǎng)絡(luò)安全管理制度和業(yè)務(wù)流程管理制度，對現(xiàn)有的各項(xiàng)制度進(jìn)行整理；

（2）梳理校內(nèi)現(xiàn)存的各種業(yè)務(wù)系統(tǒng)，實(shí)行備案制度，明確權(quán)責(zé)，明確各業(yè)務(wù)系統(tǒng)負(fù)責(zé)人，當(dāng)有人員變更的情況下，備案信息也應(yīng)及時更新；

（3）對于那些已無內(nèi)容更新，無人管理的僵尸系統(tǒng)和服務(wù)器，要堅(jiān)決關(guān)停；

（4）對新建的業(yè)務(wù)系統(tǒng)，在立項(xiàng)的初期，應(yīng)考慮到系統(tǒng)建成之后配套的等級保護(hù)的制度的實(shí)行，并經(jīng)過領(lǐng)導(dǎo)小組的審批；

（5）建立對外業(yè)務(wù)準(zhǔn)入規(guī)則，并定期對其進(jìn)行安全監(jiān)測。發(fā)現(xiàn)有問題的，應(yīng)通知相關(guān)單位及時整改。

3.5 定期在校內(nèi)舉辦網(wǎng)絡(luò)安全活動，提高師生的安全意識

現(xiàn)在，高校師生的學(xué)習(xí)和生活都離不開網(wǎng)絡(luò)。但部分師生的網(wǎng)絡(luò)安全意識薄弱，計(jì)算機(jī)的使用技能不高。在校內(nèi)有必要定期舉辦網(wǎng)絡(luò)安全的宣傳及培訓(xùn)活動，提高師生的安全意識和實(shí)際防范技能。主要培訓(xùn)內(nèi)容有：（1）操作系統(tǒng)需要實(shí)時更新系統(tǒng)補(bǔ)丁。對于過于老舊，Windows已不提供技術(shù)支持的操作系統(tǒng)版本，如Windows XP、Windows Vista，應(yīng)升級操作系統(tǒng)到較新的版本；（2）電腦應(yīng)安裝殺毒軟件；（3）不要隨意打開不明來歷的郵件附件，不要隨意打開在互聯(lián)網(wǎng)上下載一些資源；（4）U盤在插入電腦前，確保電腦的殺毒軟件開啟，并已更新到最新版本的病毒庫；（5）要注意密碼安全，不能一個密碼走天下；（6）個人的信息不能隨意留在互聯(lián)網(wǎng)上，不要貪圖小利，要注意保護(hù)個人隱私數(shù)據(jù)。

4 結(jié)束語

在新時代的網(wǎng)絡(luò)安全背景下，數(shù)據(jù)已經(jīng)成為單位和個人的重要資產(chǎn)。如何保護(hù)數(shù)據(jù)的安全是校園網(wǎng)安全管理的重要工作。圍繞著數(shù)據(jù)安全，大平臺業(yè)務(wù)整合已經(jīng)成為大勢所趨，進(jìn)一步收縮校園網(wǎng)的邊界管理，建立網(wǎng)絡(luò)安全與信息化領(lǐng)導(dǎo)小組，加強(qiáng)對信息資產(chǎn)的管理，建立清晰明了的業(yè)務(wù)臺賬，并在校內(nèi)加強(qiáng)網(wǎng)絡(luò)安全知識宣傳，在網(wǎng)絡(luò)安全工作中做到“管建宣并重”，才能切實(shí)維護(hù)校園網(wǎng)的安全。高校也要在實(shí)踐中，加快人才培養(yǎng)，建立一支與互聯(lián)網(wǎng)發(fā)展速度相適應(yīng)的網(wǎng)絡(luò)安全管理專業(yè)隊(duì)伍，注重人才培養(yǎng)，才可以確保校園網(wǎng)的整體安全穩(wěn)定運(yùn)行。