職業(yè)院校信息安全保障體系構(gòu)建研究

張洪文　韋修圣

摘? 要 當(dāng)前，信息化在教育領(lǐng)域的滲透不斷加深，建立一套完整嚴(yán)密的信息安全保障體系對(duì)職業(yè)院校信息化來說至關(guān)重要。為解決職業(yè)院校信息化進(jìn)程中日益凸顯的信息安全問題，分析校園信息安全保障體系的構(gòu)建原則，并從物理安全、網(wǎng)絡(luò)安全、系統(tǒng)安全、應(yīng)用安全、數(shù)據(jù)庫安全等五個(gè)方面提出職業(yè)院校信息安全保障體系的構(gòu)建策略，為職業(yè)院校信息化建設(shè)提供參考和借鑒。

關(guān)鍵詞 平安校園;職業(yè)院校;信息安全保障體系;信息系統(tǒng)

中圖分類號(hào)：TP309? ? 文獻(xiàn)標(biāo)識(shí)碼：B

文章編號(hào)：1671-489X（2020）16-0142-03

1 前言

在平安校園環(huán)境下，信息化的學(xué)習(xí)生活、教學(xué)辦公和科研管理都離不開信息系統(tǒng)穩(wěn)定可靠的運(yùn)行，信息安全是信息化校園提供穩(wěn)定服務(wù)和可持續(xù)發(fā)展的基礎(chǔ)和前提。目前的國內(nèi)職業(yè)院校信息化建設(shè)，安全意識(shí)注入不夠，缺乏標(biāo)準(zhǔn)體系的規(guī)范指導(dǎo)，設(shè)計(jì)與構(gòu)建頗顯隨意，信息系統(tǒng)防護(hù)薄弱，存在不同程度的隱患。在信息化高速發(fā)展的大背景下，為職業(yè)院校信息化系統(tǒng)設(shè)計(jì)和構(gòu)建標(biāo)準(zhǔn)的信息安全保障體系，能有效增強(qiáng)信息系統(tǒng)的穩(wěn)定性、可靠性和安全性，為職業(yè)院校信息系統(tǒng)的運(yùn)作保駕護(hù)航，大幅提升信息化建設(shè)的效率。

2 構(gòu)建原則

風(fēng)險(xiǎn)、投入與安全效果相平衡的原則? 安全具有相對(duì)性，任何系統(tǒng)都不是絕對(duì)安全的，其設(shè)計(jì)應(yīng)根據(jù)潛在的風(fēng)險(xiǎn)以及實(shí)際的安全需求，在成本投入和安全效果之間找到一個(gè)合適的平衡點(diǎn)，避免高成本低效益或低成本低效益，即不能為了追求高安全性而投入過大，或因過度控制成本而導(dǎo)致安全性不夠。

整體性原則? 信息安全體系的設(shè)計(jì)應(yīng)采用系統(tǒng)工程的觀點(diǎn)和方法，綜合運(yùn)用多種技術(shù)手段和保障措施，以保證整個(gè)防御系統(tǒng)的完整性。

木桶原則? 系統(tǒng)的整體安全程度取決于最弱項(xiàng)的安全性，所以系統(tǒng)的安全設(shè)計(jì)不能顧此失彼。首先應(yīng)全盤分析可能遇到的風(fēng)險(xiǎn)與威脅，然后對(duì)系統(tǒng)進(jìn)行全面、均衡的防護(hù)設(shè)計(jì)，以提高整個(gè)系統(tǒng)安全最低點(diǎn)的安全性能。

多重保護(hù)原則? 在層出不窮的攻擊環(huán)境下，任何單一的保護(hù)都可能被攻破。設(shè)計(jì)一個(gè)多重保護(hù)體系，各層優(yōu)勢(shì)互補(bǔ)，當(dāng)其中一層被攻破時(shí)，其他保護(hù)層還能繼續(xù)保障系統(tǒng)的安全，系統(tǒng)安全性可成倍提高[1]。

動(dòng)態(tài)靈活原則? 信息安全并非一勞永逸，隨著時(shí)間的推移和環(huán)境的改變，很多相對(duì)安全的體系會(huì)變得越來越不安全[2]。因此，安全體系的建設(shè)與維護(hù)是長期化的，體系的設(shè)計(jì)應(yīng)具有很好的適應(yīng)性、可變性或可擴(kuò)充性。

主動(dòng)防御原則? 系統(tǒng)安全一旦出現(xiàn)問題，所造成的損失往往是不可挽回的，所以不要等到遭破壞或受攻擊后才亡羊補(bǔ)牢，而應(yīng)提前設(shè)計(jì)、提前部署、提前防備。

分區(qū)域按等級(jí)保護(hù)原則? 組成系統(tǒng)的各部分性質(zhì)和重要性都不一樣，其安全性和安全需求也不一定相同，所以在設(shè)計(jì)安全體系時(shí)應(yīng)劃分區(qū)域并分等級(jí)保護(hù)。

3 安全策略設(shè)計(jì)

物理安全

1）環(huán)境安全。要保障信息系統(tǒng)的安全，必須首先確保其實(shí)體運(yùn)行環(huán)境的安全。根據(jù)GB/T 9361—2011《計(jì)算機(jī)場(chǎng)地安全要求》，結(jié)合實(shí)際安全需求，在防盜竊、防水及防潮、防火、防雷、防靜電、防電磁干擾、防噪聲、防鼠害、樓板承重、內(nèi)部裝修等方面，按照B級(jí)標(biāo)準(zhǔn)設(shè)計(jì)中心機(jī)房，同時(shí)配備UPS供配電系統(tǒng)、門禁系統(tǒng)（含入侵報(bào)警功能）、火災(zāi)自動(dòng)報(bào)警系統(tǒng)、視頻監(jiān)控系統(tǒng)、空氣調(diào)節(jié)系統(tǒng)，全面確保系統(tǒng)實(shí)體的環(huán)境安全。

2）設(shè)備安全，主要包括服務(wù)器集群和網(wǎng)絡(luò)設(shè)備群的物理安全。要求：按區(qū)域規(guī)范化部署，同時(shí)打上標(biāo)簽并登記成冊(cè)，方便維護(hù)管理;配備數(shù)據(jù)庫服務(wù)器和核心交換機(jī)，實(shí)現(xiàn)負(fù)載均衡，同時(shí)確保數(shù)據(jù)及網(wǎng)絡(luò)服務(wù)不間斷;設(shè)備與窗戶保持防雨淋的安全距離。

3）媒體安全，包括存儲(chǔ)媒體安全和傳輸媒體安全。存儲(chǔ)媒體注意防塵、防霉、防損毀;關(guān)閉所有不用的USB接口，對(duì)于鼠標(biāo)、鍵盤和加密狗所需接口關(guān)閉其存儲(chǔ)設(shè)備的連接功能;建立存儲(chǔ)媒體管理系統(tǒng)，對(duì)所有存儲(chǔ)行為進(jìn)行審計(jì)，防止內(nèi)部存儲(chǔ)媒體的非授權(quán)使用。傳輸媒體采用屏蔽萬兆高速線纜、雙屏蔽萬兆雙絞線作為核心層的傳輸介質(zhì);采用光纖作為匯聚層和接入層的傳輸介質(zhì)，以提高信號(hào)傳輸?shù)目垢蓴_性、抗截獲性和保密性。

網(wǎng)絡(luò)安全

1）網(wǎng)絡(luò)邊界防護(hù)。在內(nèi)網(wǎng)連接外網(wǎng)的邊界點(diǎn)配置復(fù)合型防火墻，并根據(jù)需要對(duì)出入網(wǎng)絡(luò)的數(shù)據(jù)流設(shè)置相關(guān)安全策略，以保障內(nèi)網(wǎng)與外網(wǎng)數(shù)據(jù)交換的安全性和正確導(dǎo)向。策略配置應(yīng)遵循按需創(chuàng)建原則，先關(guān)閉所有策略或端口，然后按規(guī)程和需求有針對(duì)性地開通端口或創(chuàng)建策略;嚴(yán)格控制IP信任域，除用于遠(yuǎn)程登錄的IP外，其余劃分為非信任域并予以關(guān)閉，以避免非授權(quán)訪問;定期更換健壯的登錄密碼，開啟防火墻的認(rèn)證和審計(jì)功能，確保訪問的安全性和可溯源性;及時(shí)保存或備份配置文件，以備恢復(fù)時(shí)使用。

2）網(wǎng)絡(luò)訪問控制。通過NAT、VLAN、ACL技術(shù)，結(jié)合防火墻、入侵檢測(cè)系統(tǒng)、認(rèn)證系統(tǒng)、掃描系統(tǒng)，實(shí)現(xiàn)外網(wǎng)對(duì)內(nèi)網(wǎng)、內(nèi)網(wǎng)對(duì)外網(wǎng)、內(nèi)網(wǎng)端到端之間的訪問控制。在核心路由器上配置NAT端口映射，除映射必要的服務(wù)端口（有些服務(wù)的映射須更改默認(rèn)端口名，以提高訪問的安全性）外，關(guān)閉所有服務(wù)器線路不用的端口，把網(wǎng)絡(luò)按功能劃分成三個(gè)服務(wù)域，分別為核心服務(wù)域（對(duì)應(yīng)中心機(jī)房）、管理服務(wù)域（對(duì)應(yīng)教學(xué)樓、實(shí)訓(xùn)樓等）和用戶服務(wù)域（對(duì)應(yīng)食堂、宿舍等），對(duì)核心服務(wù)域?qū)嵭袊?yán)格的訪問控制策略;采用VLAN技術(shù)按服務(wù)域劃分不同的邏輯虛擬子網(wǎng)，各子網(wǎng)之間通過三層交換機(jī)或路由器連接，各服務(wù)域間通過防火墻保護(hù)，分別運(yùn)用ACL訪問控制列表技術(shù)實(shí)現(xiàn)不同的訪問控制;通過三層交換機(jī)或路由器實(shí)現(xiàn)不同的虛擬子網(wǎng)之間的訪問控制以及對(duì)外網(wǎng)的訪問控制，通過防火墻嚴(yán)格限制不同服務(wù)域之間的訪問控制。

3）網(wǎng)絡(luò)入侵與病毒防范。利用防火墻的入侵檢測(cè)與防御、病毒防護(hù)機(jī)制，實(shí)現(xiàn)整個(gè)網(wǎng)絡(luò)體系的入侵防范與病毒防范[3]。

4）組建SSL VPN虛擬專網(wǎng)。為實(shí)現(xiàn)遠(yuǎn)程（或移動(dòng)）Web辦公和Web服務(wù)，在服務(wù)域與用戶域之間建立虛擬專用網(wǎng)，并提供統(tǒng)一的認(rèn)證門戶（平臺(tái)），要求具有失效訪問機(jī)制和審計(jì)功能，以保證校園內(nèi)部數(shù)據(jù)在公網(wǎng)上的傳輸安全。

5）無線網(wǎng)絡(luò)的安全防護(hù)。通過核心服務(wù)域的無線AC控制器，實(shí)現(xiàn)整個(gè)校園無線網(wǎng)絡(luò)的Portal認(rèn)證、防火墻、入侵防護(hù)、策略控制、智能射頻等安全功能。

系統(tǒng)安全? 主要包括核心域操作系統(tǒng)、管理域操作系統(tǒng)和用戶域操作系統(tǒng)[4]，其安全性要求如表1所示。

1）核心域系統(tǒng)安全。安裝安全性高的正版系統(tǒng);對(duì)不同服務(wù)器操作系統(tǒng)分別配置與需求相適應(yīng)的、完整的安全策略;開啟并配置系統(tǒng)防火墻，先關(guān)閉所有服務(wù)端口，再按需開通服務(wù)，做到服務(wù)最小化，同時(shí)關(guān)閉所有默認(rèn)的共享;定期更新和設(shè)置強(qiáng)登錄密碼，設(shè)置屏幕保護(hù)且在恢復(fù)時(shí)自動(dòng)跳轉(zhuǎn)登錄界面，并利用服務(wù)器安全審計(jì)系統(tǒng)對(duì)登錄或退出登錄的行為進(jìn)行及時(shí)的安全審計(jì);關(guān)閉遠(yuǎn)程桌面連接或遠(yuǎn)程登錄功能，對(duì)于需開啟遠(yuǎn)程連接的服務(wù)器，須通過網(wǎng)絡(luò)設(shè)備或硬件防火墻設(shè)置嚴(yán)格的IP信任域;安裝正版殺毒軟件，開啟系統(tǒng)及殺毒軟件自動(dòng)同步更新機(jī)制，設(shè)置定期自動(dòng)查殺及自動(dòng)掃描修復(fù)漏洞功能;對(duì)重要文件或目錄，設(shè)置嚴(yán)格的讀寫權(quán)限或通過軟件上加密鎖;系統(tǒng)日志設(shè)置至少保留三個(gè)月;使用專門的服務(wù)器管理系統(tǒng)，對(duì)服務(wù)域進(jìn)行集中的安全維護(hù)，對(duì)DMZ服務(wù)區(qū)設(shè)置自動(dòng)掃描及防御功能。

2）管理域系統(tǒng)安全。安裝原版或純凈版操作系統(tǒng);根據(jù)工作需求，配置完整及個(gè)性化的安全策略;開啟系統(tǒng)防火墻，關(guān)閉所有不用的服務(wù)端口，共享資源需設(shè)置嚴(yán)格的信任域;設(shè)置強(qiáng)登錄密碼，打開屏幕保護(hù)且在恢復(fù)時(shí)自動(dòng)跳轉(zhuǎn)到登錄界面，關(guān)閉匿名用戶訪問功能;安裝殺毒軟件并定期查殺，定期掃描和修復(fù)漏洞;含有重要數(shù)據(jù)的目錄，設(shè)置嚴(yán)格的讀寫權(quán)限。

3）用戶域系統(tǒng)安全。不安裝來歷不明的操作系統(tǒng)、Ghost版操作系統(tǒng)，系統(tǒng)安裝完成后應(yīng)立即安裝殺毒軟件并全面掃描;開啟系統(tǒng)防火墻;設(shè)置登錄密碼，打開屏幕保護(hù)且在恢復(fù)時(shí)自動(dòng)跳轉(zhuǎn)到登錄界面;安裝殺毒軟件并定期查殺，定期掃描和修復(fù)漏洞。

應(yīng)用安全

1）核心域應(yīng)用安全。通過防火墻、防病毒服務(wù)器、系統(tǒng)自身殺毒軟件實(shí)現(xiàn)多層病毒防范，重點(diǎn)是E-Mail服務(wù)器和網(wǎng)絡(luò)存儲(chǔ)服務(wù)器，因?yàn)檫@兩處是病毒的集散地。通過防火墻、VLAN、統(tǒng)一的身份認(rèn)證平臺(tái)、SSL VPN和ACL技術(shù)，嚴(yán)格控制外網(wǎng)域、管理域和用戶域（通過信息系統(tǒng)）對(duì)核心域應(yīng)用服務(wù)或資源的訪問，嚴(yán)格控制不同身份用戶的訪問權(quán)限，并通過服務(wù)器安全審計(jì)系統(tǒng)進(jìn)行定期及時(shí)的安全審計(jì)[5];定期更新或升級(jí)應(yīng)用服務(wù)軟件，定期掃描并修復(fù)安全漏洞。

2）管理域、用戶域應(yīng)用安全。通過防火墻、防病毒服務(wù)器、系統(tǒng)自身殺毒軟件實(shí)現(xiàn)應(yīng)用層的多重病毒防范;通過防火墻、VLAN、ACL技術(shù)，嚴(yán)格控制外網(wǎng)域及用戶域?qū)芾碛?、外網(wǎng)域?qū)τ脩粲虻脑L問;通過服務(wù)器安全審計(jì)系統(tǒng)，對(duì)管理域和用戶域的用戶行為進(jìn)行定期及時(shí)的安全審計(jì);定期更新或升級(jí)客戶端軟件，并掃描和修復(fù)漏洞。

數(shù)據(jù)庫安全? 數(shù)據(jù)庫安全包含數(shù)據(jù)的保密性（防泄露）、完整性（防篡改）、可用性（防攻擊或損毀）等三個(gè)方面。數(shù)據(jù)庫安全策略的設(shè)計(jì)應(yīng)能實(shí)現(xiàn)“敏感數(shù)據(jù)看不見、核心數(shù)據(jù)拿不走、運(yùn)維操作能審計(jì)”的安全目標(biāo)。

1）在應(yīng)用服務(wù)器和數(shù)據(jù)庫服務(wù)器之間配置數(shù)據(jù)庫防火墻，任何對(duì)數(shù)據(jù)庫的訪問和管理都必須經(jīng)過數(shù)據(jù)庫防火墻，以實(shí)現(xiàn)對(duì)數(shù)據(jù)庫的認(rèn)證授權(quán)、攻擊保護(hù)（如防范SQL注入、緩沖區(qū)溢出）、訪問控制、安全審計(jì)等功能。

2）在數(shù)據(jù)庫服務(wù)器上安裝數(shù)據(jù)庫管理系統(tǒng)，與數(shù)據(jù)庫防火墻一起，實(shí)現(xiàn)對(duì)數(shù)據(jù)庫的二次認(rèn)證，同時(shí)實(shí)現(xiàn)對(duì)數(shù)據(jù)庫的安全存儲(chǔ)、增量備份等綜合管理與維護(hù)[6]。

3）建立數(shù)據(jù)庫的容災(zāi)備份機(jī)制。在校園內(nèi)配備異地存儲(chǔ)介質(zhì)，開通主數(shù)據(jù)庫與備份數(shù)據(jù)庫的實(shí)時(shí)同步功能;或向知名的服務(wù)提供商租用教育云備份空間，設(shè)置安全可靠的數(shù)據(jù)備份專用通道，實(shí)現(xiàn)遠(yuǎn)程容災(zāi)。

4 結(jié)語

實(shí)踐證明，信息安全保障體系的設(shè)計(jì)與構(gòu)建是一個(gè)系統(tǒng)工程，涉及信息技術(shù)的諸多方面，需要遵循總的原則，與信息化建設(shè)同步，圍繞物理安全、網(wǎng)絡(luò)安全、系統(tǒng)安全、應(yīng)用安全、數(shù)據(jù)庫安全等五個(gè)方面構(gòu)筑和細(xì)化并不斷完善。

參考文獻(xiàn)

[1]王聰，薛靜，王革明.智慧治理高校信息安全的多重線性規(guī)劃策略[J].現(xiàn)代教育技術(shù)，2019（6）：19-25.

[2]黃立冬.校園計(jì)算機(jī)網(wǎng)絡(luò)信息的安全管理探討[J].教育理論與實(shí)踐，2019（11）：25-26.

[3]王延明，許寧.高校信息安全風(fēng)險(xiǎn)分析與保障策略研究[J].情報(bào)科學(xué)，2014（10）：134-138.

[4]胡立朋.高職院校的信息安全保障體系構(gòu)建與應(yīng)用[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2014（2）：98-99.

[5]吳志軍，楊義先.信息安全保障評(píng)價(jià)指標(biāo)體系的研究[J].計(jì)算機(jī)科學(xué)，2010（7）：7-10.

[6]吳海燕，戚麗，沈立強(qiáng).數(shù)字校園信息安全保障體系的設(shè)計(jì)與實(shí)現(xiàn)[J].實(shí)驗(yàn)技術(shù)與管理，2008（8）：1-6.

*項(xiàng)目來源：安順市教育科學(xué)規(guī)劃課題“中職學(xué)校智慧校園建設(shè)研究”（課題編號(hào)：安順職教2018004）。

作者：張洪文，安順城市服務(wù)職業(yè)學(xué)校，高級(jí)講師，研究方向?yàn)橛?jì)算機(jī)應(yīng)用技術(shù)、教育信息化;韋修圣、安順城市服務(wù)職業(yè)學(xué)校，高級(jí)講師，研究方向?yàn)樾畔⒓夹g(shù)（561000）。