高校計算機實驗室網絡安全管理研究

趙旭華

摘? ?要：隨著“互聯(lián)網+”教育的推進，高校計算機實驗室已成為高校教學科研實訓的主陣地。高校計算機實驗室在為教學科研實訓提供快捷服務的同時，也暴露出網絡安全重視不夠、網絡安全法律法規(guī)理解不深、網絡安全防范技術掌握不夠等問題。針對上述問題，文章設計了以制度規(guī)范、環(huán)境規(guī)范、網絡規(guī)范、應用規(guī)范為基礎的高校計算機實驗室網絡安全管理規(guī)范。借鑒PDRR網絡安全體系，文章重點闡述了高校計算機實驗室網絡安全防護、網絡安全檢測、網絡安全恢復、網絡安全響應的實踐應用體系，旨在提升高校計算機實驗室網絡安全管理水平，維護高校及師生網絡安全，保障高校計算機實驗室的安全運行。

關鍵詞：高校;計算機實驗室;網絡安全;管理研究

中圖分類號：G717;TP393 文獻標志碼：A 文章編號：1673-8454（2021）01-0060-06

一、引言

高校是人才培養(yǎng)的重要陣地，肩負著培養(yǎng)社會主義骨干建設者的重任。高校在向大學生傳授專業(yè)知識的同時，也承擔著培養(yǎng)專業(yè)實踐應用能力的工作。大學生專業(yè)實踐應用能力的培養(yǎng)主要是在學校實驗室進行。在“互聯(lián)網+”時代，各學科也逐步與計算機進行融合，計算機已成為各學科建設和人才培養(yǎng)方案中不可或缺的工具，計算機實驗室也成為高校教學科研和實訓工作的重要場所。

信息技術是一把“雙刃劍”，在給教育事業(yè)帶來便利的同時，也帶來了安全隱患。據國家互聯(lián)網應急中心統(tǒng)計，我國2019年上半年新增計算機惡意程序樣本數量約3200萬個，計算機惡意程序傳播次數日均達約998萬次[1]。另據深信服2019上半年網絡安全態(tài)勢報告，教育行業(yè)網站漏洞數量最多，其中木馬遠程控制占34%、勒索病毒攻擊占21%[2]，教育行業(yè)網絡安全形勢已十分嚴峻。

習近平總書記高度重視網絡安全工作，親自擔任中共中央網絡安全與信息化工作委員會主任，多次就網絡安全發(fā)表重要論述?！熬W絡安全對國家安全牽一發(fā)而動全身”“沒有網絡安全就沒有國家安全”[3-4]，習近平總書記上述重要指示為我國教育行業(yè)網絡安全工作提供了重要指引。

二、高校計算機實驗室網絡安全隱患

高校計算機實驗室是由多臺計算機及相關配件通過網絡互聯(lián)組成的一個功能室，可為高校教學、科研、實訓提供軟硬件基礎平臺，是高校重要的教學場所。近年來，隨著各學科與計算機的融合以及多媒體教學（CAI）、計算機仿真技術的發(fā)展，計算機實驗室已成為高校各學科實操性課程教學的主要場地。由于我國網絡安全規(guī)范化工作起步較晚，加之高校計算機實驗室管理人員大都非計算機網絡安全專業(yè)人士，他們對網絡安全法律法規(guī)的理解有限，更因計算機實訓室日常工作量大，使其難以分心。以上多種因素導致高校計算機實驗室網絡安全工作存在以下隱患：

1.網絡安全工作重視不夠

計算機實驗室網絡安全工作重視不夠主要體現在重實驗室業(yè)務運行輕實訓室網絡安全保障。由于各學科與計算機的聯(lián)系日益緊密，學科教學也逐漸從傳統(tǒng)的多媒體課室轉到計算機實驗室進行，計算機實驗室的排課量激增。為了保障正常教學、實驗和實訓工作的進行，防止因實驗室故障導致教學事故發(fā)生，計算機實驗室管理員往往將大量精力放在維護計算機實驗室的日常運行，對計算機實驗室的網絡安全工作則是高高掛起，認為不出事即可。網絡安全已成為國家安全的重要組成部分。國家重點學科、重點項目、重點實驗室的信息系統(tǒng)安全、數據安全、數據防泄密都關系到國家安全，其重要性不言而喻。計算機實驗室網絡安全已超出傳統(tǒng)的計算機軟硬件安全范疇，跟師生個人隱私信息安全、高校數據資產安全、社會網絡輿情安全、國家安全緊密聯(lián)系在一起，是高校意識形態(tài)、大學生網絡思政、校園安全工作的重要組成部分。各高校應提高政治站位，將計算機實驗室網絡安全工作作為計算機實驗室管理的重點工作和基礎工作，強力推進計算機實驗室網絡安全工作部署，保障計算機實驗室的網絡安全。

除對計算機實驗室網絡安全工作重視不夠以外，各高校還存在一個普遍的認識誤區(qū)，認為網絡安全工作是高校網絡信息中心的工作，應由網絡信息中心統(tǒng)一部署、集中管控，各計算機實驗室只負責所屬實驗室的正常運行即可。依照“誰主管、誰負責，誰運營、誰負責，誰使用、誰負責”的網絡安全責任原則[5]，計算機實驗室應對其負責運營的信息系統(tǒng)、師生使用網絡的安全負責，切實履行網絡安全責任，扎實保障實驗室網絡安全。

2.網絡安全法規(guī)理解不深

“沒有規(guī)矩不成方圓”，黨的十八大四中全會發(fā)布了《中共中央關于全面推進依法治國若干重大問題的決定》，昭告“全面依法治國”，彰顯法治權威[6]。《中華人民共和國網絡安全法》是我國網絡安全工作的法律指引[7]，高校計算機實驗室網絡安全工作必須依法合規(guī)開展。

高校計算機實驗室管理員普遍對網絡安全法規(guī)理解不深，認為計算機網絡安全法律法規(guī)會限制實驗室各項功能正常使用，增加管理人員的工作量。網絡安全法律法規(guī)的出發(fā)點是保障國家安全，保護計算機實驗室的正常安全運行，對高校計算機實驗室的規(guī)范化管理具有很好的促進作用。高校計算機實驗室管理者應加強對網絡安全法律法規(guī)的學習，自覺依法辦事，依法用網、管網，在保障好實驗室網絡安全的前提下，做好實驗室管理和服務工作，給師生提供安全、可靠、優(yōu)質的實驗室服務。

3.網絡安全技術掌握欠缺

計算機和網絡技術的普及使得信息技術無處不在，早已融入人們的生活、學習、工作等各個方面。隨著計算機應用面的擴大，網絡安全技術在傳統(tǒng)的防火墻、防病毒網關、殺毒軟件基礎上也有了更多擴展。高校計算機實驗室管理者大都非網絡安全專業(yè)人士，其對計算機實驗室網絡安全的認識普遍還停留在計算機還原卡和防病毒軟件的層面，對上網實名認證、上網日志留存、數字加密備份、防勒索、防篡改等新技術、新方法、新要求的掌握尚有欠缺，網絡安全技術視野不夠全面，這為計算機實驗室的網絡安全留下了隱患。

為適應新時代要求，高校計算機實驗室管理員應跳出狹隘的網絡安全技術視野，按照《中華人民共和國網絡安全法》要求，積極學習網絡安全新技術和新方法，形成全面的網絡安全觀，將網絡安全新技術、新手段應用到計算機實驗室管理上，保障計算機實驗室的網絡安全。

三、高校計算機實驗室網絡安全管理規(guī)范設計

高校計算機實驗室網絡安全牽涉到計算機終端安全、數據安全、網絡安全、信息系統(tǒng)安全等各方面，是整體性的工作。計算機實驗室網絡安全點眾多，根據“木桶原理”，各安全點都有可能出問題，在制定其安全管理規(guī)范時，應注重各個方面的整體規(guī)劃和統(tǒng)一設計，從整體上把控高校實驗室網絡安全。

從高校計算機實驗室實際工作出發(fā)，其網絡安全管理規(guī)范可劃分為制度規(guī)范、環(huán)境規(guī)范、網絡規(guī)范、應用規(guī)范四個子規(guī)范。四個子規(guī)范融合為一個整體，形成高校計算機實驗室網絡安全管理規(guī)范體系（如圖1所示）。

1.制度規(guī)范

制度規(guī)范主要指為規(guī)范計算機實驗室管理而設立的相關制度。根據計算機實驗室工作業(yè)務，可相應制定計算機實驗室機房管理制度、計算機實驗室病毒防范管理制度、計算機實驗室數據保密及數據備份管理制度、計算機實驗室網絡安全管理員制度、計算機實驗室運行管理制度等相關制度。管理制度的制定只是制度規(guī)范的開始，制度規(guī)范的重點是要抓好各項管理制度的落實，做到制度管物、制度管人、規(guī)范運作。

2.環(huán)境規(guī)范

計算機實驗室中網絡設備、服務器、存儲設備眾多，為保障各設備的正常運行，需嚴格按照計算機實驗室建設規(guī)范，對實驗室空間、電力、空調、UPS（不間斷電源）、防火、防雷、溫度、濕度、視頻監(jiān)控等環(huán)境因素從嚴高標準建設，確保計算機實驗室的安全穩(wěn)定運行。

3.網絡規(guī)范

計算機實驗室各設備通過網絡（有線網絡或無線網絡）進行連接，為保障網絡的安全可控，需嚴格遵守《中華人民共和國網絡安全法》，對網絡設備接入、師生實名制上網、師生上網日志留存、網絡安全防范等法律明確要求的內容要全部落實到位，確保師生依法用網、安全用網。

4.應用規(guī)范

互聯(lián)網上的資源豐富多彩，但也存在良莠不齊的現象。為保障師生合理的上網需求，在滿足師生教學科研實訓的前提下，應對師生上網應用進行規(guī)范，杜絕師生利用計算機實驗室從事與教學科研實訓不相關的網絡活動。在實際應用中，可嚴格制定師生訪問網絡資源的限制策略，使師生根據自身權限訪問相應資源，避免越權訪問。

對向師生提供服務的信息系統(tǒng)，應按規(guī)定落實信息系統(tǒng)等級保護測評和整改要求，確保信息系統(tǒng)安全可信，為師生提供可靠和安全的服務。實驗室服務器和存儲設備應做好數據冗余設置和數據備份工作，保障服務器和存儲器數據安全。實驗室計算機應按要求部署防病毒系統(tǒng)并將病毒庫更新至最新版本，啟用操作系統(tǒng)更新程序，及時更新計算機操作系統(tǒng)補丁，禁用U盤、移動硬盤等外接存儲設備，確保計算機安全。

四、高校計算機實驗室網絡安全管理實踐

計算機實驗室網絡安全管理是高校網絡安全管理整體工作的一部分。在保持高校網絡安全統(tǒng)一規(guī)范的前提下，為減少重復建設帶來的資源浪費，高校計算機實驗室可參照高校網絡安全規(guī)章制度，制定計算機實驗室網絡安全制度。高校計算機實驗室環(huán)境規(guī)范在保障電力、溫度、濕度、防雷、防火、防靜電的基礎上，可將實驗室服務器和存儲設備托管到學校數據中心機房統(tǒng)一管理。高校計算機實驗室網絡規(guī)范和應用規(guī)范因實驗室環(huán)境和師生教學需求不同，不宜通過學校統(tǒng)一政策進行管控，可在學校統(tǒng)一提供的網絡規(guī)范和應用規(guī)范基礎上，再在計算機實驗室內部部署相應軟硬件，以滿足師生正常的教學環(huán)境要求和個性化需求。

計算機實驗室制度規(guī)范和環(huán)境規(guī)范兩者主要側重于管理和基礎設施層面，按學校規(guī)定予以建設即可，在此不再贅述。高校計算機實驗室網絡規(guī)范和應用規(guī)范是計算機實驗室網絡安全的難點和重點，同時也是計算機實驗室的薄弱點，本研究將重點對這兩項的實際應用工作進行闡述。

PDRR（Protection Detection Recovery Response）網絡安全體系最早由美國國防部（DoD）于2017年提出，此體系由防護、檢測、恢復、響應四個部分組成，形成網絡安全閉環(huán)[8]（如圖2所示）。PDRR網絡安全體系改進了傳統(tǒng)網絡安全體系只注重防護的單一安全防御思想，強調網絡安全保障由四個重要環(huán)節(jié)組成。四者缺一不可，形成網絡安全整體合力，切實保障網絡安全。借鑒PDRR網絡安全體系，高校計算機實驗室網絡安全管理的網絡規(guī)范和應用規(guī)范可從安全防護、安全檢測、安全響應、安全恢復四個方面來開展。為減少支出，降低網絡安全的軟硬件成本，本文在實際應用的基礎上給出了部分開源軟件和免費軟件的網絡安全防護方案。

1.網絡安全防護

網絡安全防護既包含來自互聯(lián)網的外網攻擊也包括來自計算機實驗室內網的掃描攻擊。網絡攻擊是實驗室網絡安全的最主要威脅，為保障安全，必須做好內外網全面防護工作。計算機實驗室內網防護主要以用戶上網認證、上網行為記錄、上網行為管控、系統(tǒng)漏洞修復、防病毒軟件、防火墻等軟硬件和安全策略構成。

（1）內外網分離網絡安全策略

內外網分離是指將計算機實驗室網絡分成實驗室內部網絡和實驗室外部網絡兩部分。實驗室內部網絡和實驗室外部網絡的安全風險不一樣，實施內外網分離后可對實驗室內外網采取不同的網絡安全防范策略，保障實驗室網絡安全。內外網分離網絡安全策略具體可劃分為兩部分：①實驗室內網網絡安全策略。實驗室內網計算機等設備可設置為可信區(qū)域，根據教學科研需要，可開放相應網絡端口和相應教學資源，允許內部機器互聯(lián)和相互通訊，便于內部系統(tǒng)訪問和資源共享。②實驗室外網網絡安全策略。實驗室外網計算機設置為不可信區(qū)域，對于來自不可信區(qū)域的計算機和網絡設備數據包，需通過防火墻安全檢測后方可轉發(fā)進入實驗室內部網絡，保障數據安全。不可信區(qū)域的計算機和網絡設備不可直接訪問實驗室內網設備和資源，保障設備和資源的安全。

（2）實名認證、上網行為記錄、上網行為管控、網絡防火墻

為保障安全，一般情況下，實驗室內計算機應設置為不可訪問互聯(lián)網資源，師生有互聯(lián)網使用需求的，根據《中華人民共和國網絡安全法》要求，需通過實名認證后方可訪問互聯(lián)網資源。

實名認證可通過RouterOS、OpenWrt、愛快（iKuai）、WFilter NGF等軟路由來實現，此類軟件路由，均可實現師生上網實名認證、上網行為記錄、上網行為管控、網絡防火墻等功能。RouterOS、OpenWrt兩款軟路由為國外版軟件，軟件界面和配置方法與國人習慣大不相同，非專業(yè)人員難以適應其使用。iKuai和WFilter NGF均為國產版軟件，界面設置和功能配置均符合國人使用習慣，目前已經廣泛應用在各行業(yè)中，計算機實驗室使用它可零成本搭建網絡安全防線。WFilter NGF是一款基于Linux的軟路由，功能強大，使用簡便，可供50臺計算機規(guī)模的實驗室免費使用，更大規(guī)模實驗室可選用其正式版本以擴大計算機授權量。

以筆者所在計算機實驗室的網絡安全管理為例，WFilter NGF的實名認證可與高?，F有用戶管理系統(tǒng)進行對接，也可通過微信認證、手機短信認證、企業(yè)微信、釘釘等常用工具進行整合，為師生提供快捷方便的上網實名認證服務。目前，眾多高校使用企業(yè)微信作為內部通訊工具，師生均在企業(yè)微信的組織架構中。此情況下，可配置企業(yè)微信與WFilter NGF的第三方認證（如圖3所示）。配置成功后，師生在計算機實驗室訪問互聯(lián)網可通過企業(yè)微信掃碼驗證，極為快捷和方便。

師生使用個人實名賬號認證后，其上網行為皆可被審計。為保障師生上網安全，可對師生可訪問的互聯(lián)網資源進行限制，如限制網絡游戲、網絡理財、網絡影視等各類資源的訪問（如圖4所示），使師生能更專心地進行教與學。

為防止實驗室外網對計算機實驗室的攻擊，可啟用防火墻功能，將外網掃描和攻擊拒之門外，保障實驗室內網安全。

計算機系統(tǒng)漏洞修復可在計算機實驗室內配置Windows更新服務器，各計算機啟用自動更新服務，向實驗室內部更新服務器獲取系統(tǒng)補丁更新包，即可保障操作系統(tǒng)層的安全。

實驗室防病毒軟件可使用奇安信網管版軟件，安裝服務器端和配置客戶端后對實驗室內計算機可統(tǒng)一進行殺病毒、清木馬、修漏洞等操作。統(tǒng)一管理保障了實驗室的網絡安全。

2.網絡安全檢測

計算機實驗室網絡安全面臨的既有已知病毒，也有未知威脅。為防患于未然，需對計算機實驗室網絡安全進行全面檢測，其檢測對象主要是實驗室對外提供的服務和實驗室內部設備。

（1）奇安信Webscan

為保障計算機實驗室對外服務的安全，可使用奇安信免費提供的Webscan服務。Webscan服務提供了網站漏洞檢測和網站運行監(jiān)測功能。網站漏洞檢測功能可對計算機實驗室提供的服務進行全方位檢測，便于快速發(fā)現實驗室對外服務存在的各類脆弱性風險并提供漏洞修補和整改建議。網站運行監(jiān)測功能可對計算機實驗室對外服務的可用性、黑鏈、掛馬、釣魚、敏感詞和敏感信息泄漏等方面進行監(jiān)測（如圖5所示）。檢測結果實時通過電子郵件和手機短信發(fā)送給管理者，讓管理者能及時掌握計算機實驗室對外提供的服務運行狀態(tài)，方便及時進行相應處理。

（2）漏洞掃描

計算機實驗室內部設備由于安裝多種教學科研和實訓軟件，也會存在網絡安全隱患，給實驗室網絡安全帶來風險。Nessus 是系統(tǒng)漏洞掃描與分析軟件，針對個人用戶和教育機構提供了免費版本。利用Nessus軟件，可對實驗室計算機系統(tǒng)軟件和應用軟件進行漏洞掃描，根據掃描結果和修補建議，針對性地對各計算機終端和設備進行安全修補，保障計算機實驗室各設備的無風險運行。

3.網絡安全響應

計算機實驗室網絡安全響應主要是指出現安全事故時的處理機制和應急處理措施。計算機實驗室網絡安全處理機制可納入到實驗室制度建設中統(tǒng)一制定，應急處理措施包括固化網絡安全日志和消除網絡安全影響兩方面內容。

固化網絡安全日志可啟用計算機和服務器的日志記錄服務，以及師生上網驗證和上網行為日志服務。定時將上述日志進行備份即可留存網絡安全日志，供網絡安全機構查證使用。

計算機實驗室網絡安全應急處理措施主要是一鍵斷網絡出口和特定計算機內部網絡。計算機實驗室網絡結構較為單一，可利用遠程桌面和WiFi智能插座等常見軟硬件方式來實現斷網絡出口和計算機內部網絡。遠程桌面可使用向日葵遠程控制軟件連接服務器端，在服務器端運行相應管理程序即可斷開相應計算機或整個實驗室網絡。WiFi智能插座的使用則更為簡單，只需將實驗室網絡交換機接入到WiFi智能插座，插座連接上實驗室WiFi網絡就可通過插座配套的APP來進行管理。當發(fā)現有網絡安全異常時，通過APP關閉實驗室網絡交換機對應的插座電源即可斷開所有網絡連接，防止進一步網絡攻擊。

4.網絡安全恢復

現階段，數據資產已超越計算機硬件設備成為高校計算機實驗室價值最高的資產。為保障計算機實驗室數據資產的網絡安全，使系統(tǒng)數據和應用數據的完整性不被破壞，以及硬件系統(tǒng)損壞后計算機實驗室功能可快速恢復，需從系統(tǒng)層面和數據層面對計算機實驗室進行周密部署。

系統(tǒng)層面的網絡安全恢復可采取虛擬化快照技術或通過安裝軟硬件還原卡來實現。新立項建立的計算機實驗室可通過虛擬化云桌面技術快速部署適合各學科的操作系統(tǒng)和應用軟件，當系統(tǒng)出現問題可進行模板還原，快速恢復數據和還原系統(tǒng)。

數據層面的網絡安全恢復可使用數據同步備份和恢復軟件來實現。數據庫備份和恢復軟件有DBSync和SQL備份恢復助手等。文件同步備份和恢復軟件有FreeFileSync和GoodSync等。

DBSync是免費數據庫同步備份及恢復軟件，可在SQL Server、Oralce、Mysql、Access、Excel等數據庫和數據文件間進行數據庫同步備份和恢復操作，具有支持異構數據庫、增加備份、秒級同步等特性（如圖6所示），是數據庫備份和恢復的實用工具。

FreeFileSync是免費開源的文件同步備份軟件，支持本地磁盤文件和遠程磁盤文件的同步備份和恢復。利用此軟件，可將計算機實驗室的重要數據文件設置多個備份存儲，開啟定時同步功能后可自動將本端文件同步至多個備份存儲。計算機實驗室出現數據安全問題時能快速啟用備份數據進行恢復，保障計算機實驗室數據的安全性和高可用性。

五、結語

各學科與計算機的快速融合使得高校計算機實驗室在教學科研工作中的應用越來越廣泛，作用也越來越重要。計算機實驗室的網絡安全管理需符合國家安全要求，遵守網絡安全法律法規(guī)，制定網絡安全制度規(guī)范，部署網絡安全軟硬件防護手段，切實保障計算機實驗室的網絡安全。

參考文獻：

[1]中共中央網絡安全和信息化工作委員會辦公室.CNCERT發(fā)布《2019年上半年我國互聯(lián)網網絡安全態(tài)勢》[EB/OL]. http：//www.cac.gov.cn/2019-08/13/c_ 1124871596.htm.

[2]FreeBuf互聯(lián)網安全新媒體平臺.2019年上半年網絡安全態(tài)勢報告[EB/OL]. https：//www.freebuf.com/articles/paper/210122.html.

[3]中共中央網絡安全和信息化工作委員會辦公室.網絡安全牽一發(fā)而動全身[EB/OL]. http：//www.cac.gov.cn/2016-06/01/c_1118966168.htm.

[4]中共中央網絡安全和信息化工作委員會辦公室.習近平：沒有網絡安全就沒有國家安全[EB/OL]. http：//www.cac.gov.cn/2018-12/27/c_1123907720.htm.

[5]呂誠昭，郝文江，武捷.網絡安全的非傳統(tǒng)安全特征決定其管理模式[J].信息安全與通信保密，2012（8）：23-32.

[6]中共中央關于全面推進依法治國若干重大問題的決定[EB/OL].http：//www.ccps.gov.cn/xytt/201812/t20181212_123256.shtml.

[7]中共中央網絡安全和信息化工作委員會辦公室.中華人民共和國網絡安全法[EB/OL]. http：//www.cac.gov.cn/2016-11/07/c_1119867116_3.htm

[8]王妍，孫德剛，盧丹.美國網絡安全體系架構[J].信息安全研究，2019，5（7）：582-585.

（編輯：王曉明）