基于P2DR模型的高校網(wǎng)絡(luò)安全管理與防護(hù)研究

□李國(guó)臻

近年來(lái)，隨著互聯(lián)網(wǎng)技術(shù)的快速發(fā)展和高校教育信息化的普及，以及國(guó)家網(wǎng)絡(luò)安全法的出臺(tái)，高校網(wǎng)絡(luò)安全工作在高校管理中越發(fā)重要。高校只有在網(wǎng)絡(luò)安全的基礎(chǔ)上，才能使得以校園網(wǎng)為基礎(chǔ)的各項(xiàng)信息化服務(wù)正常運(yùn)行，管理工作和信息化工作才能順利穩(wěn)定開(kāi)展。因此，如何保障高校網(wǎng)絡(luò)安全是至關(guān)重要的。高校管理者應(yīng)認(rèn)真探討現(xiàn)階段校園網(wǎng)絡(luò)安全中存在的問(wèn)題，根據(jù)高校的實(shí)際情況研究合適的網(wǎng)絡(luò)安全應(yīng)對(duì)策略，從而保障校園網(wǎng)的安全、穩(wěn)定運(yùn)行和高校工作的正常有序開(kāi)展。

一、高校網(wǎng)絡(luò)安全隱患

(一)校園網(wǎng)物理網(wǎng)絡(luò)安全。校園網(wǎng)物理網(wǎng)絡(luò)安全是整個(gè)校園網(wǎng)絡(luò)安全的前提條件，只有在安全穩(wěn)定的物理網(wǎng)絡(luò)環(huán)境下，校園網(wǎng)絡(luò)才能確保正常運(yùn)行。物理網(wǎng)絡(luò)安全隱患包括多個(gè)方面，從大的方面來(lái)說(shuō)，包括水災(zāi)、火災(zāi)、地震等自然災(zāi)害造成的網(wǎng)絡(luò)環(huán)境安全隱患；從小的方面來(lái)說(shuō)，包括網(wǎng)絡(luò)設(shè)備損壞、被盜，電路故障，電磁干擾，機(jī)房溫濕度失衡等因素造成的安全隱患。

(二)校園網(wǎng)應(yīng)用服務(wù)安全。校園網(wǎng)應(yīng)用服務(wù)是由硬件、軟件、通信設(shè)備、信息資源等多方面組成，由于技術(shù)的不夠完善，無(wú)論哪一方面存在缺陷都會(huì)造成整個(gè)應(yīng)用服務(wù)的安全隱患。眾所周知，無(wú)論是硬件、軟件或是操作系統(tǒng)都會(huì)不可避免的存在一定的漏洞和缺陷，如操作系統(tǒng)雖然在發(fā)行時(shí)已經(jīng)進(jìn)行了較高的安全配置和防護(hù)，但是隨著黑客技術(shù)的提升，操作系統(tǒng)本身存在的安全漏洞和缺陷會(huì)隨著使用過(guò)程逐步暴漏出來(lái)，被黑客所利用從而造成嚴(yán)重的網(wǎng)絡(luò)安全事件。在校園網(wǎng)應(yīng)用服務(wù)的開(kāi)發(fā)或者建設(shè)過(guò)程中，這些硬件、軟件、網(wǎng)絡(luò)、操作系統(tǒng)、資源中存在的漏洞和安全威脅都會(huì)反映到應(yīng)用系統(tǒng)和服務(wù)中，甚至集成后的漏洞和安全威脅會(huì)更多。

(三)校園網(wǎng)管理網(wǎng)絡(luò)安全。管理網(wǎng)絡(luò)安全主要涉及到人的因素，即從管理的角度出發(fā)造成的網(wǎng)絡(luò)安全隱患。網(wǎng)絡(luò)管理是網(wǎng)絡(luò)安全中非常重要的一部分，網(wǎng)絡(luò)安全管理責(zé)權(quán)是否明確，是否成立了專門的網(wǎng)絡(luò)安全責(zé)任機(jī)構(gòu)，網(wǎng)絡(luò)安全管理制度是否健全，網(wǎng)絡(luò)安全技術(shù)人員是否得到保障等都可能造成校園網(wǎng)管理安全隱患。

(四)校園網(wǎng)外部安全威脅。校園網(wǎng)的安全隱患除了來(lái)自校內(nèi)的部分，還有很大一部分來(lái)自于校園網(wǎng)外部。來(lái)自校園網(wǎng)外部的安全威脅有很多，主要包括網(wǎng)絡(luò)攻擊行為、計(jì)算機(jī)木馬、病毒、惡意軟件等幾個(gè)方面。

二、P2DR安全模型

P2DR模型是一種動(dòng)態(tài)網(wǎng)絡(luò)安全模型，它包括四個(gè)部分，如表1所示。

表1 P2DR模型構(gòu)成描述

P2DR模型是在整體安全策略的指導(dǎo)下，綜合運(yùn)用各種防護(hù)工具的同時(shí)，利用檢測(cè)工具了解系統(tǒng)的安全狀態(tài)，通過(guò)適當(dāng)?shù)姆磻?yīng)將系統(tǒng)調(diào)整到最安全和風(fēng)險(xiǎn)最低的狀態(tài)。防護(hù)、檢測(cè)和響應(yīng)組成了一個(gè)完整的、動(dòng)態(tài)的安全循環(huán)，在安全策略的指導(dǎo)下保證校園網(wǎng)絡(luò)信息系統(tǒng)的安全。

圖1 P2DR網(wǎng)絡(luò)安全模型

目前多數(shù)高校網(wǎng)絡(luò)安全管理存在以下問(wèn)題：一是校園網(wǎng)管理工作由高校網(wǎng)絡(luò)主管部門全權(quán)負(fù)責(zé)，忽略了高校領(lǐng)導(dǎo)層的監(jiān)督管理和教師學(xué)生群體的參與。二是很多高校在網(wǎng)絡(luò)安全防護(hù)上依據(jù)統(tǒng)一的、固定的安全策略和防護(hù)技術(shù)，這種方式主要針對(duì)固定的、靜態(tài)的威脅和環(huán)境弱點(diǎn)。這種老舊的防護(hù)方法忽略了網(wǎng)絡(luò)的動(dòng)態(tài)性，缺乏了新技術(shù)的動(dòng)態(tài)更新和完善。因此，網(wǎng)絡(luò)安全不是一成不變的，而是一個(gè)不斷變化的動(dòng)態(tài)過(guò)程。為了解決高校網(wǎng)絡(luò)安全管理中存在的以上問(wèn)題，引用了P2DR動(dòng)態(tài)網(wǎng)絡(luò)安全模型來(lái)進(jìn)行網(wǎng)絡(luò)安全管理與防護(hù)。

三、基于P2DR模型的高校網(wǎng)絡(luò)安全管理與防護(hù)

高校網(wǎng)絡(luò)安全管理主要涉及到高校管理者、主管部門、廣大師生群體、校園網(wǎng)絡(luò)四個(gè)方面。

圖2 基于P2DR模型的高校網(wǎng)絡(luò)管理圖

(一)建立健全的高校網(wǎng)絡(luò)管理機(jī)制，加強(qiáng)分級(jí)監(jiān)督。高校網(wǎng)絡(luò)安全管理應(yīng)遵循“統(tǒng)一領(lǐng)導(dǎo)、分級(jí)管理”的原則建立高校網(wǎng)絡(luò)安全領(lǐng)導(dǎo)體系，將網(wǎng)絡(luò)安全管理和網(wǎng)絡(luò)安全防范納入高校管理工作的日程中。并根據(jù)上級(jí)單位要求成立學(xué)校領(lǐng)導(dǎo)層面的“網(wǎng)絡(luò)安全領(lǐng)導(dǎo)小組”，由學(xué)校責(zé)任人擔(dān)任組長(zhǎng)，學(xué)校各單位為成員單位，明確權(quán)利責(zé)任，做好高校網(wǎng)絡(luò)安全運(yùn)行、檢查和監(jiān)督工作。校園網(wǎng)絡(luò)安全責(zé)任部門應(yīng)根據(jù)校園網(wǎng)的實(shí)際情況和網(wǎng)絡(luò)特點(diǎn)，制定完善的網(wǎng)絡(luò)安全管理制度，明確職責(zé)，規(guī)范和約束校園內(nèi)廣大師生的日常上網(wǎng)行為，加強(qiáng)對(duì)校園網(wǎng)內(nèi)硬件設(shè)備和信息系統(tǒng)的定期檢查、維護(hù)工作，從而確保校園網(wǎng)和校內(nèi)各個(gè)信息系統(tǒng)的安全、穩(wěn)定運(yùn)行。

校內(nèi)二級(jí)單位網(wǎng)絡(luò)安全管理嚴(yán)格按照“誰(shuí)運(yùn)營(yíng)、誰(shuí)負(fù)責(zé)，誰(shuí)使用、誰(shuí)負(fù)責(zé)”的原則做好本單位的網(wǎng)絡(luò)安全管理工作，二級(jí)單位負(fù)責(zé)人為本單位網(wǎng)絡(luò)安全的第一責(zé)任人。同時(shí)由網(wǎng)絡(luò)安全責(zé)任部門牽頭建立校內(nèi)二級(jí)單位信息管理員聯(lián)系表，由二級(jí)單位確定專職網(wǎng)絡(luò)安全管理員，負(fù)責(zé)本單位網(wǎng)絡(luò)安全和信息系統(tǒng)管理相關(guān)工作的執(zhí)行。從校領(lǐng)導(dǎo)、專職部門、校內(nèi)二級(jí)單位自上而下高度重視，形成“防護(hù)—檢測(cè)—響應(yīng)”循環(huán)防護(hù)機(jī)制。

(二)提高師生網(wǎng)絡(luò)安全意識(shí)。高校應(yīng)重視在校師生的網(wǎng)絡(luò)道德和網(wǎng)絡(luò)安全意識(shí)培養(yǎng)，將網(wǎng)絡(luò)道德培養(yǎng)和網(wǎng)絡(luò)安全教育加入高校日常管理工作。高校管理者可以通過(guò)宣傳欄、官方公眾內(nèi)容推送、問(wèn)卷調(diào)查等多種方式進(jìn)行校園日常網(wǎng)絡(luò)安全的傳播。并通過(guò)增加一些網(wǎng)絡(luò)安全相關(guān)的選修課、知識(shí)講座和知識(shí)競(jìng)賽等形式對(duì)學(xué)生進(jìn)行網(wǎng)絡(luò)安全教育，規(guī)范廣大師生的日常上網(wǎng)行為，提高網(wǎng)絡(luò)辨別能力，切實(shí)提高廣大師生的網(wǎng)絡(luò)安全防護(hù)意識(shí)，從而杜絕一切惡意利用網(wǎng)絡(luò)資源非法牟利以及威脅高校網(wǎng)絡(luò)安全的行為與事件發(fā)生，維護(hù)校園網(wǎng)的安全穩(wěn)定運(yùn)行和正常的校園秩序。

(三)加強(qiáng)網(wǎng)絡(luò)“防護(hù)-檢測(cè)-響應(yīng)”循環(huán)防護(hù)，實(shí)現(xiàn)校園網(wǎng)動(dòng)態(tài)監(jiān)管。隨著很多新技術(shù)、新手段的出現(xiàn)，陳舊不變的網(wǎng)絡(luò)防護(hù)手段已經(jīng)不適合當(dāng)前的高校網(wǎng)絡(luò)安全防護(hù)。高校應(yīng)當(dāng)采用“防護(hù)-檢測(cè)-響應(yīng)”循環(huán)防護(hù)方式來(lái)實(shí)現(xiàn)校園網(wǎng)絡(luò)的動(dòng)態(tài)防護(hù)。一是建立全面的、動(dòng)態(tài)更新的、不斷自適應(yīng)完善的安全策略作為動(dòng)態(tài)網(wǎng)絡(luò)安全防護(hù)的重要依據(jù)，形成適合當(dāng)前網(wǎng)絡(luò)環(huán)境的安全策略、評(píng)估和執(zhí)行流程，形成高校的安全策略體系。二是采用一些靜態(tài)的安全防護(hù)技術(shù)實(shí)現(xiàn)對(duì)整個(gè)校園網(wǎng)和重點(diǎn)數(shù)據(jù)區(qū)域的有效防護(hù)，避免黑客和外部人員的攻擊行為和安全事件的發(fā)生。利用網(wǎng)絡(luò)監(jiān)測(cè)設(shè)備(如：流量監(jiān)測(cè)系統(tǒng)、IPS等設(shè)備)來(lái)實(shí)時(shí)檢測(cè)校園網(wǎng)絡(luò)中的異常事件和違規(guī)行為，當(dāng)檢測(cè)到新的安全漏洞、危險(xiǎn)行為和安全事件時(shí)利用異常處置系統(tǒng)做出正確的響應(yīng)處置。動(dòng)態(tài)網(wǎng)絡(luò)安全防護(hù)主要體現(xiàn)在通過(guò)實(shí)時(shí)的網(wǎng)絡(luò)安全檢測(cè)和安全事件響應(yīng)處置來(lái)不斷更新和完善安全策略庫(kù)，然后利用新的安全策略來(lái)實(shí)現(xiàn)新的監(jiān)測(cè)和響應(yīng)，通過(guò)循環(huán)反饋來(lái)及時(shí)做出有效的響應(yīng)。

四、P2DR動(dòng)態(tài)安全模型在校園網(wǎng)絡(luò)中的應(yīng)用

采用P2DR網(wǎng)絡(luò)安全模型應(yīng)用到高校校園網(wǎng)的防護(hù)中，形成“防護(hù)-檢測(cè)-響應(yīng)”循環(huán)防護(hù)，從而實(shí)現(xiàn)校園網(wǎng)絡(luò)的動(dòng)態(tài)防護(hù)。具體如圖3所示。

圖3 P2DR動(dòng)態(tài)安全模型示意圖

(一)安全策略。安全策略是整個(gè)校園網(wǎng)防護(hù)的核心，主要包括一些控制策略、通信策略和防護(hù)策略等。校園網(wǎng)絡(luò)安全工作的執(zhí)行以安全策略為重要依據(jù)，通過(guò)制定適合當(dāng)前高校網(wǎng)絡(luò)環(huán)境的安全策略庫(kù)來(lái)實(shí)現(xiàn)校園網(wǎng)的安全能力評(píng)估，并根據(jù)網(wǎng)絡(luò)安全評(píng)估結(jié)果反饋調(diào)整網(wǎng)絡(luò)防護(hù)力度，網(wǎng)絡(luò)安全管理中的執(zhí)行流程等重要內(nèi)容。安全策略不是一成不變的，它會(huì)隨著校園網(wǎng)絡(luò)中安全防護(hù)和網(wǎng)絡(luò)監(jiān)測(cè)的執(zhí)行情況來(lái)不斷更新和完善策略，最終成為適合本校網(wǎng)路環(huán)境的策略庫(kù)。

(二)安全防護(hù)。在校園網(wǎng)網(wǎng)絡(luò)安全防護(hù)中，主要通過(guò)一些安全防護(hù)技術(shù)來(lái)實(shí)現(xiàn)對(duì)整個(gè)校園網(wǎng)的防護(hù)控制，所使用的防護(hù)技術(shù)主要有防火墻、VPN、身份認(rèn)證控制等等，具體如下：在校園網(wǎng)出口上部署有出口防火墻實(shí)現(xiàn)對(duì)整個(gè)校園網(wǎng)出口上的訪問(wèn)控制，限制進(jìn)出校園網(wǎng)的數(shù)據(jù)流，阻斷危險(xiǎn)源的訪問(wèn)行為，實(shí)現(xiàn)對(duì)整個(gè)校園網(wǎng)的有效防護(hù)。在重點(diǎn)區(qū)域如數(shù)據(jù)中心部署有專門的防火墻和入侵防護(hù)系統(tǒng)IDS實(shí)現(xiàn)對(duì)重點(diǎn)區(qū)域數(shù)據(jù)、設(shè)備、信息資源的訪問(wèn)控制和入侵行為的正面防護(hù)，從而保障重點(diǎn)區(qū)域數(shù)據(jù)的安全。還可以通過(guò)部署VPN，允許師生在校外通過(guò)VPN專用通道訪問(wèn)校內(nèi)資源，限制非法賬號(hào)對(duì)校園網(wǎng)內(nèi)資源的訪問(wèn)。此外，還可以應(yīng)用身份認(rèn)證、訪問(wèn)控制、安全掃描、數(shù)據(jù)加密和備份等技術(shù)手段進(jìn)一步進(jìn)行校園網(wǎng)絡(luò)的安全防護(hù)。

(三)網(wǎng)絡(luò)檢測(cè)。網(wǎng)絡(luò)安全檢測(cè)體現(xiàn)了整個(gè)P2DR網(wǎng)絡(luò)安全模型動(dòng)態(tài)性，它能夠?qū)崟r(shí)監(jiān)測(cè)網(wǎng)絡(luò)中存在的安全威脅和弱點(diǎn)，尤其是隨著新技術(shù)發(fā)展隨之而來(lái)的各種漏洞和缺點(diǎn)，隨著檢測(cè)到漏洞和弱點(diǎn)的不斷積累而不斷地更新安全策略，使之更加完善從而提升整個(gè)校園網(wǎng)絡(luò)的防御能力。因此在校園網(wǎng)絡(luò)防護(hù)中，網(wǎng)絡(luò)安全檢測(cè)主要有兩個(gè)功能，一是通過(guò)不間斷實(shí)時(shí)地檢測(cè)和監(jiān)控校園網(wǎng)，來(lái)發(fā)現(xiàn)新的威脅和弱點(diǎn)，及時(shí)做出有效的響應(yīng)；二是通過(guò)檢測(cè)事件的積累和新技術(shù)的出現(xiàn)，不斷地更新和完善安全策略，從而增強(qiáng)校園網(wǎng)的防護(hù)和安全響應(yīng)。通過(guò)入侵監(jiān)測(cè)系統(tǒng)IPS、WAF等安全設(shè)備對(duì)重點(diǎn)區(qū)域和web應(yīng)用服務(wù)進(jìn)行網(wǎng)絡(luò)監(jiān)測(cè)，一旦監(jiān)測(cè)到異常事件和安全威脅立馬進(jìn)行事件響應(yīng)處置。通過(guò)網(wǎng)絡(luò)監(jiān)測(cè)情況的統(tǒng)計(jì)分析，實(shí)時(shí)調(diào)整更新安全策略，確保策略調(diào)整后更優(yōu)的防護(hù)效果。

(四)事件響應(yīng)。網(wǎng)絡(luò)安全響應(yīng)是處理校園網(wǎng)絡(luò)威脅和安全事件的執(zhí)行模塊，主要負(fù)責(zé)對(duì)安全檢測(cè)模塊中檢測(cè)到的威脅事件、漏洞、安全弱點(diǎn)和各種攻擊行為等及時(shí)做出正確的、有效的處置。高校通過(guò)部署入侵檢測(cè)等安全設(shè)備實(shí)現(xiàn)安全事件的響應(yīng)處置，來(lái)消除網(wǎng)絡(luò)中存在的威脅和弱點(diǎn)，修補(bǔ)網(wǎng)絡(luò)和系統(tǒng)中存在的漏洞，阻斷對(duì)校園網(wǎng)的攻擊行為，從而有效避免安全事件的發(fā)生，降低校園網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，提高校園網(wǎng)的安全能力。

五、結(jié)語(yǔ)

當(dāng)前高校網(wǎng)絡(luò)安全防護(hù)存在安全隱患，高校管理者應(yīng)加強(qiáng)對(duì)校園網(wǎng)絡(luò)安全的監(jiān)督管理工作，并高度重視高校廣大師生的網(wǎng)絡(luò)安全意識(shí)培養(yǎng)從而提高廣大師生的網(wǎng)絡(luò)認(rèn)知。采用P2DR動(dòng)態(tài)安全模型，將策略、防護(hù)、檢測(cè)、響應(yīng)四個(gè)環(huán)節(jié)合理應(yīng)用到校園網(wǎng)絡(luò)安全防護(hù)中，以安全策略為中心，實(shí)時(shí)循環(huán)進(jìn)行網(wǎng)絡(luò)安全防護(hù)、檢測(cè)、響應(yīng)工作，提高高校網(wǎng)絡(luò)安全防護(hù)能力，從而保障高校網(wǎng)絡(luò)的安全穩(wěn)定運(yùn)行。