中山大學(xué)“挖礦”治理進(jìn)入動態(tài)清零階段

文/張永強

自去年底啟動虛擬貨幣“挖礦”活動整治工作以來，經(jīng)過近四個月的努力，中山大學(xué)虛擬貨幣“挖礦”活動終于得到有效遏制。同時，整治工作也由集中殲滅戰(zhàn)階段轉(zhuǎn)入常態(tài)化“動態(tài)清零”階段。

“挖礦”活動整治期間，中山大學(xué)積極響應(yīng)國家號召，各部門通力協(xié)助，共同整治“挖礦”活動。其中，信息化部門持續(xù)保持對“挖礦”活動監(jiān)管的高壓態(tài)勢，不斷加強宣傳教育，全面提高計算機終端安全防護水平，重點整治防范因計算機終端感染病毒而造成的虛擬貨幣“挖礦”行為。雖然已取得一定成效，但后續(xù)整治工作仍任重道遠(yuǎn)。

“挖礦”治理困難重重

高校承擔(dān)著人才培養(yǎng)、科學(xué)研究、社會服務(wù)等多項職能，校園內(nèi)工作生活著數(shù)以萬計的師生員工，這為“挖礦”整治帶來了不少挑戰(zhàn)。

1.校園網(wǎng)絡(luò)管理難度大。校園網(wǎng)絡(luò)是統(tǒng)一出口的，不但接入了學(xué)校產(chǎn)權(quán)所有的計算機設(shè)備，還接入了師生員工攜帶的個人計算機終端，所以某種程度上也增加了校園網(wǎng)絡(luò)管理的難度。以中山大學(xué)為例，中山大學(xué)跨廣州、珠海、深圳三個城市辦學(xué)，校園網(wǎng)覆蓋3校區(qū)5校園，連接10家附屬醫(yī)院，規(guī)模大，覆蓋面廣。有線網(wǎng)的設(shè)備3千余臺，無線接入點超過3.6萬，有線網(wǎng)絡(luò)信息點超過10萬等。根據(jù)態(tài)勢感知平臺數(shù)據(jù)，目前學(xué)校校園網(wǎng)上網(wǎng)終端總數(shù)累計超過30萬臺。

2.學(xué)校網(wǎng)絡(luò)結(jié)構(gòu)復(fù)雜、終端類型繁多。很多學(xué)校存在多運營商出口，不但在互聯(lián)網(wǎng)出口發(fā)生IP地址轉(zhuǎn)換，在校園網(wǎng)內(nèi)部也存在大量NAT網(wǎng)絡(luò)設(shè)備，導(dǎo)致“挖礦”行為難以追蹤溯源。計算機終端種類繁多，既包括臺式計算機、便攜式計算機、路由器、虛擬機等，也包括自助服務(wù)設(shè)備、校園卡充值設(shè)備等；既有個人專用設(shè)備，也有多人共用設(shè)備；既有學(xué)校資產(chǎn)，也有個人資產(chǎn)。而且相關(guān)設(shè)備安全管理和安全防護水平也參差不齊。

“十三五”期間，中山大學(xué)網(wǎng)絡(luò)安全保障工作的重心在重要系統(tǒng)和重要數(shù)據(jù)的防護上，在計算機終端防護方面存在短板弱項。所以在去年11月初，當(dāng)接到地方發(fā)改委協(xié)查通知時，學(xué)校“挖礦”整治工作的起步就像一場準(zhǔn)備不足的“遭遇戰(zhàn)”。

構(gòu)建管技結(jié)合的“挖礦”治理體系

“挖礦”整治的對象是礦工節(jié)點，礦工節(jié)點又分為獨立礦工節(jié)點和非獨立礦工節(jié)點。對于前者，要先切斷節(jié)點與虛擬貨幣網(wǎng)絡(luò)的通訊；對于后者，則先切斷節(jié)點與礦池服務(wù)器的通訊。接下來，要清除節(jié)點上的“挖礦”程序，最后視調(diào)查取證情況，進(jìn)一步處置節(jié)點設(shè)備的管理人和所在單位。中山大學(xué)在虛擬貨幣“挖礦”整治工作中探索出了一套管技結(jié)合、雙管齊下的整治工作體系。

自上而下，全體動員

1.自上而下，打通整治通道。中山大學(xué)高度重視整治工作：學(xué)校黨委書記多次主持會議，布置整治工作；分管校領(lǐng)導(dǎo)定期聽取匯報，指導(dǎo)整治工作，解決整治工作中的堵點；網(wǎng)絡(luò)與信息中心作為牽頭部門，成立了整治工作專班，中心負(fù)責(zé)人、中心多部門業(yè)務(wù)骨干參加，明確時間表、路線圖，建立工作臺賬，掛圖作戰(zhàn)。

2.加強宣傳教育，增強防范意識。學(xué)校開設(shè)“挖礦”整治工作專題網(wǎng)站，給全校師生群發(fā)提醒郵件，利用微信公眾號推文，進(jìn)行防范“挖礦”宣傳，普及終端安全防護相關(guān)知識，增強師生員工網(wǎng)絡(luò)安全防范意識和個人處置能力。

3.加強監(jiān)察力度，完善檢查問責(zé)機制?！巴诘V”整治過程中，完善的檢查問責(zé)機制不僅可以保障整治工作有序開展，還能高效推進(jìn)整治進(jìn)程。中山大學(xué)建立了“挖礦”檢查問責(zé)機制，加強紀(jì)檢監(jiān)察力度，嚴(yán)格落實“挖礦”整治相關(guān)工作。

技術(shù)整改“三步走”

“挖礦”行為難以預(yù)防，因此要以假設(shè)防不住為前提，以安全運營的思想和方法，建立由事前監(jiān)測預(yù)警，事中攔截阻斷，事后處置整改等部分構(gòu)成的技術(shù)體系。

第一步，事前監(jiān)測預(yù)警。中山大學(xué)使用校園網(wǎng)絡(luò)安全態(tài)勢感知平臺、安全DNS云服務(wù)和校園網(wǎng)出口流量管理器等產(chǎn)品和服務(wù)構(gòu)建了虛擬貨幣“挖礦”活動監(jiān)測預(yù)警體系。通過該體系對計算機終端網(wǎng)絡(luò)流量進(jìn)行采集和分析，及時發(fā)現(xiàn)礦工節(jié)點與虛擬貨幣網(wǎng)絡(luò)、礦池服務(wù)器或遠(yuǎn)程控制服務(wù)器的通訊；發(fā)現(xiàn)計算機終端對已知礦池服務(wù)器或遠(yuǎn)程控制服務(wù)器的域名查詢，進(jìn)而監(jiān)測到虛擬貨幣“挖礦”活動。

第二步，事中攔截阻斷。中山大學(xué)在校園網(wǎng)出口防火墻、校園網(wǎng)出口流量管理器、校園網(wǎng)出口鏈路均衡設(shè)備以及校園DNS服務(wù)器上設(shè)置策略和規(guī)則，及時切斷礦工節(jié)點與虛擬貨幣網(wǎng)絡(luò)、礦池服務(wù)器或遠(yuǎn)程控制服務(wù)器的通訊，阻止計算機終端對已知礦池服務(wù)器或遠(yuǎn)程控制服務(wù)器的域名查詢，遏制虛擬貨幣“挖礦”活動。

第三步，事后處置整改。根據(jù)監(jiān)測預(yù)警發(fā)現(xiàn)的線索，確定涉及的計算機終端；通過郵件、企業(yè)微信、電話等方式通知計算機終端使用管理人，并同時限制計算機終端的上網(wǎng)功能；隨后安排工作人員上門調(diào)查取證，進(jìn)行進(jìn)一步處置。對于主動“挖礦”行為，網(wǎng)絡(luò)中心將轉(zhuǎn)交學(xué)校紀(jì)檢監(jiān)察部門處置。對于其他類型的“挖礦”行為，在使用管理人完成“挖礦”程序清理和計算機安全加固后，恢復(fù)計算機終端上網(wǎng)功能。對于限期未整改或?qū)掖伟l(fā)生“挖礦”行為的，中心同時通知其所在單位。

“挖礦”治理是一項長期工作

以中山大學(xué)的經(jīng)驗，高?！巴诘V”治理工作一般可分為兩個階段。

第一個階段是集中殲滅階段。這一階段的目標(biāo)是短時間內(nèi)遏制群發(fā)性“挖礦”活動，從上級部門通報名單中摘帽。這個階段可以是“運動式”的，信息化部門牽頭成立工作專班，每日一研判、每日一調(diào)度。在研判調(diào)度會上，首先解讀前一天的運營數(shù)據(jù)，隨后各部門工作人員匯報前一天工作，對工作中遇到的問題、困難進(jìn)行討論，明確下一步工作的具體安排。在這個階段，信息化部門應(yīng)探索并形成一整套適應(yīng)各自學(xué)校情況、可持續(xù)的“挖礦”活動處置流程。

第二階段是動態(tài)清零階段。這個階段的目標(biāo)是防止“挖礦”活動反彈，避免被上級部門通報。對于零星發(fā)生的“挖礦”活動，發(fā)現(xiàn)一起、處置一起。這個階段是長期的，對于“挖礦”活動的完全攔截阻斷是無法實現(xiàn)的，況且在發(fā)現(xiàn)和攔截之間也有時間差。4月以來，中山大學(xué)網(wǎng)絡(luò)監(jiān)管部門抽樣發(fā)現(xiàn)，學(xué)校仍存在少量“挖礦”行為，經(jīng)事后溯源，均為當(dāng)天發(fā)現(xiàn)并于第二天阻斷的行為。

如果以戰(zhàn)爭作比方，高?！巴诘V”整治工作先是一場不期而遇的遭遇戰(zhàn)，然后演變成一場集中優(yōu)勢兵力的殲滅戰(zhàn)，最終將形成一場長期持續(xù)的持久戰(zhàn)。中山大學(xué)信息中心負(fù)責(zé)人在總結(jié)學(xué)校整治工作的事后部分時，特別強調(diào)：

1.“挖礦”整治追求絕對清零是不現(xiàn)實的。動態(tài)清零的工作重點主要放在杜絕主動“挖礦”，遏制被動“挖礦”，規(guī)范科研型“挖礦”。

2.“挖礦”整治是一項長期工作，在經(jīng)過短暫集中殲滅階段后必然進(jìn)入長期的動態(tài)清零階段。在這個階段，學(xué)校網(wǎng)絡(luò)安全營運能力至關(guān)重要。

3.人的因素是關(guān)鍵。師生員工理解不理解，配合不配合，很大程度上決定著“挖礦”整治的效果。

4.治理工作不僅僅是信息化部門的工作。領(lǐng)導(dǎo)不重視、院系不積極、師生不配合，整治工作就無法持續(xù)、長期開展。

如今，“挖礦”整治已然進(jìn)入攻堅期，各高校唯有立足自身，具體問題具體分析，才能實現(xiàn)“挖礦”活動“動態(tài)清零”，創(chuàng)造綠色安全的校園網(wǎng)絡(luò)新環(huán)境，構(gòu)建網(wǎng)絡(luò)安全治理新生態(tài)，助力我國產(chǎn)業(yè)結(jié)構(gòu)優(yōu)化、推動節(jié)能減排、盡快實現(xiàn)碳達(dá)峰、碳中和的最終目標(biāo)。