長(zhǎng)春理工大學(xué)網(wǎng)絡(luò)安全隊(duì)伍建設(shè)與探索

文/底曉強(qiáng) 從立鋼 蔡彬彬

網(wǎng)絡(luò)安全工作事關(guān)國(guó)家安全和經(jīng)濟(jì)社會(huì)發(fā)展，國(guó)家高度重視網(wǎng)絡(luò)安全，并先后頒布了《中華人民共和國(guó)網(wǎng)絡(luò)安全法》《中華人民共和國(guó)密碼法》《中華人民共和國(guó)數(shù)據(jù)安全法》《網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例（征求意見(jiàn)稿）》，明確了網(wǎng)絡(luò)的運(yùn)行管理和數(shù)據(jù)保護(hù)的基本原則。教育部先后發(fā)布《關(guān)于進(jìn)一步加強(qiáng)網(wǎng)絡(luò)信息系統(tǒng)安全保障工作的通知》《關(guān)于加強(qiáng)教育行業(yè)網(wǎng)絡(luò)與信息安全工作的指導(dǎo)意見(jiàn)》《關(guān)于加強(qiáng)新時(shí)代教育管理信息化工作的通知》《高等學(xué)校數(shù)字校園建設(shè)規(guī)范（試行）》等，分別對(duì)教育系統(tǒng)的網(wǎng)絡(luò)安全工作提出了具體要求。

網(wǎng)絡(luò)安全具有動(dòng)態(tài)性、整體性、開(kāi)放性的特點(diǎn)。如何筑牢高校網(wǎng)絡(luò)安全防線，提高網(wǎng)絡(luò)安全保障水平，是高校信息化部門(mén)工作的重中之重。

校園網(wǎng)安全風(fēng)險(xiǎn)分析

整體來(lái)看，高校網(wǎng)絡(luò)安全風(fēng)險(xiǎn)主要包括系統(tǒng)安全、網(wǎng)絡(luò)安全和應(yīng)用安全三個(gè)方面的風(fēng)險(xiǎn)。根據(jù)高校的組織結(jié)構(gòu)特點(diǎn)將其拆解成具體工作任務(wù)，以確保網(wǎng)絡(luò)安全工作責(zé)任落實(shí)到位、落實(shí)到人，踐行網(wǎng)絡(luò)安全為師生、網(wǎng)絡(luò)安全靠師生的工作理念。

首先，在系統(tǒng)安全方面，校園網(wǎng)絡(luò)節(jié)點(diǎn)硬件設(shè)備數(shù)量多，分布范圍廣，存在著物理安全風(fēng)險(xiǎn)；操作系統(tǒng)和中間件存在配置不正確，漏洞未及時(shí)修復(fù)的安全風(fēng)險(xiǎn)；云平臺(tái)存在著安全隔離措施不到位，被發(fā)起同駐攻擊風(fēng)險(xiǎn)。表1 為系統(tǒng)安全風(fēng)險(xiǎn)類(lèi)型、范圍和防范措施。

表1 系統(tǒng)安全風(fēng)險(xiǎn)類(lèi)型、范圍和防范措施

其次，在網(wǎng)絡(luò)安全方面，端到端通信未采用HTTPS、SSH、SFTP 等安全協(xié)議，存在數(shù)據(jù)被截獲、篡改和中間人攻擊風(fēng)險(xiǎn)；網(wǎng)絡(luò)基礎(chǔ)設(shè)施如DNS、防火墻、路由的訪問(wèn)控制權(quán)限和策略不當(dāng)，影響網(wǎng)絡(luò)的穩(wěn)定運(yùn)行；漏洞發(fā)現(xiàn)和安全檢測(cè)完全依賴設(shè)備，攻防對(duì)抗能力弱；網(wǎng)絡(luò)的RADIUS、VPN 等賬號(hào)被盜用冒用。表2 為網(wǎng)絡(luò)安全風(fēng)險(xiǎn)類(lèi)型、范圍和防范措施。

表2 網(wǎng)絡(luò)安全風(fēng)險(xiǎn)類(lèi)型、范圍和防范措施

最后，在應(yīng)用安全方面，存在網(wǎng)站內(nèi)容被篡改、輿情預(yù)警能力不足，關(guān)鍵應(yīng)用數(shù)據(jù)被竊取、應(yīng)用系統(tǒng)運(yùn)行不穩(wěn)定，師生個(gè)人信息泄漏、敏感業(yè)務(wù)數(shù)據(jù)被篡改，漏洞修復(fù)不及時(shí)等風(fēng)險(xiǎn)。表3為應(yīng)用安全風(fēng)險(xiǎn)類(lèi)型、范圍和防范措施。

表3 應(yīng)用安全風(fēng)險(xiǎn)類(lèi)型、范圍和防范措施

隊(duì)伍建設(shè)探索與實(shí)踐

網(wǎng)絡(luò)安全的本質(zhì)是攻防兩端人員的對(duì)抗。網(wǎng)絡(luò)安全工作專(zhuān)業(yè)性強(qiáng)，對(duì)人員的理論和實(shí)踐能力均有很高的要求。目前，校內(nèi)外網(wǎng)絡(luò)安全崗位待遇差距大，導(dǎo)致信息化部門(mén)很難吸引到優(yōu)秀的網(wǎng)絡(luò)安全人才。但高校最不缺的也是人才，理工科院校大都有計(jì)算機(jī)、信息安全等相關(guān)專(zhuān)業(yè)，因此吸引優(yōu)秀的學(xué)生和專(zhuān)業(yè)教師參加學(xué)校的網(wǎng)絡(luò)安全工作，可以彌補(bǔ)專(zhuān)業(yè)人員缺失導(dǎo)致的網(wǎng)絡(luò)安全防護(hù)力量不足的缺陷。

信息化部門(mén)的業(yè)務(wù)骨干將積累的工程經(jīng)驗(yàn)傳授給學(xué)生，為學(xué)生提供網(wǎng)絡(luò)安全實(shí)戰(zhàn)的環(huán)境，助力學(xué)生成長(zhǎng)成才；校園網(wǎng)的網(wǎng)絡(luò)安全日志，是開(kāi)展網(wǎng)絡(luò)安全科學(xué)研究的寶貴數(shù)據(jù)，可以將其提供給專(zhuān)業(yè)教師。因此，吸引師生參加學(xué)校的網(wǎng)絡(luò)安全防護(hù)是各方的多贏。以此，將學(xué)校網(wǎng)絡(luò)安全人才隊(duì)伍建設(shè)成一個(gè)具有發(fā)展?jié)撃艿膹椥韵到y(tǒng),解決由于編制導(dǎo)致的信息化人員隊(duì)伍僵化問(wèn)題，提高學(xué)校的網(wǎng)絡(luò)安全防護(hù)能力。這些年，長(zhǎng)春理工大學(xué)在網(wǎng)絡(luò)安全上也進(jìn)行了以下實(shí)踐和探索。

第一，組織競(jìng)賽選拔參加網(wǎng)絡(luò)安全防護(hù)工作的學(xué)生。2016 年，學(xué)校舉辦了首屆長(zhǎng)春理工大學(xué)網(wǎng)絡(luò)攻防大賽。來(lái)自全校10 個(gè)專(zhuān)業(yè)的99 名學(xué)生報(bào)名參賽，經(jīng)過(guò)網(wǎng)絡(luò)安全理論基礎(chǔ)知識(shí)初賽考核后，38 名選手入圍決賽，最終有14 名學(xué)生獲得決賽獎(jiǎng)項(xiàng)。以此次比賽為契機(jī)，由指導(dǎo)教師牽頭，以入圍決賽的學(xué)生為骨干，組建長(zhǎng)春理工大學(xué)網(wǎng)絡(luò)攻防協(xié)會(huì)。協(xié)會(huì)每年通過(guò)校內(nèi)競(jìng)賽組織納新，定期開(kāi)展訓(xùn)練，有針對(duì)性地參加國(guó)內(nèi)外的網(wǎng)絡(luò)安全競(jìng)賽，保持協(xié)會(huì)的活力和水平。為了提高訓(xùn)練水平，信息化中心不定期邀請(qǐng)網(wǎng)絡(luò)安全廠商和知名的網(wǎng)絡(luò)安全技術(shù)專(zhuān)家，為協(xié)會(huì)的學(xué)生訓(xùn)練提供指導(dǎo)。網(wǎng)絡(luò)攻防協(xié)會(huì)先后組隊(duì)參加了全國(guó)大學(xué)生信息安全競(jìng)賽、吉林省大學(xué)生信息安全競(jìng)賽和各大廠商舉辦的網(wǎng)絡(luò)安全競(jìng)賽，累計(jì)獲獎(jiǎng)四十余項(xiàng)。通過(guò)以賽帶練、以賽促學(xué)，網(wǎng)絡(luò)攻防協(xié)會(huì)學(xué)生的理論水平和實(shí)踐能力得到了提升。

第二，建立基于學(xué)校防護(hù)工作內(nèi)容的網(wǎng)絡(luò)安全實(shí)訓(xùn)基地。實(shí)踐教學(xué)是實(shí)現(xiàn)卓越工程師培養(yǎng)目標(biāo)的關(guān)鍵環(huán)節(jié)，因此高校普遍重視實(shí)訓(xùn)基地建設(shè)。不同于實(shí)驗(yàn)室的驗(yàn)證性實(shí)驗(yàn)，實(shí)訓(xùn)教學(xué)更加注重為本科生提供與社會(huì)需求同步的生產(chǎn)實(shí)訓(xùn)，同時(shí)要培養(yǎng)學(xué)生的團(tuán)隊(duì)意識(shí)、競(jìng)爭(zhēng)意識(shí)以及終身學(xué)習(xí)能力，力爭(zhēng)將實(shí)訓(xùn)環(huán)節(jié)作為理論教學(xué)和工作崗位之間的橋梁紐帶。信息化中心以學(xué)校網(wǎng)絡(luò)安全工作為依托，聯(lián)合學(xué)校教育部計(jì)算機(jī)信息安全與網(wǎng)絡(luò)攻防虛擬仿真實(shí)驗(yàn)教學(xué)中心和吉林省網(wǎng)絡(luò)與信息安全重點(diǎn)實(shí)驗(yàn)室，制定符合學(xué)生培養(yǎng)需求的實(shí)訓(xùn)方案，建設(shè)網(wǎng)絡(luò)安全實(shí)踐基地，形成協(xié)同育人機(jī)制。信息化中心定期發(fā)布適合學(xué)生參加的網(wǎng)絡(luò)安全項(xiàng)目需求，學(xué)生申請(qǐng)通過(guò)考核后，由信息化中心和計(jì)算機(jī)學(xué)院教師共同指導(dǎo)學(xué)生利用課余時(shí)間完成項(xiàng)目，學(xué)生的實(shí)踐能力提高明顯。

第三，開(kāi)展網(wǎng)絡(luò)安全研究提升人員隊(duì)伍能力。信息化中心負(fù)責(zé)學(xué)校校園網(wǎng)的運(yùn)維和網(wǎng)絡(luò)安全防護(hù)，通過(guò)日志分析監(jiān)控網(wǎng)絡(luò)和系統(tǒng)運(yùn)行狀態(tài)是一項(xiàng)重要的工作內(nèi)容。隨著數(shù)據(jù)中心設(shè)備與應(yīng)用的增多，日志從單一來(lái)源發(fā)展為海量異構(gòu)多源，其采集方式從單機(jī)采集發(fā)展為分布式采集，簡(jiǎn)單的統(tǒng)計(jì)分析已經(jīng)無(wú)法滿足網(wǎng)絡(luò)安全防護(hù)的需求。多源海量日志對(duì)基于日志開(kāi)展的安全研究提出了新的挑戰(zhàn)，全面采集、實(shí)時(shí)存儲(chǔ)、快速分析和高效利用日志數(shù)據(jù)，才能更好地保護(hù)數(shù)據(jù)中心的安全。

為此，學(xué)校信息化中心和智能網(wǎng)絡(luò)與信息安全研究室共同組建了研究團(tuán)隊(duì)，針對(duì)數(shù)據(jù)中心多源日志的挖掘問(wèn)題開(kāi)展技術(shù)攻關(guān)。研究過(guò)程中，專(zhuān)業(yè)教師深入理解了網(wǎng)絡(luò)安全的業(yè)務(wù)需求，為理論成果找到應(yīng)用場(chǎng)景，同時(shí)發(fā)現(xiàn)了理論研究和實(shí)際應(yīng)用之間的差異，為完善理論模型提供了依據(jù)。信息化部門(mén)的技術(shù)骨干學(xué)習(xí)到科研人員如何分析問(wèn)題，如何應(yīng)用理論工具解決實(shí)際問(wèn)題，這一過(guò)程不但提高了業(yè)務(wù)能力，也激發(fā)了技術(shù)骨干學(xué)習(xí)和鉆研技術(shù)的熱情，近三年信息化部門(mén)的教師承擔(dān)省級(jí)以上研究課題10 項(xiàng)。

這種實(shí)踐模式也得到了上級(jí)的認(rèn)可。2018 年，吉林省委網(wǎng)信辦授予學(xué)校“吉林省網(wǎng)絡(luò)空間安全人才能力培養(yǎng)與創(chuàng)新基地”。學(xué)校協(xié)辦了多次吉林省大學(xué)生網(wǎng)絡(luò)安全競(jìng)賽，2021、2022 年連續(xù)2 年承辦全國(guó)大學(xué)生信息安全競(jìng)賽的東北分區(qū)賽，在學(xué)校營(yíng)造了良好的網(wǎng)絡(luò)安全學(xué)習(xí)氛圍。計(jì)算機(jī)學(xué)院根據(jù)項(xiàng)目完成的質(zhì)量和學(xué)生的表現(xiàn)給予學(xué)生相應(yīng)的創(chuàng)新實(shí)踐分?jǐn)?shù)，實(shí)現(xiàn)了網(wǎng)絡(luò)安全人才培養(yǎng)和持續(xù)提高學(xué)校網(wǎng)絡(luò)安全防護(hù)能力的良性循環(huán)。

長(zhǎng)春理工大學(xué)在建校之初，首任校長(zhǎng)王大珩先生就提出“兩個(gè)三結(jié)合”的辦學(xué)理念，既校內(nèi)“教學(xué)、科研、生產(chǎn)”相結(jié)合，校外“學(xué)校、研究所、工廠”相結(jié)合，促進(jìn)教學(xué)與科研生產(chǎn)的融合，注重學(xué)生實(shí)踐能力的培養(yǎng)。把該理念引入學(xué)校的網(wǎng)絡(luò)安全防護(hù)工作中，吸引網(wǎng)絡(luò)安全相關(guān)的專(zhuān)業(yè)教師和優(yōu)秀的學(xué)生參加學(xué)校的網(wǎng)絡(luò)安全技術(shù)防護(hù)工作，在長(zhǎng)春理工大學(xué)取得了良好的效果。在一定程度上，解決了信息化人員隊(duì)伍中專(zhuān)業(yè)人員不足和專(zhuān)業(yè)能力弱的問(wèn)題。當(dāng)然，目前仍存在一些體制機(jī)制問(wèn)題尚待解決：如何認(rèn)定專(zhuān)任教師參與網(wǎng)絡(luò)安全工作的貢獻(xiàn)？如何認(rèn)定信息化部門(mén)教師指導(dǎo)學(xué)生的工作量？如何持續(xù)吸引專(zhuān)業(yè)教師參加學(xué)校的網(wǎng)絡(luò)安全工作？未來(lái)，這些問(wèn)題都需要進(jìn)一步探索。