【正文】 信息系統(tǒng)教務(wù)系統(tǒng)、財務(wù)系統(tǒng)、一卡通系統(tǒng)、學(xué)校網(wǎng)站等**圖表 1 學(xué)校IT資產(chǎn)表 網(wǎng)絡(luò)主機現(xiàn)狀xxxx大學(xué)的全部業(yè)務(wù)部署于70多臺服務(wù)器上，服務(wù)器系統(tǒng)為Windows Server，linux。主要運行OA、一卡通、財務(wù)、教務(wù)、WEB網(wǎng)站等系統(tǒng)。使用的操作系統(tǒng)主要為winwinwin10。高校校園網(wǎng)，不僅是高校教育信息化的重要基礎(chǔ)設(shè)施，同時也是學(xué)?？沙掷m(xù)發(fā)展的重要保證。因此，校園網(wǎng)安全問題已經(jīng)成為當(dāng)前校園網(wǎng)絡(luò)建設(shè)中，不可忽視的首要問題。國家對教育行業(yè)的網(wǎng)絡(luò)安全資金非常有限，再到高校的投入，比例更是少的可憐，微量投入不足以支撐起如此龐大的需求和面臨的安全態(tài)勢，加之高校自身對網(wǎng)絡(luò)安全的重視程度不夠：一方面，學(xué)校認為沒有必要做更高級別安全防護的必要性，認為沒有什么可“偷”的；另一方面，從整個網(wǎng)絡(luò)安全行業(yè)來講，做的更多是事后的“亡羊補牢”，就是修補漏洞，并不能夠完全做到預(yù)防。（二） 高校網(wǎng)站存在大量安全隱患由來已久：一、高校網(wǎng)站建設(shè)和管理不統(tǒng)一，高校內(nèi)部網(wǎng)站數(shù)量多，建設(shè)單位雜，安全管理困難；二、網(wǎng)站日常維護缺失，高校網(wǎng)站重建設(shè)、重功能，日常安全維護較差，各類安全漏洞長期得不到修復(fù)；三、對網(wǎng)站安全不重視，由于高校網(wǎng)站的公益性，被入侵和篡改網(wǎng)頁造成的損失不太明顯，網(wǎng)站安全往往得不到重視，弱口令、信息泄露隨處可見；四、服務(wù)器普遍存在漏洞，維護團隊安全技術(shù)能力普遍不足，甚至有的維護團隊就是由學(xué)生擔(dān)任，在提供學(xué)生學(xué)習(xí)平臺的同時并不能兼顧網(wǎng)絡(luò)安全。（三） 學(xué)生網(wǎng)絡(luò)安全知識匱乏網(wǎng)絡(luò)發(fā)展至今天上網(wǎng)就像看電視一樣簡單，用戶群的能力和水平良莠不齊，對安全觀念技術(shù)一無所知的人，比比皆是。往往在機器中毒后才慌慌張張的找對策。不少校園網(wǎng)用戶，對賬戶或是郵件密碼的設(shè)定不重視，總是使用自己的生日和常見的吉祥數(shù)字，或者就直接將密碼和賬號設(shè)定成同一個。（四） 學(xué)生抵御誘惑能力差大學(xué)生正處于心理發(fā)育和思想成型階段。隨著大腦的大量普及和計算機網(wǎng)絡(luò)技術(shù)快速發(fā)展，廣大學(xué)生遨游網(wǎng)絡(luò)空間，尋求精神刺激、滿足自己的好奇心和表現(xiàn)欲。他們在進行這種危險的嘗試時并沒有意識到這樣是一種違規(guī)違法的行為，只是單純的滿足自己的某種欲望或心存僥幸心理。 未來的挑戰(zhàn) “互聯(lián)網(wǎng)+教育”隨著國家教育改革的推進，“互聯(lián)網(wǎng)+教育”逐步替代“傳統(tǒng)教育”，教育方式由“一所學(xué)校、一位老師、一間教室”將會變成“一張網(wǎng)、一個移動終端，幾百萬學(xué)生，學(xué)校任你挑、老師由你選”； “微課堂”、“手機課堂”的學(xué)習(xí)方式占比將會更多。但也帶來了新的挑戰(zhàn)，新模式下如何保護學(xué)生的個人信息，如何保障系統(tǒng)的正常運行、如何保障“互聯(lián)網(wǎng)+教育”的安全成為我們需要考慮的問題。這兩個技術(shù)雖然得到了應(yīng)用，但尚處于初級階段。未來 “人工智能”將分擔(dān)學(xué)校的部分工作，保障“人工智能”的安全成為我們需要考慮的問題。建設(shè)高校大數(shù)據(jù)平臺將助推教育的全方位變革與創(chuàng)新發(fā)展。 現(xiàn)狀、差距、風(fēng)險分析 現(xiàn)狀與差距分析 物理安全現(xiàn)狀與差距分析xxxx大學(xué)機房以于前期按照相關(guān)標(biāo)準(zhǔn)建設(shè)完成，存在的安全隱患不多，但仍需完善相關(guān)物理安全措施。符合處于三樓2物理訪問控制（G3）本項要求包括：a)機房出入口應(yīng)安排專人值守，控制、鑒別和記錄進入的人員；符合來訪人員應(yīng)經(jīng)過申請和審批流程，并限制和監(jiān)控其活動范圍b)需進入機房的來訪人員應(yīng)經(jīng)過申請和審批流程，并限制和監(jiān)控其活動范圍；符合來訪人員應(yīng)經(jīng)過申請和審批流程，并限制和監(jiān)控其活動范圍c)應(yīng)對機房劃分區(qū)域進行管理，區(qū)域和區(qū)域之間設(shè)置物理隔離裝置，在重要區(qū)域前設(shè)置交付或安裝等過渡區(qū)域；不符合在重要區(qū)域前做好標(biāo)記，設(shè)置物理隔離裝置。符合在重要區(qū)域配置電子門禁系統(tǒng)，鑒別和記錄進入人員身份。c)應(yīng)將通信線纜鋪設(shè)在隱蔽處，可鋪設(shè)在地下或管道中；符合做好線纜標(biāo)簽。符合4防雷擊（G3）本項要求包括：a)機房建筑應(yīng)設(shè)置避雷裝置；符合安裝避雷裝置b)應(yīng)設(shè)置防雷保安器，防止感應(yīng)雷；符合安裝防雷保安器c)機房應(yīng)設(shè)置交流電源地線。不符合在重要區(qū)域前做好標(biāo)記，設(shè)置物理隔離裝置6防水和防潮（G3）本項要求包括：a)水管安裝，不得穿過機房屋頂和活動地板下；符合b)應(yīng)采取措施防止雨水通過機房窗戶、屋頂和墻壁滲透；符合c)應(yīng)采取措施防止機房內(nèi)水蒸氣結(jié)露和地下積水的轉(zhuǎn)移與滲透；基本符合d)應(yīng)安裝對水敏感的檢測儀表或組件，對機房進行防水檢測和報警。7防靜電（G3）本項要求包括：a)主要設(shè)備應(yīng)采用必要的接地防靜電措施；符合主要設(shè)備接地b)機房應(yīng)采用防靜電地板。符合精密空調(diào)9電力供應(yīng)（A3）本項要求包括：a)應(yīng)在機房供電線路上配置穩(wěn)壓器和過電壓防護設(shè)備；符合b)應(yīng)提供短期的備用電力供應(yīng)，至少滿足主要設(shè)備在斷電情況 下的正常運行要求；基本符合配置有UPS,供電1小時（有柴油發(fā)電機）設(shè)置 UPS電池供電，并至少保證斷電時主要設(shè)備在滿負荷情況下4小時的正常運行。符合備用柴油發(fā)電機10電磁防護（S3）本項要求包括：a)應(yīng)采用接地方式防止外界電磁干擾和設(shè)備寄生耦合干擾；符合實現(xiàn)強弱電纜的隔離敷設(shè)，對重要的網(wǎng)絡(luò)設(shè)備進行外殼安全接地。符合實現(xiàn)關(guān)鍵設(shè)備的電池屏蔽功能。詳見下表：圖表 3 網(wǎng)絡(luò)安全現(xiàn)狀差距分析表序號要求指標(biāo)項是否符合差距分析備注1結(jié)構(gòu)安全（G3）本項要求包括：a)應(yīng)保證主要網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力具備冗余空間，滿足業(yè)務(wù)高峰期需要；符合要求滿足b)應(yīng)保證網(wǎng)絡(luò)各個部分的帶寬滿足業(yè)務(wù)高峰期需要；符合要求部署有流控審計系統(tǒng)c)應(yīng)在業(yè)務(wù)終端與業(yè)務(wù)服務(wù)器之間進行路由控制建立安全的訪問路徑；符合要求需在業(yè)務(wù)終端與服務(wù)器之間的（路由器、交換機、防火墻）上建立ACL（訪問控制列表）。我們會在工程結(jié)束后重新繪制網(wǎng)絡(luò)拓撲圖。g)應(yīng)按照對業(yè)務(wù)服務(wù)的重要次序來指定帶寬分配優(yōu)先級別，保證在網(wǎng)絡(luò)發(fā)生擁堵的時候優(yōu)先保護重要主機。按照業(yè)務(wù)服務(wù)的重要次序進行帶寬保護。需及時更新協(xié)議庫。f)重要網(wǎng)段應(yīng)采取技術(shù)手段防止地址欺騙；基本符合要求未部署訪問控制設(shè)備的區(qū)域無法采用包過濾或傳輸控制協(xié)議，進行邊界訪問控制，防止地址欺騙，應(yīng)對網(wǎng)絡(luò)中的廣播、組播進行必要的控制。g)應(yīng)按用戶和系統(tǒng)之間的允許訪問規(guī)則，決定允許或拒絕用戶對受控系統(tǒng)進行資源訪問，控制粒度為單個用戶；符合要求需對訪問進行策略控制。符合要求3安全審計（G3）本項要求包括：a)應(yīng)對網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運行狀況、網(wǎng)絡(luò)流量、用戶行為等進行日志記錄；符合要求部署有網(wǎng)絡(luò)運維管理軟件、流控、上網(wǎng)行為管理設(shè)備b)審計記錄應(yīng)包括：事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關(guān)的信息；符合要求部署有網(wǎng)絡(luò)運維管理軟件、流控、上網(wǎng)行為管理設(shè)備c)應(yīng)能夠根據(jù)記錄數(shù)據(jù)進行分析，并生成審計報表；符合要求部署有網(wǎng)絡(luò)運維管理軟件、流控、上網(wǎng)行為管理設(shè)備d)應(yīng)對審計記錄進行保護，避免受到未預(yù)期的刪除、修改或覆蓋等。4邊界完整性檢查（S3）本項要求包括：a)應(yīng)能夠?qū)Ψ鞘跈?quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為進行檢查，準(zhǔn)確定出位置，；不符合要求不能夠?qū)Ψ鞘跈?quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為進行檢查，準(zhǔn)確定出位置，并對其進行有效阻斷。不符合要求采用準(zhǔn)入控制系統(tǒng)，杜絕私自外聯(lián)5入侵防范（G3）本項要求包括：a)應(yīng)在網(wǎng)絡(luò)邊界處監(jiān)視以下攻擊行為：端口掃描、強力攻擊、 木馬后門攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊等；符合要求部署有入侵防御（應(yīng)保持特征庫及時更新）b)當(dāng)檢測到攻擊行為時，記錄攻擊源IP、攻擊類型、攻擊目的、攻擊時間，在發(fā)生嚴(yán)重入侵事件時應(yīng)提供報警符合要求部署有入侵防御（應(yīng)保持特征庫及時更新）6惡意代碼防范（G3）本項要求包括：a)應(yīng)在網(wǎng)絡(luò)邊界處對惡意代碼進行檢測和清除；符合要求部署有防病毒網(wǎng)關(guān)（應(yīng)保持特征、規(guī)則庫及時更新）b)應(yīng)維護惡意代碼庫的升級和檢測系統(tǒng)的更新。c)網(wǎng)絡(luò)設(shè)備用戶的標(biāo)識應(yīng)唯一；符合要求對設(shè)備進行唯一的標(biāo)示。f)應(yīng)具有登錄失敗處理功能，可采取結(jié)束會話、限制非法登錄次數(shù)和當(dāng)網(wǎng)絡(luò)登錄連接超時自動退出等措施；基本符合要求當(dāng)一次登錄密碼錯誤次數(shù)超過 6 次， 應(yīng)能自動關(guān)閉并告警。h)應(yīng)實現(xiàn)設(shè)備特權(quán)用戶的權(quán)限分離。c)應(yīng)啟用登錄失敗處理功能，可采取結(jié)束會話、限制非法登錄次數(shù)和自動退出等措施；基本符合要求建議啟用登錄失敗處理功能。e)應(yīng)為操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的不同用戶分配不同的用戶名，確保用戶名具有唯一性。不符合要求增設(shè)堡壘機2訪問控制（S3）本項要求包括：a)應(yīng)啟用訪問控制功能，依據(jù)安全策略控制用戶對資源的訪問；符合要求通過安全設(shè)備按需求設(shè)置訪問控制策略b)應(yīng)根據(jù)管理用戶的角色分配權(quán)限，實現(xiàn)管理用戶的權(quán)限分離，僅授予管理用戶所需的最小權(quán)限；不符合要求部署堡壘機，將網(wǎng)絡(luò)管理員、系統(tǒng)管理員和安全審計員分離，通過技術(shù)手段控制授予所需要的最小權(quán)限。e)應(yīng)及時刪除多余的、過期的帳戶，避免共享帳戶的存在。f)應(yīng)對重要信息資源設(shè)置敏感標(biāo)記；不符合要求未對重要服務(wù)器部署服務(wù)器加固系統(tǒng)，采取安全加固措施，并設(shè)置敏感標(biāo)記。部署數(shù)據(jù)庫審計/堡壘機系統(tǒng)b)審計內(nèi)容應(yīng)包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關(guān)事件；不符合要求未部署數(shù)據(jù)庫審計系統(tǒng)，無法對重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關(guān)事件進行審計。部署堡壘機/日志審計系統(tǒng)/數(shù)據(jù)庫審計系統(tǒng)d)應(yīng)能夠根據(jù)記錄數(shù)據(jù)進行分析，并生成審計報表；不符合要求未部署日志審計系統(tǒng)/數(shù)據(jù)庫審計系統(tǒng)，無法對異常行為實時告警。不符合要求未部署日志審計系統(tǒng)/數(shù)據(jù)庫審計系統(tǒng)。）部署日志審計系統(tǒng)/數(shù)據(jù)庫審計系統(tǒng)4剩余信息保護（S3）本項要求包括：a)應(yīng)保證操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)用戶的鑒別信息所在的存儲空間，被釋放或再分配給其他用戶前得到完全清除，無論這些信息是存放在硬盤上還是在內(nèi)存中；符合要求滿足b)應(yīng)確保系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫記錄等資源所在的存儲空間，被釋放或重新分配給其他用戶前得到完全清除。5入侵防范（G3）本項要求包括：a)應(yīng)能夠檢測到對重要服務(wù)器進行入侵的行為，能夠記錄入侵的源IP、攻擊的類型、攻擊的目的、攻擊的時間，并在發(fā)生嚴(yán)重入侵事件時提供報警；不符合要求不滿足服務(wù)器終端部署主機安全加固系統(tǒng)b)應(yīng)能夠?qū)χ匾绦虻耐暾赃M行檢測，并在檢測到完整性受到破壞后具有恢復(fù)的措施；不符合要求未定期使用完整性檢查工具或腳本對服務(wù)器的重要程序和文件進行檢查。c)操作系統(tǒng)應(yīng)遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序，并通過設(shè)置升級服務(wù)器等方式保持系統(tǒng)補丁及時得到更新。通過安全加固軟件結(jié)合人工的方式對服務(wù)器進行優(yōu)化6惡意代碼防范（G3）本項要求包括：a)應(yīng)安裝防惡意代碼軟件，并及時更新防惡意代碼軟件版本和惡意代碼庫；符合要求應(yīng)保持防惡意代碼軟件的及時更新b)主機防惡意代碼產(chǎn)品應(yīng)具有與網(wǎng)絡(luò)防惡意代碼產(chǎn)品不同的惡意代碼庫；基本符合要求防惡意代碼的產(chǎn)品應(yīng)選用不同廠商的產(chǎn)品，此類產(chǎn)品有防惡意代碼軟件或防病毒軟件。符合要求部署的防惡意代碼應(yīng)具有統(tǒng)一管理的功能。b)應(yīng)根據(jù)安全策略設(shè)置登錄終端的操作超時鎖定；基本符合要求應(yīng)在主機上設(shè)置超時鎖定功能c)應(yīng)對重要服務(wù)器進行監(jiān)視，包括監(jiān)視服務(wù)器的CPU、硬盤、內(nèi)存、網(wǎng)絡(luò)等資源的使用情況；基本符合要求不滿足可通過網(wǎng)絡(luò)運維管理軟件、主機加固系統(tǒng)對重要服務(wù)器進行監(jiān)視并對服務(wù)器的運行狀況異常實時告警?；痉弦罂赏ㄟ^網(wǎng)絡(luò)運維管理系統(tǒng)/主機安全加固軟件對重要服務(wù)器進行監(jiān)視并對服務(wù)器的運行狀況異常實時告警。詳見下表：圖表 5 應(yīng)用安全現(xiàn)狀差距分析表序號要求指標(biāo)項是否符合差距分析備注1身份鑒別（S3）本項要求包括：a)應(yīng)提供專用的登錄控制模塊對登錄用戶進行身份標(biāo)識和鑒別；不符合要求未采用技術(shù)手段，提供專用的登錄控制模塊對登錄用戶的身份進行標(biāo)識和鑒別。b)應(yīng)對同一用戶采用兩種或兩種以上組合的鑒別技術(shù)實現(xiàn)用戶身份鑒別；不符合要求未采用兩種以上組合的鑒別技術(shù)。c)應(yīng)提供用戶身份標(biāo)識唯一和鑒別信息復(fù)雜度檢查功能，保證應(yīng)用系統(tǒng)中不存在重復(fù)用戶身份標(biāo)識，身份鑒別信息不易被冒用；符合要求滿足d)應(yīng)提供登錄失敗處理功能，可采取結(jié)束會話、限制非法登錄次數(shù)和自動退出等措施；符合要求滿足e)應(yīng)啟用身份鑒別、用戶身份標(biāo)識唯一性檢查、用戶身份鑒別信息復(fù)雜度檢查以及登錄失敗處理功能，并根據(jù)安全策略配置相關(guān)參數(shù)?；痉弦蟠蟛糠衷O(shè)備只有管理員賬號，網(wǎng)絡(luò)、系統(tǒng)和安全管理員沒有分別設(shè)置，并由一個人同時兼任。e)應(yīng)具有對重要信息資源設(shè)置敏感標(biāo)記的功能；基本符合要求對重要服務(wù)器部署服務(wù)器加固系統(tǒng)，采取安全加固措施，并設(shè)置敏感標(biāo)記。3安全審計（G3）本項要求包括：a)應(yīng)提供覆蓋到每個用戶的安全審計功能，對應(yīng)用系統(tǒng)重要安全事件進行審計；不符合要求部署數(shù)據(jù)庫審計系統(tǒng),對應(yīng)用系統(tǒng)每個用戶的安全事件進行記錄審計。c)審計記錄的內(nèi)容至少應(yīng)包括事件的日期、時間、發(fā)起者信息、類型、描述和結(jié)果等；不符合要求部署日志審計系統(tǒng)/數(shù)據(jù)庫審計系統(tǒng)/堡壘機。不符合要求部署日志審計系統(tǒng)/數(shù)據(jù)庫審計系統(tǒng)/堡壘機。b)應(yīng)保證系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫記錄等資源所在的