近年來，教育系統(tǒng)成為網(wǎng)絡攻擊的重點區(qū)域，針對高?？蒲袉挝坏腁PT攻擊逐漸增多?？傮w來說，隨著高校信息化的快速發(fā)展，來自互聯(lián)網(wǎng)和校園網(wǎng)的網(wǎng)絡安全威脅和壓力也與日俱增，這是我國高校過往十年都所不曾遇到的，形勢十分嚴峻。
未來，高校將面臨更為有組織、甚至有特別背景的網(wǎng)絡風險。這種全新的威脅態(tài)勢也要求我們必須采取更加主動、多方協(xié)同的防御策略。這與過去幾年常規(guī)的網(wǎng)站安全防范為主、對抗個別黑客的個體行為不同，意味著我們需要優(yōu)化升級已有的安全架構，進行全天候、全方位、全鏈條的安全保障體系建設，以更有效、更快速地應對此類有組織的網(wǎng)絡攻擊或入侵威脅。
高校網(wǎng)絡安全工作已得到各校的高度重視，數(shù)據(jù)顯示，我國已有85%的高校完成主要系統(tǒng)的網(wǎng)絡安全等級保護建設。2023年教育系統(tǒng)開展第五屆網(wǎng)絡安全攻防演習，攻防演練規(guī)模為歷史之最，聚齊五十余家國內(nèi)高校攻擊隊和多家安全廠商隊伍，將安全管理體系納入考核內(nèi)容，并首次不提前通知具體時間，要求常態(tài)化應對，演練更加契合當前應對有組織威脅的實戰(zhàn)化需求。
然而，在“圍追堵截”安全威脅的過程中，如何能夠防患于未然，已成為擺在高校面前無法回避的問題。網(wǎng)絡安全態(tài)勢感知體系建設的重要性和必要性進一步凸顯，它使得我們可以預知和及時發(fā)現(xiàn)威脅和攻擊，增強風險管理的能力，在損失產(chǎn)生之前即刻采取措施、斬斷攻擊鏈條，進而避免安全事件的發(fā)生和風險進一步擴大。
網(wǎng)絡安全保障工作思路探索
為應對新的網(wǎng)絡攻擊威脅趨勢，打造全天候的網(wǎng)絡安全攻防對抗的能力，公安部于2019年發(fā)布《貫徹落實網(wǎng)絡安全等級保護制度和關鍵信息基礎設施安全保護制度的指導意見》，要求按照實戰(zhàn)化、體系化、常態(tài)化要求，落實動態(tài)防御、主動防御、縱深防御、精準防護、整體防控、聯(lián)防聯(lián)控措施，建立網(wǎng)絡安全綜合防御體系（簡稱“三化六防”），成為當前政府、企業(yè)、組織網(wǎng)絡安全工作的主要的工作方向。
“三化六防”為高校推進網(wǎng)絡安全建設提供了有益的借鑒，同樣也為中山大學的態(tài)勢感知體系建設提供了指導性的建議，具體如下。
一方面，高校對網(wǎng)絡安全保障的要求正在變得更為專業(yè)。
一是實戰(zhàn)化，要充分認識網(wǎng)絡安全的本質(zhì)就是人與人之間的對抗，我們要對自身的短板弱項和潛在對手攻擊的特點充分了解，要從問題的發(fā)現(xiàn)、預警通報、響應處置，再到整改加固，每一步都需要保持持續(xù)警惕，以便迅速應對潛在威脅。
二是體系化，主要包括加強安全技術體系、安全管理體系、安全運營體系，以及專業(yè)人員團隊的建設。
三是常態(tài)化，要對校園網(wǎng)的邊界、核心、骨干區(qū)域，以及數(shù)據(jù)中心和開發(fā)運維區(qū)等關鍵部位保持持續(xù)、全面、動態(tài)的安全監(jiān)測和態(tài)勢感知，按不同場景進行安全編排，實現(xiàn)安全設備和系統(tǒng)自動化的協(xié)同處置和溯源反制。
另一方面，高校網(wǎng)絡安全工作可從以下六個方面落實防護舉措。
動態(tài)防御，以風險管理為指導，針對攻擊方法、攻擊途徑的變化，實現(xiàn)網(wǎng)絡安全狀態(tài)持續(xù)監(jiān)測、及時反饋，動態(tài)調(diào)整防御策略、技術和手段。
主動防御，基于可信計算技術、密碼技術等實現(xiàn)主動安全防護，結合威脅情報、態(tài)勢感知，及時發(fā)現(xiàn)和處置未知威脅，落實主動防護措施。
縱深防御，也即實行分區(qū)分域管理，區(qū)域間進行安全隔離和認證，實現(xiàn)由外到內(nèi)、從邊界到核心的多重保護以及對攻擊的層層阻擊。
精準防護，基于資產(chǎn)的自動化管理，綜合利用內(nèi)外部威脅信息，實現(xiàn)對核心資產(chǎn)的快速有效防護。
整體防控，以保護關鍵業(yè)務鏈為目標，進行整體安全設計，建立協(xié)同聯(lián)動、高效統(tǒng)一的安全防護架構。
聯(lián)防聯(lián)控，建立與國家監(jiān)管部門、保護工作部門以及其他相關組織的信息共享、協(xié)同聯(lián)動的共同防護機制，建設“打防管控”一體化網(wǎng)絡安全綜合防控體系。
高校網(wǎng)絡安全建設的目標是以監(jiān)測預警為核心，構建全面的網(wǎng)絡安全保障體系，實現(xiàn)可管、可見、可知、可控。這意味著我們需要全面監(jiān)管學校的重要信息資產(chǎn)、實時發(fā)現(xiàn)攻擊威脅、識別脆弱性漏洞問題以及建立聯(lián)動自動化處置機制。通過這些努力，最終實現(xiàn)事前的預防、事中的發(fā)現(xiàn)、事后的溯源，并對網(wǎng)絡威脅的趨勢進行預測?！笆轮械陌l(fā)現(xiàn)”最為關鍵，可及時斬斷攻擊鏈條，因而網(wǎng)絡安全態(tài)勢感知體系建設會越來越重要和迫切。
我們希望，通過一系列網(wǎng)絡安全防御舉措，最終實現(xiàn)三大安全目標：首先，能夠“看得見”，通過可視化監(jiān)測確保對網(wǎng)絡狀況有清晰的了解；其次，能夠“防得住”，通過強化防御來抵御各種威脅；最后，需要“管得了”，通過有效的管理來保障網(wǎng)絡安全的可持續(xù)性。
中山大學網(wǎng)絡安全態(tài)勢感知體系建設
中山大學的網(wǎng)絡安全保障主要面臨以下三個方面的挑戰(zhàn)：
一是監(jiān)管合規(guī)壓力加大。隨著“三法一例”的陸續(xù)發(fā)布和生效，我們需要不斷自我檢視，以確保安全工作得以完善。只有這樣，才能更好地應對來自網(wǎng)信、公安、主管單位的常態(tài)化檢查和通報。
二是全國性攻防實戰(zhàn)演練規(guī)模不斷擴大，重大會議和節(jié)日期間安全保障常態(tài)化，更加需要合規(guī)遵循和實戰(zhàn)效果的雙輪驅(qū)動。
三是面對境外有組織的黑客團體活動，“挖礦”和“勒索”等黑產(chǎn)網(wǎng)絡犯罪，以及因校內(nèi)終端的不規(guī)范使用而帶來的安全風險，學校需要采取積極全面的應對措施，以確保校園網(wǎng)絡的安全與穩(wěn)定。
在構建網(wǎng)絡安全態(tài)勢感知體系之前，必須全面了解學校的整體情況。中山大學在廣州、珠海和深圳三個城市辦學，涵蓋五個校園，以及十家附屬醫(yī)院。校園內(nèi)有超過600座聯(lián)網(wǎng)樓宇，主干網(wǎng)帶寬達到100G，互聯(lián)網(wǎng)出口總帶寬高達52G。此外，學校還擁有兩個數(shù)據(jù)中心和一個超算中心，超過3000個有線網(wǎng)絡設備和36000多個無線接入點，同時還有超過10萬個有線網(wǎng)信息點。實名入網(wǎng)用戶超過5.7萬人，最高并發(fā)上網(wǎng)終端數(shù)量逾9萬臺，其中無線終端超過8萬臺，而總上網(wǎng)終端數(shù)量達到30萬臺。
這些數(shù)據(jù)體現(xiàn)了中山大學網(wǎng)絡的規(guī)模和復雜性。在建設網(wǎng)絡安全態(tài)勢感知體系時，必須充分考慮這些現(xiàn)實情況，因地制宜地進行規(guī)劃和實施，以確保網(wǎng)絡安全的有效保障。當然，對于學校資產(chǎn)的劃分界定是一項龐大復雜的系統(tǒng)性工程，目前尚未完全清晰，還需要進一步落實，摸清底數(shù)。
中山大學在構建安全態(tài)勢感知體系的過程中，踐行了技術與管理融合的理念，并逐步形成基于態(tài)勢感知構建的常態(tài)化安全運營體系（圖1）和安全服務體系（圖2）。
圖1 中山大學態(tài)勢感知常態(tài)化安全運營體系
圖2 中山大學網(wǎng)絡安全態(tài)勢感知安全服務體系
一方面，把關技術能力，采取一系列措施以確保安全態(tài)勢感知的全面性和高效性。
其中，數(shù)據(jù)采集最為耗時耗力，且需要大量經(jīng)費。學校在數(shù)據(jù)采集方面，有關“網(wǎng)絡”側，在邊界網(wǎng)、核心網(wǎng)、數(shù)據(jù)中心和每個校區(qū)都部署了流量探針，并著重關注院系的科研團隊實驗室和部分核心辦公區(qū)的網(wǎng)絡流量；有關“端”側，過去一年，在針對“挖礦”問題的治理中，逐步將終端安全軟件EDR部署到服務器和部分用戶計算機上，以確保端點側數(shù)據(jù)的獲取。采集到的網(wǎng)絡數(shù)據(jù)和端數(shù)據(jù)會被整合到態(tài)勢感知平臺，進行威脅檢測與分析，并根據(jù)事件的危害程度進行分級。
在服務保障方面，安全服務公司將提供基于本地駐場和云端托管相結合的全天候7x24小時安全監(jiān)測服務，配合學校做好基于安全態(tài)勢感知體系的常態(tài)化安全運營保障工作。
另一方面，落實安全管理，著重優(yōu)化安全管理流程，實現(xiàn)更為便捷和可靠的管理。
在資產(chǎn)精細化方面，不僅從網(wǎng)絡側進行資產(chǎn)信息采集，還將擴展至業(yè)務側，按業(yè)務域進行梳理，如人力資源、本科教務、科研管理等。
為實現(xiàn)處置自動化，開始探索安全自動化編排與響應的能力構建，通過態(tài)勢感知平臺直接驅(qū)動安全設備和系統(tǒng)工作，以自動化地應對風險。
而在安全管理信息化方面，把網(wǎng)絡安全管理工作數(shù)字化，包括管理工作臺賬和與用戶間的日常協(xié)作、服務流程等，將網(wǎng)絡安全從管理向服務轉(zhuǎn)變。
經(jīng)過態(tài)勢感知安全運營與云網(wǎng)端體系建設，中山大學在網(wǎng)絡安全方面取得了一定成效。面對大量的告警噪聲，技術人員可以根據(jù)系統(tǒng)快速消減無效告警，實現(xiàn)對安全事件的精準定位。根據(jù)統(tǒng)計，周與月事件閉環(huán)率分別達到95%和90%。
高校網(wǎng)絡安全未來暢想
展望未來，中山大學在網(wǎng)絡安全領域?qū)⑦~向更為廣闊的前沿領域，以前瞻性、系統(tǒng)性的思路探索校園網(wǎng)絡安全保障體系的持續(xù)發(fā)展。
首先，著眼于探索全面的自動化編排系統(tǒng)，在場景化的基礎上實現(xiàn)分類分級，為網(wǎng)絡安全運營流程注入更強的個性化因素。中山大學正在積極探索建立網(wǎng)絡安全態(tài)勢評分模型，借助這一模型，不僅一線網(wǎng)絡安全團隊能夠更為精準地制定安全策略，并且我們中心管理層和學校校領導也能清晰地掌握學校的整體安全態(tài)勢，實現(xiàn)科學決策，從而上下一體、更好地保障學校的網(wǎng)絡安全。
其次，新技術的運用顯然是關鍵的嘗試方向。以XDR（擴展檢測和響應）技術為例，它正在成為未來網(wǎng)絡安全的重要支撐平臺。這項技術有著獨特之處，能將多種異構的安全產(chǎn)品進行原生集成，真正實現(xiàn)綜合、系統(tǒng)的安全治理，形成了安全威脅檢測和事件響應的全新模式。
最后，“念好了人才經(jīng)，才能事半功倍”。下一階段，學校還將努力搭建學生團隊，以學生興趣為導向，完成從書本知識到實踐能力的轉(zhuǎn)化，通過實戰(zhàn)培養(yǎng)學生，并推動參與學校網(wǎng)絡相關安全工作。
綿綿之力，久久為功。在數(shù)字化轉(zhuǎn)型的嶄新時代，高校網(wǎng)絡安全的未來呼喚著信息化工作者為之努力。我們應攜起手來，以堅韌不拔毅力，致力于關注每一個網(wǎng)絡安全的細節(jié)，筑牢高校數(shù)字化轉(zhuǎn)型的安全防線。
來源：《中國教育網(wǎng)絡》2023年8月刊
作者：何海濤（中山大學網(wǎng)絡與信息中心）
責編：陳榮
All Rights Reserved
地址：河北省保定市南二環(huán)路1689號
郵編：071000