山东大学借等保东风 助网安治理上新台阶

2019-04-11 06:58陈军
中国教育网络 2019年2期
关键词:密码信息系统网络安全

存在的问题与原因

山东大学的网络安全工作一直存在很多问题,在2017年7月以前,被发现安全漏洞多,曾经长期位列教育部漏洞排行榜榜首,原因主要有以下几点:

一是网站多由个人或小团队开发,技术薄弱、安全漏洞多,没有维护人员,处置不及时;

二是虚拟主机系统环境版本低,受部分网站无维护人员限制不能升级,操作系统多是Redhat9.0、AS2.1、AS3.0、CentOS4.X等;

三是校园网边界基本不做访问控制,校内上网设备使用公网IP,便于端到端攻击;

四是信息化人员不足,WAF部署后没精力持续优化策略,没有充分发挥其作用;

五是二级单位网站安全意识弱、学院机房自管网站几乎没有安全防护措施,主要表现在分管领导不重视、不抓网络安全、出现问题处理慢,网站管理员只负责发布新闻工作;

六是部分用户安全意识弱,弱密码严重,特别是一些信息系统的管理员,密码采用非常常见的热密码,很不安全;

七是自身安全问题重视不够;

八是安全管理力度弱,安全漏洞处置进度慢、时间长。

网络安全管理措施

针对以上问题,山东大学从顶层设计、组织体系、制度建设、基础措施等四个方面进行了相应的工作。在顶层设计方面,学校发文成立涵盖政治安全、公共安全、消防安全、安全生产、网络信息安全、反恐防恐等职能的学校安全工作委员会,负责统筹学校(三地八校区)政治稳定工作和各类安全工作的组织、谋划、指导和监督实施。

学校安全实行总体规划、统筹协调、协同配合、分级负责的机制,坚持“党政同责、一岗双责、失职追责”,坚持“ 谁主管、谁负责,谁使用、谁负责,谁组织、谁负责”,逐级签订安全责任书。

在组织体系方面,学校成立了安全工作委员会,下设网络安全和信息化工作组,由信息化工作办公室负责牵头,协调各职能部门与各院系、中心所等单位开展网络安全工作,同时每个二级单位都下设有兼职网络安全员。

建立安全队伍,信息办人员都是安全员。在校内二级单位设置网络信息安全负责人,由职能部门、院、所、党、政一把手担任。根据各二级单位规模,设置网络安全员,具体负责执行日常管理、监控、工作落实等工作。同时建立安全工作群,成员有141名。

在制度建设方面,从学校层面制定了《关于加强和改进学校安全稳定工作的意见》,发布了网络安全管理办法,督促各学院建立自己的网站系统管理办法与应急响应预案。

在技术措施方面,首先,购买多家安全服务以解决人手不足问题。第二,将网站全部迁入网站群,关闭虚拟主机系统;采取宣传动员的做法,同时学校承担迁移费用;针对不愿意迁移的网站,采取重要时期有问题网站做访问控制,不允许校外访问,或者严重的实施断网,倒逼存在问题的网站进行迁移。如此,通过这两个措施,一是正向激励,一是反向督促,促进各单位积极向网站群迁移。第三,在校园网边界设置白名单,关闭端口,比如Web常用端口、远程桌面、SSH端口、常用数据库端口等。第四,师生从校外通过VPN访问校内资源。第五,投入人力持续优化WAF策略。

在漏洞处理方面,通过OA系统,处理流程追踪进展,还可以通过微信群直接通知相关领导与安全员。在重要时期保障前进行网络安全检查(漏扫、渗透测试),查出安全问题及时整改,并且重要时期还要进行应急预案的演练。加强弱密码治理,消除弱密码(重要信息系统提高密码强度,强制用户更改密码)。

做好备案工作。登记各单位信息系统(网站)基本信息,建立校内信息系统(网站)数据库;治理双非网站、僵尸网站;清理僵尸、失效主机名,通过整理清单、网上公示、判定无效后进行清理。

图1 教育部、公安部安全管理流程

重要时期加强管理,如上合峰会期间强化管理,多轮扫描办公区IP,排查、处理未登记Web服务器,每天在校园网边界更新IP地址黑名单,每天调整WAF策略。在关键时间点临时封存风险IP、疑似攻击IP,临时限制问题信息系统校外访问。

加强校园网敏感信息清理。购买CA证书,重要信息系统,比如校园卡系统、OA系统、邮件系统启用HTTPS; 落实6个月日志存留(应用级、系统级),购置微软软件提供学生使用,提高正版化率,减少个人电脑肉机数量。同时加强兄弟学校之间协同协作。

在采取以上措施后,学校取得了一定成绩,但在实施过程中也遇到一些难点,表现在工作不受重视、二级单位支持度低、网络安全管理工作推进较慢。我们的方向是加强工作力度,但加强工作力度不可避免要得罪人,导致有些工作就此搁置。基于此问题,我们采取借助三个“东风”的方式有效化解了以上问题。

在2017年8~9月,对于网络安全漏洞各单位不重视、处理慢、时间长,也不重视信息办的漏洞处置要求等问题,借助“东风”一:教育部在“十九大”期间发布网络安全保障通知,要求除主要网站外,其他网站都不允许校外访问,发现问题问责。学校采取三大措施:经检查确定没问题的网站/信息系统允许校外访问;有问题网站限制校外访问或断网;有问题信息系统8小时外限制校外访问。通过“十九大”期间持续近一个月的安全保障,提高了部分单位领导抓网络安全的意识。

在2018年两会保障期间,部分单位仍然存在安全意识薄弱、处理不及时的问题。在这种情况下,借助第二个“东风”,公安部门在青岛上合峰会期间要求网络安全保障不出问题,同时学校安全风险管控力度加大,成立安全工作委员会、签订安全责任书,问责力度加大,领导责任意识增强。我们采取了20年来山大最严格的网络安全管理措施,多轮全方位安全检查,立查立改。收到成效是二级单位领导安全意识普遍提高;各二级单位认识到信息办安全治理动真格是新常态,安全管理工作开始顺畅。

但好景不长,2018年6月,学校进行中层领导轮岗调整,新提拔一批年轻干部,学院办公室主任全部进行更换,部分新任网络安全分管领导安全意识弱,单位安全管理放松、问题处理不受重视、不及时问题抬头。于是借助第三个“东风”:教育部网络安全现场检查,安全检查反馈结果后要立即整改。我们采取了三轮漏洞自查及处理,督促二级单位建立网络安全管理制度并落实责任人的措施。经过整改,新任领导加强了网络安全意识,问题处理及时,网络安全管理开始重新顺畅。总结分析,通过三个“东风”采取强力措施是工作成功的关键因素。网络安全等级保护将会是一个持久东风,各高校可以借助等级保护东风加强网络安全的管理工作。

工作中的认识

一是对教育部、公安部安全管理的认识。在日常工作中面对教育部和公安部两个部门的检查,为了能减少工作量同时提高效率,我们对这两部分的情况做了梳理,如图1所示。我们认识到,等保是核心工作,做好等保安全管理事半功倍。二是对《网络安全法》和等级保护的认识。通过对国家网络安全法和等保制度的深入学习,认识到不做等保后果很严重。三是变被动为主动,积极主动推进等保工作。

今后山东大学网络安全的主要工作也将会在推进等保工作方面开展。继续推进向网站群迁移,特别是二级单位机房自管网站。同时多部门协同,发挥职能部门的作用,重点突破教学、科研实验室网络与信息安全。

每年的常态化工作,包含每年两次网络安全大检查,重要时期保障前开展网络安全检查,每年一次登记、更新信息系统(网站)信息数据库,清除双非、僵尸网站。学校今后还将进一步加强弱密码治理(信息系统侧异常登录处理); 加强运维审计管理;扩大HTTPS覆盖率;加强生物识别信息管理以及IPv6环境下网络安全管理等。

猜你喜欢
密码信息系统网络安全
企业信息系统安全防护
密码里的爱
密码抗倭立奇功
网络安全
基于区块链的通航维护信息系统研究
上网时如何注意网络安全?
信息系统审计中计算机审计的应用
密码藏在何处
网络安全监测数据分析——2015年11月
基于ADC法的指挥信息系统效能评估