2022年北京教育信息化十四五规划：提升高校网站安全防护能力的关键措施

hwyzw

    2022 年，《北京市教育信息化“十四五”规划》提出“完善教育系统防护体系，提升教育系统网络安全保障能力”，并从贯彻法律法规、加快技术应用、提升网络安全监控等方面对学校网站安全提出了具体要求。 提高数据安全性，开展网络安全宣传教育培训。作为高校信息化建设的重要组成部分和成果最直接的展示，高校网站的安全防护非常重要。

    随着高校、部委、学术研究机构主站建设规模的逐步加大，网站统一监管的难度增加，安全防护的难度也随之增加，网站安全事故频发。网站能否向公众提供信息展示，满足信息安全的要求，直接影响高等院校的社会形象，以及招聘、就业、宣传等工作。当前，亟需研究如何细化网站安全管理方法，利用各种安全技术，适应网络安全新形势，保障网站安全，促进高校网站健康发展。

    网站安全形势严峻

    大学网站的安全性关系到大学的公信力和影响力，直接影响到大学某些职能的行使，关系到大学广大师生和校友的切身利益。目前，高校网站的安全形势比较严峻，主要表现在以下三个方面。

    首先，网站“重建设、轻管理”，网站安全体系和组织保障并不完善。目前，高校网站安全管理体系并不完善，没有系统完整的网站安全管理体系，网站安全体系的制定、修订、发布和实施也没有标准化的流程，导致网站安全管理体系没有得到重视，系统无法顺利实施。

    高等院校对网站安全的组织和人员重视和投入不够，往往只有一两名信息中心的工作人员负责网站安全管理，这无法保证整个大学的网站安全管理效率，也无法覆盖所有部门的网站安全管理内容。从管理决策、组织协调、实施实施等方面缺乏自上而下的安全组织保障体系。

    其次，网站“重业务，忽视安全”，网站安全防范意识不强。目前，高等院校已经建设了数百个网站，如学校的主站、系的二级分站、高等院校的网站，但网站使用单位的网站管理者只重视网站内容的维护，忽视了网站安全方面的隐患。

    同时，由于缺乏系统的网络安全技术培训，网站安全人员不了解网站安全防范措施，不熟悉病毒防护、密码保护、漏洞修复等网站安全操作，以至于他们负责的网站系统容易受到黑客攻击， 埋藏非法访问、信息泄露等网站安全风险。

    最后，该网站“重建设，疏于监控”，网站安全监控能力不强。当网站存在漏洞时，甚至当网站被篡改或网页内容被篡改时，网站管理员往往无法在第一时间找到，并且经常出现被动保护和反复攻击和篡改的情况。只有在造成损害后，网站管理员才意识到存在网站安全问题。由此可见，高校缺乏完善的网站安全监测体系，可以对高校各类网站进行实时监控和统一防护，实现网站监测和预警预防御。

    网站安全防护架构

    结合网站建设、运营和安全管理的实际情况，高等院校可以从安全管理、安全技术、安全运营三个方面构建全面、可行、高效的网站安全防护体系，如图 1 所示。

    图 1 高校网络安全防护系统总体架构

    网站安全管理系统

    1. 安全管理体系。在遵守国家政策法规和遵守信息安全标准和规范的基础上，建立完整的网站安全管理规范体系。本制度是保证网站安全的法律依据，并提出了全面的安全管理要求，包括安全政策、管理制度、制定和发布、审查和修订;完善网站安全准入、网站注册备案、网站安全检查、网站安全事件报告和处置制度;通过一系列的网站安全管理规范，明确了各管理部门和人员的权利、责任和义务，为高等院校网站安全提供了管理依据。

    2. 安全组织保证。为了保证高校网站的安全，需要建立完善的网站安全组织体系，包括领导决策、组织协调、管理执行三个层次的安全组织体系（如图2所示）。

   

    图 2 高校网站安全组织和保障体系

    第一层依托现有的高等院校网络安全与信息化领导小组，加强对高校网站和信息安全工作的全面领导和重大安全事项的决策;

    二级信息中心是高校网络与信息安全的常设机构，全面负责高校网站的安全管理和组织协调工作。

    第三层包括信息中心下属的安全管理中心，为各部门/部门的网站安全提供技术支持和安全培训，负责网站安全技术系统的建设和运营管理。部门/部门的网站管理人员和安全联络人员负责部门的网站安全。安全中心安全管理员定期将检测到漏洞的网站报告给部门/部门的网站管理人员和安全联络人员，进行网站安全整改。

    3. 安全运维管理。网站安全运维管理包括网站服务器巡检、服务监控、进程监控、异常登录监控。

    网站服务器一般每周或两周检查一次，并出具检查报告。检查内容包括网站系统服务器和 Web 服务器的 CPU 使用率、内存使用率、磁盘空间使用率、运行状态、日志文件状态、数据库备份状态、文件备份状态以及备用同步状态。如有异常，需要及时处理。

    监控网站系统的服务运行状态，包括服务名称、服务性能、服务状态是否正常、使用的端口、端口响应时间、变化趋势等。显示指定服务器的最新进程数据列表，显示每个进程对服务器资源的使用情况。系统每小时捕获一次服务器进程，并与之前的数据进行比较，并记录进程的变化情况，以便分析和追溯服务器异常。

    对网站后台系统远程登录进行监控提醒、非白名单 IP 登录提醒、违规账号登录提醒等，记录异常登录的 IP 地址、登录方式、登录时间、登录位置等。

    4. 网站备案管理。按照“谁负责谁负责，谁负责建设”的原则，由学校二级部负责本系各网站的备案申请，填写备案申请表，并提交信息部备案。网站 ICP 备案申请的内容包括申请单位、网站名称、硬件设备位置（如图 3 所示）。

    图 3 网站 ICP 备案申请的意图

    新闻部负责审批网站备案申请，分配和管理备案号，监督检查已备案的网站。网站在网站底部标记 ICP 备案号。信息中心可以全面掌握学校的所有网站，未经备案和注册的系统不允许对外开放。通过网站归档管理，实现对学校网站安全的统一保护和管理。

    网站安全技术系统

    1. 物理安全。核心机房出入口由专人管理，并配置电子门禁系统，进出机房需填写《核心机房接入登记表》;配备机房监控系统，对温湿度、空调、UPS、门禁、消防、漏水检测等基本环境进行监控和报警。同时，在分校或异地建立网站系统的容灾备份，实现两地网站系统的运行监控和快速切换恢复。

    2. 网络安全。在网络安全方面，安装并部署入侵检测系统，以实时检测网络通信。配备边界防火墙，有效隔离内网和互联网;在学校相关网站上安装 SSL 证书，以确保网站数据传输的安全;配置防火墙以启用端口过滤并启用 IP 地址过滤以阻止 DDoS 攻击;通过网络流量分析检测 DDoS 攻击并及时采取行动。

    3. 应用程序安全。在应用安全方面，根据学校整体的网络安全需求，部署了 Web 应用防火墙，对学校网站进行 Web 防护、Web 防护和负载均衡。部署网页防篡改系统，实时监控网站内部文件，一旦发现修改、删除网页等非法操作，立即进行实时自动恢复。在网站应用代码安全方面，我们防范 SQL 注入、跨站脚本攻击、文件上传漏洞、系统信息泄露、不同权限账号间未经授权的访问、跨站请求伪造、IIS 目录漏洞等。

    4. 数据安全。在数据安全方面，需要严格的用户访问控制，例如不允许在未经许可的情况下创建用户，并且需要从学校的 LDAP 同步用户。该配置要求用户定期更改密码，开启弱口令检测，并提供登录失败处理功能。该网站经过验证，以防止未经授权的人非法访问网站;建议使用加密来加密和存储系统用户密码。完善网站数据备份策略，如网站数据库文件的日常备份，实时备份网站图片、附件、样式表等信息，为数据存储和数据恢复提供安全保障。

    网站安全运营系统

   

    1. 安全漏洞扫描。信息中心定期扫描学校的网站以查找安全漏洞，包括系统漏洞和 Web 漏洞。在网站上线之前，必须通过扫描系统检查网站的安全性。网站漏洞扫描完成后，将漏洞风险报告发送给网站建设单位，要求修复高危和中危漏洞。网站整改后，再次进行安全漏洞扫描，直到没有中高风险漏洞后，才能在线提供外部服务，确保网站安全。

    对于上线的网站，每月都会进行定期安全扫描。信息中心负责审核漏洞修复情况，也可以通过设置安全检测时间来查询一定时间内的漏洞扫描结果，包括重度、高、中、低风险漏洞的数量。如图 4 所示，您可以查看和比较每个新漏洞的风险级别和特征。对于未能在规定时间内完成漏洞修复的网站，信息中心将关闭该网站的外部网络访问。

    图 4 网站漏洞扫描结果对比

    2. 网站健康检测。如图 5 所示，提供了被监控网站的健康值，以及网站上的断开链接、敏感词和外部链接。掌握网站的健康状态和风险值，通过扫描结果快速定位风险源链接。

    图 5 网站运行状况

    通过断线扫描监控，可以直观地展示当前过期或无法访问的页面地址。不受监管和低质量的外部链接会显示不属于网站或第三方网站的链接，从而对网站构成风险。

    结合语义分析和预设敏感词典，自动识别政治、限制性、暴力和不健康的文本。通过健康扫描工具，可以快速扫描网站有敏感词文章的链接，点击链接即可快速定位敏感词，方便后台管理员快速找到敏感词来源并快速修改，阻断敏感来源带来的负面影响。

    3. 网站热图分析。网站热力图通过统计点击流数据分析点击流数据，并显示圆形色点，显示访客在颜色变化的页面上点击量分布;通过色彩的深度，可以清楚地看到用户点击了哪里，哪个区域点击量高，哪些文章用户阅读较多，同时可以直观地反映用户对网页内容的点击情况，为网站运营管理提供了直观的参考模型。

    4. 网页快照。系统会定期抓取正在运行的网站的首页样式，备份网页，并将其存储在自己的服务器中。通过网页的快照，搜索引擎显示系统当时抓取并保存的网页内容。如果因紧急情况导致网站无法访问或数据丢失，您可以参考 Web 快照来恢复网站以前的版本。

    5. 僵尸网站监控。信息中心定期监控和管理半年以上未更新的僵尸网站。系统提供半年更新次数为 0 的网站列表。利用多维度统计，可以按照半年内的更新次数、每周访问量、每月访问量、年访问量进行排序，为僵尸网站的监管提供数据依据。

    6. 态势感知检测。在信息中心建立态势感知监控平台，通过视觉威胁检测，检测网站安全风险，包括暴力破解、Web 攻击、异常行为、漏洞攻击等。通过收集网站流量数据和安全防护设备日志信息，并进行数据处理和分析，提供态势感知、检测、威胁告警，并实时向用户呈现完整的攻击态势，从而为安全事件的处理提供决策依据。

    如今，人工智能等信息技术的不断应用将为大学网站的安全防护提供更深入的技术支持。在网站安全运营体系中，高等院校还可以包含信息安全分级、归档、评估等内容，为高校网站的安全提供全方位的保障。

    基金项目： 对外经济贸易大学 2022 年智慧校园建设专项项目 （）