近年來，教育系統(tǒng)成為網(wǎng)絡(luò)攻擊的重點(diǎn)區(qū)域，針對高校科研單位的APT攻擊逐漸增多。總體來說，隨著高校信息化的快速發(fā)展，來自互聯(lián)網(wǎng)和校園網(wǎng)的網(wǎng)絡(luò)安全威脅和壓力也與日俱增，這是我國高校過往十年都所不曾遇到的，形勢十分嚴(yán)峻。
未來，高校將面臨更為有組織、甚至有特別背景的網(wǎng)絡(luò)風(fēng)險。這種全新的威脅態(tài)勢也要求我們必須采取更加主動、多方協(xié)同的防御策略。這與過去幾年常規(guī)的網(wǎng)站安全防范為主、對抗個別黑客的個體行為不同，意味著我們需要優(yōu)化升級已有的安全架構(gòu)，進(jìn)行全天候、全方位、全鏈條的安全保障體系建設(shè)，以更有效、更快速地應(yīng)對此類有組織的網(wǎng)絡(luò)攻擊或入侵威脅。
高校網(wǎng)絡(luò)安全工作已得到各校的高度重視，數(shù)據(jù)顯示，我國已有85%的高校完成主要系統(tǒng)的網(wǎng)絡(luò)安全等級保護(hù)建設(shè)。2023年教育系統(tǒng)開展第五屆網(wǎng)絡(luò)安全攻防演習(xí)，攻防演練規(guī)模為歷史之最，聚齊五十余家國內(nèi)高校攻擊隊和多家安全廠商隊伍，將安全管理體系納入考核內(nèi)容，并首次不提前通知具體時間，要求常態(tài)化應(yīng)對，演練更加契合當(dāng)前應(yīng)對有組織威脅的實(shí)戰(zhàn)化需求。
然而，在“圍追堵截”安全威脅的過程中，如何能夠防患于未然，已成為擺在高校面前無法回避的問題。網(wǎng)絡(luò)安全態(tài)勢感知體系建設(shè)的重要性和必要性進(jìn)一步凸顯，它使得我們可以預(yù)知和及時發(fā)現(xiàn)威脅和攻擊，增強(qiáng)風(fēng)險管理的能力，在損失產(chǎn)生之前即刻采取措施、斬斷攻擊鏈條，進(jìn)而避免安全事件的發(fā)生和風(fēng)險進(jìn)一步擴(kuò)大。
網(wǎng)絡(luò)安全保障工作思路探索
為應(yīng)對新的網(wǎng)絡(luò)攻擊威脅趨勢，打造全天候的網(wǎng)絡(luò)安全攻防對抗的能力，公安部于2019年發(fā)布《貫徹落實(shí)網(wǎng)絡(luò)安全等級保護(hù)制度和關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)制度的指導(dǎo)意見》，要求按照實(shí)戰(zhàn)化、體系化、常態(tài)化要求，落實(shí)動態(tài)防御、主動防御、縱深防御、精準(zhǔn)防護(hù)、整體防控、聯(lián)防聯(lián)控措施，建立網(wǎng)絡(luò)安全綜合防御體系（簡稱“三化六防”），成為當(dāng)前政府、企業(yè)、組織網(wǎng)絡(luò)安全工作的主要的工作方向。
“三化六防”為高校推進(jìn)網(wǎng)絡(luò)安全建設(shè)提供了有益的借鑒，同樣也為中山大學(xué)的態(tài)勢感知體系建設(shè)提供了指導(dǎo)性的建議，具體如下。
一方面，高校對網(wǎng)絡(luò)安全保障的要求正在變得更為專業(yè)。
一是實(shí)戰(zhàn)化，要充分認(rèn)識網(wǎng)絡(luò)安全的本質(zhì)就是人與人之間的對抗，我們要對自身的短板弱項和潛在對手攻擊的特點(diǎn)充分了解，要從問題的發(fā)現(xiàn)、預(yù)警通報、響應(yīng)處置，再到整改加固，每一步都需要保持持續(xù)警惕，以便迅速應(yīng)對潛在威脅。
二是體系化，主要包括加強(qiáng)安全技術(shù)體系、安全管理體系、安全運(yùn)營體系，以及專業(yè)人員團(tuán)隊的建設(shè)。
三是常態(tài)化，要對校園網(wǎng)的邊界、核心、骨干區(qū)域，以及數(shù)據(jù)中心和開發(fā)運(yùn)維區(qū)等關(guān)鍵部位保持持續(xù)、全面、動態(tài)的安全監(jiān)測和態(tài)勢感知，按不同場景進(jìn)行安全編排，實(shí)現(xiàn)安全設(shè)備和系統(tǒng)自動化的協(xié)同處置和溯源反制。
另一方面，高校網(wǎng)絡(luò)安全工作可從以下六個方面落實(shí)防護(hù)舉措。
動態(tài)防御，以風(fēng)險管理為指導(dǎo)，針對攻擊方法、攻擊途徑的變化，實(shí)現(xiàn)網(wǎng)絡(luò)安全狀態(tài)持續(xù)監(jiān)測、及時反饋，動態(tài)調(diào)整防御策略、技術(shù)和手段。
主動防御，基于可信計算技術(shù)、密碼技術(shù)等實(shí)現(xiàn)主動安全防護(hù)，結(jié)合威脅情報、態(tài)勢感知，及時發(fā)現(xiàn)和處置未知威脅，落實(shí)主動防護(hù)措施。
縱深防御，也即實(shí)行分區(qū)分域管理，區(qū)域間進(jìn)行安全隔離和認(rèn)證，實(shí)現(xiàn)由外到內(nèi)、從邊界到核心的多重保護(hù)以及對攻擊的層層阻擊。
精準(zhǔn)防護(hù)，基于資產(chǎn)的自動化管理，綜合利用內(nèi)外部威脅信息，實(shí)現(xiàn)對核心資產(chǎn)的快速有效防護(hù)。
整體防控，以保護(hù)關(guān)鍵業(yè)務(wù)鏈為目標(biāo)，進(jìn)行整體安全設(shè)計，建立協(xié)同聯(lián)動、高效統(tǒng)一的安全防護(hù)架構(gòu)。
聯(lián)防聯(lián)控，建立與國家監(jiān)管部門、保護(hù)工作部門以及其他相關(guān)組織的信息共享、協(xié)同聯(lián)動的共同防護(hù)機(jī)制，建設(shè)“打防管控”一體化網(wǎng)絡(luò)安全綜合防控體系。
高校網(wǎng)絡(luò)安全建設(shè)的目標(biāo)是以監(jiān)測預(yù)警為核心，構(gòu)建全面的網(wǎng)絡(luò)安全保障體系，實(shí)現(xiàn)可管、可見、可知、可控。這意味著我們需要全面監(jiān)管學(xué)校的重要信息資產(chǎn)、實(shí)時發(fā)現(xiàn)攻擊威脅、識別脆弱性漏洞問題以及建立聯(lián)動自動化處置機(jī)制。通過這些努力，最終實(shí)現(xiàn)事前的預(yù)防、事中的發(fā)現(xiàn)、事后的溯源，并對網(wǎng)絡(luò)威脅的趨勢進(jìn)行預(yù)測。“事中的發(fā)現(xiàn)”最為關(guān)鍵，可及時斬斷攻擊鏈條，因而網(wǎng)絡(luò)安全態(tài)勢感知體系建設(shè)會越來越重要和迫切。
我們希望，通過一系列網(wǎng)絡(luò)安全防御舉措，最終實(shí)現(xiàn)三大安全目標(biāo)：首先，能夠“看得見”，通過可視化監(jiān)測確保對網(wǎng)絡(luò)狀況有清晰的了解；其次，能夠“防得住”，通過強(qiáng)化防御來抵御各種威脅；最后，需要“管得了”，通過有效的管理來保障網(wǎng)絡(luò)安全的可持續(xù)性。
中山大學(xué)網(wǎng)絡(luò)安全態(tài)勢感知體系建設(shè)
中山大學(xué)的網(wǎng)絡(luò)安全保障主要面臨以下三個方面的挑戰(zhàn)：
一是監(jiān)管合規(guī)壓力加大。隨著“三法一例”的陸續(xù)發(fā)布和生效，我們需要不斷自我檢視，以確保安全工作得以完善。只有這樣，才能更好地應(yīng)對來自網(wǎng)信、公安、主管單位的常態(tài)化檢查和通報。
二是全國性攻防實(shí)戰(zhàn)演練規(guī)模不斷擴(kuò)大，重大會議和節(jié)日期間安全保障常態(tài)化，更加需要合規(guī)遵循和實(shí)戰(zhàn)效果的雙輪驅(qū)動。
三是面對境外有組織的黑客團(tuán)體活動，“挖礦”和“勒索”等黑產(chǎn)網(wǎng)絡(luò)犯罪，以及因校內(nèi)終端的不規(guī)范使用而帶來的安全風(fēng)險，學(xué)校需要采取積極全面的應(yīng)對措施，以確保校園網(wǎng)絡(luò)的安全與穩(wěn)定。
在構(gòu)建網(wǎng)絡(luò)安全態(tài)勢感知體系之前，必須全面了解學(xué)校的整體情況。中山大學(xué)在廣州、珠海和深圳三個城市辦學(xué)，涵蓋五個校園，以及十家附屬醫(yī)院。校園內(nèi)有超過600座聯(lián)網(wǎng)樓宇，主干網(wǎng)帶寬達(dá)到100G，互聯(lián)網(wǎng)出口總帶寬高達(dá)52G。此外，學(xué)校還擁有兩個數(shù)據(jù)中心和一個超算中心，超過3000個有線網(wǎng)絡(luò)設(shè)備和36000多個無線接入點(diǎn)，同時還有超過10萬個有線網(wǎng)信息點(diǎn)。實(shí)名入網(wǎng)用戶超過5.7萬人，最高并發(fā)上網(wǎng)終端數(shù)量逾9萬臺，其中無線終端超過8萬臺，而總上網(wǎng)終端數(shù)量達(dá)到30萬臺。
這些數(shù)據(jù)體現(xiàn)了中山大學(xué)網(wǎng)絡(luò)的規(guī)模和復(fù)雜性。在建設(shè)網(wǎng)絡(luò)安全態(tài)勢感知體系時，必須充分考慮這些現(xiàn)實(shí)情況，因地制宜地進(jìn)行規(guī)劃和實(shí)施，以確保網(wǎng)絡(luò)安全的有效保障。當(dāng)然，對于學(xué)校資產(chǎn)的劃分界定是一項龐大復(fù)雜的系統(tǒng)性工程，目前尚未完全清晰，還需要進(jìn)一步落實(shí)，摸清底數(shù)。
中山大學(xué)在構(gòu)建安全態(tài)勢感知體系的過程中，踐行了技術(shù)與管理融合的理念，并逐步形成基于態(tài)勢感知構(gòu)建的常態(tài)化安全運(yùn)營體系（圖1）和安全服務(wù)體系（圖2）。
圖1 中山大學(xué)態(tài)勢感知常態(tài)化安全運(yùn)營體系
圖2 中山大學(xué)網(wǎng)絡(luò)安全態(tài)勢感知安全服務(wù)體系
一方面，把關(guān)技術(shù)能力，采取一系列措施以確保安全態(tài)勢感知的全面性和高效性。
其中，數(shù)據(jù)采集最為耗時耗力，且需要大量經(jīng)費(fèi)。學(xué)校在數(shù)據(jù)采集方面，有關(guān)“網(wǎng)絡(luò)”側(cè)，在邊界網(wǎng)、核心網(wǎng)、數(shù)據(jù)中心和每個校區(qū)都部署了流量探針，并著重關(guān)注院系的科研團(tuán)隊實(shí)驗室和部分核心辦公區(qū)的網(wǎng)絡(luò)流量；有關(guān)“端”側(cè)，過去一年，在針對“挖礦”問題的治理中，逐步將終端安全軟件EDR部署到服務(wù)器和部分用戶計算機(jī)上，以確保端點(diǎn)側(cè)數(shù)據(jù)的獲取。采集到的網(wǎng)絡(luò)數(shù)據(jù)和端數(shù)據(jù)會被整合到態(tài)勢感知平臺，進(jìn)行威脅檢測與分析，并根據(jù)事件的危害程度進(jìn)行分級。
在服務(wù)保障方面，安全服務(wù)公司將提供基于本地駐場和云端托管相結(jié)合的全天候7x24小時安全監(jiān)測服務(wù)，配合學(xué)校做好基于安全態(tài)勢感知體系的常態(tài)化安全運(yùn)營保障工作。
另一方面，落實(shí)安全管理，著重優(yōu)化安全管理流程，實(shí)現(xiàn)更為便捷和可靠的管理。
在資產(chǎn)精細(xì)化方面，不僅從網(wǎng)絡(luò)側(cè)進(jìn)行資產(chǎn)信息采集，還將擴(kuò)展至業(yè)務(wù)側(cè)，按業(yè)務(wù)域進(jìn)行梳理，如人力資源、本科教務(wù)、科研管理等。
為實(shí)現(xiàn)處置自動化，開始探索安全自動化編排與響應(yīng)的能力構(gòu)建，通過態(tài)勢感知平臺直接驅(qū)動安全設(shè)備和系統(tǒng)工作，以自動化地應(yīng)對風(fēng)險。
而在安全管理信息化方面，把網(wǎng)絡(luò)安全管理工作數(shù)字化，包括管理工作臺賬和與用戶間的日常協(xié)作、服務(wù)流程等，將網(wǎng)絡(luò)安全從管理向服務(wù)轉(zhuǎn)變。
經(jīng)過態(tài)勢感知安全運(yùn)營與云網(wǎng)端體系建設(shè)，中山大學(xué)在網(wǎng)絡(luò)安全方面取得了一定成效。面對大量的告警噪聲，技術(shù)人員可以根據(jù)系統(tǒng)快速消減無效告警，實(shí)現(xiàn)對安全事件的精準(zhǔn)定位。根據(jù)統(tǒng)計，周與月事件閉環(huán)率分別達(dá)到95%和90%。
高校網(wǎng)絡(luò)安全未來暢想
展望未來，中山大學(xué)在網(wǎng)絡(luò)安全領(lǐng)域?qū)⑦~向更為廣闊的前沿領(lǐng)域，以前瞻性、系統(tǒng)性的思路探索校園網(wǎng)絡(luò)安全保障體系的持續(xù)發(fā)展。
首先，著眼于探索全面的自動化編排系統(tǒng)，在場景化的基礎(chǔ)上實(shí)現(xiàn)分類分級，為網(wǎng)絡(luò)安全運(yùn)營流程注入更強(qiáng)的個性化因素。中山大學(xué)正在積極探索建立網(wǎng)絡(luò)安全態(tài)勢評分模型，借助這一模型，不僅一線網(wǎng)絡(luò)安全團(tuán)隊能夠更為精準(zhǔn)地制定安全策略，并且我們中心管理層和學(xué)校校領(lǐng)導(dǎo)也能清晰地掌握學(xué)校的整體安全態(tài)勢，實(shí)現(xiàn)科學(xué)決策，從而上下一體、更好地保障學(xué)校的網(wǎng)絡(luò)安全。
其次，新技術(shù)的運(yùn)用顯然是關(guān)鍵的嘗試方向。以XDR（擴(kuò)展檢測和響應(yīng)）技術(shù)為例，它正在成為未來網(wǎng)絡(luò)安全的重要支撐平臺。這項技術(shù)有著獨(dú)特之處，能將多種異構(gòu)的安全產(chǎn)品進(jìn)行原生集成，真正實(shí)現(xiàn)綜合、系統(tǒng)的安全治理，形成了安全威脅檢測和事件響應(yīng)的全新模式。
最后，“念好了人才經(jīng)，才能事半功倍”。下一階段，學(xué)校還將努力搭建學(xué)生團(tuán)隊，以學(xué)生興趣為導(dǎo)向，完成從書本知識到實(shí)踐能力的轉(zhuǎn)化，通過實(shí)戰(zhàn)培養(yǎng)學(xué)生，并推動參與學(xué)校網(wǎng)絡(luò)相關(guān)安全工作。
綿綿之力，久久為功。在數(shù)字化轉(zhuǎn)型的嶄新時代，高校網(wǎng)絡(luò)安全的未來呼喚著信息化工作者為之努力。我們應(yīng)攜起手來，以堅韌不拔毅力，致力于關(guān)注每一個網(wǎng)絡(luò)安全的細(xì)節(jié)，筑牢高校數(shù)字化轉(zhuǎn)型的安全防線。
來源：《中國教育網(wǎng)絡(luò)》2023年8月刊
作者：何海濤（中山大學(xué)網(wǎng)絡(luò)與信息中心）
責(zé)編：陳榮
