◆徐鵬民 曲麗君 黃國富
?
以數(shù)據(jù)為中心的高校網(wǎng)絡(luò)信息安全體系研究
◆徐鵬民 曲麗君 黃國富
(青島農(nóng)業(yè)大學網(wǎng)絡(luò)管理中心 山東 266109)
高校信息系統(tǒng)日趨龐大、復(fù)雜,面臨的安全威脅也越來越嚴重,傳統(tǒng)的安全防護方法已經(jīng)無法適應(yīng)這種新的形勢。本文從高校的實際情況出發(fā),提出了以數(shù)據(jù)為中心的網(wǎng)絡(luò)與信息安全體系和實施方法。通過與傳統(tǒng)的安全防護方法的對比分析表明,新的防護體系能夠滿足高校信息系統(tǒng)安全基本需要,并具有較高的性價比。
校園網(wǎng);網(wǎng)絡(luò)安全;信息安全;安全體系
從數(shù)字校園到智慧校園,再到社會集成,高校信息化的飛速發(fā)展,使信息技術(shù)滲透到校園的每一個角落,學校的教學、科研、管理與生活都離不開各種各樣的信息系統(tǒng),這也使網(wǎng)絡(luò)與信息安全防護日趨重要。
高校信息系統(tǒng)數(shù)量龐大、類型復(fù)雜。大部分高校的網(wǎng)站數(shù)量過百,甚至上千,加上教務(wù)管理、財務(wù)管理、圖書管理、資產(chǎn)管理等,構(gòu)成極為可觀的系統(tǒng)規(guī)模。單一的安全設(shè)備根本無法滿足龐雜應(yīng)用系統(tǒng)的安全需求。
多媒體教學、科研資源、用戶網(wǎng)絡(luò)行為數(shù)據(jù)、管理數(shù)據(jù)形成高校海量數(shù)據(jù)存儲。很多高校存儲系統(tǒng)超過P級,校園網(wǎng)出口動輒幾個G,甚至十幾個G,一般的安全設(shè)備很難承受如此大數(shù)據(jù)量的安全檢測。
高校信息設(shè)備類型復(fù)雜、數(shù)量眾多,涉及的安全領(lǐng)域也十分廣泛,包括:CPU安全、編譯器安全、軟件代碼安全、第三方組件安全、操作系統(tǒng)安全、服務(wù)器安全、網(wǎng)絡(luò)鏈路安全、傳輸協(xié)議安全、用戶側(cè)安全、非技術(shù)因素安全等。
網(wǎng)絡(luò)終端設(shè)備的日益豐富,改變了網(wǎng)絡(luò)自身的本質(zhì)。用戶不再局限于自己的PC機,或者筆記本電腦,平板電腦、智能手機等移動設(shè)備成為了更為常見的終端設(shè)備。這些新技術(shù)和設(shè)備為通信和數(shù)據(jù)共享提供了新應(yīng)用和方法,但也加劇了信息安全問題,不僅增加了系統(tǒng)出現(xiàn)漏洞的環(huán)節(jié),更重要的是,模糊了傳統(tǒng)網(wǎng)絡(luò)的邊界,使信息安全完全處于一個新的形勢。
很多高校以下網(wǎng)絡(luò)并存:有線網(wǎng)絡(luò)(WAN/LAN)、虛擬網(wǎng)絡(luò)(vLAN)、移動通信網(wǎng)絡(luò)、藍牙、近場通訊(NFC)、無線射頻識別(RFID)、物聯(lián)網(wǎng)(IoT)等等。
用戶終端也豐富多樣,如:工作站、筆記本電腦、應(yīng)用程序、BYOD(手機、平板)等。
大部分高校建有私有云,普遍使用池化、云化存儲技術(shù),使傳統(tǒng)的數(shù)據(jù)集中化管理與防護越來越無能為力。
高校本身用戶類型眾多,隨著信息系統(tǒng)的復(fù)雜化,校園信息系統(tǒng)和數(shù)據(jù)管理會有大量公司參與,不僅在建設(shè)開發(fā)期間,日常維護使用也出現(xiàn)了外包服務(wù),導(dǎo)致用戶類型復(fù)雜化,加劇了信息安全的防護難度。如形形色色的用戶,包括:教師、學生、研究者、實驗者、測試者、開發(fā)商、承包商、來賓、客戶、互聯(lián)網(wǎng)用戶等。
近年來,由于網(wǎng)絡(luò)信息安全形勢日趨嚴峻,加上國家對信息安全的重視,高校安全防護方面資金投入急劇增長,包括:設(shè)備費、管理維護費和人員費。
上述情況表明,傳統(tǒng)的高校信息安全防護體系已經(jīng)不能適應(yīng)高校信息化發(fā)展的新形勢,迫切需要改變思路,探索新的安全防護方法。
高校目前面臨的主要安全危險有以下三個方面:
大量的教學、科研數(shù)據(jù)丟失,會產(chǎn)生無法彌補的損失。
信息篡改表現(xiàn)在:網(wǎng)頁篡改、掛馬、暗鏈、學生成績修改等,這些威脅既可能產(chǎn)生政治危害,也可能產(chǎn)生經(jīng)濟危害,甚至嚴重干擾學校正常的教學科研秩序。
數(shù)據(jù)竊取導(dǎo)致的數(shù)據(jù)泄露,如涉及國家安全的科研成果、教師學生檔案信息、考試試卷等,會嚴重影響正常的教學科研活動。
高校傳統(tǒng)的信息安全防護方案是以堵為主,拒敵于城門之外,查殺為輔。投入大量資金,購買各種安全設(shè)備,消耗大量人力、財力。在當前的信息安全新形勢下,這種方法日趨見拙,疲于奔命,為此,我們提出以數(shù)據(jù)為中心的安全防護體系。
以數(shù)據(jù)為中心的安全防護體系,首先基于以下風險管理模型:
該公式含義如下:
Risk(風險):信息系統(tǒng)被攻擊或破壞所產(chǎn)生的損失;
Vulnerability(漏洞):信息系統(tǒng)中的薄弱環(huán)節(jié),包括:網(wǎng)絡(luò)、操作系統(tǒng)、應(yīng)用服務(wù)器、應(yīng)用系統(tǒng)、數(shù)據(jù)庫等各個環(huán)節(jié),可能是系統(tǒng)漏洞、編程缺陷、編碼錯誤或不當配置,某些特性——擬保護系統(tǒng)或應(yīng)用中存在的任何可被攻擊者利用來做壞事的東西;
Threat(威脅):可能造成危害的程序和攻擊者,包括:遠程侵入、物理破壞、網(wǎng)絡(luò)釣魚、病毒或者惡意軟件;
Counter Measure Score(對策):為實現(xiàn)安全所做的所有工作,包括VPN或防火墻之類訪問控制措施的部署、入侵檢測系統(tǒng)、警報和監(jiān)視解決方案、文件完整性監(jiān)測、白名單解決方案以及終端防護;
Valuation(估值):擬保護系統(tǒng)和數(shù)據(jù)的價值,以及安全工作的成本。
該風險管理模型表示了風險、成本與價值的關(guān)系,安全防護的最終目標是要以最小的成本換取最小的風險。
風險包括經(jīng)濟風險和政治風險,即經(jīng)濟損失和社會影響。
風險與系統(tǒng)漏洞、面臨的威脅、系統(tǒng)或數(shù)據(jù)的價值成正比,因而,也基本上與要保護的信息系統(tǒng)和數(shù)據(jù)規(guī)模成正比,即越龐大的系統(tǒng),漏洞越多,面臨的威脅越大,系統(tǒng)被攻擊產(chǎn)生的損失也越嚴重。
風險與對策成反比,而對策基本上與資金投入成正比,所以,風險與投入成反比。
校園應(yīng)用信息系統(tǒng)盡管數(shù)量龐大,種類繁多,但大部分對實時性要求較弱,用戶并發(fā)時間短,并發(fā)用戶數(shù)量少,短時間的停頓一般不會產(chǎn)生嚴重后果,小部分對實時性要求較高的系統(tǒng),如校園“一卡通”,往往在設(shè)計時就提供了脫機運行功能,即無論網(wǎng)絡(luò)系統(tǒng)還是數(shù)據(jù)中心發(fā)生故障,系統(tǒng)都能在一定時間段保證正常運行,如果在此時間段內(nèi)修復(fù)系統(tǒng),不會對用戶產(chǎn)生影響。這種現(xiàn)實應(yīng)用特點,為以數(shù)據(jù)中心的安全防護提供了可行性。
根據(jù)上述分析,我們提出如下以數(shù)據(jù)保護為中心的安全防護體系,主要對數(shù)據(jù)進行防護,其它環(huán)節(jié)以事后恢復(fù)和加固為主。
按照3.1中的風險管理模型,在安全投資不變(即對策基本不變)和系統(tǒng)價值基本不變(信息系統(tǒng)中價值最大是數(shù)據(jù))的情況下,由于防護環(huán)節(jié)減少,導(dǎo)致防護對象的減少,從而信息系統(tǒng)的漏洞(Vulnerability)和威脅(Threat)也相應(yīng)減少,結(jié)果是整個系統(tǒng)風險的減少。
防護模型如下:數(shù)據(jù)復(fù)本+實時監(jiān)控+數(shù)據(jù)恢復(fù)+數(shù)據(jù)分析+安全加固,如圖1所示:
圖1 以數(shù)據(jù)保護為中心的安全防護體系示意圖
(1)數(shù)據(jù)復(fù)本:要求所有數(shù)據(jù)在生產(chǎn)時,同時至少產(chǎn)生一個復(fù)本,一份用于在線使用,一份離線備份。
(2)實時監(jiān)控:安裝在線監(jiān)控系統(tǒng),以便盡早發(fā)現(xiàn)系統(tǒng)故障。
(3)數(shù)據(jù)恢復(fù):對于被攻擊而癱瘓的系統(tǒng),利用備份數(shù)據(jù),恢復(fù)系統(tǒng)。
(4)數(shù)據(jù)分析:對被攻擊系統(tǒng)的相關(guān)運行日志進行分析,確定原因、來源和手法。
(5)安全加固:針對上述分析,進行系統(tǒng)加固。
(1)確定數(shù)據(jù)復(fù)本實現(xiàn)策略
數(shù)據(jù)從在信息系統(tǒng)中的用途可分應(yīng)用類數(shù)據(jù)和管理類數(shù)據(jù),前者包括教學、科研、學校管理等各種應(yīng)用數(shù)據(jù),后者主要是系統(tǒng)管理所產(chǎn)生的數(shù)據(jù),如各種設(shè)備日志、用戶網(wǎng)絡(luò)行為記錄、系統(tǒng)配置數(shù)據(jù)等。
應(yīng)用類數(shù)據(jù)可采用分布式解決方案,同時實現(xiàn)多復(fù)本,或在專門備份設(shè)備上定時備份,這在大部分高校數(shù)據(jù)中心已經(jīng)實現(xiàn)。
管理類數(shù)據(jù)可采用集中日志服務(wù)器,將系統(tǒng)相關(guān)的網(wǎng)絡(luò)設(shè)備、操作系統(tǒng)和應(yīng)用服務(wù)器日志集中保存。對于數(shù)據(jù)復(fù)本采取更嚴格的防護,確保數(shù)據(jù)的安全和完整。
(2)實時監(jiān)控
主要用于應(yīng)用系統(tǒng)運行的實時監(jiān)控,以應(yīng)用軟件和應(yīng)用服務(wù)器為主要對象,以盡早發(fā)現(xiàn)問題。目前,市場上有各種基于態(tài)勢感知的監(jiān)控系統(tǒng)。
(3)數(shù)據(jù)恢復(fù)
包括系統(tǒng)修復(fù)與應(yīng)用數(shù)據(jù)恢復(fù)。
(4)數(shù)據(jù)分析
對系統(tǒng)日志和用戶行為數(shù)據(jù)等管理類數(shù)據(jù)進行分析,目前可借助于大數(shù)據(jù)分析技術(shù),查找攻擊源、攻擊手法,以便確定漏洞所在。
(5)安全加固
根據(jù)分析結(jié)果,進行漏洞掃描、漏洞管理、補丁管理,加固系統(tǒng),防止此類攻擊再次發(fā)生。
高校傳統(tǒng)的信息安全防護體系如圖2所示。
圖2 高校傳統(tǒng)的信息安全防護體系示意圖
一般包括:防火墻、IPS、漏洞掃描、WAF、網(wǎng)站防篡改系統(tǒng)、實時監(jiān)控系統(tǒng)等。網(wǎng)絡(luò)與信息安全經(jīng)費在整個信息系統(tǒng)經(jīng)費中的占比約為15%。由于傳統(tǒng)信息安全設(shè)備需要經(jīng)常的升級維護,大部分高校的人力難以保障,所以使用效果都不夠理想。
主要包括數(shù)據(jù)多復(fù)本實現(xiàn)、數(shù)據(jù)備份和實時監(jiān)控系統(tǒng),經(jīng)費投入比傳統(tǒng)方式降低,占比約為10%,維護工作量也有所減少,能夠較好地實現(xiàn)對數(shù)據(jù)丟失和信息篡改的防護,但對數(shù)據(jù)泄露保護不足。
以數(shù)據(jù)為中心的安全防護是一種被動防護措施,但基于風險管理模型分析,比較適合高校應(yīng)用信息系統(tǒng)特點,具備較好的性價比。
[1]萬雪蓮等.基于攻、防的信息系統(tǒng)安全綜合評估方法的研究[J].計算機科學,2016.
[2]于莉潔等.高校信息化建設(shè)中的信息安全問題研究[J].信息安全與技術(shù),2016.
[3]楊品林.高校校園網(wǎng)的信息安全策略研究[J].信息安全與技術(shù),2015.
[4]孫紅梅,賈瑞生.大數(shù)據(jù)背景下企業(yè)網(wǎng)絡(luò)信息安全技術(shù)體系研究[J].通信技術(shù),2017.
[5]國家互聯(lián)網(wǎng)應(yīng)急中心.http://www.cert.org.cn/publish/main/17/index.html.