高校信息安全漏洞和威脅管理的研究與實踐

黃志宏，梁卓明

(1.華南農(nóng)業(yè)大學(xué) 現(xiàn)代教育技術(shù)中心， 廣州 510642； 2.華南師范大學(xué) 網(wǎng)絡(luò)中心， 廣州 510006)

高校的教育教學(xué)現(xiàn)代化改革需要信息化的大力支撐，更離不開網(wǎng)絡(luò)安全的保駕護航[1-2]。中央網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組成立后，由公安部門牽頭，對運營商、教育、金融、交通、衛(wèi)生、能源、企業(yè)等行業(yè)進行了持續(xù)的安全檢查，其中教育行業(yè)的信息安全情況最為嚴(yán)峻，深究其原因主要有以下3點[3-5]：

1) 信息孤島嚴(yán)重。信息孤島一直是高校信息化亟待解決的問題，由于高校的信息化建設(shè)權(quán)利分散，信息化建設(shè)部門作為學(xué)校的教輔單位無法進行統(tǒng)一的管理和監(jiān)控，導(dǎo)致信息安全問題同樣分散，不利于統(tǒng)籌解決。

2) 信息系統(tǒng)繁雜。隨著高校信息化建設(shè)工作的高速推進，學(xué)校的教學(xué)、科研和管理工作基本實現(xiàn)了信息化，每個高校備案的各類信息系統(tǒng)(網(wǎng)站)普遍有300～500個，這個數(shù)字還不包含大量的僵尸網(wǎng)站和雙非網(wǎng)站。而一個大型企業(yè)的信息系統(tǒng)一般也不超過100個，對比而言，高校的信息系統(tǒng)更為繁雜。

3) 安全意識薄弱。針對高校新建的各類信息系統(tǒng)，業(yè)務(wù)部門往往只注重其業(yè)務(wù)的連續(xù)性和功能的實現(xiàn)，對于信息安全，很多老師不了解或者不懂，要求他們在建設(shè)或運維過程重視安全問題，從技術(shù)上和意識上都有很大難度。

由此可見，隨著教育信息化2.0時代的到來，高校信息化進入了又一個快速發(fā)展時期[6]，信息化與網(wǎng)絡(luò)安全的失衡發(fā)展，使得高校短期內(nèi)仍無法解決面臨的網(wǎng)絡(luò)安全問題分散化及多樣化、人員安全意識薄弱、技術(shù)水平參差不齊等問題。為了有效地應(yīng)對和解決以上問題，高?？梢孕畔踩┒春屯{管理為抓手，從行業(yè)特色、智能化、閉環(huán)和可持續(xù)運維的角度出發(fā)，有針對性地集中開展管理工作。

1 信息安全漏洞和威脅管理的具體需求

1) 行業(yè)特色需求。高校的信息系統(tǒng)相對于其他行業(yè)是特殊的，不能簡單套用其他企業(yè)、單位的信息安全管理方法。高校信息系統(tǒng)安全漏洞和威脅管理應(yīng)該要符合教育特色，解決信息孤島嚴(yán)重、信息系統(tǒng)繁雜、安全意識薄弱問題所帶來的網(wǎng)絡(luò)安全問題[7]。

2) 智能化需求。高校的IT管理人員并不充足，一方面信息化建設(shè)部門人員資源緊張，要負(fù)責(zé)和參與學(xué)校所有的信息化和信息安全建設(shè)、維護工作，工作量較大；另一方面，學(xué)校各二級單位的IT運維人員很多并不是信息或網(wǎng)絡(luò)專業(yè)的老師，對于專業(yè)的網(wǎng)絡(luò)安全知識一竅不通。因此，智能化是高校信息安全的首要需求，智能化包括技術(shù)專業(yè)的通俗化，可以利用安全漏洞和威脅管理平臺及相關(guān)的技術(shù)指出已經(jīng)失陷的設(shè)備或系統(tǒng)，通過配備盡可能多地自動修復(fù)設(shè)置以及詳盡的安全操作指導(dǎo)手冊，協(xié)助IT管理運維人員做好信息系統(tǒng)安全漏洞和威脅管理工作[8]。

3) 閉環(huán)和可持續(xù)運維需求。漏洞和威脅都會經(jīng)歷“檢查—發(fā)現(xiàn)—修復(fù)—再檢查”的循環(huán)過程，在高校信息系統(tǒng)安全漏洞和威脅管理工作中，重復(fù)的安全確認(rèn)郵件發(fā)送會耽擱大量的管理時間，而且很多IT管理人員的檢查工作往往是一次性的。但新的漏洞和威脅會持續(xù)出現(xiàn)，閉環(huán)和可持續(xù)運維是對漏洞和威脅處理的時效要求。因此，需要提供一種快速和持續(xù)監(jiān)控的手段，給安全運維的工作帶來便捷。

2 信息安全漏洞和威脅管理研究

為了滿足高校信息安全漏洞和威脅管理的具體需求，本文將P2DR模型和高校信息系統(tǒng)生命周期安全管理過程引入到信息安全漏洞和威脅管理的研究與實踐中。

2.1 P2DR模型

如圖1所示，P2DR模型是美國ISS公司提出的動態(tài)網(wǎng)絡(luò)安全體系的代表模型，也是動態(tài)安全模型的雛形。針對單個漏洞和單個威脅事件，都經(jīng)歷了“策略—防護—檢測—響應(yīng)”的流程。利用成熟的P2DR模型(如圖1所示)，可以實現(xiàn)安全漏洞和威脅管理的微觀工作的指導(dǎo)[9-12]。

圖1 P2DR模型

1) 策略。根據(jù)風(fēng)險分析制定的安全策略描述了系統(tǒng)中哪些資源要得到保護，以及如何實現(xiàn)對它們的保護等。策略是模型的核心，所有的防護、檢測和響應(yīng)都是依據(jù)安全策略實施的。

2) 防護。通過修復(fù)系統(tǒng)漏洞、正確設(shè)計開發(fā)和安裝系統(tǒng)來預(yù)防安全事件的發(fā)生；通過定期檢查來發(fā)現(xiàn)可能存在的系統(tǒng)脆弱性；通過教育等手段，使用戶和管理員正確使用系統(tǒng)，防止意外威脅。

3) 檢測。是動態(tài)響應(yīng)和加強防護的依據(jù)，通過不斷地檢測和監(jiān)控網(wǎng)絡(luò)系統(tǒng)來發(fā)現(xiàn)新的威脅和弱點，通過循環(huán)反饋來及時做出有效的響應(yīng)[13]。

4) 響應(yīng)。系統(tǒng)一旦檢測到入侵，響應(yīng)系統(tǒng)就開始工作，進行事件處理。響應(yīng)包括緊急響應(yīng)和恢復(fù)處理，恢復(fù)處理又包括系統(tǒng)恢復(fù)和信息恢復(fù)[14]。

2.2 信息系統(tǒng)生命周期安全管理過程

如表1所示，信息系統(tǒng)生命周期(SDLC)是系統(tǒng)產(chǎn)生直到報廢的生命周期，周期內(nèi)包括問題定義與規(guī)劃、需求分析、軟件設(shè)計、程序編碼、軟件測試和運行維護。高校信息系統(tǒng)安全管理圍繞信息系統(tǒng)整個生命周期展開，通過對高校信息系統(tǒng)生命周期安全管理過程的規(guī)劃與設(shè)計，可以對整體的信息安全漏洞和威脅管理的宏觀工作進行指導(dǎo)[15-16]。

表1 教育行業(yè)的信息系統(tǒng)生命周期安全管理

2.3 技術(shù)特點

2.3.1 自動化

自動化是信息安全漏洞和威脅管理實踐研究的首要目標(biāo)，通過信息安全漏洞和威脅管理平臺能自動生成漏洞和威脅管理的階段性任務(wù)，例如評估的自動聯(lián)動下發(fā)和通知、威脅自動發(fā)現(xiàn)和通知等。

2.3.2 智能化

智能化是信息安全漏洞和威脅管理實踐研究的重要目標(biāo)。在信息安全管理工作中，最大的難題是人手和專業(yè)技術(shù)的不足，智能化能夠大大彌補該項現(xiàn)階段不易解決的問題，例如大量日志經(jīng)過智能化分析將減少人工篩選的工作，攻擊鏈的判斷減輕了分析人員的專業(yè)負(fù)擔(dān)。

2.3.3 閉環(huán)和可持續(xù)運維

閉環(huán)和可持續(xù)運維是信息安全漏洞和威脅管理實踐研究的最終目標(biāo)，信息安全是一個閉環(huán)的過程，在遵循規(guī)章制度、實現(xiàn)人力閉環(huán)管控的基礎(chǔ)上，利用信息安全漏洞和威脅管理平臺自動化、智能化的設(shè)定，通過流程化的平臺管理能實現(xiàn)符合教育行業(yè)生命周期和P2DR模型的實踐。

3 信息安全漏洞和威脅管理實踐

結(jié)合P2DR模型與高校信息系統(tǒng)生命周期安全管理，高?？赏ㄟ^安全漏洞和威脅管理的安全體系建設(shè)對整個信息安全工作進行支撐，這是一個閉環(huán)的不斷循環(huán)的過程。本文結(jié)合高校常見的3個安全場景(資產(chǎn)稽查、漏洞管理、威脅管理)對安全漏洞和威脅管理的安全體系實踐進行論述。

3.1 資產(chǎn)稽查實踐

高校具有的大量資產(chǎn)使安全問題變得異常復(fù)雜化，增加了運維團隊的工作難度，從而造成資源的分配不均或浪費，資產(chǎn)稽查是一個有效的解決方法。引入P2DR模型的資產(chǎn)稽查過程是一種動態(tài)、可持續(xù)性的監(jiān)控，當(dāng)發(fā)現(xiàn)變更或入侵情況后能及時進行處理，處理完成之后，可繼續(xù)監(jiān)控。

為了實現(xiàn)高效性、準(zhǔn)確性、精細(xì)化的目標(biāo)，資產(chǎn)稽查工作需要遵循以下3個要素：

1) 技術(shù)手段必須是自動的。大多數(shù)高校依賴于各二級單位管理員實現(xiàn)資產(chǎn)登記，但由于管理人員的技術(shù)水平參差不齊，往往會出現(xiàn)較多的錯誤信息或者資料不全。因此，自動化的資產(chǎn)檢查手段十分重要。

2) 資產(chǎn)稽查的結(jié)果應(yīng)該形成單位性質(zhì)的分組展示。資產(chǎn)稽查的結(jié)果通過資產(chǎn)分組實現(xiàn)安全資產(chǎn)的展示，這有利于對各二級單位的資產(chǎn)進行有效的統(tǒng)計，并針對相應(yīng)的資產(chǎn)制定安全策略。資產(chǎn)的細(xì)粒度包括資產(chǎn)的分組情況(二級單位歸屬)、IP或域名地址、端口號、相關(guān)協(xié)議，并支持基于以上信息進行分類。

3) 資產(chǎn)稽查的方式應(yīng)該支持互聯(lián)網(wǎng)和內(nèi)網(wǎng)檢測的兩種手段結(jié)合。

基于P2DR模型的可閉環(huán)控制的動態(tài)資產(chǎn)稽查過程如下所示：

1) 進入police(策略)階段。學(xué)校落實網(wǎng)絡(luò)安全等級保護制度要求，設(shè)定完善的信息資產(chǎn)備案制度，采用報備制度，通過信息安全漏洞和威脅管理平臺收集各類信息系統(tǒng)(網(wǎng)站)的基本信息，對學(xué)校的信息資產(chǎn)進行管理。

2) 進入protection(防護)和detection(檢測)階段，通過備案信息對內(nèi)部資產(chǎn)進行訪問控制和變更管理。

① 完善防火墻設(shè)置。依據(jù)資產(chǎn)的情況，核實各二級單位上報的資產(chǎn)備案信息的準(zhǔn)確性，并確認(rèn)對外端口的使用情況，以便在重大活動或敏感時期實現(xiàn)對信息系統(tǒng)(網(wǎng)站)的分級和分類管理。

② 嚴(yán)控web端口。通過80端口或http協(xié)議進行搜索，清查校園網(wǎng)內(nèi)所有的web站點，針對web站點建立web應(yīng)用防護系統(tǒng)的管理策略。

③ 公網(wǎng)威脅。進行互聯(lián)網(wǎng)資產(chǎn)稽查，實時監(jiān)控學(xué)校所有對外IP地址的端口情況，當(dāng)出現(xiàn)新增端口，則自動向管理員告警，由管理員確認(rèn)是入侵事件還是變更需要。

④ 內(nèi)部變更。利用檢測手段，持續(xù)監(jiān)控內(nèi)部信息系統(tǒng)端口的變化的情況，及時確認(rèn)端口變化是由應(yīng)用服務(wù)器提供未備案的新服務(wù)或是遭到入侵創(chuàng)建對外非法端口所造成的，利用端口變更的發(fā)現(xiàn)，可以有效解決內(nèi)部變更的管理問題。

3) 進入response(響應(yīng))階段。以上4個問題的解決方案通過信息安全漏洞和威脅管理平臺，以工單的形式下發(fā)，實現(xiàn)流程化的管理。平臺依據(jù)不同資產(chǎn)的分組，設(shè)定不同的管理人員，將自動掃描發(fā)現(xiàn)的問題自動轉(zhuǎn)發(fā)至相應(yīng)的管理人員進行處理，并通過APP/短信/郵件等形式發(fā)送通知。最后根據(jù)發(fā)現(xiàn)的問題，重新進入police(策略)階段，修訂資產(chǎn)安全管理的制度。

3.2 漏洞管理實踐

漏洞管理工作是安全的基礎(chǔ)工作，發(fā)現(xiàn)網(wǎng)絡(luò)、系統(tǒng)和應(yīng)用中的安全問題，可以提前發(fā)現(xiàn)并進行修復(fù)，減少被入侵的風(fēng)險。針對情報和漏洞情況的監(jiān)控，可以控制漏洞威脅對高校信息安全的影響，先于安全問題爆發(fā)前，進行重點性的問題解決。這種管理思路雖然清晰，但在智能化落實的過程中卻會遭遇二級單位存在技術(shù)困難、安全漏洞檢查郵件下發(fā)后遲遲得不到回復(fù)等各種阻力。同時，學(xué)校存在數(shù)十個二級單位，安全信息持續(xù)變化不利于進行概況的統(tǒng)計。

基于以上問題，可以通過P2DR模型，結(jié)合信息安全漏洞和威脅管理平臺進行解決。

1) 進入protection(防護)和detection(檢測)階段。通過漏洞檢測工具對各二級單位的信息資產(chǎn)進行安全掃描，信息安全漏洞和威脅管理平臺能夠自動將漏洞情況與“資產(chǎn)稽查實踐”的資產(chǎn)列表進行關(guān)聯(lián)。整個過程還可以導(dǎo)入基線配置核查、web站點檢查、網(wǎng)站監(jiān)控或滲透測試和代碼審計的結(jié)果，并與資產(chǎn)關(guān)聯(lián)。

2) 進入response(響應(yīng))階段。通過平臺的工單響應(yīng)功能，可以對應(yīng)資產(chǎn)的歸屬，對管理人員下發(fā)漏洞處理的工單，通過短信、郵件或APP等方式進行通知(可選通知的對象包括信息化建設(shè)部門的安全負(fù)責(zé)人、對應(yīng)系統(tǒng)負(fù)責(zé)人和二級單位安全負(fù)責(zé)人)(如圖2所示)。對于重大漏洞或高風(fēng)險漏洞，可以設(shè)置重復(fù)提醒的功能?？梢詫⑿畔⒒ㄔO(shè)部門的安全負(fù)責(zé)人從安全通知的工作中解放出來。

圖2 漏洞處置單下發(fā)

系統(tǒng)負(fù)責(zé)人登入平臺后，依據(jù)權(quán)限控制，只可見自身資產(chǎn)的安全問題，并著手處理安全漏洞情況。信息安全漏洞和威脅管理平臺通過龐大的漏洞知識庫，可以提供具體的解決方案，并將解決方案保存在運維知識庫中，除了服務(wù)人員導(dǎo)入的解決方案外，系統(tǒng)負(fù)責(zé)人在實踐過程中實際解決問題的辦法也會自動存入運維知識庫。運維知識庫大大減少了重復(fù)的修復(fù)指導(dǎo)工作量。

漏洞管理實踐過程中對于安全漏洞的修復(fù)，可以設(shè)定以下幾種狀態(tài)：

① 可以修復(fù)。系統(tǒng)負(fù)責(zé)人修復(fù)后，自行可以驗證，調(diào)用相關(guān)掃描工具，或者使用滲透測試留下的腳本、攻擊方法，進行自主驗證。成功修復(fù)的驗證結(jié)果發(fā)送給信息化建設(shè)部門的安全負(fù)責(zé)人。

② 誤報。管理人員將確認(rèn)誤報的分析，在平臺上回復(fù)信息化建設(shè)部門安全負(fù)責(zé)人，并由信息化建設(shè)部門安全負(fù)責(zé)人進行確認(rèn)。如果是誤報則忽略相關(guān)告警；如果是非誤報，則重新發(fā)回相關(guān)系統(tǒng)負(fù)責(zé)人。未確認(rèn)漏洞是否誤報時，該漏洞則統(tǒng)計為未修復(fù)。

③ 接受風(fēng)險。當(dāng)漏洞情況是已知，但現(xiàn)階段影響不大，或在可以接受的情況下，系統(tǒng)負(fù)責(zé)人可以提交信息化建設(shè)部門安全負(fù)責(zé)人進行接受風(fēng)險的確認(rèn)；如果是可以接受風(fēng)險則確認(rèn)，如果是不可接受風(fēng)險，則重新發(fā)送至系統(tǒng)負(fù)責(zé)人進行處理。在接受風(fēng)險的漏洞未確認(rèn)的情況下，該漏洞則統(tǒng)計為未修復(fù)。

3) 進入police(策略)階段。信息安全漏洞和威脅管理平臺能夠根據(jù)資產(chǎn)分組的情況進行相關(guān)漏洞情況統(tǒng)計。信息化建設(shè)部門安全負(fù)責(zé)人通過平臺能夠了解整體的安全漏洞情況(如圖3所示)。

漏洞情況的統(tǒng)計可以結(jié)合以下幾個維度：

① 每個資產(chǎn)組發(fā)現(xiàn)高、中風(fēng)險漏洞的個數(shù)，狀態(tài)分別為已修復(fù)、未修復(fù)、接受風(fēng)險的個數(shù)以及相關(guān)百分比。

② 漏洞修復(fù)時限完成情況，例如重大風(fēng)險漏洞可要求30 min 內(nèi)修復(fù)，高風(fēng)險漏洞要求1 d內(nèi)修復(fù)，中風(fēng)險漏洞要求3 d內(nèi)修復(fù)。

結(jié)合以上的情況可以對各二級單位的安全管理工作進行評分，并形成相關(guān)網(wǎng)絡(luò)安全周報，提高安全工作的積極性。通過發(fā)現(xiàn)的問題，信息化建設(shè)部門可以修正之前信息安全管理制度和操作流程，提高工作效率和安全保障的能力，并通過平臺進行策略的下發(fā)。

圖3 安全漏洞整體情況

4) 再次進入protection(防護)階段。根據(jù)發(fā)現(xiàn)的問題，定期給相關(guān)的系統(tǒng)負(fù)責(zé)人進行網(wǎng)絡(luò)安全培訓(xùn)，提高安全漏洞管理的能力。

通過安全漏洞管理，可以解放安全管理的工作量，提升二級單位人員的安全意識和安全技術(shù)水平，對提高校園信息安全保障起到非常關(guān)鍵的作用，更重要的是解決了很多高校安全漏洞管理無法落地的問題。

3.3 威脅管理實踐

威脅管理是高校最重要的安全實踐工作，網(wǎng)絡(luò)安全等級保護建設(shè)中的網(wǎng)絡(luò)、主機、應(yīng)用的相關(guān)安全設(shè)備(如防火墻、入侵防護、web防護、上網(wǎng)行為管理、安全審計等)都是威脅管理的內(nèi)容。在威脅管理工作中，會遇到以下幾個問題：① 日志量太大，無法進行有效日志分析和發(fā)現(xiàn)潛在的安全問題;② 設(shè)備較多，比較專業(yè)，難以確認(rèn)哪些設(shè)備策略可以優(yōu)化和減少入侵風(fēng)險;③ 無法整體輸出全網(wǎng)環(huán)境的安全狀況以及已建安全設(shè)備的防護效果，無法指導(dǎo)未來應(yīng)如何建設(shè)。

通過威脅管理實踐，著重解決以上3個問題，解決的過程同樣應(yīng)用了P2DR的模型。

1) 進入detection(檢測)階段。安全防護設(shè)備對實時的流量進行檢測，安全防護設(shè)備采集日志的速度大約為50～5 000條/s，一天可以產(chǎn)生過百萬的安全日志。

實時檢測過程對前后流量和日志進行比對，通過行為和數(shù)學(xué)建模的分析，確認(rèn)入侵的路徑，并結(jié)合攻擊鏈的維度，將攻擊的整個過程進行整合。

檢測的最終結(jié)果通過構(gòu)建的攻擊鏈(如圖4所示)對失陷主機進行分析，發(fā)現(xiàn)不同失陷階段的具體情況，并記錄攻擊路徑，完成溯源。

圖4 攻擊鏈

根據(jù)檢測結(jié)果，安全管理員可知道被設(shè)備攔截防護的攻擊事件數(shù)量，有哪些攻擊已經(jīng)突破了安全防護，或者有哪些系統(tǒng)在安全防護實施前，已經(jīng)被入侵成功，成為失陷主機。對于失陷主機的分析，平臺能夠還原整個攻擊鏈條，提出解決方案，并指出現(xiàn)階段防護的不足之處。這將會為后續(xù)安全建設(shè)的規(guī)劃提出依據(jù)，通過引入智能化的態(tài)勢感知和攻擊鏈分析技術(shù)，在降低發(fā)現(xiàn)失陷主機花銷的同時，可提高發(fā)現(xiàn)速度和精度。

2) 進入response(響應(yīng))階段。威脅管理結(jié)合漏洞管理和資產(chǎn)稽查的實踐成果，形成閉環(huán)的工單分發(fā)。對應(yīng)的安全問題，可指派到對應(yīng)的系統(tǒng)負(fù)責(zé)人，通知修復(fù)后，信息化建設(shè)部門安全負(fù)責(zé)人通過平臺能夠收到實時的修復(fù)成功反饋。

3) 進入police(策略)階段。信息化建設(shè)部門安全負(fù)責(zé)人將各二級單位威脅管理的情況通過平臺匯總至安全周報上，同時，依照發(fā)現(xiàn)的失陷主機的安全問題，信息化建設(shè)部門將再次對制度、體系和設(shè)備的策略進行優(yōu)化調(diào)整，持續(xù)對其進行監(jiān)控。

4) 進入protection(防護)階段。針對容易或剛受到攻擊的設(shè)備，可通過提高掃描頻率，對相關(guān)人員開展針對性培訓(xùn)和及時發(fā)送通告等方式加強安全漏洞管理的工作。

3.4 綜合安全管理實踐思路

高校進行資產(chǎn)稽查、漏洞管理、威脅管理的終極目標(biāo)是為了提高資產(chǎn)安全管理水平，保障資產(chǎn)的安全。信息系統(tǒng)作為高校重要的資產(chǎn)之一，資產(chǎn)安全管理將貫穿到整個信息系統(tǒng)生命周期管理過程中。

1) 規(guī)劃和需求分析階段。各二級單位在信息系統(tǒng)立項和制定需求階段，從學(xué)校信息化項目統(tǒng)籌建設(shè)的角度出發(fā)，信息系統(tǒng)的建設(shè)除了要遵循學(xué)校數(shù)據(jù)標(biāo)準(zhǔn)和信息規(guī)范的要求，還要按照網(wǎng)絡(luò)安全等級保護制度的要求，明確安全性的需求，從而降低安全問題修復(fù)的成本。

2) 軟件設(shè)計和程序編碼階段。信息化建設(shè)部門利用安全專業(yè)技術(shù)、安全設(shè)備或第三方安全服務(wù)，協(xié)助信息系統(tǒng)開發(fā)商開展代碼合規(guī)性檢測、軟件單元測試等工作，督促信息系統(tǒng)開發(fā)商在軟件設(shè)計過程中時刻關(guān)注安全問題。

3) 軟件測試和運行維護階段。信息化建設(shè)部門通過開展資產(chǎn)稽查、漏洞管理和威脅管理實踐工作，借助P2DR閉環(huán)可持續(xù)運維的實踐經(jīng)驗，使學(xué)校資產(chǎn)得到有效的安全保障。

3.5 綜合安全管理實踐效果

1) 自動化管理能力提升。通常高校處理安全事件的流程都是通過郵件推動，同時，信息化建設(shè)部門還需要自行人工統(tǒng)計各單位的安全情況和安全狀況，而自動化實現(xiàn)了安全問題的高效、精確傳遞。經(jīng)過實踐證明，借助信息安全漏洞和威脅管理平臺，基于P2DR閉環(huán)可持續(xù)運維的自動化安全管理辦法，比電話、短信、郵件和自行人工統(tǒng)計的方式節(jié)約近90%的工作成本。

2) 智能化管理能力提升。以校園網(wǎng)日志平均產(chǎn)生速度15000EPS(EPS：條/s)為例，假設(shè)通過搜索條件(高風(fēng)險、具體威脅、來源目的IP篩選)僅保留1/100的日志量(150EPS)，每天校園網(wǎng)要處理150×3 600×24=12 960 000條日志。利用分析能力達20 000∶1(即20 000條日志分析出1個信息安全事件)的智能化分析技術(shù)，每天需要處理的事件數(shù)將銳減至600條，再將資產(chǎn)按照歸屬進行分派后，最終每個老師每天要處理的安全事件大概只有10～20個，有效保障了安全事件的及時處置。

3) 閉環(huán)和可持續(xù)運維管理能力的實現(xiàn)。按照傳統(tǒng)的安全管理思路，在校園網(wǎng)開展安全管理工作，要實現(xiàn)閉環(huán)可持續(xù)管理幾乎是不可能完成的任務(wù)。校園網(wǎng)安全問題不斷出現(xiàn)，往往是舊的問題剛解決，來不及進行反思和審計，就需要投入至新的安全工作中。閉環(huán)利用本文的安全管理思路，一方面將管理流程進行了整體梳理，各高?？梢愿鶕?jù)自身情況擇優(yōu)實施；另一方面，該思路結(jié)合了自動化和智能化的理念，使可持續(xù)運維成為現(xiàn)實。

3.6 綜合安全管理實踐創(chuàng)新價值

目前，高校在開展資產(chǎn)稽查、漏洞管理、威脅管理工作時，大多數(shù)還是單純以堆疊不同廠商的安全設(shè)備來實現(xiàn)[17-18]。這種傳統(tǒng)的安全防護思路會帶來安全孤島、管理缺失、智能程度低等問題。在高校信息安全漏洞和威脅管理的研究與實踐中，基于與傳統(tǒng)安全設(shè)備和技術(shù)做對比發(fā)現(xiàn)，依靠傳統(tǒng)安全思路和產(chǎn)品只不過是飲鴆止渴，閉環(huán)持續(xù)響應(yīng)的體系平臺才是高校信息安全問題的治本良方。綜合安全管理實踐的創(chuàng)新價值具體體現(xiàn)在以下幾點：

1) 消除安全孤島。高校資產(chǎn)稽查需要使用NMAP，漏洞管理需要使用漏洞掃描器，威脅管理需要防火墻、入侵防護、web防護等設(shè)備，依靠這些來自不同廠商的產(chǎn)品的簡單堆疊使用，產(chǎn)品功能相對單一，無法實現(xiàn)技術(shù)融合，無法形成完整的校園網(wǎng)安全技術(shù)體系，將會給高校網(wǎng)絡(luò)帶來安全孤島問題。本文提出的閉環(huán)持續(xù)響應(yīng)的體系平臺，可為高校運維提供統(tǒng)一的入口，查看每個資產(chǎn)的變更、漏洞安全和威脅安全的總體風(fēng)險情況。高校網(wǎng)絡(luò)安全工作的計劃和保障得到了統(tǒng)計和趨勢等客觀數(shù)據(jù)的支撐，可確保安全規(guī)劃符合真正需求，同時也降低了運維人員的安全分析難度，消除安全孤島。

2) 避免管理缺失。傳統(tǒng)安全設(shè)備多依賴PDR模型[19]進行設(shè)計，PDR模型由protection(保護)、detection(檢測)、response(響應(yīng))3部分組成，與P2DR最大區(qū)別是缺少Police(策略)部分。傳統(tǒng)安全設(shè)備更關(guān)注的是技術(shù)的實現(xiàn)，而忽略管理與策略的內(nèi)容。例如在漏洞管理中，漏洞掃描器相較于本文提出的平臺，更關(guān)注的是漏洞掃描能力，發(fā)現(xiàn)后的通知和閉環(huán)工作，依賴于運維人員的自覺性，并需要手動使用郵箱發(fā)送漏洞報表，電話與二級管理人員確認(rèn)修復(fù)情況，導(dǎo)致現(xiàn)實的漏洞管理難以推進也耗費人力。而本文提出的平臺利用P2DR模型，更關(guān)注的是落地的情況，自身提供一套漏洞管理的工單流程，流程的策略(即P2DR的Police部分)也隨一次次的操作進行改善，更符合高校安全管理的需求。

3) 提高智能程度。安全信息和事件管理(SIEM)[20]技術(shù)，最早在2005年由Gartner提出，但由于技術(shù)的迅速發(fā)展，傳統(tǒng)的SIEM設(shè)備使用關(guān)系型數(shù)據(jù)庫，已不能支持TB級數(shù)據(jù)的查詢分析(按照高校每天12960000條日志，單條日志1KB計算，180天的日志需要超過2TB的存儲空間)。而本文提出的平臺區(qū)別于傳統(tǒng)的SIEM設(shè)備，在云平臺虛擬化技術(shù)的支撐下，可以實現(xiàn)存儲與計算資源的彈性擴展，同時結(jié)合新型的安全大數(shù)據(jù)技術(shù)，能解決高校信息化快速發(fā)展過程中產(chǎn)生的大量日志數(shù)據(jù)的處理問題，并能滿足《中華人民共和國網(wǎng)絡(luò)安全法》日志存儲必須滿足6個月的需求。

4 結(jié)束語

通過資產(chǎn)稽查、漏洞管理和威脅管理的研究與實踐，高校信息安全問題能夠得到簡化，將其置于高校信息安全生命周期中進行，每個新的信息系統(tǒng)都會進入資產(chǎn)稽查、漏洞管理和威脅管理的閉環(huán)持續(xù)運維響應(yīng)中，高校信息安全環(huán)境將得到最大效果的保障。同時智能大數(shù)據(jù)技術(shù)，可以解決高校專業(yè)人員資源短缺、安全工作多雜亂的現(xiàn)象。

高校信息安全問題是與信息系統(tǒng)、應(yīng)用數(shù)量呈正比例的增長關(guān)系，除非未來信息系統(tǒng)被新的科技取代，不然高校網(wǎng)絡(luò)安全的問題就一直會存在。意識到位后，則需要更多地關(guān)注實踐的探索。高校有其區(qū)別于其他行業(yè)的特殊性，要實現(xiàn)安全的全面防護，滿足國家對于信息安全的要求，需要沿著基于智能閉環(huán)可持續(xù)運維的高校信息安全漏洞和威脅管理的建設(shè)思路，不斷地前行探索。