高校信息化安全防护解决方案.docx

《高校信息化安全防护解决方案.docx》由会员分享，可在线阅读，更多相关《高校信息化安全防护解决方案.docx（48页珍藏版）》请在第一文库网上搜索。

1、高校信息化高校信息化安全防护解决方案安全防护解决方案1高校信息化现状.41.1信息化存在问题与分析.41.1.1缺乏统一的开放支撑平台，多厂商共建造成过程风险.51.1.2校级流程管控缺失，各处室割离建设造成流程杂乱.51.1.3流程杂乱及数据质量监控缺失造成数据质量低下.61.1.4高校普遍网站安全防护力度不够 安全漏洞未及时更新.61.1.5高校数据中心安全危机和运维管控难度加大.61.1.6私有云的建设，带来便利的同时面临着新的挑战.72信息化问题解决思路.82.1信息化云-管-端整体布局.82.2信息化云数据中心安全防护.92.3运营生态体系信息的高可用性.112.4构建一套高可用性、

2、安全性的信息化系统体系.123高校信息化需要建设内容.123.1信息化系统建设内容.123.1.1基础支撑平台.123.2信息化数据中心安全建设内容.183.2.1数据中心业务生产区安全.193.2.2数据中心运维管理区.213.3信息化系统管端安全建设内容.223.3.1安全设计.223.3.2安全部署.234高校信息化系统安全服务需求.244.1风险评估机制.244.2等级保护定级备案协助.304.3信息系统加固修复.314.4信息安全制度自查与优化.324.5安全防护措施自查与优化.334.6门户网站安全测评及安全整改.355建议增加的安全设备/服务.376相关产品介绍.386.1下一代

3、防火墙.386.1.1下一代防火墙配置背景.386.1.2下一代防火墙实现功能.396.1.3下一代防火墙效果.396.2上网行为管理.406.2.1上网行为管理配置背景.406.2.2上网行为管理功能.406.2.3上网行为管理实现效果.416.3网络安全审计系统.416.3.1网络安全审计系统配置背景.416.3.2网络安全审计系统实现功能.426.3.3网络安全审计系统实现效果.436.4云运维审计系统（堡垒机）.436.4.1云运维审计系统配置背景.436.4.2云运维审计系统功能.446.4.3云运维审计系统实现效果.456.5Web 应用防火墙和网站监控平台.456.5.1Web

4、应用防火墙与网站监控平台配置背景.456.5.2Web 应用防火墙和网站监控平台实现功能.456.5.3Web 应用防火墙与网站监控平台实现效果.471 高校高校信息化现状信息化现状目前，高校经过这几年加大对信息化的建设，已经实现全校网络覆盖，安全防护能力业已达到“二级”合格标准。管理信息系统如门户网站、OA 系统、招生系统、教务系统、财务系统、金龙卡教学资源系统、教学质量监控系统、图书管理系统以及各部门自主购买的一系列应用系统等等，可以说这些应用系统基本上覆盖了大部分校园信息化所具备的管理系统。学校中心机房有在用服务器，存储设备数套，分属各处室、分院及图书馆，各自运行、存储独立的管理系统及数

5、字资源。信息化建设已经基本覆盖校内的大部分管理信息化领域，数字校园建设初具规模。当前已建的这些应用系统，基本能够解决高校在行政办公管理、教务管理、学工管理以及科研管理等范畴内结果性数据维护的需求。在方便了各业务部门进行业务处理的同时，也积累了不同业务、不同阶段的各类数据。而这些数据的沉淀，作为我校在“十二五”期间，信息化建设的重要成果，为下一阶段的数据决策和分析提供有效的依据和支撑。事实证明，高校通过在“十二五”期间的信息化建设，在完成各类结果数据沉淀的同时，为各级各类型业务部门利用信息技术和手段开展业务办理，提供了有效的应用环境。在业务办理过程中，因为有了基于独立面向单体业务开发的各类业务应

6、用系统，办理效率在大幅提升，为高校整体运营层面大大降低了因为人工方式带来的运营成本。面向学生，也能够利用信息化的手段为他们提供基于某个业务场景的业务服务。不可否认的是，高校通过“十二五”期间展开的信息化建设，在保证原有业务开展质量的同时，较大幅度的提高了业务管理水平和效率。尽管如此，在信息化建设的道路上仍然有很多的空间需要提升。随着信息化建设的推进，云计算的技术的不断成熟以及在高校领域的不断渗入云计算通过将数据统一存储在云计算服务器中，加强对核心数据的集中管控，比传统分布在大量终端上的数据行为更安全。由于数据的集中，使得安全审计、安全评估、安全运维等行为更加简单易行，同时更容易实现系统容错、高

7、可用性和冗余及灾备恢复。但云计算在带来方便快捷的同时也带来新的挑战1.1 信息化存在问题与分析信息化存在问题与分析我们不得不进一步发现，从高校整体信息化建设的过程、应用的过程以及后期维护的过程中，仍然存在问题有些问题直接影响了高校后续信息化建设的节奏与效果。这些问题主要集中在以下几个方面：1.1.1缺乏统一的开放支撑平台，多厂商共建造成过程风险缺乏统一的开放支撑平台，多厂商共建造成过程风险高校在“十二五”期间建设的信息化系统众多。其间涉及门户网站、OA 系统、招生系统、教务系统、财务系统、金龙卡、教学资源系统、教学质量监控系统、图书管理系统以及各部门自主购买的一系列应用系统等等。信息化建设过程

8、中，多个厂商参与共建，而建设的内容都是以业务部门需求为核心的单体业务系统，现在是普遍高校信息化建设的现状。学校的信息化建设在设计初期，都在强调顶层规划。应该讲，这样一张蓝图是指导学校后续的信息化逐步推进的原则。但在实际过程中，由于不同厂商参与建设的学校信息化，就会出现实际建设路径与最初设计蓝图不一致的情况。归结原因主要有以下两点：其一，不同厂商采用不同的技术架构开发设计，过程相对封闭。而学校信息化一旦需要从单体系统向一体化转型时，就会带来因为封闭技术架构带来的冲突，使整合难度加大，对学校而言建设安全风险增加。其二，建设边界相对模糊，带来学校从单体系统一体化转型过程中，权责难以明确的问题。厂商之

9、间互相推诿，撇清责任。这对学校信息化安全建设过程无疑风险巨大。其三，缺乏统一的安全的身份认证手段，各厂商承建的系统对权限的管控手段水平不一，在安全性和用户直接使用感受上都存在问题，师生在使用各信息系统时往往会面对各种账号，在用户体验上大打折扣。1.1.2校级流程管控缺失，各处室割离建设造成流程杂乱校级流程管控缺失，各处室割离建设造成流程杂乱当前大部分高校在信息化建设过程中，各个部门和二级学院的规划和建设，都是各自为政，建设自己的管理信息系统或应用软件，这些软件系统来源于不同部门的采购，软件产品分属于不同的生产商。这种状况表现在应用过程中功能重叠、数据格式多样性和系统之间无关联性。所谓的“信息孤

10、岛”就由此产生，信息孤岛的产生使信息资源的利用率大打折扣，各系统难于共享信息。由不同的软件供应商提供建设的各个业务系统的建设覆盖面较窄，且中间涉及到与该业务部门相关的大量业务流程。这些业务流程长短不一，其应用场景也相对固定。校级的业务流程现在在国内的大部分高校信息化建设过程中都相对缺失。带来这个问题的主要原因是由于单体业务系统的人为割裂建设有关。业务部门是这些业务系统建设的需求提出单位，他们所关注的仅仅是这个业务部门在某个业务场景中的流程需要。他们并不会过多的关注校级层面的流程与自己部门业务流程的关联到底有哪些。同时，就是针对自己部门内部的业务流程，每流程节点的执行人、执行时间、执行耗时、执行

11、效果、执行评价等这些信息也是一无所知，这也就带来了当前大部分高校在进行信息化建设过程中校级流程的缺失。1.1.3流程杂乱及数据质量监控缺失造成数据质量低下流程杂乱及数据质量监控缺失造成数据质量低下高校目前构建的这些业务应用系统，从单体的系统使用情况看，仍然存在“建的多，用的少”的情况。对业务系统而言，在应用环节的缺失，直接影响对应业务数据的沉淀，更不用提到所谓数据质量的问题。这是影响数据质量不高的原因之一。另外，学校对于数据质量的监控，包括数据交换过程的监控、代码标准的监控缺失，也导致数据质量的低下，实为原因之二。1.1.4高校普遍网站安全防护力度不够高校普遍网站安全防护力度不够 安全漏洞未及

12、时更新安全漏洞未及时更新随着教育行业信息化的快速发展和网络信息技术的普及应用，网络安全面临的威胁越来越严峻。很多高校的网站或信息系统存在跨站脚本、SQL 注入和后台管理弱口令等高危漏洞，部分网站已经被植入木马。部分虽然配置了安全防护设备，但疏于管理，实效性较差，安全防护效果不明显。总体来看，教育行业的网络与信息安全形势严峻，及时查补信息安全漏洞，积极采取应对措施1.1.5高校数据中心安全危机和运维管控难度加大高校数据中心安全危机和运维管控难度加大随着教育信息化建设的逐步深入，教务工作对信息系统依赖的程度越来越高，数据服务器成为了高校重要组成内容，积聚越来越多的信息资源。近几年网上黑客攻击，修改

13、考试成绩，骗取认证证书等事件屡有发生，教育系统已经逐渐成为黑客关注的重点目标，高校数据中心的安全保障工作已经迫在眉睫。教育系统信息泄露安全风险分析1、来自互联网风险 教育行业网站系统中括学校院系门户、教学管理系统、网上课程、数字图书馆、网上办公等，为高校师生们提供各式各样的网络服务。并且都与上级教育部门进行多项联系，教育系统网络如果与 Internet 公网直接或间接互联，那么由于互联网自身的广泛性、自由性等特点，像高校这样的教育行业单位自然会被恶意的入侵者列入其攻击目标的前列。需要对数据库的安全进行权限控制和加密措施2、来自运维管理的安全风险 随着信息教育行业信息化建设进程，由于设备和服务器

14、众多，特别是建设有数据中心，云平台和虚拟机众多，系统管理员压力太大等因素，越权访问、误操作、滥用、恶意破坏等情况时有发生，这严重影响教务工作运行效能，并对学校声誉造成重大影响。另外黑客的恶意访问也有可能获取系统权限，闯入部门内部网络，造成不可估量的损失。如何提高系统运维管理水平，跟踪服务器上用户的操作行为，防止黑客的入侵和破坏，提供控制和审计依据，降低运维成本，满足相关标准要求，越来越成为高校关心的问题。1.1.6私有云的建设，带来便利的同时面临着新的挑战私有云的建设，带来便利的同时面临着新的挑战高校现在的的数据量和应用规模越来越大，大部分的高校建设或者考虑建设自己的私有云以满足未来越来越大的

15、数据规模。从风险管理的角度讲，云的风险来源于管理资产、威胁、脆弱性和防护措施及其相关关系，保障云计算平台的持续安全，以及其所支撑的业务的安全。云计算平台是在传统 IT 技术的基础上，增加了一个虚拟化层，并且具有了资源池化、按需分配，弹性调配，高可靠等特点。因此，传统的安全威胁种类依然存在，传统的安全防护方案依然可以发挥一定的作用。综合考虑云计算所带来的变化、风险，从保障系统整体安全出发，其面临的主要挑战和需求如下：法律和合规动态、虚拟化网络边界安全虚拟化安全流量可视化数据保密和防泄露安全运维和管理针对云计算所面临的安全威胁及来自各方面的安全需求，需要对科学设计云计算平台的安全防护架构，选择安全

16、措施，并进行持续管理，满足云计算平台的全生命周期的安全。信息化问题解决思路2 信息化信息化问题问题解决解决思路思路2.1 信息化信息化云云-管管-端整体布局端整体布局图 4.1-1 整体技术架构如上图所述，高校需要建设一个完整的开放式的私有云 IT 生态体系，实际上是包括了从开发生态、运行生态、应用服务生态到运营生态的全生命周期的建设过程，并最终以服务的方式向最终用户进行业务展现。每个阶段的建设思路和模式都对整体信息化建设起着至关重要的影响。开发生态：开发生态：通过组件化开发平台，形成应用和组件，应用和组件挂载到校园服务总线，可为校内应用服务池和业务应用管理服务平台调用。并将其通过资源库的方式积累为行业资源库，为日后资源复用提供储备。同时开发平台能够对外部的第三方应用进行服务化的封装，同样形成新的应用或组件，挂载到校园服务总线。基于组件化开发平台的可视化开发过程，校内的广大师生和社会人士也可以通过该工具完成简单的应用服务开发，并通过发布工具发布到校内，增强信息化建设整体参与面的广度和深度。运行生态：运行生态：以校园服务总线、应用管理服务平台以及包括主数据管理、身份认证管理、统一通讯、移