0 引言

近十年来，我国的高校信息化建设步入了飞速发展阶段，各类学校官网建设、教学资源的共享、教务系统的应用、校园一卡通等信息系统的建设，成了高校信息化的展示平台和重点，信息系统在学校教务工作中占据了非常重要的地位.原本的大学信息化平台只能提供普通的通知公告发布、学校形象展示等功能，随着信息技术的发展，如今的大学信息化平台发生了很大变化，汇集了学校网站宣传、微信、微博账号、师生互动沟通、教学教务系统、选课评教系统、教学资源共享等功能.这些系统和信息已经成为高校重要的业务展示和应用平台.其中涉及的信息安全方面的问题日趋值得我们重视.

1 高校信息安全现状

一般的高校信息化建设主要经过以下几个阶段：网络基础设施建设、旧应用系统整合、新应用系统开发等. ^[1]在高校信息化建设发展的同时，整体安全状况却不容乐观.

高校网络应用日趋增加，网络系统越来越庞大，对外要能够抵御各种黑客攻击，负载均衡等问题，对内要解决规范网络资源使用.信息化安全是当前高校信息业务应用发展需要关注的核心和重点，而高校信息安全需要解决以下安全内容：1) 操作系统安全.2) 网络信息通信安全.3) 网络系统信息内容安全.

中国高校网站安全情况极差，根据国内信息安全公司的报告，在2012年5月，国内截获了61万个遭黑客网页挂马的网址，其中教育教学类的网址就有18万个以上.此外，根据《2013年中国高校网站安全检测报告》，高校网站的安全性在全国各类网址中，体检分数排名仅仅比倒数第一名多2分 (见图 1).

值得注意的是，各大学校的科研、教务网站上保存有大量的敏感数据和学生信息，如不加以重视安全保护，极易受到黑客的攻击和窃取，由此引发的高校网站被篡改、被挂马的安全事件频繁出现，最终给高校带来严重的形象及经济损失.

另外，高校网站在百度、搜狗等搜索引擎中是热门关键词，由于其安全性薄弱及多方面的利益驱使，是黑客攻击并传播病毒的优先选择目标.信息安全隐患已经成为高校信息化建设过程中无法回避的问题，其严重威胁着高校信息化的推广和使用, ^[2]威胁着公共安全的多个方面.

2 高校信息安全面临的挑战

当前，各大高校都在加大信息化平台的投入，对官网、教务管理系统进行建设，让各类教学资源联网共享，优化校内网络资源等，这些高校信息化的建设是各大高校适应当前形势发展需求而开展的，每个学校都有自己的实际情况和需求，业务开展初期没有一个宏观的规划架构，各个系统之间互不连通，数据不能同步共享、更新，这些系统的功能特性、安全需求和等级、服务的群体、所面临的风险各不相同.

高校信息安全面临的挑战，主要有以下几点：

1) 高校官网易受到攻击：高校官网是学校重要对外交流窗口，浏览访问量巨大，又因为高校网站多为各高校自主搭建，缺乏足够的安全防范技术与措施，所以较容易引起网络黑客的攻击兴趣，黑客利用网页挂马，分布式拒绝服务攻击等方式对学校官网进行攻击，轻则造成网站响应速度变慢，重则导致访问者中毒，或者学校网站无法访问等严重后果. 图 2和图 3分别列出了中国高校网站安全漏洞分布情况和黑客攻击高校网站技术手段分布情况.

2) 高校敏感数据被入侵、篡改.

高校信息中心的业务数据，包括“校园一卡通”、教务管理系统、图书馆借阅系统、精品课程资源库等，由于保存有大量学生身份证、联系电话、成绩、银行卡号、住址、学生饭卡资金等敏感信息，也成为网络黑手攻击的对象，黑客入侵修改学生成绩、学历, 甚至修改毕业证信息等信息安全事件屡见不鲜.

3) 校园网的内部威胁.

高校内部用户上网带来的威胁，包括机房、宿舍、办公楼用户等.由于信息技术发展速度较快，高校在信息安全教育方面没有跟上技术发展的步伐，导致校园上网用户对信息安全重视程度不够，缺乏信息安全保护能力和意识，通过学校局域网或者机房感染计算机病毒的概率很高，使得各种计算机病毒在校园内迅速传播，给学校内网带来安全威胁.另外，有些学生对黑客盲目崇拜，在校内尝试黑客攻击技术，也造成了一些信息安全事故.

4) 技术人员方面的短缺.

很多高校信息管理人员缺乏成熟的管理经验，整体素质比较低，加上管理和制度上的欠缺，使得高校信息系统在运行过程中遇到入侵的概率大大增加.

5) 需要加大资金投入.

越来越多的高校已经认识到校园信息化建设的重要性.但是，由于信息化建设的硬件投入需要较大资金，而很多高校存在资金缺口，导致安全设备硬件的缺乏，进而成为整个安全建设的短板.另外，信息化服务、信息化应用、人员培训等方面也需要大量资金，这些问题不解决，将使得高校的信息化建设失去动力支持.

3 解决方案

对于高校校园网的安全建设而言，主要考虑以下几个方面：

1) 对整个高校的信息安全进行统一规划，建立并实施体系化的信息保障标准，实现学校门户部门公共服务网站教学资源等各类型网站的整合，简化技术维护难度，确保网站的建设质量和安全防护能力.

2) 全方位的进行建设，在基础层建设方面、网络层建设方面、系统集成方面、管理应用方面，多角度多层面的设计和建设安全需求.

3) 对涉及敏感数据的区域进行重点保护，划分重点区域，有利于集中管理.

4) 针对学校的业务需求，引入先进的安全硬件软件等产品，紧跟安全领域的步伐.

5) 定期进行校园网络体系化建设咨询，风险评估，攻击测试等活动，不断提高安全防护能力.

6) 信息安全建设过程中要严格遵守国家等级保护要求，结合等级化的方法来设计.

7) 高校信息化建设与人员的素质息息相关，在加强信息化管理的过程中，需要对校园中使用网络的人员进行安全教育和培训，提高人员的安全意识，^[3]形成人人关心信息安全工作，事事重视信息安全保护的工作氛围.

4 具体安全措施框架

根据高校自身系统的特点，结合等级保护相关技术要求和标准规范，笔者提出了以下解决方案 (见图 4).该方案的安全措施框架是依据“防范优先，全面防御”的方针，以及“制度与技术结合”的原则，并结合等级保护基本要求进行设计，主要包括技术体系，管理体系以及安全监控体系三大方面，在核心应用系统方面使用入侵检测系统、软硬件防火墙、杀毒软件定期查杀等常用信息防范措施，保障网络业务在具有一定的安全防护能力下的正常开展.

4.1 技术体系 4.1.1 架构规划

划分重点保护区域、访问控制、防DDOS攻击，针对重点保护区域使用防火墙进行隔离，配置规范的访问控制权限和策略，交叉使用多家安全厂商的产品，构建严密、专业的网络安全保障体系.

4.1.2 应用层面

对校内各Web应用进行入侵检测，及时修补漏洞，利用防火墙对SQL注入、跨站脚本等通过应用层的入侵动作实时阻断，并结合网页防篡改子系统，真正达到“网页防篡改”效果.

4.1.3 数据层面

将校内重要的数据放置在重点保护区域，提升数据库自身的安全指数与配置，对数据库的访问权限进行严格设定，最大限度地保证数据库安全.同时，利用SAN、异地数据备份系统有效保护重要信息数据的健康度.

4.2 管理体系

任何安全设施和安全产品都需要专业管理人员的审核、跟踪和维护，在安全管理体系的设计中，引入安全经验丰富和对等级保护管理要求理解清晰的专业公司，为高校量身定做符合实际的、可操作的安全管理体系.

4.3 安全监控体系 4.3.1 风险评估

评估和分析在网络上存在的安全技术，分析业务运作和管理方面存在的安全缺陷，调查系统现有的安全控制措施，评价当前高校的业务安全风险承担能力；聘请资深的安全专家对各种安全事件的日志、记录实时监控与分析，发现各种潜在的危险，并提供及时的修补和防御措施建议.

4.3.2 渗透测试

利用网络安全扫描器、专用安全测试工具和专业的安全工程师的人工经验对网络中的核心服务器及重要的网络设备进行非破坏性质的模拟黑客攻击，提高防范意识与技术.

4.3.3 应急响应

针对信息系统危机状况的紧急响应设有预案，当信息系统发生意外的突发安全事件时，可以提供紧急的救援措施.

通过以上方案的实施，学校业务系统得到安全保障，高校科研、教务、学籍等重要数据免受黑客入侵威胁.高校官网抗攻击性得到加强，在遭受一般的网络攻击下能持续提供网络服务，并检测攻击出处.规范校内用户的上网行为，提高校内用户的整体信息安全意识，提高了网络利用率，减少了内部的网络攻击.另外能逐步完善安全制度并提升管理人员素质.因此该系统的建设能够满足当前高校网络系统的要求.

5 结语

当前高校网络系统是一个不断发展壮大的多功能复杂系统，在提供日常的教务管理、学校宣传的同时，也面临着越来越复杂的信息安全威胁，网络技术不断发展的同时，现有的系统自身的漏洞与弱点也会不断被发现，信息安全风险日益突出，成为当前高职院校中信息化建设过程中必须面对与亟待解决的问题.信息化建设和发展对于高校未来的教育工作有着非常重要的现实意义，因此，需要加大资金投入，保证校园向着信息化方向发展，^[4]以信息安全为出发点, 将系统从项目立项开始就纳入管理范畴, 从而实现对高校信息系统的有效管理.^[5]在高校信息化建设中实施信息安全保护建设工作有利于提高全校的信息系统安全建设水平，能不断的同步建设各种信息安全设施，让信息化建设与信息安全同步发展，能提供全面的并有针对性的信息系统安全建设，降低网络系统建设成本，有利于优化信息安全资源配置，保护信息系统分类，确保高校信息平台的安全运行.