智慧校园安全防护解决方案

高校信息化 安全防护解决方案

2016年11月

1 高校信息化现状 ......................................

1.1信

1.1.1缺乏统一的开放支撑平台，多厂商共建造成过程风险

1.1.2校级流程管控缺失，各处室割离建设造成流程杂乱

1.1.3流程杂乱及数据质量监控缺失造成数据质量低下

1.1.4高校普遍网站安全防护力度不够 安全漏洞未及时更新

1.1.5高校数据中心安全危机和运维管控难度加大

1.1.6私有云的建设，带来便利的同时面临着新的挑战

息

化

存

在

问

题

与

分

析

2 信息化问题解决思路 ..................................

2.1信

2.2信

息化云-管-端整体布局

息化云数据中心安全防护

2.3运营生态体系—信息的高可用性

2.4构建一套高可用性、安全性的信息化系统体系

3 高校信息化需要建设内容 ..............................

3.1信

3.1.1基

础

支

撑

平

台

息

化

系

统

建

设

内

容

3.2信息化数据中心安全建设内容

3.2.1数

3.2.2数

据

中

心

运

维

管

理

区

据

中

心

业

务

生

产

区

安

全

3.3信息化系统管端安全建设内容

3.3.1安

3.3.2安

全设计

全部署

4 高校信息化系统安全服务需求 ..........................

4.1风

4.2等

4.3信

4.4信

4.5安

4.6门户网站安全测评及安全整改

全

防

护

措

施

自

查

与

优

化

息

安

全

制

度

自

查

与

优

化

息

系

统

加

固

修

复

级

保

护

定

级

备

案

协

助

险

评

估

机

制

5 建议增加的安全设备/服务 ............................. 6 相关产品介绍 ........................................

6.1下

6.1.1下

6.1.2下

6.1.3下

一代防火墙

一代防火墙配置背景

一代防火墙实现功能

一代防火墙效果

6.2上

网

行

为

管

理

6.2.1上

6.2.2上

6.2.3上 6.3网

络

网行为管理配置背景

网行为管理功能

网行为管理实现效果

安全审计系统

6.3.1网络安全审计系统配置背景

6.3.2网络安全审计系统实现功能

6.3.3网络安全审计系统实现效果 6.4云

6.4.1云

6.4.2云

运

维

审

计

系

统

（

堡

垒

机

）

运维审计系统配置背景

运维审计系统功能

6.4.3云

运

维

审

计

系

统

实

现

效

果

应用防火墙和网站监控平台

6.5Web

6.5.1Web应用防火墙与网站监控平台配置背景

6.5.2Web应用防火墙和网站监控平台实现功能

6.5.3Web应用防火墙与网站监控平台实现效果

1 高校信息化现状

目前，高校经过这几年加大对信息化的建设，已经实现全校网络覆盖，安全防护能力业已达到“二级”合格标准。管理信息系统如门户网站、OA系统、招生系统、教务系统、财务系统、金龙卡、教学资源系统、教学质量监控系统、图书管理系统以及各部门自主购买的一系列应用系统等等，可以说这些应用系统基本上覆盖了大部分校园信息化所具备的管理系统。学校中心机房有在用服务器，存储设备数套，分属各处室、分院及图书馆，各自运行、存储的管理系统及数字资源。信息化建设已经基本覆盖校内的大部分管理信息化领域，数字校园建设初具规模。

当前已建的这些应用系统，基本能够解决高校在行政办公管理、教务管理、学工管理以及科研管理等范畴内结果性数据维护的需求。在方便了各业务部门进行业务处理的同时，也积累了不同业务、不同阶段的各类数据。而这些数据的沉淀，作为我校在“十二五”期间，信息化建设的重要成果，为下一阶段的数据决策和分析提供有效的依据和支撑。事实证明，高校通过在“十二五”期间的信息化建设，在完成各类结果数据沉淀的同时，为各级各类型业务部门利用信息技术和手段开展业务办理，提供了有效的应用环境。在业务办理过程中，因为有了基于面向单体业务开发的各类业务应用系统，办理效率在大幅提升，为高校整体运营层面大大降低了因为人工方式带来的运营成本。面向学生，也能够利用信息化的手段为他们提供基于某个业务场景的业务服务。不可否认的是，高校通过“十二五”期间展开的信息化建设，在保证原有业务开展质量的同时，较大幅度的提高了业务管理水平和效率。尽管如此，在信息化建设的道路上仍然有很多的空间需要提升。

随着信息化建设的推进，云计算的技术的不断成熟以及在高校领域的不断渗入

云计算通过将数据统一存储在云计算服务器中，加强对核心数据的集中管控，比传统分布在大量终端上的数据行为更安全。由于数据的集中，使得安全审计、安全评估、安全运维等行为更加简单易行，同时更容易实现系统容错、高可用性和冗余及灾备恢复。但云计算在带来方便快捷的同时也带来新的挑战

1.1 信息化存在问题与分析

我们不得不进一步发现，从高校整体信息化建设的过程、应用的过程以及后期维护的过程中，仍然存在问题有些问题直接影响了高校后续信息化建设的节奏与效果。这些问题主要集中在以下几个方面：

1.1.1

缺乏统一的开放支撑平台，多厂商共建造成过程风险

高校在“十二五”期间建设的信息化系统众多。其间涉及门户网站、OA系统、招生系统、教务系统、财务系统、金龙卡、教学资源系统、教学质量监控系统、图书管理系统以及各部门自主购买的一系列应用系统等等。

信息化建设过程中，多个厂商参与共建，而建设的内容都是以业务部门需求为核心的单体业务系统，现在是普遍高校信息化建设的现状。学校的信息化建设在设计初期，都在强调顶层规划。应该讲，这样一张蓝图是指导学校后续的信息化逐步推进的原则。但在实际过程中，由于不同厂商参与建设的学校信息化，就会出现实际建设路径与最初设计蓝图不一致的情况。归结原因主要有以下两点：

其一，不同厂商采用不同的技术架构开发设计，过程相对封闭。而学校信息化一旦需要从单体系统向一体化转型时，就会带来因为封闭技术架构带来的冲突，使整合难度加大，对学校而言建设安全风险增加。

其二，建设边界相对模糊，带来学校从单体系统一体化转型过程中，权责难以明确的问题。厂商之间互相推诿，撇清责任。这对学校

信息化安全建设过程无疑风险巨大。

其三，缺乏统一的安全的身份认证手段，各厂商承建的系统对权限的管控手段水平不一，在安全性和用户直接使用感受上都存在问题，师生在使用各信息系统时往往会面对各种账号，在用户体验上大打折扣。

1.1.2

校级流程管控缺失，各处室割离建设造成流程杂乱

当前大部分高校在信息化建设过程中，各个部门和二级学院的规划和建设 ，都是各自为政，建设自己的管理信息系统或应用软件，这些软件系统来源于不同部门的采购，软件产品分属于不同的生产商。这种状况表现在应用过程中功能重叠、数据格式多样性和系统之间无关联性。所谓的“信息孤岛”就由此产生，信息孤岛的产生使信息资源的利用率大打折扣，各系统难于共享信息。由不同的软件供应商提供建设的各个业务系统的建设覆盖面较窄，且中间涉及到与该业务部门相关的大量业务流程。这些业务流程长短不一，其应用场景也相对固定。

校级的业务流程现在在国内的大部分高校信息化建设过程中都相对缺失。带来这个问题的主要原因是由于单体业务系统的人为割裂建设有关。业务部门是这些业务系统建设的需求提出单位，他们所关注的仅仅是这个业务部门在某个业务场景中的流程需要。他们并不会过多的关注校级层面的流程与自己部门业务流程的关联到底有哪些。同时，就是针对自己部门内部的业务流程，每流程节点的执行人、执

行时间、执行耗时、执行效果、执行评价等这些信息也是一无所知，这也就带来了当前大部分高校在进行信息化建设过程中校级流程的缺失。

1.1.3

流程杂乱及数据质量监控缺失造成数据质量低下

高校目前构建的这些业务应用系统，从单体的系统使用情况看，仍然存在“建的多，用的少”的情况。

对业务系统而言，在应用环节的缺失，直接影响对应业务数据的沉淀，更不用提到所谓数据质量的问题。这是影响数据质量不高的原因之一。

另外，学校对于数据质量的监控，包括数据交换过程的监控、代码标准的监控缺失，也导致数据质量的低下，实为原因之二。

1.1.4

高校普遍网站安全防护力度不够 安全漏洞未及时更新

随着教育行业信息化的快速发展和网络信息技术的普及应用，网络安全面临的威胁越来越严峻。很多高校的网站或信息系统存在跨站脚本、SQL注入和后台管理弱口令等高危漏洞，部分网站已经被植入木马。部分虽然配置了安全防护设备，但疏于管理，实效性较差，安全防护效果不明显。总体来看，教育行业的网络与信息安全形势严峻，及时查补信息安全漏洞，积极采取应对措施

1.1.5 高校数据中心安全危机和运维管控难度加大

随着教育信息化建设的逐步深入，教务工作对信息系统依赖的程度越来越高，数据服务器成为了高校重要组成内容，积聚越来越多的信息资源。近几年网上黑客攻击，修改考试成绩，骗取认证证书等事件屡有发生，教育系统已经逐渐成为黑客关注的重点目标，高校数据中心的安全保障工作已经迫在眉睫。?

教育系统信息泄露安全风险分析?

1、来自互联网风险 教育行业网站系统中括学校院系门户、教学管理系统、网上课程、数字图书馆、网上办公等，为高校师生们提供各式各样的网络服务。并且都与上级教育部门进行多项联系，教育系统网络如果与Internet公网直接或间接互联，那么由于互联网自身的广泛性、自由性等特点，像高校这样的教育行业单位自然会被恶意的入侵者列入其攻击目标的前列。需要对数据库的安全进行权限控制和加密措施

2、来自运维管理的安全风险 随着信息教育行业信息化建设进程，由于设备和服务器众多，特别是建设有数据中心，云平台和虚拟机众多，系统管理员压力太大等因素，越权访问、误操作、滥用、恶意破坏等情况时有发生，这严重影响教务工作运行效能，并对学校声誉造成重大影响。另外黑客的恶意访问也有可能获取系统权限，闯入部门内部网络，造成不可估量的损失。如何提高系统运维管理水平，跟踪服务器上用户的操作行为，防止黑客的入侵和破坏，提供控制和

审计依据，降低运维成本，满足相关标准要求，越来越成为高校关心的问题。

1.1.6

私有云的建设，带来便利的同时面临着新的挑战

高校现在的的数据量和应用规模越来越大，大部分的高校建设或者考虑建设自己的私有云以满足未来越来越大的数据规模。

从风险管理的角度讲，云的风险来源于管理资产、威胁、脆弱性和防护措施及其相关关系，保障云计算平台的持续安全，以及其所支撑的业务的安全。

云计算平台是在传统IT技术的基础上，增加了一个虚拟化层，并且具有了资源池化、按需分配，弹性调配，高可靠等特点。因此，传统的安全威胁种类依然存在，传统的安全防护方案依然可以发挥一定的作用。综合考虑云计算所带来的变化、风险，从保障系统整体安全出发，其面临的主要挑战和需求如下：  法律和合规

 动态、虚拟化网络边界安全  虚拟化安全  流量可视化  数据保密和防泄露  安全运维和管理

针对云计算所面临的安全威胁及来自各方面的安全需求，需要对科学设计云计算平台的安全防护架构，选择安全措施，并进行持续管

理，满足云计算平台的全生命周期的安全。

信息化问题解决思路

2 信息化问题解决思路

2.1 信息化云-管-端整体布局

图 2.1-1整体技术架构

如上图所述，高校需要建设一个完整的开放式的私有云IT生态体系，实际上是包括了从开发生态、运行生态、应用服务生态到运营生态的全生命周期的建设过程，并最终以服务的方式向最终用户进行业务展现。每个阶段的建设思路和模式都对整体信息化建设起着至关重要的影响。

开发生态：

通过组件化开发平台，形成应用和组件，应用和组件挂载到校园服务总线，可为校内应用服务池和业务应用管理服务平台调用。并将其通过资源库的方式积累为行业资源库，为日后资源复用提供储备。同时开发平台能够对外部的第三方应用进行服务化的封装，同样形成新的应用或组件，挂载到校园服务总线。基于组件化开发平台的可视化开发过程，校内的广大师生和社会人士也可以通过该工具完成简单的应用服务开发，并通过发布工具发布到校内，增强信息化建设整体参与面的广度和深度。

运行生态：

以校园服务总线、应用管理服务平台以及包括主数据管理、身份

认证管理、统一通讯、移动支撑平台等在内的公共应用组件，为学校提供统一的、高交互性、高开放性的服务应用运行环境。其提供的服务都是通过校园服务总线进行统一发布的服务，通过业务应用管理服务平台将其编排成符合学校需要的业务逻辑，提供给用户使用。

校园服务总线负责整个学校信息化建设各个平台间服务交互和信息传递，通过服务治理工具管理服务运行，通过基于校园服务总线的服务集成工具完成服务的集成和交互，通过服务标准管理工具保障各服务间调用的规范性。

被服务调度总线封装的，除了组件化开发平台提供的应用和组件外，还包括校内很多的基础应用组件，如主数据管理、统一身份认证、统一支付等，都以服务的方式在服务调度平台上进行挂载，并借由服务调度平台完成同其它平台的集成。

应用服务生态：

改变原有的行政化、管理化信息系统使用模式，以类互联网的模式，形成校内的应用超市，包括校内师生综合服务平台和校外的服务应用池，有效接入，实现应用服务的动态分配和按需使用。并对服务使用进行全面监控和管理，对业务过程和服务质量做到有效评估。

2.2 信息化云数据中心安全防护

云计算平台的安全保障技术体系不同于传统系统，它也必须实现和提供资源弹性、按需分配、全程自动化的能力，不仅仅为云平台提供安全服务，还必须为租户提供安全服务，因此需要在传统的安全技

术架构基础上，实现安全资源的抽象化、池化，提供弹性、按需和自动化部署能力。

充分考虑云计算的特点和优势，以及最新的安全防护技术发展情况，为了达成提供资源弹性、按需分配的安全能力，云平台的安全技术实现架构设计如下：

说明：

• 安全资源池：可以由传统的物理安全防护组件、虚拟化安全防护组件组成，提供基础的安全防护能力；

• 安全平台：提供对基础安全防护组件的注册、调度和安全策略管理。可以设立一个综合的安全管理平台，或者分立的安全管理平台，如安全评估平台、异常流量检测平台等；

• 安全服务：提供给云平台租户使用的各种安全服务，提供安全策略配置、状态监测、统计分析和报表等功能，是租户管理其安全服务的门户

通过此技术实现架构，可以实现安全服务/能力的按需分配和弹性调度。当然，在进行安全防护措施具体部署时，仍可以采用传统的安全域划分方法，明确安全措施的部署位置、安全策略和要求，做到有效的安全管控。对于安全域的划分方法详见第五章。

对于具体的安全控制措施来讲，通常具有硬件盒子和虚拟化软件两种形式，可以根据云平台的实际情况进行部署方案选择。

云平台的安全防护措施可以与云平台体系架构有机的集成在一起，对云平台及云租户提供按需的安全能力。

2.3 运营生态体系—信息的高可用性

通过对高校信息化建设现状与问题的分析与总结，未来高校信息化建设的核心是以面向角色的服务为导向建立整体数字化校园开放性生态体系。以先进的技术构架为依托，创造一个高开放度的信息化环境，更好的应对学校内部业务变化和外部信息技术发展趋势带来的冲击。构建这样的一种生态体系，学校需要从技术架构、建设思路、建设模式等多个方面进行转变。要做到能够同时满足技术发展的需要、学校业务的需求、供应商参与的诉求，充分利用学校在信息化方面的人力与物力投入，构建良性的、可持续发展的校园信息化生态。围绕行政部门建设信息化的思路和模式。

基于开放的信息化环境，将校内信息化建设成果和校外互联网应用都以服务的形态进行重新梳理、重新组合，并通过有效的管理机制在校内的统一应用平台上进行注册、发布，为校内师生提供综合性的服务获取通道和高体验度的应用服务，大大增加用户黏性与依赖度。基于高使用率的综合服务，校内师生不但可以在综合服务平台上使用服务，还可以对校内服务进行评价和反馈，综合服务平台同时记录下各类用户的操作轨迹、用户行为，辅以传统的管理业务数据，为各级管理者提供全面、有效的数据分析服务，帮助各级管理者决策分析，优化业务模式。各类需要优化的应用，需要有效的运营机制保障，在

校内建立长效化、持续化的运营机制，保证校内应用和服务的升级与迭代。在运营机制的保障下，借助快速建模工具和快速开发平台，让信息中心、建设方和服务提供商都可以基于完善的运营机制参与其中，共同提升校内信息化水平。

2.4 构建一套高可用性、安全性的信息化系统体系

 建设一套上网行为管理系统，有效防止互联网有害信息在高校的散布与传播，加强对危害、影响社会稳定、淫秽色情等有害信息的预防、监控和管理力度，防范各种破环活动，配合门及时发现和打击各种网上违法犯罪行为。通过对网络进行有效的控制和监管，规范用户正确的上网行为，努力创建和谐校园。

 确保web应用安全的最大化，防止网页内容被篡改，防止网站数据库内容泄露，防止口令被突破，防止系统管理员权限被窃取，防止网站被挂马和植入病毒、恶意代码、间谍软件等，防止用户输入信息的泄露，防止账号失窃，防SQL注入，防XSS攻击等。  由于信息化系统的脆弱性、技术的复杂性、操作的人为因素，在设计以预防、减少或消除潜在风险为目标的安全架构时，引入运维管理与操作监控机制以预防、发现错误或违规事件，对IT风险进行事前防范、事中控制、事后监督和纠正的组合管理是十分必要的

 及时的进行信息化系统的安全评估及安全扫描，从而发现的各种

系统漏洞，并且依据既定的相关策略，采取措施予以弥补，消除已暴露的问题和可能的隐患，加固主机系统、网络设备和架构、WEB应用程序安全漏洞，提高信息系统的健壮性，抵御外部的各种安全风险以及恶意攻击，实现信息系统长期安全、稳定运行的最终目标。

3 高校信息化需要建设内容

3.1 信息化系统建设内容

3.1.1 基础支撑平台

新的建设模式需要新的技术体系支持，改良校内现有IT架构是本次项目规划与建设中非常重要的环节。基础架构的合理性和先进性以及开放性决定了我校未来信息化建设成败。通过建立新的基础支撑平台，实现对校内各类应用、服务的有序接入和管理，综合数据层面、开发层面、应用层面和运维层面，建立统一的基础支撑架构，保证信息化建设的基础坚实。

3.1.1.1 主数据平台建设

高校经过多年的信息化建设，已经形成了一套校内的信息标准，并且学校现在已经建立了公共数据平台，用于处理各业务系统的共享数据交换和集成，同时积累大量的业务数据。但随着信息技术的发展和校内业务的调整，原有信息标准已经不能满足未来的信息化发展需要，现有的公共数据平台也无法支撑后期开放架构下的数据共享与管

理，校内数据质量也存在一定问题。因此，为了达成上文信息化生态的整体建设目标，建议对现有的公共数据平台进行升级改造，从以下几个层面提升数据平台的能力：

1、信息标准的执行能力；

升级现有信息标准管理系统，一方面可以全面升级学校原有信息标准的内容，另一方面可以加强信息标准的实际使用和执行情况的管理手段，学校内部的主数据库和业务数据库一旦有和信息标准不同步或不一致的情况，系统将及时检查并将差异情况提报给数据平台管理人员，帮助其了解和及时纠正信息标准执行的差异，确保信息标准的可执行性。

2、共享数据的开放能力；

现有公共数据平台的数据集成和共享完全基于ETL的方式进行，ETL作为业内通用和常用的成熟技术，在数据交换和共享过程中的稳定性和高适用性具有很好的优势。但随着信息架构的发展，传统的ETL方式缺少数据共享的及时性和灵活性，无法将一些需要快速反馈的数据进行有效同步，直接通过数据库进行数据交换的途径也缺少多元的数据共享通道和手段，在后期的信息化建设过程中，需要提供及时有效、灵活可配的数据共享方式，便于后期碎片化服务的封装和建设。

3、数据质量的治理能力；

数据作为信息化建设的核心内容，其质量好坏在高校内一直是一个无法量化的黑盒，但数据质量的好坏直接影响到学校后期数据分析

和数据利用的有效性，因此需要一套先进的管理工具，对学校的数据质量进行全面的监控，帮助数据平台管理人员了解校内数据质量，便于其有效推进和提升校内整体数据质量。

4、历史数据的积累能力；

现有公共数据平台的主要作用是保证校内共享数据的交换，因此其主要是对现有业务数据的同步更新与共享发布，并没有对抽取上来的共享业务数据的历史数据进行保存，一旦学校的业务系统不具备对历史业务数据的存档功能，学校大量的历史数据便会随着新业务数据的更新而丢失，很大程度上后期学校进行数据分析和数据统计的使用。因此本次的主数据平台升级建设同样需要对历史业务数据进行详尽保存，以天为单位进行历史数据切片保存，作为学校数据资产的积累。 基于上述四个层面，高校在后期需要通过建立一个符合教育行业特性的高校数主据管理平台。覆盖高校数据层面全生命周期的管理。从信息标准、代码标准，到数据共享、交换，直至最终的数据质量保证等。将高质量的主数据以服务的方式提供给校园服务总线，便于上层应用的抽取和使用。同时需要提升信息标准执行能力，采用自动化工具对校内信息标准和代码标准进行监控和管理，让标准真正成为标准、提升数据质量管理能力，保证数据价值的最大化、提升数据共享集成能力，做到数据实时共享。

3.1.1.1.1 主数据平台建设内容

信息标准建设：在进行后期信息化建设之前，需要对校内的信息

标准和数据质量进行重新的梳理和规划，以服务化和开放性的视角重新定义校内信息标准，使之具有可扩展性和可持续性。对学校现有信息标准和数据质量进行全面梳理和优化，使之能够提供符合教育行业标准的参考代码标准模式及数据共享和交换需求的主数据模式。信息标准主要建设内容如下：

1. 数据清洗与数据质量提升

对校内现有业务数据进行全盘分析和检查，找出数据质量隐患和存在问题，对质量不高的数据和无效数据进行清洗和优化，保证现有业务数据的高质量，为后期进行信息化改造奠定基础。

2. 信息标准升级

基于最新的国标、部标、行标，结合现有校标和校内实际业务情况，充分考虑后期信息化改造需要，将校内信息标准进行重新梳理和升级，使之符合最新的技术规范和业务需求。

3. 数据流向规划

对校内各业务部门和行政单位的数据流向进行重新规划，消除原先数据责任单位不明确的现象，并确定校内数据出处的权威性。避免出现数据二异性。

信息标准管理工具：提供数据标准管理、代码标准管理、数据流向管理、代码检测管理工具。帮助学校有效提升数据质量，强化数据管理能力。

元数据管理工具：对主数据和代码标准模型进行维护，提供语义支持，实现对底层模型的集中维护和管理，提供对数据分类的管理。主数据

和业务系统代码表之间映射关系的管理，检测元数据和系统数据库之间表、字段以及字段属性的不一致情况，根据元数据检测情况创建数据库实体对象

数据集成平台：提供集成接口支持、数据集成KM库、拓扑管理工具、集成设计工具、集成调度工具等实现数据流向集成。

数据共享接口发布工具：通过可自定义的数据发布接口，实现统一的数据实时、按需的共享需求。提供数据共享服务接口的新增、删除、修改、授权、接口启停以及运行管理。

数据备份管理工具：实现构建主数据仓库来保留了代码标准、主数据的历史数据，能重现每天的数据情况，方便日后的时间维度上的数据分析工作。

运行监控工具：为信息中心运行监控人员提供系统的动态，异常情况，数据情况等。以图形化的方式，较通俗易懂的表现形式来展现系统的各种运行和异常情况，并且按照事件的重要程度，将最重要的信息展现在最醒目的位置。目前包含系统首页、数据集成监控、数据库监控等。

3.1.1.2 身份认证管理平台

为了保证校内外应用的高效接入和顺畅的用户体验，需要建立校级的身份认证管理平台，统一管理校内外各类应用及系统的登录、访问和互相之间的认证。充分保证外部应用访问时数据权限和访问权限细颗粒度的控制。同时对校内所有账号进行基于工具化的有效监控和

管理，保证校内账号和密码的安全。

3.1.1.2.1 身份认证管理平台建设内容

身份管理：为数字校园提供集成用户身份认证和SSO单点登录服务，并为校园系统提供认证和SSO接口服务，同时包含身份自助服务、账号管理、应用认证管理等。

认证服务反向代理：认证服务的反向代理服务器，简化第三方接入的接入工作。

集群部署：包括两台认证服务器、两台LDAP的部署。 审计管理：为管理员提供及时发现问题之用，可审计出异常的帐号、不合理的认证行为和授权行为，用于发现系统可能存在的安全问题和隐患。

监控管理：为管理员提供了掌握系统各项服务运行状态的功能，可帮助管理员尽早发现系统运行问题。

身份认证：身份认证功能是身份认证管理平台的核心基础服务，随着信息化建设的不断深入，当前所采用的身份认证的方式也逐渐增多，平台需要支持多终端认证、第三方帐号绑定、动态登录、扫描登录、免登录、二次登录等多种登录方式。

OAuth开放服务：主要包括OAuth接入应用管理，开放接口管理，开放接口，代理权限插件，用于把学校的认证能力开放出去，方便师生访问第三方应用。

3.1.1.3 应用管理平台

师生综合服务是校园生态体系建立的关键环节，将分散在各个系统中面向教师、学生的服务内容进行重新梳理和归类，通过服务重新定义、封装的方式在应用服务管理平台上进行综合呈现，面向教师、学生提供覆盖全生命周期、可以不断完善、师生真正关心、有实用价值、便捷的信息服务；高校现有的信息门户只完成了对校内各类资讯和个人信息的数据层面整合，实现了简单的信息集成，由于技术架构的局限性，无法按照学生和教师的视角抽取、封装和展现碎片化的服务。因此在本次建设规划中，建议按照最新的服务体系生态重新构建面向师生综合服务的门户系统，同时，提供完整的服务前台交互与后台管理功能，支撑服务管理效率和管理水平的提升，监控和优化服务质量。更好的满足学校业务需要和师生服务需要。

应用管理平台建设内容如下：

应用门户：提供一站式办事大厅服务门户，基础组件包含热门排行、最新推荐，即将开放应用、应用收藏等，支持针对应用服务中心进行度查询搜索服务。

应用管理中心：作为校内服务应用的唯一载体，负责为校内应用提供统一的集成、发布、注册、授权和使用平台，对于校内应用提供接入信息维护、下架申请、审核等管理功能

应用授权管理：面向应用的接入提供用户组管理、应用权限管理。 基础应用：通知公告、调查问卷、新闻订阅、在线咨询、个人数据

3.1.1.4 校园服务总线

对现有管理系统解构、重组和碎片化会产生后台服务的大量调用和集成，除了数据层面的数据共享之外，还需要解决校内信息化建设中存在的紧耦合、异构性等各类问题，充分利用现有建设成果构建全新的高校信息化生态，建立基于高校行业特征的校园服务总线。实现从简单的“数据集成，门户集成”向“服务集成”模式的转变。提供接口标准管理、服务治理、服务交换等全方面的底层服务管理平台，为其他基础平台和公共应用组件、上层服务提供总体服务调度和管理。保证校内信息体系的可管理性。

实现服务管理从离散到集中，具备更可控的系统架构，增加信息化资源的可管理性、实现技术架构从差异化到标准化，更统一的集成方式，降低改造成本、实现建设过程从繁乱到有序，带来更简化的建设方式，降低运维难度、实现整体体系从封闭到开放，形成更良性的运营环境，增加信息化生态的可持续性。

校园服务总线建设内容如下：

服务集成工具：采用高性能、高可用性的商业中间件，解决异构系统集成时相互调用的协议、格式不同的转换问题，解决大并发情况下服务负载、服务缓存的问题，并实现服务流程的可视化编排，保证服务调用、服务交互时的稳定性和安全性。

服务注册工具：校园服务总线需要提供接口供开发人员注册服务，仅需提供服务的相关元信息及WSDL文件，即可实现注册步骤。而WSDL文件格式的基本验证部分需要自动完成，后期将要求服务提供者附加

范例代码。其中的从属系统标签则用于服务分组。对于restful形式的服务，需要提供详细的参数信息或提供对于restful服务的输入和输出实例实现注册。

服务查看与搜索：对于服务的操作及其参数信息，校园服务总线提供页面展示服务详细信息。对于服务的搜索，平台会提供服务分类的基础模板，系统管理员可以对其进行扩展，第三方可根据服务分类进行搜索。

注册状态查看：校园服务总线具有一定的开放性，但并不代表所有的服务都可注册上来，所以注册服务的过程需要人工审核的步骤。而开发人员则可在注册状态查看功能模块查看到已注册服务的当前状态（审核通过、未审核、审核中）

申请服务授权：校园服务总线提供接口供开发人员为所开发应用申请服务的授权，申请以应用为单位。在该页面，开发人员可看到所有服务的列表，仅需简单勾选，即可实现申请步骤。

API服务监控：校园服务总线提供对平台及服务所运行服务器的监控功能。考虑到平台本身的运行状态对其上运行的服务及应用有着极重要的影响，对其的监控必不可少，但对高校硬件的监控本就存在一套体系，所以校园服务总线仅提供平台硬件的关键性能监控，即对校园服务总线运行起关键性影响的指标（如CPU占用和内存使用情况） 服务注册审核：系统管理员根据服务注册信息来确定是否审核通过该服务的注册，比如考虑该服务的功能是否合理，后期还将考虑该服务是否应该注册在该系统下。提供给系统管理员的信息具体包括服务名

称、服务所属应用/模块、接口人等。当前审核状态则包括审核中和未审核。

3.2 信息化数据中心安全建设内容

云计算系统具有传统IT系统的一些特点，从上面的安全域划分结果可以看到，其在外部接口层、核心交换层的安全域划分是基本相同的，针对这些传统的安全区域仍旧可以采用传统的安全措施和方法进行安全防护。如下图所示：

当然，从上面的安全域划分结果可以看到，相对于传统的网络与信息系统来讲，云平台由于采用了虚拟化技术，在计算服务层、资源层的安全域划分与传统IT系统有所不同，这主要体现在虚拟化部分，即生产区、非生产区、管理区、支撑服务区、堡垒区、DMZ区等。 这里主要论述和说明生产区的安全建设。非生产区和管理区、DMZ区类似，不在累赘说明：

3.2.1 数据中心业务生产区安全

生产区部署了虚拟化主机、软件平台、应用层，应基于虚拟化技术实现，因此其安全防护应考虑虚拟化安全、网络安全、主机安全、应用安全、数据安全等内容。

虚拟化安全

虚拟化安全主要涉及虚拟化组件及其管理的安全，包括了虚拟化操作系统、虚拟化交换机、虚拟主机、虚拟存储及虚拟化安全管理系统的安全。

网络安全

网络安全主要涉及防火墙、异常流量检测和清洗、网络入侵检测、恶意代码防护、VPN接入、安全审计等内容。

防火墙及边界防护

安全域需要隔离，并需要采取访问控制措施对安全域内外的通信进行有效管控。通常可采用的措施有VLAN、网络设备ACL、防火墙、IPS设备等，这里主要对防火墙的功能、部署进行说明 网络异常流量监测与分析

云计算中心部署的应用和业务非常丰富，如基于流媒体的音视频服务， VPN业务等等，必然会受到各种网络攻击，如DDOS，进而出现大量异常流量。在这种流量成分日益复杂，异常流量海量涌现的情况下，对网络流量进行实时监测和分析，从而全面了解流量的各种分布以及变化趋势就显得十分必要了。 流量统计分析

流量统计分析的任务是实时监控进出云计算中心流量的地域分布，应用组成分布、变化趋势，并生成相应的统计报表。统计对象的粒度可以为IP地址、IP地址段、用户（用IP地址或地址段的组合来定义）。

流量的地域分布显示对某个主机（或地址段、用户）的访问流量来自哪些地域。流量统计结果对流量工程具有很重要的参考价值。应用组成分布显示云计算中心内部各种业务的开展情况，结合地域分布的信息，也可以指导流量工程。流量的变化趋势显示流量随时间的变化规律以及峰值时段对带宽的占用情况，这些数据有助于进行云计算中心容量规划。

双向异常流量监测

异常网络流量分析系统应对网络中的由内至外、由外至内的流量进行双向监测，即可监测外发异常流量，也可监测外来异常流量； 异常流量定位

异常网络流量分析系统应对网络中的流量进行持续监控和实时分析，并对异常流量进行及时的发现、告警和定位，使网管人员能够准确的发现异常流量进入网络的端口和攻击目标； 异常流量分析

对于云平台，其数据流量较大，且内置的虚拟交换机可以直接输出Netflow数据流，因此建议在云计算中心采用基于流（FLOW）信息的流量分析产品。

网络入侵检测

云计算对外提供服务，完全面向互联网，所面临的威胁被无限放大，在云计算中心网络出口采用入侵检测机制，收集各种信息，由内置的专家系统进行分析，发现其中潜在的攻击行为。由网络入侵检测系统

捕获分析网络中的所有报文，发现其中的攻击企图，根据事先制定的策略通知管理员或自行采取保护措施。

应用安全

Web应用防护

云计算中心一般都是采用Web的方式来对外提供各类服务，特别是在Web 2.0的技术趋势下，75%以上的攻击都瞄准了网站（Web）。这些攻击可能导致云计算服务提供商遭受声誉和经济损失，可能造成恶劣的社会影响。Web应用防护技术通过深入分析和解析HTTP的有效性、提供安全模型只允许已知流量通过、应用层规则、基于会话的保护，可检测应用程序异常情况和敏感数据（如信用卡、网银帐号等）是否正在被窃取，并阻断攻击或隐蔽敏感数据，保护云计算平台的Web服务器，确保云计算平台Web应用和服务免受侵害。

数据安全

对于数据安全，需要涉及数据的产生、传输、存储、使用、迁移、销毁以及备份和恢复的全生命周期，并在数据的不同生周期阶段采用数据分类分级、标识、加密、审计、擦除等手段。另外，在采用了这些基础防护技术措施之外，还应考虑数据库审计、数据防泄露以及数据库防火墙的手段，最大限度地保证云平台中的数据安全。

3.2.2 数据中心运维管理区

云平台的管理运维人员、第三方运维人员以及租户需要多云计算平台的主机、应用及网络设备进行管理、维护操作。为了发现和防止不当操作、越权操作的发生，需要对此类用户进行认证、授权、访问控制和审计。堡垒机就是完成上述功能的关键设备，典型应用场景如下图所示：

功能

堡垒机可以提供一套先进的运维安全管控与审计解决方案，目标是帮助云计算中心运维人员转变传统IT 安全运维被动响应的模式，建立面向用户的集中、主动的运维安全管控模式，降低人为安全风险，满足合规要求，保障企业效益，主要实现功能如下： • 集中账号管理

建立基于唯一身份标识的全局实名制管

理，支持统一账号管理策略，实现与各服务器、网络设备等无缝连接； • 集中访问控制

通过集中访问控制和细粒度的命令级授

权策略，基于最小权限原则，实现集中有序的运维操作管理，让正确的人做正确的事； • 集中安全审计

基于唯一身份标识，通过对用户从登录到

退出的全程操作行为进行审计，监控用户对目标设备的所有敏感操作，聚焦关键事件，实现对安全事件地及时发现预警，及准确可查

3.3 信息化系统管端安全建设内容

3.3.1 安全设计

根据多年的教育行业信息系统安全实践经验，在深入理解国家法律法规和行业标准要求的基础下，结合对客户业务应用及安全技术的研究，为学校总结出“网关控制+内部安全管理”的合规信息系统管端管理安全方，来指导高校信息系统安全体系的建设。在此次方案中我们为用户提供网络安全管理系统、下一代防火墙、web防火墙、网络安全管理系统。

我们推荐的安全产品有以下特点：

安全产品 产品概述 对高校上网网络流量提供三步循环的解决方案——可视、可控、可追溯。 – “可视”指深层分析网络中运行的各种应用协议、网络行为，从而完整的了解网络带宽的使用状况。 – “可控”指根据对网络情况的了解，结合网络安全管理系统 用户的实际需求，提供最有效的控制策略，让网络资源得到最合理的利用。 – “可追溯”指对全网的使用情况进行了详细的记录，并提供内容检索、模糊查询、自动报表等功能，方便管理者跟踪、追溯网络的使用情况，帮助管理者定位网络问

题。 – 下一代防火墙不但可以提供基础网络安全功能，如状态检测、VPN、抗DDoS、NAT等；还实现了统一的应用安全防护，可以针对一个入侵行为中的各种技术手段进行统一的检测和防护，如应用扫描、漏洞下一代防火墙 利用、Web入侵、非法访问、蠕虫病毒、带宽滥用、恶意代码等。 – 边界防火墙可以为不同规模的行业用户的数据中心、广域网边界、互联网边界等场景提供更加精细、更加全面、更高性能的应用内容防护方案。 为网关设备，防护对象为Web、Webmail服务器，可针对安全事件发生时序进行安全建模，web防火墙 分别针对安全漏洞、攻击手段及最终攻击结果进行扫描、防护及诊断，提供综合Web应用安全解决方案。 3.3.2 安全部署

 在网络出口处部署网络安全管理系统，对学校内师生的无线和有线上网行为进行管理。

 在核心交换机与内网用户之间部署防火墙，为高校办公用户及服务器提供安全服务。

 部署web应用防火墙，对高校数据中心的内的web服务器、邮件服务器提供安全防护。

4 高校信息化系统安全服务需求

4.1 风险评估机制

2016年度信息安全风险评估将参照《XX市信息安全风险评估实施指南》和《GB/T20984-2007 信息安全技术信息安全风险评估规范》，通过深入了解高校信息系统情况，分析信息系统可能面临的威胁，存在的弱点，以及弱点被袭击或带来破坏的可能性及影响，对当前信息系统的安全风险进行分析和定义，采用专业漏洞检测工具和工作模版，从风险管理角度，运用科学的方法和手段，根据联合检查要求，系统地分析信息系统所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和整改措施；为防范和化解信息安全风险，将风险控制在可接受的水平，从而最大限度地为保障信息安全提供科学依据。

评估对象 高校所有信息系统资产、内网及服务器、网络设备、安全设备

评估依据

1) XX市关于开展信息安全风险评估工作的实施意见（深科信

[2006]268号）

2) 《XX市信息安全风险评估实施指南》

3) 《信息安全技术信息安全风险评估规范》（GB/T 20984-2007） 4) 《信息系统安全等级保护基本要求》（GB/T 22239-2008） 5) 用户自身业务安全需求 评估流程 评估内容 评估信息系统存在的高中低风险的数量、可能性、影响。主要从安全技术和安全管理两个角度： 1) 安全技术  物理安全

信息系统机房在物理位置选择、出入管理、动力环境等方面采取的措施是否有效。

图:物理环境脆弱性识别示意图

 网络层安全

信息系统网络架构设计是否安全合理； 网络访问控制是否严格有效； 网络安全审计是否有效； 是否存在“非法外联”行为； 网络入侵防范措施是否有效；

恶意代码防范措施是否有效。

网络设备、安全设备配置是否安全、有效；

图:网络层脆弱性识别示意图

 主机系统层安全（针对操作系统、数据库、中间件） 是否能对主机系统用户设置恰当的身份鉴别手段； 后台维护人员的权限是否是最小授权； 后台维护人员的逻辑访问路径是否可信； 安全审计记录是否完整；

入侵防范措施、恶意代码防范是否充分有效； 主机系统资源使用是否可控。  应用层安全（针对应用软件）

是否能对应用软件用户设置恰当的身份鉴别手段； 用户访问权限是否是最小授权； 安全审计记录是否完整；

剩余信息是否能够被释放或重新分配； 是否能保证通信过程中的完整性、保密性； 是否能保证交易的抗抵赖性； 是否能保证软件容错； 应用系统资源使用是否可控； 是否存在代码安全缺陷。  数据安全 2) 安全管理

 安全管理组织机构

是否有恰当的安全管理组织架构；

与信息安全相关的授权审批、审核检查流程是否存在并能够有效组织实施。

 安全管理制度

是否有恰当的安全管理制度体系；

安全管理制度体系的制定、审批、维护流程是否存在并能够有效组织实施。

 人员安全管理

信息系统后台维护技术人员在录用、在职、离岗时是否采取了恰当的安全管理方式；

是否对从事信息安全岗位的人员采取了信息安全考核； 是否对第三方人员访问内部系统采取了安全控制措施； 是否能够采取各种措施提高技术人员的安全意识。  系统建设管理

是否对信息系统建设各个阶段包括方案设计、产品采购、软件开发、工程实施、测试验收、系统交付等进行安全控制。

 系统运维管理

是否对信息系统运行过程中进行安全控制，例如机房用介质、机房设备、审计和监控、系统漏洞管理、逻辑访问控制、安全配置管理、变更管理等。

评估方式

配置核查----由测评人员在客户现场根据调查模版内容获取并分析信息系统关键设备当时的安全配置参数。

工具测试----由资深测评人员采用专业漏洞检测工具（“xx网络隐患扫描系统”）对被评估系统进行漏洞检测。

专家访谈----由资深测评人员同客户信息安全主管、IT审计部门、开发部门及运维部门按调查模版要求进行面对面访谈。

资料审阅----查阅信息系统建设、运维过程中的过程文档、记录，采用分时段系统查阅和有针对性抽样查阅的方法进行。

专家评议----组织行业专家运用恰当的风险分析方法进行集体会诊评议。

评估输出 整个风险评估过程中产生的评估过程文档和评估结果文档，包括（但不仅限于此）：

1) 风险评估计划：阐述风险评估的目标、范围、团队、评估方法、

评估结果的形式和实施进度等；

2) 风险评估程序：明确评估的目的、职责、过程、相关的文件要

求，并且准备实施评估需要的文档；

3) 资产识别清单：根据组织在风险评估程序文件中所确定的资产

分类方法进行资产识别，形成资产识别清单，清单中应明确各资产的责任人/部门；

4) 重要资产清单：根据资产识别和赋值的结果，形成重要资产列

表，包括重要资产名称、描述、类型、重要程度、责任人/部

门等；

5) 威胁列表：根据威胁识别和赋值的结果，形成威胁列表，包括

威胁名称、种类、来源、动机及出现的频率等；

6) 脆弱性列表：根据脆弱性识别和赋值的结果，形成脆弱性列表，

包括脆弱性名称、描述、类型及严重程度等；

7) 已有安全措施确认表：根据已采取的安全措施确认的结果，形

成已有安全措施确认表，包括已有安全措施名称、类型、功能描述及实施效果等；

8) 风险评估报告：对整个风险评估过程和结果进行总结，详细说

明被评估对象，风险评估方法，资产、威胁、脆弱性的识别结果，风险分析、风险统计和结论等内容；

9) 风险处理计划：对评估结果中不可接受的风险制定风险处理计

划，选择适当的控制目标及安全措施，明确责任、进度、资源，并通过对残余风险的评价确保所选择安全措施的有效性；

10) 风险评估记录：根据组织的风险评估程序文件，记录对重要资

产的风险评估过程。

4.2 等级保护定级备案协助

实行等级保护有利于客户完善信息安全管理体系，提高信息安全和信息系统安全建设的整体水平；达到对信息和信息系统重点保护和有效保护的目的，增强安全保护的整体性、针对性和时效性，使信息安全和信息系统安全建设更加突出重点、统一规范、科学合理。

服务依据 《信息安全技术 信息系统安全保护等级定级指南》（GB/T 22240-2008）

《信息安全技术 信息系统安全等级保护基本要求》（GB/T 22239-2008）

《信息安全技术 信息系统安全等级保护测评要求》 《信息安全技术 信息系统安全等级保护测评过程指南》 《信息系统等级保护安全设计技术要求》

服务内容 对于高校在规划、设计阶段的信息系统及承担行政审批功能的信息系统全部完成等级保护定级备案工作。

依据国家《信息安全等级保护管理办法》和《信息系统安全保护等级定级指南》的相关要求，协助客户相关负责人员开展定级备案工作，包括定级信息系统的数量、业务类型、应用或服务范围、系统结构等基本情况的选择，确定定级对象，对定级对象受侵害的客体及对客体的侵害程度的确定，按照定级要求与信息系统等级的关系初步确定信息系统安全保护等级，并按《信息系统安全等级保护定级报告》模板出具相关定级对象的信息系统安全等级保护定级报告。依照《信息安全等级保护管理办法》对定级二级以上的信息系统，协助客户向地方网监进行信息系统安全等级保护的备案工作。

服务输出

1) 《信息系统安全等级保护备案表》（以下简称《备案表》），纸

质材料，一式两份。包括：《单位基本情况》（表一）、《信息系统情况》（表二）、《信息系统定级情况》（表三）和《第三级以上信息系统提交材料情况》（表四）。第二级以上信息系统备案时需提交《备案表》中的表一、二、三；第三级以上信息系统还应当在系统整改、测评完成后30日内提交《备案表》表四及其有关材料。

2) 《备案表》需通过“等级保护备案端软件”填写信息，并导出

word文档生成。另，在填写表三“09 系统定级报告”时，需把《信息系统安全等级保护定级报告》上传到“附件”再导出word文档。

3) 《信息系统安全等级保护定级报告》（以下简称《定级报告》），

纸质材料，一式两份。每个备案的信息系统均需提供对应的《定级报告》，《定级报告》参照模版格式填写。

4) 备案电子数据，刻录光盘。每个备案的信息系统，均需通过“等

级保护备案端软件”填写信息，并保存为一个压缩文件（压缩文件需包含sysdata.xml、orgdata.xml及《定级报告》3个文件）。另，第三级以上系统备案电子数据还应包括《备案表》表四所列的各项内容。

5) 《信息安全等级保护工作小组名单表》，刻录光盘。

4.3 信息系统加固修复

结合客户上年度联合检查中发现的问题进行加固修复，包含但不限于联合检查整改、风评评估结论的整改，落实完成管理加固、服务器加固、网络加固、应用系统加固、数据库系统加固、安全策略加固、安全设备加固等。

服务内容 1) 上年度信息安全联合检查整改；

2) 上年度信息安全风险评估不可接受风险整改； 3) 信息安全管理体系问题优化和完善； 4) 网络及系统安全加固；

针对安全评估及安全扫描过程中发现的各种系统漏洞，并且依据既定的相关策略，采取措施予以弥补，消除已暴露的问题和可能的隐患，加固主机系统、网络设备和架构、WEB应用程序安全漏洞，提高客户信息系统的健壮性，抵御外部的各种安全风险以及恶意攻击，实现客户信息系统长期安全、稳定运行的最终目标。

 实施步骤如下：

1）分析安全评估及安全扫描结果，并进一步确定系统加固的需求（主要考虑承载于系统之上的应用的特殊需求）；

2）为系统安全加固做好准备（环境、工具、资料、人员等）； 3）进行系统加固测试；

4）实施正式的系统安全加固，加固内容包括（不限于）：  安装最新补丁；

 禁止不必要的应用和服务；

 禁止不必要的账号；  去除后门；

 内核参数及配置调整；  系统最小化处理；  加强口令管理；  启动日志审计功能；  利用定制脚本进行加固。  验证加固结果的有效性；  编写并提交系统加固报告。

某些安全漏洞的修复可能并不困难（所以有经验的用户完全可以自己实施安全修复），但经验不够丰富的用户很难全面解决系统的安全问题，因为一个系统的危险性在于系统中最薄弱的地方，有可能用户采取了不少安全措施，却仍然不全面、不彻底。因此，全面实施安全加固，真正彻底解决系统安全漏洞是完善整个安全体系的重要步骤。

服务输出 《上年度信息安全联合检查整改》

《上年度信息安全风险评估不可接受风险整改》 《主机安全加固报告》 《数据库安全加固报告》 《网络设备安全加固报告》 《应用程序解决方案》 《网络安全架构解决方案》

4.4 信息安全制度自查与优化

结合高校信息安全管理现状，查找现有信息安全管理制度与联合检查要求之间的差距，配合建立与完善信息安全制度，落实信息安全制度执行记录，保证信息安全管理体系运行的有效性。

服务内容

调研分析客户信息安全管理现状，参考行业客户信息安全管理经验查找现有信息安全管理制度与联合检查要求之间的差距，建立和完善2015年度联合检查工作所要求的信息安全管理体系，协助落实执行记录。

服务输出 信息安全管理制度及执行记录包括（但不仅限于此）：

1) 信息安全管理机构成立情况； 2) 信息安全管理职能部门设置； 3) 信息安全管理人员配备；

4) 信息系统的规划、建设、运维、废弃等环节的信息安全制度； 5) 信息安全制度执行情况记录； 6) 信息发布审批制度及相关记录；

4.5 安全防护措施自查与优化

依据《评分标准》配合客户开展安全防护措施合规检查，检查现信息系统中安全防范措施的落实情况，对不符合检查要求的现状和措

施进行优化和整改，查漏补缺使得安全防护措施有效落实。

服务内容 按照《2016年xx市党政机关信息安全联合检查工作方案》和《2016年XX市党政机关信息安全联合检查现场抽查表及评分标准》配合客户（包括下属单位）开展自查工作，真实详尽了解在“防病毒系统建设”、“补丁管理体系建设”、“安全审计”、“安全产品国产化”、“网页防篡改”、“门户网站防护”、“信息发布审批”、“防泄密”、“防恶意信息”、“内网终端违规外联”、“移动存储介质的保密存储”、“电子政务接入”、“信息系统安全防护”、“外包软件安全检测”、“安全域划分与建设防护”、“保密检查”、“计算机资产统计”、“网站备案”、“安全防范技术措施有效性核查”等方面的安全防护措施落实情况，对工作存在的不足之处协助整改，使得安全防护措施落到实处。

具体工作内容如下：

1) 检查确保内网电脑安装了防病毒系统，病毒代码及时更新； 2) 检查确保已记录网络访问日志，访问日志可追溯到检查日期前

60天，且访问日志没有一天以上的中断（系统正常维护停机或故障停机除外）；

3) 检查确保所有向互联网发布的应用系统已受网页防篡改工具

保护，且具备网站自动恢复功能;

4) 对互联网发布的网站进行安全测评，出具《网站安全测评报告》； 5) 协助对2016年网站应用层扫描发现的中高风险全部完成整改； 6) 编制整理信息发布审批制度及相关记录；

7) 确保非涉密计算机及计算机无存储、处理、传输涉密信息

的痕迹；

8) 编制单位在使用的计算机资产的统计信息表，包含：

a) 计算机主机名； b) 计算机IP地址； c) 计算机MAC地址； d) 计算机使用人或责任人； e) 计算机所属部门； f) 计算机的物理位置； g) 服务器的内IP对应。

9) 确保单位开办交互式栏目的信息系统具备关键字过滤措施及

有害信息的处理措施；

10) 确保内网终端无违规连接互联网行为； 11) 对用户使用的外包开发软件进行安全检测；

12) 对用户网络信息系统进行科学、合理的安全域设计和划分； 13) 对用户网络各安全域进行科学、合理的定性定级，编制各安全

域的安全防护设计方案，并协助采购方实施；

14) 协助用户保密部门，对涉密计算机和涉密存储介质进行检查，

检查内容包括：非法外联、物理隔离、移动存储介质的混用、密件处理、监控软件状态等；

15) 协助完成用户所有网站在网监部门和运营商的备案，并取

得国际联网备案登记证书和备案编号等证明文件；

16) 检查用户单位信息系统现有安全防范技术措施的有效性，提供

优化建议。

4.6 门户网站安全测评及安全整改

参照《信息系统安全等级保护基本要求》对客户门户网站进行安全测评，有效发现门户网站系统中存在的技术与管理上的脆弱点，从而针对性实施安全整改。

服务内容 随着Web应用的日益广泛及其中蕴藏价值的不断提升，引发了黑客的攻击热潮，如网站内容被篡改、页面被植入木马、网站机密信息被窃取等安全事件的反复发生，给形象、信息网络甚至核心业务造成严重的破坏。

网站安全测评利用自动化测试工具和人工检测的方法对网站系统的应用系统、主机系统、网络系统、安全管理等方面进行全面的安全检测，帮助用户了解网站系统存在的安全隐患，为改善并提高网站的安全性提供保障。

1) 网络层安全

信息系统网络架构设计是否安全合理； 网络访问控制是否严格有效； 网络安全审计是否有效； 网络入侵防范措施是否有效； 恶意代码防范措施是否有效；

网络设备、安全设备配置是否安全、有效； 2) 主机系统层安全（针对操作系统、数据库） 是否能对主机系统用户设置恰当的身份鉴别手段； 后台维护人员的权限是否是最小授权； 后台维护人员的逻辑访问路径是否可信； 安全审计记录是否完整；

入侵防范措施、恶意代码防范是否充分有效； 主机系统资源使用是否可控。 3) 应用层安全（针对网站系统）

是否能对应用软件用户设置恰当的身份鉴别手段； 用户访问权限是否是最小授权； 安全审计记录是否完整；

是否能保证通信过程中的完整性、保密性； 是否能保证软件容错； 应用系统资源使用是否可控； 是否存在代码安全缺陷。 4) 数据安全

数据是否备份并进行恢复测试

安全扫描服务遵循“发现－扫描－定性－修复－审核” 弱点全面评估法则，借助“榕基网络隐患扫描系统”快速发现网络资产，准确识别资产属性、全面扫描安全漏洞，清晰定性安全风险，给出修复

建议和预防措施，并对风险控制策略进行有效审核，从而在弱点全面评估的基础上实现安全自主掌控。

WEB漏洞扫描主要功能：

1) 深度扫描：以web漏洞风险为导向, 通过对web应用（包括

WEB2.0、JAVAScript、FLASH等）进行深度遍历,以安全风险管理为基础,支持各类web应用程序的扫描。

2) WEB漏洞检测：提供有丰富的策略包，针对各种WEB应用系

统以及各种典型的应用漏洞进行检测（如SQL注入、Cookie注入、XPath注入、LDAP注入、跨站脚本、代码注入、表单绕过、弱口令、敏感文件和目录、管理后台、敏感数据等）。

3) 网页木马检测：对各种挂马方式的网页木马进行全自动、高性

能、智能化分析，并对网页木马传播的病毒类型做出准确剖析和网页木马宿主做出精确定位。

4) 配置审计：通过当前弱点获取数据库的相关敏感信息，对后台

数据库进行配置审计，如弱口令、弱配置等。

5) 渗透测试：通过当前弱点，模拟黑客使用的漏洞发现技术和攻

击手段，对目标WEB应用的安全性做出深入分析，并实施无害攻击，取得系统安全威胁的直接证据。

5 建议增加的安全设备/服务

设备型号 SURF-NGSA（特下一代防火墙 定型号） 入侵检测与防御系统 SURF-NDP（特

设备名称 功能描述 实现数据中心、校园网网络边界的逻辑隔离、访问控制和VPN接入； 对网络中传输的数据包进行检测，发现恶意代

上网行为管理系统 上网行为审计系统 运维安全审计系统 应用交付系统 WEB应用防火墙 定型号） SURF-RAG（特定型号） SURF-SA（特定型号） SURF-HAC（特定型号） SURF-AD（特定型号） SURF-WAF（特定型号） 码； 实现网络流量控制、用户控制和P2P应用控制等； 保证校园上网行为满足82号令的要求； 发现和防止不当操作、越权操作； 提高数据中心业务系统的可靠性； 保证校园网站、OA、招生考试等系统的安全； 异常流量清洗系统 安全服务 对DNS FLOOD、HTTP FLOOD等应用层拒绝服务攻SURF-DA（特定击进行精细化的防护，不对正常的用户访问产生型号） 影响。 SURF-Service为高校提供的人工的渗透测试、风险评估和安全（特定型号） 加固服务等 6 相关产品介绍

6.1 下一代防火墙

6.1.1 下一代防火墙配置背景

网络环境趋于复杂，致使需要寻找新的安全解决方案来满足除了抵挡外部攻击以外的安全需求。以往，网络攻击手段基本停留在第三层的网络层，而随着Web2.0时代的到来，大量的应用程序都建立在了HTTP和HTTPS等协议之上，传统的防火墙对应用层望尘莫及。基于网络层的操作就意味着传统防火墙只能根据与数据包源地址和目标地址有关的信息来检测流量，但是对于上述的HTTP和HTTPS流量却是为力。虽然现在有针对应用层的IPS设备，但是IPS却无法识别具体的应用，达不到目前用户所需的精细力度的应用层控制，因而也无法对特定应用进行防护，需要配置兼容传统防火墙和抵御新网络环境下威胁的下一代防火墙。

6.1.2 下一代防火墙实现功能

标准从安全功能、安全保证、环境适应性和性能四个方面，对第二代防火墙提出了新的要求，应用层控制、Web攻击防护、信息泄漏防护、恶意代码防护和入侵防御是此次定义的第二代防火墙的几大功能

6.1.3 下一代防火墙效果

支持深度应用识别技术，可根据协议特征、行为特征及关联分析等，准确识别数千种网络应用，可支持 SSL 加密流量的应用识别

提供了基于深度应用识别、协议检测和攻击原理分析的入侵防御技术，可有效过滤病毒、木马、蠕虫、间谍软件、漏洞攻击、逃逸攻击等安全威胁，为内网提供 L2-L7 层网络安全防护

支持多链路条件下的智能链路负载均衡功能，实现防火墙全功能虚拟化，满足多样化的网络环境

6.2 上网行为管理

6.2.1 上网行为管理配置背景

根据国家互联网应急中心（CNCERT）发布的《2015年我国互联网网络安全态势报告》数据显示，截至2015年12月底，中国网站总量规模为3.7万个，网民规模大6.49亿，手机网民规模5.57亿，互联网普及率达到49%。但是人们在享受互联网带来的巨大便利的同时，由其带来的负面影响和安全威胁也日趋严重。企业需要对办公网

络实现上网行为的管控，同时国家监管单位的安全监管要求，如82号、信息安全等级保护，需要健全自身信息安全保障体系

6.2.2 上网行为管理功能

具备五大核心功能：用户多样化认证、网络访问控制、应用控制、网络流量管理及日志审计

6.2.3 上网行为管理实现效果

1、本地认证、微信、短信、第三方外部服务器的身份认证，实现差异化管理，有效管控无线，有线网络接入控制

2、可做出口安全网关，具备NAT地址转换、VPN、PPPoE、DNS、DHCP等功能，节约建设成本

3、对数据包的深度检测功能，对网络流量能准确的按协议、应用识别，精准控制用户行为，规范用户的上网行为

4、基于单个服务、服务组、多服务、应用的任意组合等进行带宽控制和流量阻断，实现带宽的有效使用

5、完善的日志审计与报表功能，实时统计出当前网络中的各种报文流量，进行综合流量分析，对符合行为策略的事件实时告警并记录，满足管理和国家监管要求

6.3 网络安全审计系统

6.3.1 网络安全审计系统配置背景

法规

1、根据国家相关法律的规定，在外部网络上发布淫秽信息与及迷信、、等言论均为违法行为，如有滥用单位网络进行了上述行为，将把单位拖进复杂的、难以脱身的法律纠纷甚至更高级别的安全风险当中。为此，与2005年12月1日正式颁布并于2006年3月1日开始实施的《互联网安全保护技术措施规定》，即第82号令中明确要求所有互联网单位均要安装网络安全审计系统

2、信息安全等级保护是我国信息安全保障的基本制度、基本策略、基本方法。开展信息安全等级保护工作，目的是要解决我国信息安全面临的威胁和存在的主要问题，而等级保护包含5个方面的建设，物理安全、网络安全、主机安全、应用安全、数据安全。而其中的网络安全与主机安全，就可以通过建设网络安全审计系统来实现

3、加强上网机构内外部网络信息控制监管的同时，为避免相关信息外泄及事后的追溯取证需提供了有效的技术支撑，能够详实记录网络内的各种网络活动

6.3.2 网络安全审计系统实现功能

1、 2、

能够全面详实地记录网络内流经监听出口的各种网络行为 针对互联网上流行的可还原协议，任天行系统能够在记录网络

内流经监听出口的各种网络行为产生的具体内容

3、 4、 5、

提供自定义危险行为和内容报警行为

根据历史上网日志数据统计产生丰富详细的报表 采用通过RAID5实现数据保护，快速日志查询

6.3.3 网络安全审计系统实现效果

1、支持审计藏、维、日、韩、泰等特殊语种；满足国家监管部门和信息安全等级保护建设需求，政治合规性。

2、内网无线、有线网络环境下的行为审计，网络审计根据国家有关法规规定保存至少60天，以便进行事后的审计和分析

3、记录网页浏览、文件外发、远程登录、即时通讯、加密即时聊天、网页外发数据、数据库访问等内容记录和敏感信息外发报警

4、按年度、月度或者指定时间范围生成周期性报表，便于管理人员对整个公司网络运行精准的了解

6.4 云运维审计系统（堡垒机）

6.4.1 云运维审计系统配置背景

云堡垒机系统针对云平台、服务器、虚拟机提供安全访问控制，对用户操作权限进行细粒度划分。云堡垒机系统中预设服务器管理员、云管理员、项目管理员、用户四种角色，为云平台、服务器提供比传统堡垒机更全面的安全访问控制。

6.4.2 云运维审计系统功能

 4A分级分权：

4A分级：系统管理员、口令管理员、服务器（运维）管理员、审计管理员。各级角色相互制约，符合4A认证管理系统要求。

动态角色分配：可扩展云平台管理员、项目管理员、体验管理员等。

 集中管控：

人员集中管理：所有运维人员帐号、口令、运维操作都需要通过堡垒机集中管理。

资源集中管理：服务器、虚拟机、网络设备等各种资源帐号、口令、登陆入口集中管控。  运维管理：

权限管理：为每个网管人员授权指定的网络设备，避免交叉运维、口令交叉授权带来IT管理的无序、混乱。  敏感指令复核：

普通网管人员进行敏感操作（修改密码、删除文件）时需要进行上级动态授权（同意操作、告警并审计、拒绝等）后才可以进行下一步操作。  大数据分析：

国内首家采用ElasticSearch大数据分析技术作为日志分析的产品，支持正则表达式、开发语言检索技术，支持对录屏文件内容

检索定点播放技术。

6.4.3 云运维审计系统实现效果

 能够使用虚拟机镜像作为产品进行分发，方便可靠；

 对各类云平台进行细粒度权限管控，支持云平台中虚拟机生命周

期管理；

 以第三方方式对各种云平台进行管控、审计，提供更加精准、可

靠的权限管控与审计；

 在不改变原有云平台客户端管理方式的基础上，灵活适配各种云

平台；

 与上层应用无缝对接，如对云平台上运行的ERP系统进行细粒度

的权限管控；

 通过集中统一的访问控制与细粒度的命令级授权策略，使用户在

正常管理云平台与服务器的基础上，不会拥有超出其职责的操作权限，当用户进行越权操作时，实时进行告警、阻断，确保每次操作在可控范围内；

 提供访问日志审计分析与历史访问回放，使得日志审计更直观、

方便；

 提供敏感指令、敏感操作权限复核，通过设置敏感、高危操作管

控，使得用户权限更加明确，使得对云平台、服务器的管理更加安全可控。

6.5 Web应用防火墙和网站监控平台

6.5.1 Web应用防火墙与网站监控平台配置背景

当WEB应用越来越为丰富的同时，WEB 服务器以其强大的计算能力、处理性能及蕴含的较高价值逐渐成为主要攻击目标。SQL注入、网页篡改、网页挂马等安全事件，频繁发生。2015年，国家计算机网络应急技术处理协调中心（简称CNCERT/CC）监测到中国被篡改网站总数累积达61228个，比2016年增加了1.5倍。其中，中国网站被篡改各月累计达4234个。研究WEB安全漏洞，找到防范对策，有针对性的检测防护是提高WEB应用系统防护能力的技术路线，也是网页防篡改、防入侵的根本之道

6.5.2 Web应用防火墙和网站监控平台实现功能

6.5.2.1 Web应用防火墙功能

 Web安全防护

SURF-WAF应用防火墙提供了全面的Web安全防护功能，可防护攻击类型包括：

 SQL注入、跨站攻击、Cookie 注入、恶意代码、缓冲区溢出等Web机器变种攻击  防信息泄露

 网站挂马防护及其检测  协议完整性检测  CSRF防盗链

 HTTP RFC协议完整性检查  关键字过滤

 HTTP协议合规性检查

目前的应用防火墙产品主要以特征库比对的方式实现攻击清洗，WAF具有预置和自定义两种特征库，并支持灵活的配置方式，以满足复杂应用的防护要求。另外，拥有专业漏洞挖掘团队，定期在线更新特征库，以应对新型的攻击方式。  Web安全扫描

应用防火墙从网站安全的根源考虑，集成了WAF自主研发的Web漏洞扫描系统。可帮助用户周期性检测应用服务安全性，并提供详尽的报表，使得用户在漏洞或安全隐患被利用前就及时发现并采取相应的补救措施，防患于未然。以下为扫描结果截图：  网页防篡改

SURF-WAF应用防火墙集成了网页防篡改功能，可集中管理控制各个网页防篡改端点，并提供监控、同步、发布功能。该网页防篡改具有以下特点：

 基于文件夹驱动级保护技术，事件触发机制，只占用极少的系统资源。

 与WAF联动：网页防篡改（端点技术）与WAF联动，阻断Web威胁。

 采用文件级驱动保护技术，用户每次访问每个受保护网页时，Web 服务器在发送之前都进行完整性检查，保证网页的真实性，

可以彻底杜绝篡改后的网页被访问的可能性。

 支持Windows 2000/xp/2003/2008/2012(32和位), Linux/BSD系统的网页防篡改。

 发布服务器功能，提供网页防篡改的发布模式，能和主流的CMS系统集成进行内容发布。

6.5.2.2

网站监控平台系统功能

实现7*24小时对网站的漏洞扫描、木马检测、web应用监控、敏感字检测、DNS检测、网页篡改检测等安全检测服务，能够实时提供安全分析报表和安全分析预警。

6.5.3 Web应用防火墙与网站监控平台实现效果

通过对WEB安全现状分析，结合多年在应用安全攻防基础理论和安全漏洞研究实践经验，我们认为WEB应用防火墙和网站监控平台主要能够解决客户以下几个痛点：

 防御来自网络外部的DDoS攻击，保障WEB网站的可用性；  满足合规性要求，地方网监和行业主管部门定期对网站进行检查和扫描，部署web防火墙可以屏蔽扫描，修补漏洞，而网站监控平台可实现即时发现问题和预警；

 提供的WEB网站防护能力，防止网站被挂马，被恶意篡改；

 Web应用防火墙能够抵御危险的能力主要是以特征库的数字签名比对，而同时部署网站监控平台在满足实时监测的情况下，将未知威胁的特征即时发送到web应用防火墙。

 网页敏感信息监测服务，远程实时监测目标站点页面状况，发现页面出现敏感关键词，第一时间通知用户。用户提供的安全建议及时删除敏感内容，避免事件影响扩散，给自身带来声誉和法律风险。用户也可以自定义所关心的敏感关键词。

 定期提供面向Web的安全漏洞、安全咨询以及Web攻击趋势分析报告，便于掌握并且规避相关安全问题。主要提供 1) 针对安全漏洞的分析和修复方案；

2) 重大事件之前的安全预防以及相关通告； 3) 定期关于网站威胁的分析报告，同时及推送国内的重大安全事件