論高校一卡通的全方位安全體系建設

高艷玲

［摘要］ 高校一卡通系統涉及高校管理的多個層面，用戶群體復雜，其系統架構層次化，終端形式多樣化，外聯單位多。這些情況導致高校一卡通系統在信息安全方面存在固有風險，在當前信息安全形勢嚴峻的情況下，傳統的比較單一的防護體系已經不能滿足高校一卡通系統信息安全方面的要求，建設高校一卡通系統的全方位安全體系勢在必行。

［關鍵詞］ 高校一卡通；固有風險；安全體系

［中圖分類號］G647；TP309［文獻標識碼］A［文章編號］1673 - 0194（2012）15- 0064- 02

一卡通系統是基于信息集成、小額支付、資源管控和身份識別的綜合信息化管理系統。一卡通系統是指凡有現金、票證或需要識別身份的場合均采用智能卡來完成，為管理帶來高效、方便與安全。校園一卡通系統是高校數字化、信息化建設的重要組成部分，為信息化建設提供全面的數據采集平臺，結合管理信息系統和網絡，形成數字空間和共享環境。以一卡通系統為平臺，充分利用銀行的金融服務，最終實現“信息共享、集中控制”。

1高校一卡通系統的體系架構復雜

校園一卡通系統包括消費、門禁、考勤、公交刷卡、超市購物、水電費繳納、圖書借閱、銀行圈存等功能。按照系統的功能模塊劃分，一卡通系統可以分為數據中心、卡業務中心、結算中心、消費中心、身份認證中心、管理中心、自助消費渠道、第三方通訊接口和銀行結算接口共九大模塊。

一卡通體系架構的復雜性表現在如下幾個方面：

（１）一卡通系統中涉及的設備類型多。系統使用的終端設備包括個人電腦、自助業務終端、數據存儲設備、應用服務器、Ｗeb服務器、卡片識別器、門禁系統、交換機、路由器和光纖轉換器等。

（２）終端網絡環境復雜。系統提供了消費、門禁、考勤、公交刷卡、超市購物、水電費繳納、圖書借閱、銀行圈存等功能。不同的功能接口對網絡接入的需求是一樣的，但是他們所能提供的網絡保護能力相差很大。有人管理的網絡接入相對安全，無人管理的自助類型設備接入環境零散，有效控制難度大。

（３）存在Ｗeb訪問接口。Ｗeb訪問接口具有非常好的用戶體驗，但它也是存在弱點最多，面臨威脅最多，最難以防護的環節。

（４）外聯機構多。一卡通系統不僅需要和銀行進行互聯互通，還要和多家運營商進行數據交互，至少存在三四家外聯機構。因此，與外聯機構的邊界防護同樣需要統一納入一卡通系統的信息安全防護體系中。

（５）設備數量多。一卡通涉及的各種設備加起來有幾十臺，并且設備存在應用多種操作系統的情況。如何將這些不同硬件類型、不同操作系統的設備納入系統的安全管理體系將是系統建設的一個難點。

2高校一卡通系統信息安全的固有風險分析

（１）設備類型多和數量多導致的固有風險為每種設備、每臺設備都存在各自的固有風險，多個小的固有風險可能通過蝴蝶效應形成導致系統無法提供服務的高級系統風險。因此需要針對不同設備類型進行風險控制，部署安全防范設備，實施安全控制措施。

（２）終端網絡環境復雜的固有風險。一卡通系統要提供有效的在線服務，就必須通過ＴＣＰ網絡與一卡通系統的數據中心、應用中心進行數據交換。對于無人值守的自助服務設備，存在網絡非法接入、搭線、數據竊聽、非法篡改、身份偽造等固有風險。

（３）外聯單位多的固有風險。外聯單位越多，網絡邊界的風險就越大。如果與外聯單位通過互聯網ＶＰＮ進行交互，同樣存在數據泄密等風險。如果與外聯單位通過數據專線進行交互，則存在雷擊、光纖中斷和對方服務器故障等風險。

（４）Ｗeb應用的固有風險。Ｗeb應用的固有風險是有Ｗeb應用自身的缺陷、Ｗeb應用服務器的固有缺陷、Ｗeb應用服務器操作系統和ＤＮＳ服務提供商的缺陷綜合組成的。而這些缺陷可能造成的常見攻擊類型包括：注入攻擊、跨站腳本攻擊、上傳假冒文件、非法執行腳本和系統命令、源代碼泄露、釣魚攻擊等。攻擊的目的包括：非法篡改網頁、非法篡改數據庫、非法執行命令、資金盜取、系統破壞等。２０１１年ＣＳＤＮ、天涯社區等國內著名網站發生信息泄露問題，我們必須高度重視Ｗeb應用的固有風險在高校一卡通中的存在。

（５）高校網絡環境的固有風險。高校中一般只有一套內部網絡，日常的辦公和互聯網訪問都在同一網絡上運行，針對一卡通系統不能做到專網專用，即使采取了ＶＬＡＮ劃分、私有地址和部署防火墻等安防設備，外部人員仍然可以通過有漏洞的內網終端以跳板機的方式入侵一卡通系統。

3高校一卡通系統全方位安全體系的建設

3.1 建立信息安全管理體系

建立持續有效的信息安全管理體系是高校一卡通系統安全管理最重要的事情。信息安全工作具有“七分管理、三分技術”的特點，為保障信息安全工作真正落實到位并持續進行，建立信息安全管理體系。

（１）高校一卡通系統涉及的用戶群體多，包括學生、老師、學校管理層、第三方等。同時一卡通系統的管理人員也很多，有系統管理員、數據庫管理員、網絡管理員、財務管理員、圖書館管理員等。這些管理人員各司其職，完成自己的工作，但是他們只是從自己工作的視角來確保系統正常運轉，沒有從整個系統的層面來進行信息安全的統一管理。因此，首先要建立一卡通系統的管理領導小組，由各個業務部門和技術部門的主要負責領導組成，對整個一卡通系統的信息安全負責，制定一卡通系統的信息安全管理方針政策，建立一卡通系統的訪問控制矩陣，嚴格管理系統管理人員的訪問權限。

（２）指定專人負責一卡通系統的安全管理工作。專職安全管理員負責制定所有設備、操作系統、數據庫和應用模塊的安全管理基線，并定期檢查基線定義與實際情況的差距，定期進行一卡通的信息安全巡檢工作，向一卡通管理領導小組上報信息安全巡檢報告。指導相關人員完成系統漏洞的修復、補丁升級等工作，逐步完善一卡通系統的信息安全管理體系。在新設備、新業務投入運行前嚴格按照基線定義進行安全測試，達到標準以后才能投入運行。

3.2 建立信息安全技術保障體系

針對高校一卡通系統五大固有風險，采取安全技術措施，部署適當的安全設備，通過技術手段提高一卡通系統的安全風險防范能力。

（１）針對終端類型多，部署位置分散的情況，要注意加強對末端線纜的防護，尤其是ＲＪ４５雙絞線的物理防護，雙絞線和自助設備連接的地方要有金屬防護罩，外部線纜要穿金屬管路，關閉末端交換機上不使用的端口，對終端設備采取ＩＰ地址、物理地址和交換機端口綁定的策略。對于特定時段開放的終端訪問，要啟用時間訪問控制策略，禁止在非工作時段的任何操作。

（２）與銀行、運營商等第三方外聯機構的網絡通信，盡量租用專線，并且與每個機構要開通兩條線路，平時可做流量負載均衡，避免因為線路單點故障造成系統服務的中斷。

（３）建立完善的數據備份機制。通過對數據庫進行雙機熱備、對操作系統和數據庫建立鏡像站點、采用磁盤陣列和虛擬帶庫等大容量存儲設備做好一卡通系統的實時備份、增量備份、歷史備份。

（４）加強Ｗeb邊界防護。針對Ｗeb應用部分，應建立ＤＭＺ防護區域。在ＤＭＺ區域部署鏈路負載均衡、異構防火墻、ＩＰＳ入侵防御系統和ＷＡＦ網絡應用級防護系統。嚴格限制ＤＭＺ區域服務器對一卡通系統數據中心服務器的訪問權限，嚴格執行按需訪問，最小授權的訪問控制策略。

（５）加強終端管理。在所有終端上關閉不使用的端口和服務，部署企業級防火墻或網絡硬件防毒墻。建立移動存儲設備的管理策略，嚴格管理移動設備在關鍵管理終端上的使用，減少因移動終端造成的病毒傳播、數據泄露等安全事件發生。

（６）搭建一卡通系統的實時監測系統。可以采用開源ＮＡＧＩＯＳ等監控平臺實時監控一卡系統中的網絡設備、安全設備、終端設備的連通性，實時監控服務器、存儲設備的關鍵系統指標。同時通過監控平臺與短信平臺的對接，被監控的任何指標故障都可以通過短信形式實時發送給技術人員和管理人員，確保系統的安全、平穩運行。

4總結

本文通過建立信息安全管理體系和信息安全技術保障體系，搭建了一個適合高校一卡通系統的全方位安全體系，該體系的建設能夠極大地提高高校一卡通系統信息安全風險控制的有效性，保證高校一卡通系統的正常運行。