高校網絡安全問題研究

朱麗霞

摘要：隨著高校信息化建設的高速發展，教育行業對網絡和信息技術的依賴程度越來越高，但很多高校的網絡安全意識卻相對滯后，網絡安全防護能力不足，網絡攻擊和數據泄露事件時有發生，學生的個人信息、學校的學術資源等都面臨著被竊取或濫用的風險，網絡設備、軟件和系統等存在安全漏洞，容易受到黑客攻擊或病毒侵害，網絡安全問題日益突出。從高校網絡安全現狀及普遍存在的問題、高校常見的網絡安全風險類型，高校網絡安全防護及優化措施三個方面進行分析研究。

關鍵詞：高校；網絡安全；威脅；數據

一、前言

隨著信息技術的高速發展，互聯網已經深入到高等教育的各個角落，為師生帶來了前所未有的便利。然而，網絡是把雙刃劍，在享受互聯網帶來的便利同時，網絡安全問題也日漸突出，表現在網絡安全事件頻繁發生、安全環境越來越復雜、網絡安全威脅類型多樣化。本文將分析高校網絡安全面臨的主要危險和風險，以及如何提升網絡安全防護水平。

二、高校網絡安全現狀

2024年1月，Check Point軟件技術有限公司的威脅情報部門發布了2023 年12月《全球威脅指數》報告。報告數據顯示，與2022年的數據相比，2023年全球網絡攻擊次數增加了3%，其中教育/研究部門遭受的攻擊次數最多，每個機構平均每周遭受2160 次攻擊，與2022年同期相比增加了5%。教育行業涉及的人員眾多，各級各類學生總數超過3.5億人，教育系統域名有10萬多個，相關信息系統涉及超過100萬人的數據，教育行業信息系統安全風險多樣，高校網絡安全防護常常缺人手、缺經費、缺技術。

經分析，現階段各高校網絡安全主要有以下幾個方面的問題：

（一）管理制度不夠完善

部分高校的網絡安全制度不完善，首先體現在相關管理制度缺失或沒有及時修訂，時效性差，沒有制定詳細的網絡安全管理規定或者內容過于簡單，缺乏實際操作性，導致網絡安全管理無法可依，無章可循。其次，高校網絡安全責任主體不明確，職能部門責任邊界劃分不清晰，統籌協調網絡安全工作的能力較差。最后，部分高校沒有建立完善的管理措施。例如，沒有建立網絡安全監測機制、應急處置機制等，導致網絡安全風險無法及時被發現和處理。

（二）網絡安全意識淡薄

一些高校沒有開展足夠的網絡安全教育，師生和管理者的安全意識淡薄，普遍缺乏對網絡安全威脅的警覺性，缺乏對個人隱私的保護意識，隨意透露個人信息，使用弱密碼，或者在不安全的網站上輸入個人信息，導致個人信息被竊取或濫用。師生缺乏對網絡攻擊的防范意識，缺乏安全使用網絡的常識等，容易成為網絡攻擊的目標，不能及時有效地應對病毒入侵、黑客攻擊。例如，隨意使用U盤、移動硬盤等存儲介質可能導致感染木馬，隨意點擊郵件中的鏈接，存在被釣魚的風險等。

（三）校園網絡容易受到攻擊

校園網通常是一個開放的、共享的網絡環境，存儲了大量的個人信息、學術資料等敏感信息，對于攻擊者來說具有很高的價值。同時，學生群體對新鮮事物的好奇心強，嘗試欲望旺盛，但是，安全意識相對不足，一些學生可能會使用不安全的網絡服務，如下載未知來源的文件、訪問惡意網站等，使得學生可能無意識地觸發一些安全問題。例如，學生可能會嘗試破解校園網的防火墻、非法獲取管理員權限等，師生日常使用各種網站、App留下了大量的安全隱患，一些黑客可能會利用這些漏洞，攻擊校園網絡，竊取數據或者破壞系統等。據某高校安全監測平臺統計，僅2023年12月，學校單個服務器被攻擊多達1700余萬次[1]。

（四）病毒和惡意軟件的威脅

高校常常面臨著勒索病毒、惡意App、釣魚郵件等安全威脅，校園網用戶群體龐大、網絡活躍度高，導致這些病毒和惡意軟件往往傳播極快，影響范圍極廣，如果不及時防范和處理，可能會對師生的工作和學習造成嚴重影響。

（五）信息資產雜亂無序

高校網絡環境復雜，設備眾多，信息資產包括各種不同的業務系統和數據，涉及眾多職能部門和業務流程及師生個人敏感信息。高校信息資產是動態變化的，隨著業務發展和政策變化，需要不斷更新和維護，職能部門業務服務器分區管理，師生上網設備數量龐大，沒有完善的資產管理體系，導致難以統一監管。

（六）數據安全隱患大

隨著教育行業信息化程度的提高，大量的敏感信息集中存儲在數據庫系統中，高校擁有大量的數據資產，包括學生的學籍、身份、成績，以及教師的信息、科研成果等，這些數據資產一旦被泄露，可能會產生嚴重的影響。高校大量的業務系統數據標準不統一，導致眾多數據難以共享和整合，增加了數據泄露風險。與此同時，高校信息化部門缺乏數據安全的專業人才和技術支持，導致數據安全保護不力，容易發生數據泄露和網絡被攻擊的事件。

（七）技術能力不足

高校繁多的業務系統沒有有效的監控手段，導致非法調用、越權使用、違規批量下載等行為嚴重失控。缺乏專業的網絡安全人才，技術防范措施單一，綜合防控能力不足，網絡安全設備和系統無法靈活聯動[2]。除此之外，隨著大數據和網絡技術的突飛猛進，病毒的更新速度大幅度提升，但是，網絡安全防護技術的發展依舊滯后，無法靈活應對更加隱蔽和復雜的入侵形式，防御效果較差。

三、高校常見的網絡安全風險類型

（一）橫向威脅

橫向威脅是指黑客利用網絡安全漏洞進行攻擊時，獲得系統內其他用戶的權限，從而進一步攻擊系統中的其他主機或用戶的過程。高校網絡中通常存在很多臺計算機以及其他網絡設備，黑客可以通過橫向淪陷攻擊不斷進入其他計算機，在整個系統中釋放惡意軟件或者竊取敏感信息。一旦黑客控制了系統的核心節點，他們可以輕松地獲取所有用戶的敏感數據。

經網絡安全監測平臺統計，某高校僅2023年12月份，捕獲橫向威脅主機多達8000余臺，威脅事件150萬件，平均每日發起橫向威脅4.85萬件。其中，開源和商業應用漏洞利用攻擊排名第一，其次是客戶端應用漏洞利用攻擊、Web中間件漏洞利用攻擊。

（二）外連威脅

高校的外連威脅主要指外部對校園網絡安全的威脅，包括但不限于：外部黑客利用校園網絡的安全漏洞非法入侵業務系統，篡改、竊取、破壞業務數據；校園網終端用戶感染病毒、木馬等惡意軟件，病毒在校園網內快速傳播，導致數據泄露；校園網遭受DDoS攻擊，網絡服務無法正常運行；師生在外網系統中泄露個人隱私信息，被不法分子利用進行詐騙等違法行為。

網絡安全監測平臺統計，某高校在2023年12月份遭受外連威脅攻擊事件多達93萬余次，平均每日發起外連威脅3.02萬件，其中，APT C&C通信排名第一。外連地區境外主要來自美國、摩爾多瓦、新加坡、德國等國家，境內主要來自四川、浙江、北京、湖北、香港等地。

（三）漏洞利用

漏洞利用是最常見的一種網絡攻擊方法。高校漏洞利用的威脅主要來自外部黑客和內部人員的惡意行為，黑客利用高校網絡或系統中存在的安全漏洞進行網絡攻擊和入侵、獲取敏感數據、篡改系統文件、傳播病毒和木馬等，內部人員可能因為獲取某些利益，利用漏洞進行相關非法操作。

網絡安全監測平臺統計，某高校在2023年12月份共捕獲漏洞利用攻擊告警470萬余次，平均每天15.6萬多次，排名前三的分別是Web框架漏洞利用攻擊、開源和商業應用漏洞攻擊、Web中間件漏洞利用攻擊。

（四）文件安全

隨著高校信息化的發展，越來越多的科研成果、教學資源、學生信息等敏感信息被存儲在計算機系統中，這些文件對于高校正常運轉和發展具有非常重大的意義。高校文件安全面臨的主要威脅來自外部黑客攻擊、內部人員誤操作和惡意行為、病毒和惡意軟件等，可能會導致文件損壞、泄露或非法篡改，給高校帶來嚴重的損失和影響。

（五）郵件安全

高校郵件安全是指保護高校電子郵件系統免受未經授權的訪問、干擾或破壞，同時確保郵件中的敏感信息和重要數據不被泄露。在高校，郵件系統是師生之間交流的重要工具，也用于發送各種通知、學術資料、課程安排等信息，具有重要作用。黑客可能會利用各種手段，如暴力破解、惡意軟件入侵、釣魚攻擊等，獲取郵件系統的賬號密碼或郵箱內容，甚至可能利用郵件系統發送垃圾郵件或進行網絡詐騙。同時，內部人員也可能因為利益、報復等原因，濫用權限或進行非法操作，導致郵件系統的不穩定或數據泄露。

（六）暴力破解

暴力破解是指采用反復試錯的方法并希望最終猜對，以嘗試破解密碼、用戶名，或找到隱藏的網頁、用于加密消息的密鑰。暴力破解是一把雙刃劍，一方面能夠被惡意者使用，另一方面在計算機安全性方面卻非常重要，被用于檢查系統、網絡或應用程序中使用的弱密碼。

網絡安全監測平臺統計，某高校在2023年12月份共捕獲暴力破解攻擊告警1.47萬次，RDP賬號爆破、SSH賬號爆破、Web賬號爆破排名前三。

（七）業務脆弱性

業務脆弱性是指“資產中能被威脅所利用的弱點”，包括技術層面的脆弱性，如漏洞、Web明文傳輸、配置錯誤，還有管理層面的風險，如弱密碼。高校作為教育機構，其業務脆弱性主要包括以下幾個方面。第一，高校的信息系統包括教學、科研、辦公等多個方面，這些系統可能存在安全漏洞，如未授權訪問、數據泄露、拒絕服務等。第二，高校的計算機網絡規模龐大，涉及的用戶數量多，網絡環境復雜，存在著各種網絡安全風險，如病毒、木馬、釣魚網站等，可能導致數據泄露、系統崩潰等安全事件。第三，部分高校的內部管理存在一定的漏洞，如身份認證管理不嚴格、訪問控制不合理等，可能導致敏感數據被泄露、未經授權的訪問等安全問題。第四，高校的人員眾多，包括學生、教職工、外部合作伙伴等，這些人員對安全意識的認知程度不同，一些人員可能存在弱口令、私自泄露敏感數據等不安全行為，這些行為可能導致安全事件的發生[3]。

網絡安全監測平臺統計，某高校在2023年12月共監測到Web明文傳輸風險619個，配置錯誤風險673個，弱密碼風險3671個。捕獲最多的是IIS漏洞，其次是Apache httpd漏洞、文件上傳漏洞。

（八）網站攻擊

高校遭受的網站攻擊主要包括以下幾種類型：跨站腳本攻擊（XSS），攻擊者在網站中注入惡意腳本，當用戶訪問該網站時，惡意腳本會在用戶的瀏覽器中執行，竊取用戶的敏感信息或對用戶進行釣魚攻擊。注入攻擊，攻擊者通過輸入惡意的SQL代碼，對網站進行注入攻擊，竊取或篡改數據庫中的數據?？缯菊埱髠卧欤–SRF），攻擊者通過偽造合法用戶的身份，利用用戶的身份執行惡意請求，對網站進行攻擊。文件上傳漏洞，攻擊者通過上傳惡意文件，在服務器上執行惡意代碼，篡奪網站的控制權。DDoS攻擊，攻擊者通過大量合法的或被劫持的計算機，向目標網站發送大量無效或高流量的網絡請求，導致網站無法正常訪問。點擊劫持，攻擊者通過在網頁中插入透明的iframe或利用JavaScript等技術，誘導用戶點擊惡意鏈接或下載病毒等。會話劫持，攻擊者通過竊取用戶的會話令牌，冒充用戶與服務器進行通信，獲取用戶的敏感信息或進行非法操作。

網絡安全監測平臺統計，某高校在2023年12月共捕獲網站類攻擊751萬次，平均每日捕獲網絡攻擊24萬次，境外攻擊源主要來自美國、俄羅斯、澳大利亞、土耳其、立陶宛；境內主要來自浙江、北京、香港、上海、福建。被攻擊最多次數的是學校主頁，其次是教務、學工等系統。

四、高校網絡安全防護及優化措施

（一）健全網絡安全工作機制

高校需提升網絡安全意識，充分認識網絡安全的重要性和緊迫性，重點關注網絡安全相關制度建設、技術培訓、人員培養工作，落實網絡安全領導責任制和監督責任，并建立應急響應機制。加強對業務系統的上線前審批、運行時監管、下線時注銷域名的全流程管理，建立信息系統完善的備案登記流程，完善信息系統臺賬，定期進行網絡安全檢查，及時發現和修補相關安全漏洞，確保網絡的安全穩定[4]。

（二）提升網絡安全技術保障力量

加強軟硬件基礎設施建設，梳理學校網絡設備及業務系統，實行分級管理制度，構建網絡安全大數據監測平臺，部署安全防護設備，包括防火墻、漏洞掃描平臺、態勢感知平臺、Web應用防護系統、入侵檢測系統等，采用數據加密和備份技術，強化預警監控體系建設。在校園網中安裝殺毒軟件和防火墻，以防止病毒和惡意軟件的入侵。同時，對于重要的數據和文件，應進行定期備份，以防數據丟失。進一步加大對高級別網絡安全人才的引進，提升全面統籌協調能力，強化網絡安全重點運維、檢測、處置工作。

（三）加強網絡安全宣傳培訓

結合高校實際，利用學校官網、微信企業號、大屏、橫幅等媒體渠道，向全校師生傳播網絡安全知識，普及網絡攻擊類型、防范措施等。定期舉辦網絡安全講座和專題活動，開展網絡安全攻防演練，通過實際操作和案例分析，提升師生對網絡安全的關注度和防范技能，促使師生養成良好的網絡安全習慣。例如，定期修改密碼、做好數據備份、補丁更新等，教會師生如何正確使用互聯網，保護個人隱私信息。

（四）強化網絡隔離

高校應結合實際的網絡使用需求，配置防火墻安全策略，將網絡劃分為多個虛擬局域網，實現不同部門、不同區域之間的邏輯隔離，通過配置訪問控制列表，制定嚴格的人員管理制度，對不同用戶分配不同的網絡訪問權限，防止未經授權訪問敏感數據。日常的運維需要加強監管，定期對安全設備、網絡設備進行安全審計，確保網絡隔離有效、合規。

（五）強化網絡安全巡查

高校應對本單位的服務器、信息系統和網站等進行全面檢查，全面排查弱口令、高危漏洞、補丁未更新、僵尸系統等問題，存在安全隱患的須及時整改，特別是操作系統和信息系統存在的高危安全漏洞務必及時修復。加強公共區域LED屏等信息展示終端的安全管理，明確管理人員職責，定期殺毒和升級補丁，嚴禁連接互聯網，嚴格內容審查程序，使用完后及時關閉[5]。

（六）加強網站與業務系統管理

高校應對非必須公網開放的業務系統進行評估，將其限制在校園網內，師生可通過VPN訪問相應系統。明確網站的責任人和管理人，切實加強對本單位網站的監控，積極開展網絡信息安全自查。一是要全面清查網站上的外部鏈接，避免外部鏈接網站被不法分子利用而導致本網站出現安全問題。二是要清查網站上的信息公示內容，避免出現師生個人信息泄露。三是加強對網站的日常檢查，嚴格信息發布審核，妥善保管信息發布賬戶的密碼，定期開展賬號巡檢。

（七）提升網絡資產管理能力

高校應重視對信息資產的管理，建立健全的管理流程和管理機構，包括定期對資產進行清查、盤點、維護等，確保資產的安全、完整和有效利用。同時，應加強對資產的動態管理，及時更新資產信息，確保資產數據的準確性，確保資產可查詢、可追溯。明確信息資產的范圍、類型、責任主體和使用權限，建立完善的管理體系，確保資產只授權給部分人員訪問，資產的訪問和使用需建立嚴格的審批流程。

五、結語

隨著網絡技術的發展，網絡安全威脅和攻擊方式越來越復雜多樣，網絡安全不僅關乎個人隱私的保護，更關乎國家安全和社會穩定，高校作為教育和科研的重要場所，更應加強對網絡安全的重視。本文分析研究了高校網絡安全面臨的主要威脅和挑戰，并提出了相應的解決方案，應對高校網絡安全問題需要從多個層面入手，包括技術層面、管理層面、意識層面等。希望本文的研究成果能夠為高校網絡安全工作提供一定的參考和借鑒，促進網絡安全領域的發展和進步。

參考文獻

[1]鐘錫寶.網絡安全等級保護技術實現與分析[J].網絡安全技術與應用，2021（02）：173-174.

[2]李振宇.計算機網絡安全的因素及解決策略分析[J].網絡安全技術與應用，2021（02）：165-167.

[3]張雪.新時期提高事業單位網絡安全管理能力對策[J].廣播電視網絡，2021，28（02）：59-60.

[4]李悅.中國網民信息安全狀況研究[J].合作經濟與科技，2021（05）：182-183.

[5]陳德.云計算技術環境下計算機網絡安全分析[J].佳木斯職業學院學報，2021，37（03）：137-138.

作者單位：武漢工程大學

責任編輯：張津平、尚丹