随着人工智能、大数据、物联网等新一代信息技术的迅猛发展，教育信息化2.0和智慧校园建设快速推进。但与此同时，挖矿木马、勒索病毒、钓鱼邮件等网络安全威胁层出不穷，对高校数字化变革与信息化发展带来极大的挑战。

　　在此背景下，近日，腾讯安全联合雷峰网、腾讯云开发者社区、腾讯产业互联网学堂推出的高校网络安全主题沙龙在线上召开，上海交通大学信息化推进办公室副主任姜开达、腾讯安全高级架构师张飞凡、雷峰网副总编辑林觉民三位专家做客直播间，共同探讨高校如何构筑网络安全屏障。

　　姜开达：从早些年的“冲击波病毒”、“震荡波病毒”到现在的木马后门、攻防对抗、数据泄漏，伴随着互联网发展，高校的网络安全态势也在不断发生新的变化。一是教育网站的篡改类安全事件显著下降；二是近几年来数据安全和个人信息相关的安全事件有所增加；三是高校的供应链安全情况较为突出，全国有三千多所高校，这些高校的资产数量非常多，教务系统、财务系统、OA系统等很多系统都可以通过互联网直接访问，一旦其软件产品出现了可被远程利用的安全漏洞，将会产生大面积的、连片式的网络安全风险。

　　张飞凡：首先从IT技术变化来看，云、AI、大数据、物联网、移动互联等新兴技术在教育行业的广泛应用，给网络安全带来了较为深刻的影响，需要在开展信息化建设的同时，同步开展安全建设；第二，从监管视角来看，频发的网络安全事件也牵引了国家愈加重视网络安全，高校需投入更多人力、物力、财力开展安全建设与运营，避免安全事件的发生；第三，具备匿名性特征的比特币兴起，为黑客的网络攻击变现提供了助力，由此导致教育行业网络攻击事件越来越多。

　　姜开达：从数量上来看，伴随着扫描带来的自动化攻击比较多，还有一些是针对开放端口和开放服务的暴力破解，比如针对服务器22端口的暴力破解，针对远程桌面3389的暴力破解。各种漏洞的自动化利用，带来了高校勒索病毒、挖矿木马等一系列安全事件。此外，高校这几年频发的还有钓鱼攻击和有目的的定向攻击。

　　张飞凡：高校是一个很典型的场景，学校会面临较大的病毒木马风险。学生的安全意识相对较为薄弱，系统的高危漏洞不及时修复，师生之间、同学之间用U盘拷贝数据而不杀毒，都可能导致终端感染病毒。同时，黑客极有可能利用学生的电脑作为跳板，在学校内部开展横向攻击。

　　姜开达：学校的应用中存储着大量师生个人信息和敏感数据，黑客可以窃取这些数据进行售卖并获利；学校里的数据中心、高性能计算中心拥有大量的计算资源和存储资源，攻击者可以通过攻击服务器获得这些资源，来开展挖矿活动，通过虚拟货币来牟利；同时学校还有大量的科研数据、考试数据，攻击者通过攻击获得这些数据后都有利可图，所以黑客会不遗余力、想方设法地对高校信息系统进行攻击和入侵。

　　姜开达：不同高校信息化建设发展阶段不一样，导致高校对网络安全的认识和安全建设的迫切程度也不一样，安全建设的难点最终聚焦在人、财、物三个方面。一方面高校非常缺乏安全方面的专业技术人员和安全管理人员；另一方面高校在信息化整体经费投入有限的情况下，安全建设资金的投入缺乏保障，甚至是严重不足；此外，运维能力不足和部分学校系统上云，也促使高校亟需基于云的云安全体系、云安全机制，来保障信息系统应用的安全。

　　张飞凡：从技术角度来看，可以从终端和流量两个路径解决挖矿和勒索问题；从管理视角来看，学校需定期对学生进行培训、进行安全意识的宣导，建议每位同学安装个人版防护软件查杀病毒、定期修复高危漏洞，不给勒索软件和挖矿木马提供生存的空间；从整体信息化建设角度来看，建议学校使用像企业微信这样支持文件发送和传播的平台，降低校内U盘拷贝使用的频率，促使校园网络更加安全。

　　张飞凡：网络安全建设的成熟度是业内经久不衰的话题，从工程化视角来看，一般会通过以下三个层面进行考量：第一是安全合规层面，有没有达到等保2.0所要求的防护水平，技术措施和管理制度是否齐备；第二是主动防御层面，网络安全风险=脆弱性×威胁，学校是否建设各种各样的措施去主动识别风险和脆弱性，是否周期性对重要资产做评估、检测和加固等；第三是及时对抗的层面，学校有没有一整套包括人员、平台、工具、流程在内的机制，去快速发现问题，并及时优化调整自身防护措施。

　　张飞凡：第一要站在规划的视角，确保信息化和网络安全做到同步规划、同步建设、同步运营，确保信息化建设的每个环节都有对应的安全保障能力；第二要站在攻防的视角构建安全体系，充分考虑网络架构的合理性，从攻防视角看待平台、流程、人员能力的齐备性；第三是情报的视角，通过威胁情报完善整个安全能力建设、提升对安全事件的实时分析效率；第四是管理的视角，技术平台、运营流程在落地的时候都需要切实可行的安全管理制度进行支撑，只有把所有安全动作、安全工作合理有效的串联起来，才能切实保障整个校园网络和业务应用的安全性。

　　林觉民：近年来，我国陆续出台贯彻了《网络安全法》《数据安全法》《个人信息保护法》，高校该如何加强数据安全建设？

　　姜开达：数据是学校非常重要的核心资产。高校需制定学校的数据管理办法，明确学校数据安全要求，同时结合学校的数据治理工作，对学校的数据资产进行分级分类，梳理相应的资源目录，开展相应的保护工作；同时，要把相应要求传递到各个部门，传递到师生，比如数据收集的时候要遵循“最小够用”的原则，数据查看要遵循“最小授权”的原则，数据存储要遵循“最短周期”的原则，数据共享要遵循“用而不存”的原则等；另外，学校要明确数据生产、管理相应的责任主体部门，明确相关的接口规范，通过相应的标准来要求数据的依规使用；最后，可以在高校的数据场景当中尝试使用一些新技术、新方法。

　　林觉民：上海交通大学在2021年获评“上海市网络安全先进单位”，上海交大网络安全有着怎样的历程和经验？

　　姜开达：从管理上来看，学校陆续完善了包括《校园网站的管理方法》、《数据管理办法》在内的一系列管理办法，同时每年年底会开展相关网站的年审工作，定期对学校的教师网站、无人运维的网站进行清理，减少信息系统的数量，对不同系统提供针对性地安全防护；

　　从技术上来看，通过结合学校的网络安全学科优势和人才培养工作，将学校的网络安全和信息化深度融合，建立学生安全团队，动员学校从事安全的人员提升自身安全技能，以及购买第三方安全服务解决实际的安全问题；

　　从运营上来看，我们运营着“教育漏洞报告平台”这样的安全平台，目前已接收了约15万个漏洞，并且有着1000多个“白帽子”，帮助我们分析数据和处理各方面的安全隐患。

　　张飞凡：对于安全建设薄弱的高校，首先要做的是把安全能力做补充和弥补，达到基本的合格线，然后基于合格线再做一些提升性的工作。腾讯自研的零信任安全管理系统（腾讯iOA）护航了100万终端的远程办公，可帮助高校解决远程访问中的安全问题，同时“All in One”方案可通过客户端去解决补丁修复、弱口令以及挖矿木马、勒索病毒等一系列问题。

　　另外，在数据中心的重要数据保护方面，腾讯安全可帮助客户梳理重要数据在流转、采集、传输电脑翻墙后共享wifi、存储、共享等等各环节存在的安全风险和隐患，制定相应的防护措施，提供完整的数据全生命周期安全方案。

　　（腾讯零信任iOA部署终端已突破100万，成为国内首个落地百万的零信任产品，目前已经广泛应用于金融、地产、物流、教育、工业等十大行业、数百家企业，帮助用户构建全方位、一站式零信任安全体系。）

　　姜开达：在9月新生入校、新进教职工培训以及国家“网络安全宣传周”期间，引入网络安全相关培训内容，同时配合学校攻防演练让师生更深刻地体验到身边的安全问题，另外还可通过举办学校层面的安全竞赛，挖掘对网络安全感兴趣的同学，进而组建网络安全生力军，弥补学校的安全队伍。

　　以上是本期网络安全公开课的精华内容，如需了解更多高校网络安全建设的产品和解决方案，可以联系腾讯安全高级架构师张飞凡。