計算機與網路中心黃育銘主任 報告人 : 網路組組長劉震昌 1
一 基礎維運資料 ( 一 ) 經費及人力 ( 二 ) 網管及資安 1. 區網中心連線資訊彙整表 2. 區網中心資訊安全環境整備表 ( 三 ) 網管及資安人力服務績效 二 網管策略及具體辦理事項 三 資安服務及政策具體辦理事項 四 特色服務及未來營運 五 前年度改進意見及精進情形 2
( 一 ) 經費及人力 - 經費使用 1. 核定計畫金額.. 1,350,000 2. 教育部補助金額.. 1,350,000 3. 自籌金額.. 310,000 4. 實際累計執行數 ( 至 11 月 ).. 83% 自籌金額說明 : ATS 故障維修 5 萬圖資大樓 ATS 調整保養 4 萬更換 ACB 斷路器 13 萬資安人力教育訓練費 9 萬 3
( 一 ) 經費及人力 - 中心人力數 專任 :21 人 兼任 :2 人 其中包含教育部補助 網管人員 :1 人, 證照數 :2 張 (ISO 27001 資訊安全管理系統 BS 10012 個人資料管理系統 ) 資安人員 :1 人, 證照數 :6 張 (ITE 網際網路介接基礎 ITE 資料通訊 ITE 網際網路服務與應用 ITE 網路安全 網路架設乙級技術士技 CHFI 資安鑑識調查專家認證 ) 4
二 網管及資安 - 連線資訊彙整表 項目 縣 ( 市 ) 教育網中心 大專院校高中職校其他學校其他單位總計 (1) 連線數 ( 以單位 ( 校 ) 數統計 ) (2) 連線頻寬 ( 以電路數統計 ) 單位 ( 校 ) 數 1 2 9 1 8 21 連線比例 1/21 2/21 9/21 1/21 8/21 專線 光纖 10M( 不含 ) 以下 10M( 含 ) 以上 10 0M ( 不含 ) 以下 100M( 含 ) 以上 1G( 不含 ) 以下 1 1 1 10 1 7 19 1G( 含 ) 以上 10G( 不含 ) 以下 4 3 7 註 : 單位 ( 校 ) 數 / 總計 10G( 含 ) 以上 其他 ( 如 ADSL 等 ) 連線電路小計 4 4 10 1 8 27 5
二 網管及資安 - 連線資訊彙整表 縣 ( 市 ) 教育網路中心連線頻寬 (1) 連線頻寬 (2) 備註 (3) 連線縣 ( 市 ) 教育網路中心 1. 南投縣教育處中華電信 1G 2 亞太電信 1G 2 (4) 連線其他單位 ( 非 ISP) 其他單位名稱連線頻寬 (1) 連線頻寬 (2) 備註 1. 1. 無 6
二 網管及資安 - 連線資訊彙整表 臺灣學術網路 (TANet) 連線台中主節點 連線台南主節點 (5) 連線 TANet 及其他 ISP 線路 頻寬 100Gbps 頻寬 100Gbps 其他 ISP 連線頻寬 (1) 連線頻寬 (2) 備註 1. 無 (6) 補充說明 : (7) 連線資訊請依附表 學校 / 單位連線資訊詳細表 格式填附 7
二 網管及資安 - 區網中心資訊安全環境整備表 (1) 網路中心及連線學校資安事件緊急通報處理之效率及通報率 ( 由教育部資科司提供數據 ) 1 2 級資安事件處理 : (1) 通報平均時數 :0.52 小時 (2) 應變處理平均時數 :0.00 小時 (3) 事件處理平均時數 :0.52 小時 (4) 通報完成率 :100 (5) 事件完成率 :100 (6) 資安事件通報審核平均時數 :0.27 小時 3 4 級資安事件通報 : 本年度無 3 4 級資安通報事件 8
二 網管及資安 - 區網中心資訊安全環境整備表 (2) 網路中心配合本部資安政策 1. 資通安全通報應變平台之所屬學校及單位的聯絡相關資訊完整度 :100% 2. 區網網路中心依資通安全應執行事項 : (1) 是否符合防護縱深要求? 是 否 本中心具備防毒 防火牆 郵件過濾系統 IDS/IPS Web 應用程式防火牆等設備 (2) 是否符合稽核要求? 是 否 本年度 6 月 9 日通過教版 ISMS 第二次追查稽核 9
二 網管及資安 - 區網中心資訊安全環境整備表 (2) 網路中心配合本部資安政策 2. 區網網路中心依資通安全應執行事項 : (3) 符合資安專業證照人數 :8 員 本中心陳順德組長 黃景煌資料管理師 藍啟峰技士 楊文龍技術員 楊世偉技術員 何奇芳技術員 黃仁宏技術員 劉育瑄專任助理皆考取 ISMS 主導稽核員證照 (4) 維護之主要網站進行安全弱點檢測比率 :100% 每年針對連線單位進行兩次校首頁弱點掃描, 並將掃描報告分析後, 提供給有漏洞的連線單位 10
三 網管及資安人力服務績效 1. 資安通報之通報 應變 審核及資安事件資料收集及分析 2. 推動 ISMS 資訊管理系統 3. 舉辦資安研討會 4. 舉辦連線單位管理委員會 5. 機房環境監測及電力設備維護 6. 提供連線單位技術協助及各事項反應及聯絡窗口 7. 計畫經費控管及承接計畫相關行政流程 8. 配合教育部進行資安通報演練 社交工程演練 業務持續作業演練計畫 9. 安裝分流設備 10. 其他教育部臨時交辦事項 11
三 網管及資安人力服務績效 11. 骨幹網路監測及故障排除 Paloalto M-CPU 使用情況 NCNU 連外狀況 NTRC 連外狀況 Paloalto D-CPU 使用情況 Paloalto session 數使用情況 What s UP 11/9 7:00~15:00 監測 IPS 與連外狀況 12
三 網管及資安人力服務績效 12. 協助縣網 P2P 下載封鎖 IPS 封鎖 P2P 軟體連線記錄 13
三 網管及資安人力服務績效 13. 阻檔 DDoS 攻擊, 降低 DDoS 對網路服務的影響 9/22,9/25,9/28 遭受到 LDAP 放大攻擊, 放大倍率最高達 30 倍, 其目標皆是 Windows AD 主機, 推測為 CVE-2017-8563, 每次攻擊時間只有 1~3 分鐘, 於流量圖上難以看出問題, 但其量極大會達到 IPS 所能處理的 session 上限, 會讓使用者有斷線的感覺, 經由規則阻擋後, 大幅降低 session 數, 讓網路恢復正常 Session 超過上限 斷線狀態 阻檔成果 14
三 網管及資安人力服務績效 14. 資安人員考取 CHFI 證照 15
1. UPS 110V 改 220V 提高電力轉換效率並淘汰舊有三座 UPS 節省電力 75KVA 模組化 UPS ( 可擴充到 150 KVA ) 16
2. 加裝分流設備有效有延長資安設備使用年限, 並產生 1:1 之 NetFlow 3. 導入 NetFlow 查詢系統並開放給連縣單位使用 NetFlow 系統開放給連線單位使用 17
4. 更新流量圖, 架設 cacti 提供可回溯的流量紀錄與查詢 TANET-IPv4 與 IPv6 縣網 -IPv4 Cacti 流量圖 18
5. VoIP over IPv6 推動 : 全校已全面改用網路電話系統, 已建置 1500 門, 皆使用雙協定 (IPv4/ IPv6) 並將實體 SIP Server 虛擬化 6. 由區網架設 SIP 主機提供服務,2017 年 1 月至 10 月通話時間 20850 分通數 21638 通 7. 資安事件 : 協助查修事件類型及分析, 讓連線單位資訊教師能迅速排除問題 8. 實體環境 : 安裝整合式環境監測系統 並與成功大學異地備份 / 備援 9. 協助教育部相關計畫 : 協助遠距課輔硬體及網路維護, 及維持課輔品質 19
1. 加裝 Silicom by pass 設備, 降低防火牆故障衝擊 2. 增加分流設備, 區分頻寬有效解決資安設備遇到的流量瓶頸 3. 使用 A-SOC Sourcefire 3D8120 防火牆及 Paloalto 5060 頻寬管理 Silicom by pass switch Cisco ASR9101 PacketX Sourcefire 3D8120 Paloalto 5060 南投區網資安架構圖 20
4. 協助連線單位資安通報查修, 有效降低資安通報量 查修結果表與通知連線單位 21
5. 針對 DDoS 攻擊持續調整規則並阻擋攻擊 6. 連線單位網頁弱點掃瞄服務, 每年兩次 7. 提供台大實驗林資安與網路架設諮詢 連線單位弱點掃描 22
1. 提供網路電話服務 : 由區網架設 SIP 主機供連線單位使用 2017 年 1 月至 10 月通話時間 20850 分, 通數 21638 通 2. 協助連線單位資安通報查修 3. 協助遠距課輔硬體維護, 及維持網路品質 4. 汰換但狀態良好之設備贈與連線單位或其境內國中小 5. 自然進氣系統納入環境監測系統統一管理 23
6. 增加第二迴路供電與第二發電機備援 於暨大發生多次電力異常事件並影響骨幹維運, 於 106 年 6 月後投入約 30 萬經費進行維修, 其問題都指向單一供電迴路所產生之風險, 增加第二迴路供電與第二發電機備援, 有以下優點 : 由不同盤位再配一條專線供 SMR( 骨幹電力設備 ) 使用 可因應 ACB 與 ATS 故障時做手動切換 再配一台小型獨立發電機 可因應圖資大樓發動機無法啟動 重電保養無法啟動發電機 24
Q1: 建議落實提供區域網路中心網路監控資訊 A1: 目前已經建置 Cacti 及 NetFlow 監控軟體, 提供可回溯的流量紀錄與查詢 Q2: 建議就區網中心網頁中服務項目的各項次, 提供更詳細的說明, 以利他校善用區域網路資源 A2: 已更新網頁服務項目資訊 Q3: 縣網是主要的服務對象, 應更容易磨合出彼此合作的模式, 建議應積極處理建立典範 ; 南投區網連線單位相對少, 對大服務對象為南投縣網, 建議可多了解其需求並強化與其之合作, 諸如教育訓練與 DDos 攻擊事件之處理等等 A3: 本年度有協助縣網進行惡意網域阻擋, 由於開設教育訓練課程的對象及服務性質較不同, 故本年未合作教育訓練但近期有提出資訊教育課程和系統弱掃等議題, 目前正在商議中 25
Q4: 區網網站之即時資訊等訊息資料較缺乏, 建議改進之 A4: 如有影響骨幹運作之停電或是維修, 已提早一至兩週至區網網頁及 LINE 群組進行公告, 並轉知 NOC 網路維運中心, 確保資訊及時性 Q5: 如連線單位網路斷線, 由系統主動 E-mail 通知連線單位聯絡人, 請檢討信件是否能順利被接收處理, 建議須思考多重管道並追蹤協助其解決 A5: 目前已建立南投區網 LINE 群組, 如有網路不穩或是斷線立即會在上面公告或說明 26
1. 貴單位的組織屬性為 7.1% 27
2. 貴校 ( 單位 ) 針對區網網路連線服務, 您認為是否順暢? 28
3. 對區網 - 資通安全事件的通報應變協助處理滿意度? 29
4. 對區網網路技術新知的提升滿意度? 30
5. 對區網 - 教育訓練或研討 ( 習 ) 課程是否能符合實務運作上的需求? 7.2% 31
6. 對區網人員之服務熱忱及親和力的滿意度? 6.7% 32
7. 對於區網中心所提供區網網頁或 LINE 群組公告, 是否具備正確性及時效性? 6.7% 33
34
編號 日期類別事由 影響 TANet 網路 影響範圍 說明 1 1/3 1/6 公告 UPS( 不斷電系統 ) 切換作業 有 1/3 一貫道崇德學院 1/6 普台高中 水里商工 南投高中 影響中華電信與中仁愛高農 台大實驗林 - 清水溝 台大投有線之光纖線路, 實驗林 - 溪頭 台大實驗林 - 下坪 台大影響時間大約為 5 實驗林 - 水里 台大實驗林 - 內茅埔 台分鐘 大實驗林 - 和社 三育高中 台大實驗林 - 水里營林區 2 1/4 ~ 1/5 公告中華電信光纖網路跳線作業有 以下連線單位於光纖跳線作業期間各會斷線大約 5 分鐘 台大農學院實驗林管處 - 竹山分部 1/4 日 15:00~17:00 五育中學 同德家商 1/5 日 10:30~12:00 埔里高工 均頭國中 3 2/8 ~2/9 公告第一季保養無無 4 4/13 公告骨幹網路分流設備安裝有 南投區網 南投縣教育網路中心 及其轄下連線單位網路服務中斷, 中斷時間約 1~10 分鐘 35
編號 日期類別事由 影響 TANet 網路 影響範圍 說明 5 5/9 公告第二季保養無無 6 7/9 公告高壓電年度維護保養作業無無 1. 圖資大樓重電保養 - 停電期間由 UPS 和 SM R 供電, 不影響南投區網連外網路運作, 但因冷氣無法運轉, 溫度將比平日稍高 2.12:00~17:00 暨南大學全校停電 - 停電期間改由發電機供電, 南投區網正常運作, 不影響網路服務和機房溫度 7 7/14 公告 南投區網執行 TANetASR 9K 韌體升級作業 有 資安設備 暨大 南投縣網 台大竹山 台大水里營林區 台大溪頭 台大內茅埔 台大清水溝 台大水里 台大和社 台大下坪 普台高中 暨大附中 埔里高工 水里商工 均頭國中 南投高中 三育高中 同德家商 五育高中 仁愛高農 南投區網 Server 一貫道崇德學院 36
編號 日期類別事由 8 7/30 障礙 因尼莎颱風市電停電, 使用 SMR 電池供電, 無影響服務 影響 TANet 網路 無 影響範圍 無 說明 暨南國際大學於 7/30 晚間 21:16 市電停電, 期間使用 MOE 100G 專案設備之電池供電, 於 21: 17 NCS2006 監控軟體 C TC 發生 Low Volt 告警, 無影響服務 9 8/10 公告第三季保養無無 10 8/19 公告 11 9/9 障礙 12 9/16 公告 緊急電力配電盤更換工程造成機房電力中斷 ( 且發電機無法運作 ) 市電跳脫, 市電恢復後卻未能向機房輸電供應, 造成機房設備以電池供電 TANet 進行南投區網 ( 暨南國際大學 ) 電池備載能力檢測計畫, 檢測期間原則上不影響 T ANet 網路服務 但可能因電壓低降造成設備斷電, 導致網路服務中止風險, 詳如說明 有 有 無 TANet 南投區網網路服務可由 SMR ( 電池備載 ) 供電持續運作至電力耗盡止, 但若機房溫度過高時, 將採 取設備保護性關機作業, 中斷 TANe t 網路服務至工程完畢 NCNU 網路服務中斷 1. 原則上不影響設備運作, 不影響光網路及網路服務 2. 若測試期間發生電池壓降過快, SMR 關電告警或光網路設備 網路設備有供電終止告警等情況, 將即時中止測試, 恢復市電供電程序 3. 若光網路設備 網路設備發生斷電停機, 將即時中止測試, 進行設備供電重啟, 屆時影響光網路或網路服務中止時間 10 分鐘以內, 影響南投區網至 TANet 網路服務 因緊急電力動力盤故障更換, 工程期間為確保施工人員安全將不啟動發電機, 並依據 SMR 供電狀況採取分段式關機 暨南大學停電, 導致電池放電 1. 進行電池備載能力檢測, 了解骨幹網路服務於市電中止,SMR 控制 / 電池供電狀況, 完成緊急應變時限 2. 進行 SMR 對電池充電狀況檢測, 了解持續充電程序, 電池安全狀態, 以建立電池安全目標 37
編號 日期類別事由 影響 TANet 網路 影響範圍 說明 13 10/7 公告 暨南國際大學 ( 南投區網 ) 圖資大樓重電機房進行 ATS 電力切換系統保養維修工程, 維修期間骨幹網路設備將另行供電, 故並不影響 TANet 網路連線 無 暨南大學圖資大樓重電機房進行 ATS 電力切換系統保養維修工程, 維修期間骨幹網路設備因已先行由另一組 A C 電盤供電, 故並不影響其網路連線 14 10/18 公告 電池檢測 / 保養, 檢測期間僅由市電提供網路服務 無 無 15 11/4 公告 暨南國際大學 ( 南投區網 ) 電力系統切換測試, 期間將啟動發電機與電池備載供電, 故並不影響 TANet 網路設備運作, 網路服務維持正常 無 暨南大學圖資大樓於 11/4 9:00 進行電力切換系統 (ATS) 測試, 測試期間先行啟動發電機供電, 再切斷市電供電, 測試電力切換系統 (ATS), 測試期間不影響南投區網網路服務 38
時間 針對 8 月 19 日及 9 月 9 日停電影響網路細部說明 發生事件 6 月份 4 次電力異常 - 手動操作 ATS 切換電力正常投入電力 6 月 30 日 ATS 檢測與測試, 電驛控制模組故障 7 月 07 日更換 ATS 電驛控制模組和連動測試更換完成後測試正常, 電源空氣斷路器 (ACB) 故障 7 月 09 日校區重電保養 ATS 兩次切換正常 8 月 19 日更換圖資大樓電源空氣斷路器 (ACB),ATS 無法投入電力, 廠商現場簡易保養後正常投入電力 9 月 09 日台電跳電 ATS 異常, 手動操作失敗, 廠商到現場維修後恢復正常 9 月 20 日電力異常 - 手動操作 ATS 切換電力正常投入電力 10 月 07 日 ATS 維修作業, 因 ATS 面版按鈕塑膠斷裂, 並彈入內部機械結構, 造成無法順利定位, 並投入電力, 取出後多次測試恢復正常 11 月 04 日針對 ATS 切換再度進行測試,ATS 還是無法正常投入市電 39