清华大学 网络信息安全工作经验分享 信息技术中心吴海燕 2015 年 10 月
汇报提纲 对高校信息安全的理解 安全形势 安全要素 安全体系 清华网络信息安全工作情况汇报 技术 规范 活动 问题与困惑
安全形势 - 威胁 2013 年中国高校网站安全检测报告 指出高校信息安全形式严峻 安全漏洞逐年增加, 利用厂商已经公布而用户未及时修补的漏洞而成功实施的攻击占到了 15.3% 黑客攻击从面向攻击对象的针对性攻击转向面向特定漏洞的批量攻击, 漏洞危害程度被放大 重大安全漏洞曝光后, 在活跃群体中产生从众效应, 带来攻击事件的快速上升
安全形势 - 威胁 时间单位乌云公开漏洞时间漏洞性质乌云链接 2015 年 10 月 7 日 中国化工集团集中采购信息系统 2013/7/23 2015 年 10 月 4 日吉林省地震局 2014/3/14 2015 年 10 月 1 日 2015 年 9 月 28 日 中国核化学与放射化学学会 中国航天科技集团公司网络调查平台 2013/9/14 2015/5/9 2015 年 9 月 25 日银行联合信息网 2015/6/18 可获取 webshell 权限 struts2 漏洞可获取 webshell 权限 struts2 漏洞可获取 webshell 权限 struts2 漏洞可获取 webshell 权限 struts2 漏洞可获取 webshell 权限 http://www.wooyu n.org/bugs/wooyu n-2010-025406 http://www.wooyu n.org/bugs/wooyu n-2010-049986 http://www.wooyu n.org/bugs/wooyu n-2010-032947 http://www.wooyu n.org/bugs/wooyu n-2010-0102477 http://www.wooyu n.org/bugs/wooyu n-2010-0111616
安全形势 - 监管 教育管理部门及信息安全监管部门对信息系统安全更加重视, 工作要求不断提升 2014 年收到市局文保总队下达的风险提示单 7 份 限期整改通知书 1 份, 教育部思政司下发的整改通知书 1 份, 教育相关业务司局要求临时关闭网站规避风险二次 2015 年收到市局文保总队下达的风险提示单 120 份 教育部自 2014 年 9 月份以来陆续下发了多份关于信息安全的政策文件 等保
安全形势 - 愿景 学校的信息化发展需求 Princeton:3-5 年的路线图进程, 安全 - 确保关键系统和信息的隐私和安全 Oxford(2013-2018 战略规划 ): 网络安全提高信息安全意识 ; 促进网络安全制度的执行 ; 确保移动设备及校内外访问的信息安全 ; 提高学校网络安全事件检测 响应和报告能力 ; 清华大学信息化发展规划 (2012-2020) 健全信息安全工作体系和风险评估制度, 提升网络与信息系统安全技术水平, 完善工作预案, 重视应急处置, 保障信息化健康 持续发展
安全形势 - 愿景 EDUCAUSE TOP TEN ISSUES,2010-2015 年之间出现的主题 平衡灵活 开放和安全 / 信息安全与风险 :2015 Balancing agility, openness, and security. 1. Developing an effective information security strategy that responds to institutional organization and culture and that elevates information security concerns to institutional leadership 2. Ensuring that members of the institutional community (students, faculty, and staff) receive information security education and training 3. Developing security policies for mobile, cloud, and digital resources (including issues of data handling/protection, access control, and end-user awareness)
对高校信息安全的理解 技术问题 三分技术七分管理 信息系统 生态环境 : 多个安全要素 集合 高校信息安全管理要素 基础设施 对象 入侵 DOS 监听 安全威胁 防御机制 扫描审计防火墙数据中心 校园网流控 DPI 加密安全运行中心 防病毒 扫描 审计 入侵 DOS 越权 恶意代码 入侵 滥用
高校信息安全保障体系
信息安全管理制度 人员安全 建设安全 运维安全 信息安全管理部门 ( 信息办 ) 响应 安全漏洞修补 安全事件的及时响应 信息安全技术架构 ( 物理 网络 应用 数据 ) 网站与信息系统 信息化技术部门 防护安全平台维护 信息系统准入检查 安全漏洞的跟踪与评估 信息安全意识教育与培训 网络 院系网管 检测 定期安全检查 安全事件监控 计算机终端 信息安全标准与法律法规
汇报提纲 对高校信息安全的理解 安全形势 安全要素 安全体系 清华网络信息安全工作情况汇报 技术 规范 活动 问题与困惑
技术措施建设 入侵 DOS 监听 安全威胁 防御机制 防火墙 扫描 审计 校园网 防病毒 扫描 审计 流控 DPI 加密 数据中心 安全运行中心 入侵 DOS 越权 恶意代码 入侵 滥用
技术措施建设网络防火墙 web 应用防火墙主机漏洞扫描应用安全事件监控数据一致性监控数据库审计应用审计数字证书系统安全监测能力信息系统 ( 数据中心 ) 网站防护服务事件监控服务安全云服务安全大数据平台统一安全告警平台关键业务数据加密应用漏洞扫描数据应用容灾漏洞扫描服务应用代码扫描日志集中采集主机安全加固数据应用容灾安全联动平台流控深度数据包检测无线网安全接入校园网安全运行中心安全防控能力安全响应能力流量清洗服务安全告警服务安全数据分析服务计算机终端院系信息系统
技术措施 网络防火墙 ThuNe 校园网 t Ipv4/ipv6 IPV4/ IPv6 10G 10G 2G S12508 IRF 30G S12508 SERVER1 SERVER2 SERVER180 V1 V2 V3
PKI 技术措施
应用的安全漏洞检查 : 代码扫描 技术措施
技术措施 应用漏洞检查 : 黑盒扫描
应用运行防护 :WAF 技术措施
网站安全监控 技术措施
技术措施 数据安全 : 数据库审计 Sun 15000 Domain A,B,C 审计网关 存储 Switch Switch Sun V490 Sun V490 Sun V490 Sun V490
管理规范 制度建设 队伍建设规范 3 个 责任体制规范 3 个 管理制度 校级制度 4 个, 中心级制度 34 个 技术规范 29 个 应急流程与应急预案 13 个 工作记录 13 个 安全工作总结 5 个 安全建设项目相关文档 6 个 网络与信息安全工作组 信息安全保障工作领 师生 导小组 网络与信息运行管理队伍 院系网管员与信系安全联系人 部门管理员用户 网络信息安全领导决策层 网络信息安全工作层 网络信息使用层
管理活动 安全设备的管理维护 信息系统全生命周期安全管理 服务器全生命周期的安全管理 安全漏洞跟踪处理 安全态势感知与分析 重大活动安全保障 安全事件的响应处置 终端的安全管理
管理活动 - 信息系统全生命周期安全管理 任务 规范与管理流程 开始 确定信息系统安全保护的等级 信息系统分级规范 明确系统的安全需求, 设计系统安全措施 WEB 类应用软件安全技术规范 WEB 类应用软件安全准入规范 安全编码 源代码扫描工具使用规范 上线前的安全准入检查 WEB 类应用软件安全技术规范 WEB 类应用软件安全准入规范 安全防护 定期安全扫描和漏洞跟踪, 发现新的安全隐患随时处理 安全事件响应规范
管理活动 - 信息系统全生命周期安全管理 信息系统登记备案与上线安全检查
信息系统安全故障 被上载恶意文件 页面挂马 暗链 系统资源耗尽 数据库信息泄露或被注入 程序文件一致性监控 网页内容监控资源使用监控日志分析
管理活动 - 服务器全生命周期安全管理 服务器安全检查 服务器上线扫描 安全配置规范 安全配置文档 服务器虚拟机模版
管理活动 - 安全漏洞跟踪处理 2015 年 4 月起, 在乌云 补天两个国内影响最大的互联网漏洞发布平台注册企业账号, 及时跟踪了解我校信息系统的安全漏洞和安全事件信息, 截至 9 月 20 日, 共评估我校信息系统相关的安全漏洞 47 个, 通过信息办向院系发送风险提示单 40 份 跟踪 CNVD 等安全漏洞平台 2012:struts2 2014: 心脏出血 bash 破壳 SSL V3
管理活动 - 安全态势感知与分析
管理活动 - 重大活动保障
汇报提纲 对高校信息安全的理解 安全形势 安全要素 安全体系 清华网络信息安全工作情况汇报 技术 规范 活动 问题与困惑
问题与困惑 校方的投资方向 信息安全技术 ( 产品 ) 的选择 漏洞管理 安全大数据分析平台 流量清洗 校园信息安全文化建设 信息安全评价 : 价值 绩效 状态
问题与困惑 校级 IT 支出中薪酬 非薪酬 资产支出的比例分布 100% 90% 80% 70% 60% 50% 59% 56% 51% 56% 54% 50% 54% 资产 非薪酬 40% 30% 25% 35% 35% 32% 32% 35% 34% 薪酬 20% 10% 12% 6% 10% 7% 11% 10% 9% 0% 私立博士公立博士私立硕士公立硕士本科专科全部
实施强制性信息安全培训的院校比例 问题与困惑 80% 72% 70% 65% 60% 61% 60% 57% 50% 42% 45% 40% 37% 38% 30% 29% 28% 29% 23% 23% 20% 10% 0% 私立博士公立博士私立硕士公立硕士本科专科全部 学生 教职工
谢谢!