厦门大学：备案系统记录高校网站安全信用

利用漏洞全生命周期管理制度建立网站的安全信用记录体系，通过实施备案和漏洞管理，使得高校对校内网站有了更清晰的认识。基于备案和一系列第三方系统联动和技术检查措施，整体安全管理方法结合技术、管理和人工手段，可以极大提高高校在网站安全管理的能力，提高高校网站整体安全性。

随着《中华人民共和国网络安全法》的出台，高校对网络安全也越来越重视，工业和信息化部的《互联网信息服务管理办法》，《非经营性互联网信息服务备案管理办法》和公安部的《计算机信息网络国际联网安全保护管理办法》都强调了备案的重要性[1]。备案是高校网站安全管理的基础，只有摸清了家底，才能对网站安全做好管理工作[2]。摸清家底除了确定网站的运维部门和使用部门等静态的管理信息外，还应当包括网站动态方面的一些信息，比如网站的IP（Internet Protocol，网际协议）地址、DNS（Domain Name System，域名系统）、物理位置、连接的交换机、访问量和性能指标等等。由于高校域名一般为.edu.cn结尾，所以在工信部和公安部的备案只能对整个学校的三级域名进行备案，学校内部的四级域名自行备案，各个高校也都建立了自己的备案管理机制[2-4]，然而目前部分高校的网站管理还存在一些问题。

高校网站安全管理存在的问题和解决思路

站点分布情况复杂

高校网站是域名备案主体为学校的网站，校内备案主要的目的在于网站遇到安全事件后，第一时间可以联系到用户或者由信息与网络中心紧急处置。由于一个网站对外提供服务涉及到域名和IP地址两个基本条件，根据这两个条件的不同，处置相应会存在表1所列的几种情况。

目前大部分高校以上几种情况还处于并存的现状，甚至对哪些站点属于哪种情况还未调查清楚。建议做好备案工作，从技术手段识别出以上各种情况，并要求备案主体为学校的所有网站均应迁入校内，接受学校的统一安全防护和管控。

官方网站没有与信息系统分开

部分二级学院和部门的官方网站和信息系统紧密结合在一起。官方网站为宣传性质的网站，一般只有新闻发布功能，程序逻辑较为简单，访问受众大，可以生成静态页面增加安全性，而信息系统较为复杂，为动态网站，程序逻辑复杂，安全隐患多，访问者较少，在重大活动时期可限制校外访问。两者部署在同一台服务器会导致任何一个被攻击均可能影响另外一个。所以应当把官方网站和信息系统分开部署，使用不同的安全措施进行保护。或者将官方网站迁移到统一部署的网站群内提高安全性。

未采用信息系统支撑备案

备案过程使用线下的纸质流程、电子邮件上报、流程引擎，但是没有对数据做沉淀等手段，使得备案数据无法电子化，变更无法关联，统计查询困难。应当有功能较为完备的信息系统支撑备案工作。

网站安全信用记录缺失

网站过往有发生过何种安全漏洞无从得知，网站漏洞管理采用电话和邮件沟通，导致过程和处理结果跟踪效果较差，无法进行考核。未采用自动化工具，导致对有安全隐患的网站的保护性封禁不及时。在诸如通用软件漏洞出现时，无法根据历史漏洞情况对使用了特定通用软件的站点进行主动提醒，多个安全管理人员之间无法有效协作。应当利用系统建立网站的安全信用记录，对于多次出现安全漏洞的网站应主动要求整改。

管理办法无法得到有效的执行

信息与网络中心出台了各种网站安全管理办法，然而由于缺少技术手段，导致管理办法成为一纸空文。没有系统的支撑，开启和封禁有安全隐患的网站较为随意，易受用户影响。

虚拟主机生命周期管理缺失

信息与网络中心一般会为二级学院提供诸如虚拟主机或虚拟机的建站平台支持，然而这些资源往往只有申请，没有退出机制，导致变成僵尸站点。部分网站由学生开发，等学生毕业后无人维护。某些会议网站，申请了虚拟主机空间后，会议承办结束后不再使用，但是不会通知信息与网络中心。统一部署的网站群安全性能较高，然而也存在管理员账户密码泄露等问题。

针对以上问题，厦门大学建立了备案系统[5]，使用技术手段结合管理政策和人工操作，实现了对网站安全较为清晰的管理。本文将介绍备案系统和备案系统使用到的部分技术手段，和厦门大学在首次备案梳理、日常管理、基于备案数据和其他系统对接中的网站安全管理实践。

备案系统功能介绍和执行

备案系统主要功能为登记所有网站的运维负责人和分管领导网站安全备案，并对内部自查或互联网发现的网站漏洞，在备案系统内实现漏洞通知、认领、讨论、修复、确认等一系列全生命周期管理流程[5]。并基于备案基础数据，对接了近十个第三方系统，对整个学校网站进行分析和检查。同时引入年审、常态化检查等管理机制，建立网站安全信用记录，以此信用记录决定网站在重大时期的开放。

和第三方系统对接方法

备案系统需要和各个系统对接，有些系统使用了可远程访问的数据库，比如MySQL，这些可以通过直接数据库连接获取信息。有些系统提供API（ApplicationProgramInterface，应用程序接口），可通过Python的suds或者urllib模块获取信息。有些系统只有网页页面，可以使用类似PhantomJS、Selenium等网页自动化工具模拟登陆并获取信息。有些系统可以导出结果到Excel等格式，可通过定时手工方法导入到系统获取信息。如果以上方法都没有，可先手工操作，等条件成熟后再自动化获取信息。

管理员控制台

梳理出备案数据后，基于备案基础数据，结合第三方系统，展示管理员驾驶舱，通过图表展示校内备案总数、备案人员总数，站点总数、校外域名总数等各种统计信息，方便管理员对校园网内所有网站进行安全态势分析。厦门大学做了以下识别：

（1）备案人高危识别：列出备案数较多的人，重点关注。备案数目较多，有可能该用户确实负责很多网站或系统，也可能说明该部门统一由某个人负责备案，真正各个网站的负责人可能还有其他人，这种情况会导致漏洞无法及时传达到具体负责人。所以，出现这种情况应督促具体负责人备案。

（2）服务器高危识别：列出架设较多网站的服务器。一个服务器开设了太多网站，多个站点安全隐患会互相影响。应督促管理员对网站根据安全级别进行分离。

（3）识别过往漏洞最多的站点和管理员。

（4）域名注册商和接入服务商识别。识别出接入在校外、校内、数据中心外的服务器，督促尽快托管到信息与网络中心机房。

（5）网站首页变化量识别。识别一段时间内首页变化量少于某个阈值的网站，督促管理员更新站点或者关闭站点。

（6）识别非标准部署的网站。非标准部署的网站包括使用IPv4直接提供网站服务和HTTP（Hypertext Transfer Protocol，超文本传输协议）端口开放在非80端口的网站。非标准部署网站记忆困难，搜索引擎优化程度较低，不支持IPv6，今后也无法提供HTTPS（Hypertext Transfer Protocol Secure）服务，应督促尽快申请域名。

由于管理员态势分析必须经常打开各个不同的系统，所以厦门大学对管理员经常打开的系统链接做了聚合，方便管理员打开，常见链接包括WAF（Web Application Firewall，Web应用防火墙）、IPS（Intrusion Prevention System，入侵防御系统）、防火墙、堡垒机、校内各平台控制面板、互联网各种漏洞平台、监控平台等地址链接，使得备案系统成为安全人员的门户。

梳理备案过程

备案从无到有的过程，不能简单的一刀切，虽然不备案就禁止访问会加快备案进程，然而网络安全和信息化是相辅相成的。安全是发展的前提，发展是安全的保障，安全和发展要同步推进[6]。为了最大限度不影响业务的正常开展，我们采用了以下较为柔性的备案推进过程：

（1）多宣传。备案系统开发完成后，通过办公自动化发文和QQ群沟通，督促各个网站安全责任人在截止时间前备案。

（2）减少对业务的影响。为防止在真正截断网络访问之后影响业务的开展，除了通知以外我们还通过查询DNS解析量、站点日志量、厂商的安全设备识别出来的站点信息防止重要域名被误删除。对于访问量较大的站点，额外通过电话提醒。

（3）提供通知页面。截止时间到了对所有没有备案的域名直接解析到通知页面，在通知页面提示备案启动的时间点、目前进度和备案方法。减少用户投诉未收到通知和不知道网站无法访问的原因。

（4）回收域名和虚拟主机空间。确定时间点，没有备案的站点，回收域名和虚拟主机空间。

漏洞全生命周期管理

漏洞全生命周期管理和各个时间节点如图1所示。一旦管理员从多个途径接收到漏洞信息后，判断为非误报，录入系统进入流程。红色虚线为各个重要时间点，如果未在一段时间内认领漏洞，漏洞会升级发送邮件给分管领导。在一段时间内未修复，则只允许校内访问。如果是高危漏洞在一段时间内未修复，则封禁校外访问或直接关闭网站。

（编辑：拼字网 - 核心网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!