如何建设高校网络安全漏洞管理处置体系

1、如何建设高校网络安全漏洞管理处置体系？概述随着信息技术的快速发展，网络已经成为人们生活中必不可缺的一部分，与此同时，网络安全也引起广泛的关注。中华人民共和国网络安全法的颁布实施，更是从根本上、从法律上确定了网络安全的重要性。随着高校信息化的快速迭代，高校信息系统建设亦如火如荼，以网上办事大厅、一网通办、移动门户等为代表的新兴应用，为师生提供了许多便利。同时，网络安全管理责权不清、责任不到位，人员网络安全意识淡薄、程序代码编写不规范、网络安全防护手段不健全等相关问题也逐渐暴露，如何实现网络安全与信息化一体之两翼协同发展，成为高校信息化发展面临的难题。在医学部网络安全管理的起步阶段，也曾遇到诸多问

2、题。首先，信息化资产数据不清楚，学校内部的网站和业务系统多且杂，从系统的基本信息到具体维护操作，相当一部分系统管理者不掌握，网络管理部门也不清楚具体情况。其次，管理人员网络安全意识淡薄，许多系统缺乏必要的安全防护措施， 系统不更新补丁，管理密码简单，如用户名与密码一致等。再者，开发人员水平参差不齐，开发系统代码不规范，缺乏必要的网络安全防护考虑，SQL 注入、跨站脚本常有，应用安全漏洞百出。最后，网上攻击工具也越发智能，黑客攻击专业化水平整体提升，安全信息公开越发频繁，攻击更易上手。上述所有问题，被攻击的入口便是漏洞，有了漏洞，也就给黑客们提供了进门的钥匙，如何尽早发现漏洞、修复漏洞，是网络安

3、全人员防范网络安全事件发生的必备能力。漏洞也是缺陷，网络安全漏洞（以下简称“漏洞”）就是在计算机系统的硬件、软件、协议的具体实现或系统安全策略上存在的缺陷，从而使攻击者能够在未授权的情况下访问或破坏系统。信息安全技术安全漏洞等级划分指南按照危害程度将漏洞分为超危、高危、中危、低危 4 种级别；国家信息安全漏洞库将漏洞划分为配置错误、代码问题、信息泄露、缓冲区错误、跨站脚本、路径遍历、注入、后置链接、跨站请求伪造等 26 种类型。这些漏洞大多数都是由于开发人员代码不规范，管理人员网络安全意识淡薄造成的，所以，漏洞的处置需要管理和技术相结合，相辅相成，缺一不可， 制定一套行之有效的漏洞管理处置体系

4、也就成为当务之急。一、Gartner 漏洞闭环管理框架Gartner 是一家信息技术研究和分析的企业，研究范围覆盖全部 IT 产业。由于网络安全风险已经成为世界安全的重要组成部分，Gartner 着力于网络安全漏洞的管理研究，充分重视“在安全漏洞被利用之前发现和修复安全漏洞的关键过程”。2019 年 10 月，Gartner 发布了漏洞闭环管理框架 2.0，将漏洞管理所涉及的人员管理、处置流程和技术操作看作一个连续的闭环周期（如图 1）。图 1 Gartner漏洞闭环管理框架框架包括五个阶段，分别是：评估、确定优先级、采取行动、重新评估和改进提高，前期工作为整个流程奠定了基础保障。该框架强调漏

5、洞管理和安全防护是一项持续的过程。互联网时代，黑客攻击无法百分百被拦截，系统漏洞也不可能立刻完全消失，需要转变固有的安全防护思维，即从“应急响应”到“持续响应”，前者认为攻击是偶发的，一次性的事故，而后者则认为攻击是不间断的，要承认系统时刻处在被攻击中，并在闭环的管理中不断优化、不断改进、不断完善。在前期准备工作中，确定管理范围、定义用户角色和职责是整个工作的第一步，梳理现有的网络信息资产，明确资产的重要性、用途和范围，确定资产的负责人及其职责，明确资产的来龙去脉，确定系统架构，清楚其操作系统、组件版本、开放端口、业务风险、合规性以及与其他系统之间的关联等信息， 清晰完整的资产台账是漏洞管理的基础。漏洞评估工具也是漏洞管理的重要部分，选择适用的工具将会事半功倍。Gartner 漏洞管理流程 5 个阶段的主要内容如下：评估评估就是识别资产、发现漏洞并确定漏洞真实性，无论是自行扫描发现还是通过其他途径发现的漏洞，要先确定发现漏洞的资产是否在资产范围内，再去验证漏洞的真实性。确定优先级漏洞扫描工具往往会发现很多漏洞信息