校园WiFi覆盖区域安全管理规定

校园WiFi覆盖区域安全管理规定第一章总则第一条为规范校园无线网络（以下简称“校园WiFi”）的建设、使用与管理，保障校园网络信息系统安全、稳定、高效运行，保护广大师生员工的合法权益，依据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》、《互联网安全保护技术措施规定》以及教育部关于加强教育行业网络与信息安全工作的相关指导意见，结合本校信息化建设实际情况，特制定本规定。第二条本规定适用于接入校园WiFi的所有无线接入点（AP）、无线控制器（AC）、认证服务器、网络管理设备及所有通过校园WiFi接入互联网的终端用户（包括教职员工、学生、访客及第三方合作人员）。学校所属各部门、各单位及所有用户必须严格遵守本规定。第三条校园WiFi安全管理遵循“统一规划、统一标准、统一建设、统一管理、安全可控、服务育人”的原则。网络信息中心作为校园WiFi的归口管理部门，负责全网的安全技术防护、运行监控及日常维护工作。第四条校园WiFi覆盖区域包括但不限于教学楼、办公楼、图书馆、学生宿舍、食堂、体育场馆、会议室、公共活动区域及校园室外公共空间等。任何个人或单位未经批准，不得擅自私设无线接入设备或通过其他方式提供无线网络服务。第二章管理架构与职责第五条网络信息安全领导小组是校园WiFi安全工作的最高决策机构，负责审定安全管理制度、应急预案，协调解决重大网络安全问题。第六条网络信息中心作为执行机构，具体履行以下职责：（一）负责校园WiFi的总体规划、技术方案设计、设备选型与工程实施；（二）负责建立无线网络安全防护体系，部署防火墙、入侵检测/防御系统、上网行为审计系统、流量控制系统等安全设施；（三）负责无线网络设备的日常运维、配置管理、漏洞扫描、补丁更新及故障处理；（四）负责用户身份认证系统的运行维护，确保实名制认证的准确性与可靠性；（五）负责监测网络流量，识别并处置网络攻击、病毒传播、异常访问等安全事件；（六）负责配合公安机关及上级主管部门的安全检查与审计工作。第七条各院系、部处部门应指定一名网络信息安全联络员，负责本部门范围内的WiFi使用规范宣贯、安全隐患排查及突发事件的初步报告与协调工作。第八条校园保卫处应配合网络信息中心，对校园内非法私设的无线基站、伪基站、大功率干扰设备进行物理排查与处置，保障网络基础设施的物理安全。第三章基础设施与设备安全管理第九条无线接入设备（AP）的部署必须符合国家无线电管理委员会的相关规定，严格遵守发射功率限制，避免对周边环境及航空、通信等关键设施造成电磁干扰。所有AP设备必须入网备案，纳入统一网管平台监控。第十条无线网络设备应实施严格的物理安全防护。设备机房及弱电间需配备门禁系统、视频监控系统、环境监控系统及防雷、防火、防水、防静电设施。非授权人员严禁进入设备间接触网络设备。第十一条建立完善的设备配置管理制度。所有AP、AC、核心交换机及安全网关设备的配置文件必须定期（至少每月）进行离线备份。重大配置变更前必须经过方案评审与测试，变更过程需双人操作并详细记录，确保可追溯、可回滚。第十二条实施设备固件与软件的全生命周期管理。网络信息中心应密切关注厂商发布的安全公告，及时评估漏洞风险，在测试环境验证通过后，对生产环境设备进行固件升级，修补已知安全漏洞。第十三条加强无线网络边缘侧的安全防护。在汇聚层及接入层启用端口隔离功能，防止同一AP下不同用户之间的二层直接访问，抑制ARP病毒、蠕虫病毒在局域网内的横向传播。第十四条严禁在校园WiFi覆盖区域私自架设无线路由器、无线网桥等设备。对于因教学、科研等特殊原因确需自行部署局部无线网络的单位，须向网络信息中心提交书面申请，经技术审核及安全评估通过后，由网络信息中心统一规划部署并纳入集中管理，严禁私自接入校园核心网。第四章用户接入与身份认证管理第十五条校园WiFi实行“实名认证、先审后用”制度。所有接入校园WiFi的用户必须通过学校统一身份认证平台进行身份验证。认证系统应与学校人事系统、学工系统数据库实时同步，确保用户身份信息的准确性。第十六条用户账号分类管理：（一）教职工账号：由人事信息自动生成，账号有效期与人事关系绑定；（二）学生账号：由学籍信息自动生成，账号有效期与学籍绑定；（三）访客账号：采用“一人一号、短期有效”的临时账号机制。需由校内相关单位通过访客系统提前申请，经审批后生成，有效期一般不超过7天，最长不超过30天。第十七条强化认证密码安全策略。用户初始密码必须强制修改，密码复杂度要求包含大小写字母、数字及特殊符号，长度不得少于10位，并定期（每180天）强制更换。系统应具备防暴力破解机制，连续输错密码5次以上应锁定账号或暂时禁止登录。第十八条严禁将个人WiFi账号出借、转让、出租给他人使用。账号持有者应对该账号下的所有网络行为负法律责任。如发现账号盗用或异常使用，应立即报告网络信息中心冻结账号。第十九条启用终端识别与绑定技术。系统应支持基于MAC地址、设备指纹的终端绑定功能，限制单一账号同时在线的终端数量（教职工不超过4台，学生不超过2台，访客不超过1台），防止账号滥用。第二十条对于涉及敏感信息处理或核心业务系统的区域，可部署基于802.1X的证书认证方式，进一步提高接入安全等级，防止非法设备接入网络。第五章网络传输与数据安全防护第二十一条遵循“传输加密、信道隔离”原则。校园WiFi应关闭WEP等不安全的加密方式，全面采用WPA2-Enterprise或WPA3企业级加密标准，确保无线链路层数据传输的机密性与完整性。第二十二条实施严格的VLAN（虚拟局域网）隔离策略。根据用户属性（如学生、教职工、访客、财务、教务）划分不同的逻辑网段和VLANID，实施访问控制列表（ACL）策略，限制不同网段间的非必要互访。特别是访客网络只能访问互联网，严禁访问校园内部办公及科研服务器资源。第二十三条部署无线入侵检测/防御系统（WIDS/WIPS）。实时监控校园内的无线射频环境，具备识别非法AP（RogueAP）、Ad-hoc网络、钓鱼热点、WIDS攻击及无线DoS攻击的能力。一旦发现威胁，系统应自动触发告警，并采取隔离、反制或下线等措施。第二十四条加强数据链路层的防护。在无线网络中启用DHCPSnooping技术，防止私接DHCP服务器干扰网络；动态ARP检测（DAI）技术，防止ARP中间人攻击；IPSourceGuard技术，防止IP地址欺骗。第二十五条严格保护用户个人隐私数据。网络信息中心在开展网络运维、安全审计、故障排查时，应严格遵守隐私保护法规，不得泄露、篡改或滥用用户的上网日志、通信内容、终端信息等敏感数据。上网行为审计日志仅用于安全追溯与合规检查，严禁非授权查阅。第六章用户行为规范与内容安全第二十六条校园WiFi仅用于支持教学、科研、管理和学习等正当用途。严禁利用校园WiFi从事任何危害国家安全、泄露国家秘密、侵犯社会公共利益及他人合法权益的活动。第二十七条用户严禁有以下行为：（一）制作、下载、传播、浏览宣扬暴力、恐怖、邪教、色情、封建迷信等法律法规禁止的信息；（二）未经授权侵入计算机信息系统或破坏其功能；（三）故意制作、传播计算机病毒等破坏性程序；（四）对校园WiFi网络功能进行删除、修改或者增加，故意干扰网络正常运行；（五）利用校园WiFi进行商业广告推送、垃圾邮件发送、网络传销或商业牟利活动；（六）盗用他人IP地址、MAC地址或账号进行网络攻击；（七）使用P2P下载、高清视频流媒体等高带宽应用抢占公共网络资源，影响他人正常网络使用；（八）私自架设代理服务器、VPN穿透服务或进行网络共享。第二十八条实施网络流量管理与QoS策略。网络信息中心应根据网络承载能力，对P2P下载、在线视频等非关键业务流量进行合理的带宽限制与优先级调度，保障教学科研、Web浏览、邮件通信等关键业务的网络质量。第二十九条建立内容安全过滤机制。校园WiFi出口应部署网页过滤系统，对黄赌毒、反动等违法违规网址进行黑名单阻断；对涉及网络游戏、炒股等娱乐性网站可根据管理需求进行分时段管控。第七章监控审计与日志管理第三十条建立健全全网集中化日志审计系统。校园WiFi涉及的所有网络设备、安全设备、认证服务器及用户上网行为日志，必须进行集中采集、存储与分析。第三十一条严格执行日志留存制度。按照《网络安全法》要求，用户上网日志（包括账号、终端MAC、IP地址、上网起止时间、访问目标URL等）必须留存不少于6个月，系统运行日志、安全事件日志必须留存不少于1年。日志存储介质应具备防篡改、防删除功能。第三十二条定期开展网络安全审计与风险评估。网络信息中心应每季度对无线网络架构、设备配置、安全策略进行一次全面审计；每年邀请第三方专业安全机构进行一次渗透测试与风险评估，及时发现并整改安全隐患。第三十三条建立异常流量与行为监测机制。利用大数据分析技术，实时监测校园WiFi的流量模型与用户行为基线。对于短时间内产生大量连接、异常境外连接、频繁扫描端口等可疑行为，应立即触发告警并进行人工研判。第三十四条审计日志查阅权限管理。查阅上网行为审计日志需经网络信息中心负责人审批，并查阅登记表，注明查阅人、查阅目的、查阅时间与查阅范围。涉及司法调查时，应依据法定程序配合公安机关提供相关数据。第八章应急响应与故障处置第三十五条制定《校园WiFi网络安全事件应急预案》。针对网络攻击、设备故障、链路中断、大规模病毒爆发、电力中断等突发事件，明确应急响应流程、处置措施、责任人及恢复时限。第三十六条建立应急演练机制。网络信息中心应每年至少组织一次无线网络安全应急演练，模拟钓鱼WiFi攻击、核心设备宕机、DDoS攻击等场景，检验应急预案的有效性，提升应急处置能力。第三十七条实行7×24小时网络监测与值班制度。设立网络运行监控中心（NOC），对校园WiFi运行状态、设备健康度、用户并发数、出口流量等进行全天候实时监控。发现故障或异常告警后，值班人员应在规定时间内响应并开始处置。第三十八条故障分级处置机制：（一）一级故障（核心层设备宕机、全网中断）：立即上报领导小组，启动最高级别应急响应，调动所有技术力量进行抢修，目标恢复时间小于30分钟；（二）二级故障（区域汇聚层故障、大面积认证失败）：技术骨干现场处理，目标恢复时间小于2小时；（三）三级故障（单点AP故障、个别用户无法连接）：纳入日常工单流程，目标恢复时间小于8小时。第三十九条建立故障复盘与总结机制。重大故障或安全事件处置完毕后，应在5个工作日内组织技术复盘，分析故障根因，评估处置过程的有效性，编写故障分析报告，并据此优化网络架构与管理制度。第九章违规处罚与责任追究第四十条对于违反本规定的用户，网络信息中心有权视情节轻重，采取以下措施：（一）口头警告并责令整改；（二）暂停或注销其校园WiFi上网账号；（三）将违规行为通报其所在院系或部门；（四）限制其终端设备接入校园网络。第四十一条对于利用校园WiFi从事违法违纪活动，造成不良后果或损失的，依据《中华人民共和国治安管理处罚法》、《中华人民共和国刑法》及学校相关规定，移交公安机关或学校纪检、保卫部门处理，追究其相应的法律责任或纪律责任。第四十二条因违规操作导致校园WiFi设备损坏、网络瘫痪或数据泄露的，相关责任人及所在单位应承担相应的经济赔偿责任；构成犯罪的，依法追究刑事责任。第四十三条网络管理人员违反本规定，滥用职权、泄露用户隐私、玩忽职守造成网络安全事故的，学校将依据相关规定给予行政处分；构成犯罪的，依法追究刑事责任。第十章附则第四十四条本规定中涉及的技术术语及网络参数，由网络信息中心根据技术发展情况进行解释与更新。第四十五条本规定未尽事宜，参照国家相关法律法规及学校其他信息化管理规章制度执行。第四十六条本规定自发布之日起施行，原有相关规定与本规定不一致的，以本规定为准。第四十七条本规定的解释权归学校网络信息中心所有。附录A：校园WiFi设备安全配置基线标准配置项安全要求检查方法风险等级管理员密码长度≥12位，包含大小写字母、数字、特殊字符，且不与默认密码相同登录设备查看配置文件高远程管理禁用Telnet，仅允许SSHv2；限制管理源IP地址为网管段Nmap扫描/配置核查高SNMP服务禁用SNMPv1/v2c，仅使用SNMPv3并启用加密认证协议分析/配置核查中无线加密启用WPA2-Enterprise(AES)或WPA3，禁用WEP及TKIP无线网卡抓包分析高SSID广播教学办公区SSID可隐藏，公共区SSID可广播，但不得包含敏感词汇现场环境扫描低端口隔离启用AP内端口隔离，禁止客户端二层互通配置核查/互通测试中DHCP服务仅由核心交换机或专用DHCP服务器提供，AP及接入交换机需关闭DHCP全网DHCP扫描高空闲端口**未使用的物理端口必须执行shutdown操作配置核查低NTP服务**配置指向校内统一时间服务器，确保日志时间准确配置核查/时区检查中日志发送**配置Syslog指向校内日志服务器，级别至少为informational配置核查/服务器连通性中附录B：常见无线网络违规行为及处置流程一、私设无线路由器识别特征：通过WIDS系统检测到非授权MAC地址的AP；内网扫描发现非标准DHCPServer；内网环路报警。处置流程：1.网管系统定位物理端口或区域。2.网络信息中心下发通知给所在部门网络联络员。3.联络员现场查找并拆除设备。4.若拒不配合，直接物理端口下线并通报批评。二、账号共享或暴力破解识别特征：同一账号同时在线终端数超限；单一账号在短时间内存在大量不同MAC地址的认证请求；认证日志显示来自不同AP的频繁失败尝试。处置流程：1.自动触发临时封禁策略（锁定1小时）。2.安全审计人员分析日志，确认是账号出借还是攻击行为。3.若为账号出借，短信通知账号持有者整改，再次发现直接停权。4.若为暴力破解，将源MAC地址加入黑名单，永久禁止接入。三、钓鱼WiFi（EvilTwin）识别特征：W