校园网络风险排查方案

校园网络风险排查方案一、方案总则1.1编制目的与适用范围校园网络承载教务管理、在线教学、学生信息、财务缴费等核心业务，一旦发生勒索病毒感染、数据泄露或DDoS攻击，直接后果是教学停摆、学生隐私泄露，并可能触发《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》项下的法律责任。本方案用于指导学校信息化部门对全校网络开展一次系统性风险排查，排查结果作为后续整改预算申报和安全加固立项的依据。适用范围：校园骨干网、各楼宇接入网、无线网（SSID含教学网/办公网/访客网）、对外发布的服务器区（DMZ）、数据中心机房、各业务系统（教务、学工、财务、一卡通、图书馆、邮件、VPN）、以及接入校园网的各类终端（含实验室工控设备、监控摄像头、门禁等物联网设备）。1.2排查目标与量化指标指标目标值验收方式资产台账覆盖率100%（IP级）台账数vs交换机ARP/发现扫描比对高危漏洞修复率管理员确认后15个工作日内达到90%复扫报告弱口令清零100%弱口令扫描报告等级保护定级备案二级及以上系统100%备案备案证明核对日志留存关键设备≥6个月日志平台抽查1.3组织分工与时间安排•排查领导小组：分管副校长任组长，信息化办公室主任任副组长，负责资源协调与结果审批，每周五16:00听取进度汇报。•执行组：信息化办公室网络科3~4人（负责网络层）、系统科2~3人（负责服务器与业务系统）、安全岗1~2人（负责漏洞扫描、渗透测试与日志分析）。•配合方：各院系指定1名网络信息员（名单于启动会前3个工作日报信息化办公室汇总），负责本院系终端设备清点与配合整改；第三方运维人员纳入排查范围，账号权限一并核查。•时间安排：启动与资料收集3天→技术排查10天→结果汇总与报告4天→整改计划评审1天，合计约18个工作日。二、资产清点与网络架构核查摸清家底是所有排查的前提——排查经验表明，校园网约30%的安全事件源于“不知道自己有这台设备”（失管设备长期不更新补丁被植入木马）。2.1资产台账建立1.网络设备：对核心、汇聚、接入交换机执行displayarp/showarp采集ARP表，用工具（如nmap、AngryIPScanner或学校已有网管平台）对全网段做发现扫描，扫描范围必须覆盖所有/16或实际使用的/24网段，每周至少1次，共执行3次取并集。2.服务器与业务系统：核对机房资产清单，逐台记录IP、操作系统版本、开放端口、责任人（落实到具体人名及联系方式）、系统等保定级情况。3.物联网终端：监控摄像头、门禁、考场广播等由保卫处配合清点——此类设备出厂弱口令率高，是历次攻防演练中被突破最多的入口，登记时必须记录固件版本。4.产出物：《校园网资产台账》（见附件1样表），每台设备标注“在用/失管/待报废”状态；失管设备10个工作日内联系责任人确认，逾期无法确认责任人的一律断网隔离。2.2网络拓扑与分区核查•核查现行拓扑图与实际配置一致性：抽查每台汇聚交换机3条VLAN配置，与拓扑图比对，不一致处3个工作日内更新图纸。•分区有效性核查要点：教学区、办公区、学生宿舍区、DMZ、一卡通专网之间访问控制策略是否落地。核查方法：从宿舍区网段尝试访问教务系统管理后台端口（通常为8080/443管理路径），若能连通即存在区域隔离失效。•严禁存在“全通”策略：核查防火墙策略表中anytoanypermit类条目，逐条确认业务必要性，无人认领的过期策略（最近6个月无命中日志）一律删除并保留删除记录。三、技术风险排查本章是排查的技术核心，按“入口—主机—数据—终端”四条攻击路径展开，每项给出排查方法、判定标准与异常处置。3.1边界与入口排查（攻击路径起点）排查项方法判定标准异常处置互联网暴露面从校外网络对学校公网IP全端口扫描无未备案的对外开放端口当日关停或加白名单限制VPN与远程访问核查VPN账号清单与人事系统比对离职/毕业人员账号100%停用当日停用，2周内全量改用MFA邮件系统检查SPF、DKIM、DMARC记录三项记录齐全1周内补齐，防钓鱼邮件伪造Web应用对10个以上对外系统做基线核查无未授权访问的管理后台当日加访问控制DNS劫持风险：抽3台学生宿舍终端执行nslookup查询教务系统域名，比对返回IP与权威解析是否一致；同时核查学校DNS服务器是否限制递归查询范围——开放递归的DNS会被利用做DDoS反射放大（起因：校内DNS被恶意利用→放大攻击流量打到外部目标→学校出口被反制封堵或被追责），必须限制recursion仅对校园网网段开放。3.2服务器与业务系统排查1.漏洞扫描：使用绿盟/奇安信类漏洞扫描器（学校已购的任何一款均可，本方案不指定品牌）对全部服务器执行扫描，扫描前1天在群内公告，避免误触发业务告警；高危漏洞（CVSS≥7.0或等保测评中标注高危项）按2.2节指标限期修复。2.弱口令核查：对SSH、RDP、数据库、后台管理页执行字典测试（字典采用常用弱口令Top1000+“学校简称+123”类定制组合）。教务、财务系统管理员账号必须强制12位以上且含字母数字符号；发现弱口令当日改密，同时核查该账号近3个月登录日志确认是否已被利用。3.补丁与基线：Windows服务器核对是否达到当前支持的生命周期版本（已停止支持的WindowsServer2012类系统必须列入替换计划，无法立即替换的迁移到隔离VLAN）；Linux服务器核查SSH是否禁用root直接登录与密码登录（PermitRootLoginno、PasswordAuthenticationno）。4.数据备份有效性：备份不是拷贝——抽查1个核心系统（建议教务数据库）执行真实恢复演练，恢复后业务验证通过方视为有效备份；从未做过恢复演练的备份视同没有备份，此项在报告中单独标注为高风险。3.3终端与无线排查•抽查每院系10台办公终端：杀毒软件安装与病毒库更新情况、操作系统补丁、是否使用本地管理员账号日常办公。发现裸奔终端当场安装学校统一的终端管理客户端。•无线网核查：访客WiFi必须与内网隔离（从访客SSID接入后尝试访问教务内网地址验证）；检查是否存在私自架设的随身WiFi/私接路由器——排查方法是比对无线控制器关联MAC与入网登记MAC，差额部分由院系信息员5个工作日内认领，无法认领的定位端口后关闭。•实验室物联网设备：摄像头、打印机默认口令必须修改；打印任务未经认证即放行的公共打印机（起因：打印队列开放→攻击者远程投送恶意打印任务→耗材损耗+社会工程诱饵）应关闭公网访问。3.4日志与监测能力排查日志是事后追溯的唯一依据，也是等级保护测评的必查项。核查内容：1.关键设备（防火墙、核心交换、VPN、邮件、教务系统）日志是否统一汇聚至日志平台，留存时长是否≥6个月（《中华人民共和国网络安全法》第二十一条对网络日志留存有不低于六个月的要求）。2.抽查近30天日志：是否存在单账号凌晨批量登录失败（暴破迹象）、单终端对外扫描行为（肉鸡迹象）。发现失陷终端立即断网取证，按第六章应急流程处置。四、管理风险排查技术排查只能覆盖已知的面，管理制度漏洞往往才是根因——大量校园安全事件复盘显示，“临时账号没人管”“第三方运维权限过大”是反复出现的共性问题。排查项排查方法判定标准账号生命周期VPN/邮箱/业务系统账号与人事、学工数据比对离校人员3个工作日内停用权限最小化抽查5个系统管理员账号的实际操作日志无超范围操作第三方运维管理核查外包人员账号、VPN使用记录、保密协议签署100%有协议+独立账号+操作留痕安全管理制度是否有账号管理、密码策略、应急响应制度文件且3年内修订无制度或过期即记问题项安全意识抽50名教职工做模拟钓鱼邮件测试打开率高于20%即需专项培训管理问题处置原则：制度缺失的，排查结束前由信息化办公室起草并报领导小组审定；账号类问题立行立改，不等报告汇总。五、风险分级与整改计划排查发现的问题必须转化为有责任人、有期限、有验收标准的整改任务，否则排查沦为形式。按三级分类：5.1风险分级判定•高风险（立即处置）：互联网暴露的未授权服务、失陷主机、核心业务系统高危漏洞、大规模弱口令、无有效备份的核心数据。启动权限：发现当日由安全岗直接处置并报领导小组组长。•中风险（限期整改）：等保测评中危项、老旧但仍在生命周期的系统未打补丁、访客网隔离失效、日志留存不足。处置期限30天。•低风险（纳入计划）：拓扑文档滞后、个别终端策略不一致、安全意识薄弱。纳入年度改进计划，下一轮排查复验。5.2整改闭环（PDCA）•Plan：排查结束5个工作日内输出《风险整改清单》（附件2），每项含问题描述、风险等级、整改措施、责任人、期限、验收标准。•Do：责任人按期整改；无法立即整改的（如需采购的系统替换），提交临时缓解措施（如迁移隔离区、加访问控制）并报备。•Check：信息化办公室在整改到期后5个工作日内复验，漏洞项复扫、配置项复核，验收结果书面确认。•Act：整改逾期或复验不通过的，报领导小组约谈责任单位；共性问题转化为制度修订项。每半年组织1次专项复查。六、应急预案与演练排查本身就是探测动作，可能惊动已潜伏的威胁（例如弱口令扫描时触发攻击者的持久化机制提前发作），必须预案先行。6.1事件分级与响应•III级（一般）：单台终端病毒感染、个别账号异常登录。判定标准：影响范围<5台/1个账号。启动权限：安全岗自行处置。处置原则：断网→查杀→溯源→恢复，24小时内在事件台账登记。•II级（较大）：单台服务器失陷、局部勒索加密、教务等单系统不可用。判定标准：影响1个业务系统或5~50台终端。启动权限：信息化办公室主任。处置原则：隔离失陷主机（拔网线/关端口，严禁直接重启——重启可能销毁内存取证证据且触发勒索软件扩大加密范围）、启用备份恢复、评估数据泄露范围并按《中华人民共和国个人信息保护法》评估是否触发个人信息泄露告知义务，2小时内报领导小组。•I级（重大）：核心数据泄露、大面积勒索、全校网络瘫痪。启动权限：分管副校长。处置原则：领导小组统一指挥，必要时断开互联网出口保护内网，向属地网信、公安部门报告，聘请专业应急力量介入，按规定时限履行报告义务。6.2演练要求本次排查结束后1个月内组织1次桌面推演（场景：教务系统遭勒索，演练从发现到恢复全流程），参加人员覆盖信息化办公室全体与院系信息员代表；每学年至少1次实战演练，演练后10个工作日内输出改进报告。附件附件1：校园网资产台账（样表）序号IP地址设备类型位置责任人联系方式操作系统/固件等保级别状态110.x.x.x服务器中心机房张某某138******WindowsServer二级在用23附件2：风险整改清单（样表）序号发现时间风险描述风险等级整改措施责任单位/责任人期限复验结果复验日期1财务系统存在弱口令高强制改密+MFA财务处/张某某x月x日通过2附件3：应急联络通讯录（模板）角色姓名常用联系方式职责领导小组组长重大事件决策信息化办公室主任II级事件启动与指挥安全岗负责人事件处置与溯源网络运营商对接人出口封堵/流量清洗属地网信部门重大事件报告属地公安网安部门涉法事件报告附件4：排查检查表（Checklist）1.资产台账覆盖全部网段并完成3轮扫描比对（□）2.防火墙