高校数据安全监测平台建设思路-中国教育和科研计算机网CERNET

资讯

校园信息化

技术

资源与应用

产品与装备

信息服务

首页 > 教育信息化 > 校园信息化 > 高等教育

高校数据安全监测平台建设思路

2025-02-18 中国教育网络

　　数据安全监测平台是一套面向全局的数据安全解决方案，它利用平台化的引擎管理、关联分析能力，持续监测应用和数据库的访问风险，对数据资产进行安全评估，防止敏感数据泄露，从而保障数据安全使用。

　　互联网技术的快速发展和教育信息化的不断深入，为高校的发展带来了前所未有的机遇和挑战。高校数字化转型的稳步推进，促进高校在人才培养、科学研究、社会服务、文化传承创新和国际交流合作等多个领域不断创新和发展。数据在高校数字化转型过程中发挥了重要价值，巨量数据支撑着科研、教学、生活管理等各方面的深度融合及高效协同治理，为师生带来了极大的便利。

　　然而，随着教育数据的快速积累和使用，数据安全问题日益凸显。国内教育数据泄露、篡改、滥用等事件频发，不仅侵犯了个人的隐私权，也对组织运营、社会秩序乃至国家安全构成了严重威胁。高校在数字化转型过程中，必须将数据安全和个人信息保护作为重要议题，采取切实有效的技术防护措施，提升师生的数据安全意识和防护能力，为高校的长远发展建立坚实的基础，在数字化时代中保持核心竞争力及创新力。

高校数据安全问题剖析

　　高校作为数据安全保护的重要阵地，已开始逐步加强相关建设工作。然而，大多数高校的数据安全技术防护体系建设尚处于起步阶段。随着数字化转型的不断深入，国内外网络环境日益复杂，加之针对网络数据的威胁手段不断演进，高校的数据安全工作面临着前所未有的挑战。

　　首先，高校存储使用的数据量爆炸性增长。因应数字校园建设，高校上线了大量业务应用系统，涵盖教学科研、人事管理、资产财务和安全保卫等领域，服务对象包括教师、学生、工勤等校内各类人群和大量的校外访问者。应用系统在使用过程中会收集存储大量数据和个人信息，包括教学数据、科研数据以及师生个人信息等。这些数据敏感性强，使用场景广泛，数据的安全可靠极为重要。

　　其次，高校面临的外部攻击威胁持续不断。校园网络通常是一个开放、共享的网络环境，用户群体庞大，活跃度高，遭受的网络攻击也非常多。高校面临的常见攻击威胁有勒索病毒、挖矿病毒、钓鱼邮件、APT攻击等，部分攻击以破坏或窃取有价值的数据为目的，一旦攻击成功，容易在校园网内快速横向传播，对师生的工作和学习造成严重影响。

　　再次，高校应用系统内部系统漏洞层出不穷。高校应用系统建设主要以采购定制化软件的方式为主。由于供应商的安全开发能力参差不齐，导致上线运行的应用系统往往存在安全漏洞。根据教育漏洞报告平台EDUSRC公开的漏洞列表计算统计，2023 年接收到的漏洞数量创历史新高，共有57228个。常见的主要漏洞类型有弱密码、配置信息泄露、逻辑设计缺陷导致的未鉴权或越权访问、接口返回数据无限制等。应用系统的安全漏洞一旦被攻击者恶意利用，可能导致大量数据泄露，造成不可挽回的损失。

　　最后，高校部分师生安全意识淡薄。部分师生和管理者的网络安全意识淡薄，普遍缺乏对网络攻击的防范意识，不能及时有效地应对黑客攻击和病毒入侵，容易成为网络攻击的目标。部分师生缺乏个人隐私的保护意识，在多个平台使用相同的弱密码，随意点击来源不明的链接，在不安全的网站输入个人信息，导致个人信息被窃取。

数据安全监测平台架构设计

　　数据安全监测平台利用流量分析、大数据处理、主动监测和机器学习等技术，实现数据资产管理、安全风险实时监测预警、风险可视化展示及数据泄露事件追踪溯源等功能。平台通过接入应用安全监测、数据库安全监测和数据安全评估等系统，实现多种安全能力统一管理。

　　技术架构

　　数据安全监测平台技术架构主要分成四层，即自下而上由数据源采集层、分析引擎层、安全能力层和可视化展示层构成，见图1。

图1 数据安全监测平台架构

　　其中，数据源采集层包括获取监测目标的网络访问流量数据和系统的数据资产信息。流量数据是被监测的各类业务应用系统和数据库服务器的网络访问流量，通常以流量镜像或安装Agent插件的方式采集，采集流量的设备也可以称为流量探针。数据资产信息主要通过接入目标数据库进行资产扫描，识别数据库中存储的数据资产。

　　分析引擎层是对获取的原始数据进行过滤、归并和实时解析，利用大数据架构，提供数据存储、计算和分析功能。其作用是根据业务需要，提供各类算法模型和特征分析模型，实现数据资产自动识别和数据全流程监测，为上层安全能力的业务分析提供基础数据和计算支撑。

　　安全能力层根据不同的安全能力将分析引擎层相关的分析结果展现出来，包括数据资产梳理、数据分类分级、应用风险监测、数据库风险监测、敏感数据监测、全链路分析和时间溯源等能力。

　　可视化展示层用于直观展示数据安全监测平台核心功能的执行结果，主要包括安全监测风险、应用资产、应用风险和安全评估等展示内容。

　　关键技术

　　数据安全监测平台是面向整个单位的数据流动监测，需要接收并分析处理大量的网络流量和日志数据，从海量数据中识别资产和风险，实现安全监测。平台需要具备以下关键技术。

　　一是数据特征智能识别技术。主要通过数据扫描探测，分析访问流量的数据报文和数据库中的数据字段，依据关键字识别、正则表达式以及自然语言识别等规则匹配技术，实现数据特征的智能识别。

　　二是风险关联分析技术。安全风险分析引擎对数据流量的日志进行收集、存储、计算、挖掘和管理，通过深度学习算法和数据建模技术，自动识别出存在的安全风险。

　　三是全链路流转分析技术。通过对应用访问流量和数据库访问流量的采集、解析，配合相关的日志信息，利用时间戳等信息关联绘制覆盖数据全生命周期的流转视图。

　　四是可视化分析技术。通过可视化分析技术，以安全大数据为基础，辅助数据安全决策，从全局视角提升对安全风险的发现识别和响应处置能力。

数据安全监测平台部署

　　随着高校应用系统的数量不断增加，存储和使用的个人信息及敏感数据数量也会成倍增加，如若不能有效监测和防护，就会存在比较大的数据泄露风险。因此，部署一套数据安全监测平台，整合数据资产管理、应用安全监测、个人信息和敏感数据监测、数据库安全监测和评估等功能于一体，实现学校应用系统的数据流转监测，有助于全面掌握数据分布及流向情况，及时发现存在的数据泄露高危风险。

　　部署模式

　　数据安全监测平台包括监测分析系统、应用安全监测系统、数据库安全监测系统和数据安全评估系统。应用安全监测系统和数据库安全监测系统为接收流量的探针，需采用镜像流量的旁路物理部署模式。旁路物理部署只需在网络设备上配置流量镜像，一方面对应用无感知，另一方面不占用服务器和数据库自身的计算资源，避免影响服务器和数据库正常运行。对部分无法镜像流量的服务器，可采取安装Agent插件的方式采集流量。

　　平台主要功能

　　一是引擎能力集中管理。通过引擎对接和功能打通，实现多个安全产品能力引擎集中管理，提供统一的登录入口和管理维护界面，一站式完成数据安全的管理和运维操作。同时，借助引擎集中管理，能够实现各项安全策略的集中下发，确保平台所有节点安全策略一致性。

　　二是业务资产发现和梳理。基于网络访问流量分析，自动识别应用和数据源，分析业务之间的访问关系和数据流向关系。通过资产目录对资产进行分类管理，全面掌握业务资产情况。

　　三是数据资产管理和分类分级。依托对数据资产的自动发现与核实能力，识别网络访问流量和数据库中的数据字段，形成全局的数据资产列表，实现数据资产的集中管理。结合个人信息分类分级标准以及学校自定义的数据分类分级规则对字段分类分级，识别敏感数据并打标，为后续的监测、管理和保护提供依据。

　　四是数据安全风险识别监测。具备全流程数据流动风险监测能力。通过对应用访问流量监测，实时监测应用访问过程中的敏感数据泄露风险，识别应用系统API接口存在的弱点隐患。通过数据库访问流量监测，针对应用服务器访问数据库行为和数据库运维场景进行监测审计，及时发现越权访问及高危操作行为。结合应用访问和数据库访问，实现全链路数据流转分析功能，通过分析模型结果，串联 “用户一系统一数据”的访问链条，提供直观的数据流转路径，分析发现其中的异常流转行为。

　　五是风险可视化展示。具有多种角度的风险展示功能。从应用资产和敏感数据的角度，全面展示应用资产和涉敏数据的统计信息；从应用风险的角度，按照自定义统计周期全面展示应用存在的风险和弱点；从数据库风险监测的角度，全面展示数据库风险命中的统计情况。

　　应用实践成效

　　数据安全监测平台是一套面向全局的数据安全解决方案，它利用平台化的引擎管理、关联分析能力，持续监测应用和数据库的访问风险，对数据资产进行安全评估，防止敏感数据泄露，从而保障数据安全使用。高校通过部署数据安全监测平台，达到以下实践成效。

　　第一，增强资产管理能力。数据安全监测平台可以解决高校应用系统管理混乱、数据资产底数不清等问题。中山大学部署数据安全监测平台，累计识别近500个应用系统，其中超过300个应用系统涉及个人信息，80余个应用系统涉及敏感个人信息。通过对应用系统的访问流量统计分析，及时发现并处置约50个月平均访问量低于100次的应用系统，有效排除安全隐患。根据监测和扫描结果生成数据资产清单及数据分布地图，随时了解数据的使用情况，掌握数据流动方向，实现全面监管。

　　第二，降低数据泄露风险。根据对用户访问应用、应用访问数据库、运维人员访问数据库等数据访问场景实时监测，识别出应用、用户等主体正常的敏感数据操作行为，精准定位不同主体的异常敏感数据操作行为风险，并自动判断风险级别。中山大学共识别到约80个存在敏感数据使用风险的应用系统，及时跟踪处置异常操作风险行为，将敏感数据泄露风险遏制在萌芽阶段，避免数据泄露造成巨大损失。

　　第三，提高应用系统安全能力。应用系统主要通过API接口对外提供服务和数据，监测平台可以对API接口进行全面脆弱性检测，第一时间修复存在安全隐患的API接口，避免被攻击者恶意利用。通过定期开展数据库安全扫描，识别到数据库存在的安全漏洞，及时通过补丁修复，提高数据库安全性。中山大学共识别到约50个存在API弱点和数据库漏洞的应用系统，通过采取编码修复、补丁加固和防火墙防护等措施，避免弱点漏洞被恶意利用，有效提高应用系统安全性。

　　第四，数据安全事件追踪溯源。针对已发生的数据泄露事件，从应用访问、数据库访问以及数据资产管理多个维度进行深度分析，追溯事件来源，分析事件的疑似责任主体，为事件追责缩小范围，并提供原始证据链条。

　　第五，数据使用逐步规范合规。高级别的敏感数据往往会有比较严格的安全使用规范，通过对数据使用的监测分析，掌握各个业务应用系统的敏感数据在采集、使用、传输、存储、共享和删除等全生命周期过程中的流转情况，能够及时发现整改不符合安全规范的使用场景。持之以恒，数据使用逐步规范，不仅满足法规要求，也能提高整体防护水平。

高校数据安全未来规划

　　众所周知，数据对高校数字化转型的驱动作用至关重要，提高数据安全防护能力，保证数据安全使用是非常重要的工作。面对严峻的数据安全形势，高校应积极探索数据安全建设理念，从组织管理、技术防护和安全运营角度出发，以识别为基础，以防护、检测为核心，以响应处置和常态化持续运营为支撑，构建一体化数据安全防护体系，实现数据全生命周期的安全保护。高校数据安全建设规划应重点做好以下工作。

　　一是建立完善的组织架构及管理制度体系。从组织的战略层面出发，协调好管理层和执行层之间的沟通障碍，统一安全共识。自上而下建立管理制度，为数据安全防护提供制度保障，完善数据分类分级制度，针对不同级别数据制定相应的保障措施。

　　二是技术防护突出重点。技术防护层面按照 “敏感数据安全优先，非敏感数据效率优先” 的原则，优先对敏感数据进行安全保护。按照 “一数一源” 收集敏感数据，避免重复采集；遵循 “最短周期” 存储数据；依据 “最小授权” 处理使用，通过加密、脱敏等技术进行安全保护。

　　三是加强智能化自动响应处置。建设自动化响应与处置能力，针对数据安全监测平台监测发现的风险告警，联动智能应用网关、数据库安全网关以及Web应用防火墙等防护设备进行自动化处置，降低数据泄露风险。

　　“行远自迩，笃行不怠。” 数据安全建设不是一日之功就能实现。高校应深入数据的业务应用场景，由内生力，在数据处理的全生命周期采取相应的保护措施，构建安全的数据使用环境，确保数据安全合规使用。唯有如此，才能实现高校数字化转型安全平稳，为教学、科研和日常管理工作提供有力支撑。

　　来源：《中国教育网络》2024年10月刊

　　作者：李冬阳、姚仁龙（中山大学网络与信息中心）

　　责编：陈永杰

　　特别声明：本站注明稿件来源为其他媒体的文/图等稿件均为转载稿，本站转载出于非商业性的教育和科研之目的，并不意味着赞同其观点或证实其内容的真实性。如转载稿涉及版权等问题，请作者在两周内速来电或来函联系。