摘要：目前高校网站普遍存在着网站数量庞大、网站安全状况差、对安全问题不重视等等问题，使网站安全成为高校网络信息安全的短板。文章通过分析高校网站安全的现状及产生的原因，提出通过构建网站信息安全台帐、建立网站安全准入与退出机制、实行安全责任人制度、统一网站建设平台、完善安全技术保障等方式对高校网站安全进行管理，试图为高校网站安全管理提供一些思路和方法。

关键词：网站安全;高校网站;管理模式;网站群

1引言

随着高校信息化程度的提高，网站作为信息交换和信息的重要工具，在高校的教学、科研、管理中扮演着越来越重要的角色[1]。高校除了学校中英文门户网站外，各部处、各院系、重点实验室甚至各实验团队都有自己的网站,大大小小的网站少则几十个多则几百个。由于经费和人员的限制，大部分高校的二级网站都是由二级单位自行建设管理，通过虚拟主机或者主机托管的形式寄存在网络中心。由于网站建设的入门技术门槛比较低，很多二级网站是委托外面的公司或者学生进行建设，技术架构五花八门，有些甚至弄台服务器下载个开源的网站后台就搭建了一个网站，网站开发水平参差不齐，同时也缺乏专业技术人员进行维护，对安全漏洞无法进行整改，导致网站安全事故频发。本文通过华南理工大学网站安全管理的实践及结合其他高校的网站安全管理的办法，探讨如何在目前复杂的安全形势下对高校网站进行安全管理。

2高校网站安全现状

根据《2013中国高校网站安全检测报告》显示，国内高校网站安全检测平均成绩仅为55分，约2/3的高校网站安全状况不及格，存在网站被篡改、植入木马病毒等安全风险,中国高校网站安全普遍存在“网站建设和管理不统一、网站日常维护缺失、对于网站安全不重视、网站信息保护意识差、软件系统漏洞、服务器漏洞”六大安全隐患。为黑客入侵提供了机会。据媒体报道，自2014年4月至2015年3月的12个月间，补天平台上显示的有效高校网站漏洞多达3495个，涉及高校网站1088个。其中，高危漏洞2611个，占74.7%；中危漏洞691个，占19.8%；低危漏洞193个，占5.5%。过去一年间，在被告知网站存在漏洞后，会修复漏洞的高校网站只有35个，仅186个漏洞被修复，96.8%的高校网站完全无视安全漏洞的存在，94.6%的高校网站安全漏洞未被修复。高校网站面临的安全形势非常严峻，随着网站数量不断增加，一方面安全漏洞频出，另一方面却漏洞却长期得不到修复，造成高校网站安全困境的原因究竟是什么，结合我们多方面的调查和研究大体分成以下几方面：

1）网站建设和管理不统一。大部分的高校由于人员和经费问题,二级网站建设都是各个学院二级单位各自负责建设，网站建设的技术和水平参差不齐,导致学校网站安全整体上管理困难。

2）网站维护技术力量缺失。由于大部分二级网站的网站维护人员基本都是进行内容维护,对网站的服务器安全和系统漏洞等没有技术力量进行维护,就算被告知有安全漏洞也不知道怎么去修复，特别是涉及程序代码上的sql注入之类的高危漏洞，更是无从下手，导致高校的漏洞修复率极低。

3）对网站安全不重视。目前大部分网站主办单位相关领导缺乏网络和信息安全责任意识，对网站安全的重要性认识不足，对网站安全漏洞的危害性也认识不足，在没有出安全事故前抱有侥幸的心理。

3高校网站安全管理

高校网站安全面临着重大的挑战，如何在现有情况下对高校网站安全进行高效、统一的管理，经过我们这几年在高校网站安全管理的实践并结合其他高校的经验，从构建网站信息安全台帐、建立网站安全准入与退出机制、实行安全责任人制度、统一网站建设平台、完善安全技术保障等五大方面对高校网站安全管理模式进行探讨，具体如下：

3.1实行网站信息登记制度

构建网站信息安全台帐信息安全台帐是信息安全管理的基础,我们在做网站安全管理的时候,首先需要了解学校到底有多少网站,分别归属于哪些单位管理和建设,网站的用途,网站采用的技术架构,网站服务器的基本情况,网站管理员的情况等等,只有建立了网站信息安全台帐,我们在网站安全管理的时候才能有的放矢,在出现安全故障时才能够快速联系到网站的负责单位和负责人进行相关处理，相关技术漏洞出现后可以及时通知进行补丁修复。建立网站信息安全台帐，是通过每年下发公文要求各单位自行申报自办及下属单位网站，这样可以了解大部分网站的建设信息；另外对于新建网站，在申请开通校外访问端口和学校域名之前必须先进行网站信息登记；

3.2建立网站安全准入与退出机制

网站安全准入是指学校单位在申请自建网站和网站的时候必须经过学校的网站备案和安全检测，确保只有安全性符合要求的网站才可入互联网，从源头就把存在安全问题的网站拒之门外。网站归档退出是针对不再使用的网站或长期无人管理维护的网站而建立的一种退出机制，其目的在于清退无用的网站，减少网站安全风险。同时对于有重大安全隐患的网站采取下线处理，等待整改通过后才允许上线。

3.3明确安全责任主体

实行安全责任人制度学校成立信息安全领导小组,由校领导担任组长,并任命各单位主要负责人是网络与信息安全的第一责任人，负责整个单位的网络和信息安全;明确网站“谁主办谁负责”的责任制度，之前很多单位都对网站安全认识不足或者认为网站安全问题应该归学校相关技术部门管，通过明确责任主体，让各单位开始重视自建网站的安全问题，推动各级单位领导重视网站安全问题，积极配合网站安全漏洞修复。

3.4提供统一网站建设平台

减少安全风险高校早期的网站基本上是各部门委托公司或者找学生利用ASP、JSP等语言开发的动态网站，由于网站管理维护跟不上，加上开发人员水平参差不齐，网站漏洞百出，经常面临被挂木马、SQL注入、脚本漏洞攻击等威胁。[4]在被通报的各类高校网站安全事故中大部分是一些二级单位子网站，高校主网站相对比较安全；遍布在学校各学院、部处、直属单位甚至各实验室的大大小小几十个甚至上百个网站，为高校的网站安全管理带来众多的安全隐患。通过网站群系统，初步实现高校网站的统一部署、分级管理、信息共享和专人维护，改善了原有网站建设中的管理无序、信息孤岛、资源浪费等现象。更为重要的是网站群系统作为学校信息基础平台是由有专业技术力量的信息办或网络中心进行管理和维护；网站群系统作为校级重点安全防护系统，通过第三方的等级保护评测，定期安全巡检等措施保护网站群系统自身的安全。避免了二级单位自建网站缺乏技术力量导致的安全困境。

3.5完善网站安全架构和安全设备

为网站安全管理提供技术保障各类安全技术手段是高校网站安全策略的重要组成部分，通过完善网站安全架构，购买网站安全设备，为网站安全防护提供技术保障；在网站安全部署上一般通过网络防火墙实行内外网隔离方式，网站的管理和端分开部署，管理端部署在内网，端部署在外网，的网站采用静态化的方式，外网访问管理端需要使用VPN进行连接；重要网站前端采用负载均衡设备，应对大规模访问；实行外部存储一天一备，并实行异地备份，以确保网站数据安全；核心的网站应用外部署WAF(web应用防火墙)进行防护,阻止网络攻击和sql注入；重要的静态网站服务器通过采用强认证的网页防篡改系统进行防护,比如主页服务器和网站群系统服务器等。

4结论

高校网站安全管理是一项长期的艰巨的工作。在技术与管理的双轮驱动下，除了文中所述及点外我们还需要通过建立健全的组织体系、管理规章和责任制度，进一步落实国家信息安全等级保护制度，增强安全预警、应急处置和灾难恢复能力，提高高校网站整体安全防护水平。

参考文献：

[1]张庆吉,曹连刚,赵玉秀.高校网站安全问题分析及其对策[J].电子商务,2010(6):58-59.

[2]360互联网安全中心.2013年中国高校网站安全报告[EB/OL].北京：360互联网安全中心.

[3]吕美敬,叶新恩,刘明刚.浅谈高校网站群安全管理与对策分析[J].山东工业技术,2016(9):130-131.

[4]杨建军.基于网站安全的解决方案[J].计算机安全,2011(10):52-56.

作者：陈瑛 单位：华南理工大学