学校网络安全排查方案

去年秋天，学校隔壁区一所中学的网络教务系统被拖库，两千多条学生身份信息挂在境外论坛上叫卖。安全查到最后，排查祸根是学校机房一台三年没打过补丁的Windows Server 2008——它一直开着3389端口，密码是网络Admin123。这事之后，安全我们学校信息中心五个人花了三天，排查把全校网络设备翻了个底朝天。学校下面这套排查方案，网络就是安全那次实战攒出来的。

先摸清家底。排查很多学校根本说不清自己有多少个出口IP、学校几台核心交换机、网络哪些服务器还在跑。安全我们当时从防火墙的会话表拉了一份清单，发现有三台设备挂在公网，连资产台账都没登记。做法很简单：登录核心路由，导出ARP表，再配合nmap扫一遍C段存活主机，跟台账逐一比对。对不上的，先断网再查。

边界设备是重灾区。防火墙策略往往几年没人动过，堆了几百条any到any的规则。我们一条条读，发现有一条把内网数据库的1433端口直接映射到了公网，理由是“方便校外查成绩”。这种必须砍掉，换成VPN接入。另外，检查防火墙管理口令是否还是出厂默认，我们真碰到过一台华为USG6000，admin密码没改过。

弱口令排查不用工具不行。用Hydra对全校服务器RDP、SSH、MySQL做了一次低速爆破，字典只用了top 500。结果两台测试机被秒破，密码是“123456”和“admin888”。正式服务器里也有一台OA的数据库口令是“root123”。整改要求：所有系统口令至少12位，大小写加符号，每90天换一次。别嫌麻烦，真出事更麻烦。

终端这块最头疼。老师们的办公电脑、教室里的教学机、图书馆的查询机，系统版本五花八门。我们抽查了120台，Win7还有23台，XP有4台——那4台是控制老式投影仪的，没法升级，只能单独划VLAN，禁止访问互联网。补丁方面，用WSUS强制推送，但总有人关掉自动更新。后来改成组策略，非管理员不能改Windows Update设置。

无线网络得单独说。很多学校一个PSK密码用三年，学生间传得满天飞。我们改成802.1X认证，教师用域账号，学生用学号加动态密码。访客网络彻底隔离，只能出公网，不能碰内网任何设备。另外，关掉WPS，禁用老旧的TKIP加密，只留AES。AP的管理后台默认口令也全改了，之前有一台TP-Link的AP，后台密码还是admin/admin，被学生登进去改了SSID叫“校长是猪”。

日志和监控别指望一步到位。先保证关键设备——防火墙、核心交换、域控——的日志能发到一台syslog服务器上。我们用了台退役的物理机装Graylog，免费够用。设置告警规则：同一IP五分钟内失败登录超过20次，发邮件给管理员。这条规则上线第二周就抓到有人在爆破VPN账号。

最后是流程。排查不是一次性的，每学期开学前必须做一轮。我们做了个Excel检查表，列了47项，从“防火墙策略是否有any-any”到“机房灭火器是否过期”，逐项打勾。谁检查谁签字，出问题倒查。这法子笨，但管用。

那次排查总共整改了63个问题，断网设备7台，重置口令200多个。累，但晚上睡得踏实了。