学校网络安全整改报告和整改措施

上周三凌晨两点十七分，学校我的网络手机突然连续震动七次——是学校机房的入侵检测系统报警。赶到现场时，安全防火墙日志里显示来自境外IP的整改暴力破解尝试已经持续了四十分钟，目标直指教务管理系统的报告教师账号。更棘手的和整是，三天前有学生反映在图书馆公用电脑上登录校园网后，改措个人网盘出现异常访问记录。学校这两件事拼在一起，网络问题已经很清楚了：我们学校的安全网络安全防线，存在结构性漏洞。整改

先说最要命的报告漏洞——弱口令和账号共享。抽查了120个教职工账号，和整有23个密码是改措“123456”或姓名的全拼加生日，比例接近五分之一。学校行政部门的公用电脑更是重灾区，教务处的三台机器用同一个账号登录，谁都能改成绩查询模块的后台数据。这不是技术问题，是管理习惯问题。整改措施第一条，强制启用密码复杂度策略，要求所有账号每九十天强制更换密码，同时对连续输错五次密码的IP自动锁定三十分钟。另外，给每个部门分配独立子账号，操作日志精确到人，谁动了数据直接追溯到具体终端。

第二块硬骨头是老旧设备的漏洞修补。我们学校有六台2016年采购的接入交换机，固件版本停留在三年前，已知高危漏洞多达十一个。这些设备分布在教学楼和宿舍楼的弱电间里，平时没人注意，却是整个校园网的数据交汇点。上周我用漏洞扫描工具跑了一圈，发现其中两台竟然开放着Telnet端口，等于把管理权限裸奔在公网上。整改动作分两步：第一步，立刻禁用所有设备的Telnet服务，统一改用SSH加密协议；第二步，联系厂商升级固件，没法升级的老旧设备直接替换——预算已经报上去，暑假期间会完成全部六台交换机的更换。

还有个容易被忽视的角落是无线网络。学校办公区的Wi-Fi和访客网络共用一个SSID，学生宿舍的无线信号甚至能穿透到行政楼三层。这意味着任何人坐在走廊里，都可能嗅探到办公网内的明文传输数据。我们重新规划了VLAN划分，办公网、教学网、访客网彻底物理隔离，访客网络强制短信验证码认证，每天凌晨三点自动断网重置。另外在核心交换机上开启了DHCP Snooping功能，防止有人私自搭设钓鱼热点。

光靠技术手段还不够，人的因素才是最大变量。上周模拟钓鱼邮件测试，全校教师有三十七人点击了伪装成“教务处成绩核对通知”的恶意链接，占比超过百分之十。这个结果让我挺意外的——平时开会强调过多次，但真正遇到伪装成领导署名的邮件，很多人还是会放松警惕。整改措施里增加了每季度一次的实战化钓鱼演练，演练结果直接通报到个人，连续两次点击钓鱼链接的教职工，需要参加线下的网络安全专题培训。另外，在校园信息门户首页加了一个醒目的“安全举报”按钮，任何人发现可疑邮件或链接，一键上报，两小时内会有专人处理。

别忘了数据备份这个保命环节。去年年底机房一台存储服务器硬盘故障，因为备份策略只做了每周一次的差异备份，导致教务系统丢失了将近两天的选课记录。现在改成每日凌晨两点全量备份，每六小时做一次增量备份，备份数据同时存放在校内另一栋楼的存储阵列和云端对象存储里。上周刚做了一次恢复演练，从裸机到系统完全恢复耗时四小时十七分钟，这个时间还在可接受范围内。

整改不是一次性的动作，得变成日常习惯。我给自己定了个规矩：每周五下午花半小时翻看防火墙日志，重点看有没有异常端口扫描和异常流量峰值。这周发现一个有趣的现象——宿舍区凌晨一点到三点的P2P下载流量占了全网带宽的百分之四十，虽然不影响白天教学，但挤占了视频会议系统的带宽。考虑在流量控制策略里对P2P协议做限速，但需要和学生们解释清楚，不然容易引发抵触情绪。这个事还在和学生会沟通，下周应该能有个双方都能接受的方案。