清华大学网络安全

2023年秋天，清华清华大学信息化技术中心截获了一次针对校内邮件系统的大学钓鱼攻击。攻击者伪装成图书馆逾期通知，网络诱导用户点击链接输入账号密码。安全安全团队在17分钟内定位到伪造页面，清华封禁了相关IP。大学这个速度在国内高校里算快的网络，但负责人后来在内部会上说了一句话：“我们防住了这次，安全不代表下次还能这么快。清华”

清华的大学网络安全体系不是一天建起来的。上世纪90年代末，网络校园网刚铺开的安全时候，安全问题几乎没人专门管。清华CERNET（中国教育和科研计算机网）节点设在清华，大学网络中心那批人一边调试路由一边顺手挡一挡扫描，网络这就是最早的“安全运维”。到了2005年前后，蠕虫病毒在校园网里横着走，一台未打补丁的Windows机器上线几分钟就能感染整层楼。那时候才开始有人意识到，靠“顺手”不行，得有专门的人、专门的流程。

现在的架构大概分三层。最底下是基础设施防护，防火墙、入侵检测、流量清洗这些常规手段都有，但清华的特殊之处在于它的网络边界极其复杂——不仅有教学区、宿舍区、实验室，还有大量对外合作的VPN通道和专线。每多一个入口，就多一个需要盯住的地方。中间层是身份认证和权限管理，清华用的是自研的统一身份认证系统，跟校内几百个应用打通。这套系统的好处是集中管控，坏处是一旦出问题影响面极大。所以安全团队对它做了比较严格的审计和监控，登录异常、权限变更都会触发告警。

最上面一层是人的层面。这可能是最容易被忽略的部分。清华每年新生入学都要过网络安全培训，内容不深，就是讲密码怎么设、邮件附件别乱点、公共WiFi别随便连。听起来很基础，但每年总有人中招。2022年有个案例，一位老师的邮箱密码被撞库猜中，攻击者用他的身份给课题组群发了一封带恶意宏的文档。幸好有学生觉得邮件措辞不对劲，截图发给了信息化技术中心，才没造成更大范围的感染。

这件事之后，清华在邮件系统里加了异常行为检测。比如某个账号突然在凌晨三点从境外IP登录，或者短时间内发送大量带附件的邮件，系统会自动限制并通知本人。这种策略不算新鲜，很多企业都在用，但在高校环境里推行有难度——老师们的作息本来就不规律，凌晨发邮件的大有人在。所以阈值调得比较宽，宁可漏报也不愿误伤正常使用。

清华网络安全团队大概二十来人，要覆盖全校十几万师生和数千台服务器。人手永远不够。他们的策略是抓重点：核心数据库、科研管理系统、财务系统这些优先保障，其他部分靠自动化工具和外包服务兜底。这个选择很现实，资源有限的情况下不可能面面俱到。

有个细节挺有意思。清华的网络安全演练不光是技术对抗，还包含社会工程学测试。安全团队会伪装成快递员给院系办公室打电话，说有个包裹需要确认信息，看对方会不会透露内部通讯录。结果每年都有上钩的。这说明技术防护再强，人的环节始终是变量。

国内高校的网络安全水平参差不齐，清华算是第一梯队，但跟头部互联网公司比还有差距。差距不在设备，在人才密度和响应速度。企业安全团队动辄几百人，高校能给二十个编制已经算重视了。所以清华这几年在推一件事：把安全能力做成平台化服务，让院系和实验室能自助接入，减少对安全团队人力的依赖。方向是对的，效果还得再看几年。

很赞哦!（94）