在高校網絡安全保障中,梳理網絡安全資產無疑是重要的基礎性工作,也是進行資產管理的前提。在我國著名學府——清華大學的網絡安全建設中,盛邦安全累計幫助清華大學梳理了2000+Web資產,并通過Web資產治理平臺結合OA,實現問題資產及安全事件領導負責任制下的閉環處置,為安全建設提供了有力的支撐。
校園網規?？焖贁U展,資產管理能力不可或缺
清華大學由中華人民共和國教育部直屬,中央直管副部級建制,位列“211工程”、“985工程”、“世界一流大學和一流學科”。清華大學有20個學院,59個系,另加碩士點、博士點、博士后點和科研工作站、校屬企業、附屬醫院等眾多部門單位。
Web 應用無疑對于教學、科研等工作起到了重要的支撐作用,但是對于清華大學信息資產的管理來說,卻是一件”大、繁、重、多“的工作。業務系統、資產量的急速增加對信息安全和運維工作帶來新的挑戰,如何系統化、流程化、體系化、智能化的對信息資產進行有序管理,使信息資產數據化、信息資產清晰可見,是清華大學要考慮的重要問題。
這也是當前教育行業的資產管理所面臨的普遍問題,目前教育行業普遍存在垂直性不強、安全管理薄弱,單位眾多、行業分散,數據資產不清,專職安全人員少或無專職安全人員,單位規模大小不一、資產數量相差較大等問題,對于網絡安全保障是一個巨大的挑戰。
清華大學信息辦實踐證明,信息化安全要做到可知、可感、可控、可查,進行資產梳理,摸清家底、知道自己有什么是第一步。通過資產梳理,可以發現暴露于互聯網的資產風險級別,并梳理內網暴露面、云平臺/實驗室資產、未知資產、僵尸網站等 Web 資產,同時統一規劃出口管控能力,建立資產和責任人對應關系。
高效梳理2000+Web資產,實現安全閉環管理
為了解決 Web 資產管理問題,清華大學決定進一步強化對于資產的梳理,并通過“發現風險-處置風險-復測風險”的方式使風險得以確認解決,將線上線下發現的資產安全事件通過Web資產治理平臺聯動OA,及時發送給院系負責人,實現安全事件處置流轉管理的閉環。同時,完善安全運營中心能力,從資產上線、7*24小時安全運行狀態監測到發現資產風險并預警、應急響應處置完成階段性的資產生命周期治理,形成一套有效的基于資產的安全風險閉環管理機制。
盛邦安全基于以資產為核心的安全治理”五步法“方法論,結合清華大學實際情況,設計規劃了目前的方案:
第一步:從核心設備鏡像雙向網絡流量分流到分布式部署的Web資產治理平臺(RayGate);通過登記核查,收集可信資產信息并進行備案;Web資產治理平臺通過自學習引擎,自動從流量中分析出對內、對外提供服務的Web資產,記錄諸如域名、IP、端口、資產名稱及狀態、ICP備案等數據,將兩者進行對比,建立可信資產臺賬。
第二步:對資產屬性信息進行完善,探測業務系統指紋信息、收集業務歸屬責任人等備案信息,對資產狀態進行畫像。
第三步:對新申請上線的資產、云平臺資產、實驗室資產等進行上線前體檢,發現脆弱點,整改加固,實現對外提供服務的“準出控制”。
第四步:定期對資產進行風險識別,發現脆弱點,整改加固; 周期監控、發現篡改、暗鏈、WebShell攻擊等突發安全事件。
第五步:重大突發事件時,通過和安全設備聯動實現應急響應、一鍵斷網等快速應急處置。
通過方案運行和落地實施,盛邦安全協助清華大學梳理了2000多個Web資產,幫助清華大學建立了以資產為核心的清晰的資產臺賬;以邊界為區域,梳理對內對外提供服務的資產;以資產分類為條件,實現安全風險的精準預警;以流程為約束,實現安全風險的閉環處置，實現資產看得見、摸得著、管得住、把得牢。
此外,清華大學還通過盛邦安全Web資產治理平臺(RayGate)結合OA,實現了問題資產及安全事件領導負責任制下的閉環處置,從而確保對于Web資產的高效監控與管理,將安全風險消滅在萌芽狀態。