安全跟我学｜高校零信任网络安全体系建设实践与探讨

随着高校信息化建设的不断推进，安全威胁和攻击手段不断升级和变化，高校网络面临的安全风险和威胁也在不断增多，传统的安全防护手段已经无法满足高校网络安全的需求。为此，高校需要采取全面、科学、有效的网络安全措施，保障网络安全的可靠性、完整性和保密性。

零信任网络安全体系是当前网络安全领域的重要研究方向和趋势。高校作为信息化建设的重要场所，需要加强对网络安全的关注和投入，积极探索零信任网络安全体系建设。本文从零信任网络安全的基本理念和原则出发，探讨了高校零信任网络安全体系建设的必要性和重要性，介绍了零信任网络安全的核心技术和手段，并提出了在高校零信任网络安全体系建设过程中需要注意的关键问题和应对策略，为高校网络安全建设提供了参考和借鉴价值。

零信任网络安全是一种基于设备和用户不受信任的网络安全模式，其核心理念是“不信任、始终验证”。在零信任网络安全模式下，用户和设备需要进行全面验证和审查，每个用户和设备都需要获得访问权限，且访问权限需要经过多重身份验证、授权和审批。如果用户或设备的身份无法被验证或审批，则不能访问网络资源。

零信任网络安全体系建设需要遵循以下原则。一是最小特权原则,是指用户和设备仅能获得必要的访问权限，而不是全盘接受访问权限。该原则可以最大程度地减少攻击面，提高网络安全的可靠性。二是实时监控和响应原则,是指对网络流量和安全事件进行实时监控和响应，发现问题立即处理，防止恶意攻击扩散。三是多层次验证和审批原则,是指用户和设备在进行访问时，需要经过多重身份验证和授权审批，以保证访问的合法性和安全性。

随着高校信息化建设的不断推进和互联网的普及，高校网络面临的安全风险和威胁也越来越多。例如，DDoS攻击、恶意软件攻击、漏洞攻击等攻击手段不断升级，这些攻击不仅能够破坏高校网络系统的正常运行，还会泄露高校重要的教学、科研和管理信息，对高校的声誉和发展造成严重损害。另外，随着云计算、物联网、5G等新技术在高校的普及，高校面临的网络安全风险和威胁也随之不断增加。传统的网络安全结构体系难以满足网络安全防护工作的需要，而零信任网络安全体系为当下高校网络安全体系建设提供了解决方案。例如，通过零信任网络安全体系建设，让学校教职工在校外免插件访问校内业务系统，实现外网安全接入校内、访问过程单点登录无感知等。如图1所示。

图1  零信任安全体系下，校外用户访问学校网络系统

1.高校零信任网络安全体系建设的必要性

零信任网络安全体系采用多层次验证和审批、实时监控和响应等措施，可以有效防止未经授权的访问和恶意攻击，提高网络安全等级和保障高校信息的安全性和完整性。同时，采用最小特权原则，可以有效降低攻击面，防止网络攻击和漏洞利用，降低高校面临的网络攻击风险。另外，该安全体系可以保护学校重要的教学、科研和管理信息，防止信息泄露和损失。例如，在运维及敏感资源安全访问时，IT运维、第三方运维人员在校外远程接入校内网络进行运维操作，教职工在校外访问校内敏感业务系统如财务系统等，又或者通过C/S架构系统访问校内业务系统等，这些操作对访问安全要求较高，零信任网络安全体系能够带来安全和便捷的体验。高校作为信息化建设的主力区域，建设零信任网络安全体系强化信息化建设的安全保障非常有必要。如图2所示。

图2  零信任安全体系下，远程访问学校网络系统

2.高校零信任网络安全体系建设的重要性

学校信息化建设需要有一个安全、可靠的网络环境来支撑和推动，零信任网络安全体系可以为信息化建设提供一个安全、可靠的网络环境，促进学校信息化建设的发展。另外，零信任网络安全体系建设可以为学校网络安全管理提供一套完整、科学的管理体系，规范和提升高校网络安全管理水平。最后，高校信息安全意识需要得到重视和培养，零信任网络安全体系建设可以提高学校师生的信息安全意识和能力，为学校信息安全文化的建设和发展提供支持和保障。终上所述，零信任网络安全体系在高校网络安全体系建设中具有非常重要的意义。

零信任网络安全体系作为新兴的网络安全体系，有其独特的核心技术进行支撑。根据实现思路及运行原理，零信任网络安全体系大致可以分为多层次验证和审批、实时监控和响应、数据分类和隔离、网络边界防护和内部安全防护四个方面的技术路线。各技术之间相辅相成，成为零信任网络安全技术体系不可分割的一部分，为提高网络安全水平，确保高校网络的稳定、可靠和安全运行保驾护航。

1.多层次验证和审批

零信任网络安全体系建设的核心理念是“不信任，只验证”，即不信任任何一台设备、任何一位用户，只有通过多层次的验证和审批，才能够获得访问权限，主要有身份验证、设备认证、应用访问控制及数据访问控制四道关卡。其中，身份验证是零信任网络安全体系建设的第一道关卡，用于确认学校用户的身份和权限，采用用户名密码、双因素认证、生物特征识别等方式部署；设备认证是零信任网络安全体系建设的第二道关卡，用于确认设备的身份和完整性，采用数字证书、设备指纹、安全芯片等方式部署；应用访问控制是零信任网络安全体系建设的第三道关卡，用于确认用户对应用的访问权限，采用基于角色的访问控制、基于策略的访问控制等方式部署；数据访问控制是零信任网络安全体系建设的第四道关卡，用于确认用户对数据的访问权限，采用基于标签的访问控制、基于内容的访问控制等方式部署。通过多层次验证和审批，零信任网络安全体系可以实现精细化的访问控制，有效防止未经授权的访问和恶意攻击。

2.实时监控和响应

实时监控和响应是零信任网络安全体系建设的另一个核心技术，可以分为网络流量监控、安全日志监控以及实时响应三个方面。网络流量监控可以实时监控网络流量，识别异常流量和恶意流量，及时发现网络攻击和威胁。安全日志监控可以实时监控安全日志，识别异常日志和恶意日志，及时发现安全漏洞和威胁。实时响应包含自动化响应及人工响应。自动化响应是通过自动化工具和流程，及时对安全事件进行响应和处理，提高响应速度和效率，而人工响应在必要时，可以通过人工介入的方式进行响应和处理，确保安全事件得到及时解决。实时监控和响应可以帮助高校建立快速响应机制，有效应对各种安全威胁和攻击。

3.数据分类和隔离

数据分类和隔离是零信任网络安全体系建设中不可或缺的技术，它主要包含对数据进行分类和隔离两个方面的操作。数据分类是指将数据按照重要性和敏感性进行分类，对不同级别的数据采取不同的安全措施。数据隔离是指将不同级别的数据隔离开来，避免不同级别的数据混在一起造成安全风险。通过数据分类和隔离，高校可以有效保护各类重要数据的安全性和隐私性。

4.网络边界防护和内部安全防护

网络边界防护和内部安全防护是零信任网络安全体系的重要组成部分。网络边界防护通常采用防火墙技术，根据规则限制进出网络的数据流量，防止不安全的网络流量进入网络。另外，配合入侵检测系统（IDS），可以实时检测网络流量中的安全事件和威胁，及时发现并报告安全漏洞和攻击。内部安全防护通常体现在权限管理方面，通过对用户和设备进行权限管理，避免未授权的用户和设备访问系统和数据。另外，还需要为安全技术人员提供安全培训和教育，提升相关人员的安全意识，减少安全漏洞和风险。

虽然零信任网络安全体系可以提高高校网络安全的保护水平，但其建设过程中也面临一些挑战，主要体现在以下几个方面。

1.需要引入大量的安全技术和设备，投入大量资金和人力资源，建设成本较高。高校主要任务是教学和科研，要在此之外来建设零信任网络安全体系，对于整个学校的发展规划和资金投入，以及学校的领导管理层的决策而言，都是非常大的考验。

2.涉及多种技术和设备，技术难度较大，需要专业技术团队进行规划和实施。目前，学校从事网络安全技术的人员相对较少，大部分都是原来从事信息化建设或者网络运维的技术人员兼职，专业技术能力尚且不足。

3.需要对用户进行多次验证和审批，可能会对用户体验产生一定影响。学校用户主要分为教职员工和学生，对于系统的使用存在一定的思维惯性，对于系统的操作不熟练，需要时间来逐渐适应和熟悉新建设的零信任网络安全体系。

4.零信任网络安全体系建设过程本身也可能面临一些安全威胁，如黑客攻击、数据泄露等。另外，该安全体系建成后，在使用过程中也存在安全问题，如安全设备本身存在安全漏洞，师生等用户安全意识不足或管理人员操作不规范造成的安全隐患等。

面对零信任网络安全体系建设中存在的挑战，需提前做好应对措施，可从以下几个方面着手。

1.面对建设成本高的问题，学校可以通过合理规划、分阶段建设方式降低建设成本，同时借鉴其他院校的建设管理经验，在充分调研并对产品具有相当了解的情况下，再开始实施，从而少走弯路，避免资金投入后不见成效或者成效甚微的情况发生。另外，还可以引入云安全、安全服务等方式，共享安全资源和服务，减少建设成本。

2.面对技术难度大的问题，学校可以通过与专业安全厂商合作、引入专业团队等方式解决技术难题。充分与厂商合作，取得技术支持，是零信任网络安全体系建设项目成功的必然条件，也是使该安全体系完美发挥作用的不二选择。

3.在学校师生网络体验方面，学校可以通过收集师生反馈，通过不断优化用户验证和审批流程、提高验证速度等方式，减少对用户体验的影响。这是一个长期改进和习惯的过程，也是学校师生不断形成和提高网络安全意识的过程。学校管理和提供服务的部门也应认识到该项工作的长期性和艰巨性，既要提高服务意识和技术水平，又要任劳任怨，不辞辛苦地为广大师生做好解答服务工作。

4.对于零信任网络安全体系在建设过程和使用过程中存在的安全问题，学校可以采取多种措施，如加强对安全设备和系统的管理、实施安全培训和教育、定期评估和审计系统安全等，以提高系统的安全能力。

零信任网络安全体系是一种新的网络安全防御理念和技术，通过多层次验证和审批、实时监控和响应、数据分类和隔离、网络边界防护和内部安全防护等技术和手段，提高学校网络安全的防护水平。虽然零信任网络安全体系建设面临一些挑战，但是可以通过合理规划、引入专业团队、优化用户体验、加强系统管理等方式克服。学校需要认识到网络安全的重要性，采取科学合理的安全防范措施建设零信任网络安全体系，并不断加强对网络安全的投入和管理。同时，也需要加强安全教育和培训，提升学生、教师和管理员的网络安全意识和能力，共同保障学校网络安全和信息化建设的健康发展。

来源：《网络安全和信息化》杂志

作者：成都医学院 陈跃辉

（本文不涉密）