中國教育在線
5月31日，距2022年全國(guo)高(gao)考還有6天。在清華(hua)大學李兆基(ji)大樓內，中國(guo)教育和科(ke)研計(ji)算機網CERNET網絡運行部正在執行一項重(zhong)要(yao)任務(wu)：高(gao)校招生網站漏洞掃描。
6月底前，他們需要完成對全國高校所有招生網(wang)站(zhan)的兩次安全檢測，以便(bian)為即將(jiang)到來備受矚目的高考(kao)招生打好安全基礎(chu)。
這(zhe)是(shi)CERNET連(lian)續第六年(nian)協助教育部開(kai)展全(quan)(quan)國(guo)普(pu)通高校(xiao)招(zhao)生網(wang)站(zhan)安全(quan)(quan)檢測(ce)工作(zuo)了。具體(ti)執行(xing)這(zhe)項任(ren)務的(de)(de)(de)是(shi)CERNET網(wang)絡運(yun)行(xing)團隊。在過去(qu)的(de)(de)(de)五年(nian)里，他們對(dui)全(quan)(quan)國(guo)2000多所高校(xiao)的(de)(de)(de)招(zhao)生網(wang)站(zhan)進(jin)行(xing)了漏洞(dong)掃描(miao)檢測(ce)，使高招(zhao)網(wang)站(zhan)的(de)(de)(de)漏洞(dong)存在比例大降。由于這(zhe)一工作(zuo)的(de)(de)(de)突(tu)出貢獻，相關(guan)部門先后兩次發來(lai)感謝信(xin)。
一份檢測報告的誕生
或許很多人不知道，高招錄取的平穩有序，與一張大網(wang)(wang)(wang)密(mi)切(qie)相關。從1999年起，中國教(jiao)育和科研計算機網(wang)(wang)(wang)CERNET開始支(zhi)持網(wang)(wang)(wang)上高招錄取的試(shi)點工作(zuo)。從2002年起，全(quan)國招生錄取工作(zuo)全(quan)部在網(wang)(wang)(wang)上完成(cheng)，CERNET就是支(zhi)撐這項工作(zuo)的網(wang)(wang)(wang)絡(luo)。
除了夯(hang)實基礎網絡(luo)的安全(quan)保(bao)障工作，近年，CERNET對高考網絡(luo)安全(quan)的服務也逐漸延伸(shen)覆蓋(gai)到(dao)應用層(ceng)面。
在(zai)6月最受關(guan)注的(de)全(quan)(quan)國高考結束后，7月高校(xiao)招(zhao)生錄取工作(zuo)隨之(zhi)啟動。在(zai)高招(zhao)錄取中，高校(xiao)招(zhao)生網站是學(xue)子和高校(xiao)連接的(de)“橋梁”。毋庸置疑，高招(zhao)平(ping)臺的(de)安全(quan)(quan)保障(zhang)至關(guan)重(zhong)要，不容半點閃失。
每年(nian)高考(kao)錄取前，高校都會對自己(ji)的(de)(de)相關(guan)網站(zhan)做一次“安(an)全(quan)體檢(jian)”，了解自己(ji)學校招生網站(zhan)當前的(de)(de)漏洞情況，并做針對性修補與防(fang)護工作，依托的(de)(de)平(ping)臺便是“招生安(an)全(quan)服務平(ping)臺”。
2018年，在(zai)長期實(shi)踐實(shi)驗(yan)(yan)的基(ji)礎上，CERNET開(kai)發建(jian)設了(le) “招生安(an)全服務(wu)平臺”，專門為(wei)高招網站檢(jian)(jian)測(ce)提供服務(wu)。“重點(dian)是要(yao)做好漏洞(dong)檢(jian)(jian)驗(yan)(yan)和報(bao)告(gao)(gao)檢(jian)(jian)驗(yan)(yan)。”CERNET網絡(luo)運行部李鎖鋼(gang)介紹說。每一(yi)個掃(sao)描到的漏洞(dong)都要(yao)經過反復驗(yan)(yan)證(zheng)才能出(chu)現在(zai)檢(jian)(jian)測(ce)報(bao)告(gao)(gao)中(zhong)，每一(yi)份檢(jian)(jian)測(ce)報(bao)告(gao)(gao)要(yao)經仔細確(que)認無誤后方能開(kai)放給學校老(lao)師，以(yi)此來最大(da)限度地保障安(an)全，保證(zheng)漏洞(dong)信息(xi)安(an)全送(song)達目標對象。
“每年，我們都會根據當年的新需求對(dui)平(ping)臺(tai)功(gong)能(neng)進行(xing)優化(hua)和升級(ji)。”李鎖鋼表(biao)示(shi)。
高危漏洞大降的背后
經(jing)過5年多的(de)工作，數(shu)據顯(xian)示，全(quan)國(guo)高校招生網站(zhan)中存在高危(wei)漏(lou)(lou)洞的(de)比例下(xia)降了20%左右。漏(lou)(lou)洞數(shu)量大(da)幅下(xia)降的(de)背(bei)后，是細之又細的(de)漏(lou)(lou)洞掃(sao)描和核實工作。
按照要求，高(gao)(gao)招網站(zhan)要經(jing)過(guo)兩輪(lun)漏洞檢(jian)測。第(di)一(yi)輪(lun)掃描檢(jian)測后，高(gao)(gao)校需(xu)對照安全檢(jian)測報告(gao)對高(gao)(gao)危漏洞進行整(zheng)(zheng)改，并提交整(zheng)(zheng)改報告(gao)。接(jie)下來，CERNET團(tuan)隊再對照整(zheng)(zheng)改報告(gao)進行第(di)二輪(lun)掃描檢(jian)測，確認高(gao)(gao)危漏洞的修復。
“在檢測流程中，漏(lou)洞(dong)(dong)審核是最花時間的，”李鎖鋼表示。由于機器掃(sao)描(miao)漏(lou)洞(dong)(dong)可能存在誤報(bao)，同時，對漏(lou)洞(dong)(dong)的定級(ji)也有一定難度，因此為了(le)確(que)認漏(lou)洞(dong)(dong)的準確(que)信息，團隊(dui)需要對所有掃(sao)描(miao)出的漏(lou)洞(dong)(dong)進行(xing)人工(gong)驗(yan)證。據統計，每(mei)年(nian)需要檢驗(yan)的漏(lou)洞(dong)(dong)數量(liang)龐大(da)，初檢約25萬(wan)(wan)個(ge)，復檢約5萬(wan)(wan)個(ge)，總共達30萬(wan)(wan)個(ge)。
漏(lou)洞驗證工作不僅需要耐心，更(geng)需要細心和經驗。
幾天前，團隊的劉(liu)光磊在進(jin)(jin)行漏(lou)洞驗證時，發(fa)現了某(mou)招生網站中存在數據庫系統(tong)密碼泄露風險，第(di)一(yi)時間便告(gao)知(zhi)相(xiang)關高校(xiao)進(jin)(jin)行處(chu)置。“對于(yu)這一(yi)類非(fei)常危險的漏(lou)洞，不必(bi)等檢測報告(gao)，要(yao)在確認漏(lou)洞的第(di)一(yi)時間就要(yao)告(gao)知(zhi)學校(xiao)。”劉(liu)光磊說。
經過(guo)掃(sao)描和修復，招生網站的高(gao)(gao)危漏洞(dong)每(mei)年都在(zai)減少。但每(mei)年都會有(you)新(xin)的學(xue)校參與招生工作，也會有(you)新(xin)的漏洞(dong)暴露出來，因此每(mei)一年的高(gao)(gao)招網站安全檢測(ce)都要高(gao)(gao)度重(zhong)視，不(bu)容有(you)失。
疫情下的堅守
“高(gao)招(zhao)漏洞掃描時(shi)間(jian)緊，任(ren)務急”，李鎖鋼表示(shi)，“在7月招(zhao)生季到(dao)來前，高(gao)校招(zhao)生網站的檢(jian)測工作必須圓滿安(an)全完成。”
今年更加特殊的(de)是(shi)疫情反撲(pu)后的(de)挑(tiao)戰。5月(yue)，北京疫情加重，因為疫情防控需要，CERNET網絡中心辦公(gong)所在的(de)清(qing)華大學要求(qiu)以(yi)最少入校(xiao)人(ren)員提供保障。因此，安全團隊只有1人(ren)留守辦公(gong)地點。其他團隊成員居家辦公(gong)，通過協(xie)同工作平臺，大家分工合作，配合有序執(zhi)行任務(wu)。
截至(zhi)目前，今年的(de)高(gao)校招生網站(zhan)安全(quan)檢測工作(zuo)已開展了(le)(le)(le)十多天(tian)，共有(you)2000多所學校在服(fu)務平臺上填報了(le)(le)(le)2246個(ge)招生網站(zhan)；團隊完成了(le)(le)(le)2000多位用戶的(de)身份(fen)認證以及2178個(ge)網站(zhan)的(de)審核，完成了(le)(le)(le)3萬多個(ge)漏洞的(de)驗證，生成掃描(miao)報告(gao)900多份(fen)。
進(jin)入(ru)6月，更多的檢(jian)測(ce)工作有待(dai)完成。
“招(zhao)生(sheng)網站的安(an)全防護是一(yi)項(xiang)艱巨的政治任(ren)務，意(yi)義重(zhong)大。教育部(bu)目前(qian)正(zheng)部(bu)署(shu)開展2022高(gao)考(kao)護航(hang)(hang)行動，我(wo)們(men)(men)承擔的招(zhao)生(sheng)網站安(an)全檢(jian)測工(gong)(gong)作(zuo)(zuo)無疑也(ye)是高(gao)考(kao)護航(hang)(hang)行動的重(zhong)要(yao)組成部(bu)分。”李鎖鋼(gang)表示(shi)，“正(zheng)因(yin)為(wei)意(yi)識到(dao)這項(xiang)工(gong)(gong)作(zuo)(zuo)的重(zhong)要(yao)性，我(wo)們(men)(men)更(geng)要(yao)全力(li)以(yi)赴(fu)，保質保量，竭盡所能完成招(zhao)生(sheng)網站安(an)全檢(jian)測任(ren)務，為(wei)考(kao)生(sheng)們(men)(men)的人生(sheng)航(hang)(hang)途保駕(jia)護航(hang)(hang)。”
① 凡本(ben)站(zhan)注明(ming)“稿(gao)件(jian)來源(yuan)：中國(guo)教(jiao)育(yu)在線(xian)”的(de)(de)所有(you)文字、圖片和(he)音視頻稿(gao)件(jian)，版權均(jun)屬(shu)本(ben)網(wang)(wang)所有(you)，任何(he)媒體(ti)(ti)、網(wang)(wang)站(zhan)或個人未經本(ben)網(wang)(wang)協(xie)議授權不得(de)轉載、鏈接、轉貼或以其他方式復(fu)制(zhi)發表(biao)。已經本(ben)站(zhan)協(xie)議授權的(de)(de)媒體(ti)(ti)、網(wang)(wang)站(zhan)，在下載使用時必須注明(ming)“稿(gao)件(jian)來源(yuan)：中國(guo)教(jiao)育(yu)在線(xian)”，違者本(ben)站(zhan)將依法追究責任。
② 本(ben)站注明稿(gao)件來源為其他媒體的(de)文/圖等稿(gao)件均為轉(zhuan)載(zai)稿(gao)，本(ben)站轉(zhuan)載(zai)出于非(fei)商(shang)業性的(de)教(jiao)育和(he)科研之目的(de)，并不(bu)意味著贊同(tong)其觀點或證實其內容的(de)真實性。如轉(zhuan)載(zai)稿(gao)涉及版(ban)權等問題，請作者在兩周(zhou)內速來電或來函聯系(xi)。