中國教育在線
本周，高校(xiao)招(zhao)生錄取工作陸續開始。在清華大學李兆基大樓內，中國(guo)教(jiao)育和科研計算(suan)機網CERNET網絡運行(xing)部(bu)正(zheng)在執行(xing)一項相關(guan)的重要任(ren)務：高校(xiao)招(zhao)生網站漏洞(dong)掃描的最后檢驗。
這項任(ren)務事關高(gao)校(xiao)招(zhao)生(sheng)的安(an)全(quan)(quan)。據悉(xi)，6月底前，他們需要完成對全(quan)(quan)國高(gao)校(xiao)所有(you)招(zhao)生(sheng)網站(zhan)的兩次安(an)全(quan)(quan)檢(jian)測，以(yi)便為高(gao)校(xiao)招(zhao)生(sheng)充分打好安(an)全(quan)(quan)基礎。
這是CERNET及其運營單位賽爾網(wang)(wang)絡(luo)連續(xu)第(di)六年(nian)協助教育(yu)部開(kai)展全(quan)國普通高校招生(sheng)網(wang)(wang)站(zhan)安全(quan)檢測(ce)工作了(le)。在過去的(de)五年(nian)里(li)，他們對(dui)全(quan)國2000多所(suo)高校招生(sheng)網(wang)(wang)站(zhan)的(de)漏洞(dong)掃描檢測(ce)，使漏洞(dong)存在比例大大下降(jiang)。
一份檢測報告的誕生
或許(xu)很多人不知道，高(gao)招(zhao)錄取(qu)(qu)(qu)的(de)平(ping)穩(wen)有序，與一張大網密切相(xiang)關。從(cong)1999年起，中國教育和科研(yan)計算(suan)機網CERNET開始(shi)支(zhi)持網上高(gao)招(zhao)錄取(qu)(qu)(qu)的(de)試點(dian)工(gong)作(zuo)。從(cong)2002年起，全(quan)國招(zhao)生錄取(qu)(qu)(qu)工(gong)作(zuo)全(quan)部在網上完成，CERNET就是支(zhi)撐(cheng)這項工(gong)作(zuo)的(de)網絡。
除了夯實(shi)基礎(chu)網絡的安全(quan)保障工作，近年，CERNET及其運(yun)營單位賽(sai)爾網絡對高考網絡安全(quan)的服務也逐漸延(yan)伸覆蓋(gai)到應用層(ceng)面。
在6月最受(shou)關注的全國高(gao)考結束后(hou)，7月高(gao)校(xiao)招(zhao)生(sheng)錄(lu)取(qu)工作隨之(zhi)啟動。在高(gao)招(zhao)錄(lu)取(qu)中，高(gao)校(xiao)招(zhao)生(sheng)網站是(shi)學子和高(gao)校(xiao)連接的“橋梁(liang)”。毋庸置疑，高(gao)招(zhao)平(ping)臺的安全保障至關重要，不容(rong)半點閃失。
每(mei)年高考錄取前，高校(xiao)都會對自(zi)己(ji)的(de)(de)相關網(wang)站做(zuo)一次“安(an)全(quan)(quan)體檢”，了(le)解自(zi)己(ji)學校(xiao)招(zhao)生網(wang)站當(dang)前的(de)(de)漏(lou)洞情況，并做(zuo)針對性修補與防護(hu)工作，所依托(tuo)的(de)(de)平(ping)臺便是“招(zhao)生安(an)全(quan)(quan)服務平(ping)臺”。
2018年，在長期(qi)實踐實驗的(de)基礎上(shang)，CERNET開(kai)發建設(she)了(le) “招生安全服務平臺”，專門為高招網站檢測提(ti)供服務。“重點(dian)是要(yao)做好(hao)漏洞(dong)檢驗和(he)報(bao)告(gao)(gao)檢驗。”CERNET網絡(luo)運行(xing)部李鎖鋼(gang)介紹說。每(mei)一(yi)個(ge)掃描到的(de)漏洞(dong)都要(yao)經(jing)過反復驗證才能出現在檢測報(bao)告(gao)(gao)中，每(mei)一(yi)份檢測報(bao)告(gao)(gao)要(yao)經(jing)仔細確認無誤后方能開(kai)放給學(xue)校(xiao)老(lao)師，以此來最大限度地保(bao)障安全，保(bao)證漏洞(dong)信(xin)息(xi)安全送達目標對象(xiang)。
“每年(nian)，我(wo)們都會(hui)根據當年(nian)的新需求對平臺功能(neng)進行優化和升級。”李鎖鋼表示。
高危漏洞大降的背后
數據顯示，經過(guo)5年多(duo)的(de)工作，全國高(gao)(gao)校(xiao)招生網站中(zhong)存在高(gao)(gao)危漏(lou)洞的(de)比例下降了(le)20%左右。漏(lou)洞數量大幅下降的(de)背后(hou)，是細(xi)之又細(xi)的(de)漏(lou)洞掃描和核實(shi)工作。
按照(zhao)要求，高招網站要經過(guo)兩輪(lun)(lun)漏洞(dong)檢測(ce)。第一輪(lun)(lun)掃(sao)描(miao)檢測(ce)后，高校需對照(zhao)安全檢測(ce)報(bao)告對高危漏洞(dong)進(jin)行整改(gai)，并提交整改(gai)報(bao)告。接下來，CERNET團隊再(zai)對照(zhao)整改(gai)報(bao)告進(jin)行第二輪(lun)(lun)掃(sao)描(miao)檢測(ce)，確認高危漏洞(dong)的(de)修(xiu)復(fu)。
“在檢測(ce)流程中(zhong)，漏(lou)洞審核是最花時(shi)間的(de)(de)，”李鎖(suo)鋼表示。由于機器掃(sao)描漏(lou)洞可(ke)能存在誤(wu)報(bao)，同時(shi)，對漏(lou)洞的(de)(de)定級(ji)也(ye)有一定難度，因此(ci)為了確(que)認漏(lou)洞的(de)(de)準確(que)信息，團(tuan)隊需要對所有掃(sao)描出(chu)的(de)(de)漏(lou)洞進行人工驗(yan)證。據統(tong)計，每年需要檢驗(yan)的(de)(de)漏(lou)洞數量龐大，初檢約(yue)(yue)25萬個，復檢約(yue)(yue)5萬個，總(zong)共(gong)達30萬個。
漏洞(dong)驗(yan)證工(gong)作(zuo)不僅需要(yao)耐心，更需要(yao)細心和經驗(yan)。
此前(qian)，團隊(dui)成員劉光磊(lei)在進行(xing)漏(lou)(lou)(lou)洞(dong)驗(yan)證(zheng)時(shi)，發現了某招(zhao)生網站中存(cun)在數據庫系統密碼泄露風險，第一時(shi)間便告知相(xiang)關高校進行(xing)處置。“對于這一類(lei)非(fei)常危險的(de)漏(lou)(lou)(lou)洞(dong)，不必等檢測報告，要在確認(ren)漏(lou)(lou)(lou)洞(dong)的(de)第一時(shi)間就要告知學校。”劉光磊(lei)說。
經過掃(sao)描和(he)修復，招生網站(zhan)的(de)高(gao)危漏(lou)洞每年(nian)都在(zai)減少。但(dan)每年(nian)都會有新的(de)學(xue)校參與(yu)招生工作(zuo)，也會有新的(de)漏(lou)洞暴露出來，因此每一年(nian)的(de)高(gao)招網站(zhan)安(an)全(quan)檢測都要高(gao)度重視(shi)，不容有失。
截至目(mu)前，今年的高(gao)校(xiao)招生(sheng)網站(zhan)安全檢測(ce)工作(zuo)已開展了一個(ge)多(duo)月(yue)，共有2200多(duo)所學校(xiao)在服(fu)務平臺上填(tian)報了2400多(duo)個(ge)招生(sheng)網站(zhan);團(tuan)隊完成(cheng)(cheng)了2200多(duo)位老師(shi)的身(shen)份(fen)認證以(yi)及全部(bu)網站(zhan)的審(shen)核，完成(cheng)(cheng)了約26萬個(ge)漏洞(dong)的驗證，生(sheng)成(cheng)(cheng)掃(sao)描(miao)報告(gao)2400多(duo)份(fen)。
① 凡本(ben)(ben)站(zhan)(zhan)注明“稿件(jian)(jian)來源：中國教育(yu)在(zai)線”的所(suo)有(you)文字、圖片(pian)和音(yin)視頻稿件(jian)(jian)，版權(quan)(quan)均屬本(ben)(ben)網(wang)所(suo)有(you)，任何媒(mei)體(ti)、網(wang)站(zhan)(zhan)或個(ge)人未經本(ben)(ben)網(wang)協議授(shou)權(quan)(quan)不得轉(zhuan)載、鏈接、轉(zhuan)貼(tie)或以其他方式復制發表。已經本(ben)(ben)站(zhan)(zhan)協議授(shou)權(quan)(quan)的媒(mei)體(ti)、網(wang)站(zhan)(zhan)，在(zai)下載使用時必(bi)須注明“稿件(jian)(jian)來源：中國教育(yu)在(zai)線”，違者本(ben)(ben)站(zhan)(zhan)將依(yi)法(fa)追(zhui)究(jiu)責任。
② 本(ben)(ben)站注明(ming)稿(gao)件(jian)(jian)來(lai)源(yuan)為(wei)其他(ta)媒體的(de)(de)文(wen)/圖(tu)等稿(gao)件(jian)(jian)均(jun)為(wei)轉(zhuan)載稿(gao)，本(ben)(ben)站轉(zhuan)載出(chu)于非商業性的(de)(de)教育和(he)科研之(zhi)目的(de)(de)，并不意味著贊同其觀點或(huo)證實其內容的(de)(de)真實性。如轉(zhuan)載稿(gao)涉(she)及版權等問題，請(qing)作者在兩(liang)周內速來(lai)電(dian)或(huo)來(lai)函聯系。