文档信息

修订记录

审批发布

一总则

目的。为加强和规范信息系统安全管理，杜绝非授权的网络资源的访问、使用及控制，确保学校内部网络的安全平稳运行，依据国家有关法律法规以及相关管理规定，特制定本制度。

对象。本管理制度的对象是指支撑信息系统的内部网络系统。

范围。本管理制度适用于的网络安全运维管理。

要求。信息系统网络安全管理制度统一遵循《GB/T 22239-2019信息安全技术 信息系统安全等级保护基本要求》。

二职责与权限

1．网络管理员负责网络结构的调整和维护；网络设备日常监控和管理；负责网络设备以及防火墙设备的安全配置的检查、维护、加固和更新。

2．网络管理员负责网络的安全风险评估检查；网络安全事件的处理；各种网络安全管理流程的制定和维护。

三网络设备的管理

1．应每天通过网管系统对网络设备的运行状态及各种性能指标实时监控，监控内容包括但不限于：CPU及内存利用率，端口状态及数据流量信息等。

2．应定期对网络设备配置信息进行安全检查，对发现的网络设备配置文件中存在的安全脆弱性进行及时的分析与修补，至少半年进行一次。

3．应定期对网络设备IOS版本信息进行检查，对低版本或存在安全漏洞的系统IOS版本进行安全分析和相应的更新，至少半年进行一次。

四网络接入管理

1．核心交换网络区域及关键网络区域应实现网络设备和链路冗余备份，并且定期进行冗余恢复测试，至少每年进行一次。

2．需要通过外部网络访问内网的网络接入应采取专用网络通道方式（专用物理通道或虚拟逻辑通道）。

3．远程用户通过互联网对内部网络资源的访问均应得到授权和批准并通过VPN接入方式，以达到对传输的数据加密保护。

五安全隔离与访问控制

1．内部网络与Internet互联网连接须通过防火墙等安全防护设备进行隔离与控制。

2．应在安全网络区域边界部署安全防护设施（如防火墙），并根据业务访问需求进行访问控制，以实现网络访问服务最小化，（以严格控制其他区域对安全网络区域数据的访问行为），防止非授权访问行为的发生。

六认证加密管理

1．网络系统中应部署统一集中的用户身份认证管理系统，负责管理和维护整个网络系统的用户认证管理。

2．网络系统中应严格限制明文传输敏感信息（用户账号口令信息等），需要采用加密或其他手段进行有效控制，如：采取SSH安全登录方式代替明文的telnet登录方式，或者对telnet的登录方式进行严格控制。

七网络变更管理

1．网络变更包括：网络设备更换、网络线路调整、网络配置修改、网络系统升级等的所有网络变更行为。

2．网络变更都须经过申请，禁止在没有通过审批流程的情况下私自进行网络变更或网络结构调整。

3．针对网络设备的任何配置变更，都应在变更前和变更后做好配置文件的备份工作，并且制定详细可行的回退方案，以应对变更失败时的变更回退操作。

4．所有的网络变更操作都应记录，并且做好网络变更的记录保存工作。

八用户管理

1．网络设备系统的账户管理，包括用户账号的申请、注销及变更，必须按照相关流程执行。

2．入网用户不得从事下列危害单位网络安全的活动：

（1）未经允许，对单位网络及其功能进行删除、修改或增加；

（2）未经允许，对单位网络中存储、处理或传输的数据和应用程序进行删除、修改或增加；

（3）使用的系统软件和应用软件、关键数据、重要技术文档未经主管领导批准，不得擅自拷贝提供给外单位或个人，如因非法拷贝而引起的问题，由拷贝人承担全部责任。

3．入网用户必须遵守国家的有关法律法规和单位的有关规定，如有违反，信息中心将停止其入网使用权，并追究其相应的责任。

4．用户必须做好防火、防潮、防雷、防盗、防尘和防泄密等防范措施，重要文件和资料须做好备份。

九监控管理

1．网络中应部署网络监控系统，对整体网络设备运行实时有效的监控。

2．网络中应部署统一的时钟系统，并且保证时钟的精确程度，以确保网络设备的时钟同步。

十备份与恢复管理

1．应对网络设备的重要数据（网络设备的配置文件和安全设备的安全策略配置文件等）定期进行备份，至少半年进行一次。

2．网络设备的备份策略要满足以下策略：

（1）配置文件的变更前变更后进行完全备份；

（2）备份数据应进行独立安全存储；

（3）备份数据存储时间至少两年以上。

3．应对网络设备配置文件进行定期的检查核对，保证备份文件数据的完整性和可用性。

十一安全事件管理

1.网络系统中应部署安全运维监控系统，对网络系统中所发生的网络安全事件进行监控和预警，定期对网络系统进行漏洞扫描，对发现的网络系统安全漏洞进行及时的修补。

2．对于日常发生的网络安全事件，应按照的事件处理流程处理。

十二无线网络安全管理

1．职工人员使用的无线SSID名称应设定为至少8位。

2．职工人员使用的无线网络禁止开启无线网络的SSID广播。

3．无线网络应采用WPA的加密级别或更高级别。

十三网络安全风险评估

网络安全风险评估至少每年进行一次。

十四网络设备安全配置管理

1．账户

（1）应按照用户分配账号。避免不同用户间共享账号。避免用户账号和设备间通信使用的账号共享。

（2）应删除与设备运行、维护等工作无关的账号。

2．口令

静态口令必须使用不可逆加密算法加密，以密文形式存放。密码的设置符合密码管理的基本要求。

3．认证

设备通过相关参数配置，与认证系统联动，满足账户、口令和授权的强制要求。

4．日志

（1）网络管理员每天通过监控软件查看网络及网络安全设备日志中产生的错误或可疑项。如无法分析判断错误或可疑项，应提交至信息中心安全管理员处，以便安排进行分析处理，处理结果应补充记录到日志检查记录中。各类设备本地日志保留时间根据磁盘空间状况确定，清理重要本地日志前需进行备份。

（2）网络设备及网络安全设备的日志应每三个月进行一次全面的检查，参与日志检查的人员需签字确认。

（3）在有技术手段支持的情况下，应定期进行日志的备份，要求如下：

？ 每月至少一次将网络设备及网络安全设备生成的日志，进行集中备份。可单独备份到光盘介质。

？ 日志备份需保留至少6个月不能被改变，日志的备份介质应存放在安全区域，防止非授权人员查看、拷贝日志资料，避免因为各种原因的损坏导致收集到的相关日志不可用。

？ 除审计人员外，由于工作的需要查看日志备份时，需要进行申请审批后才能查看。

？ 日志的失效:日志在通常情况下，保存6个月之后，可以由网络管理员进行失效处理。如果有设备对日志的保留要求超过6个月，则在超过日志保留有效期后再作失效处理。对于日志保存在介质中，需清空介质中数据后再做处理。

5．软件版本和补丁

（1）设备的软件版本必须处于厂家维护期，如果厂家已不再进行补丁维护，需要及时更新设备版本或者撤换。

（2）网络管理员应根据厂商发布的最新补丁公告进行安全分析，确定在不影响网络系统正常运行的情况下,对存在安全漏洞的设备进行补丁升级。

（3）网络管理员应在厂商的指导下进行设备补丁升级。

6．IP协议安全

（1）基本协议安全

配置路由器，防止地址欺骗。路由器以UDP/TCP协议对外提供服务，供外部主机进行访问，如作为NTP服务器、TELNET服务器、TFTP服务器、FTP服务器、SSH服务器等，应配置路由器，只允许特定主机访问。过滤已知攻击：在网络边界，设置安全访问控制，过滤掉已知安全攻击数据包，例如udp 1434端口（防止SQL slammer蠕虫）、tcp445,5800,5900（防止Della蠕虫）。

功能禁用：

n 禁用IP源路由功能，除非特别需要。

n 禁用PROXY ARP功能，除非路由器端口工作在桥接模式。

n 禁用直播（IP DIRECTED BROADCAST）功能

n 在非可信网段内禁用IP重定向功能。

n 在非可信网段内禁用IP 掩码响应功能

在条件允许的情况下，启用协议的认证加密功能，保证通信安全。

（2）路由协议安全

n 在条件允许的情况下，启用动态IGP（RIPV2、OSPF、ISIS等）或EGP协议时，启用路由协议认证功能，如MD5加密，确保与可信方进行路由协议交互。

n 在网络边界运行IGP或EGP动态路由协议时，配置路由更新策略，只接受合法的路由更新，防止非法路由注入。只发布所需的路由更新，防止路由信息泄漏。

（3）SNMP协议安全

修改SNMP的Community默认通行字，通行字符串应符合口令强度要求。

只与特定主机进行SNMP协议交互

应根据需要确定是否启用SNMP的写（WRITE）功能，无特殊需要时禁用SNMP的写（WRITE）功能。

7．其他安全配置

（1）关闭未使用的接口，如路由器的AUX口。

（2）要修改路由缺省器缺省BANNER，BANNER最好不要有系统平台或地址等有碍安全的信息。

（3）配置定时账户自动登出。如TELNET、SSH、HTTP等管理连接和CONSOLE口登录连接等。

（4）配置CONSOLE口密码保护功能。

关闭不必要的网络服务或功能

？ 禁用TCP SMALL SERVERS

？ 禁用UDP SMALL SERVERS

？ 禁用Finger

？ 禁用HTTP SERVER

？ 禁用BOOTP SERVER

？ 关闭DNS查询功能，如要使用该功能，则显式配置DNS SERVER

8.配置备份和恢复

（1）针对网络设备的配置备份由网络管理员负责，一般在配置完成后或者配置变更前后需要进行备份和记录。

（2）备份所需介质的管理遵循相关安全要求。

（3）如需进行配置恢复，由网络管理员审批后完成恢复并记录。

（4）网络管理员每季度应进行备份记录、备份介质使用情况和恢复记录的整理统计。

9.安全配置维护和定期检查

（1）配置变更前，需要进行审批、测试以及备份。

（2）管理员每年至少一次进行网络设备安全配置的符合性检查，针对检查发现的问题进行处理。

（3）在有技术手段支持的情况下，可使用漏洞扫描工具辅助进行符合性检查。

十五防火墙安全配置管理

1.安全策略配置

（1）在配置访问规则时，源地址，目的地址，服务或端口的范围必须以实际访问需求为前提，尽可能的缩小范围。

（2）防火墙设备必须关闭非必要服务。

2.攻击防护配置

（1）配置访问控制规则，拒绝对防火墙保护的系统中常见漏洞所对应端口或者服务的访问。

（2）对于防火墙各逻辑接口配置开启防源地址欺骗功能。

3.软件版本和补丁

（1）设备的软件版本必须处于厂家维护期，如果厂家已不再进行补丁维护，需要及时更新设备版本或者撤换。

（2）网络管理员应根据厂商发布的补丁公告进行安全分析，确定在必要情况下且不影响网络系统正常运行的情况下，对存在安全漏洞的设备进行补丁升级。

（3）网络管理员应在厂商的指导下进行设备补丁升级。

4.告警配置

配置告警功能：报告防火墙的软硬件故障报警，包括系统内部错误。

5．其他安全配置

（1）对于外网口地址，关闭对ping包的回应。建议通过VPN隧道获得内网地址，从内网口进行远程管理。（若网管系统需要开放，可不考虑）

（2）鉴于目前情况，使用SNMP V2版本对防火墙做远程管理。

（在今后条件具备的情况下，建议升级到SNMP V3版本），去除SNMP默认的共同体名称(Community Name)和用户名。并且不同的用户名和共同体名称对应不同的权限（只读或者读写）。

（3）对防火墙的管理地址做源地址限制。可以使用防火墙自身的限定功能，也可以在防火墙管理口的接入设备上设置ACL。

6.配置备份和恢复

（1）针对防火墙的配置备份由网络管理员负责，应确保重要的防火墙配置变更前以及完成后进行备份和记录，每半年至少进行一次配置备份和记录。

（2）如需进行配置恢复，应由网络管理员审批后完成恢复并记录。

7.日志

（1）防火墙应配置日志功能：

？ 配置记录流量日志，记录通过防火墙的重要的网络连接的信息。

？ 配置防火墙规则，记录重要的防火墙拒绝和丢弃报文的日志。

？ 配置记录防火墙管理员操作日志，如管理员登录，修改管理员组操作，账户解锁等信息。

（2）网络管理员通过监控软件接收网络及网络安全设备日志中产生的错误或可疑项的报警。接到报警后，如果无法分析判断错误或可疑项，应提交至信息中心安全管理员处，以便安排进行分析处理，处理结果应补充记录到日志检查记录中。各类设备本地日志保留时间根据磁盘空间状况确定，清理重要本地日志前需进行备份。

（3）网络设备及网络安全设备的日志应每三个月进行一次全面的检查，参与日志检查的人员需签字确认。

（4）在有技术手段支持的情况下，应定期进行日志的备份，要求如下：

？ 每月至少一次将网络设备及网络安全设备生成的日志，进行集中备份。可单独备份到光盘介质。

？ 日志备份需保留至少6个月不能被改变，日志的备份介质应存放在安全区域，防止非授权人员查看、拷贝日志资料，避免因为各种原因的损坏导致收集到的相关日志不可用。

？ 除审计人员外，由于工作的需要查看日志备份时，需要进行申请审批后才能查看。

？ 日志的失效:日志在通常情况下，保存6个月之后，可以由网络管理员进行失效处理。如果有设备对日志的保留要求超过6个月，则在超过日志保留有效期后再作失效处理。对于日志保存在介质中，需清空介质中数据后再做处理。

十六安全检测管理

1.入网计算机必须有防病毒和安全保密措施，确因工作需要与外单位通过各种存储媒体及网络通讯等方式进行数据交换，必须进行病毒检查。因违反规定造成电子数据失密或病毒感染，由违反人承担相应责任，同时应追究其所在部门负责人的领导责任。

2.所有办公电脑都应安装全省统一指定的趋势防病毒系统，并定期升级病毒码及杀毒引擎，按时查杀病毒。未经信息中心同意，不得以任何理由删除或换用其他杀毒软件（防火墙），发现病毒应及时向信息中心汇报，由系统管理员统一清除病毒。

3. 应定期检查防火墙、防病毒软件等网络安全设备、设施的配置，以防止网络安全设备、设施漏洞对网络及设备安全稳定运行造成影响；每季度对网络系统进行一次漏洞扫描，保证系统运行的安全，对发现的系统安全漏洞进行及时的修补。

十七VPN安全配置管理

1．VPN账户

（1）在访问控制规则中设置不同级别的访问权限。

（2）设置一个用户一次至多可以建立两个连接。

（3）实现同一终端通过VPN连接后不能同时连接互联网。

2.访问控制策略

在配置访问规则时，必须以实际访问需求为前提，尽可能的缩小范围。可参考防火墙安全策略配置中的内容。

3．软件版本和补丁

（1）设备的软件版本必须处于厂家维护期，如果厂家已不再进行补丁维护，需要及时更新设备版本或者撤换。

（2）网络管理员应根据厂商发布的最新补丁公告进行安全分析，确定在不影响网络系统正常运行的情况下,对存在安全漏洞的设备进行补丁升级。

（3）网络管理员应在厂商的指导下进行设备补丁升级。

4.配置备份与恢复

（1）针对VPN的配置备份由网络管理员负责，一般在配置完成后或者配置变更前后需要进行备份和记录。

（2）备份所需介质的管理遵循相关安全要求。

（3）如需进行配置恢复，应由网络管理员审批后完成恢复并记录。

（4）网络管理员每半年应进行备份记录、备份介质使用情况和恢复记录的整理统计。

5.日志

（1）应开启VPN连接日志记录功能，记录VPN访问登陆、退出等信息。

（2）网络管理员每天通过监控软件查看网络及网络安全设备日志中产生的错误或可疑项。如无法分析判断错误或可疑项，应提交至信息安全技术主管处，以便安排进行分析处理，处理结果应补充记录到日志检查记录中。各类设备本地日志保留时间根据磁盘空间状况确定，清理重要本地日志前需进行备份。

（3）网络设备及网络安全设备的日志应每三个月进行一次全面的检查，参与日志检查的人员需签字确认。

（4）在有技术手段支持的情况下应定期进行日志的备份，要求如下：

？ 每月至少一次将网络设备及网络安全设备生成的日志，进行集中备份。可单独备份到光盘介质。

？ 日志备份需保留至少6个月不能被改变，日志的备份介质应存放在安全区域，防止非授权人员查看、拷贝日志资料，避免因为各种原因的损坏导致收集到的相关日志不可用。

？ 除审计人员外，由于工作的需要查看日志备份时，需要进行申请审批后才能查看。

？ 日志的失效:日志在通常情况下，保存6个月之后，可以由网络管理员进行失效处理。如果有设备对日志的保留要求超过6个月，则在超过日志保留有效期后再作失效处理。对于日志保存在介质中，需清空介质中数据后再做处理。

十八附则

对违反本制度的人员，将按照有关规定进行处罚。

本制度由信息安全工作小组负责制定、解释和修改。

本管理制度自发布之日起执行。

信息安全工作小组

2020年10月18日