论高校一卡通的全方位安全体系建设

　　高校一卡通系统涉及高校管理的多个层面，用户群体复杂，其系统架构层次化，终端形式多样化，外联单位多。这些情况导致高校一卡通系统在信息安全方面存在固有风险，在当前信息安全形势严峻的情况下，传统的比较单一的防护体系已经不能满足高校一卡通系统信息安全方面的要求，建设高校一卡通系统的全方位安全体系势在必行。

　　一卡通系统是基于信息集成、小额支付、资源管控和身份识别的综合信息化管理系统。一卡通系统是指凡有现金、票证或需要识别身份的场合均采用智能卡来完成，为管理带来高效、方便与安全。校园一卡通系统是高校数字化、信息化建设的重要组成部分，为信息化建设提供全面的数据采集平台，结合管理信息系统和网络，形成数字空间和共享环境。以一卡通系统为平台，充分利用银行的金融服务，最终实现“信息共享、集中控制”。

　　1 高校一卡通系统的体系架构复杂

　　校园一卡通系统包括消费、门禁、考勤、公交刷卡、超市购物、水电费缴纳、图书借阅、银行圈存等功能。按照系统的功能模块划分，一卡通系统可以分为数据中心、卡业务中心、结算中心、消费中心、身份认证中心、管理中心、自助消费渠道、第三方通讯接口和银行结算接口共九大模块。

　　一卡通体系架构的复杂性表现在如下几个方面：

　　(1)一卡通系统中涉及的设备类型多。系统使用的终端设备包括个人电脑、自助业务终端、数据存储设备、应用服务器、Web服务器、卡片识别器、门禁系统、交换机、路由器和光纤转换器等。

　　(2)终端网络环境复杂。系统提供了消费、门禁、考勤、公交刷卡、超市购物、水电费缴纳、图书借阅、银行圈存等功能。不同的功能接口对网络接入的需求是一样的，但是他们所能提供的网络保护能力相差很大。有人管理的网络接入相对安全，无人管理的自助类型设备接入环境零散，有效控制难度大。

　　(3)存在Web访问接口。Web访问接口具有非常好的用户体验，但它也是存在弱点最多，面临威胁最多，最难以防护的环节。

　　(4)外联机构多。一卡通系统不仅需要和银行进行互联互通，还要和多家运营商进行数据交互，至少存在三四家外联机构。因此，与外联机构的边界防护同样需要统一纳入一卡通系统的信息安全防护体系中。

　　(5)设备数量多。一卡通涉及的各种设备加起来有几十台，并且设备存在应用多种操作系统的情况。如何将这些不同硬件类型、不同操作系统的设备纳入系统的安全管理体系将是系统建设的一个难点。

　　2 高校一卡通系统信息安全的固有风险分析

　　(1)设备类型多和数量多导致的固有风险为每种设备、每台设备都存在各自的固有风险，多个小的固有风险可能通过蝴蝶效应形成导致系统无法提供服务的高级系统风险。因此需要针对不同设备类型进行风险控制，部署安全防范设备，实施安全控制措施。

　　(2)终端网络环境复杂的固有风险。一卡通系统要提供有效的在线服务，就必须通过TCP网络与一卡通系统的数据中心、应用中心进行数据交换。对于无人值守的自助服务设备，存在网络非法接入、搭线、数据窃听、非法篡改、身份伪造等固有风险。

　　(3)外联单位多的固有风险。外联单位越多，网络边界的风险就越大。如果与外联单位通过互联网VPN进行交互，同样存在数据泄密等风险。如果与外联单位通过数据专线进行交互，则存在雷击、光纤中断和对方服务器故障等风险。

　　(4)Web应用的固有风险。Web应用的固有风险是有Web应用自身的缺陷、Web应用服务器的固有缺陷、Web应用服务器操作系统和DNS服务提供商的缺陷综合组成的。而这些缺陷可能造成的常见攻击类型包括：注入攻击、跨站脚本攻击、上传假冒文件、非法执行脚本和系统命令、源代码泄露、钓鱼攻击等。攻击的目的包括：非法篡改网页、非法篡改数据库、非法执行命令、资金盗取、系统破坏等。2011年CSDN、天涯社区等国内著名网站发生信息泄露问题，我们必须高度重视Web应用的固有风险在高校一卡通中的存在。

　　(5)高校网络环境的固有风险。高校中一般只有一套内部网络，日常的办公和互联网访问都在同一网络上运行，针对一卡通系统不能做到专网专用，即使采取了VLAN划分、私有地址和部署防火墙等安防设备，外部人员仍然可以通过有漏洞的内网终端以跳板机的方式入侵一卡通系统。

　　3 高校一卡通系统全方位安全体系的建设

　　3.1 建立信息安全管理体系

　　建立持续有效的信息安全管理体系是高校一卡通系统安全管理最重要的事情。信息安全工作具有“七分管理、三分技术”的特点，为保障信息安全工作真正落实到位并持续进行，建立信息安全管理体系。

　　(1)高校一卡通系统涉及的用户群体多，包括学生、老师、学校管理层、第三方等。同时一卡通系统的管理人员也很多，有系统管理员、数据库管理员、网络管理员、财务管理员、图书馆管理员等。这些管理人员各司其职，完成自己的工作，但是他们只是从自己工作的视角来确保系统正常运转，没有从整个系统的层面来进行信息安全的统一管理。因此，首先要建立一卡通系统的管理领导小组，由各个业务部门和技术部门的主要负责领导组成，对整个一卡通系统的信息安全负责，制定一卡通系统的信息安全管理方针政策，建立一卡通系统的访问控制矩阵，严格管理系统管理人员的访问权限。

　　(2)指定专人负责一卡通系统的安全管理工作。专职安全管理员负责制定所有设备、操作系统、数据库和应用模块的安全管理基线，并定期检查基线定义与实际情况的差距，定期进行一卡通的信息安全巡检工作，向一卡通管理领导小组上报信息安全巡检报告。指导相关人员完成系统漏洞的修复、补丁升级等工作，逐步完善一卡通系统的信息安全管理体系。在新设备、新业务投入运行前严格按照基线定义进行安全测试，达到标准以后才能投入运行。

　　3.2 建立信息安全技术保障体系

　　针对高校一卡通系统五大固有风险，采取安全技术措施，部署适当的安全设备，通过技术手段提高一卡通系统的安全风险防范能力。

　　(1)针对终端类型多，部署位置分散的情况，要注意加强对末端线缆的防护，尤其是RJ45双绞线的物理防护，双绞线和自助设备连接的地方要有金属防护罩，外部线缆要穿金属管路，关闭末端交换机上不使用的端口，对终端设备采取IP地址、物理地址和交换机端口绑定的策略。对于特定时段开放的终端访问，要启用时间访问控制策略，禁止在非工作时段的任何操作。

　　(2)与银行、运营商等第三方外联机构的网络通信，尽量租用专线，并且与每个机构要开通两条线路，平时可做流量负载均衡，避免因为线路单点故障造成系统服务的中断。

　　(3)建立完善的数据备份机制。通过对数据库进行双机热备、对操作系统和数据库建立镜像站点、采用磁盘阵列和虚拟带库等大容量存储设备做好一卡通系统的实时备份、增量备份、历史备份。

　　(4)加强Web边界防护。针对Web应用部分，应建立DMZ防护区域。在DMZ区域部署链路负载均衡、异构防火墙、IPS入侵防御系统和WAF网络应用级防护系统。严格限制DMZ区域服务器对一卡通系统数据中心服务器的访问权限，严格执行按需访问，最小授权的访问控制策略。

　　(5)加强终端管理。在所有终端上关闭不使用的端口和服务，部署企业级防火墙或网络硬件防毒墙。建立移动存储设备的管理策略，严格管理移动设备在关键管理终端上的使用，减少因移动终端造成的病毒传播、数据泄露等安全事件发生。

　　(6)搭建一卡通系统的实时监测系统。可以采用开源NAGIOS等监控平台实时监控一卡系统中的网络设备、安全设备、终端设备的连通性，实时监控服务器、存储设备的关键系统指标。同时通过监控平台与短信平台的对接，被监控的任何指标故障都可以通过短信形式实时发送给技术人员和管理人员，确保系统的安全、平稳运行。

　　4 总 结

　　本文通过建立信息安全管理体系和信息安全技术保障体系，搭建了一个适合高校一卡通系统的全方位安全体系，该体系的建设能够极大地提高高校一卡通系统信息安全风险控制的有效性，保证高校一卡通系统的正常运行。