智慧校園安全解決方案
“智慧校園”是教育信息化進入高級階段的表現形式，比“數字校園”更先進。集體知識共融共生、業務應用融合創新、移動互聯網物聯網高速泛在是其重要特征。特別是在互聯網+教育的大環境下，為了更好的發揮智慧化教學服務和智慧化教學管理功能，需要加強智慧校園的網絡安全建設。
校園網絡一旦出現了安全隱患，則會造成網絡中大量資料被泄露、偽造和破壞，造成信息傳遞的中斷，給學校、家庭，甚至社會帶來極大的損失。一方面關系到學校的綜合利益和學校的安全建設合規程度，另一方面關系到社會、家庭、師生的利益；再次，隨著安全法的頒布實施，網絡安全不再是教學教務的業務補充而成了教育教務業務應用自身，智慧校園的網絡安全建設也從滿足自身需要到滿足合規要求上升到合法運營的法律層面。
面臨的挑戰及安全需求
智慧校園面臨的網絡安全挑戰和需求主要包括互聯網出口安全、數據中心安全以及數據安全。
校園網互聯網出口安全需要解決出口邊界訪問控制、入侵檢測與防御、單鏈路故障、提升多鏈路帶寬利用率、師生上網行為管理。
數據中心的安全包括數據中心區與互聯網區之間的網絡邊界安全問題、Web應用層安全問題、應用負載和加速問題、弱口令和漏洞管理問題、云中虛擬化資源池的安全問題、數據安全問題以及校園網安全運維問題。
數據安全問題具體包括數據防泄漏管理、數據脫敏管理、數據庫安全審計以及業務用戶通過瀏覽器經由應用服務到數據庫訪問的合法業務操作的全流程審計。
安全解決方案
※ 互聯網出口安全
在校園網互聯網出口部署出口鏈路負載均衡設備，根據訪問目標自動最優選路，根據鏈路負載、丟包情況等動態選擇鏈路出口可保障出口鏈路穩定性，提升城域網出口帶寬利用率。
在校園網互聯網出口位置部署防火墻、VPN和入侵防御設備，可對教育城域網進行網絡訪問控制、網絡蠕蟲、間諜軟件、溢出攻擊等多種深層攻擊行為進行入侵檢測及過濾等一體化安全防護。
在校園網互聯網出口部署上網行為管理設備，全面了解上網情況和網絡使用情況，包括即時通訊等過濾不良信息，可實現對城域網內師生上網行為的管理與審計、應用流量控制與保障，減少互聯網風險，滿足82號令的合規性需求。
※ 數據中心區安全
在數據中心區與互聯網出口區邊界部署防火墻和Web應用防火墻設備，可對教育云平臺進行網絡訪問控制、網絡蠕蟲等多種攻擊行為進行安全防護。同時，防御以Web應用程序漏洞為目標的攻擊，并針對Web服務器進行HTTP/HTTPS流量清洗，提高Web應用的可用性、性能和安全性，確保Web業務應用安全、可靠地提供服務。
在數據中心區的Web應用服務前端部署服務器應用負載，支持應用引流，分擔應用服務器負載。可以根據應用類型P2P、即時通訊、流媒體、視頻協議等應用引流至高質量鏈路，支持應用服務器負載分擔，針對應用層信息分配流量，提升用戶的訪問體驗。
校園網數據中心區采用云和虛擬化技術實現業務應用的池化，可以很好的滿足業務應用按需擴展、快速服務的需要。在云和虛擬化環境下，安全保障也是一種業務應用，需要按需擴展快速服務。啟明星辰將網絡保障與業務資源池解耦，構建相對獨立的安全資源池，在安全資源池上有選擇性的按需開啟虛擬IDS、虛擬審計、虛擬流量監測、虛擬Waf等安全機制，實現虛機之間、VLAN之間的安全監測功能，保障數據中心區的安全。
在校園網連接互聯網出口區和數據中心區的核心交換機上劃分出一個Vlan設置一個相對獨立的安全運維區，實現全網統一安全運維管理，部署漏洞掃描和管理平臺，實現漏洞發現、驗證、修復、更新的全生命周期管理；部署域間安全策略監控設備，實現不同安全域內系統訪問關系梳理、防火墻策略管理與優化、非法外聯行為監測；部署安全運維堡壘機，結合身份認證系統實現運維人員基于雙因素的唯一身份標識、集中訪問控制、集中審計（加密和非密協議的審計），有效解決一人多賬號、一賬號多人使用等亂象。
※ 數據安全
從數據防泄密DLP、數據庫脫敏、數據庫審計和基于WEB的業務全流程審計幾個方面來保障數據安全。
部署網絡DLP、終端DLP設備，在數據存儲、傳輸和使用過程中，發現并識別敏感數據隱患，確保敏感數據的合規使用，防止敏感數據泄漏的數據安全保護系統，保障數據安全、可控、可用。
部署數據庫脫敏設備，采用數據抽取、數據漂白、動態掩碼等規則進行數據變形和敏感信息處理，保證脫敏前后數據關聯關系和前后的運算關系不變，滿足隱私數據保護合規要求。
部署數據庫審計設備，實時監視與審計數據庫管理員的操作，對數據庫的操作行為進行命令級別的細粒度審計，事故追根溯源，提高數據資產安全，系統管理員操作行為的安全審計。
部署基于Web的業務應用全流程審計設備，對合法的業務操作人員操作Web應用進行業務辦理或查詢操作的全過程實施記錄，實現對業務用戶的Web應用業務操作全流程訪問行為審計與監管，業務辦理和操作層面的安全審計，確保全流程操作行為留痕和數據安全。
如下圖所示：
方案主要價值
方案價值主要體現在如下幾方面：
1)保護互聯網出口的安全穩定，保障校園網的安全。
2)對互聯網出口進行流量和上網權限管理，保障核心業務的穩定性，提高工作效率。集中管控師生的上網行為，滿足國家公安部82號令上網日志留存的合規性要求
3)提供了從網絡層到應用層的一體化防護能力，有效保障L3-L7的安全。
4)以可編排可彈性擴展的獨立安全資源池的方式全面保障校園網數據中心業務應用資源池的安全。
5)實現了教育云平臺的全網入侵檢測、統一安全運維審計、基于Web的全業務流程審計、口令和漏洞的全生命周期管理。
6)提升了數據中心安全防護級別，滿足教育信息安全等級保護安全建設要求。
7)從數據存儲、傳輸、共享審計等多個維度保障數據的安全。