作為國家級(jí)重點(diǎn)中等職業(yè)學(xué)校，我校已經(jīng)有近50年的歷史，龐大的師生隊(duì)伍由5045名全日制中職學(xué)生、1100多名成人高等教育學(xué)生，以及370名教職工隊(duì)伍構(gòu)成。為了幫助每個(gè)學(xué)生找到適合自己的教育，我校師生正尋找著變革的力量，并用信息技術(shù)促進(jìn)著目標(biāo)的達(dá)成。

為實(shí)現(xiàn)學(xué)校教育的跨越式發(fā)展，我校充分把握了教育信息化創(chuàng)新的歷史機(jī)遇，把加快學(xué)校網(wǎng)絡(luò)建設(shè)與應(yīng)用發(fā)展作為突破口，以資源建設(shè)和信息技術(shù)與教學(xué)融合為中心，以機(jī)制建設(shè)和應(yīng)用培訓(xùn)為保障，讓信息化漸漸成為了最有力的教育工具。然而，在移動(dòng)互聯(lián)網(wǎng)、虛擬化、云計(jì)算，以及數(shù)字校園和智慧課堂應(yīng)用不斷融入，我校信息化進(jìn)入“跨越式”發(fā)展階段之后，不可避免的遇到了各類網(wǎng)絡(luò)威脅的困擾。

過去幾年之中，蠕蟲病毒、釣魚網(wǎng)站、基于漏洞的攻擊代碼不斷地被發(fā)現(xiàn)，其增長率持續(xù)攀高，其中，Web威脅已經(jīng)成為學(xué)校網(wǎng)絡(luò)安全最難防范的敵人。為保障學(xué)校網(wǎng)絡(luò)和教育教學(xué)系統(tǒng)的可靠運(yùn)行，我校信息中心在全網(wǎng)統(tǒng)一部署了邊界防火墻，并要求每個(gè)終端必須安全防病毒軟件，這使得我校具備了初步的網(wǎng)絡(luò)安全防范能力。但是隨著混合型威脅的出現(xiàn)，這些網(wǎng)絡(luò)層的安全防護(hù)并不能解決病毒入侵到終端的問題，以Web應(yīng)用為寄居環(huán)境的新病毒還是不斷通過網(wǎng)絡(luò)瀏覽、下載、即時(shí)通訊、電子郵件等方式侵入網(wǎng)絡(luò)，嚴(yán)重影響了正常的教育教學(xué)秩序。

終端安全重在“入口”，安全能否簡(jiǎn)單?

通過調(diào)查，我們發(fā)現(xiàn)，包括我校在內(nèi)的大部分教育行業(yè)用戶，都還在使用傳統(tǒng)的網(wǎng)絡(luò)安全體系，這主要是指：“防病毒系統(tǒng)+防火墻”的方案，但這根本無法抵御Web威脅進(jìn)入網(wǎng)絡(luò)。另外，網(wǎng)絡(luò)威脅的變化也是“傳統(tǒng)安全設(shè)備+人工排查”永遠(yuǎn)跟不上的。新的攻擊隨時(shí)可能發(fā)生，而這些威脅中的90%都來自于并不可信Internet。與此同時(shí)，由于缺乏專家級(jí)的網(wǎng)絡(luò)安全技能，信息中心工作人員的腦力和體力都會(huì)被大量的終端防毒工作蠶食殆盡，無力維新。

網(wǎng)絡(luò)安全人員對(duì)于安全漏洞、病毒的出現(xiàn)早已司空見慣，那么，是讓病毒進(jìn)入到網(wǎng)絡(luò)之后再進(jìn)行絞殺?還是將病毒斬殺在入口處，建造一個(gè)相對(duì)安全性更高、管理更簡(jiǎn)單的內(nèi)網(wǎng)呢?

在重新思考這個(gè)問題之后，我校選擇了后者，這是因?yàn)閷⒉《緮貧⒃谌肟谀茉诟蟪潭壬辖档筒《緦?duì)網(wǎng)絡(luò)的破壞。可是，在隨后的采購階段，又一道難題擋住了項(xiàng)目進(jìn)度。

市面上的安全產(chǎn)品很多，但卻各負(fù)其責(zé)，如果需要所有的防護(hù)功能，就需要購置多臺(tái)設(shè)備。雖然這是許多大企業(yè)構(gòu)建安全架構(gòu)的做法，但這種堆疊式的組網(wǎng)方式缺點(diǎn)也不少。首先，在實(shí)現(xiàn)防毒網(wǎng)關(guān)、防垃圾郵件，入侵檢測(cè)、Web應(yīng)用防護(hù)等安全工作時(shí)，我們只能針對(duì)每個(gè)弱點(diǎn)，相對(duì)應(yīng)的購買設(shè)備，中職學(xué)校難以承當(dāng)過高的購買費(fèi)和后期的服務(wù)費(fèi)。其次，單獨(dú)運(yùn)作的防火墻、垃圾郵件網(wǎng)關(guān)、防病毒網(wǎng)關(guān)、IPS、IDS等過濾和檢測(cè)產(chǎn)品，對(duì)系統(tǒng)管理員的管理工作和設(shè)備控制技能提出了很高的要求。如果某個(gè)中間環(huán)節(jié)的設(shè)備出現(xiàn)故障，或是安全策略不一致，就會(huì)將“木桶效應(yīng)”理論中的短板帶到現(xiàn)實(shí)中。

帶著“安全可以更簡(jiǎn)單”的思考，我們考察了市場(chǎng)上的多功能安全網(wǎng)關(guān)。其中，趨勢(shì)科技Deep Edge 應(yīng)用安全網(wǎng)關(guān)進(jìn)入了試用隊(duì)列，并最終以其同時(shí)加強(qiáng)與簡(jiǎn)化網(wǎng)關(guān)安全的設(shè)計(jì)理念，成為了我校的網(wǎng)絡(luò)安全升級(jí)項(xiàng)目的重要產(chǎn)品。

云安全是實(shí)現(xiàn)簡(jiǎn)單的重要條件

一次次的病毒感染事件正在發(fā)生，這讓我們意識(shí)到，網(wǎng)絡(luò)防御體系不但需要功能豐富的安全產(chǎn)品，更需要主動(dòng)性的防毒架構(gòu)來承載。而趨勢(shì)科技利用了強(qiáng)大的云安全平臺(tái)，以及Web信譽(yù)評(píng)估技術(shù)，可以避免終端接觸到病毒源頭，這樣的防護(hù)設(shè)計(jì)思路才是我們想要的。同時(shí)，趨勢(shì)科技Smart Protection Network也是業(yè)內(nèi)第一個(gè)運(yùn)用大數(shù)據(jù)分析來獲得威脅情報(bào)的網(wǎng)絡(luò)，這確保了我們采購的Deep Edge可以擁有最佳的防御狀態(tài)，遠(yuǎn)離風(fēng)險(xiǎn)。

另外一點(diǎn)，依托云安全技術(shù)的Deep Edge，在產(chǎn)品上的融合特性可以讓學(xué)校用最高的性價(jià)比、最簡(jiǎn)化的策略部署方案實(shí)現(xiàn)安全目標(biāo)。如今，部署在校園網(wǎng)出口的Deep Edge可有效的過濾進(jìn)出網(wǎng)絡(luò)的流量，預(yù)防入侵行為, 過濾網(wǎng)絡(luò)威脅, 查殺病毒。我校的管理員還啟用了產(chǎn)品自帶的VPN, 讓外出的教師、到實(shí)訓(xùn)基地的學(xué)生也可以通過安全加密的管道存取校內(nèi)資源。

當(dāng)安全可以簡(jiǎn)單之后

Deep Edge還可以通過虛擬補(bǔ)丁技術(shù)對(duì)于學(xué)校依然存在的大量Windows XP系統(tǒng)提供防護(hù)，這被事實(shí)證明是一項(xiàng)非常實(shí)用的功能。從產(chǎn)品的試用期我們就感受到了這個(gè)功能的便利之處。當(dāng)時(shí)微軟發(fā)布了一個(gè)安全公告：2963983，其指出當(dāng)前所有主流版本的Internet Explorer瀏覽器(IE6~IE11)均存在0-day(零日攻擊)漏洞，這成為第一個(gè)會(huì)影響Windows XP系統(tǒng)，而不會(huì)被修補(bǔ)的漏洞。

當(dāng)時(shí)，由于這個(gè)漏洞能導(dǎo)致內(nèi)存崩潰，使攻擊者能夠在當(dāng)前用戶賬戶下執(zhí)行惡意代碼，所以會(huì)對(duì)運(yùn)行在教務(wù)、總務(wù)、財(cái)產(chǎn)、財(cái)務(wù)等學(xué)校重要部門中的XP主機(jī)造成威脅。但在漏洞公告后的第二天，還在試用階段的Deep Edge就自動(dòng)接收到了虛擬補(bǔ)丁更新。在無需手工維護(hù)大量終端的前提下，信息中心便利用這項(xiàng)技術(shù)屏蔽了可能來自于外網(wǎng)的入侵行為。而這也是讓我們第一次把“安全可以更簡(jiǎn)單”的想法，落實(shí)到了實(shí)際工作場(chǎng)景中。

有了成功感，膽子就會(huì)更大。在信息中心準(zhǔn)備大規(guī)模部署虛擬化技術(shù)之前，我們查閱了大量的虛擬化安全資料。最終，我們選擇了能夠最緊密整合“VMsafe”API和“VMware vShield Endpoint”API技術(shù)的趨勢(shì)科技Deep Security。“無代理”安全防護(hù)技術(shù)的引用，讓我校在虛擬機(jī)大規(guī)模部署之前，便避免了許多參考資料中提及的“防毒風(fēng)暴”問題，同時(shí)也是我校實(shí)現(xiàn)更簡(jiǎn)單、更智能、更主動(dòng)的網(wǎng)絡(luò)安全防護(hù)的又一次實(shí)踐。