3月12日凌晨两点，校园学校数据中心一台老旧的网络Windows Server 2008机器被扫出472次SSH爆破尝试。值班同事在群里发了截图，安全IP归属地显示境外。整改这台服务器跑着2016年上线的报告教务选课系统，早该退役，校园但一直没人敢动——它上面还挂着三个学院的网络成绩录入接口。

这事不是安全孤例。我翻了过去半年的整改防火墙日志，发现类似的报告高频扫描每周都有，只是校园之前没人盯。校园网的网络问题从来不是“有没有被攻击”，而是安全“被攻击了多久才被发现”。这次整改，整改说白了就是报告补上这个时间差。

一、先把家底摸清楚

我们花了三天做资产盘点，结果不太好看。全网在线设备4872台，其中超过15%运行着已停止维护的操作系统。最老的一台Windows XP机器在图书馆一楼检索区，负责打印查询小票，网管员说“换过硬盘，还能用”。它连的是内网，但内网和办公网之间只有一道ACL规则隔着。

更麻烦的是弱口令。教务系统后台管理员密码是“admin123”，用了四年。问就是“方便记”。这次全部强制改掉，加上了双因素认证。老师们的反应很有意思——有人嫌麻烦，有人说早该这么干。一位老教授专门打电话来问：“以后是不是每次登录都要输手机验证码？”我说是。他沉默了两秒，说“那行吧，安全要紧”。

二、网络分段不是画个图就完事

原来的校园网基本是扁平结构，办公区、宿舍区、服务器区混在一个大二层里。一个学生宿舍的中毒电脑能直接扫到财务处的共享文件夹。这次整改的核心动作是VLAN划分加防火墙策略下沉。

实施那天出了个小插曲。我们把宿舍区和教学区隔开之后，有学生反映“知网打不开了”。排查发现是DNS策略没同步，宿舍区的新网关没放行教育网解析。修了半小时，但暴露了一个问题：任何网络变更都得先跑一遍业务影响清单，不能拍脑袋就切。

现在服务器区单独划了一个VLAN，进出流量默认拒绝，只放行明确需要的端口。教务系统只对校内办公网开放，学生选课走反向代理。这套逻辑不复杂，关键是有人盯着。我们安排了两个研究生助管每天看一次告警日志，发现异常直接丢群里。

三、日志和备份，老生常谈但总有人偷懒

整改前，全校只有三台设备开了完整日志，保留周期7天。现在核心交换机和服务器全部接入syslog服务器，保留180天。备份策略也改了——以前是每周日全量备份到本地NAS，现在改成每日增量加每周全量，异地存一份到隔壁学校的容灾节点。

说个细节。我们测试恢复的时候，发现2019年的一份数据库备份文件打不开，校验失败。没人知道当时是怎么备份的。这件事让我挺后怕的——你以为有备份，其实只是一堆坏文件。现在每次备份完自动跑一次校验脚本，不通过就发短信给管理员。

四、人的问题比技术问题难搞

技术措施两周就能上线，但习惯改变得按学期算。我们做了一次钓鱼邮件测试，发给全校教职工，主题是“2024年度绩效奖金确认表”。点开链接的有217人，提交账号密码的有43人。数据不公开，但给每个提交的人单独发了提醒邮件。

有个学院的行政老师回信说：“我知道可能是钓鱼，但万一真是奖金呢？”这种心态没法靠技术解决。下个月准备搞一次线下演练，把钓鱼邮件、弱口令、U盘摆渡这些场景做成小游戏，通关的发个帆布袋。东西不贵，但比发通知管用。

整改报告写到这里，其实还有很多没写完——无线网络认证方式要换、物联网设备准入还没落地、供应商远程运维的VPN权限需要收紧。但至少现在，凌晨两点的爆破尝试会被自动封禁，值班同事不用再从被窝里爬起来手动拉黑IP了。这算是个开始。