学校网站安全管理制度

去年冬天，学校某高校的网站教务系统被拖库，两万多名学生的安全身份证号和家庭住址挂在境外论坛上叫卖。事后排查，管理入侵入口是制度学校官网一个三年没更新的新闻发布模块——管理员图省事，后台密码设成了“admin123”。学校这事听着离谱，网站但翻翻教育行业的安全安全通报，类似案例每年都能拎出几十起。管理学校网站不是制度普通企业官网，它挂着招生数据、学校学籍信息、网站财务接口，安全甚至连着校园内网的管理OA系统。一旦被攻破，制度丢的不只是脸面。

很多学校的网站安全，本质上是“没人真管”。信息中心两三个人，既要修电脑又要拉网线，还得应付上级检查。外包给建站公司？合同里写着“负责日常维护”，但实际就是服务器宕机时重启一下。安全？那是另外的价钱。我见过一个职业技术学院，官网首页被篡改成博彩广告，挂了整整三天才被发现——因为那周负责老师出差，没人登录后台看。

要改变这种局面，得从账号管理这个最基础也最要命的环节下手。后台管理员账号必须实名绑定到具体的人，禁止共用。离职或调岗当天，账号权限同步注销。密码策略别搞形式主义，强制十二位以上、大小写加符号，每九十天换一次。听起来麻烦，但比起被拖库后写检查、挨处分，这点麻烦不值一提。还有个细节：别用admin、root、test这类默认用户名，攻击者的字典里排在前十位的就是它们。

服务器层面的防护，说穿了就几件事。操作系统补丁别拖，很多入侵利用的都是半年前就公布过的漏洞。Web应用防火墙得装，能挡掉大部分自动化扫描和SQL注入尝试。数据库别直接暴露在公网，学校网站的前端和数据库之间加一层内网隔离。日志要留，至少保存六个月——出事后追查攻击路径，没日志等于抓瞎。我见过一个案例，学校被入侵后想溯源，结果发现日志只开了三天，攻击者什么时候进来的都不知道。

内容发布环节最容易出内鬼。有些学校图方便，给每个科室都开后台发布权限，结果某个老师的账号被盗，攻击者用他的权限上传了webshell。权限得收窄，发布和审核分离，重要栏目比如招生信息、通知公告，发布前必须经过二次审核。文件上传功能要限制类型，别允许上传php、jsp这些可执行文件——这是最老套也最有效的入侵方式之一。

数据备份这事，别等出事才想起来。每周至少做一次全量备份，每天增量备份，备份文件存在不同的物理位置。有个学校被勒索病毒加密了服务器，幸好三个月前的备份还在，虽然丢了些数据，但网站能恢复。要是没备份，就只能交赎金或者重建——重建一个学校网站，从立项到上线，少说两个月。

最后说点实在的。学校网站安全不是技术问题，是管理问题。领导得重视，得给钱给人。安全预算别砍，哪怕每年花几万块买个云WAF、做次渗透测试，也比出事后的公关费用便宜。信息中心的人得定期培训，别指望他们自学——攻击手法半年就换一轮。还有，别把网站安全全押在一个人身上，他请假了、离职了，网站就裸奔。

学校网站挂着几千几万师生的信息，它值得被认真对待。别等数据泄露了才想起来改密码，那时候已经晚了。

最新评论