在高校網絡安全保障中，梳理網絡安全資產(chan) 無疑是重要的基礎性工作，也是進行資產(chan) 管理的前提。在我國著名學府——清華大學的網絡安全建設中，盛邦安全累計幫助清華大學梳理了2000+Web資產(chan) ，並通過Web資產(chan) 治理平台結合OA，實現問題資產(chan) 及安全事件領導負責任製下的閉環處置，為(wei) 安全建設提供了有力的支撐。

　　校園網規模快速擴展，資產(chan) 管理能力不可或缺

　　清華大學由中華人民共和國教育部直屬，中央直管副部級建製，位列“211工程”、“985工程”、“世界一流大學和一流學科”。清華大學有20個(ge) 學院，59個(ge) 係，另加碩士點、博士點、博士後點和科研工作站、校屬企業(ye) 、附屬醫院等眾(zhong) 多部門單位。

　　Web 應用無疑對於(yu) 教學、科研等工作起到了重要的支撐作用，但是對於(yu) 清華大學信息資產(chan) 的管理來說，卻是一件”大、繁、重、多“的工作。業(ye) 務係統、資產(chan) 量的急速增加對信息安全和運維工作帶來新的挑戰，如何係統化、流程化、體(ti) 係化、智能化的對信息資產(chan) 進行有序管理，使信息資產(chan) 數據化、信息資產(chan) 清晰可見，是清華大學要考慮的重要問題。

　　這也是當前教育行業(ye) 的資產(chan) 管理所麵臨(lin) 的普遍問題，目前教育行業(ye) 普遍存在垂直性不強、安全管理薄弱，單位眾(zhong) 多、行業(ye) 分散，數據資產(chan) 不清，專(zhuan) 職安全人員少或無專(zhuan) 職安全人員，單位規模大小不一、資產(chan) 數量相差較大等問題，對於(yu) 網絡安全保障是一個(ge) 巨大的挑戰。

　　清華大學信息辦實踐證明，信息化安全要做到可知、可感、可控、可查，進行資產(chan) 梳理，摸清家底、知道自己有什麽(me) 是第一步。通過資產(chan) 梳理，可以發現暴露於(yu) 互聯網的資產(chan) 風險級別，並梳理內(nei) 網暴露麵、雲(yun) 平台/實驗室資產(chan) 、未知資產(chan) 、僵屍網站等 Web 資產(chan) ，同時統一規劃出口管控能力，建立資產(chan) 和責任人對應關(guan) 係。

　　高效梳理2000+Web資產(chan) ，實現安全閉環管理

　　為(wei) 了解決(jue) Web 資產(chan) 管理問題，清華大學決(jue) 定進一步強化對於(yu) 資產(chan) 的梳理，並通過“發現風險-處置風險-複測風險”的方式使風險得以確認解決(jue) ，將線上線下發現的資產(chan) 安全事件通過Web資產(chan) 治理平台聯動OA，第一時間發送給院係負責人，實現安全事件處置流轉管理的閉環。同時，完善安全運營中心能力，從(cong) 資產(chan) 上線、7*24小時安全運行狀態監測到發現資產(chan) 風險並預警、應急響應處置完成階段性的資產(chan) 生命周期治理，形成一套有效的基於(yu) 資產(chan) 的安全風險閉環管理機製。

　　盛邦安全基於(yu) 以資產(chan) 為(wei) 核心的安全治理”五步法“方法論，結合清華大學實際情況，設計規劃了目前的方案：

　　第一步：從(cong) 核心設備鏡像雙向網絡流量分流到分布式部署的Web資產(chan) 治理平台(RayGate);通過登記核查，收集可信資產(chan) 信息並進行備案;Web資產(chan) 治理平台通過自學習(xi) 引擎，自動從(cong) 流量中分析出對內(nei) 、對外提供服務的Web資產(chan) ，記錄諸如域名、IP、端口、資產(chan) 名稱及狀態、ICP備案等數據，將兩(liang) 者進行對比，建立可信資產(chan) 台賬。

　　第二步：對資產(chan) 屬性信息進行完善，探測業(ye) 務係統指紋信息、收集業(ye) 務歸屬責任人等備案信息，對資產(chan) 狀態進行畫像。

　　第三步：對新申請上線的資產(chan) 、雲(yun) 平台資產(chan) 、實驗室資產(chan) 等進行上線前體(ti) 檢，發現脆弱點，整改加固，實現對外提供服務的“準出控製”。

　　第四步：定期對資產(chan) 進行風險識別，發現脆弱點，整改加固; 周期監控、發現篡改、暗鏈、WebShell攻擊等突發安全事件。

　　第五步：重大突發事件時，通過和安全設備聯動實現應急響應、一鍵斷網等快速應急處置。

　　通過方案運行和落地實施，盛邦安全協助清華大學梳理了2000多個(ge) Web資產(chan) ，幫助清華大學建立了以資產(chan) 為(wei) 核心的清晰的資產(chan) 台賬;以邊界為(wei) 區域，梳理對內(nei) 對外提供服務的資產(chan) ;以資產(chan) 分類為(wei) 條件，實現安全風險的精準預警;以流程為(wei) 約束，實現安全風險的閉環處置，最終實現資產(chan) 看得見、摸得著、管得住、把得牢。

　　此外，清華大學還通過盛邦安全Web資產(chan) 治理平台(RayGate)結合OA，實現了問題資產(chan) 及安全事件領導負責任製下的閉環處置，從(cong) 而確保對於(yu) Web資產(chan) 的高效監控與(yu) 管理，將安全風險消滅在萌芽狀態。