学校网络安全测评报告

上周三下午，学校教务处的网络李老师给我打电话，说行政楼那台老打印机又“抽风”了——打印任务发过去，安全半天没反应，测评重启后却哗啦啦吐出几十份空白页。报告我过去一看，学校路由器后台显示这台打印机正疯狂向外发送数据包，网络目标IP指向境外。安全这不是测评故障，是报告中招了。一台2016年购入、学校从未更新过固件的网络打印机，成了黑客的安全跳板。

这个案例是测评我校网络安全测评中最典型的发现。测评持续了五天，报告覆盖了行政楼、图书馆、三栋教学楼的网络节点和127台终端设备。结果不算惨烈，但足以让人冒冷汗。

先说漏洞。测评团队用漏洞扫描工具跑了三轮，发现高危漏洞17个，中危漏洞43个。最严重的是图书馆的公共查询系统——它运行着Windows 7系统，微软早在2020年就停止了对该系统的安全更新，而系统里还存着近五年的学生借阅记录。另一个高危点在教学楼的多媒体控制台，管理员账号密码是“admin/123456”，测评人员只试了两次就登进去了，能直接控制所有教室的投影和广播系统。

有意思的是，行政楼的财务专用电脑反而防护得不错。那台机器装了最新的端点防护软件，系统补丁也打得勤快。问下来才知道，财务室的王会计去年收到过一封伪装成“税务局”的钓鱼邮件，差点被骗走一笔报销款，从那以后她成了全楼最警惕的人，还自费买了硬件密钥。这说明什么？安全意识这东西，一次真实的教训比十次培训管用。

再说网络架构。我校的网络拓扑还是典型的“扁平式”——所有设备挂在同一层交换机下，没有做VLAN隔离。这意味着一旦某台电脑被攻破，黑客可以横向扫描并访问同网段内的所有设备。测评中，技术人员模拟了从一台学生机房电脑发起的攻击，只用了一个小时就摸到了教务系统的登录后台。虽然没能破解密码，但已经能读取部分明文传输的临时文件。更尴尬的是，校园Wi-Fi的访客网络和办公网络竟然用的是同一个SSID，只是密码不同——懂点技术的人用抓包工具就能嗅探到办公网的流量。

物理安全也有漏洞。图书馆角落的网线接口没有做端口认证，任何人带台笔记本插上去就能接入内网。测评人员试了一下，确实如此，连IP地址都是自动获取的。这就像你家大门锁得挺好，但窗户没关。

不过，也不是所有地方都糟糕。学生宿舍的网络管理相对规范，每人一个账号，绑定MAC地址，且每晚十二点自动断网。虽然学生抱怨不断，但从安全角度看，这反而限制了攻击面。

最后说点个人观察。测评报告里那些技术参数，领导们未必看得进去，但有个数据他们应该记住：全校127台终端中，有41台在过去半年内未进行过任何系统更新，占比接近三分之一。这些机器大多散落在各个办公室的角落，平时没人管，但它们连着的网线，和校长办公室那台电脑在同一层交换机上。

测评结束后的第三天，那台打印机又出问题了。这次是半夜自动打印了一串乱码字符。我拔掉了它的网线，贴上封条，建议学校直接换新。但我知道，只要经费审批流程没走完，它还会在那儿待着。安全测评能发现问题，但解决不了所有问题——这是最让人无奈的地方。

本文地址：http://www.79wt.cn/news/1272b0299870.html