【原】網絡安全| 清華大學吳海燕：自動識別技術“倒逼”網站備案

網站登記備案是網站安全管理的起點和基礎，登記備案有助于幫助高校掌握網站數量，確定網站的安全責任主體單位，梳理網站的業務和管理信息等。本文就開展網站登記備案工作時要考慮的一些問題談幾點思考。

高校網站存在數量大、建設和運行模式多樣的特點，我們可將其安全責任細分為主管安全責任、開發安全責任、運行安全責任和使用安全責任。

在網站的建設和運行中承擔的角色不同，安全責任也不一樣。網站建設的發起單位是網站的主管部門，一般是業務部門，承擔主管安全責任；網站的開發單位對網站的代碼安全負責，承擔開發安全責任；網站的運行部門對網站的運行環境的安全負責，承擔運行安全責任；網站的使用單位對網站發布的內容安全負責，承擔使用安全責任。

在網站登記備案實際工作中，能夠確定主管單位的網站，建議將主管單位定位在網站登記備案的責任主體單位，否則可選擇網站的運行單位作為網站登記備案的責任主體單位。

學校的信息安全管理部門（一般是信息化辦公室或者信息中心）發起網站登記備案工作，制定網站登記備案信息表，信息表一般應包括網站的域名、IP 地址、業務類型、處理的主要數據、服務范圍、安全責任主體單位（主管單位）信息、運行單位信息、網站的存放地點等內容。

以學校的二級單位為主體進行網站信息的梳理，整理本單位主管網站的有關信息，報送學校的信息安全管理部門，進行網站的登記備案，通過安全準入檢查后可正式提供服務。

通過上述兩步工作，初步建立了學校網站的基礎信息。各二級單位應在本單位網站發生變化時，如新建網站、撤銷網站、更改域名等時，及時將網站信息向學校安全管理部門進行報備。

為保證備案信息的準確性，除了依賴二級單位的配合外，學校信息安全管理部門還應對網站備案信息進行定期核查，及時對備案信息進行確認和更新。

上述的網站登記備案流程是理想情況，在實際工作中，如果缺乏技術支撐措施，經常有備案網站不全、下線網站不撤銷備案、備案信息更新不及時等情況發生。所以很多高校雖然也實施了登記備案制度，但校內仍有數量不少的無備案網站運行，備案網站中“死網站”如影隨形，網站備案工作通過“突擊式”方式推進，難以達到掌握網站底數的目的。針對此問題，建議使用如下技術支撐手段，加強管理措施的落實。

1、建立網站安全管理工作平臺。高校網站數量大、涉及的二級單位多，依靠紙質表單、電子郵件實現登記備案、準入檢查、漏洞通告、事件處置等網站安全管理工作，不僅效率低，而且易出錯。建立網站安全管理信息系統，實現登記備案等安全管理流程的在線辦理，系統實現與網站漏洞掃描、網站識別系統的對接，網站的漏洞信息、未備案網站的信息直接推送給二級單位的管理員，不僅能夠提高效率，而且能夠有效保證備案信息的準確性。遺憾的是，目前業界尚沒有成熟的網站安全管理工作平臺軟件，需要定制開發，實現成本較高。

2、網站自動識別與控制系統。網站自動識別系統可通過網絡流量分析，對正在提供服務的網站進行識別。系統可部署在校園網出口、校園網骨干節點，進行網站識別，并與網站備案信息進行自動比對，及時發現未備案網站，并阻斷未備案網站的服務，倒逼網站的主管單位進行網站登記備案工作。

3、使用網站掃描系統在校園網進行定期掃描。可對備案網站進行定期掃描，不但可以及時發現網站的安全隱患，還可以及時發現備案網站中的“死網站”，保證網站備案信息的準確性。并可對全校的網段進行網站服務發現掃描，將掃描結果與網站備案信息進行比對，發現未備案的網站信息，提供給校內二級單位，幫助二級單位更好地梳理本單位主管的網站信息，并及時備案。

（作者單位為清華大學信息化技術中心）