校園網規模快速擴展，資產管理能力不可或缺
清華大學由中華人民共和國教育部直屬，中央直管副部級建制，位列“211工程”、“985工程”、“世界一流大學和一流學科”。清華大學有20個學院，59個系，另加碩士點、博士點、博士后點和科研工作站、校屬企業、附屬醫院等眾多部門單位。
Web 應用無疑對于教學、科研等工作起到了重要的支撐作用，但是對于清華大華信息資產的管理來說，卻是一件”大、繁、重、多“的工作。業務系統、資產量的急速增加對信息安全和運維工作帶來新的挑戰，如何系統化、流程化、體系化、智能化的對信息資產進行有序管理，使信息資產數據化、信息資產清晰可見，是清華大學要考慮的重要問題。
這也是當前教育行業的資產管理所面臨的普遍問題，目前教育行業普遍存在垂直性不強、安全管理薄弱，單位眾多、行業分散，數據資產不清，專職安全人員少或無專職安全人員，單位規模大小不一、資產數量相差較大等問題，對于網絡安全保障是一個巨大的挑戰。
清華大學信息辦實踐證明，信息化安全要做到可知、可感、可控、可查，進行資產梳理，摸清家底、知道自己有什么是第一步。通過資產梳理，可以發現暴露于互聯網的資產風險級別，并梳理內網暴露面、云平臺/實驗室資產、未知資產、僵尸網站等 Web 資產，同時統一規劃出口管控能力，建立資產和責任人對應關系。
高效梳理2000+Web資產，實現安全閉環管理
為了解決 Web 資產管理問題，清華大學決定進一步強化對于資產的梳理，并通過“發現風險-處置風險-復測風險”的方式使風險得以確認解決，將線上線下發現的資產安全事件通過Web資產治理平臺聯動OA，第一時間發送給院系負責人，實現安全事件處置流轉管理的閉環。同時，完善安全運營中心能力，從資產上線、7*24小時安全運行狀態監測到發現資產風險并預警、應急響應處置完成階段性的資產生命周期治理，形成一套有效的基于資產的安全風險閉環管理機制。
盛邦安全基于以資產為核心的安全治理”五步法“方法論，結合清華大學實際情況，設計規劃了目前的方案：
第一步：從核心設備鏡像雙向網絡流量分流到分布式部署的Web資產治理平臺（RayGate）；通過登記核查，收集可信資產信息并進行備案；Web資產治理平臺通過自學習引擎，自動從流量中分析出對內、對外提供服務的Web資產，記錄諸如域名、IP、端口、資產名稱及狀態、ICP備案等數據，將兩者進行對比，建立可信資產臺賬。
第二步：對資產屬性信息進行完善，探測業務系統指紋信息、收集業務歸屬責任人等備案信息，對資產狀態進行畫像。
第三步：對新申請上線的資產、云平臺資產、實驗室資產等進行上線前體檢，發現脆弱點，整改加固，實現對外提供服務的“準出控制”。
第四步：定期對資產進行風險識別，發現脆弱點，整改加固; 周期監控、發現篡改、暗鏈、WebShell攻擊等突發安全事件。
第五步：重大突發事件時，通過和安全設備聯動實現應急響應、一鍵斷網等快速應急處置。
通過方案運行和落地實施，盛邦安全協助清華大學梳理了2000多個Web資產，幫助清華大學建立了以資產為核心的清晰的資產臺賬；以邊界為區域，梳理對內對外提供服務的資產；以資產分類為條件，實現安全風險的精準預警；以流程為約束，實現安全風險的閉環處置，最終實現資產看得見、摸得著、管得住、把得牢。
此外，清華大學還通過盛邦安全Web資產治理平臺（RayGate）結合OA，實現了問題資產及安全事件領導負責任制下的閉環處置，從而確保對于Web資產的高效監控與管理，將安全風險消滅在萌芽狀態。
