受疫情影响，学校很多教职工需要进行远程办公，为防范远程办公的中可能存在的网络信息安全风险，信息化建设与发展中心编写了远程办公网络信息安全防范指南，具体内容见附件。

信息化建设与发展中心

                                2020年2月20日

合肥工业大学远程办公网络信息安全防范指南

讨论稿

一、个人办公终端安全

在家使用电脑或手机，第一步就需要对安全性进行检查。

信息化建设与发展中心已采购了软件正版化服务，正在安装调试，近期将提供正版的windows操作系统和office办公软件。（具体内容另行通知）

  1.对于办公电脑，尽量使用正版Windows10操作系统（Windows7等低版本操作系统不建议使用），其中自带Windows defender所提供的安全防护已经足够。如有需要，可以选择第三方防护软件替代。

（Windows defender设置和使用方法可参考https://jingyan.baidu.com/article/e75057f20a0126ebc91a899e.html）

2.开启系统自动更新，及时安装补丁，提升系统安全系数。

3.对于手机须通过正规渠道做好系统和软件升级。

二、上网安全防范

如果是居家办公使用无线路由器，可通过检查路由器中的mac地址，是否有异常设备的接入。为了防止蹭网及Wi-Fi被暴力破解，可以设置允许连接设备的白名单；也可以通过路由器关联的手机APP实时监控新接入设备情况，发现陌生设备及时拉黑；可以关闭ssid广播；提高路由登录和接入口令的强度。

（以tplink路由器为例，可参考https://service.tp-link.com.cn/video?p=1&o=0&classtip=all）

假如存在外出移动办公的情况，尽量避免连接公共场合Wi-Fi，可以共享手机热点来满足网络需求。

三、个人办公软件安全性

1．通用软件

浏览器推荐使用Chrome、Firefox或Chromium内核的新版Microsoft Edge，兼容性较好。如使用IE浏览器，请注意升级，近期的高危漏洞可被攻击者利用诱使用户访问恶意网页触发漏洞获得所有权限。

远程办公会用到一些必备的软件和工具，包括远程沟通所需的聊天工具、解压缩、文档处理等，尽量确保在各大软件官网下载的安装包，避免为了省事直接在第三方应用市场去下载。

2．邮箱的安全防范

通过页面访问时，建议如图1红框所示，勾选“全程SSL”，防止明文收发。

图1学校邮件系统页面登录

通过客户端访问，建议如红框所示，勾选“安全连接”， 防止明文收发。

图2邮件客户端设置（以foxmail为例）

用于尤其要注意黑客通过邮件进行的攻击，近日印度黑客组织对我国医疗工作组织发起的APT攻击，采用鱼叉式钓鱼攻击方式，通过邮件进行投递。利用“新型冠状病毒”主题作为诱饵的文档正通过钓鱼邮件的方式向邮箱用户进行网络攻击行为，威胁用户信息安全。此类邮件主要以“新型冠状病毒”、“新冠肺炎疫情”“武汉疫情”等近期热门字眼作为附件名称，针对医疗机构、医疗工作领域或对此次疫情关心的人群，诱导邮箱用户下载查看附件。附件类型包括可执行程序（.exe）、文档（.xlsm、.pdf）等。一旦下载运行该类附件程序、执行附件文档中宏命令，可能会导致电脑文件被窃取、个人隐私遭到泄露、计算机无法启动及用户重要数据丢失。防止钓鱼邮件注意事项如下：

1）加强安全防范意识，妥善保管好账号密码，切勿轻信近期热门主题相关的邮件及未经核实来源的邮件。

2）不在未经核实的邮件中输入相关邮件账号、密码等信息；不回复未经核实的邮件。

3）不轻易访问未经核实的邮件链接，不轻易下载查看、执行此类邮件附件，如要打开请关闭 Office 宏。（根据需要单击  Word、 Excel 或  PowerPoint  菜单。单击 首选项，单击 安全 & 隐私，选择 禁用所有宏，并且不通知。）

图3钓鱼邮件举例（注意识别钓鱼邮件，红框内的才是真正的邮箱地址，后缀并不是我校的域名）

3.访问校内资源，尽量使用学校提供的服务

1）VPN服务

向全体教职员工、学生提供了WebVPN服务用于访问仅限校内提供访问的网站/信息系统。访问网址为https://webvpn.hfut.edu.cn/。通过WebVPN系统，我校师生可以在校外访问校内资讯和图书馆资源。该系统与信息门户对接，账号为信息门户登录账号，密码与信息门户登录密码一致，无须申请开通。

向全体教职员工提供openVPN服务用于维护校内计算机或服务器。

（详见http://xxywlzx.hfut.edu.cn/2019/0117/c903a204975/page.htm）

2）CARSI服务

学校部署了认证服务器，和中国教育科研计算机网CARSI平台实现对接。通过该平台我校师生可在校外访问中国知网、Springer、RSC等学术资源。

（详见https://www.hfut.edu.cn/info/1035/5102.htm）

3）视频会议服务

信息化建设与发展中心已通过华为WeLink视频会议平台实现视音频会议、消息沟通、群组管理、健康打卡等多种系统功能。（详见http://news.hfut.edu.cn/info/1013/31631.htm）

4）请使用https协议访问合肥工业大学主页

（https：//www.hfut.edu.cn）。

四、数据文件分发、共享需警惕

远程办公场景下，协同办公软件、在线共享文档以及云盘等工具会成为多数企业分享文件的途径之一。在文件在线共享之前需要确定文件的安全性，建议对文件进行压缩加密保存，云端共享也务必设置提取码。

在使用协同办公工具时，注意文件的查看权限，谨防工具默认设置文件公开分享导致重要信息泄露。

使用社交软件，与新添加的陌生号码进行视频通讯，即使是熟悉同事的图像，也请多种方式确认。

五、做好个人口令的设置和保管

1．及时修改各系统的初始口令，目前学校新上线系统较多，为了用户登录方便，一遍会初始化一个口令让用户第一次登录使用，请用户务必及时修改初始口令。

2．不能使用弱口令，在设定口令的问题上，有几个建议可供大家参考：

1）在规则允许内，尽可能采用混合口令（字母大小写、字符和数字混合），充分利用工具随机生成口令；（建议使用口令生成https://1password.com/password-generator/）

2）不同网站避免使用同一个口令；

3）如果账号支持双重验证，请务必开启；

4）可选择使用相对可靠的口令管理工具；

5）不要多人使用一个账号，不和别人共享用户名和口令;

6）在不熟悉的地点，不要登录非HTTPS类型的网站；

7）定期检查账户是否有可以获得，或者定期修改重要账户口令。

图4 2017-2019年度弱口令榜单

六、做好备份工作

在任何时间，重要的文件习惯性做好备份是一个非常好的习惯。

无法预估此次疫情期间远程办公会持续多久，即便做好万全的准备工作也无法保证100%的安全，所以强烈建议在处理重要文档、代码数据等，随时备份，如果觉得云端不安全可以用U盘或者硬盘备份到本地。

另外，做好备份的还有一个原因是，在远程办公结束后，家里电脑上的文件、数据最好进行一次清理。