教育行业成勒索病毒重灾区？官方回应：安全厂商以商业目的恶意夸大
备受瞩目的勒索病毒网络攻击事件还在继续发酵。从5月12日起，这个名为“WannaCry /Wcry”的始作俑者不仅让人们再次见识到了网络病毒蔓延全球的厉害，也将校园教育网络体系推向了舆论的风口浪尖。
据中青在线5月15日报道，事件爆发伊始，诸如“中国此次遭受攻击的主要是教育网用户”，“整个教育行业损失非常严重”，“大量准毕业生的毕业设计，论文材料被加密，导致无法完成论文答辩”等说法频频见诸媒体报道之中。
5月15日，作为教育部管理的全国非营利性教育互联网主干网，中国教育和科研计算机网刊发《关于教育网“大面积感染勒索病毒”不实报道的严正声明》（以下称《声明》，全文见文末）称，以上这些说法是“国内某些安全厂商却出于自己的商业目的，连续发表不实言论和所谓技术报告，或无中生有，捏造事实，或恶意放大该病毒的影响”，“这些失实的言论已经严重误导舆论，引起部分高校师生的恐慌，影响了正常的教学和生活秩序。”
《声明》称，截至5月14日中午，根据中国教育和科研计算机网CERNET网络中心对各高校用户的不完全统计，在近1600个高校用户中，确认感染病毒的高校仅66所，占比4%，仅涉及数百个IP地址。由于连接教育网的各高校校园网大多采用多出口模式，在被病毒感染的66所高校中，通过教育网感染病毒的高校仅有5所，通过其他运营商网络感染病毒的高校39所，无法确定感染病毒途径的高校22所。
教育网安全应急响应组CCERT5月14日对国际相关权威数据的分析（sinkhole 域名查询日志）。 教育网应急响应组CCERT 图
在接受中国青年报·中青在线记者采访时，中国教育和科研计算机网应急响应组CCER负责人、清华大学网络科学与网络空间研究院教授段海新说，经教育网安全应急响应组CCERT对国际相关权威数据的分析（sinkhole 域名查询日志），教育和科研网上的各高校用户感染病毒的比例很低，估计仅占国内感染病毒总量的1%，与其他运营商相比，这个数字远谈不上重灾区。
勒索病毒爆发以来，有人将部分校园网被感染、被攻击的原因归结于教育网没有在主干网封住445端口造成的。对此《声明》称，此次感染勒索病毒的最主要原因是“用户Windows系统没有及时升级存在漏洞”造成的，而不是由于主干网没有封堵445端口造成的。
《声明》提到，按照国际互联网技术规范，互联网TCP端口应为众多互联网应用提供开放的接口能力，除非紧急情况需要，互联网运营商一般不应该、也不会随意封堵主干网TCP端口。即便封堵，一般运营商也不会在主干网，而是由用户（如校园网或企业网）根据自身需要在接入主干网的边缘采取访问控制措施（例如封堵某些TCP端口）。另外，目前用户上网具有非常强的移动性，指望在运营商主干网上封堵某个端口就能保护用户计算机安全，是不现实和不专业的。
更为重要的是，在段海新看来，片面强调封堵有可能导致更严重的风险：“个别校园网因片面强调端口封堵被误导，因为恐慌物理断网，可能导致更多有漏洞的机器感染且被加密”，段海新说。
当天发布的《声明》还提到：事实上，目前确有一些高校使用445端口提供网络信息服务，因此教育网尽管没有在今年4月后封堵主干网445端口，但是一直在密切监测主干网445端口的流量变化情况。一批连接教育网的高校在今年4月发现Windows某些版本漏洞后，是在封堵445等端口的同时迅速组织力量修补Windows某些版本漏洞，确保不被感染。而另一些仅连接运营商主干网的高校由于没有及时修补Windows某些版本漏洞，还是被感染了勒索病毒。
段海新告诉记者，“由此可见，并不是运营商封堵445端口，而是尽快完成各类用户Windows系统软件的升级或修复漏洞，才是防范勒索病毒的根本措施。”
国内受勒索病毒攻击的电脑显示画面
中国教育和科研计算机网CERNET网络中心5月15日声明全文如下：
5月12日开始，因Windows漏洞导致的勒索蠕虫病毒在全球爆发。正当我们积极防范和应对这次大规模网络病毒攻击的时候，国内某些安全厂商却出于自己的商业目的，连续发表不实言论和所谓技术报告，或无中生有，捏造事实，或恶意放大该病毒的影响，主要包括“中国此次遭受攻击的主要是教育网用户”，原因是“教育网节点之间对445端口访问控制不够严格，造成病毒在校园网和教育科研网中大量传播，呈现爆发的态势”，“整个教育行业损失非常严重”。并称“大量准毕业生的毕业设计，论文材料被加密，导致无法完成论文答辩”。部分媒体也在没有调查的情况下，引用或转载这些不实言辞，“高校成为重灾区”，“教育网成为重灾区”见诸许多媒体的报道。
这些失实的言论已经严重误导舆论，引起部分高校师生的恐慌，影响了正常的教学和生活秩序。鉴于此，我们严正声明如下：
1、教育网并未出现大规模勒索病毒感染，也不是重灾区。
截止14日中午，根据我们对各高校用户的不完全统计，在近1600个高校用户中，确认感染病毒的高校仅66所，占比4%，仅涉及数百个IP地址。由于连接教育网的各高校校园网大多采用多出口模式，在被病毒感染的66所高校中，通过教育网感染病毒的高校仅有5所，通过其他运营商网络感染病毒的高校39所，无法确定感染病毒途径的高校22所。
经教育网安全应急响应小组CCERT对国际相关权威数据的分析表明，教育网各高校用户感染病毒的比例很低，仅占国内感染病毒总量的1%，未出现大规模勒索病毒感染，更谈不上是重灾区。
2、本次感染勒索病毒的最主要原因是用户Windows系统没有及时升级存在漏洞造成的，而不是由于主干网没有封堵445端口造成的。
按照国际互联网技术规范，互联网TCP端口应为众多互联网应用提供开放的接口能力，除非紧急情况需要，互联网运营商一般不应该、也不会随意封堵主干网TCP端口。即便封堵，一般运营商也不会在主干网，而是由用户（如校园网或企业网）根据自身需要在接入主干网的边缘采取访问控制措施（例如封堵某些TCP端口）。另外，目前用户上网具有非常强的移动性，指望在运营商主干网上封堵某个端口就能保护用户计算机安全，是不现实和不专业的。
事实上，目前确有一些高校使用445端口提供网络信息服务，因此教育网尽管没有在今年4月后封堵主干网445端口，但是一直在密切监测主干网445端口的流量变化情况。一批连接教育网的高校在今年4月发现Windows某些版本漏洞后，是在封堵445等端口的同时迅速组织力量修补Windows某些版本漏洞，确保不被感染。而另一些仅连接运营商主干网的高校由于没有及时修补Windows某些版本漏洞，还是被感染了勒索病毒。
可见，并不是封堵445端口，而是尽快完成各类用户Windows系统软件的升级或修复漏洞才是防范勒索病毒的根本措施。
在此**我们要求相关安全厂商本着实事求是的态度，澄清事实并承认错误；希望媒体在报道时，慎重援引厂商言论，加强与报道所涉单位的核实采访工作；呼吁广大社会公众，坚决抵制有意无意制造社会安全恐慌而达到商业目的厂商。**我们将保留采取进一步法律手段的权利。
中国教育和科研计算机网CERNET网络中心
2017年05月15日