基于網(wǎng)絡(luò)攻防實(shí)戰(zhàn)的網(wǎng)絡(luò)安全技術(shù)課程體系教學(xué)研究

沈陽理工大學(xué)信息科學(xué)與工程學(xué)院 李愛華 周 越 臧 晶 關(guān)啟學(xué)

基于網(wǎng)絡(luò)攻防實(shí)戰(zhàn)的網(wǎng)絡(luò)安全技術(shù)課程體系教學(xué)研究

沈陽理工大學(xué)信息科學(xué)與工程學(xué)院 李愛華 周 越 臧 晶 關(guān)啟學(xué)

分析了網(wǎng)絡(luò)安全技術(shù)課程教學(xué)的特點(diǎn),根據(jù)網(wǎng)絡(luò)安全技術(shù)的發(fā)展和社會(huì)需求,提出基于網(wǎng)絡(luò)攻防實(shí)戰(zhàn)的網(wǎng)絡(luò)安全技術(shù)課程體系的建設(shè)和實(shí)踐.全方面、多方位實(shí)現(xiàn)每個(gè)教學(xué)環(huán)節(jié)的目標(biāo),培養(yǎng)適合市場(chǎng)需求的網(wǎng)絡(luò)攻防技術(shù)人才,提高就業(yè)競(jìng)爭(zhēng)力.

網(wǎng)絡(luò)安全技術(shù);網(wǎng)絡(luò)攻防實(shí)戰(zhàn);靶機(jī)網(wǎng)站

網(wǎng)絡(luò)信息安全局勢(shì)嚴(yán)峻、復(fù)雜,信息安全(尤其網(wǎng)絡(luò)安全)不但對(duì)于國家安全至關(guān)重要,而且與人們社會(huì)工作和生活息息相關(guān),人才資源是第一位資源.由此,信息安全人才培養(yǎng)已成為我國國家戰(zhàn)略重要組成部分.2015年我國建立了網(wǎng)絡(luò)空間安全的一級(jí)學(xué)科,隨著國家對(duì)網(wǎng)絡(luò)空間安全的重視,網(wǎng)絡(luò)安全人才市場(chǎng)的需求,網(wǎng)絡(luò)安全技術(shù)培養(yǎng)模式的探索也成為教學(xué)改革的熱點(diǎn).

網(wǎng)絡(luò)安全技術(shù)是信息安全、網(wǎng)絡(luò)工程及計(jì)算機(jī)科學(xué)與技術(shù)等相關(guān)類本科專業(yè)的主干課程,也是網(wǎng)絡(luò)安全技術(shù)特色方向的核心課程.在網(wǎng)絡(luò)安全專業(yè)方向的應(yīng)用型人才培養(yǎng)中具有非常重要的作用,因此,本課程體系的建設(shè)與實(shí)踐在應(yīng)用型人才培養(yǎng)中具有十分重要的意義.

本文針對(duì)網(wǎng)絡(luò)安全技術(shù)教學(xué)的特點(diǎn),提出基于網(wǎng)絡(luò)攻防實(shí)戰(zhàn)的網(wǎng)絡(luò)安全技術(shù)課程體系的建設(shè)與實(shí)踐.

1.網(wǎng)絡(luò)安全技術(shù)課程的特殊性

網(wǎng)絡(luò)安全技術(shù)具有一定的特殊性、安全敏感性.網(wǎng)絡(luò)安全技術(shù)課程對(duì)學(xué)生理論與實(shí)踐兩方面要求都很高.課程主要講授網(wǎng)絡(luò)安全基礎(chǔ)、密碼技術(shù)、IP安全與Web安全、網(wǎng)絡(luò)攻擊技術(shù)、及防御技術(shù)等內(nèi)容.由于網(wǎng)絡(luò)安全技術(shù)是一種雙刃劍,有些攻擊技術(shù)具有一定的破壞性、危險(xiǎn)性,在教學(xué)中有些內(nèi)容無法進(jìn)行實(shí)戰(zhàn),以及網(wǎng)絡(luò)環(huán)境搭建的局限性,很多網(wǎng)絡(luò)攻防技術(shù)只能在模擬軟件中進(jìn)行,很多網(wǎng)絡(luò)攻防技術(shù)不能實(shí)戰(zhàn)演練,有些技術(shù)無法進(jìn)行深入分析與實(shí)踐,這也對(duì)傳統(tǒng)的教學(xué)模式提出了新的挑戰(zhàn).

2.網(wǎng)絡(luò)安全技術(shù)課程體系的建設(shè)

網(wǎng)絡(luò)安全技術(shù)為信息安全的重要分支,涉及多種學(xué)科和技術(shù),綜合性強(qiáng),課程內(nèi)容較為抽象,涉及知識(shí)面寬.課程教學(xué)需要結(jié)合不同學(xué)期相關(guān)專業(yè)課的學(xué)習(xí),循序漸進(jìn)提高網(wǎng)絡(luò)攻防的技能,建設(shè)網(wǎng)絡(luò)安全技術(shù)課程體系.結(jié)合課程體系的相關(guān)課程實(shí)訓(xùn)進(jìn)行網(wǎng)絡(luò)攻防項(xiàng)目設(shè)計(jì),設(shè)計(jì)網(wǎng)絡(luò)攻防實(shí)戰(zhàn)項(xiàng)目,主要完成四個(gè)階段的設(shè)計(jì).

(1)網(wǎng)絡(luò)捕獲設(shè)計(jì):結(jié)合計(jì)算機(jī)網(wǎng)絡(luò)課程的教學(xué),利用工具進(jìn)行網(wǎng)絡(luò)抓包,分析網(wǎng)絡(luò)數(shù)據(jù)的格式及網(wǎng)絡(luò)協(xié)議原理;

(2)網(wǎng)絡(luò)協(xié)議漏洞分析設(shè)計(jì):結(jié)合網(wǎng)絡(luò)協(xié)議分析及程序設(shè)計(jì)等課程,分析常見的網(wǎng)絡(luò)協(xié)議漏洞,設(shè)計(jì)并實(shí)現(xiàn)利用網(wǎng)絡(luò)漏洞的攻擊及防御的項(xiàng)目.

(3)網(wǎng)絡(luò)設(shè)備攻防設(shè)計(jì):結(jié)合路由與交換技術(shù)及計(jì)算機(jī)信息安全等課程,分析常見的針對(duì)網(wǎng)絡(luò)設(shè)備的攻擊,設(shè)計(jì)并實(shí)現(xiàn)網(wǎng)絡(luò)設(shè)備安全防御的項(xiàng)目.

(4)網(wǎng)絡(luò)攻防實(shí)戰(zhàn)綜合設(shè)計(jì):結(jié)合網(wǎng)絡(luò)安全技術(shù)及網(wǎng)絡(luò)應(yīng)用軟件設(shè)計(jì)等課程,綜合設(shè)計(jì)網(wǎng)攻防實(shí)戰(zhàn)的項(xiàng)目.

3.開發(fā)基于網(wǎng)絡(luò)攻防實(shí)戰(zhàn)的靶機(jī)網(wǎng)站

針對(duì)網(wǎng)絡(luò)安全技術(shù)實(shí)踐的特殊性及敏感性,開發(fā)基于網(wǎng)絡(luò)攻防實(shí)戰(zhàn)的靶機(jī)網(wǎng)站.結(jié)合網(wǎng)絡(luò)攻防的實(shí)訓(xùn)內(nèi)容,對(duì)靶機(jī)網(wǎng)站進(jìn)行實(shí)戰(zhàn)攻擊,實(shí)現(xiàn)在網(wǎng)絡(luò)安全技術(shù)的實(shí)驗(yàn)教學(xué)中"演示+操作+分析"的教學(xué)特點(diǎn),使學(xué)生能夠在演示系統(tǒng)的教學(xué)中,更好地學(xué)習(xí)網(wǎng)絡(luò)安全技術(shù)的原理,提高該課程的教學(xué)效果及質(zhì)量.

針對(duì)網(wǎng)絡(luò)安全技術(shù)教學(xué)的需求,我們完成了"Web網(wǎng)絡(luò)攻擊靶機(jī)網(wǎng)站"的開發(fā).網(wǎng)站基于B/S模式,采用JSP、Servlet、Html等開發(fā)技術(shù),使用MyEclipse、Dreamweaver開發(fā)軟件和Tomcat服務(wù)器,結(jié)合MySQL數(shù)據(jù)庫設(shè)計(jì)完成.完成了一級(jí)、二級(jí)、三級(jí)靶機(jī)網(wǎng)站的開發(fā),以靶機(jī)后臺(tái)管理系統(tǒng)為平臺(tái),實(shí)現(xiàn)了對(duì)靶機(jī)上傳文件類型的控制等功能.

4.基于靶機(jī)網(wǎng)站的網(wǎng)絡(luò)攻防演練

由于隨意對(duì)他人的網(wǎng)站進(jìn)行攻擊違反我們國家的法律,因此制作此網(wǎng)站的目的是幫助大家熟悉常見的幾種網(wǎng)絡(luò)攻擊手段與實(shí)際的入侵過程.通過實(shí)際參與網(wǎng)站攻擊的整個(gè)流程,幫助學(xué)生了解網(wǎng)站攻擊的相關(guān)技術(shù)和方法,并且掌握應(yīng)對(duì)攻擊的各種方法和注意事項(xiàng),提高網(wǎng)絡(luò)安全防范的意識(shí),在以后的網(wǎng)站建設(shè)和管理中,能避免類似的攻擊手段,增強(qiáng)網(wǎng)站的安全系數(shù).

一級(jí)靶機(jī)攻擊:基于Web網(wǎng)絡(luò)攻擊靶機(jī)網(wǎng)站,網(wǎng)站后臺(tái)管理設(shè)置可以上傳的文件類型,一級(jí)靶機(jī)可以進(jìn)行文件上傳攻擊,學(xué)生根據(jù)攻擊提示完成攻擊過程,一級(jí)靶機(jī)的頁面如圖1所示.

二級(jí)靶機(jī)攻擊:二級(jí)靶機(jī)攻擊可以完成SQL注入攻擊,學(xué)生可以利用強(qiáng)大的Sqlmap監(jiān)測(cè)注入點(diǎn)、爆出所有數(shù)據(jù)庫、列出數(shù)據(jù)庫中的表、列出表中的字段、爆出字段的值及將結(jié)果輸入表單校驗(yàn),完成整個(gè)侵入攻擊過程.二級(jí)靶機(jī)主頁面如圖2所示.

圖2 二級(jí)靶機(jī)主頁面

三級(jí)靶機(jī)攻擊:三級(jí)靶機(jī)可以完成表單攻擊,根據(jù)提示找到頁面的源代碼,修改頁面表單內(nèi)容.三級(jí)靶機(jī)主頁面如圖3所示.

圖3 三級(jí)靶機(jī)主頁面

防御過程:分析攻擊過程,找出文件上傳漏洞,通過設(shè)置上傳文件的類型,修改靶機(jī)網(wǎng)站的安全級(jí)別,并對(duì)后端邏輯模塊進(jìn)行改進(jìn)與測(cè)試,實(shí)現(xiàn)基于靶機(jī)網(wǎng)站的安全防御.

通過對(duì)靶機(jī)網(wǎng)站的攻擊,學(xué)生可以深入學(xué)習(xí)相關(guān)攻擊手段和方法,通過實(shí)戰(zhàn)演練充分地滿足了網(wǎng)絡(luò)攻擊學(xué)習(xí)中實(shí)戰(zhàn)演習(xí)的要求,也收到良好的教學(xué)效果.

5.網(wǎng)絡(luò)安全技術(shù)教材建設(shè)

依據(jù)網(wǎng)絡(luò)安全技術(shù)課程的教學(xué)大綱,編寫網(wǎng)絡(luò)安全技術(shù)教材.由于網(wǎng)絡(luò)安全技術(shù)領(lǐng)域的特點(diǎn),適合本科教學(xué)的網(wǎng)絡(luò)安全教材比較短缺.目前市場(chǎng)的網(wǎng)絡(luò)安全教材多是一些黑客技術(shù)資料,重使用說明,缺乏有針對(duì)性的理論分析,水平參差不齊,多數(shù)都只是網(wǎng)絡(luò)攻防技術(shù)的應(yīng)用說明,對(duì)網(wǎng)絡(luò)攻防技術(shù)深層次、協(xié)議分析、知識(shí)領(lǐng)域分析等方面都不夠完善.因此,需要結(jié)合本專業(yè)知識(shí)體系、最新網(wǎng)絡(luò)攻防技術(shù),編寫適合本專業(yè)的網(wǎng)絡(luò)安全技術(shù)教材.

6.結(jié)束語

基于網(wǎng)絡(luò)攻防實(shí)戰(zhàn)提出了網(wǎng)絡(luò)安全技術(shù)課程體系的理論、實(shí)踐、創(chuàng)新等方面的建設(shè)和實(shí)踐.實(shí)踐證明,網(wǎng)絡(luò)安全技術(shù)課程體系的建設(shè)和實(shí)踐,全面培養(yǎng)提升了學(xué)生的網(wǎng)絡(luò)攻防理論與實(shí)踐能力,激發(fā)了學(xué)生的學(xué)習(xí)興趣,收到了良好的效果.然而網(wǎng)絡(luò)安全技術(shù)的內(nèi)容更新快,社會(huì)對(duì)網(wǎng)絡(luò)安全方面的需求也不斷變化.因此,在教學(xué)內(nèi)容和方法上還需不斷地探索和改革,以適應(yīng)社會(huì)對(duì)網(wǎng)絡(luò)安全技術(shù)人才的需求.

[1]閆麗麗,昌燕,張仕斌.網(wǎng)絡(luò)安全技術(shù)課程教學(xué)改革與實(shí)踐探索[J].計(jì)算機(jī)教育,2016(9):15-17.

[2]倪亮,李向東,潘恒,等."網(wǎng)絡(luò)安全技術(shù)"課程教學(xué)改革探討[J].教育教學(xué)論壇,2016(4):142-145.

[3]趙宏,王靈霞.高校計(jì)算機(jī)網(wǎng)絡(luò)安全課程教學(xué)改革與實(shí)踐[J].蘭州文理學(xué)院學(xué)報(bào),2015,29(1):113-116.

[4]李席廣,林娜."網(wǎng)絡(luò)安全"課程的教學(xué)實(shí)踐與改革創(chuàng)新[J].沈陽航空航天大學(xué)學(xué)報(bào),2017(S1).

李愛華(1966-),女,沈陽理工大學(xué)副教授,研究方向:網(wǎng)絡(luò)服務(wù)質(zhì)量、網(wǎng)絡(luò)安全技術(shù).