文/姜開達(dá) 許文

信息安全漏洞智慧的對(duì)抗

我國(guó)已成為網(wǎng)絡(luò)大國(guó)，但還不是網(wǎng)絡(luò)強(qiáng)國(guó)，在網(wǎng)絡(luò)安全領(lǐng)域面臨著來(lái)自多方的嚴(yán)峻挑戰(zhàn)。今年以來(lái)，國(guó)家對(duì)網(wǎng)絡(luò)安全和信息化工作作了整體布局，成立了中央網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組，從頂層部署加快人才隊(duì)伍建設(shè)，提升全社會(huì)的網(wǎng)絡(luò)安全意識(shí)，堅(jiān)持分領(lǐng)域、分類型、分層次加快人才培養(yǎng)。

國(guó)內(nèi)已有一百多所高校開設(shè)了信息安全專業(yè)，每年培養(yǎng)的畢業(yè)生數(shù)以萬(wàn)計(jì)。但是仍然無(wú)法滿足社會(huì)各行業(yè)對(duì)信息安全人才的實(shí)際需求，人才匱乏的現(xiàn)象將長(zhǎng)期存在。

企業(yè)和單位在每年應(yīng)屆生校招時(shí)，往往發(fā)現(xiàn)符合期望的優(yōu)秀信息安全類學(xué)生難找。產(chǎn)學(xué)研存在脫節(jié)，是學(xué)校的培養(yǎng)模式出了問題？還是用人單位的眼光太高？

從學(xué)科設(shè)置上看，信息安全專業(yè)屬于計(jì)算機(jī)類。在校期間，本科生要學(xué)習(xí)理工專業(yè)公共基礎(chǔ)課和少量信息安全相關(guān)專業(yè)課，研究生階段會(huì)接觸到更多的計(jì)算機(jī)和信息安全體系課程。培養(yǎng)目標(biāo)是努力使學(xué)生既有扎實(shí)的理論基礎(chǔ)，又有較強(qiáng)的應(yīng)用能力；既可以承擔(dān)實(shí)際系統(tǒng)的開發(fā)，又可進(jìn)行科學(xué)研究，具有分析并動(dòng)手解決復(fù)雜實(shí)際問題的能力。

信息安全領(lǐng)域的特點(diǎn)是技術(shù)更新?lián)Q代速度快，同時(shí)實(shí)踐性要求很強(qiáng)，強(qiáng)調(diào)人與人之間的智慧對(duì)抗。如果高校延守十幾年來(lái)一貫的課程設(shè)置，不與時(shí)俱進(jìn)增加補(bǔ)充新的符合時(shí)代發(fā)展的內(nèi)容，并且在實(shí)踐環(huán)節(jié)中有所脫節(jié)，不能給學(xué)生提供充分的動(dòng)手鍛煉的機(jī)會(huì)，那么培養(yǎng)的學(xué)生不被社會(huì)認(rèn)可也是預(yù)料之中。

表1 近四年上海交通大學(xué)信息安全專業(yè)本科學(xué)生畢業(yè)走向

表2 近四年上海交通大學(xué)信息安全學(xué)院碩士研究生畢業(yè)走向

姜開達(dá)帶隊(duì)上海交通大學(xué)0ops隊(duì)參加BCTF“百度杯”全國(guó)網(wǎng)絡(luò)安全技術(shù)對(duì)抗賽，獲第二名。

上海交通大學(xué)信息安全人才走向

上海交通大學(xué)針對(duì)信息安全專業(yè)人才的培養(yǎng)，在2000年成立了信息安全工程學(xué)院，培養(yǎng)包括本科生、研究生不同學(xué)歷層次的高級(jí)信息安全專業(yè)人才。從歷年本科招生情況來(lái)看，信息安全專業(yè)的生源質(zhì)量一直穩(wěn)居全校前列。表1是近四年信安本科學(xué)生的畢業(yè)走向，可以看出一個(gè)趨勢(shì)，真正直接走向就業(yè)市場(chǎng)的本科畢業(yè)生并不多，大部分都繼續(xù)選擇在國(guó)內(nèi)或去國(guó)外深造。本科畢竟還是處于基礎(chǔ)培養(yǎng)階段，如果要在安全領(lǐng)域能夠有深入發(fā)展，進(jìn)一步的學(xué)習(xí)是不可或缺的。

與此對(duì)比，表2是經(jīng)過兩年半的研究生階段專業(yè)學(xué)習(xí)之后，信安學(xué)院近四年碩士研究生的畢業(yè)走向分布。可以看出除了一部分去國(guó)外，大部分都直接就業(yè)。國(guó)內(nèi)繼續(xù)攻博的人數(shù)是少之又少，這也許同信息安全至今不是一級(jí)學(xué)科，沒有博士學(xué)位授予權(quán)不無(wú)關(guān)系。另外從近四年的趨勢(shì)看，畢業(yè)后漂洋過海去國(guó)外的人數(shù)也在持續(xù)增長(zhǎng)，雖然從尊重個(gè)人選擇的角度無(wú)可厚非，但是從國(guó)家信息安全戰(zhàn)略的角度看，優(yōu)秀人才的流失還是心中之痛。

國(guó)內(nèi)信息安全行業(yè)從業(yè)人員中，相當(dāng)比例是半路出家，但其中很多都做得非常出色。這是一個(gè)很特殊的行業(yè)，科班出身的人如果沒有在實(shí)踐中摸爬滾打過，對(duì)安全本質(zhì)的理解始終有限。而在一線工作的安全人員每天都在不斷應(yīng)付新的挑戰(zhàn)，只要有一定計(jì)算機(jī)基礎(chǔ)又勤奮好學(xué)，工作實(shí)踐中的成長(zhǎng)速度會(huì)特別快。高校已經(jīng)擁有了最好的信息安全生源，如果能充分了解市場(chǎng)需求和國(guó)家需要，通過校企合作，聯(lián)合共建等方式引入外部資源力量，制定科學(xué)的培養(yǎng)方案，追蹤當(dāng)前主流安全技術(shù)的同時(shí)打好相關(guān)計(jì)算機(jī)領(lǐng)域基礎(chǔ)，并注重實(shí)踐環(huán)節(jié)的能力提升，激發(fā)學(xué)生們的興趣和主觀能動(dòng)性，在信息安全專業(yè)人才培養(yǎng)方面是具有天然優(yōu)勢(shì)的。

表3 信息安全競(jìng)賽

國(guó)內(nèi)外安全競(jìng)賽盤點(diǎn)

在大學(xué)生的興趣培養(yǎng)和安全學(xué)習(xí)導(dǎo)向方面，各種層面的信息安全競(jìng)賽起到了積極推動(dòng)作用。最近一年國(guó)內(nèi)具有一定影響力，且大學(xué)生參加較多的信息安全競(jìng)賽簡(jiǎn)單羅列如表3。

國(guó)內(nèi)今年舉辦的信息安全類比賽相對(duì)往年有顯著增加，比賽形式和內(nèi)容也明顯與國(guó)際通行的CTF（Capture The Flag）奪旗賽模式接軌，主辦的學(xué)校也從信息安全有特長(zhǎng)的學(xué)校擴(kuò)展到了綜合性大學(xué)，而且這種情況有每年延續(xù)下去的趨勢(shì)，這是非常好的現(xiàn)象。國(guó)外舉辦的CTF賽事就更多了，具體列表可以查詢https://ctftime.org/網(wǎng)站獲取，不過目前國(guó)內(nèi)高校學(xué)生團(tuán)隊(duì)參賽戰(zhàn)績(jī)還不錯(cuò)的是清華的藍(lán)蓮花（blue-lotus）和上海交通大學(xué)的0ops兩支戰(zhàn)隊(duì)。從整體上來(lái)看，國(guó)內(nèi)的信息安全競(jìng)賽水平相對(duì)國(guó)際一流水平還有非常大的差距。在這些競(jìng)賽中，來(lái)自高校的安全團(tuán)隊(duì)擁有明顯的優(yōu)勢(shì)，例如今年百度杯BCTF進(jìn)入決賽圈的8支隊(duì)伍中6支隊(duì)伍都來(lái)自高校戰(zhàn)隊(duì)，國(guó)際上的很多老牌CTF強(qiáng)隊(duì)也都是來(lái)自著名高校的戰(zhàn)隊(duì)。

表4 國(guó)內(nèi)外信息安全競(jìng)賽的對(duì)比

國(guó)內(nèi)傳統(tǒng)的信息安全競(jìng)賽考核的內(nèi)容比較單一，大量?jī)?nèi)容偏重對(duì)網(wǎng)絡(luò)攻擊滲透能力的考察，現(xiàn)在已經(jīng)有所轉(zhuǎn)變，考察范圍向多元化方向發(fā)展。參賽人員的實(shí)戰(zhàn)經(jīng)驗(yàn)以及對(duì)各類工具的熟練使用程度也在相當(dāng)程度上決定了其最終比賽成績(jī)。而國(guó)外的安全競(jìng)賽考題則靈活的多，側(cè)重于考察學(xué)習(xí)思考能力，是在一個(gè)限定時(shí)間段內(nèi)分析并解決復(fù)雜問題的能力和綜合安全素質(zhì)的較量。

國(guó)內(nèi)信息安全競(jìng)賽傳統(tǒng)還是考察單兵作戰(zhàn)，突出選拔個(gè)人。而國(guó)外信息安全競(jìng)賽大都是以小團(tuán)隊(duì)形式參加，團(tuán)隊(duì)成員各有專長(zhǎng)，互相配合。我們的散兵游勇對(duì)戰(zhàn)國(guó)外的專業(yè)化團(tuán)隊(duì)，勝負(fù)一目了然，這也是目前國(guó)際CTF比賽我國(guó)總體成績(jī)不佳的一個(gè)重要原因。

表4為國(guó)內(nèi)外信息安全競(jìng)賽的一些簡(jiǎn)單對(duì)比，差異還是比較明顯。

對(duì)CTF類型的安全競(jìng)賽，高校學(xué)生還是很感興趣，但是由于其有一定門檻，需要有組織地將其領(lǐng)進(jìn)門，讓他們充分享受其中的樂趣。前面已經(jīng)提到，這種國(guó)內(nèi)外比賽是非常頻繁的，一旦進(jìn)入其中，興趣就是最好的老師。在參加比賽的過程中，學(xué)生認(rèn)識(shí)到自己知識(shí)結(jié)構(gòu)的不足，就會(huì)主動(dòng)地去系統(tǒng)補(bǔ)充相應(yīng)領(lǐng)域的知識(shí)，在實(shí)踐中快速學(xué)習(xí)成長(zhǎng)起來(lái)，最終成為多個(gè)安全領(lǐng)域的專家。雖然很多競(jìng)賽題目設(shè)計(jì)得非常復(fù)雜，在真實(shí)場(chǎng)景下不會(huì)出現(xiàn)，但是一旦掌握了快速解決復(fù)雜問題的思路和能力，那么當(dāng)學(xué)生遇到實(shí)際環(huán)境中的問題時(shí)，就能應(yīng)對(duì)自如了。以賽代練，以賽促學(xué)，這也是安全專業(yè)人才培養(yǎng)的一種新型思路。

高校信息安全專業(yè)人才培養(yǎng)有很多條不同路徑，但是殊途同歸，既需要培養(yǎng)一批高級(jí)安全專家，又需要培養(yǎng)為數(shù)龐大的在基層從事信息網(wǎng)絡(luò)安全工作的人員。各所高校在人才培養(yǎng)方面都有自己的寶貴經(jīng)驗(yàn)，究竟效果如何？關(guān)鍵還是看學(xué)生畢業(yè)后的人生發(fā)展過程中，學(xué)校教育起到了多大的幫助作用，在此與各位老師共勉。