廖建博　張韜　唐紅英　賈亞茹

[摘要]針對大多本科院校沒有配備相應(yīng)的網(wǎng)絡(luò)安全競賽環(huán)境，文章提出搭建一套網(wǎng)絡(luò)安全競賽平臺的設(shè)計思路。它以體積小、易部署、易管理為目標(biāo)進(jìn)行模塊化設(shè)計，以賽促學(xué)，通過競賽提高學(xué)生對網(wǎng)絡(luò)安全知識的運用能力和實踐能力。平臺適用于大多數(shù)安全類競賽，對推進(jìn)安全類課程教學(xué)和提高學(xué)生動手實踐能力具有重要意義。

[關(guān)鍵詞]網(wǎng)絡(luò)安全；平臺設(shè)計；實戰(zhàn)環(huán)境

1 引言

2013年6月美國前中情局職員愛德華·斯諾登將美國國家安全局的“棱鏡”項目曝光之后，信息安全、網(wǎng)絡(luò)安全被推上了前所未有的高度。隨著互聯(lián)網(wǎng)、專用網(wǎng)絡(luò)化信息系統(tǒng)和各種網(wǎng)絡(luò)應(yīng)用的普及和推廣，信息安全已經(jīng)不再僅僅是個人的利益，更是關(guān)系到國防、政策等國家層面，它對培養(yǎng)具有信息安全知識和應(yīng)用技能的專業(yè)技術(shù)人才提出了更高的要求。我國近年來相當(dāng)重視信息安全研究，相繼完成一系列的重大工程。政策上大力支持，在維護(hù)國家信息安全，網(wǎng)絡(luò)安全方面發(fā)揮了重要作用。但在人才培養(yǎng)方面，和對手相比，還有很大差距。主要問題在于大多本科院校沒有配備相應(yīng)的實戰(zhàn)環(huán)境，主要以理論為主，大學(xué)生缺少相應(yīng)的練習(xí)。針對存在的問題，設(shè)計基于B/S架構(gòu)的網(wǎng)絡(luò)安全競賽平臺，有利于學(xué)生對所學(xué)知識進(jìn)行練習(xí)或競賽，平臺具有簡單，易部署的特點，適用于大多數(shù)高校。

2 網(wǎng)絡(luò)安全競賽平臺架構(gòu)

競賽平臺需要完成題目推送，統(tǒng)計所有隊伍分?jǐn)?shù)及排名等功能。為了將系統(tǒng)功能的核心部分集中到服務(wù)器上。同時為了讓參賽用戶在任何地方能進(jìn)行操作而不需要安裝任何軟件。平臺采用“三層B/S分布式”架構(gòu)模式。此模式也為日后競賽平臺的開發(fā)、維護(hù)和使用提供了便利。三層B/S分布式計算結(jié)構(gòu)是互聯(lián)網(wǎng)時代的產(chǎn)物，它分為三部分：客戶瀏覽、應(yīng)用服務(wù)器（或稱反應(yīng)服務(wù)器）和數(shù)據(jù)庫服務(wù)器。

競賽平臺結(jié)構(gòu)分為演練平臺服務(wù)器和靶機(jī)服務(wù)器。演練平臺服務(wù)搭建在真實的服務(wù)器上，用于參賽人員答題及瀏覽排名和比賽事項。競賽題目存放于靶機(jī)服務(wù)器當(dāng)中，并做好相應(yīng)的備份，平臺能夠?qū)W(wǎng)絡(luò)內(nèi)所有虛擬服務(wù)器進(jìn)行有效的管理，并對所有的題目站點進(jìn)行合理的分配資源。

競賽平臺基礎(chǔ)架構(gòu)如圖1所示。

3 網(wǎng)絡(luò)安全競賽平臺設(shè)計

3.1 參賽用戶模塊設(shè)計

參賽用戶模塊作為用戶操作的接口。要滿足用戶能夠自主選擇答題類型及題目，解題后可快速驗證，并能實時查看比賽事項及所有隊伍解題進(jìn)度和分?jǐn)?shù)等功能。參賽人員通過注冊成為正式用戶后，才能登錄平臺。注冊時需要提供用戶名、密碼、電子郵箱等信息。成功登錄平臺后，直接跳轉(zhuǎn)到題目界面，點擊已經(jīng)公布的題目會彈出題目信息、相關(guān)提示、題目入口及答案提交驗證欄。

題目flag采用MD5加密的形式存儲在數(shù)據(jù)庫中，用戶在驗證欄輸入對應(yīng)題目的flag，后臺進(jìn)行MD5加密驗證。驗證成功則會得到對應(yīng)的分?jǐn)?shù)。所有參賽用戶通過計分板能查看其他參賽用戶的比賽進(jìn)度和得分。計分板對所有隊伍的得分進(jìn)行由高到低進(jìn)行排名。

3.2 平臺管理模塊設(shè)計

管理模塊主要功能是便于管理員對所有競賽題目資源進(jìn)行統(tǒng)一的控制。通過一些圖形化可操作界面實現(xiàn)對平臺的管理。

管理模塊主要分為四個功能：參賽人員管理、題目信息管理、開放注冊和啟動競賽。參賽人員管理主要針對參賽用戶，對違反規(guī)則的參賽者進(jìn)行取消資格并刪除操作。題目信息管理包括題目管理和題目類型管理兩塊。管理員通過模塊可對競賽題目進(jìn)行查看、修改、添加、刪除等一系列操作，題目類型管理模塊實現(xiàn)了管理員對題目類型進(jìn)行及時的增添和發(fā)布，題目類型也不僅僅局限于傳統(tǒng)安全類型，鼓勵競賽主辦方對知識點的創(chuàng)新應(yīng)用。開放注冊和啟動競賽便于管理員按照規(guī)定，在—個時間段內(nèi)開放注冊或開始競賽，有利于維護(hù)比賽的公平，公正。

管理模塊是平臺的核心模塊之一，關(guān)系著競賽是否能正常進(jìn)行，只允許具有管理權(quán)限的人員登錄使用。為了提高系統(tǒng)安全性，管理人員用戶密碼采用MD5加密的形式在數(shù)據(jù)庫中進(jìn)行存儲，驗證時同樣采用MD5進(jìn)行驗證。后臺驗證成功后，設(shè)置session，每一個界面都會進(jìn)行session檢查，根據(jù)session判斷是否已經(jīng)登錄，放在使用URL跳過登錄直接訪問管理模塊。

參賽用戶模塊與平臺管理模塊作為一整個應(yīng)用進(jìn)行設(shè)計，實際上參賽用戶模塊相當(dāng)于前臺，平臺管理模塊相當(dāng)于后臺。前臺和后臺鏈接至同一個數(shù)據(jù)庫當(dāng)中。統(tǒng)一查看，管理數(shù)據(jù)庫中的信息內(nèi)容。

3.3 競賽平臺數(shù)據(jù)庫設(shè)計

數(shù)據(jù)庫是整個競賽平臺的基礎(chǔ)及核心，前期對平臺建設(shè)進(jìn)行需求分析，閱讀大量相關(guān)書籍并對類似平臺進(jìn)行調(diào)研，選擇了MySQL關(guān)系型數(shù)據(jù)庫。MySQL數(shù)據(jù)庫具有體積小，速度快，易部署，總體擁有成本低，源碼開放等特點，適合應(yīng)用與中小型競賽平臺。

數(shù)據(jù)庫中設(shè)計了系統(tǒng)管理員表、用戶表、題目類型表、題目信息表、用戶一解題關(guān)系表等共五個表。

（1）系統(tǒng)管理員表：包括管理員編號、管理員用戶名稱、管理員用戶密碼、平臺是否開啟、是否允許注冊等信息。如表1所示。

（2）用戶表：包括用戶編號、用戶名稱、用戶密碼、用戶郵箱、用戶頭像、是否激活、得分、注冊時間、最后提交時間等信息。如表2所示。

（3）題目類型表：包括類型編號、類型名稱等信息。如表3所示。

（4）題目信息表：包括題目編號、題目名稱、題目分值、flag、題目類型、題目信息、提示等信息。如表4所示。

（5）用戶一解題關(guān)系表：包括事件主鍵、用戶編號、類型編號、題目編號、解題時間等信息。如表5所示。

創(chuàng)建完所有表之后，向系統(tǒng)管理員表和用戶表插入數(shù)據(jù)，作為系統(tǒng)默認(rèn)的管理員和測試用戶。SQL語句如下：

3.4 競賽主題開放性設(shè)計

傳統(tǒng)安全題目有幾類：Web安全題目、加解密題目、WiFi破解及數(shù)據(jù)分析題目、取證分析題目和虛擬靶機(jī)。

根據(jù)競賽的主題，競賽主辦方可以在管理模塊中對題目及題目類型進(jìn)行任意的添加或修改，提高競賽對學(xué)習(xí)的針對性。如競賽主題偏重于Android網(wǎng)絡(luò)安全，管理員只需在管理模塊中添加題目類型并發(fā)布對應(yīng)題目即可。

4 結(jié)束語

隨著國家對信息安全，網(wǎng)絡(luò)安全的重視，相信越來越多的人將會投身于安全領(lǐng)域的學(xué)習(xí)中。信息安全領(lǐng)域的特點是技術(shù)更新?lián)Q代速度快，同時實踐性要求很強(qiáng)，強(qiáng)調(diào)人與人之間的智慧對抗。如果高校不與時俱進(jìn)。增加補(bǔ)充符合時代的發(fā)展內(nèi)容，和實踐脫節(jié)，那么培養(yǎng)的學(xué)生不被社會認(rèn)可也是預(yù)料之中，我國信息安全人才培養(yǎng)需要新思路：以賽促學(xué)。網(wǎng)絡(luò)安全競賽的設(shè)計便是以此為初衷，此平臺設(shè)計在于提高學(xué)生對安全知識的學(xué)習(xí)熱情，提高實踐操作能力，同時通過比賽能更好的選拔網(wǎng)絡(luò)人才，對安全人才的培養(yǎng)有著重大的意義。對于競賽而言，此平臺還有些不足：Flag對于所有隊伍來說都是一樣的，直接體現(xiàn)在隊伍之間進(jìn)行交換Flag來獲得更高的成績。

在今后的工作中，需要加強(qiáng)對如何防止隊伍間交換Flag的研究，保證比賽更加公平，公正。