李紅靈

（云南大學(xué) 信息學(xué)院，云南 昆明 650091）

面向應(yīng)用的信息安全及實(shí)踐課程建設(shè)與改革

李紅靈

（云南大學(xué) 信息學(xué)院，云南 昆明 650091）

分析目前信息安全領(lǐng)域存在應(yīng)用開(kāi)發(fā)中信息安全被重視程度不夠、系統(tǒng)管理員缺乏安全意識(shí)、教學(xué)以理論講授為主3個(gè)方面的問(wèn)題，提出面向應(yīng)用的信息安全及實(shí)踐課程建設(shè)與改革目標(biāo)和解決的主要問(wèn)題，探討從教學(xué)模式、教學(xué)內(nèi)容、教學(xué)環(huán)節(jié)、教學(xué)平臺(tái)的改革和調(diào)整4個(gè)方面開(kāi)展研究和實(shí)施教學(xué)，以滿(mǎn)足社會(huì)對(duì)高校信息安全人才培養(yǎng)的要求。

面向應(yīng)用；信息安全及實(shí)踐；教學(xué)建設(shè)；教學(xué)改革

0 引 言

在網(wǎng)絡(luò)深刻影響著人們生活的同時(shí)，帶給人們的安全問(wèn)題也如噩夢(mèng)般揮之不去。2013年爆出的“棱鏡門(mén)”事件，更讓人們清楚地知道，網(wǎng)絡(luò)中毫無(wú)隱私可言[1]。國(guó)內(nèi)的軟件開(kāi)發(fā)多側(cè)重軟件功能的實(shí)現(xiàn)，與之相適應(yīng)的高校教學(xué)計(jì)劃也大多圍繞軟件系統(tǒng)的功能設(shè)計(jì)和實(shí)現(xiàn)來(lái)展開(kāi)，因此隨著軟件系統(tǒng)在各個(gè)領(lǐng)域的應(yīng)用，系統(tǒng)漏洞、病毒、惡意攻擊層出不窮。系統(tǒng)管理員缺乏安全意識(shí)導(dǎo)致操作不當(dāng)、信息被泄露和非授權(quán)訪問(wèn)時(shí)有發(fā)生，由于網(wǎng)絡(luò)協(xié)議安全體制缺陷加上很多成熟的攻擊工具，這使得當(dāng)前的各種系統(tǒng)安全雪上加霜。從2001年開(kāi)始，國(guó)內(nèi)大部分高校開(kāi)設(shè)信息安全的相關(guān)課程[1]，主要以理論講授為主，相應(yīng)的教材也以理論敘述為主，這樣培養(yǎng)的學(xué)生只會(huì)紙上談兵，面向?qū)嶋H問(wèn)題無(wú)從下手，進(jìn)入社會(huì)后根本不能滿(mǎn)足企事業(yè)單位安全崗位的需求。

1 課程建設(shè)與改革目標(biāo)

1.1 信息安全的理論學(xué)習(xí)

在學(xué)生已有計(jì)算機(jī)網(wǎng)絡(luò)等相關(guān)專(zhuān)業(yè)課程知識(shí)的基礎(chǔ)上，通過(guò)信息安全及實(shí)踐課程的理論教學(xué)，讓學(xué)生學(xué)習(xí)并掌握安全領(lǐng)域中所涉及的密碼編碼工具、用戶(hù)認(rèn)證、訪問(wèn)控制、數(shù)據(jù)庫(kù)安全、入侵檢測(cè)、惡意軟件、拒絕服務(wù)攻擊、防火墻與入侵防護(hù)系統(tǒng)、可信計(jì)算等核心理論和技術(shù)[2]。

1.2 信息安全的實(shí)踐活動(dòng)

結(jié)合理論學(xué)習(xí)，通過(guò)實(shí)驗(yàn)訓(xùn)練，讓學(xué)生熟悉并掌握實(shí)驗(yàn)環(huán)境搭建、加密解密應(yīng)用、口令攻防、訪問(wèn)控制、數(shù)據(jù)庫(kù)安全、掃描與嗅探、主機(jī)漏洞掃描與安全加固、惡意軟件檢測(cè)、網(wǎng)絡(luò)安全與攻防、應(yīng)用安全、系統(tǒng)及數(shù)據(jù)安全[2]等12類(lèi)28個(gè)真正面向?qū)嶋H和應(yīng)用的攻擊手段和防御手法，有利于計(jì)算機(jī)類(lèi)學(xué)生直接向普通安全測(cè)試人員邁進(jìn)。

1.3 信息安全的意識(shí)培養(yǎng)

培養(yǎng)學(xué)生在軟件開(kāi)發(fā)、系統(tǒng)設(shè)計(jì)和實(shí)現(xiàn)、系統(tǒng)管理中的安全意識(shí)，使得學(xué)生將來(lái)在系統(tǒng)開(kāi)發(fā)中不僅能滿(mǎn)足于系統(tǒng)功能的實(shí)現(xiàn)，而且把系統(tǒng)的安全性能的實(shí)現(xiàn)放在重要的位置加以考慮，使得系統(tǒng)的功能性、安全性、可靠性、健壯性同時(shí)得到保障。

2 解決的主要問(wèn)題

2.1 理論內(nèi)容的合理組織和安排

安全不僅涉及計(jì)算機(jī)安全、網(wǎng)絡(luò)安全、信息安全，而且還涉及物理的安全、人的安全和管理的安全，因此是一門(mén)集計(jì)算機(jī)、網(wǎng)絡(luò)、信息、數(shù)學(xué)、社會(huì)學(xué)、法律、道德等多門(mén)學(xué)科的綜合性學(xué)科。正因其具有的特殊性，信息安全這一領(lǐng)域的技術(shù)發(fā)展快、更新快，知識(shí)內(nèi)容繁雜、涉及面廣，理論教學(xué)如何從這一知識(shí)體系中抽取核心的理論和技術(shù)，同時(shí)兼顧技術(shù)的發(fā)展、更新和其他的非技術(shù)問(wèn)題，必須經(jīng)過(guò)反復(fù)學(xué)習(xí)、不斷實(shí)踐、認(rèn)真思考和總結(jié)才能解決好。

2.2 實(shí)驗(yàn)內(nèi)容的難易、取舍、時(shí)序和實(shí)驗(yàn)環(huán)境的配合

實(shí)驗(yàn)的安排不僅要考慮知識(shí)的時(shí)序性，同時(shí)要把握實(shí)現(xiàn)的難易程度，既要讓學(xué)生能在短時(shí)間內(nèi)完成，又要不斷吸引他們的學(xué)習(xí)興趣，內(nèi)容的取舍也就非常關(guān)鍵。實(shí)驗(yàn)中最難解決的問(wèn)題是實(shí)驗(yàn)環(huán)境的配合，為了完成一些攻防實(shí)驗(yàn)，所使用的軟件及系統(tǒng)本身就必須有漏洞、病毒、木馬等，而這些惡意軟件對(duì)系統(tǒng)的破壞程度往往是很難預(yù)見(jiàn)的，因此幾乎每個(gè)實(shí)驗(yàn)都必須有應(yīng)急方案，在保證達(dá)到實(shí)驗(yàn)?zāi)康暮托Ч耐瑫r(shí)，還必須保證事后公共機(jī)房設(shè)備環(huán)境和系統(tǒng)的正確還原，這需要經(jīng)過(guò)大量的反復(fù)實(shí)驗(yàn)才能很好地解決。

2.3 如何保持學(xué)習(xí)興趣的持續(xù)性？保證安全意識(shí)的培養(yǎng)和能力的提升

由于知識(shí)面廣、涉及技術(shù)多，學(xué)生開(kāi)始學(xué)習(xí)時(shí)面臨的困難多，容易產(chǎn)生放棄的念頭。在后期的深入學(xué)習(xí)中很難找到合適的切入點(diǎn)，加上國(guó)內(nèi)合適的參考資料不多，碰到困難時(shí)也很難找到合適的解決辦法，容易喪失深入研究的興趣。這一現(xiàn)象在筆者帶過(guò)的本科生中尤其突出，最后他們寧可選擇容易實(shí)現(xiàn)的系統(tǒng)完成論文撰寫(xiě)，而研究生中也為數(shù)不少，因此如何保持學(xué)生的學(xué)習(xí)興趣，使其不斷擴(kuò)大視野，積累經(jīng)驗(yàn)，深入研究，這是教師必須思考的問(wèn)題。

3 課題總體設(shè)計(jì)

3.1 研究思路

3.1.1 教學(xué)模式

拋棄大部分高校信息安全相關(guān)課程以理論講授為主的教學(xué)模式，實(shí)現(xiàn)面向應(yīng)用的以理論知識(shí)學(xué)習(xí)為基礎(chǔ)、以實(shí)驗(yàn)項(xiàng)目操作為目的的理論結(jié)合實(shí)際的課程教學(xué)。在保證核心理論和技術(shù)學(xué)習(xí)的同時(shí)，兼顧新知識(shí)和新技術(shù)的學(xué)習(xí)，這樣既能激發(fā)學(xué)生興趣，又具有很強(qiáng)的實(shí)用性。

3.1.2 教學(xué)內(nèi)容

在核心理論學(xué)習(xí)的同時(shí)，配合12類(lèi)28個(gè)真正面向?qū)嶋H的安全攻防實(shí)踐，采用虛擬技術(shù)和實(shí)際環(huán)境共同搭建信息安全攻防實(shí)訓(xùn)平臺(tái)，為學(xué)生提供多種多樣的安全攻防實(shí)驗(yàn)，體驗(yàn)不同的角色，培養(yǎng)學(xué)生探究問(wèn)題的能力，同時(shí)解決高校教師的業(yè)務(wù)能力與行業(yè)需求存在較大差距的問(wèn)題。

3.1.3 教學(xué)環(huán)節(jié)

通過(guò)核心理論學(xué)習(xí)和實(shí)驗(yàn)室各種攻防實(shí)訓(xùn)，增加到網(wǎng)絡(luò)與信息中心等地實(shí)習(xí)的環(huán)節(jié)，讓學(xué)生有機(jī)會(huì)接觸工作實(shí)際，讓他們?cè)诶碚搶W(xué)習(xí)、虛擬攻防實(shí)訓(xùn)和工作實(shí)際中不斷積累經(jīng)驗(yàn)，幫助計(jì)算機(jī)類(lèi)的學(xué)生直接向普通安全測(cè)試人員邁進(jìn)。

3.1.4 教學(xué)平臺(tái)

采用虛擬技術(shù)與實(shí)際環(huán)境結(jié)合等多種形式為學(xué)生提供多種攻防實(shí)驗(yàn)平臺(tái)。在每個(gè)教學(xué)環(huán)節(jié)中，引入新技術(shù)、新知識(shí)的學(xué)習(xí)和應(yīng)用，開(kāi)闊學(xué)生視野、積累經(jīng)驗(yàn)，激發(fā)學(xué)生學(xué)習(xí)的興趣和深入探究知識(shí)的欲望，使學(xué)生的學(xué)習(xí)從被動(dòng)接受變?yōu)橹鲃?dòng)探究。

3.2 教學(xué)實(shí)施

3.2.1 理論教學(xué)

調(diào)整、充實(shí)和完善前期講授的理論知識(shí)。在前期講授的核心理論和技術(shù)的基礎(chǔ)上，根據(jù)需要補(bǔ)充軟件安全、P2P網(wǎng)絡(luò)安全、物聯(lián)網(wǎng)完全、移動(dòng)互聯(lián)網(wǎng)與個(gè)人信息安全、互聯(lián)網(wǎng)+時(shí)代的信息安全5個(gè)方面的內(nèi)容。

3.2.2 實(shí)訓(xùn)安排

利用虛擬技術(shù)和實(shí)際環(huán)境組織和安排完成12類(lèi)28個(gè)實(shí)際攻防實(shí)驗(yàn)，包括VMWare虛擬機(jī)、靶機(jī)中建立VPN、攻擊機(jī)BackTrack5、協(xié)議分析工具Wireshark、加密解密PGP的使用、口令攻擊、社會(huì)工程學(xué)字典工具CUPP的使用、自主和基于角色的訪問(wèn)控制實(shí)踐、Oracle 數(shù)據(jù)庫(kù)安全實(shí)踐、MD5加密敏感信息、X-Scan掃描主機(jī)隱患、主機(jī)加固、Shadow Security Scanner系統(tǒng)安全掃描、nmap系統(tǒng)安全掃描、輕量級(jí)入侵檢測(cè)Snort、360安全衛(wèi)士、木馬攻防技術(shù)、IPtables防火墻配置與使用、傲盾DDOS防火墻配置與使用、WIFI攻防、ARP欺騙攻擊與防御、網(wǎng)站腳本入侵與防范、QQ賬號(hào)與電子郵件安全、網(wǎng)絡(luò)支付工具的安全防護(hù)、系統(tǒng)和數(shù)據(jù)的備份與恢復(fù)[35]等近60學(xué)時(shí)的課內(nèi)外攻防實(shí)驗(yàn)。

3.2.3 環(huán)境搭建

充分利用學(xué)院、網(wǎng)絡(luò)與信息中心已有的防火墻、防病毒系統(tǒng)、郵件過(guò)濾網(wǎng)關(guān)、負(fù)載均衡器、協(xié)議分析儀等各種安全設(shè)備開(kāi)展教學(xué)。培養(yǎng)部分對(duì)信息安全感興趣的學(xué)生繼續(xù)開(kāi)展各種攻防實(shí)踐的探索、信息安全軟件開(kāi)發(fā)或研究，為當(dāng)今和將來(lái)儲(chǔ)備信息安全類(lèi)人才。

4 結(jié) 語(yǔ)

如今，互聯(lián)網(wǎng)+正以跨界融合、創(chuàng)新驅(qū)動(dòng)、開(kāi)放生態(tài)、連接一切等特性影響和改變所有行業(yè)的管理模式、運(yùn)行模式。互聯(lián)網(wǎng)+時(shí)代的信息安全正面臨著各種挑戰(zhàn)和機(jī)遇，也正與各個(gè)行業(yè)融合：安全加電子商務(wù)叫電商安全，安全加物聯(lián)網(wǎng)叫物聯(lián)網(wǎng)安全，安全加云計(jì)算叫云計(jì)算安全[1]。因此，高校必須積極應(yīng)對(duì)這些挑戰(zhàn)，才能為學(xué)生獲得更多機(jī)遇。面向應(yīng)用的信息安全及實(shí)踐課程建設(shè)與改革就是在這樣的時(shí)代背景下的一種改革嘗試，希望通過(guò)這樣的改革，縮短教師的業(yè)務(wù)能力與行業(yè)需求之間的差距，使學(xué)生在經(jīng)過(guò)一段時(shí)間的系統(tǒng)開(kāi)發(fā)訓(xùn)練后完成軟件開(kāi)發(fā)人員向系統(tǒng)分析、系統(tǒng)架構(gòu)、安全分析和測(cè)試人員的華麗轉(zhuǎn)身。

[1] 劉旸, 韓瑜,孫亮編.信息安全攻防實(shí)用教程[M]. 北京: 機(jī)械工業(yè)出版社, 2014: 前言.

[2] William S, Lawrie B.計(jì)算機(jī)安全原理與實(shí)踐[M]. 賈春福, 劉春波, 高敏芬, 等譯. 北京: 機(jī)械工業(yè)出版社, 2008: 4-232.

[3] 諸葛建偉. 網(wǎng)絡(luò)攻防技術(shù)與實(shí)踐[M]. 北京: 電子工業(yè)出版社, 2013: 47-509.

[4] Chris S. Wireshark數(shù)據(jù)包分析實(shí)戰(zhàn)[M]. 諸葛建偉, 陳霖, 許偉林, 譯. 北京: 人民郵電出版社, 2013: 1-256.

[5] 王葉編. 黑客攻防大全[M]. 北京: 機(jī)械工業(yè)出版社, 2015.

（編輯：郭田珍）

1672-5913(2017)02-0022-03

G642

李紅靈，女，副教授，研究方向?yàn)橛?jì)算機(jī)網(wǎng)絡(luò)、信息安全，Honglingli66@126.com。