◆汪亞飛

（佛山市順德區(qū)勒流職業(yè)技術學校 廣東 528322）

1 背景

近些年，網絡成為了信息建設的基礎設施。整個社會對網絡的依賴越來越高，而網絡安全問題卻日益嚴重，對網絡安全人才的需求日益增加。筆者在長期實訓教學和競賽輔導的過程中，通過學習、總結和反思，發(fā)現(xiàn)利用開源的虛擬化技術搭建CTF 環(huán)境的方式，可以為中職學校的學生提供低成本的、能夠模擬真實網絡攻防的、并且可以高度可定制的實訓環(huán)境，進而解決網絡信息安全教學中面臨的實訓設備不足、實訓開出率不高的難題。

2 原理

2.1 使用CTF 搭建實訓室的功能框架，設計靶機

CTF，Capture The Flag，中文名“奪旗賽”，它通過參賽隊伍之間的攻防對抗、程序分析等形式，率先從主辦方給出的比賽環(huán)境中得到一串具有一定格式的字符串或其他內容，并將結果提交給主辦方的一方隊伍，會奪得分數(shù)。CTF 是網絡安全技術人員之間進行的一種比賽，它的比賽內容主要是網絡攻防。CTF 起源于1996年DEFCON全球黑客大會。CTF 最初的設想是用CTF 替代之前黑客們之間為了進行技術比拼而發(fā)起的真實攻擊。CTF 的比賽形式和比賽內容具備很明顯的黑客精神，是黑客文化的一種體現(xiàn)。目前CTF 受到了網絡安全行業(yè)、高校網絡安全專業(yè)、各級政府和國家安全部門的高度重視。對于學習網絡安全的同學來說，CTF 是一種鍛煉和保證學習信息安全的訓練場。

2.2 使用VirtualBox 的虛擬化技術作為底層，部署CTF 實驗所需要的靶機

VirtualBox 是一款既可以供企業(yè)使用，也可以在家庭PC 上使用的軟件。它是一款功能強大的x86 和AMD64（Intel64）虛擬化產品，還是唯一一個根據(jù)開源條款GNU 通用公共許可免費提供給用戶使用的、可提供專業(yè)化解決方案的開源的虛擬化產品；VirtualBox 不僅可以運行在Windows 上，還可以跨平臺運行在Linux 上，Macintosh 機器上，還有Solaris 主機上；VirtualBox 支持的虛擬機操作系統(tǒng)包括：Windows 系列、Linux 系列、Solaris 和OpenBSD。開源、免費和跨平臺特性，使得VirtualBox 廣受歡迎。使用開源的、可提供虛擬化功能的VirtualBox 作為底層搭建的網絡攻防靶機實訓平臺，具備多平臺、快照功能，整個平臺成本低、部署快、性能高、彈性大。

2.3 利用聯(lián)想的EDU 硬盤保護系統(tǒng)中分區(qū)保護和網絡同傳功能，實現(xiàn)CTF 網絡攻防靶機平臺的底層部署

聯(lián)想公司開發(fā)的EDU 硬盤保護系統(tǒng)面向網吧和學校的機房管理。它可以快速、便捷地給機房中的電腦安裝操作系統(tǒng)、應用程序和驅動程序，幫助機房管理員和電腦維護人員進行快速的部署，快速地清楚前一個用戶的操作痕跡，保證下一個使用同一臺電腦的用戶有一個全新的、干凈的操作環(huán)境。

2.4 根據(jù)網絡攻防實驗的需要，利用VirtualBox 的克隆功能快速部署，搭建實驗所需要的攻防靶機和網絡環(huán)境，進而快速、高效地實現(xiàn)高度定制的實訓環(huán)境。

3 平臺搭建過程

3.1 規(guī)劃靶場和靶機的虛擬機網絡連接

在進行實訓平臺的搭建之前，要先規(guī)劃好靶場和靶機之間的網絡連接。虛擬靶機是安裝在實訓室學生用物理機上的虛擬機，為了實現(xiàn)整個實訓室，乃至整個學校所有的虛擬靶場實驗室靶機之間的互聯(lián)和互通，我們需要將所有虛擬靶機的網絡設置為“橋接”物理機的物理網卡，使所有的虛擬靶機可以直接連入真實的物理網絡中。這樣為靶場的隨時擴容虛擬機，還有實驗內容的多樣化提供了更多選擇和實現(xiàn)的可能。

圖1 網絡攻防實訓虛擬靶場實驗室-拓撲圖

3.2 在物理機上安裝虛擬機平臺VirtualBox

規(guī)劃好靶場和靶機的虛擬網絡后，接下來在實訓室準備一天用作克隆模板的學生用物理機。在實驗室的模板物理機上，先安裝作為靶機底層支撐的虛擬機平臺VirtualBox。注意，在安裝VirtualBox 后，務必啟用試驗用物理靶機的CPU 虛擬化功能開關。

3.3 在VirtualBox 虛擬平臺上安裝實訓用的虛擬機靶機

虛擬靶機可以根據(jù)實訓室學生用物理機的CPU 內核數(shù)、內存容量和硬盤容量來確定其最佳的可部署靶機數(shù)量。一般一臺虛擬靶機的典型配置為：1 個CPU 內核，1G 內存，40G 硬盤容量。如果按照目前我們實訓室學生電腦的典型配置：4 核心CPU，8G 內存，500G 硬盤，則可以最大配置3 臺虛擬靶機。以所有的虛擬靶機的CPU 核心數(shù)、內存容量和硬盤容量的總和不超過物理宿主機的配置為限，高配置物理機的實訓室，則可以部署更多的虛擬靶機；低配置物理機的實訓室，則可以少配置一些靶機；每一臺物理機至少配置一臺虛擬靶機，借助靶場物理交換機，實現(xiàn)所有物理機和虛擬靶機的互聯(lián)和互通，把整個實訓室變成一個超級靶場，從而滿足大范圍的實訓使用。

3.4 初始化攻防用的靶機

虛擬靶機安裝好了以后，需要根據(jù)網絡攻防課程計劃和CTF 線下攻防典型訓練的要求，初始化訓練靶機虛擬機，安裝對應的虛擬操作系統(tǒng)、對應的服務和應用軟件。安裝好靶機后，開啟虛擬靶機，并保存一份快照，作為虛擬靶機日后維護的容錯備選。

圖2 CTF 線下網絡攻防-典型場景

3.5 使用聯(lián)想硬盤保護系統(tǒng)，實現(xiàn)網絡同傳，實現(xiàn)靶機物理模板機的快速部署

靶機物理模板機上的虛擬靶機安裝并且做好初始化配置，且驗證無誤后，就可以借助聯(lián)想的硬盤保護系統(tǒng)EDU 實現(xiàn)網絡同傳，快速部署到同一個實訓室的每一臺物理機上。這個過程簡單易操作，幾個小時就可以完成60 臺靶機物理模板機的同傳發(fā)布。

系統(tǒng)同傳完成后，需要做物理機保護參數(shù)的設置，確保每次試驗都能夠有全新的攻防環(huán)境，然后進行分區(qū)參數(shù)的設置和同傳發(fā)布。根據(jù)實驗的需要，可以設置分區(qū)恢復的參數(shù)為“每次開機”，也可以設置恢復參數(shù)為“手動恢復”模式，并制定恢復的間隔時間，比如一天。

3.6 驗證

實訓平臺搭建完成后，可參照CTF大賽的模式，組織目前在開設網絡安全課程的班級，利用學校的CTF 第二課堂時間進行環(huán)境驗證，驗證的內容包括虛擬機的運行狀況是否穩(wěn)定，虛擬機之間的通訊、攻防靶機的服務是否正常運行，實驗完成后系統(tǒng)恢復到初識狀態(tài)是否實現(xiàn)等一系列驗證性指標。

4 評估，展望

借助CTF 模擬大賽的機制，通過虛擬化功能、物理機的分區(qū)保護、網絡的同傳等技術手段，實現(xiàn)了低成本和高度定制化的網絡攻防實訓靶機平臺的搭建。這些都為網絡信息安全課程的開設提供了近乎真實的、可重復使用的、適合教學需要的網絡攻防實訓環(huán)境。平臺的成功搭建，既解決了網絡攻防實驗紙上談兵、缺少實戰(zhàn)的教學困境，又解決了購買高額費用的商業(yè)實訓平臺的問題，有利于具有中小規(guī)模的網絡安全相關專業(yè)的學校進行網絡安全人才的培養(yǎng)。其借助校內各種類型的活動和競賽，進一步驗證了CTF 靶機實訓平臺的有效性和可靠性。不過，目前的實訓平臺還僅限于我們學校自己網絡教學使用，主要是內部網絡實訓教學使用。在目前移動互聯(lián)網普及的今天，7*24、不限地域的云實驗室的建設將成為新的趨勢，在經費允許的情況下，可以嘗試建設基于云平臺的網絡安全靶機實訓平臺。