面向應用的信息安全及實踐課程建設與改革

李紅靈

（云南大學 信息學院，云南 昆明 650091）

面向應用的信息安全及實踐課程建設與改革

李紅靈

（云南大學 信息學院，云南 昆明 650091）

分析目前信息安全領域存在應用開發中信息安全被重視程度不夠、系統管理員缺乏安全意識、教學以理論講授為主3個方面的問題，提出面向應用的信息安全及實踐課程建設與改革目標和解決的主要問題，探討從教學模式、教學內容、教學環節、教學平臺的改革和調整4個方面開展研究和實施教學，以滿足社會對高校信息安全人才培養的要求。

面向應用；信息安全及實踐；教學建設；教學改革

0 引 言

在網絡深刻影響著人們生活的同時，帶給人們的安全問題也如噩夢般揮之不去。2013年爆出的“棱鏡門”事件，更讓人們清楚地知道，網絡中毫無隱私可言[1]。國內的軟件開發多側重軟件功能的實現，與之相適應的高校教學計劃也大多圍繞軟件系統的功能設計和實現來展開，因此隨著軟件系統在各個領域的應用，系統漏洞、病毒、惡意攻擊層出不窮。系統管理員缺乏安全意識導致操作不當、信息被泄露和非授權訪問時有發生，由于網絡協議安全體制缺陷加上很多成熟的攻擊工具，這使得當前的各種系統安全雪上加霜。從2001年開始，國內大部分高校開設信息安全的相關課程[1]，主要以理論講授為主，相應的教材也以理論敘述為主，這樣培養的學生只會紙上談兵，面向實際問題無從下手，進入社會后根本不能滿足企事業單位安全崗位的需求。

1 課程建設與改革目標

1.1 信息安全的理論學習

在學生已有計算機網絡等相關專業課程知識的基礎上，通過信息安全及實踐課程的理論教學，讓學生學習并掌握安全領域中所涉及的密碼編碼工具、用戶認證、訪問控制、數據庫安全、入侵檢測、惡意軟件、拒絕服務攻擊、防火墻與入侵防護系統、可信計算等核心理論和技術[2]。

1.2 信息安全的實踐活動

結合理論學習，通過實驗訓練，讓學生熟悉并掌握實驗環境搭建、加密解密應用、口令攻防、訪問控制、數據庫安全、掃描與嗅探、主機漏洞掃描與安全加固、惡意軟件檢測、網絡安全與攻防、應用安全、系統及數據安全[2]等12類28個真正面向實際和應用的攻擊手段和防御手法，有利于計算機類學生直接向普通安全測試人員邁進。

1.3 信息安全的意識培養

培養學生在軟件開發、系統設計和實現、系統管理中的安全意識，使得學生將來在系統開發中不僅能滿足于系統功能的實現，而且把系統的安全性能的實現放在重要的位置加以考慮，使得系統的功能性、安全性、可靠性、健壯性同時得到保障。

2 解決的主要問題

2.1 理論內容的合理組織和安排

安全不僅涉及計算機安全、網絡安全、信息安全，而且還涉及物理的安全、人的安全和管理的安全，因此是一門集計算機、網絡、信息、數學、社會學、法律、道德等多門學科的綜合性學科。正因其具有的特殊性，信息安全這一領域的技術發展快、更新快，知識內容繁雜、涉及面廣，理論教學如何從這一知識體系中抽取核心的理論和技術，同時兼顧技術的發展、更新和其他的非技術問題，必須經過反復學習、不斷實踐、認真思考和總結才能解決好。

2.2 實驗內容的難易、取舍、時序和實驗環境的配合

實驗的安排不僅要考慮知識的時序性，同時要把握實現的難易程度，既要讓學生能在短時間內完成，又要不斷吸引他們的學習興趣，內容的取舍也就非常關鍵。實驗中最難解決的問題是實驗環境的配合，為了完成一些攻防實驗，所使用的軟件及系統本身就必須有漏洞、病毒、木馬等，而這些惡意軟件對系統的破壞程度往往是很難預見的，因此幾乎每個實驗都必須有應急方案，在保證達到實驗目的和效果的同時，還必須保證事后公共機房設備環境和系統的正確還原，這需要經過大量的反復實驗才能很好地解決。

2.3 如何保持學習興趣的持續性？保證安全意識的培養和能力的提升

由于知識面廣、涉及技術多，學生開始學習時面臨的困難多，容易產生放棄的念頭。在后期的深入學習中很難找到合適的切入點，加上國內合適的參考資料不多，碰到困難時也很難找到合適的解決辦法，容易喪失深入研究的興趣。這一現象在筆者帶過的本科生中尤其突出，最后他們寧可選擇容易實現的系統完成論文撰寫，而研究生中也為數不少，因此如何保持學生的學習興趣，使其不斷擴大視野，積累經驗，深入研究，這是教師必須思考的問題。

3 課題總體設計

3.1 研究思路

3.1.1 教學模式

拋棄大部分高校信息安全相關課程以理論講授為主的教學模式，實現面向應用的以理論知識學習為基礎、以實驗項目操作為目的的理論結合實際的課程教學。在保證核心理論和技術學習的同時，兼顧新知識和新技術的學習，這樣既能激發學生興趣，又具有很強的實用性。

3.1.2 教學內容

在核心理論學習的同時，配合12類28個真正面向實際的安全攻防實踐，采用虛擬技術和實際環境共同搭建信息安全攻防實訓平臺，為學生提供多種多樣的安全攻防實驗，體驗不同的角色，培養學生探究問題的能力，同時解決高校教師的業務能力與行業需求存在較大差距的問題。

3.1.3 教學環節

通過核心理論學習和實驗室各種攻防實訓，增加到網絡與信息中心等地實習的環節，讓學生有機會接觸工作實際，讓他們在理論學習、虛擬攻防實訓和工作實際中不斷積累經驗，幫助計算機類的學生直接向普通安全測試人員邁進。

3.1.4 教學平臺

采用虛擬技術與實際環境結合等多種形式為學生提供多種攻防實驗平臺。在每個教學環節中，引入新技術、新知識的學習和應用，開闊學生視野、積累經驗，激發學生學習的興趣和深入探究知識的欲望，使學生的學習從被動接受變為主動探究。

3.2 教學實施

3.2.1 理論教學

調整、充實和完善前期講授的理論知識。在前期講授的核心理論和技術的基礎上，根據需要補充軟件安全、P2P網絡安全、物聯網完全、移動互聯網與個人信息安全、互聯網+時代的信息安全5個方面的內容。

3.2.2 實訓安排

利用虛擬技術和實際環境組織和安排完成12類28個實際攻防實驗，包括VMWare虛擬機、靶機中建立VPN、攻擊機BackTrack5、協議分析工具Wireshark、加密解密PGP的使用、口令攻擊、社會工程學字典工具CUPP的使用、自主和基于角色的訪問控制實踐、Oracle 數據庫安全實踐、MD5加密敏感信息、X-Scan掃描主機隱患、主機加固、Shadow Security Scanner系統安全掃描、nmap系統安全掃描、輕量級入侵檢測Snort、360安全衛士、木馬攻防技術、IPtables防火墻配置與使用、傲盾DDOS防火墻配置與使用、WIFI攻防、ARP欺騙攻擊與防御、網站腳本入侵與防范、QQ賬號與電子郵件安全、網絡支付工具的安全防護、系統和數據的備份與恢復[35]等近60學時的課內外攻防實驗。

3.2.3 環境搭建

充分利用學院、網絡與信息中心已有的防火墻、防病毒系統、郵件過濾網關、負載均衡器、協議分析儀等各種安全設備開展教學。培養部分對信息安全感興趣的學生繼續開展各種攻防實踐的探索、信息安全軟件開發或研究，為當今和將來儲備信息安全類人才。

4 結 語

如今，互聯網+正以跨界融合、創新驅動、開放生態、連接一切等特性影響和改變所有行業的管理模式、運行模式。互聯網+時代的信息安全正面臨著各種挑戰和機遇，也正與各個行業融合：安全加電子商務叫電商安全，安全加物聯網叫物聯網安全，安全加云計算叫云計算安全[1]。因此，高校必須積極應對這些挑戰，才能為學生獲得更多機遇。面向應用的信息安全及實踐課程建設與改革就是在這樣的時代背景下的一種改革嘗試，希望通過這樣的改革，縮短教師的業務能力與行業需求之間的差距，使學生在經過一段時間的系統開發訓練后完成軟件開發人員向系統分析、系統架構、安全分析和測試人員的華麗轉身。

[1] 劉旸, 韓瑜,孫亮編.信息安全攻防實用教程[M]. 北京: 機械工業出版社, 2014: 前言.

[2] William S, Lawrie B.計算機安全原理與實踐[M]. 賈春福, 劉春波, 高敏芬, 等譯. 北京: 機械工業出版社, 2008: 4-232.

[3] 諸葛建偉. 網絡攻防技術與實踐[M]. 北京: 電子工業出版社, 2013: 47-509.

[4] Chris S. Wireshark數據包分析實戰[M]. 諸葛建偉, 陳霖, 許偉林, 譯. 北京: 人民郵電出版社, 2013: 1-256.

[5] 王葉編. 黑客攻防大全[M]. 北京: 機械工業出版社, 2015.

（編輯：郭田珍）

1672-5913(2017)02-0022-03

G642

李紅靈，女，副教授，研究方向為計算機網絡、信息安全，Honglingli66@126.com。