《入侵檢測技術》課程教學模式探索

周雪梅，周燕，郭春，陳鶴

（貴州大學計算機科學與技術學院，貴陽550025)

入侵檢測；課程教學；研討課

0 引言

入侵檢測（Intrusion Detection）是對入侵行為的發覺，它通過收集和分析計算機網絡或系統中的若干關鍵點的信息，檢查網絡或系統中是否存在違反安全策略的行為和被攻擊的跡象[1]，并在網絡或信息系統受到危害之前攔截或響應，以抵御或降低攻擊所帶來的風險，因此被譽為防火墻之后的第二道“安全閘門”，在信息安全體系中處于重要的地位。作為我校信息安全專業的一門重要的專業選修課《入侵檢測技術》課程受到信息安全專業學生的普遍青睞。然而，《入侵檢測技術》的內容比較抽象，單純的理論授課枯燥、乏味，不便于學生理解[2]；傳統的課堂教學通常是以授課教師講解為主的單向教學模式，學生處于被動學習的狀態，缺乏教師和學生之間的互動和交流，教學效果有待提升。其次，目前市面上可選的入侵檢測的教材則相對缺乏，已出版的入侵檢測技術相關教材大多發行于的2003年和2007年，其內容不能反映入侵檢測技術近年來的發展和變化；近三年的相關書籍更是屈指可數，僅靠教材作為學生學習的主要資源既不足以反映技術的發展，也不能較好地滿足學生的求知欲。

為了讓學生更為深入地理解課程內容，提高學生學習的興趣、提高學生實踐動手能力，本文對《入侵檢測技術》課堂教學模式和教學方法進行了探索。首先，在課堂教學過程中引入研討課環節[3]，提高學生的自主學習能力和學習興趣。其次，完善實驗項目的設計，在彌補理論教學的不足的同時，加深學生對入侵檢測技術的理解，調動學生學習的積極性和自主性。再次，采用多元化，分階段的考核機制，以考促學。

1 研討課——引導學生自主學習和探討的教學模式

受傳統教學思想的影響，以課堂講授、學生被動接受為主的教學模式中，過分注重理論知識的傳授，忽視了理論與能力培養、素質提高的有機結合，造成學生在學習過程中對知識的獲取過分依賴于教師的講授，在知識的運用上具有局限性和片面性，學習積極性不高。為了提高學生學習的積極型和自主性，將研討課教學引入課堂，作為課堂教學的一部分。研討課的教學就是針對教學內容，打破書中原有章節的界限，設定與課程相關的主題，讓學生根據選題進行分組，按照研討任務要求和指導提綱，查閱相關文獻資料，將調研的成果在課堂上以專題討論的形式進行分享；研討課的完成質量以及參與度與學生課程成績掛鉤，一定程度上提高了學生的參與度；在此過程中，學生通過自主學習，完成課題任務，將專題所涉及的知識有機地統一起來，提高其自主學習的能力。在分享環節，通過授課教師的引導，同學的提問，使得學生對知識的理解得到進一步深化，在知識的整合及運用上獲得鍛煉與提高，激發學生繼續學習和探索的興趣。在這一教學活動中，起主導作用的主體由教師轉化為學生，教師與學生的關系[4]如圖1所示。

圖1 研討課中教師與學生的關系

研討課執行環節中，研討課主題的設計是研討課是否能達到預期效果的一個必要條件。因此，將與課程相關的一些話題或研究基礎作為研討課的選題。例如,將網絡攻擊不可完全避免，入侵檢測的相關技術基礎和發展作為主題（部分選題如表1所示），引導學生通過理論與實踐相結合的方式完成對課題的調研和匯報。

表1 部分研討課選題

2 調整和完善實踐課教學的設計

《入侵檢測技術》的課程實踐環節在教學計劃中設定為8學時，為了讓學生更好地理解相關技術，完成實驗內容，在課程中選擇網絡入侵檢測技術作為主要實驗內容，將原有實驗項目進行修改和完善，使學生在合理難度的設定下，更有效地完成實驗任務，提高實驗效果，具體方式如下：

（1）對TCP數據包捕獲與分析實驗的進一步完善

實驗項目——TCP包數據包捕獲與分析的實驗，目的是讓學生理解WinPcap數據包捕獲與分析的流程和方法，原有的要求是讓學生在控制臺模式下進行設計，編程相對較簡單，但程序界面不夠友好，學生興趣不高；如果要求學生獨立編寫圖形用戶界面程序，需具備一定的MFC編程經驗，并處理多線程的問題，僅有部分編程能力好，動手能力強的學生能夠較好完成。因此，實驗前提供給學生一個預先設計好的MFC圖形界面下的簡單數據包捕獲程序框架，解決多線程問題，讓學生在閱讀給定框架程序的基礎上，根據實驗指導，逐步完成框架程序給定的任務，任務與任務之間是遞進的關系，只有將前面的任務順利完成，才能進行下一個任務，通過小任務的設定，讓學生在實驗過程中，不斷接近實驗的終極目標。這種方式，不僅降低了實驗難度，同時也提高了學生編程的興趣。

（2）重新組織Snort入侵檢測平臺的搭建與使用實驗

Snort是一個開源、免費的網絡入侵檢測系統軟件，對Snort的研究有助于學生進一步理解網絡入侵檢測系統的設計原理和檢測方法。通常該實驗的設計多以搭建Snort+ACID模式的網絡入侵檢測系統為實驗目標。但隨著Snort版本的不斷更新，該模式相對較陳舊，不利于學生對Snort新特性，新插件的研究。因此，在實驗任務中簡化利用Snort搭建網絡入侵檢測系統時對其他插件的需求，僅搭建一個簡化版的網絡入侵檢測系統，該系統檢測功能上并未降低，只是弱化了圖形界面的搭建。把實驗重點放到了攻擊特征的分析與Snort規則的編寫上，這樣不僅可以提高學生攻擊特征分析的能力，同時也加深了學生對Snort規則的進一步理解。

3 引入多元化的考核方式，以考促學，以考促教

改變過去“一卷定終生”的評估模式，科學設計考核內容，采用多元化的考核方式對學生成績進行評定[6]，基本考核方式如下：

（1）基本概念與基本知識的獲取，利用平時課堂隨機測試的方式，按教學過程設計，及時了解學生對理論教學內容的掌握程度（占10%）。

（2）實驗內容的實現和設計能力（占20%），實驗報告以及實驗過程檢測形式。

（3）對應用問題的解決能力（占40%）。通過期末大作業的形式，了解學生對知識的綜合運用能力，期末大作業完成報告形式。

（4）學生自學，協作完成課題能力的考核（20%），考核的重點是研討課環節中學生的參與程度以及表達與適應能力。通過將學生自主學習的效果和積極性與課程考核掛鉤，能夠好地激發學生在調研過程中的能動性。

（5）學習態度（占10%），主要以學生出勤作為考核依據。

考核的方式強調學生的“學習過程”，注重學生“知識的獲取以及動手解決專業問題或實際問題的能力”的考查；將平時學生的理論學習和實際動手能力，以及期末大作業相結合。綜合以上多項成績做出評估將是對學生比較客觀、負責的評價；也是對于大四選修課，學生學習態度的一個鞭策。

4 結語

本文中所討論的課堂教學模式的探索涉及了理論教學和實踐教學改革兩大方面。在具體實施過程中，實踐教學改革相對較為順利，取得了較好的效果，在以后的教學過程中我們將繼續保持和深入，不斷提高實踐教學實施的效果。然而，對于研討課的教學模式引入課堂教學，從學生對研討課的態度，材料的準備，以及執行效果來看，學生還是比較喜歡和接受這種新的教學方式。雖然研討課的教學模式初衷是為了提高學生的學習積極性，試圖通過專題討論，讓學生將專題所涉及的知識有機地統一起來，形成整合知識的能力。學生通過質疑及教師的啟發，將零散的知識點串聯起來，使知識要素更加豐富直觀。但是，新的教學模式在首次執行過程，安排和執行控制上的還存在一些不足，例如討論主題的選取考慮不夠全面，難易度存在較大差異，導致部分選題在討論環節執行效果不夠理想。其次，研討小組的設定和成員工作量的考核需要進一步摸索。針對以上問題，在今后的教學過程中還需不斷的探索和完善。此外，在《入侵檢測技術》的教學內容中，還需擺脫教材的束縛，不斷適應新技術和新應用的變化，例如在課程中引入無線網絡入侵檢測的相關技術[8]，只有課程內容的與時俱進與教學方式的不斷完善，才能吸引學生，激發學生學習的興趣和積極性。