新工科視域下“網(wǎng)絡攻防技術”課程改革探究

蒲曉川

摘? ?要：討論在新工科視域下的“網(wǎng)絡攻防技術”課程教學模式改革，需著眼于新型技術、新型產(chǎn)業(yè)、新型業(yè)態(tài)、新型模式，以期提高人才培養(yǎng)質(zhì)量。新工科以計算機、人工智能等為重點，與“互聯(lián)網(wǎng)+”時代大背景緊密結合，引入人工智能、仿真技術等，強調(diào)實踐性、多元性、跨專業(yè)性。因此，設計了引入仿真技術和實際案例相結合的教學模式，并且讓學生（產(chǎn)品）在高水平競技比賽中進行檢驗，所得到的成果（獲獎）作為教學質(zhì)量的檢驗標準。

關鍵詞：仿真技術;網(wǎng)絡攻防技術;課程改革

“網(wǎng)絡攻防技術”課程是遵義師范學院專業(yè)課程，作為遵義師范學院網(wǎng)絡工程專業(yè)任選課程，首先，需要把該門課程的位置擺正，在新工科背景下，對該門課程又有了新的要求，該門課程在遵義師范學院是網(wǎng)絡工程專業(yè)的專業(yè)提升課程，基本開設在大學三年級，隨著“程序設計基礎”“數(shù)據(jù)庫原理”“計算機網(wǎng)絡”等基礎專業(yè)課程的修完，專業(yè)核心課程“網(wǎng)絡信息安全”也學習完畢，可以按學生的學習興趣開展專業(yè)提升或?qū)嵺`性較強的課程，所以該門課程有其開設的合理性。隨著中國互聯(lián)網(wǎng)的迅速發(fā)展，網(wǎng)絡安全也越來越受到政府和企業(yè)的重視，為了吸引更多對網(wǎng)絡安全有興趣的人才參與到網(wǎng)絡安全工作中來，政府投入也逐漸增多，組織更多相關比賽，在這個背景下，開設該門課程為即將參加工作的學生增加核心競爭力、提高專業(yè)素養(yǎng)起到很好的作用。作為專業(yè)提升課程，需要融入國內(nèi)外優(yōu)秀的技術競賽內(nèi)容，以更好體現(xiàn)課程的定位。

1? ? 網(wǎng)絡攻防課程特點

1.1? 教材的選用

“網(wǎng)絡攻防技術”課程學習需要結合實際背景，所以在這門課程中，筆者選用的是擁有阿里巴巴背景的中國資深安全行業(yè)領軍人物吳翰清所著的教材《白帽子講Web安全》，該教材著眼于實際，除了技術層面的描述，教材中還引入了“安全運營”等管理學思想，與教師想傳達給學生網(wǎng)絡安全專業(yè)是交叉學科的思想不謀而合。

1.2? 涉及范圍廣

“網(wǎng)絡攻防技術”課程內(nèi)容主要從資深網(wǎng)絡安全人員的網(wǎng)絡安全觀入手，使學生身臨其境地感受網(wǎng)絡安防前輩的防御與攻擊思路。然后從企業(yè)及部門的角度分析客戶端、服務端的安全問題，把分散的安全技術問題集中為網(wǎng)絡“進”和“出”的問題，更簡單直白、容易理解。當然，該課程還是遇到了相關技術點的問題，包括同源策略、跨站腳本攻擊（Cross Site Scripting，XSS）、結構化查詢語言（Structured Query Language，SQL）注入、加密算法與隨機數(shù)、Web框架問題等內(nèi)容，可見內(nèi)容涉獵之廣[1]。

1.3? 課程地位與培養(yǎng)目標

首先，從人才培養(yǎng)目標入手，“網(wǎng)絡攻防技術”課程的主要目標是使學生了解網(wǎng)絡攻防技術的基礎知識并具備網(wǎng)絡安全管理的工作能力，能勝任系統(tǒng)管理、網(wǎng)絡管理、網(wǎng)絡安全工程師等一線崗位，從遵義師范學院網(wǎng)絡工程專業(yè)人才培養(yǎng)方案（見圖1）中可以看出，本課程在整個人才培養(yǎng)體系中的地位及所需基本能力。和前置課程“網(wǎng)絡信息安全技術”不同，“網(wǎng)絡攻防技術”強調(diào)實踐能力，不再贅述理論知識，強化網(wǎng)絡攻防相關技術及專業(yè)網(wǎng)絡安全服務理念，所以要求學生的理論功底要深厚，否則無法了解攻防原理與攻防思路，也沒辦法實現(xiàn)有效的網(wǎng)絡安全防御。

1.4? 打造學生安全運營理念

強調(diào)“三分技術，七分管理”的安全運營理念，讓學生注重網(wǎng)絡安全管理及管理制度，以適應未來工作中的網(wǎng)絡安全挑戰(zhàn)。

2? ? 新工科視域下教學模式改革初探

所謂新工科視域下的教學改革，著眼于新型技術、新型產(chǎn)業(yè)、新型業(yè)態(tài)、新型模式，以期提高人才培養(yǎng)質(zhì)量。新工科以計算機、人工智能等為重點，與“互聯(lián)網(wǎng)+”時代大背景緊密結合，引入人工智能、仿真技術等，強調(diào)實踐性、多元性、跨專業(yè)性。因此，本文設計了引入仿真技術和實際案例相結合的教學模式，并且讓學生（產(chǎn)品）在高水平競技比賽中進行檢驗，所得到的成果（獲獎）作為教學質(zhì)量的檢驗標準。

首先，從該課程的特點入手，由于涉及范圍廣，在選擇相應教學案例時，就要圍繞該特點進行教學，如在講解滲透攻擊中的SQL注入環(huán)節(jié)，必須輔助講解SQL語句的教學，并適當講解Web框架構成等，使學生在學習過程中感受到該門課程的特點。其次，該門課程所涉獵的技術都比較新，要求任課教師必須時常了解某些技術的前沿動態(tài)，所以，本文提出了引入企業(yè)力量的方案，讓一線的科研人員進入教學環(huán)節(jié)中，彌補高校教師實踐不足的情況，但也發(fā)現(xiàn)一線人員的精力有限，不會在教學中投入過多時間，所以任課教師就要在其中做好的橋梁作用。

本文以遵義師范學院15、16級網(wǎng)絡工程專業(yè)學生為例，引入新的教學模式。相對高年級網(wǎng)絡工程專業(yè)學生來說，由于這部分學生已經(jīng)完成了前置課程的學習，尤其是“網(wǎng)絡信息安全技術”等課程的學習，在網(wǎng)絡安全技術上已經(jīng)有了一個好的基礎，因此，選擇高年級學生作為教學模式改革的試點，主要是考慮到這些學生的理論知識較豐富，但操作能力較差，由于從未接觸過攻防實戰(zhàn)，學生在實踐方面比較薄弱，有的學生理論基礎較好，有一定的代碼閱讀能力，但在真實案例中往往不知從何下手，很難在實踐中取得好成績，沒有機會發(fā)揮本身的能力。為克服該問題，應從實戰(zhàn)思路下手，多看、多練、多應用，團隊除了在教學模式改革中注重實操能力提升之外，也必須深入了解理論知識，盡量平衡學生掌握知識的水平。

3? ? 教學內(nèi)容設計

（1）丟出問題。每個章節(jié)都會按照問題導向深入教學，比如“網(wǎng)絡攻防技術”課程其中一章會講到跨站腳本攻擊（Cross-Site Scripting，CSS），又稱XSS，教師會分層次地提出問題，比如為什么會有XSS攻擊、XSS攻擊造成什么樣的后果、有沒有知名企業(yè)在XSS攻擊中受損等問題，在這樣的教學模式下，學生的積極性會有很大提高，而不是上來直接陳述相關技術的概論。最大限度地調(diào)動學生積極性是該門課程的核心。

（2）解決問題。根據(jù)問題直接提出解決思路與解決方案，還是以XSS為例，問題和后果的提出有兩個部分：①如果是我，該怎么利用該問題也造成同樣后果，如XSSPayload的學習、終極武器XSS Worm的使用等。②我該怎么防御該方法，如HttpOnly、輸入檢查、輸出檢查等。但在實際教學中，教師發(fā)現(xiàn)學生往往只注重第一個部分，而不關心第二個部分，這也是教學的難點所在，必須通過第一部分的學習，才能擁有第二部分學習的資格，在此，教師利用了企業(yè)教學的模式，引入知名網(wǎng)絡安防企業(yè)的師資力量，從就業(yè)的方面進行引導，這種方式從教師得到的反饋上看，取得了較好的效果。

（3）引入競技模式。奪旗賽（Capture The Flag，CTF）模式起源于1996年DEFCON全球黑客大會[2]，以代替之前黑客們通過互相發(fā)起真實攻擊進行技術比拼的方式。發(fā)展至今，已經(jīng)成為全球范圍網(wǎng)絡安全圈流行的競賽形式，2018年全球舉辦了超過150場國際性CTF賽事。因此，考慮到CTF奪旗賽已經(jīng)較為知名，并且貴州省也曾組織過相關賽事，所以怎么把該模式引入相關教學環(huán)節(jié)成為重中之重。

學習到一定階段后，需要檢驗學習的情況，引入競技模式，首先是提高了學生積極性，其次是檢驗了學生的學習情況。本文結合學生的能力情況，在仿真平臺的支持下（見圖2），以學生自由組合成3人一個隊的形式開展，主要知識涉及網(wǎng)絡數(shù)據(jù)包抓取與分析、密碼學、暴力破解、結構化查詢語、SQL注入、XSS基礎、代碼審計、數(shù)據(jù)恢復等。以XSS為例，設置相關靶機，每隊同時進行攻擊，達到每個攻擊點會取得相應積分，最后，分數(shù)最高者為勝者[3]。

（4）教學改革總結。每完成一階段，需進行階段性的總結，討論大家的學習情況，總結攻防經(jīng)驗并根據(jù)排名的先后各誕生幾個團隊（3人一隊）代表學院參加省級各類網(wǎng)絡攻防比賽。

4? ? 教學效果

通過教學模式改革，學生的相關理論知識與實踐技能都有明顯的提升，特別是學生對網(wǎng)絡攻防有了濃厚的興趣，以往學生都不愿意參加網(wǎng)絡攻防的比賽，主要是因為網(wǎng)絡攻防是一件很難的事情，甚至覺得完全沒可能在比賽中取得好成績，對網(wǎng)絡攻防比賽完全沒有信心。通過這次的教學改革，學生都非常想在競賽平臺檢驗一下自己的知識積累。在一年中，主要組織學生參加了教育部學校規(guī)劃建設發(fā)展中心舉辦“西普杯”信息安全鐵人三項賽、首屆遵義師范學院網(wǎng)絡攻防大賽。通過這類的大賽，取得了西南賽區(qū)二等獎、優(yōu)勝獎等多個好成績。這類的比賽吸引了全國很多知名高校，且需要先通過線上比賽才能進入決賽。作為非網(wǎng)絡安全專業(yè)的學生，能獲獎本身就很不容易，且在比賽中比一些知名高校學生更加出色，順利淘汰掉他們，也很大程度上鼓舞了學生學習的積極性。由此可見，本輪的教學改革取得的教學成果是非常可觀的。為了讓教學成果具有延續(xù)性，每個學期初都會組織參加過比賽的學生參加網(wǎng)絡攻防比賽介紹會，讓新生充分了解網(wǎng)絡攻防比賽，并有信心、有興趣、主動地參與到教學改革中來[4]。

5? ? 結語

通過新工科視域下的網(wǎng)絡攻防技術教學改革，發(fā)現(xiàn)學生的學習氛圍明顯提升，學生的實踐能力有所提高。但是由于教學改革的很多階段需要在課下完成，在遵義師范學院該門課程又在設在大三下學期，學生考研、就業(yè)壓力較大，對大量的課下實踐課時有較大的抵觸情緒，常常造成學生抱怨較多的情況，對于任課教師而言，新工科視域下新技術較多，對教師的要求較大，隨時需要跟上技術步伐，需要投入較多學習時間，但學校的科研考核壓力又相對較大，這必然影響教師在教學改革上投入的主動性。對此，團隊會在下一輪的教學改革中充分考慮這些因素，積極申報相關課題，并爭取學校及學院的支持并結合企業(yè)的投入，探索更加適合遵義師范學院的新工科視域下“網(wǎng)絡攻防技術”課程的教學改革模式。

[參考文獻]

[1]天極網(wǎng)，安全牛.人工智能快報網(wǎng)絡安全攻防人機大戰(zhàn)人工智能依舊不敵人類[J].中國教育網(wǎng)絡，2016（9）：37-38.

[2]高? ?見，劉? ?晨，蘇鵬沖.基于CTF的網(wǎng)絡安全競賽平臺設計[J].計算機教育，2015（17）：47-50.

[3]王艷芳.《網(wǎng)絡攻防技術》課程教學設計與研究[J].電腦知識與技術，2016（12）：158-159.

[4]陸明遠，夏文婷.美國高校網(wǎng)絡安全專業(yè)的發(fā)展特點及其啟示[J].情報雜志，2019（1）：130-138.