信息安全实验教学研究与实践

◆苗 华 李红梅 苟光磊

信息安全实验教学研究与实践

◆苗 华 李红梅 苟光磊

(重庆理工大学计算机学院 重庆 400054)

针对信息安全课程引入的实验教学环节，本文介绍了课程采用的实验教学环境、实验内容以及实验教学方法，提出了信息安全实验教学的改革思路，最后根据实际教学情况进行了总结和分析。

信息安全；实验教学；教学改革

0 引言

《信息安全》作为一门全新的综合性、实践性和交叉性很强的专业课程，相比传统计算机课程而言，在各方面都还不太成熟存在较多问题。目前，各学校都在积极探索当中，其教学内容和方法也各不相同[1,2,3]。

从课程的教学实践和其他学校的反馈来看，学生对这门课程往往是一开始很感兴趣，但在随后不久的学习中，由于涉及知识的复杂性以及需要较多先修知识，便慢慢丧失了热情。更严重的是，学生无法感受到理论知识与现实信息安全问题的联系，学习态度由积极变为消极，教学效果不够理想。

新的教学计划对本课程做出了调整，在总课时不变的前提下，引入8学时实验，理论学时缩减至24课时，共计32学时。实验教学与实践环节的引入给课程注入了活力，如何以实验环节为切入点，上活、上好信息安全课程是我们当前面临的一个挑战。

下面，笔者从几个方面介绍我们在实验教学方面的一些思路、经验和教训。

1 信息安全实验课程环境

信息安全实验教学与实践需要较复杂的实验环境和平台，实验通常具有破坏性，伴随着对主机、软件系统和网络环境不同程度的破坏和影响。理想情况下，应当在信息安全专业实验室或专业实验系统平台上进行。然而由于资金、场地等因素的影响，目前信息安全课程主要使用的是综合实验室，其软硬环境无法完全满足本课程的需要。

为了解决这一矛盾，我们采用了成熟的虚拟技术和产品。通过在一台计算机（宿主机）上虚拟创建多个拥有独立IP、异构或同构的操作系统以及相应服务的主机，进而构建出开发或者隔离的网络，以满足实验的环境要求。典型课程实验环境如图1所示。

图1 课程虚拟实验环境

在宿主机A上虚拟出两台虚拟机B、C，并将其连接起来构成微型实验网络。可根据实验需要将该其设置成开放的或者隔离的网络。通常在虚拟机B、C中选中一台作为攻击机而另一台则作为靶机，原则上宿主机A不参与有破坏性的操作。

2 信息安全实验内容设计和教学方法

由于实验课时较少，而理论涉及内容又广，因此不可能面面俱到。只有以“点”带“面”，通过精炼的四个课堂基本实验让学生把握到信息安全的主要脉络，掌握信息安全最重要、最基本和最实用的概念原理和方法。

从安全的矛盾性和双刃性方面，实验可分为攻击和防御两大类。由于理论教学围绕着信道安全和系统安全两个模型[4]展开，因此我们设计了如图2四个实验模块。

图2 实验模块体系

每个模块下设多个实验，其中一个为课堂必做基本实验，其余为课后扩展选作实验。课堂必做基本实验多为验证型实验，课后扩展选作实验包含验证型、设计提高型、综合型、创新探索型四类。

2.1 信道攻击模块

本模块的实验目的是为了让学生对OSI安全框架中定义的安全攻击有直观认识，理解信道可能会遭到的威胁，明确后续理论学习的意义。

基本实验：使用Sniffer软件完成广播环境的窥探，进一步加深对网络协议的认识，认识明文传输口令等敏感信息的危害。在交换环境下，借助Sniffer软件认识ARP协议的工作原理，并通过手工构造和发送ARP应答包完成简单的ARP单向欺骗，让学生掌握ARP欺骗的过程和危害。为了降低实验难度，我们编写了一个ARP欺骗工具，通过该工具的使用，学生可以发起较复杂的双向欺骗实现对收发双方的伪装，并在此基础上完成篡改、重放等攻击。学生可以借助Sniffer软件了解攻击的过程并验证攻击的效果。

扩展实验：提供了如拒绝服务攻击、IP欺骗、DNS欺骗、路由欺骗、网络钓鱼等一系列验证型或探索型实验；公布了ARP欺骗工具的绝大部分源代码，供学生补充和完善相应功能。

2.2 信道防御模块

本模块的实验目的是为了让学生在理论学习的基础上，理解和使用基本的对称密码算法、公钥密码算法和Hash算法，并尝试综合运用这些安全变换防御安全攻击，实现对信道通信的保护。完成本模块实验后，学生应当较深刻地理解安全攻击、安全服务、安全机制三者之间的关系，明确后续网络协议理论学习的意义。

基本实验：使用Openssl命令行工具完成对称密码加、解密操作；散列函数的比较和使用；公钥密码的加密、解密以及签名和验证操作。通过这些操作，加深学生对密码学部分理论知识的认识。比如对称密码的工作模式一直是理论教学中的难点和重点，通过对密文进行简单分析比对、篡改密文的解密、固定小数据分组的加密等实验要求，引导学生分析现象和结果，从而理解不同工作模式的特性以及适用的环境。初次接触公钥密码的学生往往对其原理和概念认识较模糊，通过两人一组分别实现保密通信、认证通信和保密兼认证的通信，既活跃了学习氛围又让学生对公钥密码有了清晰的认识。

在掌握了基本密码工具的基础上，实验提供了诸如“电话掷硬币游戏”[5]、共享会话密钥、第三方环境下的安全公钥发布等有趣的小游戏，通过该环节既能让学生综合应用各种密码工具又为后面的网络协议理论教学打下了基础。

扩展实验：此模块的扩展实验内容较丰富，其中涉及不少后续理论学习中用到的实验。目前该模块的扩展实验主要有：加/解密编程实验、EFS文件加密系统案例分析、PGP软件应用、CA的配置及证书的使用、文件保险箱、安全报文系统、基于SSL通信的服务器端和客户端设计与分析。

2.3 系统攻击模块

本模块的实验目的是让学生理解攻击者网络入侵的流程及概念，掌握安全扫描工具的原理和使用方法。侧重理解和掌握基于认证和基于漏洞的入侵方式，出于实验总体设计的考虑将基于第三方程序（木马）放入了系统防御模块。

基本实验：使用X-Scan或Nessus等扫描器对靶机（Windows 2000 SP0）进行安全扫描完成信息收集的过程。根据扫描的弱口令报告，通过IPC方式实施基于认证的入侵；根据扫描到的系统漏洞，使用相应的漏洞利用软件实现基于漏洞的入侵。在成功入侵系统后，使用Getadmin等提权工具将当前账户提升至管理员权限完成权限提升过程。在完全控制靶机后，清除系统日志、建立隐蔽账号完成“留后门清脚印”的过程。通过这一系列实验环节向学生展示了典型入侵的全过程，消除其神秘感，增强了学生的安全意识同时也使得其安全防范更有针对性。

扩展实验：主要以XP系统加固实验为主，围绕账户管理、权限管理、端口管理、系统漏洞检测、注册表维护、系统安全策略等几个方面展开，其目的是让学生能够有针对性地抵御系统攻击。其他扩展实验包括MS WORD漏洞挖掘案例分析、扫描技术案例分析、TCP connect扫描编程等。

2.4 系统防御模块

为了与学生现实中遇到的安全问题紧密联系，本模块将侧重于恶意软件的清除。通过实验让学生理解病毒的感染机制和木马、蠕虫的工作原理，由于病毒手工清除的要求较高，实验将集中在对木马和蠕虫的手工清除上兼顾其他系统防御手段如防火墙等。

基本实验：在攻击机上使用流行的木马软件如灰鸽子、广外男生进行木马服务端配置，配置完成后将其种植到靶机。攻击机对靶机进行上线管理从而完全控制靶机。通过该过程让学生了解到基于第三方程序（木马）的入侵方式及其危害。由于蠕虫的查杀与木马类似，我们提出了“两阶段法”用于其实际的手工清除，包括正向分析和逆向分析两个阶段。正向分析是指通过比对安装恶意程序前后系统的状态来分析其对系统的影响，为后面的逆向查杀提供线索和缩小排查范围。在正向分析的基础上，通过检查网络连接、进程活动排查出可疑进程，进而通过对可疑进程的分析确定其保护措施以及启动文件、注册表启动项等关键信息。通过上述两个阶段的分析，通过一些安全软件，按照“先进程，后文件”的原则就能够清除绝大多数顽固木马或者蠕虫程序。

扩展实验：主要以相关恶意软件样本分析为主，以增加学生经验以及动手解决系统问题的能力。同时还包括PE文件型病毒分析与清除、防火墙的配置、入侵检测系统的部署与使用等实验。

3 实践教学经验

3.1 实践与理论教学紧密联系

我们发现实验完成较好的学生通常对理论概念掌握得很好，反过来理论知识没能掌握的学生实验进行得通常不顺利。因此要围绕实验精心安排理论内容，可以在理论教学中将实验中的一些难点、重点结合理论知识点进行讲解，必要时可由教师演示或者让学生在教师的指导下完成实验中的一些步骤。通过实验，深化学生对于已学知识的理解和掌握，同时为后面将要学习的概念、原理奠定直观的认识和感性的理解。

3.2 合理设置前导练习，控制实验难度

我们发现合理的实验难度才能激起学生的学习探索欲望，使他们在实验中获益。太简单的单步骤实验通常不能给予学生成就感，因此要尽量避免。对于学生难以独立完成的过分复杂的实验，则可以将实验分解成若干子任务并以前导练习的形式布置下去。在学生完成前导练习的过程中，教师可以向学生提供资料以及建议，也可以组织对学生进行集中讨论并最后给予总结和评价。通过合理地设置前导练习，既培养了学生独立分析、解决问题的能力又将课程实验难度限定在一个可控的水平。

3.3 以后置练习引导主动学习

我们实验课程的定位是以“点”带“面”，带动学生对信息安全的内容进行广泛而全面的学习。为了实现这一目标，我们在每个实验模块设置了大量的相关实验作为后置练习，并且还在不断充实其内容。通过这些后置练习引导他们去了解和思考现实中安全问题的解决方案，使学生能够积极主动地进行探索，获得最新的技术动态和资讯，在培养学生自学能力的同时激发其创新能力和思维。

3.4 以分组模式提高实验积极性

在信道防御模块我们引入了分组合作模式，学生实验积极性很高，学习氛围浓厚，从学生反馈来看实验效果较好。实际上，由于信息安全的矛盾性和双刃性，我们还可以引入分组对抗模式并将其扩展到其他几个模块。分组模式的实行更符合实际环境的需要，学生可以在不断的犯错过程中获得解决问题的途径，在这个过程中学生通常更容易获得课程内容以外的信息安全知识。

3.5 合适的评分标准和反馈机制

合适的评分标准有助于促进实验的有效完成。在实践中我们坚持重过程而轻结果，除了课堂实验有相应的评分以外，前置和后置练习也制定了评分标准。对每个实验均要求学生填写实验总结，并计入实验成绩。通过实验总结中的“实验评价”、“单元学习能力测评”等表格[6]能及时的掌握学生的实验情况以及实验设计存在的问题，同时学生也能对自己的学习情况进行必要的评估。

4 评估及结论

我们为信息安全课程设计了其配套的实验环境和实验内容。通过四个基本实验引出了四个实验模块，使得学生在把握信息安全主要脉络的同时能够进一步主动、深入地学习。

通过对实施信息安全实验课程前后的学生进行对比分析，结果显示实施实验教学后学生的学习情况有着明显改善。从课程的考试成绩来看，学生整体成绩有了较大程度的提高，特别是在综合应用题型上的得分率和平均分两个指标有了显著提高。从学生提交的作业、报告来看，学生学习自主性得到了调动，学生作业、报告提交率大幅提高，作业及报告内容的广度有了明显的提升，其质量也有了不小的进步。从理论教学情况来看，学生学习积极性较高，课堂缺勤率有所降低，课堂参与氛围浓厚，理论教学质量有所提高。

当然，我们的工作也有不足之处。通过调查，学生反映的问题主要集中在实验相关辅助文档缺乏以及某些实验内容难于理解上。在将来的工作中，我们打算在更广泛的开发扩展实验的基础上进行辅助文档的收集和编写工作。同时紧密结合理论教学，对实验内容和实验方式进行不断优化。

[1]董仕.新形势下高校信息安全专业教学体系改革与探讨[J].黑龙江教育学院学报，2017.

[2]李席广，林娜.“网络安全”课程的教学实践与改革创新[J].沈阳航空航天大学学报，2017.

[3]付海燕，王波，孔祥维，郭艳卿，李明.信息安全课程在高校教学中的几点思考[J].实验室科学，2016.

[4]William Stallings.Cryptography and Network Security Principles and Practices 7thedition[M].Pearson，2016.

[5]Wenbo Mao.Modern Cryptography:Theory and Practice[M].Prentice Hall，2003.

[6]周苏，王文.信息安全技术（第二版）[M].中国铁道出版社，2015.

重庆市科委基础科学与前沿技术研究项目，基于置信优势关系粗糙集的不完备有序决策研究（cstc2017jcyjAX0144），主持人：苟光磊。