基于虛擬靶場的滲透測試實踐教學機制探索

玄世昌 王巍 苘大鵬 呂繼光 楊武

摘? 要：滲透測試實踐教學是為信息安全相關專業學生開設的少數攻擊類課程，是必不可少的教學環節。隨著《中華人民共和國網絡安全法》等法律法規的不斷完善，滲透測試教學的實踐模式需要不斷創新。針對實踐教學中資源和時間方面的難題，設計并實現基于OpenStack的虛擬靶場系統，從教學過程、教學方法、考核方式等角度分別提出開放式線上線下混合教學、引導式基礎實驗過程、賽學融合的考核方式等具體改革方法，探索滲透測試實踐教學的新機制。

關鍵詞：滲透測試；教學改革；實踐教學；網絡靶場；賽學融合

中圖分類號：G642? ? ? ? 文獻標志碼：A? ? ? ? ? 文章編號：2096-000X（2024）02-0029-04

Abstract： Penetration testing practical teaching is one of the few offensive courses offered to students majoring in information security and is an essential part of their education. With the continuous improvement of laws and regulations such as the "The Cybersecurity Law of the People's Republic of China"， the practical teaching mode of penetration testing needs constant innovation. To address the challenges of resources and time in practical teaching， we have designed and implemented a virtual range system based on OpenStack. We have proposed specific reform methods from the perspectives of teaching process， teaching methods， and assessment methods. These methods encompass open online and offline blended teaching， guided basic experimental processes， integration of competition and learning， and various other reform methods. Through these specific reforms， we have explored new mechanisms in penetration testing practical teaching.

Keywords： penetration testing; transformation of education; practical teaching; network range; integration of competition and learning

網絡空間是繼陸、海、空、天之后的“第五維空間”[1]，是人類命運共同體非常重要的一部分。習近平總書記提出“沒有網絡安全就沒有國家安全”[2]。網絡安全問題已成為關乎國家安全和穩定的重大問題。2017年6月起，《中華人民共和國網絡安全法》（以下簡稱《網絡安全法》）正式實施[3]?！毒W絡安全法》作為國家層面網絡空間安全保障的統領性“基本法”，明確要求需要通過網絡安全評測、風險評估等方法保障網絡空間，同時又專門明確了“任何個人和組織不得從事非法侵入他人網絡、干擾他人網絡正常功能、竊取網絡數據等危害網絡安全的活動”[4]?！毒W絡安全法》的出臺引發了對網絡安全的高度關注，但也帶來了一個新的挑戰，即網絡安全人才的嚴重缺失[5-7]。網絡滲透是網絡空間安全的核心內容之一[8]。通過網絡滲透測試實踐教學，學生可以通過真實場景的模擬來深入了解網絡威脅，并學習如何評估和保護網絡空間。這種教學方法使學生能夠直接參與并體驗網絡滲透測試的過程，提高他們在網絡安全領域的技能和知識水平。

在《網絡安全法》實施的新形勢下，亟需探索和改革如何合法合規地為學生提供實踐教學環境，以切實培養和鍛煉他們的實踐動手能力[8-9]。目前的相關研究工作主要集中在傳授式教學場景，借助實驗系統輔助實現對特定知識點的教學目標。然而，這種方式未能充分關注滲透測試所需的廣泛專業知識、多樣化的技術手段以及逆向思維突破困難等特點。尤其是自《網絡安全法》實施以來，學生在課后學習和練習方面受到嚴重限制的問題得到了充分關注。

因此，在《網絡安全法》新形勢下，研究滲透測試實踐教學的新模式具有重要的理論和實踐價值，可以有效提高信息安全專業以及計算機類相關專業學生的滲透實踐動手能力。

一? 滲透測試實踐教學存在的難題

滲透測試實踐教學不同于信息安全、計算機科學與技術等相關專業的其他實踐環節，需要學生回顧的理論知識部分涵蓋范圍廣、掌握的專用工具多，并且理論與實踐的結合難度較高。在課程教學過程中，發現存在以下難題。

（一）? 實踐資源難以集中利用

滲透測試作為一個綜合性極強的實戰環節，需要掌握對測試目標從操作系統、基礎軟件、應用軟件等多個維度進行滲透的技術。目前，已經形成了如DVWA、mutillidae、vulnhub等比較豐富的網絡滲透技術學習資源。但是，相關資源一般為針對某一特定領域或技術的學習環境，無法滿足課程體系的全面教學要求。同時，各種資源所依賴的平臺系統與使用方法均存在較大的不同。學生在利用網絡資源進行學習時，面臨一些問題。首先，系統性不強，缺乏結構化的學習路徑和教學指導。其次，學習資源的部署和使用成本較高，使學生學習的積極性迅速消退，并且學習效果不理想。

（二）? 實踐教學課時過于集中

信息安全相關專業在理論課程與實踐課程中一般都極少包含攻擊類的內容。滲透過程除需要較全面的理論基礎知識，還需要使用較多的專用工具使用。學生普遍未接觸過相關工具，需要較多的時間來了解和掌握工具的使用方式。然而，實踐類課程通常會在有限的時間內集中進行，這導致學生為了趕進度而無法充分掌握工具的使用。因此，學生在有限的時間內只能匆忙地完成實踐任務，而無法達到對工具的熟練應用。

二? 實踐教學機制改革的思路

針對課程教學環節發現的難題，自主研發虛擬網絡靶場系統，從教學形式、教學內容、考核方式等角度全面開展實踐教學的改革。實踐教學機制改革的總體思路如圖1所示。

圖1? 實踐教學機制改革思路

（一）? 開放式線上線下混合教學

相較于較短的課時安排，難以實現全面、系統的講授式教學。因此，通過研發在線學習平臺來為學生提供充分的學習資源，并進一步研究線上、線下教學內容的分配和銜接機制。在線學習平臺上建立滲透測試的課程資源，提供視頻課程、實驗指導、技術討論等，以方便學生在自己的時間里進行學習和實踐。同時，需要對線上、線下教學內容進行更精細化的分配和銜接，避免重復、缺失和沖突的情況出現。

（二）? 引導式基礎實驗過程

滲透測試技術涉及到較多的理論知識點和工具使用方法，但是學生基礎情況差異較大，單一的教學內容安排難以滿足不同層次學生需求。根據滲透測試的典型步驟，從信息收集、漏洞掃描、漏洞利用和提權攻擊等不同方面設計經典的網絡掃描、暴力破解、操作系統漏洞利用、SQL注入、WEB滲透和本機提權等基礎實驗環節。將實驗指導書設計為基礎版本和詳細版本，在實驗開放前期通過基礎版本的實驗指導書引導學生針對實驗目標進行自學，在實驗后期再給出詳細版本的實驗指導書，供自學存在困難的同學參照學習。在引導學生主動學習的同時，也為學生的考核提供了區分度。通過這種教學方式，學生可以在自主學習的同時掌握滲透測試的基礎知識和技能，并在實踐中逐步提高。

（三）? 賽學融合的考核方式

考慮到學生前期基礎較弱、滲透攻防對抗性強等特點，將滲透測試的實踐教學過程分為基礎實驗和綜合對抗兩個環節。其中，基礎實驗部分選擇典型的滲透對象、滲透場景和滲透工具為實驗單元，指導學生熟悉目標信息采集、操作系統漏洞利用、數據庫注入攻擊、WEB滲透等知識和工具；綜合對抗環節采用CTF（Capture The Flag，奪旗賽）的形式，由學生進行分組對抗，綜合檢驗學生的實踐能力。最終的課程考核成績由基礎實驗成績與綜合實踐環節的對抗賽成績共同組成，以綜合評估學生的學習成果。通過分階段的教學設計和實踐對抗的形式，學生能夠獲得更全面、深入的學習體驗，并在實踐中培養解決問題的能力和團隊合作精神。

三? 基于網絡靶場的實踐教學平臺

基于OpenStack開源平臺，我們搭建了虛擬化網絡攻防對抗靶場系統。該靶場系統可以設置教師管理功能，包括創建課程、分配任務、監控學生進度等，方便教師進行教學管理和評估學生的學習成果；同時系統可以設置自動化評估功能，根據學生在系統中完成的任務和CTF競賽的成績進行自動化評估，提高評估效率和準確性；此外，該系統還可以設置積分和排名功能，根據學生在系統中完成的任務和CTF競賽的成績進行排名，鼓勵學生在系統中進行積極主動地學習。除以上功能之外，該靶場系統集成各類開源靶機、定制訓練靶機等學習資源，將相關的課程教學資源與靶場系統進行整合，為學生提供方便的在線學習和CTF競賽訓練等功能。

（一）? 虛擬網絡靶場的設計

虛擬網絡攻防對抗靶場系統由滲透測試教學和CTF比賽兩個模塊組成，并分為靶場平臺系統、滲透測試教學子系統和CTF比賽子系統三個子系統。虛擬化網絡靶場系統能夠基于虛擬化管理工具與OpenStack云計算管理平臺，動態生成、管理網絡靶場環境，通過OpenStack云平臺讓參演用戶省去自行搭建環境和下載靶場的時間。之后用戶可以通過提供的NoVNC網址，通過操作客戶機與靶機高效完成滲透測試演練。演練結束后，他們可以在平臺上提交演練結果，供業務管理員批閱。整個系統被設計為一個一體化的操作平臺。同時，業務管理員能夠監控參演用戶的滲透演練過程，并在參演用戶的演練環境出現問題時，重新生成一組實驗環境，確保系統具備良好的容錯性。在基于OpenStack云計算搭建的平臺中，學生在課堂上無需花費時間搭建環境或下載靶場，因此可以將更多精力投入到各種類型的滲透實驗中。而在課下，學生可以以團隊形式參與平臺組織的CTF比賽。這種一體化的學習與比賽平臺真正實現了學以致用，為學生提供長期在線的學習和比賽機會。

系統實現框架如圖2所示，系統采用基于B/S架構的設計。系統由系統前端界面、滲透教學總控、CTF比賽總控、靶場平臺后臺和數據庫模塊共同組成。各類用戶如業務管理員、觀察員、參演用戶，可以通過系統前端界面進行操作。前端頁面分為三個界面，分別為滲透測試教學模塊、超級管理員模塊、CTF比賽模塊。三個模塊一部分只需要與數據庫信息交互，進行數據庫的增刪改查，另一部分還需要調用靶場總控模塊。靶場平臺由靶場總控模塊和靶場代理模塊組成。部分靶場總控模塊負責與數據庫進行交互，同時響應三個模塊的請求，并返回所需的信息；另一部分靶場總控模塊還需要與靶場代理模塊進行通信，向代理發布指令，使代理運行特定程序，并將程序運行后所得到的部分信息反饋給總控模塊。

（二）? 虛擬網絡靶場的實現

在系統中，管理員用戶通過登錄界面進入到管理員首頁，登錄到滲透測試演練系統后，管理員可以通過修改密碼界面修改管理員用戶的密碼，通過組課管理界面，設置成績組成與擬開展的實驗。通過課程學生管理界面，導入導出學生信息，查看編輯學生信息。在每次實驗課開始前，管理員通過設置實驗環境界面對實驗環境進行設置，通過虛擬機信息查看界面查看并管理實驗環境，通過實驗進度跟蹤界面查看每個學生的進度，實驗報告管理界面查看每個學生的實驗報告與實驗報告的打分，課程成績管理界面查看與管理每個學生的成績信息。通過系統監控界面（圖3），監控各個代理的系統狀態。管理員可以對各個代理的實驗環境進行部署，包括靶機部署與客戶機部署。還有管理員對各個實驗的實驗詳情與實驗視頻進行設置。

普通用戶通過登錄界面進入系統的主頁，成功登錄后可以使用各項功能。他們可以通過修改密碼界面來更改自己的登錄密碼，確保賬戶安全。通過實驗詳情界面，他們可以查看每個實驗的詳細說明，了解實驗的目標和要求。同時，通過實驗視頻界面，他們可以觀看與每個實驗相關的視頻，進一步加深對實驗內容的理解。對于遠程登錄實驗環境，普通用戶可以通過遠程登錄界面與管理員設置的實驗環境進行連接，以便進行遠程操作和實驗實踐。另外，他們還可以通過實驗報告界面提交自己完成的實驗報告，并查看已提交的實驗報告。通過以上功能的提供，系統為普通用戶提供了一個便捷的學習平臺，他們可以靈活地修改密碼、瀏覽實驗詳情和相關視頻、遠程登錄實驗環境，并提交和查看實驗報告。

四? 結束語

滲透測試實踐教學由于存在知識點多且雜、學生前期技術儲備較弱等特點，導致傳統的實踐教學模式難以有效支撐。然而，引入基于網絡靶場的實踐教學平臺可以解決這一問題，實現了開放式線上線下混合教學和賽學融合的考核方式，為滲透測試實踐教學探索了一個可行的新機制，并為《網絡安全法》新形勢下合法合規學習提供了可行的解決方案

參考文獻：

[1] 王小文.浙江工業大學網絡空間安全研究院 聚焦新技術衍生安全 誓做新時代護網戰士[J].今日科技，2023（4）：67-68.

[2] 習近平：沒有網絡安全就沒有國家安全[J].中國建設信息化，2022（17）：2-3.

[3] 《網絡安全法》實施：實現網絡安全的法治保障[EB/OL].http：//www.cac.gov.cn/2017-06/02/c_1121073242.htm.

[4] 王興.筑牢網絡安全之基? 共同創造美好生活——《網絡安全法》實施五周年[J].網信軍民融合，2022，56（Z1）：3-5.

[5] 董贊強.網絡安全專業人才培養問題探析[J].管理工程師，2023，28（2）：36-41.

[6] 周艷秋.新時代下的高?！队嬎銠C網絡安全》課程教學改革探討[J].中國新通信，2022，24（21）：140-142.

[7] 林家全.基于網絡安全技術的攻防一體化教學設計與探究[J].現代信息科技，2023，7（10）：166-170.

[8] 馬文靜，吳建軍，周家慶.“網絡滲透與防御”混合教學模式實踐[J].計算機時代，2021（5）：100-102，106.

[9] 李中和.意識形態網絡滲透背景下我國高校意識形態安全建設探析[J].北方民族大學學報，2022（3）：162-169.