CTF競賽模式的高職信息安全實踐教學(xué)體系

前言：想要寫出一篇引人入勝的文章？我們特意為您整理了CTF競賽模式的高職信息安全實踐教學(xué)體系范文，希望能給你帶來靈感和參考，敬請閱讀。

摘要：高職院校突出學(xué)生實踐、動手能力的培養(yǎng)，傳統(tǒng)的教學(xué)方式較難滿足信息安全專業(yè)學(xué)生的學(xué)習(xí)要求。本文從信息安全專業(yè)在實踐教學(xué)中存在的問題入手，提出基于“ctf競賽”模式的教學(xué)體系，對信息安全專業(yè)建設(shè)具有較好的參考價值。

關(guān)鍵詞：信息安全;實踐課程;CTF;課程群

2014年2月27日，中央網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組成立，指出，沒有網(wǎng)絡(luò)安全就沒有國家安全，沒有信息化就沒有現(xiàn)代化；建設(shè)網(wǎng)絡(luò)強國，要有自己的技術(shù)，有過硬的技術(shù)；要有高素質(zhì)的網(wǎng)絡(luò)安全和信息化人才隊伍。從總體上看，我國網(wǎng)絡(luò)安全人才還存在數(shù)量缺口較大、能力素質(zhì)不高、結(jié)構(gòu)不盡合理等問題，與維護國家網(wǎng)絡(luò)安全、建設(shè)網(wǎng)絡(luò)強國的要求不相適應(yīng)。我國信息安全學(xué)科建設(shè)剛剛起步，高校作為人才培養(yǎng)的主要基地，近年來在信息安全人才培養(yǎng)方面不斷加大投入力度，完善信息安全知識結(jié)構(gòu)，改進課程體系框架，提升教學(xué)質(zhì)量，培養(yǎng)更為全面、優(yōu)秀的信息安全技術(shù)人才。

1高職院校信息安全專業(yè)實踐類課程教學(xué)體系存在的問題

高職院校的教育目標(biāo)在于培養(yǎng)實用型、應(yīng)用型高技能專門人才。在教育過程中，實踐類課程尤為重要。但目前，高職院校信息安全專業(yè)實踐類課程教學(xué)體系普遍存在以下問題。

1.1課程實用性差

部分高職院校在擬定專業(yè)人才培養(yǎng)方案時，雖然在課程設(shè)置上將某門課程定義為實踐課，但在教學(xué)過程中仍側(cè)重理論教學(xué)，實踐內(nèi)容欠缺，實踐時間不足，學(xué)生無法將理論知識轉(zhuǎn)化為實用技能，影響對課程內(nèi)容的掌握，喪失學(xué)習(xí)的積極性。

1.2師資力量薄弱

信息安全屬于新興學(xué)科，大部分專業(yè)教師都是從計算機應(yīng)用、網(wǎng)絡(luò)工程、軟件工程等專業(yè)轉(zhuǎn)型而來，真正信息安全專業(yè)教師數(shù)量少，并且相應(yīng)的專業(yè)教師培訓(xùn)內(nèi)容和規(guī)模不足，制約著師資隊伍的建設(shè)。

1.3教學(xué)基礎(chǔ)設(shè)施滯后

實訓(xùn)室是實踐類課程在校期間完成實踐教學(xué)的重要場所，但很多高校信息安全實訓(xùn)室網(wǎng)絡(luò)環(huán)境單一，主要由交換機、路由器、防火墻等部分網(wǎng)絡(luò)安全設(shè)備組成，設(shè)備種類有限、設(shè)備型號陳舊并缺少各種信息安全軟件實踐平臺，可完成的實訓(xùn)內(nèi)容僅包含安全設(shè)備的部署、調(diào)試等，具有很大的局限性。

1.4教學(xué)內(nèi)容陳舊

信息安全技術(shù)發(fā)展迅速，對高校信息安全專業(yè)知識體系提出了更高的要求。很多高校不能及時更新知識技術(shù)，甚至不能把握當(dāng)前社會的主流應(yīng)用，比如仍然在使用WindowsServer2003和SQLServer2000等漏洞來進行教學(xué)等。教學(xué)內(nèi)容、案例的陳舊，嚴(yán)重束縛了學(xué)生實踐能力的提高。

1.5考核方式落后

各實踐課程考核方式單一，或為純粹筆試、或為筆試加上機實踐操作考試，上機考試時間短并且考試內(nèi)容固定等，無法突出實踐的特色，缺乏合理、有效、全面的考核方法，不能達到檢驗學(xué)生對知識技術(shù)掌握程度的目的。

2基于“CTF競賽”模式的實踐教學(xué)體系構(gòu)建

2.1“CTF競賽”模式

CTF（CaptureTheFlag）中文一般譯作奪旗賽，在信息安全領(lǐng)域中指的是信息安全技術(shù)人員之間進行技術(shù)競技的一種比賽形式。其大致流程是從給出的比賽環(huán)境中找到一串具有一定格式的字符串或其他內(nèi)容（Flag），并將其提交，從而奪得分?jǐn)?shù)。CTF競賽模式具體分為以下三類：解題模式（Jeopardy）。參賽隊伍在線參與，解決給定的網(wǎng)絡(luò)安全技術(shù)挑戰(zhàn)題目，通過答題分?jǐn)?shù)和解題時間來排名。攻防模式（Attack-Defense）。參賽隊伍互相進行攻擊和防守，挖掘網(wǎng)絡(luò)服務(wù)漏洞并攻擊對手服務(wù)來得分，修補自身服務(wù)漏洞進行防御來避免丟分。混合模式（Mix）。結(jié)合了解題模式與攻防模式的特點，參賽隊伍通過解題階段獲取一些初始分?jǐn)?shù)，然后通過攻防對抗進行得分增減的零和博弈，最終以得分高低分出勝負(fù)。

2.2構(gòu)建實踐課程體系

CTF競賽內(nèi)容主要包含密碼分析類、Web安全類、逆向破解類、安全編程類及漏洞發(fā)掘利用類等。所以信息安全專業(yè)課程建設(shè)必須緊扣以上要點，并且可以把內(nèi)容耦合緊密、存在內(nèi)在關(guān)聯(lián)、屬于同一教學(xué)目標(biāo)的一類課程作為一個課程組或?qū)I(yè)方向進行建設(shè)，以此打破課程之間的壁壘，從專業(yè)培養(yǎng)目標(biāo)的層次上對課程內(nèi)容進行分配。具體可將信息安全專業(yè)分為網(wǎng)絡(luò)安全課程群、Web安全課程群、信息安全課程群、軟件安全課程群及服務(wù)器安全課程群等，每個課程群下包含幾門專業(yè)課程，其中某些基礎(chǔ)課程可能在多個課程群中交叉出現(xiàn)。網(wǎng)絡(luò)安全課程群主要培養(yǎng)學(xué)生網(wǎng)絡(luò)組建、網(wǎng)絡(luò)安全設(shè)備部署與調(diào)試、網(wǎng)絡(luò)攻防的能力；Web安全課程群對學(xué)生Web應(yīng)用程序開發(fā)、Web滲透能力的培養(yǎng)；信息安全課程群對信息加解密等信息隱藏技術(shù)的培養(yǎng)；軟件安全課程群主要對學(xué)生安全編程技術(shù)及程序逆向能力的培養(yǎng)；服務(wù)器安全課程群的培養(yǎng)目標(biāo)在于Windows及Linux服務(wù)器操作系統(tǒng)的安全運維。

2.3改進實踐教學(xué)模式

實踐教學(xué)綜合平臺在教學(xué)過程中起到非常重要的作用，大量課程知識點可在平臺上進行學(xué)習(xí)、實踐。利用平臺，將“CTF競賽”教學(xué)模式引入教學(xué)中來，為每一類專業(yè)課程組設(shè)置眾多專業(yè)知識點及測試內(nèi)容，最終形成完整的知識體系。在教師講授完相關(guān)知識后，學(xué)生通過答題、闖關(guān)等方式，自我發(fā)現(xiàn)問題、自發(fā)學(xué)習(xí)并最終解決問題。解決某問題后，獲得相應(yīng)分?jǐn)?shù)，并以此來計算該門課程的最后考核成績。學(xué)生在賽中學(xué)、學(xué)中賽，不斷激發(fā)學(xué)生的學(xué)習(xí)興趣，達到提升教學(xué)效果的目的。

2.4設(shè)計實踐教學(xué)平臺

平臺設(shè)計參照CTF競賽平臺結(jié)構(gòu)，分為信息安全解題平臺網(wǎng)站和網(wǎng)絡(luò)攻防靶機服務(wù)器兩部分。其中信息安全解題平臺網(wǎng)站搭建于真實服務(wù)器上，學(xué)生或小組注冊登錄平臺后，瀏覽注意事項，答題并提交writeup，最后平臺返回得分情況。不同題目設(shè)置不同分值，系統(tǒng)記錄學(xué)生或小組得分情況并分析，得出該學(xué)生或小組對信息知識掌握情況。靶機服務(wù)器運行于VMWarevsphereESXi虛擬機下，可快速組建虛擬局域網(wǎng)并保證靶機的穩(wěn)定性。靶機服務(wù)器分為系統(tǒng)漏洞類靶機、系統(tǒng)網(wǎng)絡(luò)服務(wù)漏洞類靶機、網(wǎng)站漏洞類靶機及綜合類靶機四種，以實現(xiàn)對上述漏洞知識的考查。同時靶機區(qū)分難易程度，分值高低，學(xué)生可由易到難一步步開展信息安全內(nèi)容的學(xué)習(xí)。

3結(jié)語

采用“CTF競賽”模式的信息安全專業(yè)實踐課程體系，能夠極大的激發(fā)學(xué)生學(xué)習(xí)興趣及創(chuàng)新熱情，提供學(xué)生學(xué)習(xí)效率，提高高職院校人才培養(yǎng)質(zhì)量。但在具體實施中仍存在不少問題，如綜合實訓(xùn)平臺的穩(wěn)定性及開發(fā)問題、平臺實踐內(nèi)容分類、設(shè)計等完善的問題、課程內(nèi)容更新的問題等，以上問題有待進一步研究和實踐。只有不斷思考探索，才能緊跟社會，才能達到與社會人才需求相一致的目的。

參考文獻：

[1]百度百科.CTF(奪旗賽)[EB/OL].

[2]魏為民,楊爍.結(jié)合CTF競賽模式的信息安全課堂教學(xué)[J].計算機教育,2017,(6).

[3]閔祥參,范九倫.信息安全專業(yè)課程體系設(shè)置的幾點思考[J].網(wǎng)絡(luò)與信息安全學(xué)報,2016,(7).

作者:王榕 單位:江西外語外貿(mào)職業(yè)學(xué)院