張?jiān)录t

(上海電子信息職業(yè)技術(shù)學(xué)院 通信與信息工程學(xué)院，上海 201411)

網(wǎng)絡(luò)空間正式與海洋、陸地、天空和太空并列成為第五戰(zhàn)場，在當(dāng)前網(wǎng)絡(luò)空間對抗形勢日趨嚴(yán)峻的情況下，基于網(wǎng)絡(luò)仿真與效果評估等關(guān)鍵技術(shù)構(gòu)建的網(wǎng)絡(luò)靶場顯得非常重要[1]。美國、日本、英國和加拿大等國均高度重視網(wǎng)絡(luò)靶場建設(shè)，將其作為支撐網(wǎng)絡(luò)空間安全技術(shù)驗(yàn)證、網(wǎng)絡(luò)武器試驗(yàn)、攻防對抗演練和網(wǎng)絡(luò)風(fēng)險(xiǎn)評估的重要手段。2008年1月,美國啟動(dòng)國家靶場項(xiàng)目,建成后將為美國國防部、陸?？杖姾推渌畽C(jī)構(gòu)服務(wù)。2010年10月,英國國防部宣布成立英國聯(lián)合網(wǎng)絡(luò)靶場，是英國第一個(gè)可以用于商業(yè)用途的網(wǎng)絡(luò)靶場[2]。

我國網(wǎng)絡(luò)靶場建設(shè)目前處于起步階段,僅有部分科研實(shí)驗(yàn)室和行業(yè)專用試驗(yàn)場等，其中科研院校有國防科技大學(xué)、中國科學(xué)院計(jì)算技術(shù)研究所、國家計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心(national internet emergency center， CNCERT/CC)、中國科學(xué)院信息工程研究所、中國電子科技集團(tuán)、哈爾濱工業(yè)大學(xué)、北京郵電大學(xué)等。目前科研院校靶場還處于探索階段，主要用于研究電子信息對抗與仿真技術(shù)，為行業(yè)產(chǎn)品進(jìn)行試驗(yàn)及檢測，規(guī)模一般比較小，且針對某一專業(yè)領(lǐng)域。我國高校攻防實(shí)訓(xùn)室的建成僅僅為了開展信息安全相關(guān)專業(yè)基礎(chǔ)教學(xué)實(shí)驗(yàn)和實(shí)訓(xùn)，很少部署靶場的實(shí)驗(yàn)環(huán)境。同時(shí)由于安全技術(shù)本身的雙面性，也要求對靶場本身的安全進(jìn)行保護(hù)，會(huì)采用虛擬仿真技術(shù)對惡意代碼或網(wǎng)絡(luò)攻擊等進(jìn)行隔離處理[3]。

近幾年，網(wǎng)絡(luò)仿真、網(wǎng)絡(luò)攻擊行為場景仿真、攻擊數(shù)據(jù)采集與安全效能評估等關(guān)鍵技術(shù)取得了突破和技術(shù)積累[4]。安全行業(yè)內(nèi)也建有安全對抗的訓(xùn)練靶場或?qū)嵱?xùn)平臺(tái)，如合天網(wǎng)安實(shí)驗(yàn)室的互聯(lián)網(wǎng)教學(xué)靶場，支持全國300多所高校3萬余名安全專業(yè)學(xué)生和技術(shù)愛好者使用，并每年舉辦“強(qiáng)網(wǎng)杯”挑戰(zhàn)賽等全國知名安全賽事。目前國內(nèi)有多家公司研發(fā)出了信息安全實(shí)驗(yàn)室產(chǎn)品，用于網(wǎng)絡(luò)防護(hù)技術(shù)練習(xí)和開展攻防比賽，如紅亞科技、易霖博等。標(biāo)準(zhǔn)化的實(shí)驗(yàn)室產(chǎn)品存在的主要問題有兩個(gè)：其一在于沒有實(shí)現(xiàn)多樣化的網(wǎng)絡(luò)結(jié)構(gòu)和完整的業(yè)務(wù)流程的場景模擬；其二在于和院校本身的課程體系不能對接[5]。

因此，本文結(jié)合高校自身的科研能力和優(yōu)勢，與企業(yè)合作，利用虛擬化和云技術(shù)，開發(fā)出和信息安全相關(guān)專業(yè)培養(yǎng)目標(biāo)更貼合、能靈活配置業(yè)務(wù)場景的教學(xué)用靶場。

1 高等院校網(wǎng)絡(luò)靶場特點(diǎn)

1.1 網(wǎng)絡(luò)靶場功能

網(wǎng)絡(luò)靶場是針對網(wǎng)絡(luò)攻防演練和網(wǎng)絡(luò)新技術(shù)評測的重要基礎(chǔ)設(shè)施,用來提高網(wǎng)絡(luò)和信息系統(tǒng)的穩(wěn)定性、安全性和性能，可用于培養(yǎng)實(shí)戰(zhàn)型的網(wǎng)絡(luò)安全人才隊(duì)伍。 網(wǎng)絡(luò)靶場的主要作用包括[6]：

(1)網(wǎng)絡(luò)攻防武器評測驗(yàn)證。新型網(wǎng)絡(luò)攻防武器研制出來之后，需要對其進(jìn)行測試驗(yàn)證，即驗(yàn)證其能否有效攻破敵方防護(hù)系統(tǒng)，以及能否有效保護(hù)我方目標(biāo)系統(tǒng)。

(2)科學(xué)試驗(yàn)和新技術(shù)驗(yàn)證。網(wǎng)絡(luò)空間科研人員研制出新的網(wǎng)絡(luò)協(xié)議、新型網(wǎng)絡(luò)設(shè)備以及不同的網(wǎng)絡(luò)新技術(shù)，在網(wǎng)絡(luò)空間上的功能和性能需要進(jìn)行驗(yàn)證。

(3)支持人員培訓(xùn)與演練。隨著新型網(wǎng)絡(luò)攻防武器的研發(fā)，每個(gè)網(wǎng)絡(luò)安全人員能否有效掌握，可以利用網(wǎng)絡(luò)靶場進(jìn)行評估。

具體到在高等院校的教學(xué)環(huán)境下建設(shè)網(wǎng)絡(luò)靶場，其基本需求是模擬業(yè)務(wù)所需的網(wǎng)絡(luò)環(huán)境，管理虛擬網(wǎng)絡(luò)環(huán)境的運(yùn)行，支持師生在模擬的網(wǎng)絡(luò)環(huán)境中完成任務(wù)，并在任務(wù)完成后保存任務(wù)數(shù)據(jù)，釋放模擬網(wǎng)絡(luò)環(huán)境所占用的資源，同時(shí)要能支持對資源的重用。 因此，可以從模擬對象和試驗(yàn)任務(wù)兩個(gè)主要方面分析教學(xué)用網(wǎng)絡(luò)靶場需求，如表1所示。

表1 高等院校網(wǎng)絡(luò)靶場的功能模塊Table 1 Function modules of cyber range in colleges and universities

續(xù)表1

1.2 高等院校網(wǎng)絡(luò)靶場特點(diǎn)分析

高等院校教學(xué)用網(wǎng)絡(luò)靶場要求能支持師生在靶場環(huán)境中進(jìn)行多種場景的試驗(yàn)或測試。網(wǎng)絡(luò)靶場支持網(wǎng)絡(luò)訓(xùn)練場景模擬[7]，通過在網(wǎng)絡(luò)拓?fù)湓O(shè)計(jì)、節(jié)點(diǎn)模擬和環(huán)境構(gòu)建上的一系列設(shè)計(jì)，支持快速構(gòu)建一定規(guī)模的業(yè)務(wù)環(huán)境，以滿足網(wǎng)絡(luò)靶場模擬實(shí)際應(yīng)用的需要。

在試驗(yàn)支撐上，網(wǎng)絡(luò)靶場按訓(xùn)練準(zhǔn)備、訓(xùn)練運(yùn)行和訓(xùn)練收尾分為3個(gè)階段，采用訓(xùn)練及賽事配置工具，提供訓(xùn)練資源準(zhǔn)備、訓(xùn)練環(huán)境設(shè)計(jì)、訓(xùn)練環(huán)境部署、訓(xùn)練數(shù)據(jù)分析規(guī)則配置、人員管理、人員權(quán)限管理、訓(xùn)練態(tài)勢展示、訓(xùn)練環(huán)境管控、訓(xùn)練過程管控、銷毀訓(xùn)練環(huán)境的支撐等。提供子網(wǎng)模板、環(huán)境模板和訓(xùn)練模板，支持管理員復(fù)用網(wǎng)絡(luò)拓?fù)浜陀?xùn)練的設(shè)計(jì)。使用子網(wǎng)模板和環(huán)境模板，便于管理員員將典型的網(wǎng)絡(luò)結(jié)構(gòu)存儲(chǔ)起來，從而降低了重構(gòu)訓(xùn)練和賽事的人工成本。

網(wǎng)絡(luò)靶場中的流量發(fā)生器可提供在訓(xùn)練環(huán)境產(chǎn)生的良性數(shù)據(jù)流量，并實(shí)現(xiàn)網(wǎng)絡(luò)中的設(shè)備運(yùn)行狀態(tài)和流量采集，采集內(nèi)容包括節(jié)點(diǎn)CPU、內(nèi)存、硬盤利用率、文件變化情況、注冊表變化情況、 端口開放情況、流量、網(wǎng)絡(luò)連接情況和進(jìn)程變化等。

網(wǎng)絡(luò)靶場基于網(wǎng)絡(luò)拓?fù)浜筒杉瘮?shù)據(jù)的分析結(jié)果展示實(shí)時(shí)場景態(tài)勢，同時(shí)提供豐富的基礎(chǔ)資源庫，包括鏡像資源、靶機(jī)及測試用機(jī)資源、攻防軟件和典型攻防場景等，為師生使用網(wǎng)絡(luò)靶場提供資源和使用的范例[8]。

2 高等院校網(wǎng)絡(luò)靶場架構(gòu)設(shè)計(jì)與功能分析

用于高等院校教學(xué)環(huán)境的網(wǎng)絡(luò)靶場以需求確定、訓(xùn)練任務(wù)設(shè)定、資源配置、運(yùn)行部署、訓(xùn)練運(yùn)行、數(shù)據(jù)采集和結(jié)果評估作為業(yè)務(wù)流程展開，以支撐訓(xùn)練的整個(gè)生命周期[9]。利用網(wǎng)絡(luò)靶場，可以快速構(gòu)建一定規(guī)模的業(yè)務(wù)環(huán)境，展開相關(guān)的安全訓(xùn)練，在研究完成后可以釋放資源并再利用資源，同時(shí)系統(tǒng)提供的模板可快速重構(gòu)試驗(yàn)。

2.1 技術(shù)架構(gòu)

網(wǎng)絡(luò)靶場的技術(shù)架構(gòu)如圖1所示。此架構(gòu)提供了一種側(cè)重于操作的方法，通過角色和任務(wù)來測試個(gè)人和網(wǎng)絡(luò)防護(hù)團(tuán)隊(duì)的技能和能力。在這個(gè)框架中，每個(gè)用戶都可以分配到一個(gè)學(xué)習(xí)計(jì)劃，這個(gè)計(jì)劃為衡量個(gè)體的熟練程序和整體進(jìn)步提供獨(dú)特的評分方法。

圖1 網(wǎng)絡(luò)靶場系統(tǒng)架構(gòu)Fig.1 Cyber range system architecture

教學(xué)用靶場的功能實(shí)現(xiàn)由三類用戶角色完成：(1)學(xué)生。在模擬的網(wǎng)絡(luò)環(huán)境中學(xué)習(xí)專業(yè)知識(shí)，提高實(shí)踐技能，也可作為一個(gè)團(tuán)隊(duì)成員參與訓(xùn)練和競賽，可以參與遵循學(xué)習(xí)計(jì)劃、訪問知識(shí)庫、參加動(dòng)態(tài)訓(xùn)練和運(yùn)行安全挑戰(zhàn)等靶場活動(dòng)。(2)教師。利用靶場完成日常教學(xué)，同時(shí)可以把網(wǎng)絡(luò)靶場作為評價(jià)學(xué)生的實(shí)踐課堂，主要完成創(chuàng)建用戶學(xué)習(xí)計(jì)劃、監(jiān)控用戶培訓(xùn)、設(shè)計(jì)模擬業(yè)務(wù)場景和制訂動(dòng)態(tài)訓(xùn)練計(jì)劃。(3)管理員。靶場中為管理員提供了管理整個(gè)靶場資源的管理平臺(tái)，用于管理和維護(hù)用戶角色和權(quán)限授予，完成多個(gè)業(yè)務(wù)場景部署，管理用于改善防御周界或內(nèi)部的工具，同時(shí)可以查看所有設(shè)備的硬件使用情況和虛擬機(jī)狀況，主要完成維護(hù)用戶賬號、修改系統(tǒng)設(shè)置、創(chuàng)建/修改用戶角色等管理功能。

在網(wǎng)絡(luò)靶場系統(tǒng)架構(gòu)中，通過儀表盤可以實(shí)時(shí)監(jiān)控參與場景訓(xùn)練的任意學(xué)生的靶機(jī)狀態(tài)和操作，在靶機(jī)出現(xiàn)故障時(shí)，完成環(huán)境重置操作。網(wǎng)絡(luò)安全實(shí)驗(yàn)室是教學(xué)用網(wǎng)絡(luò)靶場的核心部分，包括服務(wù)教育教學(xué)的訓(xùn)練部分和用于仿真建模的模擬部分。訓(xùn)練部分由3個(gè)維度的形式展開，分別是安全基礎(chǔ)知識(shí)學(xué)習(xí)、安全挑戰(zhàn)和動(dòng)態(tài)練習(xí)，按照學(xué)生的學(xué)習(xí)和認(rèn)知規(guī)律，從易到難，由點(diǎn)及面，從知識(shí)掌握到能力形成，是教學(xué)靶場的驅(qū)動(dòng)引擎。

2.2 網(wǎng)絡(luò)靶場的驅(qū)動(dòng)引擎

為推動(dòng)學(xué)生的安全防御能力形成，整個(gè)靶場的訓(xùn)練可以按3個(gè)維度進(jìn)行驅(qū)動(dòng)，分別是基于課堂基礎(chǔ)知識(shí)的實(shí)踐模塊、自定義進(jìn)度的安全挑戰(zhàn)和基于團(tuán)隊(duì)的動(dòng)態(tài)練習(xí)。

2.2.1 基于課堂基礎(chǔ)知識(shí)的實(shí)踐模塊

基于安全能力的形成和遞進(jìn)，課程由易至難安排了3個(gè)模塊，模塊內(nèi)的訓(xùn)練內(nèi)容按安全通信、安全運(yùn)維、安全測試與評估、逆向工程、數(shù)字取證等多個(gè)能力目標(biāo)展開，如表2所示。

表2 基礎(chǔ)知識(shí)實(shí)踐模塊的3個(gè)層次Table 2 Three levels of the basic knowledge experiment module

2.2.2 自定義的安全挑戰(zhàn)

按照安全技術(shù)的發(fā)展現(xiàn)狀及不同的應(yīng)用領(lǐng)域，目前覆蓋5個(gè)類別的安全挑戰(zhàn),包括Web應(yīng)用安全、移動(dòng)安全、密碼學(xué)、網(wǎng)絡(luò)安全及取證，如表3所示。隨著技術(shù)發(fā)展和網(wǎng)絡(luò)靶場訓(xùn)練目標(biāo)調(diào)整，類別和主題均支持?jǐn)U展和升級，如加入物聯(lián)網(wǎng)安全及云計(jì)算安全等內(nèi)容，或?qū)ΜF(xiàn)有主題內(nèi)容進(jìn)行調(diào)整。

表3 安全挑戰(zhàn)的5個(gè)基本類別Table 3 Five basic categories of security challenges

2.2.3 基于團(tuán)隊(duì)的動(dòng)態(tài)訓(xùn)練

網(wǎng)絡(luò)靶場內(nèi)的動(dòng)態(tài)訓(xùn)練可以支持不同的團(tuán)隊(duì)角色類型及功能。紅色團(tuán)隊(duì)扮演攻擊者的角色，試圖通過訪問特定數(shù)據(jù)或破壞特定資源來破壞靶場環(huán)境中基礎(chǔ)設(shè)施的安全，可以使用多種攻擊工具，如用于攻擊的腳本、用于注入目標(biāo)的惡意軟件或后門、用于攔截?cái)?shù)據(jù)流的產(chǎn)品、異常流量生成器等。藍(lán)色團(tuán)隊(duì)的任務(wù)是防御，其目的是在有限的時(shí)間內(nèi)驗(yàn)證和改進(jìn)基礎(chǔ)設(shè)施的安全性，可以用于執(zhí)行安全分析、事故管理的工具及數(shù)字取證工具。

基于各種不同團(tuán)隊(duì)角色，網(wǎng)絡(luò)靶場的動(dòng)態(tài)訓(xùn)練內(nèi)容設(shè)計(jì)有紅藍(lán)軍攻防賽、奪旗賽(CTF，capture the flag)等。除了提供常規(guī)對抗類賽事外，可發(fā)揮網(wǎng)絡(luò)靶場的技術(shù)研究功能，提供惡意代碼分析和電子數(shù)據(jù)分析取證的相關(guān)場景。此外為培養(yǎng)安全評估測試的能力，提供多種仿真應(yīng)用系統(tǒng)鍛煉團(tuán)隊(duì)的漏洞掃描、滲透測試、安全評估及審計(jì)等多項(xiàng)技能。詳見表4。

表4 基于團(tuán)隊(duì)的動(dòng)態(tài)訓(xùn)練內(nèi)容Table 4 Dynamic training content based on team

3 高等院校自行開發(fā)網(wǎng)絡(luò)靶場的優(yōu)劣勢分析

院校自行搭建基于校園環(huán)境的靶場的主要優(yōu)點(diǎn)有：一是開發(fā)的靶場滿足安全專業(yè)教育需求，針對性強(qiáng)；二是通過靶場開發(fā)可以打造一支創(chuàng)新的教學(xué)科研團(tuán)隊(duì)；三是通過項(xiàng)目開發(fā)可以充分實(shí)現(xiàn)校企合作。針對信息安全專業(yè)人才的培養(yǎng)目標(biāo)和專業(yè)優(yōu)勢特色，實(shí)現(xiàn)靶場自主定制開發(fā)，靶場建設(shè)團(tuán)隊(duì)基于教育教學(xué)的實(shí)際需求，集合團(tuán)隊(duì)力量從底層開始搭建靶場，最終建成的網(wǎng)絡(luò)靶場應(yīng)更符合最初的計(jì)劃和設(shè)想，內(nèi)容和形式也將更加適合本院校相關(guān)專業(yè)學(xué)生使用。根據(jù)兩年來的建設(shè)經(jīng)驗(yàn)，院校定制開發(fā)的靶場不僅可以較全面地覆蓋信息安全相關(guān)專業(yè)基礎(chǔ)課程和各個(gè)不同安全應(yīng)用方向類課程，而且通過構(gòu)建靶場的不同業(yè)務(wù)場景能夠?qū)I(yè)務(wù)連續(xù)性與安全管理結(jié)合，多方面展示安全工程管理理念；業(yè)務(wù)場景還為競賽和工程實(shí)戰(zhàn)提供環(huán)境，可以分角色進(jìn)行對抗，還可以多個(gè)學(xué)生組隊(duì)協(xié)作完成滲透測試項(xiàng)目和攻擊代碼分析等拓展訓(xùn)練。已開發(fā)完成的教學(xué)用靶場的部分界面及功能如圖2和圖3所示。

圖2 教學(xué)用網(wǎng)絡(luò)靶場的動(dòng)態(tài)訓(xùn)練登錄界面Fig.2 Dynamic training login interface of the cyber range for teaching

圖3 教學(xué)用網(wǎng)絡(luò)靶場的動(dòng)態(tài)訓(xùn)練配置界面Fig.3 Dynamic training configuration interface of the cyber range for teaching

自建靶場對建設(shè)團(tuán)隊(duì)在專業(yè)能力、實(shí)戰(zhàn)經(jīng)驗(yàn)方面都有著很高的要求。面臨的挑戰(zhàn)主要為[10]：網(wǎng)絡(luò)靶場中包含人、設(shè)備、信息的仿真構(gòu)建；基于應(yīng)用場景的行為、流量、應(yīng)用功能模擬；信息的實(shí)時(shí)采集及數(shù)據(jù)的準(zhǔn)確評估，特別是學(xué)生訓(xùn)練任務(wù)評分規(guī)則的擬定；模擬流量、真實(shí)流量及實(shí)驗(yàn)訓(xùn)練環(huán)境的隔離問題；一體化的管理調(diào)度平臺(tái)，保障平臺(tái)整體安全；靈活的資源分配及回收機(jī)制的設(shè)計(jì)；訓(xùn)練場景與課程、人才培養(yǎng)目標(biāo)的對應(yīng)以及內(nèi)容的同步、更新和升級。

4 結(jié)語

高等院校作為安全人才培養(yǎng)基地，應(yīng)科學(xué)合理地構(gòu)建校園網(wǎng)絡(luò)靶場，既滿足網(wǎng)絡(luò)靶場的基本功能，同時(shí)注重其在教育教學(xué)方面的應(yīng)用實(shí)效。本文提出了3種院校教學(xué)用網(wǎng)絡(luò)靶場的訓(xùn)練維度，分別是以安全知識(shí)和實(shí)踐訓(xùn)練為主的基礎(chǔ)維度、以安全應(yīng)用為主題的挑戰(zhàn)維度和團(tuán)隊(duì)動(dòng)態(tài)訓(xùn)練的角色對抗維度。以這3個(gè)維度來合力驅(qū)動(dòng)網(wǎng)絡(luò)靶場訓(xùn)練，將達(dá)到更全面培養(yǎng)安全人才的目標(biāo)。

本研究構(gòu)建的基于虛擬化和私有云技術(shù)的教學(xué)用網(wǎng)絡(luò)靶場平臺(tái)，目前已具有網(wǎng)絡(luò)攻防實(shí)訓(xùn)及實(shí)戰(zhàn)功能，并在平臺(tái)的內(nèi)測過程中支持學(xué)生的日常練習(xí)和比賽集訓(xùn)，使得學(xué)生在滲透測試、攻防對抗及安全運(yùn)維方面能力不斷提升，推動(dòng)了專業(yè)人才培養(yǎng)質(zhì)量的提高。

網(wǎng)絡(luò)安全問題日趨復(fù)雜，攻防對抗不斷升級，網(wǎng)絡(luò)靶場的內(nèi)容建設(shè)將是一個(gè)不斷迭代更新的動(dòng)態(tài)優(yōu)化過程[11]，不僅內(nèi)容體系要科學(xué)完整，而且還應(yīng)考慮威脅情報(bào)的收集功能，以更新防護(hù)手段和訓(xùn)練模式。同時(shí)教學(xué)用網(wǎng)絡(luò)靶場不僅服務(wù)于本院相關(guān)專業(yè)學(xué)生的實(shí)踐能力培養(yǎng)，還可以面向社會(huì)開展培訓(xùn)和競賽活動(dòng)，這就對網(wǎng)絡(luò)靶場中業(yè)務(wù)場景的多樣性及平臺(tái)自身的安全性提出了更高的要求和挑戰(zhàn)[12]?？傊谔摂M化技術(shù)構(gòu)建的教學(xué)用網(wǎng)絡(luò)靶場平臺(tái)，輔助專業(yè)的實(shí)踐教學(xué)，提供的實(shí)戰(zhàn)項(xiàng)目對學(xué)生掌握網(wǎng)絡(luò)攻擊與防御知識(shí)，開展攻防實(shí)戰(zhàn)演練非常必要。而靶場平臺(tái)的自身建設(shè)和訓(xùn)練內(nèi)容的不斷完善，還需要通過加強(qiáng)校企合作、開展行業(yè)研討交流等方式實(shí)現(xiàn)。