网络安全攻防实验室方案Word格式文档下载.docx
《网络安全攻防实验室方案Word格式文档下载.docx》由会员分享，可在线阅读，更多相关《网络安全攻防实验室方案Word格式文档下载.docx（42页珍藏版）》请在冰豆网上搜索。
2.2缺乏网络安全的师资力量
网络安全是网络行业中技术含量较高的方向，安全人才较为缺乏，学校师资也是一样，好的师资是网络安全实验室教学中的一个重要环节。
通过师资培训，再加上好的环境来实践，可以保障网络安全教学师资的提升。
2.3缺乏实用性强的安全教材
目前市面上面的网络安全教材很多，但绝大部分都是以理论为主，很容易导致学生学习的厌烦感，教材的编排并没有针对性的网络安全实验，这也是网络安全实验开展困难的主要问题。
第三章安全攻防实验室特点
在一个已经部署防毒软件、防火墙、IDS、VPN等安全产品的实验室中，很少有人清晰的知道这些安全产品的作用，以及能够为计算机安全所带来的保障。
配置和组网的实验带给学生的仍然是书面的理论知识，学生没有一个整体的概念。
实验室严重匮乏的是安全设备的组合以及攻防环境的建立，这让很多学校以及企业感到无从着手，无力进行有效的网络安全培训，面对以下问题无所适从：
问题1：
怎样的教学方式才能让学员更加快捷、高效的学习网络安全方面的知识？
问题2：
什么样的教学环境才能让学员更容易、积极的学习网络安全方面的知识，增强网络安全意识？
攻防带给教学最真实的环境、最有效的实验方式，学会真正最实用性安全技术，在实验室中学生可以真实体验到未来工作中的网络状况，并加以排除、维护和改造。
3.1安全攻防实验室简介
目前，各行业用户对信息系统的依赖程度也越来越高，建立持续、稳定、安全的网络是保障用户业务发展的前提。
大家都认识到安全的重要性，纷纷采用防火墙、加密、身份认证、访问控制，备份等保护手段来保护信息系统的安全。
与此同时，安全问题日益严重，病毒、木马、黑客攻击、网络钓鱼、DDOS等安全威胁层出不穷，而且技术越来越复杂，病毒、木马及黑客技术等融合造成了网络安全的巨大危机。
因此，国内人才市场对网络安全工程师的需求量骤增，大中型企业需要精通网络安全的网管人员。
原来的网络安全实验室都是面向设备安装调试以及设备组网的实验室，没有针对网络管理员实际遇到的安全攻防做出相应的训练。
网络攻防实验室采用SZSM的SZSM安全沙盒系统进行试验。
安全攻防实验室使用主流的安全设备：
如防火墙、入侵检测与防御系统、统一威胁管理系统、终端安全系统、安全准入认证系统组成实验网络，将典型安全漏洞实验案例、主机系统加固实验案例以及漏洞扫描案例浓缩到称之为“安全沙盒”的安全攻防实验平台中。
安全沙盒与所有安全设备组合部署成一个强大的网络测试环境，学生和研究人员可以更直观、更有效、更方便地体验设备中安全技术的部署，观察并攻击“安全沙盒”中定制服务器常见的操作系统漏洞和网络应用服务漏洞等，然后在安全沙盒上进行系统加固，并可以利用整网的设备联动发现威胁、主动防御。
安全沙盒的部署拓扑如下：
第四章安全攻防实验室方案
4.1安全攻防实验室设备选型
4.1.1传统安全设备
传统的安全设备包括防火墙、UTM统一威胁管理、入侵检测引擎、认证计费、日志系统等产品，这些传统的安全设备可以组建完整的网络进行设备的安装调试，满足学生了解产品配置、了解产品功能的作用。
传统的安全设备是安全攻防实验室不可或缺的产品，它们的组合可以完成安装调试级别的所有实验。
4.1.2安全沙盒——使实验室具有攻防教学功能的独特产品
SZSM安全沙盒系统——DigitalChinaSecureSandBox（简称：
DCSS）为计算机安全教育提供实验课程以及实验环境。
教师通过登录DCSS系统的管理平台SandBoxManagementCentrol（简称：
SMC）进行实验课程的教学工作，学生也可以通过登录SMC进行教学课程的实验操作。
DCSS是SZSM网络公司专为网络安全攻防实验室研发的产品，是进行网络安全攻击和防御的模拟平台，锻炼学生动态网络安全维护的能力。
其名取材于军事术语“沙盘”，这意味着安全沙盒可以通过模拟实战演练战术和技术，其先进的设计理念为国内首创。
安全沙盒系统为计算机及网络安全教育提供多系统平台的教学课件，在教学、培训过程中，根据需要可以启动基于不同操作系统平台的教学课件，满足所有教学环境的需求。
安全沙盒系统为计算机及网络安全教育提供多模式的安全攻防实验课件，能够进行各种安全威胁的攻防操作，针对不同的攻击防御模式，提供多种实验课件选择。
安全沙盒系统的全部课件均是将安全理论与实际环境和动手操作相结合的实验课程，所有的学习过程中，都需要通过实际动手进行实验操作，完成课件要求的安全威胁攻击以及针对该攻击的安全防御措施。
通过不同的实验课程让学员亲身体验计算机及网络安全的攻防全过程，让学生从枯燥的理论学习中解脱出来，可以极大的提升学生学习网络安全知识的积极性，并帮助学生在未来的就业和职业发展奠定扎实、实用的技术基础和经验。
安全沙盒具有10个千兆电口，其中2个用于管理，8个用于学生实验，可以满足8人同时实验，并具有如下特点满足教学需求：
1、独立的实验环境：
教师通过SMC控制台可以为学生开启各种计算机安全教学课程的实验环境，学生可以在实验环境中进行各种计算机安全的攻防实验。
独立隔离的实验环境不会对其他网络造成危害。
2、可定制的安全实验课件：
教师可以在SMC控制台上进行日常教学的课程定制，根据已有的实验课件，教师可以自行编写教学课程内容。
3、支持多实验课程同时进行：
教师可以在SMC控制台上进行多个计算机安全实验课程的教学，通过启动不动的安全实验课件，为不同的学生分配相应的实验课程。
4、支持单独的实验评分系统：
教师可以在SMC控制台上为上课的学生进行实验评分，每个学生都可以有自己的实验分数，且支持对学生实验成绩可以导出功能。
5、具备实验课程在线帮助：
学生在进行每个实验课程时，都可以通过在线实验说明，实验提示步骤，自行完成实验课程。
6、可扩展的实验课件体系：
安全沙盒系统可以通过不断的更新实验课件，不断扩容实验能力，可以无限为计算机安全教学提供长期的实验操作平台。
4.2安全攻防实验室拓扑图
在安全攻防实验室方案中，我们把实验室分成了六个区域：
1、网络VPN安全域：
使用防火墙进行VPN技术的组网和配置，让学生了解VPN技术的特点、适用范围以及安装调试。
2、网络接入安全域：
使用802.1x技术、web接入技术或者PPPoE接入技术管理接入安全，也可以利用DCSM内网安全管理系统进行病毒检查和资产评估。
3、内网核心安全域：
部署日志系统和Radius服务器进行安全审计。
4、网络边界域：
具有流量整形网关设备、UTM和BAS设备，可以很完整的管理边界安全。
5、模拟外网安全域：
主要进行远程接入的安全设置以及模拟外网产生的恶意扫描和攻击。
6、系统攻防演练区：
安全沙盒是主要设备，在安全沙盒上进行系统的攻击和防御，IDS入侵检测引擎负责网络安全的嗅探和威胁发现。
为了保证安全沙盒不对网络的其他区域造成危害，还需要使用防火墙和其他区域隔离，使用DCSM内网安全管理系统对这些工具和软件进行资产管理，防止学生私自复制，对校园网络造成危害。
安全攻防实验室不再是普通意义上的设备安装调试级别的实验室，它带来全新的实验室理念，即运维攻防级别的实验室理念，它提供了全动态绝对真实的网络实训环境。
对学生而言网络不再是一台台静止的设备组成，而是具有各种关联，提供各种服务，存在各种威胁的一个动态的整体。
4.3安全攻防实验室课程体系
形成专门的两级安全认证体系：
4.3.1初级DCNSA网络安全管理员课程
掌握程度分为：
掌握、理解、了解三个层次。
项目类型
一级知识点
二级知识点
课时数
掌握程度
项目1：
局域网安全攻防技术
局域网设备安全
交换机设备安全
2
掌握
安全的控制台访问
配置特权密码
1
servicepassword-encryption命令
配置多个特权级别
警告标语（WarningBanners）
交互式访问
安全vty访问
安全Shell（SSH）协议
禁用不需要的服务
局域网常见安全威胁及解决方案
MACflooding/MACspoofing
4
理解
spanning-tree攻击
了解
VLAN跳转
DHCP攻击（虚假DHCP防御和DHCP拒绝服务攻击防御）
ARP扫描/ARP攻击/ARP欺骗
项目2：
互联网接入安全攻防技术
互联网接入设备安全
互联网接入常见威胁及解决方案
过滤IP网络流量
过滤Web和应用流量
特洛伊木马
扫描器
拒绝服务攻击
项目3：
网络互联数据安全攻防技术（VPN、VPDN）
网络互联设备安全
网络互联常见威胁及解决方案
数据监听
数据篡改
数据重放
非法的数据来源
使用IPSEC实现数据的加密、认证、反重放
8
项目4：
互联网接入身份验证AAA
互联网接入身份验证设备安全
配置IEEE802.1X实现互联网接入身份认证
配置PPPOE实现接入客户端身份认证
配置webportal实现接入客户端身份认证
课时合计
96
4.3.2中级DCNSE网络安全工程师课程
网络安全综述
网络安全的现状
网络为什么不安全
安全威胁手段
安全防范措施
计算机网络安全术语
黑客
密码技术概念
访问控制技术概念
数字签名
网络安全策略
数据物理安全
数据机密
数据完整性
数据可控
数据可用
身份鉴别
数据鉴别
数据防抵赖
审计与监测
企业网络安全技术
防火墙技术
防火墙概述
防火墙实施
防火墙局限
入侵检测技术
入侵检测技术概述
入侵检测系统分类
入侵检测系统实施
企业网络与UTM设备
UTM系统概述
UTM的基本内涵
UTM的实施
多维绿网技术
基础网络和防火墙的部署
入侵检测系统部署
接入认证系统部署
802.1x交换机系统部署
加密技术
传统的加密方法
现代主流加密方法
秘密密钥加密算法
公开密钥加密算法
算法的混合使用
密钥的管理
数字签名的概念
数字签名的基本形式
信息摘要技术
数据完整性的概念
数字签名的实现
基于RSA的数字签名
认证技术
数字证书
什么是数字证书
为什么要用数字证书
数字证书原理介绍
证书与证书授权中心
数字证书的应用
公钥基础设施PKI
PKI构成
PKI服务
PKI应用模式
黑客攻击手段揭秘
常见黑客技术及系统的缺陷
一般攻击步骤
端口扫描
网络监听
缓冲区溢出
IP欺骗（可选）
黑客攻击系统的工具和步骤
网络病毒机制与防护
计算机病毒的工作原理
病毒分类
引导型病毒
文件型病毒
混合型病毒
其他病毒
计算机网络病毒的防范
特征代码法
校验和法
行为监测法
软件模拟法
网络病毒实例
CIH病毒
蠕虫病毒
2002年流行病毒
2003年流行病毒
操作系统安全问题及保护措施
WindowsNT/2000的安全与保护措施
WindowsNT/2000系统的缺陷
WindowsNT/2000系统攻击与防范实例
Linux系统的缺陷与数据保护
合计
128
4.4高级安全攻防实验室实验项目
4.4.1基本实验
实验类型
实验项目
防火墙设备实验
防火墙外观与接口介绍
防火墙用户管理
管理员地址设置
恢复出厂设置
配置文件保存与恢复
产品升级实验
防火墙透明模式初始配置
防火墙透明模式配置网络对象
防火墙透明模式配置安全规则
防火墙路由模式初始配置
防火墙路由模式配置网络对象
防火墙路由模式设置路由及地址转换策略
防火墙路由模式配置安全规则
混合模式初始配置
混合模式配置网络对象
混合模式设置路由及地址转换策略
混合模式配置安全规则
防火墙日志系统实验
双机热备（选修）
抗DoS实验（选修）
VPN虚拟专用网实验
VPN设备——设备隧道的建立
VPN客户端——VPN设备隧道的建立
IPSECVPN实验
SSLVPN实验
IDS入侵检测系统实验
安装顺序介绍
0.5
配置传感器
安装数据库
安装LogServer
Event-Collector的安装与配置
NIDSConsole的安装与配置
NIDSReport的安装与配置
查询工具的使用
安全响应策略的配置及防火墙联动
UTM统一威胁管理系统实验
UTM的基本配置
利用UTM进行网络病毒控制
利用UTM进行垃圾邮件控制（选修）
利用UTM进行P2P控制
安全接入和认证计费实验
DCBI-3000安装
DCBI-3000使用
DCBI-3000WEB自服务系统安装
DCBI-3000WEB自服务系统使用
802.1X功能的组网调试
DCBA-3000W基本调试命令
DCBA-3000W配置Radius
DCBA-3000WNAT调试说明
DCBA-3000WFilist调试说明
DCBA-3000WACL调试说明
DCBA-3000W二次认证（桥模式）配置实验
DCBA-3000W二次认证（路由模式）配置实验
攻击实验基础
网络监听sniffer
扫描器+口令探测superscanx-scanSSS流光
拒绝服务攻击（DDOS）
安全攻防综合实验
（使用DCSS）
Windows缓冲区溢出漏洞利用（MS06-040）
数据库漏洞利用（MySQL）
SQL注入攻击（MySQL）
木马植入（Web挂马）
木马利用与防护（灰鸽子）
Linux主动防御（配置安全）
Linux漏洞利用（CVE-2005-2959、CVE-2006-2451）
口令破解（口令猜测与网络窃听）
数据库主动防御（MySQL）毒邮件
首页篡改（Apache）
系统安全加固实验
—审核系统安全性
访问控制
账号安全策略
管理员权限
网络服务（IIS和NETBIOS的安全设置）
文件系统安全
安全日志
多维绿网综合网络安全实验
安全防护系统的部署
IDS入侵检测系统部署
模拟攻击并进行阻断（外部）
接入认证系统部署
模拟攻击并进行阻断（内部）
4.4.1扩展实验
安全沙盒是一个可以不断扩展的实验平台，教师可根据课程需要自行研发扩展实验，教师按照一定的研发规则自行研发相应实验课件导入安全沙盒，SZSM提供必要的技术支持。
实验点
密码学实验
古典密码算法
Kaiser密码、单表置换密码
对称密码算法
对称密码体系、DES算法、AES算法
非对称密码算法
非对称密码体系、RSA算法、ELGamal算法
Hash算法
MD5哈希函数、SHA-1哈希函数
手工实现安全通信过程
数字签名、对称密钥加密、非对称密钥加密
利用PGP实现安全通信过程
PGP加密机制
PKI应用实验
IIS服务器安全通信
PKI体系、证书生成与签发、IIS服务器证书安装与认证
Apache服务器安全通信
OpenSSL证书生成与签发、Apache服务器证书安装与认证
安全审计实验
IIS下个人网站搭建
HTML语言及语法结构、IIS个人网站搭建
WEB日志审计
Windows日志系统、IIS日志格式、日志审计、WEB漏洞扫描
Linux主机安全审计
常用Linux日志文件、Linux文件完整性、LSAT审计
单机攻防实验
Windows口令破解
暴力破解、字典破解
Linux口令
阴影口令、阴影文件、Linux口令加密算法
CPU寄存器、堆栈、函数调用过程、缓冲区溢出方式、Windows缓冲区溢出、Linux下溢出实现权限提升
Windows下文件恢复
硬盘物理结构、Windows文件存储结构、Windows文件系统
Linux下文件恢复
Ext2文件系统、Ext3文件系统
网络攻防实验
TCP协议、UDP协议、ICMP协议、全连接扫描、半连接扫描、UDP端口扫描、主机扫描
漏洞扫描
升级会员 