网络空间安全学科专业研究型教学框架及基础认知

潘丽敏 罗森林 张 笈 王 越

(北京理工大学信息系统及安全对抗实验中心 北京 100081) (panlimin@bit.edu.cn)

信息系统、信息科技是人类社会发展的永恒主题之一，越发展到高级阶段人们对其依赖性就越强.信息安全问题已影响到国家社会政治的稳定、经济的发展、文化的繁荣、国防的建设(如美军准备“赛博空间作战”便是一例，并已明确提出建立“网络安全部队”和在中小学生中培养“网络战士”)，是信息科技融入社会可持续发展中一个不可忽视的重要问题.从战略上我国于2014年成立了“信息安全委员会”、“网络安全和信息化领导小组”(习近平任小组组长，他在讲话中谈到“没有网络安全就没有国家安全！”)，2015年国家建立“网络空间安全”一级学科，2016年批准建立网络空间安全博士点，2015年发布新版国家安全法[1]，2016年发布网络安全法[2]等，足以说明现在国家对信息安全非常重视[3].

网络空间安全学科专业的建设与发展，需要从系统层建立其人才培养体系和教学内容，重点培养学生的科学思维，树立运动发展观以及获得、掌握知识与解决问题的能力.同时，在教学内容方面应能及时把教研成果或学科最新发展成果引入教学，即具有基础性内容也有前沿性内容，即有经典内容也有现代内容，同时整合好所有专业课程内容之间的关系.在教学方法和手段方面应能够理论联系实际，融知识传授、能力培养、素质教育于一体，课内、课外活动相结合，能够有效地调动学生的学习积极性，促进学生的积极思考，激发学生的潜能.同时，注重对学生知识运用能力的考察.

信息安全对抗领域涉及的内容广泛，无法由各种现有技术方法入手分门别类分析具体技术原理、性能和优缺点等，这样也会使得课程内容繁杂，不易理出脉络；另一方面也容易发生“只见树木不见森林”的现象而疏漏了重要的系统概念和规律.本文基于信息安全与对抗的基本规律特点，建立了网络空间安全学科专业研究型教学框架，同时讨论了系统层次、基础层次原理以及系统层次的对抗方法，构建并分析了共道-逆道博弈模型[4].

1 研究型教学框架

信息安全与对抗技术涉及面广，该领域学生的培养若按惯例做法，即由各种现有技术方法入手分门别类分析具体技术原理、性能和优缺点等，由此引导学生悟出深层次的“道”以达到培养能力和掌握基本概念、规律，提高解决问题能力的目的.

信息安全与对抗实质上是系统性问题，遵守“全量大于诸分量之和”定理分别研究分项技术，然后简单求和，这并不能代表整体，也很难“整合”成整体.经过反复教学研究和实践，形成3点主要思想[4]：1)概念和原理应采用由顶层至下层展开，然后用例子进行反馈；2)内容由普适性向专属性展开，以做到普适与专属相结合；3)作为信息领域理工科学生的信息安全与对抗专业基础课教材，要突出信息安全与对抗领域的基本概念、原理和方法，鼓励学生深入思考，灵活应用；贯彻矛盾对立统一运动发展演化的原理，并将其融入到教材具体问题中进行分析、综合，逐步建立信息安全与对抗领域普遍性的原理和方法.

主要内容上着重系统功能、结构、环境间多层次、多剖面的关系所蕴涵的本质矛盾，及其在现实条件约束下形成对立统一动态演化的“正”“反”问题.研究“正”“反”问题是其中重要内容之一，安全与攻击的对抗问题就是一类正反斗争.矛盾是永远存在的，它是在一定现实条件约束下以对立面不断转化主要位置的演化过程而“存在”的，在此基础上研究“正”“反”问题的结果都是动态相对的，也包括一切技术和理论的新突破所带来的优势.由于在发展进程中是有时间性及相对性的，因此不断发展才是硬道理.

图1所示为网络空间安全理论教学内容框架，纵向分为3个层次，即理论、技术与实践，并由前沿技术和科研工作支撑.同时，辅以内容紧密相关和支持类的课程内容，例如信息网络、计算原理与技术、数字通信等课程[4-8].

图1 网络空间安全理论教学内容框架

图2所示为信息系统与安全对抗理论课程的主要内容框架[4,6]：

图2 信息系统与安全对抗理论课内容框架

2 基础层和系统层原理

2.1 基础层面原理[1]

1) 信息系统特殊性保持利用与攻击对抗原理

在各种信息系统中，其工作规律、原理可以概括地理解为在普遍性(相对性)基础上对某些“特殊性”的维持和转换，如信息的存储和交换、传递、处理等.“安全”可理解为“特殊性”的有序保持和运行，各种“攻击”可理解为对原有的序和“特殊性”进行有目的的破坏、改变以至渗入，实现攻击目的的“特殊性”.在抽象概括层次方面，信息安全与对抗的斗争是围绕特殊性而展开的，信息安全主要是特殊性的保持和利用.

2) 信息安全与对抗信息存在相对真实性原理

伴随着运动状态的存在必定存在相应的“信息”.同时，由于环境的复杂性，具体的“信息”可有多种形式表征运动，且具有相对的真实性.信息作为运动状态的表征是客观存在的，但信息不可能被绝对隐藏、仿制和伪造，这是运动的客观存在及运动不灭的本质所形成的，信息存在具有相对性.

3) 广义时空维信息交织表征及测度有限原理

各种具体信息存在于时间与广义空间中，即信息是以某种形式与时间、广义空间形成的某些“关系”来表征其存在的.信息的具体形式在广义空间所占大小以及时间维中所占长度都是有限的.在信息安全领域，可将信息在时间、空间域内进行变换和(或)处理以满足信息对抗的需要.例如，信息隐藏中常用的低截获概率信号，便是利用信息、信号在广义空间和时间维的小体积难以被对方发现截获的原理.

4) 在共道基础上反其道而行之相反相成原理

该原理是矛盾对立统一律在信息安全领域的一个重要转化和体现.“共其道”是基础和前提，也是对抗规律的一部分，在信息安全对抗领域以“反其道而行之”为核心的“逆道”阶段是对抗的主要阶段，是用反对方的“道”以达到己方对抗目的的机理、措施、方法的总结.运用该原理研究信息安全对抗问题，可转化为运用此规律研究一组关系集合中复杂的动态关系的相互作用.相反相成原理表现在对立面互相向对方转换，借对方的力帮助自己进行对抗等，都是事物矛盾时空运动复杂性多层次间“正”“反”并存的斗争，在矛盾对立统一律支配下产生辩证的矛盾斗争运动过程.

5) 在共道基础上共其道而行之相成相反原理

信息安全对抗双方可看作互为“正”“反”，在形式上以对方共道同向为主，实质上达到反向对抗(逆道)效果的原理，称为共其道而行的相成相反原理.“将欲弱之，必固强之，将欲废之，必固举之，将欲取之，必固予之”，在信息安全对抗领域该原理中的“成”和“反”常具有灵活多样的内涵.例如，攻击方经常组织多层次攻击，其中佯攻往往吸引对方的注意力，以掩盖主攻易于成功，而反攻击方识破佯攻计谋时往往也佯攻以吸引对方主攻早日出现，然后痛击之.

6) 争夺制对抗信息权，快速建立对策响应原理

根据信息的定义和信息存在相对性原理，双方在对抗过程所采取的任何行动必定伴随产生“信息”，这种“信息”称为“对抗信息”.它对双方都很重要，只有通过它才能判断对方攻击行动的“道”，进而为反对抗进行“反其道而行之”提供基础，否则无法“反其道而行之”，更不要说“相反相成”了.围绕“对抗信息”所展开的双方斗争是复杂的空、时域的斗争，除围绕“对抗信息”隐藏与反隐藏体现在空间的对立斗争外，在时间域中也存在着“抢先”“尽早”意义上的斗争，同样具有重要性.时空交织双方形成了复杂的“对抗信息”斗争，成为信息安全对抗双方斗争过程第一回合的前沿焦点，并对其胜负起重要作用.

2.2 系统层面原理[1]

1) 主动、被动地位及其局部争取主动力争过程制胜原理

该原理说明，发动攻击方全局占主动地位，理论上它可以在任何时间、以任何攻击方法、对任何信息系统及任何部位进行攻击，攻击准备工作可以隐藏进行.被攻击方在这个意义上处于被动状态，这是不可变更的，被攻击方所能做的是在全局被动下争取局部主动.争取局部主动的主要措施如下：尽可能隐藏重要信息；事前不断分析己方信息系统在对抗环境下可能遭受攻击的漏洞，事先预定可能遭攻击的系统性补救方案；动态监控系统运行，快速捕捉攻击信息并进行分析，科学决策并快速采取抗攻击有效措施；在对抗信息斗争中综合运筹争取主动权；利用假信息设置陷阱诱使攻击方发动攻击而加以灭杀等.

2) 信息安全问题置于信息系统功能顶层综合运筹原理

信息安全问题是嵌入到信息系统功能中的一项非常重要的功能，但毕竟不是全部功能而是只起保证服务作用.因此，对待安全功能应根据具体情况，科学处理、综合运筹，并置于恰当的“度”范围内.但需着重说明的是，针对安全功能要求高的系统，必然要考虑并在系统设计之初就应考虑信息安全问题.

3) 技术核心措施转移构成串行链结构，形成脆弱性原理

任何技术的实施都是相对有条件的发挥作用，必依赖于其充要条件的建立，而“条件”再作为一个事物又不可缺少地依赖其所需条件的建立(条件的条件)，每一种安全措施由达目的的直接措施出发逐步落实效果过程中，必然遵照从技术核心环节逐次转移直至普通技术为止这一规律，从而形成串行结构链规律.

4) 基于对称变换与不对称性变换的信息对抗应用原理

“变换”可以指相互作用的变换，可以认为是事物属性的“表征”由一种方式向另一种转变，也可认为是关系间的变换，即变换关系.在数学上可将变换看成一种映射，在思维方法中将进行变换看成一种“化归”.这种原理也可用于信息安全对抗领域，即利用对称变换保持自己的功能，同时利用对方不具备对称变换条件以削弱对方达到对抗制胜的目的.

5) 多层次和多剖面动态组合条件下间接对抗等价原理

设系统构成可划分L0,L1,L2,…,Ln的层次结构，且L0⊂L1⊂L2⊂…⊂Ln,如在Li层子系统受到信息攻击，采取某措施时可允许在Li层性能有所下降，但支持在Li+j层采取有效措施，使得在高层次的对抗获胜，从而在更大范围获胜.因此，对抗一方绕开某层次的直接对抗，而选择更高、更核心层进行更有效的间接式对抗称为间接对抗等价原理.

3 系统层和技术层方法

3.1 系统层次方法

在信息安全对抗问题的运行斗争中，基础层次和系统层次原理在应用中，你中有我，我中有你，往往交织地、相辅相成地起作用，而不是单条孤立地起作用，重要的是利用这些原理观察、分析掌握问题的本征性质，进而解决问题.人们称实现某种目的所遵循的重要路径和各种办法为“方法”，“方法”的产生是按照事物机理、规律找出具体的一些实现路径和办法，因此对应产生办法的“原理”集，它是“方法”的基础，在信息安全与对抗领域，重要的问题是按照实际情况运用基础层和系统层原理，灵活地创造解决问题的各种方法.

1) “反其道而行之相反相成”方法.该方法具有指导思维方式和起核心机理的作用，“相反相成”部分往往巧妙地利用各种因素，包括对方“力量”形成有效的对抗方法.

2) “反其道而行之相反相成”方法与“信息存在相对性原理”、“广义空间维及时间维信息的有限尺度表征原理”相结合，可以形成在信息进行攻击或反攻击的方法.

3) “反其道而行之相反相成”方法与“争夺制对抗信息权及快速建立系统对策响应原理”相结合，为对抗双方提供的一类对抗技术方案性方法.

4) “反其道而行之相反相成”原理、“争夺制对抗信息权及快速建立系统对策响应原理”、“技术核心措施转移构成串行链结构而形成脆弱性原理”，3个原理相结合形成一类对抗技术性方法.

5) “反其道而行之相反相成”方法及“变换、对称与不对称变换应用原理”相结合，指导形成或直接形成的一类对抗技术方案性方法.

6) “共其道而行之相成相反”方法.“相成相反”展开为：某方在某层次某过程对于某事相成；某方在某层次某过程对于某事相反.前后2个“某方”不一定为同一方.在实际对抗过程中，对抗双方都会应用“共其道而行之相成相反”方法.

7) 针对复合式攻击的各个击破对抗方法.复合攻击是指攻击方组织多层次、多剖面时间、空间攻击的一种攻击模式，其特点是除在每一层次、剖面的攻击奏效都产生信息系统安全问题外，实施中还体现在对对方所采取对抗措施再形成新的附加攻击，这是一种自动形成连环攻击的严重攻击.对抗复合攻击可利用对方攻击次序差异(时间、空间)各个击破，或使对抗攻击措施中不提供形成附加攻击的因素等.

3.2 攻防过程分析[2]

1) 网络攻击行为过程分析

图3所示为一般攻击行为过程示意图，一个攻击行为的发生一般有3个阶段，即攻击准备、攻击实施和攻击后处理.当然，这种攻击行为有可能对攻击目标未造成任何损伤或者攻击未成功.

图3 攻击行为过程示意图

① 攻击准备.攻击的准备阶段可分为确定攻击目标和信息收集2个子过程.攻击前首先确定攻击目标，而后确定要达到什么样的攻击目的，即给对方造成什么样的后果，常见的攻击目的有破坏型和入侵型2种.破坏型攻击指的破坏目标，使其不能正常工作，而不是控制目标系统的运行.另一类是入侵型攻击，这种攻击是要获得一定的权限达到控制攻击目标或窃取信息的目的.入侵型攻击较为普遍，威胁性大，因为一旦获得攻击目标的管理员权限就可以对此服务器做任意动作，包括破坏性质的攻击.此类攻击一般利用服务器操作系统、应用软件或者网络协议等系统中存在的漏洞进行.在确定攻击目标之后，最重要的是收集尽可能多的关于攻击目标的信息，以便实施攻击，这些信息主要包括：目标的操作系统类型及版本，目标提供的服务类型，各服务器程序的类型、版本及相关的各种信息等.

② 攻击实施.当收集到足够的信息后，攻击者就可以实施攻击了，对于破坏型攻击只需利用必要的工具发动攻击即可.但作为入侵型攻击，往往要利用收集到的信息找到系统漏洞，然后利用该漏洞获得一定的权限，有时获得一般用户的权限就足以达到攻击的目的，但一般攻击者都想尽办法获得系统最高权限，这不仅为了达到入侵的目的，在某种程度上也是为了显示攻击者的实力.系统漏洞一般分为远程和本地漏洞2种，远程漏洞是指可以在别的机器上直接利用该漏洞进行攻击并获得一定的权限，这种漏洞的威胁性相当大，攻击行为一般是从远程漏洞开始，但是利用远程漏洞不一定获得最高权限，往往获得一般用户的权限，只有获得了较高的权限(如管理员的权限)才可以进行入侵行为(如放置木马程序).

③ 攻击后处理.如果攻击者完成攻击后，立刻离开系统而不做任何后续工作，那么他的行踪将很快被系统管理员发现，因为所有的网络操作系统都提供日志记录功能，会把系统上发生的事件记录下来，所以攻击者发动完攻击后一般要做一些后续工作.对于破坏型攻击，攻击者隐匿踪迹是为了不被发现，而且还有可能再次收集信息以此来评估攻击后的效果.对于入侵型攻击最重要的是隐匿踪迹，攻击者可以利用系统最高管理员身份随意修改系统上文件的权利.隐匿踪迹最简单的方法是删除日志，但这样做虽然避免了系统管理员根据日志的追踪，但也明确地告诉管理员系统已经被入侵，所以一般采用的方法是修改日志中与攻击行为相关的那一部分日志，而不是删除日志.但只修改日志仍不够，有时还会留下蛛丝马迹，所以高级攻击者可以通过替换一些系统程序的方法进一步隐藏踪迹.此外，攻击者在入侵系统后还有可能再次入侵该系统，所以为了下次进入的方便，攻击者往往给自己留下后门，如给自己添加一个账号、增加一个网络监听的端口、放置木马等.还有一种方法，即通过修改系统内核的方法可以使管理员无法发现攻击行为的发生，但这种方法需要较强的编程技巧，一般的攻击者较难完成.

2) 信息安全防御行为和对抗过程分析

一般情况下被攻击方几乎始终处于被动局面，他不知道攻击行为在什么时候、以什么方式、以什么样的强度来攻击，故而被攻击方只有沉着应战才有可能获取最佳效果，把损失降到最低.单就防御来讲，相应于攻击行为过程，防御过程也可分为3个阶段，如图4所示，即确认攻击、对抗攻击、补救和预防.防御方首先要尽可能早地发现并确定攻击行为、攻击者，所以平时信息系统要一直保持警惕，收集各种有关攻击行为的信息，不间断地进行分析、判定.系统一旦确定攻击行为的发生，无论是否具有严重的破坏性，防御方都要立即、果断地采取行动阻断攻击，有可能的情况下以主动出击的方式进行反击(如对攻击者进行定位跟踪).此外，尽快修复攻击行为所产生的破坏性，修补漏洞和缺陷来加强相关方面的预防，对于造成严重后果的还要充分运用法律武器.

图4 防御行为过程示意图

① 确认攻击.攻击行为一般会产生某些迹象或者留下踪迹，所以可根据系统的异常现象发现攻击行为：如异常的访问日志、网络流量突然增大、非授权访问(如非法访问系统配置文件)、正常服务的中止、出现可疑的进程或非法服务、系统文件或用户数据被更改、出现可疑的数据等.发现异常行为后要进一步根据攻击的行为特征，分析、核实入侵者入侵的步骤，分析入侵的具体手段和入侵目的.一旦确认出现攻击行为，即可进行有效的反击和补救.总之，确认攻击是防御、对抗的首要环节.

② 对抗攻击.一旦发现攻击行为就要立即采取措施以免造成更大的损失，同时在有可能的情况下给以迎头痛击，追踪入侵者并绳之以法.具体地可根据获知的攻击行为手段或方式采取相应的措施，比如，针对于后门攻击及时堵住后门、针对病毒攻击利用杀毒软件或暂时关闭系统以免扩大受害面积等.还可采取反守为攻的方法追查攻击者，复制入侵行为的所有影像作为法律追查分析、证明的材料，必要时直接通过法律武器解决或报案.

③ 补救和预防.一次攻击和对抗过程结束后，防御方应吸取教训，及时分析和总结问题所在，对于未造成损失的攻击要修补漏洞或系统缺陷；对于已造成损失的攻击行为，被攻击方应尽快修复，尽早使系统工作正常，同时修补漏洞和缺陷，需要时运用法律武器追究攻击方的责任.总之，无论是否造成损失，防御方均要尽可能地找出原因，并适时进行系统修补(亡羊补牢)，而且要进一步采取措施加强预防.

4 博弈模型及应用分析

4.1 对抗博弈模型[1]

将待研究问题高度抽象概括构成以数学概念、理论、方法等为基础的一组数学关系(或称数学结构)用以同态表征运动规律，称为数学模型.建立模型解决问题是人们利用人脑对欲解决问题进行抽象，是最常用一种化归方法.建立模型的同时也是一种映射关系的建立，即由运动着的事物通过掌握信息及其本质特征建立一种本质关系的映射.根据具体情况，简单的事物可对其本质关系建立一种简单模型；复杂事物有着多层次、多剖面的动态关系，其模型可能有多层次、多剖面的隶属关系，可以根据不同的前提条件和用于不同目的建立多种不同的模型.

信息安全与对抗问题本身是一个极为复杂的问题，如果能对这样一个复杂问题经过对问题原型的简化、浓缩抽象后得出一种模型，将会对信息安全与对抗的研究起到积极指导作用，这也是信息安全与对抗系统层次上的分析和研究.如图5所示，是通过分析信息攻击与防御过程，从系统的角度建立的一种信息安全与对抗过程的“共道-逆道” 博弈抽象模型[6-8]：

图5 信息安全与对抗体系“共道-逆道”博弈模型

首先攻击与对抗是一个过程，对于整体系统以及时间轴来讲这个过程是不断连续的，随着人类社会的发展而连续，即攻击与对抗过程贯穿于整个人类社会的发展过程.但从分析、理解、设计、评价的角度，一个具体的过程又可以置于准静态条件下进行分析和建模.针对具体系统的一次攻击与对抗而言，它是连续中的间断，有头有尾，具有不同的对抗斗争的方法；还可分为不同的子阶段，子阶段之间即有衔接也有区别，所以可以说一个具体的攻击对抗是一个即有连续又间断的过程，双方都希望对方早些失败来结束该过程.但是，就整体而言，信息安全与对抗是一种矛盾的发展过程，将不断演化和发展.

过程是相对于时间而言的，所以网络攻击与对抗过程模型应以时间轴为基准，把整个攻击和对抗行为映射于具有相对位置的时间轴上，这种时间关系对于双方在不透明情况下对抗斗争以及知彼知已很重要，即获得信息越及时、越早越好，行动也要尽早、尽快，要力争对方来不及反应前动手，即攻其不备取其无意，时间拖得越长信息越容易暴露，行动就越易于失败，同时也会丧失主动权，这些均是攻守双方都力求避免的局面.

“道”源于老子道德经，这里意指规律、秩序、机制原理等，“共道”是遵循共同原理机制、秩序、机制、原理之意；“逆道”是指相“逆”而行.这里应该强调的是，信息系统中“共道”是一个内容的集合，不只是单一元素；同样“逆道”也是一个内容集合.模型中“共道”指为达到某种攻击目的所必要的“共道”集合，其中可能有多种元素，是“共道”内容集合的子集，即是达到攻击目的的必要元素的集合；同样“逆道”也是达目的的必要元素的“逆道”内容集合的子集.

综合考虑时间因素、过程因素以及“道”之因素，便形成了具有串联结构的信息安全与对抗过程的“共道-逆道”的抽象模型.从图5可知，总体上讲，对于一次攻击与对抗过程可分为3个阶段，即“共道”阶段、“逆道1”阶段和“逆道2”阶段.前面分析中攻击方和被攻击方行为均为3个阶段，但模型中的3个阶段的划分有所不同，即此模型不是攻击和防御过程3阶段的简单堆砌或拼凑.模型以时间轴为基准，攻击方和被攻击方的行为过程有较严格的时间对照关系.很明显，被攻击方一般情况下处于被动局面，虽然能提供主动防御措施但很难预测得出攻击行为的发生(虽然通过统计可以发现某些类型和攻击，但大多数据情况下这种方法并不能起作用).而攻击方始终处于主动，能在任何时间、任意地点以任何方式实施攻击(图5中的横向双箭头是指该“行为”在时间轴上的移动).

4.2 模型分析应用[2]

“共道”阶段：对于攻击方而言，在“共道”阶段将主要利用共有的信息(如规律、机制、原理等)进行信息收集，当收集到足够信息后便可作出决策是否需要进一步收集“逆道”信息(如系统漏洞或缺陷等)或实施攻击.如果欲立即实施攻击，其过程便可直接转致“逆道2”阶段，即实施攻击阶段(如拒绝服务攻击，它并不需要进行收集逆道信息便可直接实施攻击)，这种情况下整个攻击与对抗过程为2个阶段，即“共道”和“逆道2”阶段.对于被攻击方而言，在“共道”阶段很难获得攻击行为所表现的信息，这主要是因为“共道”阶段攻击行为无显著的特征(攻击方在收集信息的过程中可能会不留下任何踪迹)，故很难采取必要的反击措施，但这个阶段被攻击方可以采取必要的措施进行主动防御，尽可能消除系统的缺陷和漏洞，以使攻击方无可乘之机，总体来讲，“共道”阶段被攻击方对于后续的受攻击只能提供数据积累的作用，为反击提供一定的支持，该阶段不能形成成型的对抗反击行动.

“逆道”过程总体上分为2个阶段，即“逆道1”和“逆道2”阶段.但这2个阶段对于一次具体的攻击和对抗过程，也有可能只存在“逆道2”阶段，而不存在“逆道1”阶段，这种情况下，攻击方通过“逆道2”阶段便达到了攻击的目的，而不需要实施“逆道1”信息收集，这种攻击行为一般属于破坏型攻击(如前面提到的拒绝服务攻击).但大多数情况下，对于攻击者来说必须通过“逆道1”信息收集才有可能达到攻击的目的.没有通过“逆道1”过程收集到足够的“逆”信息，就无法实施具体的攻击，也就不能达到最终的攻击的目的(如木马攻击)，这种情况下“逆道”2个阶段都需要，缺一不可.对于被攻击方而言，如果在“逆道1”阶段确认了攻击行为或实施了有效的反击，则是对攻击方是一种沉重打击，攻击方有可能就此罢手，被攻击方也不会造成较大的损失.若被攻击方对“逆道1”阶段未引起足够的重视，则于“逆道2”阶段的反击将会受到很大影响，有可能造成很大的损失.此外，“逆道1”阶段也许是被攻击方采取主动的机会，被攻击方可以采取诱骗和陷阱技术给攻击者以致命的打击.总之，攻防双方谁在时间上占有优势谁就有可能占有主动，被攻击方有可能从被动转为主动.

一次攻击与对抗过程完成后，便循环进入下一轮的对抗.对于被攻击方来讲要充分总结经验、亡羊补牢，加强预防措施，或变被动为主动，主动追击攻击者(如迅速跟踪定位).对于攻击方来讲，要对攻击行为产生的后果进行评估，判断是否达到了攻击的目的，是否隐藏好了自己，是否需要进入下一轮的攻击…….

模型分析及运用中的注意问题：

1) 模型是一个框架性模型，可根据具体情况填充和合理裁剪.信息安全对抗领域包括了无数的具体问题，各不同具体问题有不同之矛盾，也就有不同对抗机制，但就其共性和基本性而言，“共道-逆道”模型是攻击与对抗的一种基本模型，在攻击与对抗过程中其“共道”和“逆道”环节缺一不可，是必然的环节，否则不能称之为对抗过程，这也是矛盾的对方统一规律的体现.

2) 一般情况下，“逆道2”阶段是对抗最为多见和最为激烈的阶段.对于信息系统，其功能越多、应用越广，其重要性越大，则可能遇到之攻击种类和次数就越多，这是系统的“道”，同样反其“道”也就越多、越广.从这一角度来讲，单项或单元攻击与对抗的研究是必要的，但远远不够，应从系统的角度，综合地、整体地，即考虑到其特殊性又考虑到其普适性.

3) 防御反击即可以采用单项技术又可以采用综合性技术(技术、组织、管理、法律等).可针对单项技术攻击采用相应单项或综合性反击措施，对综合性攻击只有采用综合性反击措施.

4) 信息攻击与对抗的系统性研究极为必要.攻击即是防御，防御也可为攻击，二者辩证统一.但攻击行为可以在任意时间、任意地点、以任意方式进行，特别是当前信息网络的快速发展，全球已逐渐形成一个整体，其安全与对抗更为重要，只有系统地研究攻击与对抗行为才有可能有效地防御.

5 结 论

网络空间安全学科专业的建设直接影响到国家的社会生态的安全可持续发展，研究型教学方法有利于高素质专业人才的培养，本文系统地讨论了网络空间安全研究型教学框架，给出了信息安全对抗基础层和系统层原理、系统层和技术层方法，构建了一种共道-逆道博弈模型并进行应用分析.希望起到抛砖引玉的目的，与兄弟院校一起共勉，不断完善信息安全对抗相关专业的理论教学体系，以便更充分地进行专业人才的培养.

[1]全国人民代表大会常务委员会. 中华人民共和国国家安全法[EBOL]. (2015-07-01) [2018-01-01]. http:www.npc.gov.cnnpcxinwen2015-0707content_1941161.htm

[2]中华人民共和国主席令. 中华人民共和国网络安全法[EBOL]. (2016-11-08) [2018-01-01]. http:www.miit.gov.cnn1146295n1146557n1146614c5345009content.html

[3]国家互联网信息办公室. 国家网络空间安全战略[EBOL]. (2016-12-27) [2018-01-01]. http:www.cac.gov.cn2016-1227c_1120195926.htm

[4]王越, 罗森林. 信息系统与安全对抗理论[M]. 2版. 北京: 北京理工大学出版社, 2015

[5]罗森林. 信息系统与安全对抗——技术篇[M]. 2版. 北京: 高等教育出版社, 2017

[6]罗森林, 王越, 潘丽敏, 等. 网络信息安全与对抗[M]. 2版. 北京: 国防工业出版社, 2016

[7]罗森林, 高平, 苏京霞, 等. 信息系统与安全对抗——实践篇[M]. 2版. 北京: 高等教育出版社, 2016

[8]罗森林. 信息安全与对抗实践基础[M]. 北京: 电子工业出版社, 2015

潘丽敏

高级工程师，硕士生导师，主要研究方向为网络安全、数据挖掘、媒体安全.

panlimin@bit.edu.cn

罗森林

教授，博士生导师，主要研究方向为网络安全、数据挖掘、文本安全、媒体安全.

luosenlin@ bit.edu.cn

张笈

副教授，硕士生导师，主要研究方向为网络安全、数据挖掘、文本安全、媒体安全.

zhangji@bit.edu.cn

王越

院士，教授，博士生导师，主要研究方向为系统理论、信息安全与对抗.

wangyue@bit.edu.cn