应用型高校信息安全实践课教学改革浅析

马民生 李娜 乔瑶瑶 冯影 张兰兰

关键词： 应用型高校；信息安全；实践课；教学改革；能力导向

0 引言

信息安全是计算机科学与技术等专业的一门重要专业课。该课程的主要目的是让学生了解信息安全的主要概念、理论和技术，掌握信息安全常用工具的使用方法，能够设计和开发与信息安全相关的小型软件项目等[1]。信息安全实践教学是信息安全课程教育的重要组成部分，是提高学生综合素质、培养学生创新精神、增强学生实践动手能力和岗位任职能力的重要途径[2]。应用型高校侧重培养学生成为具有较强社会适应能力和竞争能力的高素质应用型人才，课程建设的核心环节是实践教学。因此，探索并构建面向实践能力培养的信息安全实践教学体系对培养和提高信息安全专业学生的“3个能力”（即专业岗位技能、工程实践能力和创新创业能力）具有重要意义。

然而，目前大多数应用型高校的信息安全实践课教学中，存在着实践内容陈旧，教学模式单一化，缺乏创新性；实验类型大多为验证性，缺乏设计性和综合性实验；实践内容和理论知识缺乏同步性；教材内容与学校的现有设备不匹配；实验条件落后受限，购买的实验平台缺乏灵活性和可扩展性；内容没有区分学生的水平，也没有充分反映各校人才培养的特点等[3]。如果这些问题没有得到解决，就很难培养出合格的人才。“应用型”的特征将不可避免地形式化，最终势必陷入发展困境。基于以上问题，本文从信息安全实验课课程特点及教学现状分析出发，以培养信息安全应用型技术人才为导向，就信息安全实践课教学改革与创新方法进行讨论，提出了一系列思考。

1 信息安全实践课教学现状分析

1.1 信息安全實践课的地位及作用

信息安全是一门理论与实践并重，涉及数学、密码学、计算机、通信、控制、人工智能、安全工程、人文科学、法律等领域的综合性交叉学科，讲授对象主要为本科高年级的学生或研究生[1]。信息安全课程研究内容主要包括基础理论研究、应用技术研究和安全管理研究。其中，基础理论研究包括密码理论研究和安全理论研究，应用技术研究包括防火墙技术、入侵检测技术和漏洞扫描技术，安全管理研究包括安全标准、安全策略、安全审计和安全测评等。

实践课教学的目的是使学生在掌握理论知识的同时，加深对课程涉及的相关概念的理解，增强自己的动手实践能力，达到理论和实践的统一，尤其是计算机软件产品与标准的结合。信息安全实践课是信息安全不可或缺的部分，是课堂教学的重要辅助手段，是对理论课的有效补充，其地位在整个教学中不可替代[1]。

1.2 信息安全实践课的课程特点及问题分析

1） 教学内容陈旧庞杂

信息安全实验涵盖了物理安全、系统安全、网络安全、应用层安全、数据库安全等诸多方面的内容，涉及知识面广，内容庞杂，难度跨度较大。目前很多高校的信息安全课程，理论知识还在讲过时的网络安全协议、标准和技术，实验环境还在用Windows XP 系统、IE浏览器。陈旧庞杂的实验教学现状决定了必须针对当前最新的系统和平台需求重新编排课程内容，并采用灵活丰富的教学手段[4]。

2） 教学模式单一固化

在实践课教学方面，教师的授课形式普遍表现为：课前布置实验任务、课中实验指导书下发、安全事项讲解、理论知识和实验原理的讲解、实验演示、学生自主练习、教师指导、学生课后完成实验报告、实验报告批改、实验总结和教学反思等。信息安全实验类型繁多，形式多样，实验过程存在变量，不可控因素较多，采用单一固化的模式不适合创新性、设计型和综合性实验的开展，不利于提高学生的学习热情，且限制了学生独立思考的空间。实践中也发现，实验步骤如果过于详细，反而只会让学生亦步亦趋，缺乏学习的主动性。

3） 实验条件落后受限

信息安全实践课程大都对软硬件环境和网络环境有着较高的要求，且实验本身具有一定的风险，如果操作不当可能导致系统感染病毒、文件损坏，严重的甚至崩溃宕机。不少高校的实验课为了保证系统安全安装了还原卡软件，但这导致部分安装后需要重启的软件无法正常实验。且软件的安装和配置过程本身也是实验的重要环节，因此提前安装好软件使得实验过程不再完整。一些高校购买的实验平台仅针对内置的实验内容进行定制优化，灵活性、可扩展性、可移植性、跨平台性、兼容性、容错性等比较差，且价格昂贵，学习成本一般比较高。信息安全实践课受实验室条件限制，一般只开展一些验证型的实验，不利于学生创新能力和综合实践能力的培养。设计性、创新性和综合性之类的三性实验较少，大中型实验项目例如蜜罐主机与欺骗网络、DDOS网络攻防等也无法开展，而这与实际应用需求相去甚远。

2 信息安全实践课教学改革与创新

2.1 重构理论与实践并重的知识体系

信息安全实践课教学强调教学密切联系实际，强调理论应用的系统性，强调学生理论知识的应用和实践能力的培养，强调学生工程素质和创新意识的培养。密码学理论作为信息安全课程的核心内容，需要大量的数学基础做支撑，包括数论基本知识在内的学习仍然是不可或缺的，这体现了信息安全专业与数学基础学科结合的紧密性。因此，国内大多数高校仍然把理论讲授作为信息安全授课的主要形式，然而这部分知识一般比较枯燥晦涩难懂，讲得太多太深学生不容易接受。

在实际的教学活动中，要正确看待理论和实践的关系，重构信息安全课程知识结构，合理设置实验课内容，适当调高实践课的比例。既要顾及相关数学知识的抽象性，又要尽可能地展现信息安全知识所具有的明确的应用性，使学生在学习这些知识时能最大限度地减少认知上的抽象性观感和畏难情绪，并尽可能地让数学等必要的理论知识浅显易懂，以激发学生学好该课程的内在动力。

2.2 能力导向的实践课模块化课程结构

建立以能力为导向的信息安全模块化课程结构，首先需要在教学理念上进行改革，从传统的以知识输入为导向（Input-Orientation）的即“哪些内容我要讲授”，转变成以知识输出为导向（Output-Orientation），即“哪些能力学生通过学习应该获得的”。课程结构模块化，建立能力本位而不是知识本位的课程体系，不过分强调学科知识的系统性和内在逻辑性；以专业为导向，以职业或行业所需的知识、 技术或技能为中心；注重将理论知识与实践知识有机融合起来[5-6]。模块化实验课程内容建设应立足高校办学定位，满足社会需求，着重于强化学生分析、解决问题能力的构建，提高学生综合素质与工程素养。模块的设计应以培养能力作为出发点，每一个模块解决某个问题，完成某一项任务，每个模块之中的能力单元由浅入深，联系紧密。

信息安全实践课程模块化体系的构建，首先从对信息安全方面的人才需求出发，在相关领域行业、企业进行深度调研的基础上确定专业核心能力，并分解成子能力。针对每一个子能力，确定每一个子能力所对定的知识点，构建相应的实践教学模块，最后组合成信息安全模块化实践课程体系[6]。在实际的教学中，可以根据调研的结果将信息安全的能力目标划分为事件处理、安全防护、项目管理等，对这些能力进行分解，形成具体的技术要求，包括网络协议分析、匯编语言、Linux编程等。再对技术要素进行封装后，形成一个个的实验教学模块，对应的就是实验项目。对课程模块进行分级分类管理，根据实验的难度可设置为初级、进阶和高级三个等级。高级实验模块供学有余力的同学自我拓展，只有在完成相应的积分后才可以解锁。上述基于分解与封装的实践课模块化示意图如图1所示，最终形成完整的信息安全模块化实践课程体系。

2.3 引入赛事试题融入实践教学

学科竞赛能有效促进应用型课程的改革，竞赛的成果是检验相关课程改革成效的重要手段[7]。鼓励师生积极参加各级各类信息安全竞赛，以赛促教，以赛促学，以赛促改。可以将CTF（Capture The Flag，夺旗赛）、AWD（Attack With Defence，攻防对抗）等赛事中的经典信息安全题目引入到实践课课堂中。但现有的实践课程与CTF竞赛之间的关联性不强，缺乏对抗性，普通学生难以有效参与。针对这些问题，可以考虑在现有实践课的基础性实验中引入CTF竞赛的解题模式，引入故事性元素、设置不同难度层次任务，满足对软件编程、逆向工程等基本能力的要求；适当设置一些AWD攻防演练的实验，使学生深度参与到教学过程中，通过分组对抗，打分排名，让学生感受真实信息对抗竞赛的氛围，从而激发学生的学习兴趣；改革考核评价机制等。总之，赛事试题的引入可增强实践课的趣味性、游戏性和互动性，使学生在寻找flag的过程中提高思考问题和解决问题的能力，同时也有助于团队合作能力和综合能力的培养。

2.4 大力发掘信息安全三性实验

设计性、创新性和综合性实验（即“三性”实验）的开设是优化和整合实验教学内容的重要手段，不仅可以加强学生的实验操作技能，而且可以培养学生严谨的科学作风，是培养学生实践能力、创新能力和综合能力的重要方式[2]。其中设计性实验侧重拓展创新，以培养学习新的知识点、技能点为目标，例如防火墙配置等[8]；创新性实验侧重研究探索，以培养学生的创新思维和创新能力为目标，例如信息隐藏编码实验；综合性实验侧重学以致用，以培养多个知识点、技能点的综合运用为目标，例如企业网络安全综合解决方案等。

以信息隐藏编码实验任务为例，来说明“ 三性”实验教学实施原则。首先由教师给出具体任务目标，即编程实现将一段文字隐藏到图片中。任务驱动式教学，由学生根据上述任务任意选择一种方案实施，教师主要负责监督实验方案的科学性和可行性，不限制采用的方法、技术路线和实现手段，给学生以最大的发挥空间。学生通过多种方案的分析、比较和验证，找到最佳解决方案。教师以启发式教育为主，内容留白，引导学生积极思考，表达观点，可以就实现的算法思路提供指导，而不是讲怎样用程序具体实现。教学过程鼓励学生独立思考，团队合作，宽容失败，磨炼意志，在不断的探索中获得实验成功带来的成就感。

2.5 搭建安全可信的实验环境和平台

我国大多数高校信息安全实验条件处于较低水平，为了提高信息安全实验水平，对现有的信息安全实验机制、方式进行探索和研究。这方面的考虑是可以使用虚拟化技术，例如VMware和Docker等，建立完整、真实、复杂的网络信息对抗环境，并在其上完成各方面的实验。相较于目前高校较多采用的信息安全实验平台，灵活性、可扩展性更好，成本更低，且具备隔离、仿真、高效等特征。其中隔离（Isolation） ，指的是一台实体机上的所有的虚拟机实例不能互相影响，比如可以在一台实体机器上同时安装 Linux、Unix、Win?dows、MacOS 四种操作系统，那么一台实体机器就可以执行四种操作系统上的程序，大大节省了采购机器的开销。仿真（Simulation） 指的是用起来像一台真的机器那样，包括开机、关机，以及各种各样的硬件设备。在虚拟机上执行的操作系统认为自己就是在实体机上执行。仿真主要的贡献是让进程可以无缝地迁移，也就是让虚拟机中执行的进程，真实地感受到和在实体机上执行是一样的。高效（Efficient） 的目标是减少虚拟机对CPU、对硬件资源的占用。通常在虚拟机上执行指令需要额外负担 10～15% 的执行成本，这个开销是相对较低的。因为应用通常很少将CPU 真的用满，在容器中执行CPU指令开销会更低更接近在本地执行程序的速度。

3 结论

应用型高校办学定位以应用型为主，信息安全实践课程的改革应始终服务于这个目标，让学生的能力在实践的过程中充分体现，得到评价。本着“授人以渔”的想法，本论文在信息安全实践课方面的尝试更加强调实践课程基本的思路、技巧和方法的训练，培养更好地解决问题的能力。更加注重发掘学生的学习潜力，培养学生成为应用型、实践型人才。

本文就信息安全实践课程的改革和创新方法等进行了小范围的尝试，并取得了一定的教学成果。其他方面的思考还有：设计一些具有研究意义或应用价值的课题作为学生的毕业设计；实践翻转课堂的教学方式；实验课与现代教育技术手段的结合。例如线上线下集合手机电脑打通、班级打通。使用雨课堂、钉钉、学习通等，增强与学生的互动等。由于时间和水平有限，目前，改革进行得不够深入，一些尝试还需要进行进一步的研究。今后的教学将把如何培养适应社会需求的人才作为重点，并逐步形成和建立一整套适合应用型高校的信息安全实践型、应用型人才培养方案。