彭國軍，張滬寅，傅建明，趙 磊

（武漢大學 國家網(wǎng)絡安全學院，湖北 武漢 430072）

0 引 言

“軟件安全”是網(wǎng)絡空間安全學科信息安全專業(yè)的一門核心專業(yè)課程，目前國內(nèi)很多高校都開設了該課程或相關課程（如惡意代碼、軟件漏洞等課程）。其對于學生理解并掌握安全攻防技術，提升創(chuàng)新實踐能力與綜合應用能力起到非常重要的作用。

1 課程建設存在的挑戰(zhàn)及相關研究

軟件安全本質(zhì)上是人與人之間的對抗博弈，該類課程對學生基礎要求高，建設難度和強度大，實踐性很強，且技術更新較快，是該類課程建設的共識，相關院校在實踐體系建設上均為此進行了積極研究和推動[2-5]。通過多年的教學實踐，我們發(fā)現(xiàn)學生在課程學習過程中，面臨多種學習思路上的轉(zhuǎn)換和挑戰(zhàn)。

（1）從前期基礎課程學習的迷茫到進一步主動深入探索態(tài)度的轉(zhuǎn)換。對于大部分高校信息安全專業(yè)來說，前兩年課程涉及的安全類課程一般較少，導致部分學生認為前期基礎課程對信息安全專業(yè)針對性不強、作用不大。因此，如何建立計算機基礎課程知識到安全場景之間的橋梁，并促使學生進一步重新梳理知識體系，并在此基礎上繼續(xù)主動深入探索系統(tǒng)安全領域，成為課程面臨的第一個問題。

（2）從正向構(gòu)建思維到逆向析構(gòu)思維的轉(zhuǎn)變。在前期課程中，學生重點學習了如何編程、如何正向構(gòu)建一個程序，而對于安全來說，探索未知是永恒的，小到一個程序樣本，大到一個系統(tǒng)，他們需要構(gòu)建逆向思維并掌握軟件逆向分析的能力,對軟件系統(tǒng)底層運作機制進行探索甚至修改。

（3）從計算機程序思維到人類對抗博弈思維的轉(zhuǎn)變。軟件安全本質(zhì)上是人與人之間的博弈，除了理解二進制程序的計算機思維之外，學生還需要能夠洞悉對抗者——人的行為與意圖，并在此基礎上形成對抗博弈思維。

（4）從程序高級語言到低級語言的轉(zhuǎn)變。在前期學習中，大部分同學接觸到的是如C、C++、Java、Python 等高級語言，而在軟件安全的二進制世界中，對匯編代碼的理解與應用成為大家發(fā)現(xiàn)、分析和解決問題的必備基礎。

（5）需與時俱進擁抱變化。隨著網(wǎng)絡攻防博弈的不斷升級，軟件安全攻防知識也在不斷更新，如何在保障構(gòu)建相對穩(wěn)定的課程知識體系的同時，又能與時俱進跟上時代發(fā)展，是學生學習和課程建設都不可逃避的一個現(xiàn)實問題。

一個社會的文明程度,或曰文明的繁榮程度，測量的指標有很多項，但最重要的一項，是社會的包容度。如果社會本身的包容足夠?qū)拸V，則不用擔心繁榮?！鐣W家談文明

此外，近年來目前高校專業(yè)課理論課時普遍縮減，如何解決專業(yè)課程學時縮減與學習內(nèi)容增加的矛盾，也成為各門課程建設務必盡快解決的問題。

2 建設思路與措施

2.1 立足攻防對抗，構(gòu)建相對穩(wěn)定且具有攻防博弈特色的軟件安全課程知識體系

信息安全的本質(zhì)是攻防博弈，安全技術總是在攻防雙方的不斷博弈之中螺旋式上升。惡意代碼與軟件漏洞是網(wǎng)絡攻防實戰(zhàn)中的兩大核心點，也被當做是目前網(wǎng)絡空間對抗博弈的重要戰(zhàn)略資源。另外，網(wǎng)絡攻防知識更新快，但對于任何一門課程建設來說，需要有相對穩(wěn)定的課程知識體系。因此，如何將攻防博弈理念融入到課程知識體系之中，同時保障課程知識體系能夠擁有與時俱進的接納與擴展能力，是該課程建設的首要任務。

基于前期的計算機病毒課程教學基礎，通過梳理和凝練軟件安全課程的知識點，結(jié)合《高等學校信息安全專業(yè)指導性專業(yè)規(guī)范》[6]的要求，構(gòu)建該課程相對穩(wěn)定又兼具新知識接納和拓展能力的知識體系非常必要，為有效體現(xiàn)攻防博弈，在重要知識單元，一般應涉及多個回合（攻→防→攻，或防→攻→防）。譬如，本知識體系（如圖1 所示）的攻防對抗全面體現(xiàn)在課程的三大知識單元[7]：惡意代碼攻擊→惡意代碼分析檢測→分析對抗，軟件漏洞利用→漏洞利用檢測→漏洞防護機制繞過，軟件知識產(chǎn)權(quán)技術保護→軟件破解→軟件分析對抗。

圖1 軟件安全課程知識體系結(jié)構(gòu)

2.2 立足專業(yè)基礎實踐引導，加強安全場景銜接

軟件安全與操作系統(tǒng)、計算機組成原理、數(shù)據(jù)結(jié)構(gòu)、編譯原理、高級語言程序設計、匯編語言等課程基礎都息息相關。軟件安全基礎部分覆蓋了系統(tǒng)引導、CPU 工作模式、內(nèi)存管理、磁盤管理、可執(zhí)行文件格式、程序生成等，這些知識在前序課程都有所講授，但都分散在不同的課程之中，學生在學習之時大多也未能將這些知識與軟件攻防之間建立關聯(lián)，他們與安全攻防之間隔著一層“窗戶紙”。對于很多學生來說，軟件安全可能是學生接觸的第一門系統(tǒng)化的攻防類課程（譬如武漢大學2018 版培養(yǎng)方案將本課程安排在第5 學期開設）。為有效解決該問題并激發(fā)主動探索興趣，可以設置課內(nèi)及課外實踐任務，以盡快捅破這層“窗戶紙”，讓學生盡快找到豁然開朗的感覺。表1 列出與基礎相關聯(lián)的典型安全場景或技術。

表1 基礎知識單元與安全場景銜接引導

通過以上引導和關聯(lián)，有助于學生快速理解專業(yè)基礎知識的重要作用，并對系統(tǒng)安全進行更多主動探索。

2.3 立足攻防實踐，有效構(gòu)建學生安全知識結(jié)構(gòu)與實踐能力體系

學生的實踐能力應當包含“軟件逆向分析能力”與“系統(tǒng)正向構(gòu)建能力”兩個方面。前者通過“操作實踐”來提升，后者通過“編程實踐”來鍛煉。

“操作實踐”應該包括“系統(tǒng)機理驗證”以及“樣本逆向分析”兩個層面，通過“系統(tǒng)機理驗證”來增強學生對系統(tǒng)運作以及攻防機理的挖掘分析能力，通過“樣本逆向分析”來提升學生對于網(wǎng)絡攻擊事件中新型惡意代碼與軟件漏洞樣本的分析能力。

而通過“編程實踐”鍛煉，可提高學生快速構(gòu)建和實施方案、解決問題的能力，有利于學生將軟件安全知識轉(zhuǎn)化為安全能力，并激勵學生在不斷的攻防實戰(zhàn)中進行攻防博弈能力和思維的迭代更新。

本課程從操作實踐和編程實踐兩方面著手，將攻防實踐貫穿于整個課程之中。相關實踐活動設置情況描述見表2。

以上所有實驗實踐環(huán)節(jié)分為“操作實踐”和“編程實踐”兩大類型，分布在每周課后練習、挑戰(zhàn)加分題及實驗課程環(huán)節(jié)，后半學期進行軟件攻防對抗大作業(yè)。

另外，要激勵學生積極參加各類作品競賽及技能競賽，提升作品設計與競技實戰(zhàn)能力。在選題策劃上，課程組可基于課程進度，適時導入課程組指導的往年競賽優(yōu)秀作品，并邀請CTF 競賽參賽成員到課堂上分享競賽解題思路及參賽經(jīng)驗，提升學生參賽實力與積極性。與此同時，通過國內(nèi)舉辦的競賽活動或作品展（如在我校每年主辦的全國網(wǎng)絡與信息安全防護峰會中設立“全國大學生信息安全競賽優(yōu)秀作品展”[8]），也可為學生提供向全國頂尖團隊和作品進行現(xiàn)場學習和交流的機會。

表2 軟件安全實踐環(huán)節(jié)設置

（續(xù)）表2

2.4 與時俱進更新課程知識體系與實踐體系

隨著網(wǎng)絡空間對抗博弈的加劇，軟件安全攻防技術更新較快，同學們使用的操作系統(tǒng)版本和各類應用平臺也在不斷變化，他們也不斷接觸到一些新的攻擊事件和思路，在參加高校和安全廠商組織的各類安全活動中，也會遇到一些新的技術挑戰(zhàn)，課程應在現(xiàn)有知識體系架構(gòu)下，做好課程新增知識點的完善與補充，以提升課程內(nèi)容的實用性，增強學生的實戰(zhàn)能力。需要注意的是，對課程體系的更新，并不是推翻原有課程體系，因為大部分新生技術依然是在現(xiàn)有體系下開枝散葉、在不斷攻防博弈中推進演變的產(chǎn)物。對于課程體系更新而言，需要把握好軟件攻防博弈螺旋上升的規(guī)律，并以“知識增量”激發(fā)學生在此攻防博弈規(guī)律下去探索新的攻防技術，并引導學生嘗試挑戰(zhàn)新的知識高度。

對課程體系的更新，應從知識體系與實踐體系兩方面多角度同時推進。在知識體系的基礎部分，我們增加了UEFI 引導、GPT 分區(qū)、數(shù)字簽名驗證機制等(其對BOOTKIT、簽名驗證漏洞、網(wǎng)絡攻擊溯源等具有支撐作用)，以及最新APT 案例分析；在惡意代碼部分，增加了新型的病毒感染方式、控制權(quán)獲取技術、蠕蟲傳播方式、木馬實現(xiàn)技術與機制，以及機器學習與惡意代碼檢測、惡意代碼溯源、威脅情報共享、惡意代碼分析對抗，自動化分析平臺構(gòu)建等；在軟件漏洞部分，新增了最新漏洞評分機制，新型的漏洞利用方法、漏洞案例、漏洞防護機制及繞過機制等，并結(jié)合全球安全會議最新技術趨勢適當引入前沿技術。

在課程實踐體系方面，一方面需要從優(yōu)秀的網(wǎng)絡攻防比賽中吸取精華[2]，另外也可以根據(jù)最新惡意代碼攻擊手法和CVE 漏洞發(fā)布情況，及時重現(xiàn)攻擊技術與漏洞，并納入到課程體系中。譬如在惡意代碼方面，我們引入針對數(shù)字簽名PE文件的攻擊載荷寄生技術，WinRAR ACE 釋放漏洞（CVE-2018-20250），PE 文件數(shù)字簽名證書檢測繞過漏洞(CVE-2020-0601)等，在漏洞利用方面，我們進一步完善格式化字符串、棧和堆溢出實驗，引入內(nèi)存泄漏漏洞分析，F(xiàn)ASTBIN、JITROP，以及沙盒逃逸等，進一步更新實踐環(huán)節(jié)。

另外，需要促進學生更多了解和接觸安全業(yè)界發(fā)展。課程組每周向?qū)W生推送軟件安全領域最新事件與安全技術，通過積極與Intel、騰訊、安天、科銳等企業(yè)進行合作，引入企業(yè)優(yōu)勢師資、資源和需求，建立學生與產(chǎn)業(yè)界的溝通橋梁。

2.5 線上與線下教學相結(jié)合，有效提升學生課外學習效果，積極應對專業(yè)課理論課時縮減

專業(yè)課程理論課時壓縮，成為各大高校普遍面臨的問題（如在本校新版培養(yǎng)方案中，本課程理論課時從54 學時縮減到32 學時）。因此加強課堂引導，樹立激勵目標，激發(fā)學生興趣，提升學生課后探索動力，成為增強課程教學效果的重要突破口。但除此之外，還需要為學生課后學習提供有效學習資源?；贛OOC 課程進行線上線下相結(jié)合的學習模式，是解決這一問題的有效手段之一。

2015 年，課程組在網(wǎng)易云課堂開設“軟件安全之惡意代碼激勵與防護”課程[9]。2019 年，該MOOC 課程在校內(nèi)珞珈在線平臺上線[10]，并首次采用線上教學與線下教學相結(jié)合的教學模式。我們在課堂中設立了部分課后學習挑戰(zhàn)目標，以此來激勵學生進行課后學習和探索。以2019 年上半年2016 級信安3-4 班，2017 級網(wǎng)安1-2 班為例，相關課程統(tǒng)計數(shù)據(jù)如表3 所示。

表3 珞珈在線平臺軟件安全MOOC 課程部分學習數(shù)據(jù)

經(jīng)過進一步分析發(fā)現(xiàn)，學生對于具有挑戰(zhàn)性的實踐環(huán)節(jié)特別感興趣，以“C4.2 手工替換程序圖標”為例，該視頻時長為4.8 分鐘，該小節(jié)的在線學習最高反芻比達到1 017%，從此可以看出，在線MOOC 課程在解決課程部分知識難點方面，可起到明顯支撐作用，有效提升了學生的課后學習效果。

3 實踐效果、問題與后續(xù)建設思路

近年來，我們將以上教學思路和方法進行了積極實踐，學生的專業(yè)興趣和綜合實踐能力得到有效提升，大部分同學能夠在課后進行積極主動探索，大部分同學在感受到課程壓力和難度大的同時，也表示收獲非常豐富。近4 年來，課程組的教學效果也得到了學生們的高度評價。如課程組負責人2016—2018 年3 年主講該課程的學生評教結(jié)果中，教師得分分別為：98.84 分、99.64分、99.91 分，課程評價得分為：98.68 分、99.55分、99.55 分。在2019 年新版評教體系中，獲得96.54 分（全校平均分為85 分）。另外，我們以課程實驗成績?yōu)榛鶞蔬x拔出優(yōu)秀學生代表報名參加全國大學生信息安全競賽和各類全國網(wǎng)絡攻防比賽，也取得了不錯的成績。課程組在網(wǎng)易云課堂開設的“軟件安全之惡意代碼機理與防護”MOOC 課程，于2019 年獲批2018 年國家精品在線開放課程，目前面向公眾開課6 次，對華中科技大學、西安電子科技大學、南京郵電大學、華南理工大學、中國地質(zhì)大學、杭州電子科技大學等兄弟院校的軟件安全類課程開設起到相應的輻射作用。

但是，目前在我們進行軟件安全精品課程的攻防實踐探索過程中，還依然存在一部分問題。SPOC 模式的課程開設經(jīng)驗還存在不足，日常線上學習效果還需要更完善的評估方法；理論教材有待保持同步更新，缺少配套實驗教材和與時俱進的實訓系統(tǒng)等?；诖?，下一步我們將著手推動理論教材的換版以及實驗教材的編寫，并推動在線課程實驗建設。同時，我們也將歡迎全國更多高校同仁，與我們一起共同建設，并基于MOOC 課程進一步探索和完善SPOC 教學模式，以更好地輻射應用于兄弟院校。