本课程针对目前大规模真实信息网络环境搭建的高成本、信息流不可逆/不可视、网络攻击对网络设备的不可逆破坏性等问题，坚持以学习者为中心的教学理念，以培养学习者具备网络安全综合攻防实践能力和科研创新能力为目标，采用虚拟仿真技术，开展综合性的网络攻防演练及科研测试，以满足人才培养、实战演练、效能评估等需求，具体目标如下:

（1）了解网络空间安全的基本概念、知识体系、国内外研究现状和发展趋势，提高网络空间安全法律法规意识，树立正确的网络安全观。

（2）掌握局域网络的搭建、攻击信息捕获方法、漏洞评估方法及修复技术、渗透攻击原理及防御方法等。

（3）培养学习者进行网络拓扑设计、网络安全设计、权限提升、漏洞扫描、网络流量分析等各种相关攻防技术的能力。

本课程采用Unity3D、人机交互、虚拟现实等手段实现了高级持续性威胁（APT）攻击与防御的虚拟仿真实验。实验原理如图1所示，学习者通过真实场景、网络环境、黑客攻击过程及安全人员防御过程虚拟化，建立与真实APT攻击与防御场景具有等效效果的网络实训环境；学习者通过在等效网络攻防环境下使用不同的攻击方式进行APT攻击，通过分析系统安全缺陷，寻找可行的APT攻击路径；然后通过建立攻击模型，建立完整的攻击链，对目标系统实施攻击；同时，防御人员通过分析获取的网络探测和攻击流量，对攻击者的攻击行为进行分析画像，理解攻击者的攻击手段，建立合理的防御策略，运用正确的防御措施，采用有效的防御技术，对APT进行防御。

图1 实验原理图

本虚拟实验课程综合运用了观察法、等效法、类比法、控制变量法、科学推理法等各种实验方法，通过仿真病毒攻击、网络渗透以及网络攻防对抗全过程，避免了实验操作对真实信息系统可能造成的破坏及产生的严重后果，解决了实验环境的安全问题。对网络攻防产生的信息流、网络攻击造成的影响进行可视化，有助于深化网络攻防相关原理的理解，增强网络攻防实战化体验，提升实验教学效果。

本实验对网络环境配置、实验参数设置、人机交互操作结果进行记录和分析，易于实现对实验结果的快速评估，方便考核学习效果，有利于针对学习薄弱环节及时进行改进。

涉及知识点，共 6个：

①通过搭建典型工业企业公司的网络了解各种网络设备功能和用途，根据实际场景选择不同的设备来搭建局域网络，掌握设计不同的局域网络拓扑结构、服务器网关、路由器等设备的参数设置，掌握测试网络连通性的方法。

②通过在搭建好的局域网上设置漏洞和检测工具，掌握在实际场景中根据具体的局域网络拓扑结构来部署攻击和防御部件的流程，掌握配置攻防相关的网络参数。

③通过弱口令攻击、钓鱼攻击、漏洞利用攻击的完整演练过程，了解弱密码带来的安全威胁、钓鱼攻击、SQL注入的原理乃其后害，掌握强密码的设计原则，理解如何计算密码的安全强度以及识别SQL注入攻击、漏洞利用，学会数据库安全的相关技术。

④通过体验蠕虫病毒的攻击过程，了解蠕虫病毒的危害，掌握蠕虫病毒的攻击特点和攻击手段，掌握常用的蠕虫病毒防范措施和方法。

⑤通过对木马攻防过程仿真，捕获攻击信息流，掌握根据网络流量来分析木马特征的方法，并设置相应的监听措施。

⑥通过对网络攻击溯源和漏洞修复演练，分析病毒代码，掌握系统相关漏洞及时修复技术。

1、实验内容

模块一“网络安全意识养成”，通过虚拟形象小安引导学生学习网络安全常识，通过反复练习养成网络安全意识，树立正确的网络安全观。

模块二“安全威胁场景构建”，通过可视化的、多拓扑结构的局域网搭建，通过多轮自主设计的网络拓扑结构搭建和网络参数设计，实现不同安全需求、不同环境下的局域网设计、搭建和配置能力。通过可视化的虚拟仿真，让学习者直观掌握企业网络搭建过程。

模块三“持续威胁缺陷评估”在模块二的基础上通过密码攻击、钓鱼攻击和漏洞利用攻击等多种形式开展网络渗透攻防。通过多种复杂度的密码设计，虚拟仿真系统体验其破解原理和复杂度，提升密码设计能力。通过钓鱼邮件攻击增强用户的安全意识、通过漏洞利用了解网络攻击流程。

模块四“应急响应处置演练”在模块三的基础上，借助虚拟可视化感受蠕虫攻击与扩散过程，通过开展对局域网的多轮扫描，发现利用网络漏洞植入的木马，通过异常网络数据包的特征分析，助力学习者快速定位问题、评估漏洞，采取策略修复漏洞。

综合以上模块中各种攻防过程，综合评估网络与计算机漏洞，采取策略修复漏洞，提高网络安全水平。

2、实验步骤

（1）交互性操作步骤，共 16 步

（2）交互性步骤详细说明

学生操作主要由4个模块组成，共包含16个步骤。通过上述步骤的学习和操作，学生能够从网络安全意识、场景构建、网络攻击和防御等多个维度对网络安全需求、网络系统构建、不同用户和应用场景下进行自主探索、完成网络配置、攻击步骤以及防御措施等方面有充分的认识和理解。

攻击视角环境如表1所示。

表1 攻击视角环境配置

防御视角环境如表2所示。

表2 防御视角环境配置

模块1：网络安全意识养成（共3步）

在开始APT攻击与防御实战仿真前，通过网络安全意识模块使同学们了解实验背景和网络安全观（第1步）、通过典型案例理解网络威胁（第2步）、通过概念介绍认识高级持续性威胁（第3步），部分操作截图分别如图2、3、4所示。

图2 网络安全观

图3 网络安全事件

图4 高级持续性威胁介绍

模块2：安全威胁场景构建（共2步）

在开始APT攻击与防御实战仿真前，通过网络配置模块使同学们了解和熟悉网络环境和配置情况，对下一步的攻防打下基础，并对攻防场景有一定的认识。该部分让学生充分了解APT攻击的基本概念、相关网络设备和网络配置，采用基本概念解释、案例视频演示等方式，使同学们对APT攻击流程有一定的理解，对实验环境、设备和步骤有正确认识。

图5 网络配置图

首先通过三维网络拓扑展示了解企业网络体系架构（第1步，如图6所示），然后通过网络拓扑构建、网络连接及IP地址配置深入理解网络构成（第2步，如图7所示）。

图6 拓扑展示

图7 网络拓扑连接

模块3：持续威胁缺陷评估（共6步）

该模块结合APT攻击的大致流程，设计如图8所示的攻击路径和流程。

图8 攻击视角流程简图（多路径可选择）

第1步：信息收集场景1：通过员工丢弃的信息完成对企业员工信息的收集。部分操作截图如图9所示。

图9 通过翻阅垃圾桶收集用户信息

第2步：攻击方侦查跟踪

该步主要包括攻击方对目标网络进行主机存活性探测，确认目标系统IP地址等。部分网络扫描操作如图10所示。该步骤考察同学对扫描技术的掌握和运用能力，同学可以使用主机扫描、端口扫描、操作系统扫描、Web目录扫描等多种不同的扫描技术完成对目标主机的扫描。

图10 网络扫描截图

第3步主要包括对步骤1中发现的目标系统进行漏洞扫描并发现存在的漏洞，如永恒之蓝等危险性极高的系统级漏洞。部分漏洞扫描及发现如图11所示。同学们可以针对操作系统、中间件、Web服务、数据库等多种不同的信息系统组成部分进行漏洞扫描，以发现不同层次的漏洞。

图11 发现漏洞过程仿真视图

第4步：攻击方漏洞利用与攻击阶段

该步骤主要根据发现的网络安全漏洞，构建有效的攻击载荷。这主要是指攻击方攻击武器库的构建，其分为漏洞利用和攻击载荷两部分内容。该步骤中，同学们可以有两种选择选择：一是通过钓鱼邮件开始攻击，二是通过ms17-010漏洞实施攻击。同学此时可以选择不同的路径完成攻击任务，操作界面如图12所示。

图12 用户可以选择不同的攻击方式

方式1：通过钓鱼邮件开始攻击，用户需要根据前面收到的用户信息构造带有恶意附件的钓鱼邮件并发送到指定的邮箱账号，此处考察同学对弱口令的理解、钓鱼邮件的构造方法以及恶意附件的实现方式。效果如图13所示。

图13 用户通过弱口令进入邮件系统构建钓鱼邮件

方式2：结合ms17-010漏洞的特点，构建基于选择漏洞的攻击武器（即漏洞利用方法）；同时同学们还可以根据自己要达到的攻击目标选择不同的攻击载荷，例如Bind_TCP、Reverse_TCP、CMD shell等，漏洞利用效果如图14所示。

图14 漏洞利用视图

第5步：木马病毒植入

该步骤主要包括木马病毒的构建、植入，在目标系统植入病毒木马是攻击者最为基本也是最为常用的攻击方式。步骤考虑到目标系统可能存在的防御机制，同学们可以基于不同的技术构建木马病毒，如加壳、混淆、虚拟机等，植入木马同样可以选择不同的方式，如文件上传，钓鱼邮件，钓鱼网站等。

第6步：攻陷与命令控制

该步骤主要包括完成对目标系统的控制，并执行攻击者设定的命令，具体包含权限维持（维持在最高权限）、创建后门、会话持久化（增加注册表以及添加自启动项等）以及痕迹擦除等。同学们可以根据自己的需求创建不同的后门，比如创建后门账户，rootkit等。创建后面账号效果如图15所示。

图15 创建后面账号效果图

模块4：应急响应处置演练模块（共5步）

第1步：防守方发现异常并报告情况

该步骤主要包括防守方在己方主机发现异常，具体包括检查桌面及各个盘符根目录下是否存在异常文件（包括隐藏文件）、根据文件夹内文件列表时间进行排序、查找可疑文件。防御方发现异常的部分仿真效果如图16所示。

图16发现异常仿真效果图

第2步：防守方异常分析

该步骤主要包括对发现的异常文件进行分析，报告异常主机可疑进程，发现隐藏文件、隐藏木马及计划任务等，通过分析网络流量，发现入侵痕迹及发现木马感染等。发现异常文件效果如图17所示。

图17 发现异常文件效果图

第3步：防守方生成异常分析报告

该步骤主要根据上一步的分析结果，形成异常分析报告，主要包括将分析结果形成报告，并引导应急处理过程。

第4步：防守方应急处理

该步骤主要包括检测异常文件、异常进程，对可疑进程进行查杀，检查是否存在异常计划任务，检查CPU、内存及网络的使用情况等，检测注册表，检查系统日志等。防御方删除黑客后门账号效果如图18所示。

图18 删除黑客后门账号效果图

防御方发现注册表错误并进行修复，如图19所示。

图19 注册表错误修复效果图

第5步：防守方处置阶段

该步骤主要包括对数据进行恢复、配置访问控制和防火墙策略、阻止可疑链接、应用安全规则等。进行防火墙配置仿真效果如图20所示。

图20防火墙配置仿真效果图