神州数码网络安全攻防实验室方案

神州数码安全攻防实验解决方案（V2.0版本）神州数码网络有公1

目录第一章网络全人才火热职场....................................................................................................41.1网络安全现状....................................................................................................................41.2国家正式颁布五级安全等级保护制............................................................................41.3网络安全技术人才需求猛增...........................................................................................5第二章网络全技术教学存在问题........................................................................................52.1网络安全实验室的建设误区...........................................................................................52.2缺乏网络安全的师资力量...............................................................................................52.3缺乏实用性强的安全教材...............................................................................................6第三章安全防实验室特点........................................................................................................63.1网络实验室分级金字塔...................................................................................................63.2安全攻防实验室简介.......................................................................................................7第四章安全防实验室方案........................................................................................................84.1安全攻防实验室设备选型...............................................................................................84.1.1传安全设备........................................................................................................84.1.2安沙盒——使实验室具有攻防教学功能的独特产品4.2安全攻防实验室拓扑图4.3安全攻防实验室课程体系4.3.1DCNSA网络安全理员课程——面向中高职院校4.3.2网络安全工程师课程——面向高职、本科院校4.4安全攻防实验室实验项目4.4.1本实验...............................................................................................................154.4.1展实验...............................................................................................................17第五章安全攻防实验室配套服务5.1师培训和师资支持....................................................................................................185.1.1资培训...............................................................................................................185.1.2件........................................................................................................................195.1.3师交流平台.......................................................................................................195.1.4师进修计划.......................................................................................................195.2考试评估和证书.............................................................................................................205.2.1州数码认证考试采用ATA考平.5.2.2州数码协助合作院校申请成为ATA公司考.5.2.3“一考双证”如何实？.....................................................................................21第六章神州码安全攻防实验优势......................................................................................236.1区别于普通的安全调试型安全实验..........................................................................236.2独有的安全攻防平台，不需要添加其他服务器设.6.3便于教学的课件导入功能6.4系还原功能.6.5提供设计型、综合型实验的真实环..........................................................................236.6安全攻防实验室提供研发型实验接..........................................................................23第七章网络验室布局设计......................................................................................................242

7.1实室布局平面图.........................................................................................................247.2实室布局效果图.........................................................................................................257.3机摆放位置的选择....................................................................................................253

第一章络安全人才火热职场1.1信息技术飞速发展，各行各业对信息系统的依赖程度越来越高，建立持续、稳定、安全的网络是保障用户业务发展的前提。近年来，安全问题却日益严重：病毒、木马、黑客攻击、网络钓鱼等全威胁层出不穷且术越来越复杂毒马及黑客技术等融合造成了网络安全的巨大危机。用户都已经认识到了安全的重要性。纷纷采用防火墙、加密、身份认证、访问控制，备份等保护手段来保护信息系统的安全。但是网络安全的技术支持以及安全管理人才极度缺乏。1.2年7月24日公部、国保密局家码管理局、国务院信息工作办公室正式上线颁布了信息安全等级保护规定息安全等级保护管理办法及实施指南颁布《息安全等级保护管理办法安全等级保护定级指南技信息系统安全等级保护实施指南全术信息系统安全等级保护基本要求》等办法。办法明确规定，信息系统的安全保护等级分为五级，不同等级的信息系统应具备的基本安全保护能力如下：第一级安全保护能力：应能够防护系统免受来自个人的、拥有很少资源的威胁源发起的恶意攻击一般的自然灾难以及其他相当危害程度的威胁所造成的关键资源损害系统遭到损害后，能够恢复部分功能。第二级安全保护能力：应能够防护系统免受来自外部小型组织的、拥有少量资源的威胁源发起的恶意攻击般自灾难及其他相当危害程度的威胁所造成的重要资源损害能发现重要的安全漏洞和安全事件系统遭到损害后能在一段时间内恢复部分功能。第三级安全保护能力能在一安全策略下防护系统免受来自外部有组织的团体、拥有较为丰富资源的威胁源发起的恶意攻击为严重的自然灾难及他相当危害程度的威胁所造成的主要资源损害够发现安全漏洞和安全事件在系统遭到损害后能够较快恢复绝大部分功能。第四级安全保护能力：应能够在统一安全策略下防护系统免受来自国家级别的、敌对4

组织的拥有丰富资源的威胁源起的恶意攻击重的自然灾难以及其他相当危害程度的威胁所造成的资源损害能够发现安全漏洞和安全事件系统遭到损害后能迅速恢复所有功能。第五级安全保护能力等保制度的颁布将网络安全的重要性提高到法律法规的高度催了一个新的职业：网络安全评估工程师专家，该职位属于IT行业的顶级职位，目前的人才储备远远不能满足行业需求。1.3网络安全技术涉及到国民经济的各个领域，技术发展迅速，在中国对安全人才的需求数量大，人才的需求质量高，高技能型应用人才十分缺乏，据1Job、中华英才网等人力资源网站统计近年人市场对络安全工程师的需求量骤增中型企业都已经设置了专业的网络安全管理员小业大量需要懂得网络安全的网络管理员行券险航空、税务、海关等行业尤其看重。网络安全行业的就业需求将以年均的速度递增，2008年网络安全行业的就业缺口人数将达到20万以。网络安全工程师需要更高更全面的技术学习，因此薪资水平较一般网络工程师高，可以达到1.5至3倍水平，走俏场成为必然。第二章络安全技术教学存在问题2.1很多学校在建设网络安全实验室的时候都会走进一个误区，往往认为安全设备的安装调试就是安全实验室，没有把安全攻防、系统加固作为网络安全实验室的建设内容。安全设备的安装调试以及安全网络的拓扑设计的确是安全实验室的重要内容，但应该不仅仅是这些内容部分的网络安全实验室之所以建成安全设备的调试级别要因为组织实验室方案的往往是设备厂商为设备厂商关注的问题就是如何更多地销售设备就导致实验室的层次偏低，实验项目不全面。2.2网络安全是网络行业中技术含量较高的方向，安全人才较为缺乏，学校师资也是一样，好的师资是网络安全实验室教学中的一个重要环节师资培训上的环境来实践，5

可以保障网络安全教学师资的提升。2.3目前市面上面的网络安全教材很多，但绝大部分都是以理论为主，很容易导致学生学习的厌烦感材编排并没有对性的网络安全实验也是网络安全实验开展困难的主要问题。第三章全攻防实验室特点在一个已经部署防毒软件、防火墙IDS、VPN等安全产品的实验室中，很少有人清晰的知道这些安全产品的作用及能够为计算机安全所带来的保障配和网实验给学的然书的论识学没一整的念。实验严匮的安设的合及防境建让很多学校及企业感到无从着手力行有效的网络安全培训，面对以下问题无所适从：问题1：怎样的教学方式才能让员更快捷高效学习网络安全方面的知识？问题2什么样的教学环境才能学员容易极学习网络安全方面的知识增强网络安全意识？神州数码提出超越普通网络安全实验室概念的方案——网络安全攻验室解决方案为内第一家将网络攻防念真正引入教学课堂的网络厂商防给教学最真实的环境最效的实验方式学会真正最实用性安全技术在实验室中学生可以真实体验到未来工作中的网络状况，并加以排除、维护和改造。神州数码这一理念也符合了网络实验室分级金字塔的要求：3.1神州数码在网络实验室行业以其全面的方案和完善的课程教材体系赢得了学校用户的认可目前神州数码可以向学校供五大不同类型的实验室方案通路由交换实验室方案、安全攻防实验室方案、融合通信实验室方案IPv6实验方案、协议分析与研发型实验室方案其的网络技术譬如无线储没有列为专门的实训室类型，它们可以作为一个组件附加在各个实验室中。实验室类型虽然很多，但根据锻炼能力的不同分为以下几个级别：6

1、装调试级别：即学会配置换机、路由器、防火墙、IDS、VoIP、无线等网络设备已经存在的功能这些功能显现出来且会如何用这些设备组网实现用户所需要的功能和服务，此时学生面对的网络是静态的设备。2、运维攻防级别：这是更高级的实验室，网络不再是一个个单独的设备，而是动态运作的一个整体。网络时刻在变化，病毒、攻击、瓶颈、非法操作随时都可能对网络造成致命的破坏学需要对这个动态网络进行架构的优化流量进行限制和整形对用户进行管理、对病毒进行防治、对攻击进行防御等。此时，学生就是网络中的警察、建筑师、清洁工，保证整网更顺畅、安全的运行。这个级别的实验更加灵活多变，难度也更大，要求学生对基础知识的掌握更扎实。安全攻防实验室就属于这一级别的实验室。3、研发级别：研发网络设备的定功能，培养既懂网络又懂研发的复合型人才。2008年前，各学校建设的网实验室均属于安装调试级别的实验室，只能培养技能型人才，而第二级别和第三级别可以培养技术型人才。3.2目前，各行业用户对信息系统的依赖程度也越来越高，建立持续、稳定、安全的网络是保障用户业务发展的前提。大家都认识到安全的重要性，纷纷采用防火墙、加密、身份认证、访问控制，备份等保护手段来保护信息系统的安全。与此同时，安全问题日益严重，病毒、木马、黑客攻击、网络钓鱼DDOS等安全威胁层出不穷，而且技术越来越复杂，病毒、木马及黑客技术等融合造成了网络安全的巨大危机此国内人才市场对网络安全工程师的需求量骤增，大中型企业需要精通网络安全的网管人员。原来的网络安全实验室都是面向设备安装调试以及设备组网的实验室，没有针对网络管理员实际遇到的安全攻防做出相应的训练。神州数码是国内首家正式提出安全攻防技术进入学校教学课堂的网络设备厂商，并提7

供了完整的解决方案安全攻防实验室使用主流的安全设备防火墙入侵检测与防御系统、统一威胁管理系统端安全系统安全准入认证系统组成实验网络将型安全漏洞实验案例主系统加固实验案以及漏洞扫描案例浓缩到称之“安全沙盒的全攻防实验平台中全盒与所有安设备组合部署成一个强大的网络测试环境生和研究人员可以更直观、更有效、更方便地体验设备中安全技术的部署，观察并攻击“安全沙盒”中定制服务器常见的操作系统漏洞和网络应用服务漏洞等，然后在安全沙盒上进行系统加固，并可以利用整网的设备联动发现威胁、主动防御。安全沙盒的部署拓扑如下：第四章全攻防实验室方案4.1传统安全设备传统的安全设备包括防火墙统一威胁管理、入侵检测引擎、认证计费、日志系统等产品这些传统的安全设备以组建完整的网络进行设备的安装调试足学生了解产品配置了解产品功能的作用传统的安全设备是安全攻防实验室不可或缺的产品们8

组合可以完成安装调试级别的所有实验。安全沙盒——使实验室具有攻防教学功能的独特产品（是州数码网络公司专为网络安全攻防实验室研发的产品，是进行网络安全攻击和防御的模拟平台炼生动态网络安全维护的能力名材于军事术语“沙盘意味着安全盒可以通过模拟实战演练战术和技术，其先进的设计理念为国内首创。安全沙盒系统为计算机及网络安全教育提供多系统平台的教学课件，在教学、培训过程中，根据需要可以启动基于不同操作系统平台的教学课件，满足所有教学环境的需求。安全沙盒系统为计算机及网络安全教育提供多模式的安全攻防实验课件，能够进行各种安全威胁的攻防操作，针对不同的攻击防御模式，提供多种实验课件选择。安全沙盒系统的全部课件均是将安全理论与实际环境和动手操作相结合的实验课程，所有的学习过程中需要通过实际动手进行实验操作成课件要求的安全威胁攻击以及针对该攻击的安全防御措施不同的实验课程让学员亲身体验计算机及网络安全的攻防全过程学生从枯燥的理论学中解脱出来以极大的提升学生学习网络安全知识的积极性，并帮助学生在未来的就业和职业发展奠定扎实、实用的技术基础和经验。安全沙盒具有10个千兆电口，其中2个于管理8用于学生实验，可以满足8人同时实验，并具有如下特点满足教学需求：、独立的实验环境：教师通过SMC控台可以为学生开启各计算机安全教学课程的实验环境生以在实验环中进行各种计算机安全的攻防实验立离的实验环境不会对其他网络造成危害。、可定制的安全实验课件：教师可以在SMC控台上进行日常教学的课程定制，根据已有的实验课件，教师可以自行编写教学课程内容。9

、支持多实验课程同时进行：教师可以在SMC控台上进行多个计算机安全实验课程的教学，通过启动不动的安全实验课件，为不同的学生分配相应的实验课程。支单独的实验分系统师可以在SMC控台上为上课的学生进行实验评分，每个学生都可以有自己的实验分数，且支持对学生实验成绩可以导出功能。、具备实验课程在线帮助：学生在进行每个实验课程时，都可以通过在线实验说明实验提示步骤，自行完成实验课程。、可扩展的实验课件体系：安全沙盒系统可以通过不断的更新实验课件，不断扩容验能力，可以无限为计算机安全教学提供长期的实验操作平台。4.2在安全攻防实验室方案中，我们把实验室分成了六个区域：安全攻防实验组拓扑内部网用户IDS入侵检测引擎

沙盒课件管理器DCSS全沙盒DCBI防火墙内部网

DCSMNETLOG

系统攻防演练区

DCSM内网安全管理系统防火墙

外部网网络VPN安全域

内网核心安全域DCBABAS设备UTM802.1x交换机UTM

远程接入SCANNER

网络接入安全域

学生机

学生机

DCFS流量整形网络边界域

攻击机/scanner模拟外网安全域1、网络VPN安域：使用防火墙进行VPN技术的组网和配置，让学生了解VPN技的特点、适用范围以及安装调试。2网接入安全域使用802.1x术接入技术或者PPPoE接入技术管理接入安全，也可以利用DCSM内网安全管理系统进行病毒检查和资产评估。3、内网核心安全域：部署日志统和Radius服务器进行安全审计。4、网络边界域：具有流量整形关设备UTM和BAS备，可以很完整的管理边界安10

全。5、模拟外网安全域：主要进行程接入的安全设置以及模拟外网产生的恶意扫描和攻击。6系攻防演练区全沙盒是主要设备安全沙盒上进行系统的攻击和防御入侵检测引擎负责网络安全的嗅探和威胁发现保证安全沙盒不对网络的其他区域造成危害，还需要使用防火墙和其他区域隔离，使用DCSM内网安全管理系统对这些工具和软件进行资产管理，防止学生私自复制，对校园网络造成危害。安全攻防实验室不再是普通意义上的设备安装调试级别的实验室，它带来全新的实验室理念即运维攻防级别的实验理念提供了全动态绝对真实的网络实训环境对学生而言网络不再是一台台静止的设备组成是具有各种关联提供各种服务存在各种威胁的一个动态的整体。4.3神州数码非常重视网络安全技术的课程体系，把安全认证从基础认证体系中抽取出来扩展，形成专门的两级安全认证体系：网络安全管理员课程——面向中高职院校掌握程度分为：掌握、理解、了解三个层次。11

项类型1域2联

一知识点

二知识点password-encryption命令(vty访问Shell(SSH)协攻击DHCP防/ARP击ARP骗Web和应

课数221122222244444222444

掌程3络（VPN、案

IPSEC

244448

4联

IEEE802.1XPPPOE实portal

2444

12

网络安全工程师课程——面向职、本科院校掌握程度分为：掌握、理解、了解三个层次。项类型

一知识点

二知识点

课数1

掌程度

安密访问

11112122111111124222

与

42244444

传

22222222

13

RSA的数

1112112212

施

2222

2112221111122111111

NT/2000NT/2000系统的缺系统

222

14

4.4基本实验实类型

实项目配置备(选)实验VPN设VPN客VPN设IPSECVPN实SSLVPN的安装与NIDS的NIDSReportUTMUTM进UTM进

课数21211111111111111222222211111222

掌程度15

UTM进行DCBI-3000安DCBI-3000使自自服务系功能的组DCBA-3000W基本DCBA-3000W配置DCBA-3000WNATDCBA-3000WFilistDCBA-3000WACL调试DCBA-3000W二次DCBA-3000W二次听sniffer+口令探测superscan流光击(DDOS)Windows缓区溢注（MySQL（（CVE-2005-2959、MySQL（Apache）（的IDS入侵检

2111111111111222244444444441111111222222

16

扩展实验安全沙盒是一个可以不断扩展的实验平台，教师可根据课程需要自行研发扩展实验，教师按照一定的研发规则自行研发相应实验课件导入安全沙盒数码提供必要的技术支持。实类型

实项目实现口令下文

实点、DES、AES、RSA算、ELGamal算法、SHA-1证书IISIIS个人网站搭建、、日、Linux、审、LinuxWindows文件Windows文、、ICMP、UDP端口CGI通、会话过程、会、洪水系统监视器17

第五章安全攻防验配服师师资是学校提高教学质量的保证，有了专业的老师，也能把网络课程开办成精品课程，师资是基础数网络公司为合作院校提供专门的师资培养系统帮助学校培养网络专业的教师些资同时也是神州码网络公司的宝贵资源们在教学中的意见和建议是神州数码网络培训不断前进的动力。师资培训神州数码网络大学具有完善的师资培养计划，对于每一个签约网络学院，神州数码网络大学为其培养2名授网络大学课程的讲师。讲师培训分为网络知识、实验操作、授课技巧等多方面培养。尤其是讲师呈现技巧的培训，目前IT厂培训中只有州数码提供这样的内容，神州数码认证讲师是合格的、可以为人师表授课人员而不是简的网络产品调试人员师资培训结束后讲师都会经过严格的机考、调试考核试考核在最终获得讲师资格证书后该讲师方可代表神州数码开始对学生讲课，充分保证教师的质量外，对于签约网络学院的讲师州数码网络大学提供持续的讲师升级培训。神州数码专为师资设计了两级的讲师认证体系，讲师证书的含金量也远远高于其他认证证书。DCNI—神州数码认证网络讲师，获得此证，被授权可以讲授DCNA、DCNE等基础课程。DCSI——州数码认证网资深讲师，获得此证，被授权可以讲授DCNP、DCNS系列等高端课程。18

课件为了方便讲师授课扩展讲师在络行业的知识面小教师备课的工作量能够有更多的行业资料辅助教学，神州数码网络公司专为讲师编写了《讲师指导手册体化教程的教材都配备《讲师指导手册了《讲师指导手册》以外，每套课程还附带电子课件、多媒体教程、考试复习题、模拟考试系统等，以上所有以上资料，在学校与神州数码网络公司签署了网络技术学院协议之时，通过邮递的方式交给学校。讲师交流平台神州数码网络公司专门为讲师建立了讲师数据库，对于涌现出的新技术和新产品，神州数码网络公司将以第一时间把资料投递到数据库中的讲师手中为讲师授课提供强有力的后援，神州数码网络公司还在网站上特意开设了“教师交流平台地讲师和神州数码网络大学一起在这个平台上交流技术和教学经验，共同提高。教师进修计划神州数码网络公司与合作院校老师共同成长。每年寒暑假期间，神州数码会吸纳合作院校的部分老师参加企业实践师作为神州数码的工程师安排到项目现场进行安装调试或者培训助理协助师资培训，通过这种方式增强老师的实践经验。19

神州数码网络公司也会组织名师竞赛，选出神州数码最优秀的认证讲师作为神州数码名誉专家成为神州数码教材研发委员会成员出的神州数码教材上也会有名誉专家的名字。5.2为了方便学生参加认证考试，神州数码的认证考试采用第三方的考试平台，成绩公开、公正公神数码网络公司可以方便地为合作院校申请考试平台们的认证考试也得到了众多国家部委的专业考试的认可通过神州数码认证考试可以获得信息产业部以及劳动部相应的证书。神州数码网络公司希望能够从众多学员中选取到最优秀的学生加盟神州数码，并采取了以下措施进行人才储备建立神州数码学员人才库优秀学生提供实习录取实习优秀的学员成为神州数码正式员工。神州数码认证考试采用考试平台ATA：全美测评软件系统（北京有限公司，是一家专业从事考试服务的公司，为客户提供最佳的整体考试解决方案并协助客户推广实施其考试认证项目。ATA1999年在美国纽约成立，年在中国北京设立独资公司。先后在上海、江苏、山东、福建、吉林、重庆、广东、陕西、湖南、江西、浙江、安徽等省市设立了13家分机构。目前，在中拥有1000余特许加盟考站及认证考试中心，每年承接来自政府机构、教育机构、企事业单位的考试多种，年考试量在万人次以上。作为国内最知名的第三方考试平台，ATA向微软、Sun、Adobe、华为等国内外知名IT企业提供考试技术支持。2003年2月神州数码网络公和强强联手，共同推广神州数码认证考试项目。从此神数码认证的考试环节入正轨部考试采用第三方考试平台保证认证考试的公平性、严肃性。迅速成为国内最知名的认证品牌之一，连续三年获得了IT培训大影响力认证品牌ATA公司网址：20

神州数码协助合作院校申请成为公司考站神州数码网络公司将协助合作网络技术学院申请与ATA公合作，加盟考站。考站加盟有两种方式：第一种方式：学校向ATA公司申请全套考站服务，该考站可以进行ATA公代理的所有考试项目的考试。该加盟方式，神州数码网络公司推荐院校直接和ATA联系。第二种方式：学校申请只参加神州数码认证考试的站站。操作流程如下：1）学与神州数码网络公司签约成为神州数码网络技术学院或者授权教育中心；2）神数码网络公司向ATA提供校信息，并提出考站申请；3）神数码网络技术学院享受ATA考加盟的优惠政策次性加盟免年费）和免费补考一次；4）ATA向校发送考站加盟协议，学校按协议向ATA一次性缴纳考站加盟费，双方签署协议；5）ATA向学校邮寄考试系统光盘和其他考站设施及资料；6）学自备考试服务器一台和考试机若干作为考场环境；