《计算机网络基础》教案-任务 16 网络安全防护与应急响应

PAGE《计算机网络基础》课程教案模块五网络安全与防护任务16网络安全防护与应急响应项目内容课程名称计算机网络基础授课模块模块五网络安全与防护授课课题任务16网络安全防护与应急响应授课对象职业院校计算机类相关专业一年级学生课时安排4课时（2次课，每课时45分钟）授课类型理实一体课（讲授与实操结合）授课地点多媒体教室+计算机网络实训室教学方法任务驱动法、案例教学法、情境演练法、演示—模仿法、分组协作法教学资源教材任务16、演示文稿、Nmap与Wireshark安装包、实训用机与隔离实训网络、密码管理器与MFA演示环境、应急响应场景卡片、学习平台一、教学目标（一）知识目标1．能说出应用系统安全防范的三维框架——技术层面、管理层面、个人层面，并说明三者各自承担的职责与相互补充关系。2．能说出技术层面的三类措施：网络防护（防火墙／IDS／IPS协同、全链路加密传输、网络分段与微隔离）、设备与软件防护（终端安全加固、应用安全防护）、数据防护（分类分级与访问控制、加密存储、备份策略）。3．能说出防火墙通过ACL规则过滤非法IP、端口和协议的工作方式，能举例说明“仅允许80／443端口访问Web服务器”这类规则的作用。4．能说出TLS1.3全链路加密、HTTPS加密传输密码、SSH+2FA替代明文Telnet三种加密传输场景，理解淘汰SSLv3／TLS1.0的原因。5．能说出VLAN划分与零信任网络（ZTNA）的基本思想，理解“基于身份而非网络位置授权访问”的含义。6．能说出数据分类分级的四级标签（公开数据、内部数据、敏感数据、机密数据）、动态脱敏的作用，以及AES-256与RSA-2048的分工和“3-2-1”备份黄金法则。7．能说出管理层面的四项措施（完善安全策略与流程、人员能力建设、合规检查与审计、应急响应处置）与个人层面的三项要点（密码安全、信息保护、操作规范）。8．能说出网络安全应急响应的定义、四大核心目标与五个流程环节，能说出五种核心响应方法及其适用岗位，并能复述五类典型场景的应急步骤。（二）能力目标1．能在隔离的实训网络中使用Nmap完成局域网存活设备扫描（nmap-sP网段）与服务版本探测（nmap-sV目标IP），能识别Telnet23、FTP21、SSH22等高风险端口。2．能在Windows环境中使用netsh命令启用全部网络配置文件的防火墙，并通过控制面板验证启用结果。3．能使用密码管理器生成符合复杂度要求的强密码，并完成一次多因素认证（MFA）的绑定演示。4．能针对个人设备中毒、账号被盗、遭遇钓鱼诈骗、企业数据泄露、网络中断或系统瘫痪五类场景，按标准步骤编制应急处置流程卡。5．能针对一个给定的小型网络，从技术、管理、个人三个层面各提出至少两条改进建议，形成一份简明的安全加固清单。（三）素质目标1．通过勒索病毒、账户被盗等真实损失的案例，认识安全防护不是“可选项”而是“必答题”，养成防患于未然的风险意识。2．通过“禁止未经授权扫描他人网络设备”的实训纪律，树立技术向善、依法用网的职业底线，明确技术手段的使用边界。3．通过断网隔离、备份恢复等应急演练，培养遇事不慌、按流程处置的职业定力与规范意识，杜绝“支付赎金”“重启碰运气”等错误做法。4．通过密码唯一性、MFA、信息脱敏等个人行为规范的训练，养成对自己和他人信息负责的习惯，把职业素养落到日常细节。5．在分组实训与演练中，培养按规程操作、如实记录数据、主动报告异常的职业作风，以及团队协作、分工负责的职业精神。二、教学重点与难点（一）教学重点1．应用系统安全防范的三维框架及其具体措施。2．数据分类分级、加密存储与“3-2-1”备份黄金法则。3．个人层面的强密码三要素、唯一性原则与多因素认证。4．网络安全应急响应的核心目标、流程环节与五类典型场景的处置步骤。（二）教学难点1．技术措施“看得见、摸不着”：防火墙规则、TLS握手、VLAN隔离都是后台机制，学生缺少直观感受，易停留于名词记忆，不理解其解决了什么问题。2．加密体系中对称与非对称的分工：学生易混淆“哪个快、哪个安全、实际怎么用”，不理解为何要AES-256与RSA-2048配合使用。3．备份“3-2-1”法则的理解：学生能背“3份副本、2种介质、1份异地”，但不理解每一条针对的是哪一类失效风险。4．应急响应的“先后顺序”：学生易在慌乱中跳步，如先杀毒后断网、先删文件后取证，不理解“先止损、后溯源、再恢复”的处置逻辑。突破策略1．难点1：每项技术只讲“它挡住了什么”。防火墙＝边界门禁，按ACL规则只放行必要端口；IDS＝监控探头，只报警不拦人；IPS＝带门禁的探头，能主动阻断；TLS1.3＝给数据套上防窥信封；VLAN＝把一栋楼隔成互不相通的单元；零信任＝不看你在哪、只看你是谁。每项配一张“有／无对比图”，抽象机制就变成了具象画面。2．难点2：用一个比喻讲清分工——AES-256是对称加密，像同一把钥匙开锁和锁门，快，适合加密海量数据本身；RSA-2048是非对称加密，像一把公开的挂锁配一把私有的钥匙，慢，但不必事先传递密钥，因此适合保护“钥匙”本身。结论：实际系统用RSA护住AES的密钥，再用AES加密数据，兼顾安全与效率。3．难点3：把“3-2-1”逐条对上失效场景——3份副本针对“单份损坏”，2种介质针对“同一介质批量失效”（如一批硬盘同批次损坏），1份异地针对“机房整体灾难”（火灾、水淹、勒索病毒横向加密）。逐条追问“如果不做这一条，什么情况下会全军覆没”，学生就理解了法则背后的风险假设，而不只是背数字。4．难点4：把处置顺序编成一句可诵的口诀——“先隔离、再止损、留证据、后恢复、终复盘”。课堂上用“勒索病毒”场景做一次错误示范：让学生先按本能操作（重启、删文件、联系黑客），教师当场指出每一步的后果（加速加密、丢失取证线索、助长犯罪且未必拿回数据），再给出标准步骤。错误示范的冲击力远大于正确步骤的平铺直叙。三、教学对象与课时安排（一）学情分析本任务面向职业院校计算机类相关专业一年级学生，是模块五乃至全书的收官任务。学生已完成前四个模块的学习，掌握了网络基础、局域网搭建、IP规划、网络服务、网络工具与物联网基础，并在任务15中建立了网络安全法律法规与等级保护的认知框架，具备理解本任务的技术与制度基础。在技能上，学生已能使用命令行执行基本网络命令，能独立完成软件安装与系统设置，具备开展Nmap扫描与防火墙配置的动手能力。在经验上，学生普遍遇到过账号异常、垃圾短信、电脑卡顿中毒等问题，对“安全”有朴素的重视。但学生存在三个突出短板：一是把安全等同于“装杀毒软件”，不了解防护是技术、管理、个人三维协同的系统工程；二是从没见过真实的端口扫描结果，不知道自己的设备在开放哪些“窗口”；三是遇到安全事件时凭本能处置，缺乏流程意识，容易出现“先重启试试”“先格式化”等破坏取证的操作。此外，本任务涉及Nmap扫描等具有双刃属性的技术，教学中必须把伦理与法律教育放在技能训练之前：明确告知Nmap等工具仅可用于经授权的自有设备与隔离实训环境，严禁未经授权扫描他人网络设备，违者可能触犯《中华人民共和国刑法》第二百八十五条等相关规定。教学中应坚持“先立规矩、再动手”，把依法用网的底线意识贯穿实训全过程。（二）课时安排本任务共4课时（每课时45分钟，共180分钟），分2次课完成，具体安排如下。次序课时教学内容教学形式第一次课2课时应用系统安全防范三维框架；技术层面（网络防护、设备与软件防护、数据防护）；管理层面四项措施；个人层面密码安全、信息保护与操作规范案例讲授+图文演示+分组讨论+随堂测第二次课2课时认识网络安全应急响应；五种核心方法；五类典型场景应急处置演练；实操一安全风险快速检测（Nmap）；实操二基础防护配置（防火墙、强密码、MFA）情境演练+演示模仿+分组实操+成果提交四、教学方法与手段（一）教学方法1．任务驱动法：以“为小型网络做一次安全加固”为总任务，分解为风险检测与基础防护两个子任务，学生带着任务动手。2．案例教学法：以某高校集体账户被盗、某网红快递单泄露、某公司财务单击带毒附件损失超200万元三个真实案例支撑个人层面讲解。3．情境演练法：把五类典型应急场景做成卡片，小组抽签演练，现场编制处置流程并接受质询。4．演示—模仿法：Nmap扫描、防火墙启用、密码管理器与MFA绑定均由教师演示后学生模仿操作，确保步骤规范。5．分组协作法：4人一组，设操作员、记录员、核查员、汇报员，操作与记录分离，保证实训数据真实可信。（二）教学手段1．多媒体课件，含三维防护框架图、数据分类分级示意图、应急响应流程图、3-2-1备份示意图。2．实训环境：独立的隔离实训网络（不得接入校园网与互联网），预装Nmap、Wireshark的实训用机。3．密码管理器（Bitwarden）与多因素认证演示环境（GoogleAuthenticator或等效工具）及模拟二维码。4．应急响应场景卡片五套（个人设备中毒、账号被盗、遭遇钓鱼诈骗、企业数据泄露、网络中断／系统瘫痪）与流程卡模板。5．实训任务单与记录表（扫描结果记录表、端口风险登记表、加固措施清单），每组一份。6．学习平台（学习通／雨课堂），用于实训成果提交、小组互评与实训纪律承诺签署。五、教学准备（一）教师准备1．搭建隔离实训网络，确保实训用机不接入校园网与互联网；在实训机上预装Nmap与Wireshark，并验证命令可正常执行。2．准备实训安全纪律承诺书，明确“仅可扫描教师指定的实训网段与自有设备，禁止未经授权扫描他人网络设备”，课前组织学生签署。3．制作三维防护框架图、数据分类分级示意图、应急响应流程图与3-2-1备份示意图。4．核对教材中的案例数据（87%的学生使用“姓名＋生日”组合密码、破解难度提升10万倍、重复使用密码受攻击概率为3.2倍、微软数据称MFA可阻止99.9%账户被盗攻击、勒索病毒损失超200万元等），授课时注明“据教材案例”，不随意更改或外推。5．预先在教师机上演练nmap-sP网段、nmap-sV目标IP、netshadvfirewallsetallprofilesstateon三条命令，记录预期输出，便于课堂对照与学生排错。6．准备MFA演示用的模拟二维码与备用方案（如无网络环境，使用离线演示视频），确保演示环节不中断。7．编制实训任务单、扫描结果记录表与加固措施清单，并制定实训安全与成果评分细则。（二）学生准备1．预习教材任务16内容，重点阅读16.1节三维防范措施与16.2节应急响应的典型场景。2．回忆自己是否遇到过账号异常、电脑中毒或收到可疑链接的情况，记录当时的处置方式与结果。3．在学习平台签署实训安全纪律承诺书，明确未经授权不得扫描他人网络设备。4．按4人一组完成分组，明确操作员、记录员、核查员、汇报员分工。六、教学过程（一）第一次课（2课时，90分钟）1．导入新课（8分钟）——一份200万元的账单【教师活动】呈现教材案例：2021年某公司财务人员单击“年度报表.rar.exe”邮件附件，导致全公司系统被勒索软件攻击，损失超200万元。请学生思考三个问题：这个附件为什么能骗到人？公司明明有防火墙，为什么没挡住？如果你是当事人，事发后第一步该做什么？【学生活动】结合课前记录的经历发言，说明自己遇到可疑链接或中毒时的第一反应。【教师活动】归纳并点题：文件名“年度报表.rar.exe”用双后缀伪装成文档，骗的是人；防火墙挡住了外部入侵，却挡不住内部人主动点开的附件——这说明技术防线再严密，也必须有管理规范和个人意识配合。安全防护需要从技术、管理、个人三个维度共同开展。顺势引出本任务，并说明本任务分两次课：第一次讲“怎么防”，第二次讲“出事怎么办”加动手实操。【设计意图】用一个损失惨重的真实案例制造冲击力，同时借“防火墙为什么没挡住”这一追问，自然引出三维防护框架，避免一上来就罗列技术名词。板书课题“任务16网络安全防护与应急响应”，并展示本任务学习目标。2．技术层面之一：网络防护（18分钟）【教师活动】讲防火墙／IDS／IPS协同防御体系。防火墙作为网络边界的第一道防线，通过ACL（访问控制列表）规则过滤非法IP、端口和协议，例如仅允许80／443端口访问Web服务器，阻止外部扫描工具探测内网。IDS基于特征库或行为分析检测已知攻击模式（如SQL注入特征码），生成告警日志供安全团队分析。IPS在IDS基础上增加主动阻断能力，例如自动丢弃包含恶意SQL语句请求的数据包。板书强调一句话：防火墙管进出，IDS只报警，IPS能拦人。【教师活动】讲全链路加密传输。TLS1.3协议通过配置仅启用TLS1.3以淘汰不安全的SSLv3／TLS1.0，确保数据传输过程中的保密性和完整性。应用场景一：用户登录时，密码字段通过HTTPS加密传输，防止中间人窃取。应用场景二：远程运维使用SSH+2FA（双因素认证）替代明文Telnet协议。追问学生：Telnet为什么不能用？由此带出明文协议的危害——密码在网络上“裸奔”，抓包即可读取。【教师活动】讲网络分段与微隔离。VLAN划分将内网划分为办公、测试、生产等逻辑隔离区域，限制跨区访问，如禁止在测试环境直接访问生产数据库。零信任网络（ZTNA）基于身份而非网络位置授权访问，提高网络安全性，例如仅允许特定IP段的运维人员通过JumpServer（堡垒机）访问数据库。用一句话点明零信任的核心：默认不信任，持续验证。【学生活动】为学校机房设计三条防火墙规则，并说明每条规则挡住的是什么。【易错提醒】教师强调：VLAN是“逻辑隔离”不是“物理断开”，配置错误仍可能互通；零信任不等于“谁都不让进”，而是“每次访问都要重新验证身份”。3．技术层面之二：设备与软件防护（12分钟）【教师活动】讲终端安全加固：部署EDR（终端检测与响应）系统，通过持续监控进程行为构建主动防御体系，实时识别并阻断勒索软件、挖矿木马等恶意操作；同时利用WSUS或SCCM实现补丁的集中化部署，快速修复高危漏洞。讲应用安全防护：部署Web应用防火墙（WAF），通过预置规则库精准覆盖OWASPTop10漏洞，实时拦截跨站脚本（XSS）、SQL注入等攻击；结合SAST和DAST工具在开发全周期进行代码安全审查，确保应用安全性。【教师活动】补充工程师视角：EDR与传统杀毒软件的区别在于，杀毒软件靠“特征库比对已知病毒”，EDR靠“监视进程行为识别异常”。勒索软件这类会加密大量文件的行为，即使特征库里没有，EDR也能从行为上发现并阻断——这正是“主动防御”的含义。补丁管理同理，绝大多数成功攻击利用的都是早已发布补丁的旧漏洞，补补丁的收益远高于买新设备。【学生活动】检查自己计算机的补丁更新状态与杀毒软件启用情况，记录是否开启实时防护。4．技术层面之三：数据防护（15分钟）【教师活动】讲分类分级与访问控制：数据分类分级与精细化访问控制是系统数据的核心防护手段，首先依据数据敏感程度划分四级标签（公开数据、内部数据、敏感数据、机密数据），并实施精细化访问控制；敏感数据在展示时通过动态脱敏技术自动替换关键字段，确保数据安全。举例：客服系统里手机号显示为138****5678，就是动态脱敏。【教师活动】讲加密存储：存储环节采用分层加密算法，针对海量数据（如数据库字段）使用AES-256对称加密实现高效加密／解密，对加密密钥本身则通过RSA-2048非对称加密保护，确保数据的保密性。用“钥匙与挂锁”比喻讲清分工：AES是同一把钥匙，快，适合加密数据本身；RSA是公开挂锁配私有钥匙，慢，但不必传递密钥，适合保护钥匙本身。【教师活动】讲备份策略：建立自动化验证机制，通过VeeamBackup等工具每月随机抽检1%的备份数据执行完整恢复测试，同时验证备份链的完整性（如校验日志连续性、校验和一致性），确保灾难发生时数据可成功恢复。备份工作应维护多份数据副本并采用不同存储介质，遵循“3-2-1”黄金法则：至少3份数据副本，存储在2种不同的介质上，其中1份位于异地。【学生活动】逐条回答：3份副本防的是什么？2种介质防的是什么？1份异地防的是什么？【教师活动】给出答案要点：3份副本防单份损坏，2种介质防同一介质批量失效，1份异地防机房整体灾难（火灾、水淹、勒索病毒横向加密）。追问：只做本地两份备份，勒索病毒来了会怎样？由此让学生理解异地与离线的价值——没被加密的备份才是最后的救命稻草。【设计意图】把三条数字法则逐条对上失效场景，让学生理解规则背后的风险假设，避免机械背诵。5．管理层面：制度保障落地（12分钟）【教师活动】讲四项措施。①完善安全策略与流程：将安全要求嵌入开发全周期（SDL），建立漏洞闭环管理机制，严格审核代码变更，确保安全措施的有效执行。②人员能力建设：定期开展安全培训与钓鱼演练，提升全员安全意识，通过模拟攻击场景让员工亲身体验安全威胁，增强防范能力。③合规检查与审计：对标等保2.0、GDPR等标准进行自查，引入第三方机构进行渗透测试，确保系统符合行业安全规范。④应急响应处置：制定详细的事件处置流程，定期验证备份与灾备方案的有效性，通过模拟演练提升团队在紧急情况下的应对能力。强调四大模块协同，形成覆盖预防、检测、响应、恢复的全周期管理防护网。【学生活动】讨论：为什么说“钓鱼演练”是有效的？被演练骗到的员工要不要处罚？【教师活动】归纳：演练的目的是暴露问题、训练肌肉记忆，不是为了抓人处罚。把演练做成“惩罚工具”，员工就会隐瞒失误，反而埋下更大隐患。这是管理层面最容易被做歪的一点，也是职业素养的体现。同时提示：本任务后面讲的应急响应制度，正是这里第四项措施的具体展开。6．个人层面：筑牢最后防线（20分钟）【教师活动】点题：在技术防护体系构建完成后，个人行为规范是安全防护的最后一道屏障。就像银行金库需要多重门禁，但最后一道门仍需专人把守，个人安全意识直接决定防护效果。【教师活动】讲密码安全。案例：2023年某高校发生集体账户被盗事件，调查发现87%的学生使用“姓名＋生日”组合密码，黑客通过社工库比对轻松破解。据此讲三条要求：①强密码三要素——采用“大小写字母＋数字＋特殊符号”组合，长度建议12位以上，例如将“Security2024”升级为“Sec@2024#Net”，破解难度大幅提升；②唯一性原则——每个平台使用独立密码，推荐使用密码管理器（如Bitwarden）生成并存储，据教材案例，重复使用密码的用户遭受攻击的概率是普通用户的3.2倍；③多因素认证（MFA）——在密码基础上增加动态验证码（短信／App）、生物识别等第二验证因素，据教材引用的微软公司数据，启用MFA后可阻止99.9%账户被盗攻击。【教师活动】讲信息保护。案例：2022年某网红因在直播中展示快递单，导致家庭住址被曝光，引发粉丝围堵事件。指出信息泄露往往始于无意识的分享，因此要对敏感信息进行分级管理，绝对保密级信息（如身份证号、银行卡号）需严格保护，在社交平台上分享信息时进行脱敏处理，避免泄露个人隐私。【教师活动】讲操作规范，讲解网络行为三项安全准则。准则操作规范链接识别四步法悬停查看真实URL（警惕短链接）；核对发件人域名（注意@后的内容）；搜索验证活动真实性；直接访问官网替代单击软件安装白名单制度仅从官方应用商店下载；开启“未知来源安装”拦截（安卓系统）；定期使用Malwarebytes扫描设备公共Wi-Fi使用规范优先使用4G／5G网络；必须使用时启用VPN；避免登录银行、政务等高风险网站【学生活动】现场演练链接识别四步法：教师投影三条模拟链接（含一条伪装成学校域名的短链接），学生按四步法判断并举手表态，教师逐条揭晓并讲解判断依据。【易错提醒】教师强调三点：①强密码不是“把生日加个叹号”，长度和随机性比复杂符号更重要；②密码管理器本身要用强主密码并开启MFA，否则等于把所有鸡蛋放进一个没锁的篮子；③公共Wi-Fi的风险不只是“网速慢”，更在于同一网络内的攻击者可能实施中间人攻击，因此涉及资金与政务的操作一律改用移动网络。7．课堂小结与作业布置（5分钟）【教师活动】以“三层、四管、三个人”串起本课：技术层三块是网络防护、设备与软件防护、数据防护；管理层四项是策略流程、人员能力、合规审计、应急响应；个人层三项是密码安全、信息保护、操作规范。强调三者关系：技术挡外敌，管理定规矩，个人守最后一道门。【学生活动】两人一组互相复述三条核心结论：①防火墙管进出、IDS只报警、IPS能拦人；②“3-2-1”备份法则的每一条各防什么；③个人层面三项准则各自针对什么风险。【作业布置】1．【必做】完成教材“实战练习”第一大题（单项选择题）、第二大题（判断题）、第三大题（填空题）。2．【必做】从技术、管理、个人三个层面各写出两条针对学校机房的安全改进建议，形成一份不少于300字的加固清单。3．【拓展】在自己的计算机上启用系统防火墙并检查补丁更新状态，截图上传学习平台。4．【预习】阅读教材16.2节“网络安全应急响应”，并预习知识拓展中Nmap的两条命令。5．【准备】签署实训安全纪律承诺书，明确下一课实操只允许扫描教师指定的实训网段。（二）第二次课（2课时，90分钟）1．导入新课（5分钟）——从“怎么防”到“出事怎么办”【教师活动】承接上一课提问：防护做得再好，能保证百分之百不出事吗？学生回答后点明：防护的目标是降低概率，而不是消灭风险；真正决定损失大小的，往往是出事之后的处置速度。据教材引用的国际权威机构SANSInstitute统计，85%的安全事件造成的经济损失来自响应延迟，而采用系统化应急方法可将处置效率提升60%以上。引出本次课主题。【教师活动】先立规矩：本次课要使用Nmap等扫描工具。这类工具是安全工程师的“听诊器”，用它可以发现自己的设备开放了哪些不该开的“窗口”；但同样是它，也可以被用来探测他人网络的弱点。因此必须明确一条底线——禁止未经授权扫描他人网络设备，本次实操只允许扫描教师指定的隔离实训网段。请各组核查员确认本组承诺书已签署。【设计意图】把技术伦理与法律底线放在技能训练之前，落实“先立规矩、再动手”，避免学生把扫描工具当作炫技玩具。2．认识网络安全应急响应（15分钟）【教师活动】讲定义：网络安全应急响应是指针对突发的网络攻击、系统漏洞或安全事件，采取预先规划的技术和管理措施，以快速控制损失、恢复系统并追踪事件根源的过程。应急响人员需要具备网络安全攻防技术，并能够迅速分析、调查和处置各种网络安全事件。讲四大核心目标：快速止损、降低影响、恢复正常、防范再发。讲流程五个环节：事件发现、初步评估、紧急处置、恢复系统、事后复盘。【教师活动】讲重要性：应急响应是网络安全防护体系中至关重要的“最后一道防线”，它能在网络攻击的黄金处置期内快速切断传播链，遏制单点故障向系统性瘫痪的演变，有效防止损失指数级扩大。具体体现在四个方面：提高网络安全响应速度，快速采取措施，最大限度地减少损失；保护数据安全，及时发现并处置数据泄露等安全事件，保护个人隐私和企业敏感信息；防范网络攻击，分析攻击方式和手段，为后续的防御提供有价值的情报和信息；提高网络安全意识，加强员工和用户对网络安全的重视，减少安全事件的发生，并增强整体的安全能力。强调“时间成本”：响应越慢，损失越大，例如勒索病毒延迟1小时处置，可能导致更多文件被加密。【学生活动】快速判断：以下做法是否正确——①发现中毒先重启试试；②发现中毒先格式化重装；③发现中毒先拔网线。说明理由。【教师活动】点评：①②都会破坏证据、加速损失，属于典型的错误本能；③先断网隔离是正确的第一步。由此引出“先隔离、再止损、留证据、后恢复、终复盘”的处置口诀。3．网络安全应急响应的五种核心方法（12分钟）方法名称关键技术点适用岗位断网隔离端口识别、流量分析网络管理员密码重置域控管理、策略配置系统管理员日志分析日志筛选、时间线重建安全运维备份恢复镜像还原、数据校验数据管理员终端查杀病毒识别、进程管理终端运维【教师活动】逐条讲解五种方法的适用场景与技术要点，并强调其岗位归属：断网隔离是网络管理员的第一动作；密码重置用于阻断攻击者已获得的凭据；日志分析用于重建时间线、查明入侵途径，是溯源的核心；备份恢复是最后的兜底手段，前提是备份本身未被污染；终端查杀用于清除残留。五者常常组合使用，顺序不可颠倒。【学生活动】为“公司财务单击带毒附件”这一场景排出五种方法的使用顺序，并说明理由。4．典型场景应急处置演练（20分钟）【教师活动】讲五类典型场景的应急步骤。①个人设备中毒（如勒索病毒、弹窗广告）：a.立即断网，避免病毒扩散或数据外传；b.用自带杀毒软件全盘扫描（如WindowsDefender、手机管家）；c.若文件被加密，不支付赎金，尝试用备份恢复，无备份则联系专业人员（如IT维修）；d.清除病毒后，修改所有账号密码，防止信息被窃取。②账号被盗（社交账号、游戏账号、支付账号）：a.第一时间冻结／挂失账号；b.通过官方渠道修改密码，设置强密码并开启双重认证；c.检查账号操作记录，删除陌生好友、取消异常授权；d.通知亲友，谨防诈骗。③遭遇钓鱼／诈骗（如虚假退款、冒充熟人借钱）：a.不转账、不点陌生链接，保留聊天记录与转账凭证；b.通过官方电话或当面核实身份；c.若已转账，立即报警（110）并联系银行冻结交易；d.通过平台举报。④企业／机构数据泄露：a.隔离泄露源，关闭相关文件共享、暂停涉事系统访问；b.评估影响，统计泄露数据类型与受影响人数；c.采取补救措施，通知相关人员修改信息、发布声明说明情况；d.溯源，通过日志排查泄露途径，固定证据。⑤网络中断／系统瘫痪（如DDoS攻击、服务器故障）：a.联系网络管理员或服务商，确认是攻击还是故障；b.若为攻击，启用备用网络，让核心业务先恢复；c.技术防护，开启防火墙抗DDoS模式，封堵攻击IP地址；d.对外通知，发布公告说明恢复时间。【学生活动】分组演练：每组抽取一张场景卡片，8分钟内按标准步骤编制一张应急处置流程卡（含步骤序号、动作、责任人、注意事项），汇报员发言2分钟，其他组质询。【教师活动】逐组点评，重点纠正两类错误：一是跳步（先恢复后隔离、先删文件后取证），二是缺项（只写技术动作，不写通知、留证、复盘）。强调“不支付赎金”这一条必须写进勒索病毒流程卡，并说明原因：支付既助长犯罪，又不保证能拿回数据。【设计意图】把应急步骤从“听讲”变为“编制”，学生在编制过程中必须想清楚每一步的理由与顺序，比单纯背诵有效得多。5．实操一：安全风险快速检测（18分钟）【教师活动】先演示再放手。步骤1：打开命令行工具。Windows按Win+R组合键，在“运行”对话框中输入cmd或powershell，单击“确定”打开命令提示符或PowerShell；macOS／Linux打开“终端”。步骤2：执行扫描命令nmap-sP/24，说明-sP是ping扫描，用于检测网段内的存活设备；/24是常见的家用局域网网段，如果路由器网段不同（如/24）请替换。记录发现的IP地址和设备类型（如路由器、计算机、手机）。步骤3：检查开放端口。以路由器为例（通常IP地址是或），执行nmap-sV目标IP，说明-sV会探测端口上运行的服务及版本，-Pn参数强制扫描，帮助判断风险。步骤4：识别高风险端口。高风险端口包括Telnet（23，明文传输密码）、FTP（21，默认无加密）、SSH（22，若密码弱则风险高）等，需要重点记录。【学生活动】在教师指定的隔离实训网段内执行扫描，填写扫描结果记录表：网段、发现的IP与设备类型、目标设备开放端口与服务版本、识别出的高风险端口及风险理由。操作员操作，记录员填写，核查员复核，汇报员准备汇报。【教师活动】巡视指导，重点纠正三类问题：网段填错导致扫到非授权网络、把-sP与-sV的用途混淆、只抄结果不写风险理由。对扫描到开放23端口的小组追问：如果这是真实环境，你会怎么做？【易错提醒】教师强调两点：①扫描结果中“filtered（被过滤）”不等于“安全”，它只说明探测包被丢弃，服务可能依然开放；②实训结束后不得把扫描结果外传，也不得对实训网段以外的任何网络发起扫描，这是纪律也是法律底线。6．实操二：基础防护配置（15分钟）【教师活动】演示启用防火墙：按Win+X组合键，选择“WindowsPowerShell（管理员）”，输入netshadvfirewallsetallprofilesstateon命令并按Enter键。说明allprofiles表示同时启用“域”“专用”“公用”网络的防火墙。验证方法：单击“控制面板”→“系统和安全”→“WindowsDefender防火墙”，查看是否显示“防火墙已启用”。【教师活动】演示设置强密码：打开Bitwarden密码生成器（网页版或客户端），配置参数——长度设置为12位以上，勾选“大写字母”“小写字母”“数字”“符号”复选框，生成密码并记录。强调强密码原则：越长越复杂越好，避免用生日、手机号等简单组合。【教师活动】演示模拟MFA操作：手机安装GoogleAuthenticator（或等效工具），找一个支持MFA的网站或使用模拟二维码；在网站上开启MFA，选择“扫描二维码”，手机打开该App点击“＋”→“扫描条形码”，扫描屏幕上的二维码；观察动态验证码——该App会生成6位动态验证码，每30秒更新一次。说明：登录时除了输入密码，还需要输入这个动态验证码，即使密码泄露，黑客也无法登录，安全性大幅提升。【学生活动】依次完成三项操作，填写加固措施清单：防火墙启用结果与验证截图、生成的强密码长度与字符构成、MFA绑定结果与动态验证码更新观察记录。【教师活动】组织各组交叉核查：核查员交换检查邻组的三项记录是否真实、完整，发现问题当场记录。强调如实记录是职业底线，伪造实训数据在真实工作中等同于伪造运维记录，后果严重。7．课堂小结与作业布置（5分钟）【教师活动】以“一个口诀、五种方法、五项实操”串起全课：一个口诀是“先隔离、再止损、留证据、后恢复、终复盘”；五种方法是断网隔离、密码重置、日志分析、备份恢复、终端查杀；五项实操是ping扫描、服务版本探测、高风险端口识别、防火墙启用、强密码与MFA。再次强调：工具本身没有善恶，用在哪、经谁授权，决定了它是听诊器还是撬锁工具。【学生活动】两人一组互相复述三条核心结论：①应急响应的四大核心目标是快速止损、降低影响、恢复正常、防范再发；②勒索病毒处置不支付赎金，用备份恢复；③Nmap等工具只能在授权范围内使用，禁止未经授权扫描他人网络设备。【易错提醒】教师强调三个易错点：①断网隔离是第一步，先杀毒后断网会让病毒继续扩散；②备份恢复前必须确认备份未被污染，否则等于把病毒一起恢复；③日志分析要在恢复系统之前完成关键取证，系统一旦重装，证据就灭失了。【作业布置】1．【必做】完成教材“实战练习”第四大题（应用题）：分析小王破解同学社交账号的行为违反哪些规定；为社区医院信息系统判断等级保护级别并说明理由。要求结合任务15已学的法条引用方法与本任务的防护改进视角作答。2．【必做】整理并提交本组实训记录：扫描结果记录表、端口风险登记表、加固措施清单三项，要求数据真实、填写完整。3．【拓展】以“如果我的电脑中了勒索病毒”为题，写一份400字左右的个人应急处置预案，须包含断网、查杀、不支付赎金、备份恢复、修改密码五个要点。4．【复习】梳理模块五知识结构，完成教材“知识导图”中任务15、任务16两部分的填写，为模块测验做准备。附：板书设计主板书分三栏呈现。左栏“三维防护”：技术层（网络防护：防火墙ACL只放行80／443｜IDS只报警、IPS能拦人｜TLS1.3淘汰SSLv3／TLS1.0、HTTPS加密密码、SSH+2FA替代明文Telnet｜VLAN逻辑隔离、零信任ZTNA默认不信任持续验证；设备软件：EDR行为监控、WSUS／SCCM补丁、WAF覆盖OWASPTop10、SAST／DAST；数据：四级标签公开／内部／敏感／机密＋动态脱敏｜AES-256加密数据、RSA-2048保护密钥｜3-2-1备份：3副本防单损、2介质防批量失效、1异地防整体灾难）；管理层（SDL＋漏洞闭环｜培训与钓鱼演练｜等保2.0自查与渗透测试｜应急演练）；个人层（强密码三要素12位以上＋唯一性＋MFA99.9%｜信息分级与脱敏｜链接四步法、软件白名单、公共Wi-Fi规范）。中栏“应急响应”：定义（预先规划的技术与管理措施，快速控制损失、恢复系统、追踪根源）；四目标（快速止损／降低影响／恢复正常／防范再发）；五流程（发现→初评→处置→恢复→复盘）；口诀“先隔离、再止损、留证据、后恢复、终复盘”；五方法（断网隔离—网络管理员｜密码重置—系统管理员｜日志分析—安全运维｜备份恢复—数据管理员｜终端查杀—终端运维）。右栏“实操与底线”：nmap-sP/24（ping扫描存活设备）；nmap-sV目标IP（服务版本探测，-Pn强制）；高风险端口Telnet23明文／FTP21无加密／SSH22弱密码；netshadvfirewallsetallprofilesstateon（域＋专用＋公用）；Bitwarden12位以上四类字符；GoogleAuthenticator6位码30秒刷新。底部红字：“禁止未经授权扫描他人网络设备——工具是听诊器，不是撬锁工具”。副板书记录各组演练流程卡要点与实训核查发现。七、教学反思与评价方式（一）教学反思（预设）1．本任务内容量大、名词密集，第一次课若