初中七年级信息科技《互联网与信息安全》第4课时 教学设计

初中七年级信息科技《互联网与信息安全》第4课时教学设计一、教材分析与课程定位本课时选自电子工业出版社2022年版《初中信息科技》第一册第3单元第4节第4课时，属于"网络社会与信息安全"核心概念下的"信息安全与法律法规"学习任务群。前三课时已完成互联网基础架构、IP地址与域名解析、网络协议与数据传输三个知识模块的建构，学生具备了理解网络通信本质的认知基础。本课时将教学重心从"网络如何连通"转向"连通后如何安全"，是单元教学从技术原理向素养培育跨越的关键一课。新课标明确要求初中阶段学生"理解网络空间的法律法规与道德规范，掌握基本的网络安全防护技能，形成网络安全意识"。本课时对标该要求，设定三维目标：知识与技能层面，掌握对称加密、非对称加密、数字签名、数字证书四大核心技术原理，能配置浏览器安全设置、识别钓鱼网站、使用防火墙与杀毒软件；过程与方法层面，通过"攻防推演原理溯源防护建模"的认知链条，体验从被动防御到主动免疫的思维升级；情感态度与价值观层面，确立"网络安全为人民、网络安全靠人民"的国家总体安全观，培养白帽黑客的职业伦理与法治底线。教材编排呈现"风险感知技术破解工具实操规则内化"四段式结构。第12活动聚焦账号被盗、隐私泄露、勒索病毒三大典型场景，引发认知冲突；第35活动深入加密算法、身份认证、完整性校验三大技术支柱；第6活动落地到浏览器、防火墙、杀毒软件三件套配置；第7活动升华为《网络安全法》《数据安全法》《个人信息保护法》三法联动的合规实践。教材难点集中在非对称加密的公私钥分发机制、数字证书信任链的层级验证、中间人攻击与HTTPS握手过程的动态博弈三个抽象度极高的动态过程。学情分析显示：七年级学生抽象逻辑思维处于具体运算向形式运算过渡期，对"密钥交换不泄露密钥""第三方信任传递"等反直觉概念极难建模。前测数据表明：仅12%学生能说清HTTP与HTTPS区别，8%理解数字证书作用，0%配置过防火墙规则。但学生对"账号被盗""游戏外挂""短视频泄露定位"等生活化场景有强烈共情，且具备极客探索欲望。教学设计须以"可视化建模+情境化推演+工程化落地"三重脚手架，将不可见的网络博弈转化为可操作、可观测、可迁移的学习对象。二、核心素养导向的教学目标1.信息意识：能辨析网络空间中的机密性、完整性、可用性三大安全属性，主动识别社工钓鱼、恶意代码、侧信道泄露等复合威胁，形成"零信任"的网络交互心理模型。2.计算思维：能将加密解密、签名验签、证书验证建模为确定性有限自动机，用状态转移图描述TLS1.3握手全流程，用威胁建模方法（STRIDE）拆解某校园网钓鱼热点案例的攻击链条。3.数字化学习与创新：熟练使用Wireshark抓包分析明文HTTP与加密HTTPS流量差异，用OpenSSL生成自签名证书并部署到本地Nginx服务器，编写Python脚本实现AESGCM加密与RSAOAEP密钥封装的混合加密原型。4.信息社会责任：引用《网络安全法》第2125条关键基础设施保护条款、《数据安全法》第2729条数据分级分类条款、《个人信息保护法》第1314条知情同意规则，判定某APP过度收集权限、某论坛明文存储密码、某直播平台未脱敏展示用户IP的合规性缺陷，提出整改建议。三、重难点突破策略与教学资源准备重点：混合加密机制中的会话密钥协商逻辑、数字证书信任链的递归验证过程、浏览器安全策略与防火墙规则的工程化配置。难点：中间人攻击在ARP欺骗、DNS劫持、证书透明度绕过三个层面的实施路径、前向保密性在DiffieHellman临时密钥交换中的数学保证、量子计算对RSA/ECC算法的潜在威胁与后量子密码学（PQC）的初步认知。突破策略：（1）可视化建模：自研"网络安全微观世界"Web沙箱（基于React+WebSocket），将数据包封装、加密解密、路由转发、防火墙过滤可视化为动画粒子流，支持暂停、回溯、注入故障、修改规则四种交互模式。（2）物理隐喻：设计"双锁箱子""三色墨水""公证处见证"三套实体教具，分别映射非对称加密、数字签名、CA信任链，降低认知负荷。（3）攻防推演：搭建隔离靶场（Kali攻击机+Windows靶机+OpenWrt路由器），实施ARP投毒、SSLStrip降级、恶意CA植入三级攻击，学生轮流扮演攻击者、防御者、取证分析师。（4）法理穿透：引入"数据全生命周期合规清单"，将法律条文转化为可勾选的工程检查项，完成从"知法"到"用法"的迁移。资源清单：•物理环境：40台学生机（i5/16G/256GSSD，预装Ubuntu22.04双系统），教师机投屏至电子白板，隔离靶场机柜1台（含3台服务器、1台核心交换机、1台防火墙）。•软件栈：Wireshark4.2、OpenSSL3.1、Nginx1.24、Python3.11（cryptography库）、BurpSuitemunity、自研微观世界沙箱v2.0、教学管理平台（支持代码实时广播、屏幕监控、作业自动评测）。•教具箱：双锁箱子组×8套、三色墨水套装×8套、CA层级卡牌×5副、STRIDE威胁建模画布×8张。•案例库：2023年某地级市教育局钓鱼邮件溯源报告（脱敏版）、2024年某短视频平台API越权漏洞复现脚本、国家密码管理局发布的《商用密码应用指南》节选。四、教学过程设计（共4课时，每课时40分钟）第一课时：风险感知与威胁建模——看见不可见的战争【导入：3分钟】投屏播放30秒无声监控视频：某中学机房内，学生小A登录某教育平台，输入账号密码后页面跳转至"系统维护中"，实则流量已被同机房Kali机器通过ARP欺骗劫持至钓鱼页面，Wireshark实时显示明文POST包中username=zhangsan&password=Admin@123。视频定格在"密码已泄露"红字帧。提问："如果这是你的账号，攻击者只用了什么成本？"引导学生从"技术门槛""物理接近度""工具获取难度"三维估算攻击成本，建立"安全非绝对、成本可量化"的初步认知。【活动一：场景溯源·三大威胁拆解（12分钟）】分组领取"案例证据袋"：袋内含三个脱敏真实案例的日志截图、流量包切片、受害者访谈记录。案例1：某校教师微信收到"教育局通知"文档，启用宏后植入CobaltStrikebeacon，横向移动至财务服务器窃取工资表。案例2：某学生"游戏外挂"实为挖矿木马，占用CPU95%导致电脑过热关机，且上传浏览器存储的Cookie至C2服务器。案例3：某家长连接"Free_WiFi"热点，刷短视频时定位信息被热点主通过DNS劫持注入JS代码采集并售卖。任务：用STRIDE模型（欺骗、篡改、抵赖、信息泄露、拒绝服务、提权）为每个案例标注威胁类型，绘制攻击链条图（初始访问→执行→持久化→权限提升→防御规避→凭证获取→发现→横向移动→收集→外泄），在画布上标注"可预防节点"与"不可逆后果"。教师巡场重点追问："哪个节点若部署了加密/签名/证书验证可阻断？""法律追责依据是哪条？"强制学生用《网络安全法》第27条（关键信息基础设施）、《数据安全法》第31条（数据泄露应急处置）、《个保法》第51条（自动化决策透明度）对号入座。【活动二：微观世界·明文流量的裸奔（15分钟）】学生打开自研沙箱"HTTP裸奔模式"。界面左侧为浏览器进程，右侧为服务器进程，中间网络云团显示数据包流动。任务序列：①发送GET/login?user=alice&pass=123456，观察URL参数在网络层、传输层、应用层三层封装全过程，抓包窗口同步显示十六进制明文。②点击"启用ARP欺骗"按钮，沙箱模拟攻击者主机发送伪造ARP应答，网关MAC表被污染，后续包经攻击者转发，攻击者控制台实时解析出账号密码。③点击"启用DNS劫持"，本地hosts文件被篡改，域名解析指向钓鱼服务器，页面外观一致但证书错误，浏览器地址栏无锁图标。④尝试在沙箱中配置"仅允许HTTPS"防火墙规则，验证规则生效后明文请求被拦截。每步操作需填写"观察假设验证结论"四栏实验记录单。重点引导发现：HTTP协议无身份认证、无完整性校验、无机密性保护，三大安全属性全缺失。【活动三：思维外化·构建威胁地图（10分钟）】全班协作在电子白板上构建"校园网威胁地图"：节点为终端、接入层、汇聚层、核心层、出口防火墙、互联网；边为物理链路与逻辑流量。每组贡献本组发现的1个威胁向量，标注STRIDE类型、CVSS评分、检测手段、缓解措施、法律条款。教师补充专业视角：供应链投毒（SolarWinds式）、侧信道攻击（缓存计时攻击）、量子收割（StoreNowDecryptLater）。形成全班共享的威胁知识图谱，导出为PNG上传平台，作为后续课时防护措施的索引锚点。【小结与预习布置：3分钟】"今天我们看见了裸奔的数据如何被窃取、篡改、冒充。下一课时，我们将打开密码学的黑箱，看看数学如何给数据穿上盔甲。预习任务：用Python运行预置的rsa_demo.py，观察公钥加密私钥解密、私钥签名公钥验签的输出差异，思考：为什么公钥能公开却不泄露私钥？带着疑问进入下一课时。"第二课时：密码学内核与信任链构建——数学如何铸造信任【导入：2分钟】展示一张1977年RSA论文首页截图与2024年NIST后量子密码标准化最终入选算法（CRYSTALSKyber、CRYSTALSDilithium、SPHINCS+、FALCON）对比表。提问："47年间，什么没变？什么变了？"锚定"难题假设（大整数分解/离散对数/格最短向量）易单向难逆向"的数学内核不变，密钥长度从1024位增至3072位/256位椭圆曲线/格基维度512的量级跃迁。【活动一：双锁箱子·非对称加密的物理隐喻（10分钟）】每组发放双锁箱子教具：箱子有两把锁A、B，钥匙分别为公钥（可复制分发）、私钥（仅持有者持有）。任务设计：场景A（机密性）：Alice想发日记给Bob。Bob把公钥A挂在门口。Alice用公钥A锁上箱子寄出。中间人截获箱子无钥匙无法开。Bob用私钥A开箱读日记。提问："为何公钥A公开不影响安全？"引导说出：加密函数单向陷门，知加密算法与公钥无法推导私钥。场景B（认证性）：Bob想证明日记是他写的。Bob用私钥B在封皮盖章（签名）。Alice用公钥B验章。中间人无私钥B无法伪造章迹。提问："签名与加密的数学本质异同？"引出：签名=私钥加密哈希值，验签=公钥解密比对哈希值，核心均为模幂运算，方向相反。场景C（密钥分发）：Alice想用对称加密（单钥匙）传大文件，但如何把对称钥匙给Bob？Alice用Bob公钥A加密对称钥匙K，随密文发送。Bob用私钥A解出K，后续用K高速加解密大文件。这就是混合加密雏形。学生实操记录"公钥锁/私钥开、私钥签/公钥验、公钥传对称钥"三句口诀。【活动二：代码实证·从数学公式到工程实现（15分钟）】教师机广播Python笔记本单元格，学生跟随执行并修改关键参数：单元格1：RSA密钥对生成。展示模数n=p×q（p,q为512位大素数）、公钥指数e=65537、私钥指数d≡e⁻¹modφ(n)。修改e为3，观察小指数攻击风险（同一明文发给多接收者可中国剩余定理攻击）。单元格2：OAEP填充机制。对比教科书式RSA（m^emodn）与RSAOAEP（引入随机盐、MGF1掩码生成函数），演示选择密文攻击（CCA2）对无填充版本的破解，理解"概率加密"必要性。单元格3：混合加密原型。AES256GCM生成随机会话密钥K、随机Nonce，加密4MB测试文件得密文C+认证标签T。RSAOAEP加密K得EK。输出(EK,Nonce,C,T)。解密端先RSA解密得K，再AES解密验证T。计时对比：纯RSA加密4MB耗时12.4s，混合加密耗时0.03s。学生填写性能对比表，内化"非对称管分发、对称管效率"工程权衡。【活动三：三色墨水·数字签名与完整性的可视化（8分钟）】教具：红墨水（原文哈希）、蓝墨水（私钥签名）、透明显影剂（公钥验签）。操作：①发送者在纸条写消息，滴红墨水生成指纹（SHA256）。②发送者用蓝墨水在指纹上签字（私钥签名），蓝墨水干燥后不可见。③接收者收到纸条，滴显影剂（公钥），蓝墨字迹显现，与现场重新滴红墨水生成的指纹对比，一致则完整且来源真实。④篡改实验：中途修改消息一个字，重新滴红墨水指纹改变，显影后蓝墨字迹与新指纹不匹配，验签失败。教师讲解：哈希函数抗碰撞性保证"指纹唯一"，非对称签名保证"指纹不可伪造"，两者合力实现完整性与不可抵赖性。【活动四：信任链游戏·CA层级卡牌推演（5分钟）】卡牌分四级：根CA（自签名，内置浏览器信任存储）、中间CA（由根CA签发）、叶子证书（服务器证书，由中间CA签发）、吊销列表（CRL/OCSP）。游戏规则：学生扮演浏览器验证器，从叶子证书向上递归验证签名，至根CA自验证。引入故障注入：中间CA过期、叶子证书域名不匹配、根CA被撤信任（如DigiNotar事件）、OCSP响应超时。每组最快正确判定"信任/不信任"并说出依据条款胜出。直观体会信任传递的传递性、锚点的绝对权威、吊销机制的时效性痛点。【小结与预习：3分钟】"密码学解决了'怎么加密''怎么签名''怎么信任'三个数学问题。但工程落地还要解决'怎么握手''怎么配置''怎么合规'。预习：阅读TLS1.3RFC8446简版流程图，重点理解ClientHello、ServerHello、EncryptedExtensions、Certificate、CertificateVerify、Finished六消息交互，思考：为何1RTT甚至0RTT能实现？带流程图来下节课。"第三课时：协议实战与工程化防护——从握手包到堡垒配置【导入：2分钟】Wireshark实时抓包访问https://.，投屏显示TLS1.3握手仅3个包往返（ClientHello+KeyShare、ServerHello+KeyShare+Certificate+CertificateVerify+Finished、ClientFinished），对比TLS1.2的6包交互。标注关键扩展：supported_groups(x25519)、signature_algorithms(rsa_pss_rsae_sha256)、key_share(X25519公钥)、pre_shared_key(会话复用)。抛出本课时核心任务："亲手配置一个满足A+级评级的HTTPS服务器，并用攻击工具验证其抗御能力。"【活动一：握手解剖·TLS1.3状态机漫游（12分钟）】学生在沙箱"TLS显微镜"模式中逐帧推演：状态0：ClientHello携带KeyShare(X25519公钥)、PSK模式标识、支持的密码套件（TLS_AES_256_GCM_SHA384优先）。状态1：服务端选定参数，返回ServerHello含KeyShare(X25519公钥)，双方本地计算共享密钥`shared_secret=X25519(priv,peer_pub)`，派生`handshake_secret=HKDFExtract(0,shared_secret)`。状态2：服务端发送EncryptedExtensions（含ALPNh2、证书透明度SCT）、Certificate（链）、CertificateVerify（对握手上下文哈希签名）、Finished（HMAC验证握手完整性）。状态3：客户端验证证书链、验签CertificateVerify、验Finished，派生`master_secret`，发送ClientFinished。状态4：应用数据加密使用`application_traffic_secret`，记录层采用AEAD(AESGCM/ChaCha20Poly1305)。关键追问点："为何无ChangeCipherSpec？""0RTT早期数据何时可用？重放风险如何缓解？""证书透明度日志如何防止恶意签发？"学生在状态转移图上标注密钥派生链、加密边界、前向保密性生效节点。【活动二：实战部署·从自签名到生产级Nginx配置（18分钟）】分组并行操作，教师机广播关键命令，学生机执行并记录排错日志：步骤1：生成根CA。`opensslreqx509newkeyrsa:4096sha256days3650keyoutrootCA.keyoutrootCA.crtsubj"/CN=SchoolRootCA"`，导入系统信任存储`sudocprootCA.crt/usr/local/share/cacertificates/&&sudoupdatecacertificates`。步骤2：生成服务端证书请求含SAN扩展。`opensslreqnewkeyrsa:3072keyoutserver.keyoutserver.csrsubj"/CN="addext"subjectAltName=DNS:,DNS:.,IP:00"`。步骤3：中间CA签发。`opensslx509reqinserver.csrCArootCA.crtCAkeyrootCA.keyCAcreateserialoutserver.crtdays365sha256extfilev3_f`（v3_ext含keyUsage=digitalSignature,keyEncipherment,extendedKeyUsage=serverAuth,crlDistributionPoints=URI:/root.crl）。步骤4：配置Nginx强化模板（核心片段）：```server{listen443sslhttp2;server_name;ssl_certificate/etc/nginx/ssl/server.crt;ssl_certificate_key/etc/nginx/ssl/server.key;ssl_protocolsTLSv1.3TLSv1.2;ssl_ciphersTLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:ECDHERSAAES256GCMSHA384;ssl_prefer_server_ciphersoff;ssl_session_timeout1d;ssl_session_cacheshared:SSL:10m;ssl_session_ticketsoff;禁用票据防前向保密失效ssl_staplingon;ssl_stapling_verifyon;resolver14valid=300s;add_headerStrictTransportSecurity"maxage=31536000;includeSubDomains;preload"always;add_headerXFrameOptionsDENY;add_headerContentSecurityPolicy"defaultsrc'self';scriptsrc'self''nonce$request_id';stylesrc'self';frameancestors'none';baseuri'self';formaction'self';"always;location/{root/var//html;indexindex.html;}}```步骤5：启动`nginxt&&systemctlreloadnginx`，使用`curlvtlsv1.3`验证握手协商TLS1.3，使用`openssls_clientconnect:443status`验证OCSPStapling响应。步骤6：部署Certbot自动化续期`certbotnginxdhstsstapleocspmuststapleredirect`，体验ACME协议自动化全流程。【活动三：攻防验证·红队视角的压力测试（8分钟）】学生切换至Kali攻击机，针对刚部署的Nginx实施三轮测试，记录结果：轮1：SSL/TLS配置扫描。`testssl.shfast`，检查协议版本、密码套件、证书链、HSTS、OCSP、前向保密、心脏出血等漏洞，目标全绿通过。轮2：降级攻击尝试。`openssls_clientconnect:443tls1_2cipher'AES128SHA'`强制协商弱套件，预期握手失败（服务端拒绝）。`sslstrip`尝试HTTPS降级HTTP，预期HSTS预加载列表生效浏览器拒绝降级。轮3：证书透明度监测。`crt.sh/?q=`查询CT日志，确认证书已公开记录，防止隐秘签发。教师现场演示：植入恶意根证书至受害者信任存储，配合BurpSuiteCA证书实施中间人解密，验证"信任锚点受控则一切防护失效"，强调端点安全（EDR/杀毒软件防篡改证书存储）的重要性。【小结与预习：3分钟】"协议层面我们建起了加密隧道，主机层面还需配置防火墙规则、最小权限原则、补丁管理、日志审计。预习：阅读《关键信息基础设施安全保护条例》第1215条网络边界防护要求，对照家庭路由器后台检查是否开启SPI防火墙、关闭WAN口管理、禁用UPnP、隔离IoT设备至Guest网络，截图上传。"第四课时：合规实战与素养内化——把法律变成代码与习惯【导入：3分钟】展示2024年某APP因"未最小化收集人脸数据"被依法下架整改的行政处罚决定书节选，标注《个保法》第6条最小化原则、第13条单独同意、第51条画像透明权。提问："作为开发者，如何在代码层面落地这些法律条款？"引入"隐私计算""合规工程化"视角。【活动一：法条转代码·合规检查清单工程化（15分钟）】学生分组领取"APP合规诊断任务包"：含某社交APP的AndroidManifest.xml权限声明、网络请求日志、隐私政策文本、数据存储schema。任务：编写Python合规扫描脚本`pliance_checker.py`，实现以下检测规则：R1（权限最小化）：解析Manifest，标记`READ_CONTACTS`、`ACCESS_FINE_LOCATION`、`CAMERA`、`RECORD_AUDIO`等高危权限，核对隐私政策声明目的与功能页面实际调用栈（通过FridaHook动态分析），输出"过度收集"清单。R2（明文传输）：扫描OkHttp/Retrofit配置，检测`cleartextTrafficPermitted=true`、HTTP明文端点、证书固定缺失，输出"裸奔接口"清单。R3（存储加密）：检测SharedPreferences、SQLite、Room数据库中敏感字段（手机号、身份证、人脸特征向量）是否加密存储（SQLCipher/EncryptedSharedPreferences），输出"裸存字段"清单。R4（第三方SDK合规）：识别集成SDK（广告、推送、统计、支付），核对其隐私政策链接、数据共享范围、是否提供退出机制，输出"风险SDK"清单。R5（用户权利响应）：检测是否提供账号注销、数据导出、撤回同意、自动化决策解释的API端点与UI入口，输出"缺失权利入口"清单。教师提供检测框架骨架与Frida脚本模板，学生补全正则匹配、AST解析、报告生成逻辑。运行脚本生成JSON报告，对照《APP违法违规收集使用个人信息行为认定办法》逐条定性。【活动二：配置硬化·端点防御三件套实操（12分钟）】学生回归Windows靶机，完成三项硬化任务，每项需录制1分钟操作演示视频上传平台自动评分：任务A：WindowsDefender防火墙高级配置。创建出站规则：阻止所有非系统进程建立TCP445/139/3389连接（防横向移动）；创建入站规则：仅允许管理员工作站IP段访问RDP3389（配合端口敲门）；启用"阻止单播对多播/广播的响应"防Smurf攻击；导出策略为`fw_policy.wfw`。任务B：杀毒软件策略微调。开启"云deliveredprotection""自动样本提交""行为监控(ASR规则)"，配置ASR规则阻止：Office创建子进程、脚本执行可疑内容、未签名进程从USB运行、证书吊销检查绕过。导出策略为`av_policy.xml`。任务C：浏览器企业级策略。编写`chrome_policy.json`部署至注册表`HKLM\SOFTWARE\Policies\Google\Chrome`：强制SafeBrowsing增强模式、禁用TLS1.0/1.1、强制CertificateTransparency强制执行、禁用不安全内容混合、管控扩展安装白名单、启用EnterpriseReporting上报安全事件至SIEM。验证`chrome://policy`显示"OK"。【活动三：应急演练·数据泄露全流程模拟（10分钟）】沙箱推演模式：某教务系统疑似SQL注入导致学生成绩单泄露（模拟数据）。学生分工扮演：安全运营（SIEM告警分析）、系统管理员（取证镜像、日志保全）、法务合规（研判通报义务、评估风险等级）、公关沟通（起草通知函）。按《数据安全法》第31条、第32条、网络安全法第59条时序要求：T+1h：发现异常流量，触发应急预案，隔离受影响服务器（保留内存镜像、磁盘镜像、网络流量包）。T+4h：完成初步溯源，确认泄露字段范围（姓名、学号、成绩、身份证号后4位），评估风险等级为"较大"。T+24h：向网信部门、公安机关、教育主管部门报告，通知受影响学生家长（模拟发送加密邮件）。T+72h：发布整改公告，含根因分析、修复措施（WAF规则更新、参数化查询重构、数据库最小权限账号）、补救服务（免费信用监控一年）。全程在沙箱时间加速器中完成，生成结构化应急报告PDF，教师依据《网络安全事件应急处置演练指南》评分。【总结升华：5分钟】全班围坐，教师引导复盘四课时认知链条：威胁建模（看见风险）→密码学内核（理解数学之盾）→协议工程（构建加密隧道）→合规工程（将法律写入代码与配置）。强调三个"从...到..."的素养跃迁：从"听说过HTTPS"到"能配置TLS1.3A+站点"，从"知道有法律"到"能写合规扫描脚本"，从"被动点击杀毒扫描"到"主动部署纵深防御体系"。布置单元大作业："校园网安全加固提案书"，要求包含：资产测绘拓扑图、STRIDE威胁模型表、密码应用合规性自查表、关键系统HTTPS部署方案、终端硬化基线清单、应急预案演练记录、法律合规对标矩阵。成果将提交校网络安全领导小组评审，优秀方案纳入寒假实施计划。五、教学评价体系设计建立"过程性评价(40%)+实战作品评价(40%)+素养迁移评价(20%)"三元制评价模型。过程性评价（每课时10分）：•威胁建模画布完整度与STRIDE标注准确性（课时1）•密码学原型代码运行正确性、参数修改实验记录深度（课时2）•Nginx部署成功率、testssl.sh评级、降级攻击阻断验证截图（课时3）•合规扫描脚本功能完备性、硬化配置导出文件有效性、应急报告规范性（课时4）采用教学平台自动评测（代码运行、配置语法、证书链验证）+教师巡场观察（提问质量、协作分工、排错韧性）双通道记录。实战作品评价（大作业100分，换算40分）：维度 权重 优秀(90100) 良好(7589) 合格(6074)资产测绘与威胁模型 20% 拓扑准确、资产全量、STRIDE覆盖无盲区、攻击链可追溯 拓扑基本准确、核心资产覆盖、主要威胁识别 资产遗漏>20%、威胁模型流于形式密码应用合规 20% 证书全生命周期管理、算法符合国密/国际双标、密钥分级分管 证书部署正确、算法满足最低强度 存在自签名证书生产使用、弱算法残留工程化落地 30% NginxA+级、防火墙零信任微隔离、杀毒ASR全开、浏览器策略全管控 核心配置达标、非核心项有缺失 配置项缺失>30%、存在已知漏洞未修复法务合规对标 15% 三法条款逐条映射技术措施、隐私