李秋賢 石云升 周全興

摘? 要：針對當下網(wǎng)絡安全人才緊缺、網(wǎng)絡信息安全攻防平臺無法滿足學校開展實踐訓練的問題，提出了采用Python的Django框架、MySQL+Redis數(shù)據(jù)庫、基于Docker容器的信息安全攻防平臺。重點介紹了平臺的開發(fā)思路與實現(xiàn)過程，對學習信息安全知識和技能、了解網(wǎng)絡攻防競賽以及系統(tǒng)開發(fā)具有較大幫助。

關鍵字：Docker;信息安全;網(wǎng)絡安全;攻防平臺

中圖分類號：TP309? ? ? 文獻標識碼：A 文章編號：2096-4706（2021）02-0114-05

Abstract：In response to the current shortage of network security talents and the network information security attack and defense platform that cannot meet the practical training of schools，this paper proposes an information security attack and defense platform based on Python Django framework，MySQL+Redis database and Docker container. It focuses on the development ideas and implementation process of the platform，which is of great help to learning information security knowledge and skills，understanding network attack and defense competitions，and system development.

Keywords：Docker;information security;network security;attack and defense platform

0? 引? 言

隨著計算機技術和網(wǎng)絡技術的不斷發(fā)展，移動支付讓人們走進了“無現(xiàn)金”社會，各種APP成為生活中不可或缺的一部分。人們在享受便利的同時，也時刻受到網(wǎng)絡詐騙、隱私泄露等威脅;全球網(wǎng)絡安全事件頻發(fā)，使信息安全技術和人才受到各國高度重視[1]。目前大部分院校開設有信息安全相關專業(yè)，培養(yǎng)信息安全技術人才，但網(wǎng)絡安全人才仍有巨大缺口[2]。信息化的快速發(fā)展，網(wǎng)絡安全問題更加突出。習總書記在國家網(wǎng)絡安全宣傳周指出提升全民網(wǎng)絡安全意識和技能，堅持網(wǎng)絡安全教育、技術、產(chǎn)業(yè)融合發(fā)展，形成人才培養(yǎng)、技術創(chuàng)新、產(chǎn)業(yè)發(fā)展的良性生態(tài)[3]。目前商用的信息安全訓練平臺有實驗吧（https：//www.shiyanbar.com）、攻防世界（https：//adworld.xctf.org.cn/）等，相關賽事有奪旗賽（Capture The Flag，CTF）、“西普杯”等。目前商用網(wǎng)絡攻防平臺由于其技術保密、自定化程度低等，不利于開展教育教學活動和學習最新技術。研究基于Docker容器的信息安全攻防平臺對學校信息安全人才培養(yǎng)、教育教學實訓都具有重大意義。

1? 總體設計

1.1? 功能需求分析與設計

目前主流網(wǎng)絡攻防競賽平臺基本都是線上比賽，提供線上賽前培訓，比賽題干類型主要有Web安全、逆向分析、移動安全、密碼學、電子取證和雜項等。其中，Web安全主要圍繞Web服務來進行滲透測試;逆向分析包含PWN（黑客語法，意思是砰，實為二進制溢出），使用C/C++、Java等編寫的程序通過反匯編代碼來理解其功能，并分析其開發(fā)過程中不安全設計導致的漏洞[4];移動安全主要分析Android應用程序的漏洞;密碼學主要對已知漏洞的加密方式進行破解;電子取證主要對入侵行為進行證據(jù)獲取、分析等行為;雜項包含隱寫術、以及圖片視頻修復等。本文所實現(xiàn)的攻防平臺除包含以上內容，還需滿足以下目標：

（1）由于平臺有大量涉及信息安全相關的操作，且用戶可上傳相關腳本和環(huán)境，平臺須具有足夠的安全性;

（2）平臺采用Docker進行部署題目，便于管理員進行管理;

（3）平臺應具有簡潔美觀、人性化交互的個人界面，用戶上手快;

（4）平臺管理員有超級管理員、社區(qū)管理員、用戶管理員、題庫管理員四種，除超級管理員之外其他管理員權限各不相同，以更好管理平臺。

1.2? 開發(fā)語言環(huán)境與架構設計

平臺基于Python的Django框架進行開發(fā)，分為后臺模塊、社區(qū)模塊、用戶模塊、題庫模塊。其中后臺數(shù)據(jù)庫使用MySQL、采用Redis作為緩存，使用Vue.js和Element-pro來作為前端框架，題庫環(huán)境使用Docker進行部署。Docker是基于LXC（全稱為Linux Container，是一種內核虛擬化技術）的高級容器引擎，由客戶端（Docker Client）、守護進程（Docker Daemon）、鏡像（Docker Image）和容器（Docker Containers）組成[5]，其目的是利用LXC來實現(xiàn)類似VM（VMware，虛擬機）的功能，其運行原理如圖1所示。

2? 平臺詳細設計與實現(xiàn)

2.1? 功能模塊設計

平臺基于B/S（Browser/Server，瀏覽器/服務器）模式，由前端和后臺組成，如圖2所示。平臺需要注冊、登錄后使用，前端頁面包括首頁、安全熱點、攻防演練、排行榜、社區(qū)、個人空間等模塊，后臺系統(tǒng)主要有平臺設置、服務器管理、系統(tǒng)監(jiān)控、用戶管理、文案管理、社區(qū)管理、題庫管理和積分商城管理等模塊。

2.2? 用戶注冊與登錄

游客通過注冊之后成為平臺用戶，登錄之后可以使用平臺完整功能;管理員通過后臺登錄界面進行登錄，登錄之后才能對平臺進行管理。注冊與登錄如圖3、圖4所示。

2.3? 題庫模塊設計

題庫模塊主要含自我學習和攻防演練。自我學習主要是掌握信息安全理論知識，提升用戶的網(wǎng)絡信息安全意識和法律法規(guī)知識學習。在攻防演練中，分為練習模式、個人模式以及奪旗模式。練習模式提供了大量信息安全相關知識和攻防技能訓練，幫助用戶成長;個人模式為單人闖關類，題目難度會逐步增大，但積分也相應增多;奪旗模式定期開始，平臺用戶均可參加，分為單人奪旗和團隊奪旗，根據(jù)最后獲取的分數(shù)進行排名，不同名次積分各不相同。其中練習模式和個人模式包含Web安全、逆向分析、移動安全、密碼學、電子取證和雜項等題型。

2.4? 攻防演練設計

練習模式和個人模式網(wǎng)絡環(huán)境類似，其模型如計算機網(wǎng)絡拓撲圖。用戶進入練習模式和個人模式的實驗操作過程如圖5所示。

對于奪旗模式，分為單人奪旗和團隊奪旗，網(wǎng)絡拓撲如圖6所示，團隊奪旗在單人奪旗基礎上增加操作機。

奪旗模式每個人（或者團隊）都有一臺服務器，所有人服務器均有相同隱患，在服務器上存在key，操作機上存在加密的score文件，score文件與對手一一對應，獲得分數(shù)的方式為將對手的key與對應的score文件提交至Lock服務器，正確即可獲得分數(shù)。比如有6組選手，以其中一組來看，其獲取分數(shù)過程如圖7所示。

2.5? 后臺管理

管理員登錄之后進行訪問，對平臺進行管理。超級管理員可列出所有管理員，可添加、刪除其他管理員，角色管理，文案管理，進行平臺公告、文案的撰寫以及發(fā)布。題庫管理員在奪旗模式管理中可以添加、刪除和修改比賽題目，并按時啟動奪旗模式。社區(qū)管理員可對社區(qū)版主進行管理，發(fā)布社區(qū)任務。用戶的管理和積分商城的物品管理由用戶管理員進行管理設置。后臺系統(tǒng)控制臺及系統(tǒng)監(jiān)控如圖8所示。

2.6? 數(shù)據(jù)庫設計

平臺數(shù)據(jù)使用MySQL進行存儲，通過Redis來保存Session，并且Django自帶的model可以很方便處理這些煩瑣的存儲過程。數(shù)據(jù)庫連接代碼為：

#MySQL數(shù)據(jù)庫連接

DATABASES={

default'：{

ENGINE'：'django.db.backends.mysql'，

'NAME'：'yunaon'，

'USER'：'root'，

'PASSWORD'：'123@Sys.com'，

'HOST'：'localhost'，

'PORT'：'3306'， }

}

#Redis數(shù)據(jù)庫連接

CACHES={

'default'：{

'BACKEND'：'django_redis.cache.RedisCache'，

'LOCATION'：'redis：//localhost：6379/1'，

'OPTIONS'：{

'CLIENT_CLASS'：'django_redis.client.DefaultClient'，

'PASSWORD'：'fd23！@，）56aSY'， }

}

}

平臺中部分數(shù)據(jù)庫表如表1、表2和表3所示。

3? 結? 論

本文介紹基于Docker容器的信息安全攻防平臺的設計思路和實現(xiàn)過程，對信息安全攻防平臺的搭建和網(wǎng)絡實踐平臺建設具有一定參考價值。平臺使用Python+Django進行開發(fā)，基于Docker進行攻防平臺設計，實時更新網(wǎng)絡信息安全相關知識和技術，在提升用戶的網(wǎng)絡信息安全意識同時，又降低了培養(yǎng)相關專業(yè)技術人才的成本，平臺采用積分商城的方式提高用戶的黏性和積極性，對推廣和應用具有較大幫助。

參考文獻：

[1] 楊路.用于網(wǎng)絡攻防教學的AWS+Docker網(wǎng)絡實訓平臺設計——以安徽公安職業(yè)學院為例 [J].云南警官學院學報，2020（3）：35-40.

[2] 李金磊.網(wǎng)絡安全人才缺口高達140萬 如何緩解缺口？ [EB/OL].[2020-09-15].http：//it.people.com.cn/n1/2020/0915/c433780-31861783.html.

[3] 馬浚洋，馬建光.落實“四個堅持”的原則 提升全民網(wǎng)絡安全意識和技能 [EB/OL].[2019-09-23].http：//www.81.cn/gnxw/2019-09/23/content_9632076.htm.

[4] 馮一凡，朱文龍，楊雙雙.基于Docker的分布式網(wǎng)絡安全攻防平臺設計與實現(xiàn) [J].計算機產(chǎn)品與流通，2020（3）：47.

[5] 雷驚鵬，朱小娟.Docker技術在惡意代碼檢測環(huán)境部署中的應用 [J].西昌學院學報（自然科學版），2020，34（3）：47-49+69.

作者簡介：李秋賢（1992—），女，漢族，河南焦作人，中級工程師，碩士，研究方向：密碼學、博弈論;石云升（1998—），男，漢族，貴州畢節(jié)人，本科在讀，研究方向：計算機科學與技術;通訊作者：周全興（1987—），男，漢族，貴州遵義人，講師，學士學位，主要研究方向：信息安全、數(shù)據(jù)分析。