安全資訊

 廣播電視臺作為黨和政府的核心宣傳陣地之一，在國家廣電總局提出"數字化、網(wǎng)絡(luò )化"的建設要求下，廣播電視制播技術(shù)及信息技術(shù)得到飛速發(fā)展，各地電視臺數字化、網(wǎng)絡(luò )化以及互聯(lián)互通的全臺網(wǎng)一體化網(wǎng)絡(luò )系統建設已經(jīng)成為廣電業(yè)務(wù)系統新的發(fā)展趨勢。由此帶來(lái)廣電網(wǎng)絡(luò )系統中異構平臺不斷增多，業(yè)務(wù)應用的復雜程度不斷加深，應用故障及安全隱患對網(wǎng)絡(luò )威脅也隨之增多，對網(wǎng)絡(luò )系統持續安全運行的依賴(lài)程度越來(lái)越大，因而進(jìn)行安全化網(wǎng)絡(luò )改造勢在必行。

  伴隨著(zhù)廣播電視臺的業(yè)務(wù)系統網(wǎng)絡(luò )化技術(shù)的飛速發(fā)展，各臺先后建設并完善了數字化、網(wǎng)絡(luò )化、智能化、集約化的廣電業(yè)務(wù)網(wǎng)絡(luò )系統。當前網(wǎng)絡(luò )系統建設中，計算機病毒和網(wǎng)絡(luò )安全對廣播電視臺已經(jīng)構成最大的威脅。廣播電視臺在實(shí)現了全臺網(wǎng)絡(luò )互聯(lián)互通的同時(shí)，必然加大了各項業(yè)務(wù)邊界的廣泛延展，如網(wǎng)絡(luò )電視平臺、IPTV平臺、無(wú)線(xiàn)數字平臺，新媒體平臺、遠程接入及交互平臺等業(yè)務(wù)形態(tài)。在這種情況下，如果某一個(gè)系統遭到主動(dòng)或被動(dòng)攻擊、有意識或無(wú)意識攻擊，入侵者很有可能利用這點(diǎn)迅速占領(lǐng)整個(gè)業(yè)務(wù)網(wǎng)絡(luò )系統，從而導致非常嚴重的安全事故發(fā)生。

  信息安全等級保護是國家信息安全保障工作的基本制度和基本方法，根據《廣播電視相關(guān)信息系統安全等級保護定級指南》，電視臺播出系統安全保護等級全部為三級以上，屬于國家重要信息系統。電視臺播出系統是廣電行業(yè)信息系統的重要組成部份，是電視節目播出的核心部門(mén)，承擔全臺節目的播出任務(wù)。對電視臺播出系統實(shí)施信息安全等級保護，從技術(shù)和管理等方面提高播出系統的安全防護能力，確保電視節目安全、穩定的播出。本文將著(zhù)重研究電視臺播出系統安全保護等級三級系統等保實(shí)施流程及方法。

  1、廣播電視相關(guān)信息系統安全等級保護三級基本要求

  《廣播電視相關(guān)信息系統安全等級保護基本要求》（以下簡(jiǎn)稱(chēng)基本要求）是對廣播電視相關(guān)信息系統安全等級保護基本要求進(jìn)行規范的標準，播出系統具有相應等級安全保護能力的前提是需要滿(mǎn)足基本要求中三級以上基本安全防護要求?；疽笾械谌壈踩雷o基本要求框架如圖1所示?；疽笾腥壱陨弦蠼踩芾碇行?，從系統管理、安全管理及審計管理三個(gè)方面，實(shí)現對系統中各安全機制的統一管理。

  2、電視臺播出系統

  全臺網(wǎng)將電視臺內的各個(gè)獨立的節目生產(chǎn)網(wǎng)絡(luò )連接起來(lái)，消除網(wǎng)絡(luò )孤島，使臺內的節目制作流程能夠實(shí)現全數字化、流程化的快速運轉。全臺網(wǎng)環(huán)境下，電視臺播出系統主要包括播出控制、節目備播、節目播出、安全管理等模塊，它承擔著(zhù)節目、廣告、資訊等業(yè)務(wù)的多項播出任務(wù)，是網(wǎng)絡(luò )化制播鏈的最后環(huán)節。播出系統通過(guò)全臺主干網(wǎng)與節目生產(chǎn)、節目生產(chǎn)管理等領(lǐng)域進(jìn)行數據與文件交互。全臺網(wǎng)環(huán)境下，播出系統基本架構所示。

  3、三級電視臺播出系統等級保護實(shí)施流程

  三級電視臺播出系統等級保護實(shí)施應以國家和廣電行業(yè)等級保護相關(guān)標準為基礎，依據基本要求開(kāi)展等級保護工作，有效保證電視臺播出系統的安全、可靠運行。等級保護實(shí)施基本流程如圖3所示。

  廣播電視臺系統安全等保三級解決方案：

  電視臺要想構建一個(gè)立體的網(wǎng)絡(luò )安全防護體系，必須要考慮多層次的防護包括：

  一、播出系統、媒資服務(wù)器安全防御（部署病毒隔離網(wǎng)關(guān)+USB隔離盒）

  a) 檢測到對媒資服務(wù)器進(jìn)行入侵掃描的行為，能夠記錄入侵的源IP、攻擊的類(lèi)型、攻擊的目的、攻擊的時(shí)間，并在發(fā)生嚴重入侵事件時(shí)提供報警；

  b) 采用多種傳輸途徑，以實(shí)現電視臺業(yè)務(wù)生產(chǎn)內網(wǎng)、非編網(wǎng)、播出網(wǎng)、互聯(lián)網(wǎng)、媒資網(wǎng)等全媒體內容交互、共享、雙向互動(dòng)、多向性應用為目的，阻止或隔離一切非授權、不安全終端接入，主動(dòng)消除各種已知和未知安全威脅。阻止不符合安全策略的終端；

  c) 通過(guò)控制USB移動(dòng)存儲介質(zhì)數據傳輸時(shí)實(shí)現病毒查殺隔離，能有效地防止USB移動(dòng)存儲上的文件攜帶病毒對于內網(wǎng)PC帶來(lái)的威脅

  d) 采用多種傳輸途徑，以實(shí)現電視臺業(yè)務(wù)生產(chǎn)內網(wǎng)、非編網(wǎng)、播出網(wǎng)、互聯(lián)網(wǎng)、媒資網(wǎng)等全媒體內容交互、共享、雙向互動(dòng)、多向性應用為目的，阻止或隔離一切非授權、不安全終端接入，主動(dòng)消除各種已知和未知安全威脅。阻止不符合安全策略的終端。

  e) 防御媒資數據服務(wù)器漏洞：如IIS代碼執行漏洞、Lotus緩沖區溢出漏洞等

  二、網(wǎng)絡(luò )安全訪(fǎng)問(wèn)審計（部署網(wǎng)絡(luò )行為審計設備）

  a) 在臺內網(wǎng)絡(luò )邊界部署訪(fǎng)問(wèn)控制設備，啟用訪(fǎng)問(wèn)控制功能；

  b) 能根據會(huì )話(huà)狀態(tài)信息為數據流提供明確的允許/拒絕訪(fǎng)問(wèn)的能力，控制粒度為端口級；

  c) 對進(jìn)出網(wǎng)絡(luò )的信息內容進(jìn)行過(guò)濾，實(shí)現對用層HTTP、FTP、TELNET、SMTP、POP3等協(xié)議命令級的控制；

  d) 在會(huì )話(huà)處于非活躍一定時(shí)間或會(huì )話(huà)結束后終止網(wǎng)絡(luò )連接；

  e) 限制網(wǎng)絡(luò )最大流量數及網(wǎng)絡(luò )連接數；

  f) 重要網(wǎng)段采取技術(shù)手段防止地址欺騙；

  g) 按用戶(hù)和系統之間的允許訪(fǎng)問(wèn)規則，決定允許或拒絕用戶(hù)對受控系統進(jìn)行資源訪(fǎng)問(wèn)，控制粒度為單個(gè)用戶(hù)；

  h) 限制具有撥號訪(fǎng)問(wèn)權限的用戶(hù)數量。

  i) 對臺內網(wǎng)絡(luò )系統中的網(wǎng)絡(luò )設備運行狀況、網(wǎng)絡(luò )流量、用戶(hù)行為等進(jìn)行日志記錄；

  j) 審計記錄包括：事件的日期和時(shí)間、用戶(hù)、事件類(lèi)型、事件是否成功及其他與審計相關(guān)的信息；

  三、生產(chǎn)播出網(wǎng)絡(luò )入侵防范（部署下一代防火墻設備）

  a) 在網(wǎng)絡(luò )邊界處監視以下攻擊行為：端口掃描、強力攻擊、木馬后門(mén)攻擊、拒絕服務(wù)攻擊、緩沖區溢出攻擊、IP碎片攻擊和網(wǎng)絡(luò )蠕蟲(chóng)攻擊等；

  b) 當檢測到攻擊行為時(shí)，記錄攻擊源IP、攻擊類(lèi)型、攻擊目的、攻擊時(shí)間，在發(fā)生嚴重入侵事件時(shí)提供報警。

  c) 對網(wǎng)絡(luò )敏感信息泄露DOS攻擊/嘗試獲取用戶(hù)特權的攻擊/嘗試獲取管理員特權的攻擊/網(wǎng)絡(luò )流量中發(fā)現可執行文件的注入/可疑關(guān)鍵字和可疑文件的注入/遠程過(guò)程調用告警/網(wǎng)絡(luò )木馬程序注入防護

  d) 防范黑客攻擊、蠕蟲(chóng)、網(wǎng)絡(luò )病毒、后門(mén)木馬、D.o.S、Shellcode等惡意流量，保護企業(yè)信息系統和網(wǎng)絡(luò )架構免受侵害，防止操作系統和應用程序損壞或宕機；

  e) 對木馬病毒、蠕蟲(chóng)病毒、宏病毒，以及腳本病毒的查殺，控制或消除上述威脅對系統的危害；

  四、內部主機安全審計身份鑒別（部署運維堡壘機系統）

  采用多種傳輸途徑，以實(shí)現電視臺業(yè)務(wù)生產(chǎn)內網(wǎng)、非編網(wǎng)、播出網(wǎng)、互聯(lián)網(wǎng)、媒資網(wǎng)等全媒體內容交互、共享、雙向互動(dòng)、多向性應用為目的，阻止或隔離一切非授權、不安全終端接入，主動(dòng)消除各種已知和未知安全威脅。阻止不符合安全策略的終端。

  1、身份鑒別：

  a) 對登錄操作系統和數據庫系統的用戶(hù)進(jìn)行身份標識和鑒別；

  b) 操作系統和數據庫系統管理用戶(hù)身份標識具有不易被冒用的特點(diǎn)，口令有復雜度要求并定期更換；

  c) 當對服務(wù)器進(jìn)行遠程管理時(shí)，采取必要措施，防止鑒別信息在網(wǎng)絡(luò )傳輸過(guò)程中被竊聽(tīng)；

  2、主機防護：

  a) 對登錄主機設備的用戶(hù)進(jìn)行身份鑒別；

  b) 對主機設備的管理員登錄地址進(jìn)行限制；

  c) 主機設備用戶(hù)的標識唯一；

  d) 主機設備對同一用戶(hù)選擇兩種或兩種以上組合的鑒別技術(shù)來(lái)進(jìn)行身份鑒別；

  e) 身份鑒別信息具有不易被冒用的特點(diǎn)，口令有復雜度要求并定期更換；

  2、訪(fǎng)問(wèn)控制：

  a) 啟用訪(fǎng)問(wèn)控制功能，依據安全策略控制用戶(hù)對資源的訪(fǎng)問(wèn)；

  b) 根據管理用戶(hù)的角色分配權限，實(shí)現管理用戶(hù)的權限分離，僅授予管理用戶(hù)所需的最小權限；

  c) 實(shí)現操作系統和數據庫系統特權用戶(hù)的權限分離；

  d) 嚴格限制默認帳戶(hù)的訪(fǎng)問(wèn)權限，重命名系統默認帳戶(hù)，修改這些帳戶(hù)的默認口令；

  3、安全審計：

  a) 審計范圍覆蓋到服務(wù)器和重要客戶(hù)端上的每個(gè)操作系統用戶(hù)和數據庫用戶(hù)；

  b) 審計內容包括重要用戶(hù)行為、系統資源的異常使用和重要系統命令的使用等系統內重要的安全相關(guān)事件；

  c) 審計記錄包括事件的日期、時(shí)間、類(lèi)型、主體標識、客體標識和結果等；

  五、數據傳輸安全性（部署VPN安全網(wǎng)關(guān)）

  a)能夠檢測到系統管理數據、鑒別信息和重要業(yè)務(wù)數據在傳輸過(guò)程中完整性受到破壞，并在檢測到完整性錯誤時(shí)采取必要的恢復措施；

  a) 采用加密或其他有效措施實(shí)現系統數據傳輸安全性、鑒別信息和重要業(yè)務(wù)數據傳輸保密性；

  b) 采用加密或其他保護措施實(shí)現應用系統遠程互聯(lián)、鑒別信息和重要業(yè)務(wù)數據遠程訪(fǎng)問(wèn)的安全性；

  c) 在數據通信雙方建立連接之前，用系統利用密碼技術(shù)進(jìn)行會(huì )話(huà)初始化驗證；

  d) 對數據通信過(guò)程中的整個(gè)報文或會(huì )話(huà)過(guò)程進(jìn)行加密。

  六、網(wǎng)絡(luò )設備、服務(wù)器狀態(tài)監控（部署監控網(wǎng)管系統）

  a) 對主流網(wǎng)絡(luò )廠(chǎng)家的網(wǎng)絡(luò )設備進(jìn)行監控，包括ping存活探測，cpu、內存、存儲器空間、接口流量等運行狀態(tài)。對F5負載均衡設備業(yè)務(wù)性能提供深入支持。

  b) 對主流服務(wù)器廠(chǎng)商的服務(wù)器（支持IPMI協(xié)議）的硬件狀態(tài)進(jìn)行監控，包括服務(wù)器內部環(huán)境溫度、主板溫度、CPU溫度、CPU風(fēng)扇轉速、電源狀態(tài)、電源電壓、CPU電壓、CMOS電池容量等。并且可實(shí)現遠程開(kāi)關(guān)機等管理功能。

  c) 對Windows、Linux、AIX、HP-UX等操作系統的服務(wù)器的ping存活、系統資源（cpu、內存和磁盤(pán)空間）、接口流量、進(jìn)程等進(jìn)行監控。

  d) 對Oracle、Mysql、SqlServer等主流數據庫進(jìn)行表空間利用率、數據文件的每秒I/O操作、已連接的用戶(hù)數等眾多參數進(jìn)行監控。

  e) 對機房溫濕度、漏水、煙霧等環(huán)境參數，以及市電和UPS等動(dòng)力狀況進(jìn)行監控（需要額外的附加探頭支持）。

  f) 支持手機短信、電子郵件、彈出窗口等多種報警方式，支持多級閥值設定。

  g) 能夠對系統的服務(wù)水平降低到預先規定的最小值進(jìn)行檢測和報警。

  等級保護安全方案為電視臺數據安全傳輸實(shí)現"四防一保"防病毒、防攻擊、防系統崩潰、防重大事故、保障業(yè)務(wù)持續運行的信息化保障。

  1、滿(mǎn)足電視臺內網(wǎng)數據交互：通過(guò)統一的安全網(wǎng)關(guān)，實(shí)現同一內容同時(shí)向制作、播出、媒資等多個(gè)子業(yè)務(wù)板塊間數據跨板塊、跨平臺交互。

  2、滿(mǎn)足異地數據共享、遠程交互：基于互聯(lián)網(wǎng)資料互動(dòng)傳輸，通過(guò)遠程數據多目標分發(fā)、交互，將媒體內容的數據共享到本組織以外的任何一個(gè)有IP網(wǎng)絡(luò )支持的地點(diǎn)，實(shí)現內容遠程分發(fā)控制，有效保證媒體內容(新聞素材)的時(shí)效性。

  3、滿(mǎn)足"三網(wǎng)融合"業(yè)務(wù)需求：隨著(zhù)"三網(wǎng)融合"的逐步深入，ANYSEC病毒隔離網(wǎng)關(guān)媒體安全傳輸解決方案可以與廣播電視網(wǎng)、互聯(lián)網(wǎng)、電信網(wǎng)實(shí)現媒體內容的"無(wú)縫融合"，使同一內容自動(dòng)后臺轉碼，在不同終端、不同平臺采用不同碼率、不同分辨率、不同編碼格式同步發(fā)布成為現實(shí)。