廣電網絡信息安全現狀及未來發展

《電視技術》編輯部

廣電網絡信息安全現狀及未來發展

《電視技術》編輯部

【編者按】

隨著廣電有線網絡雙向化改造的不斷推進及雙向互動業務的開展，在開放的網絡環境中如何保障安全播出成為有線網絡共同面臨的重大課題。2014年8月1日，溫州有線電視網絡被攻擊案在全國有線網絡行業引起巨大反響，為了更好地幫助有線網絡解決信息安全問題，2014年8月，由“友好網聯盟”承辦的“廣播電視安全播出經驗交流會”在西安順利舉辦，來自全國近20家有線網絡公司運維部的管理人員根據各地的情況，針對信息安全的方方面面進行了深度溝通與探討。本刊將交流內容整理成文，以期為信息安全建設提供有意的借鑒。文章根據交流會資料整理，未經本人審閱。

貴州：廣電網絡安全播出概況

貴州省廣播電視信息網絡股份有限公司由省公司、9個市州公司、75個縣級分公司、497個鄉鎮服務站組成，是全省廣電網絡整合、資產重組轉制成立的文化企業。作為全省唯一的廣電網絡服務機構，目前貴州廣電網絡擁有420萬用戶，其中高清互動覆蓋用戶為250萬。運營平臺采用唯一的總系統前端，雙向網改采用PON+EoC技術，及IPQAM互動模式。

1.貴州省廣電網絡播出平臺情況

單向直播播出平臺：可覆蓋全省420萬有線電視用戶，主要業務包括高清、標清、數據，在傳輸模式上采用骨干傳輸、本地插入模式，接入模式為有線、無線相結合。

雙向互動平臺：覆蓋全省220萬雙向有線網絡用戶，其中雙向高清終端為70萬戶。在傳輸方面采用統一核心平臺、專用推流網絡，在接入方面采用IPQAM推流、雙向網絡接入方式。

其他外聯網絡：主要包括互聯網接入、門戶網站、網絡視頻門戶（多屏看）、BOSS系統、信息發布系統及媒資系統。

2.威脅安全播出的因素

從歷史上看，廣電網絡遭受安全攻擊主要有以下兩種方式：從分配網非法插入及衛星干擾。

隨著廣電網絡的日益復雜及新業務的不斷推出，廣電網絡將面臨眾多新的安全威脅，主要包括：來自外部互聯網絡對系統的入侵；內部用戶接入網絡的安全；企業內網的用網安全；關鍵崗位的管控；相關信息發布管理的合理流程。

3.技術應對策略

貴州廣電的安全應對策略主要包括：直播系統確保不與外網物理連接；增加網絡防護設施，加大入侵難度；對門戶類網站進行實時內容監控；根據用戶智能卡號和對應密碼確定用戶身份；互聯網運用與點播信令回傳通道進行隔離；對整個互動內容和系統進行實時監測等（見圖1、圖2）。

圖1 貴州省網業務安全體系

圖2 貴州互動電視綜監測系統

4.管理應對策略

首先，規范關鍵崗位職能和內容發布流程。主要工作包括：發布和內容修改的崗位，嚴格執行雙人操作制度；對信息發布流程進行嚴格的管控；增設各地信息發布內容監控點。

其次，加強一線工作人員的選擇和甄別、主要工作包括：發布和內容修改的崗位，嚴格執行雙人操作制度；對信息發布流程進行嚴格的管控；增設各地信息發布內容監控點。

5.近期進行的工作

主要工作包括：增加防火墻，嚴格實施內外網隔離；對相關管理制度進行完善及修改等。

河北：網絡安全播技術與管理

河北廣電信息網絡集團的安全防護主要包括以下三方面的內容，即加強頂層結構，構建強有力的領導小組；其次是提升人員綜合素質，以應對各種日常和突發事件；第三是基礎層面的安全防護。

1.構建安全小組

當前，信息技術革命日新月異，對國際政治、經濟、文化、社會、軍事等領域的發展已產生了深刻影響。互聯網已融入社會生活的方方面面，深刻地改變著人們的生產和生活方式。網絡安全和信息化對于一個國家很多領域都是牽一發而動全身，因此，要充分認識做好網絡安全和信息化工作的重要性和緊迫性。中共中央總書記、國家主席、中央軍委主席、中央網絡安全和信息化領導小組組長習近平2月27日下午在主持召開的中央網絡安全和信息化領導小組第一次會議上發表重要講話，強調網絡安全和信息化是事關國家安全和國家發展、事關廣大人民群眾工作生活的重大戰略問題，要從國際國內大勢出發，總體布局，統籌各方，創新發展，努力把我國建設成為網絡強國。

互聯網文化與廣電網文化已經產生了接觸、碰撞，挑戰和機遇不斷出現。基于此，河北廣電信息網絡集團網絡組成了由高管任組長，各部室主任為成員的安全小組。在企業安全戰略運籌上提高決策支撐能力、統籌協調能力、應急反應能力及綜合施策能力。深入學習貫徹習近平總書記在中央網絡安全和信息化領導小組第一次會議上的重要講話精神，研究我們小組工作規則，部署公司網絡安全工作規則。同時，嚴格按照《廣播電視安全播出管理規定實施細則》編制要求內容。對突發事件及時做出響應和處置，避免突發事件擴大或升級，以最大限度減少突發事件造成的損失。

2.提升員工綜合素質

互聯網拉近了人與人之間的距離，人與人之間的社會關系從現實社會移動到虛擬社會。工作中收發郵件的兩個人，是同事或者上下級。博客之間互相評論的人，在現實中可能是親戚或者朋友。一個人在社會中的角色，會慢慢在社交網絡中浮現出來，有人會有疑問，這和互聯網信息安全有什么關系？互聯網信息安全不是反病毒嗎？互聯網信息安全不是靠漏洞發起攻擊的嗎？一臺電腦不上網，不連接任何外接設備不就永遠不會感染病毒嗎？的確是這樣，但是有一個最重要的安全節點被忽視了，那就是人。你可以說服人把計算機的網線接上，把殺毒軟件卸載掉，打開所有的端口，因此人才是互聯網信息安全中最薄弱的環節。

最簡單的例子：一個在身邊略懂電腦的同學每天在微博上面發一些360安全衛士的負面消息，比如竊取用戶隱私，收集用戶電腦內的文件信息等。當然他也不知道360具體竊取了什么隱私，收集了哪些文件信息，那些文件是干什么的。潛移默化中，一些不懂網絡安全的朋友就相信了他所說的話，卸載掉了360，我們不討論360是否真的竊取了用戶隱私。但一個人在互聯網上或者計算機內的行為，可能就因為受到了一些客觀因素的影響而改變了。這就是個簡單的、非主觀的利用自身社會角色來影響他人互聯網行為的社會工程學范疇的“攻擊”。360安全衛士是被攻擊方，卸載360和散播360負面消息的人就成了攻擊方。

同時，微信等新型社交平臺的出現，大大提升了虛擬社會交往的速度及廣度，有一種理論叫做“六度分隔理論”，告訴我們只需要不超出6位中間人，就可以間接地與世界上任意一位先生或者女士相識。社交網絡上面，就有你完整的社會關系拓撲圖。

人們的個性化信息構成了我們的大數據，通過手機的應用軟件數據就能得知你是做什么的，興趣、愛好、身體狀況怎么樣。社會工程學的應用越來細致，越來越精準。

著名黑客凱文·米特尼克于2002年推出了一本關于社會工程學的公益性質的暢銷書。目的是讓全球的網民們能夠懂得網絡安全，提高警惕，防止沒必要的個人損失。同時其也成為黑客們學習的高級教程。

2013年發布的《黑客社會工程學攻擊2》，作為國內首本以案例為主、理論為輔的“社會工程學”參考書，沒有理論、沒有說教，直擊“社工尸”攻城現場，還原一個個經典案例，令人汗毛倒豎，卻也大呼過癮。大家可以從里面了解和體會社會工程師的思維模式與enjoy hacking的方法。

基于此，對于廣電網絡公司來說，增強員工的互聯網安全意識，嚴防社會工程攻擊勢在必行。

此外，還要做到提升員工基本技能的熟練度、細致度、認真度等。人員技術水平是科技公司的基礎，水平提高之后再討論運營維護，才會水到渠成。具體工作包括精細化人員、設備管理及專用的網絡部署。河北廣電網絡部署了很多系統，如VOD系統、時移系統、互聯網系統等，如果沒有精細化的管理，就沒有辦法發現問題，更無從去解決問題。我們通過值班日志、設備日志對比審查，來考核值機員的認真度，從而提升值班質量。通過經常進行局部篩查，定期進行全網巡檢，定期、不定期組織實際演練等，把學到的內容實實在在地應用到工作中。

3.基礎層面安全保護

1）異地平臺備份

對于一家網絡運營商來說，在遭受如火災、水災、地震、戰爭等不可抗拒的自然災難以及計算機犯罪、計算機病毒、掉電、網絡/通信失敗、硬件/軟件錯誤和人為操作錯誤等人為災難時，容災系統將保證用戶數據的安全性（數據容災），甚至一個更加完善的容災系統，還能提供不間斷的應用服務（應用容災）。可以說，容災系統是數據存儲備份的最高層次。

在異地平臺備份方面，河北廣電網絡主要采取了以下3種方式：

方式1：傳統的ASI-DS3方式。省級前端與傳輸對接方式見圖3。

圖3 傳統的ASI-DS3方式，DS3選路保護

其中，主機房、備機房、傳輸機房分別部署DS3選路保護，并配置DS3選路策略。

一般部署情況：A前端為主路、B前端為輔路，由傳輸端部署的選路器來選路。

問題1：A前端受到攻擊

問題2：A前端線路受到攻擊

方式2：組播承載方式。這是有線數字前端基于IP組播承載業務常規方式，省有線前端與傳輸對接方式見圖4。

圖4 IP組播承載方式

其中，A前端雙路并行播發，B前端單路播發，產生3路信號發往地市端，也就是說產生了3倍流量。

方式3：IP組播承載方式。IP選路保護。見圖5。

圖5 IP組播承載方式

其為基于IP組播承載業務方式。其中，主機房雙復用器雙路并行播發；備機房雙復用器單路播發；在傳輸機房采用IP選路保護器，將A前端一路IP與B前端IP信號形成2選1結構，這樣就會去掉一路基本信號的傳輸成本，增加一路其他增值業務的能力。

2）路由器安全

主要策略包括：配置用戶名并開啟加密方式保存密碼；制訂路由器基本安全策略；防止ICMP重定向、外部源路由欺騙、盜用內部IP、smurf；關閉Web管理功能等可以不用的服務；設備配置QoS策略和CAR策略功能及防范DoS等。

據《2013年我國互聯網網絡安全態勢綜述》報告稱，國家信息安全漏洞共享平臺在分析驗證D-Link、Cisco、Linksys、Netgear、Tenda等多家廠商的路由器產品后，發現它們都存在后門，黑客可由此直接控制路由器，并進一步發起DNS劫持、竊取信息、網絡釣魚等攻擊，直接威脅用戶網上交易和數據存儲安全，使得相關產品變成隨時可被引爆的安全“地雷”。以D-Link部分路由器產品為例，攻擊者利用后門可取得路由器的完全控制權。CNVD分析發現，受該后門影響的D-Link路由器在互聯網上對應的IP地址至少有1.2萬個，可影響大量用戶。這也同樣說明，黑客可以同時攻擊干線路由器。基于此，河北廣電針對路由器安全采取了以下安全措施：

首先，配置用戶名并開啟加密方式保存密碼。

其次，制訂路由器基本安全策略。防止外部IP地址欺騙，外部網絡的用戶可能會使用內部網的合法IP地址或者回環地址作為源地址，從而實現非法訪問；防止外部的非法探測。非法訪問者對內部網絡發起攻擊前，往往會用ping或其他命令探測網絡，所以可以通過禁止從外部用ping、traceroute等探測網絡來進行防范。路由器一般可以通過telnet或SNMP訪問，應該確保Inter?net上沒有人能用這些協議攻擊路由器；阻止對關鍵端口的非法訪問。關鍵端口可能是內部系統使用的端口或者是防火墻本身暴露的端口。對這些端口的訪問應該加以限制，否則這些設備就很容易受到攻擊。此外，攻擊者有時會利用ICMP重定向來對路由器進行重定向，將本應送到正確目標的信息重定向到它們指定的設備，從而獲得有用信息；防止外部源路由欺騙。源路由選擇是指使用數據鏈路層信息來為數據報進行路由選擇。該技術跨越了網絡層的路由信息，使入侵者可以為內部網的數據報指定一個非法的路由，這樣原本應該送到合法目的地的數據報就會被送到入侵者指定的地址；防止盜用內部IP地址，攻擊者可能會盜用內部IP地址進行非法訪問，開啟mak地址綁定功能；要在源站點防止smurf，關鍵是阻止所有的向內回顯請求。這就要防止路由器將指向網絡廣播地址的通信映射到局域網廣播地址。

第三，路由器除了可以提供路徑選擇外，它還是一臺服務器，可以提供一些有用的服務。路由器運行的這些服務可能會成為敵人攻擊的突破口，為了安全起見，最好關閉這些服務。

第四，拒絕服務（DoS）是目前黑客廣泛使用的一種手段，可通過獨占網絡資源、使其他主機不能進行正常訪問，從而導致網絡癱瘓，我們可以通過在接入路由器上采用QoS和CAR限速策略來達到抵御的目的。QoS（Quality of Service）是網絡的一種安全機制，可解決網絡延遲和阻塞等問題，在路由器中主要是實現IP帶寬控制功能，防止部分IP占用大量帶寬。

3）組播安全防范

（1）IGMPv3

作為一種與單播（Unicast）和廣播（Broadcast）并列的通信方式，組播（Multicast）技術能夠有效地解決單點發送、多點接收的問題，從而實現網絡中點到多點的高效數據傳送，能夠節約大量網絡帶寬，降低網絡負載。

目前，河北廣電網絡利用組播技術來提供一些新的增值業務，包括在線直播、網絡電視、遠程教育、遠程醫療、網絡電臺、實時視頻會議等對帶寬和數據交互的實時性要求較高的信息服務。

IGMPv1：主機可以加入組播組，沒有離開信息（leavemessages），路由器使用基于超時的機制去發現其成員不關注的組。

IGMPv2：該協議包含了離開信息，允許迅速向路由協議報告組成員終止情況，其對高帶寬組播組或易變型組播組成員而言是非常重要的。

IGMPv3：與以上兩種協議相比，該協議的主要改動為允許主機指定其要接收通信流量的主機對象，來自網絡中其他主機的流量是被隔離的。同時，IGMPv3也支持主機阻止那些來自于非要求的主機發送的網絡數據包，綜上所述，采用IGMPV3更為安全。

（2）ASM與SSM

ASM需要組地址的良好分配，在任何假定的時間，一個ASM組應該通過一個單獨的應用被使用。當兩個應用同時使用相同的ASM組播組時，接收設備從兩個應用的源接收相同的應用，這種模式可能導致網絡中意料之外的通信，或導致網絡連接的擁塞與應用接收設備的故障。ASM通常采用239/8的地址范圍。

SSM僅僅在每個源主機中進行預先規劃，而不需要組地址在網絡中的預先規劃。當運行在相同源主機時，不同的應用必須使用不同的SSM組。運行在不同的源主機時，不同的應用可以任意重新使用SSM組地址，這不會導致任何網絡流量的超出。默認的SSM地址范圍為232/8，用戶也可以自由配置。

此外，還需要在相關路由器上建立嚴格的ACL，明確哪些組播信息可以通過，哪些不可以。組播邊界設置不僅可以減少路由器負擔，而且能保證內容安全。邊界設置主要有兩種模式，一種是組播ttl，另一種是組播boundary。

江西：網絡安全的建設、管理經驗

江西廣電網絡現有用戶350萬戶，建設有傳輸網、數字電視網、業務網、數據網等4張網絡。其中，傳輸網作為其他網絡的承載網，與其他系統進行了物理隔離，網管系統只預留了遠程維護接口，不用時斷開。數字電視網通過接口機與業務網連接，江西廣電網絡計劃在這部分增加一臺安全堡壘來實現安全保障。業務網通過接口機與銀行、短信提供商、雙向互動平臺連接，連接均由防火墻保障安全。數據網將用戶與管理分為兩個網絡，并采取了相應的安全措施。下面，筆者將網絡安全問題細分成四個層次分別進行討論，分別為門禁、線路、用戶鑒權及監測。

1.門禁

門禁是安全防護最外面的一層，它直接面對著外部各方面的沖擊。我們認為門禁系統應由各種規章制度以其執行力組成，其是一個管理上的問題。目前，江西省廣電網絡公司的省中心機房設有五道門崗，進大院一個，小院一個，進大樓一個，進設備區一個，每個機房單獨設門崗，其中前4個均為專人值守。在門禁管理制度方面，江西省廣電網絡制訂了一整套安全播出工作手冊，并嚴格執行先申請再進入的程序。且進入機房后需要由機房工作人員全程陪同。這一層最危險、最容易出的問題我們認為是來自機房內部人員。為此，江西廣電采取了以下措施：

首先，是制訂完善的規章制度。

其次，是分項目，分機房，分權限。即每個工程師負責一個主項目和一個次項目，在主項目中他的權限最高，次項目確保在其主負責人不在時通過電話能夠解決問題。

第三，機房負責人經常與機房維護工程師聊天，以了解其思想動態，確保其積極健康向上。

第四，每周二召開一次例會，既是一次技術交流，也是一次思想交流，增進同事之間的和諧關系。

2.線路

這一層指的是各種光纜、電纜、有線、無線的接入機房的線路。保障鏈路安全首先是要對每條線路登記資料，主要包括光纜、電纜及衛星天線等。其次，對每條線路做好標記，標記上注明線路來自那兒以及去那里。此外，設置攝像頭監控這些線路并定期檢查。

在這一層中，最危險的是電纜和衛星天線，我們目前還沒有發現光纜被入侵的案例。

在電纜方面，江西廣電網絡采用了三路外電（高壓一路、低壓兩路），變壓器設置在公司的院子內，目前較安全。

衛星天線采用主備兩套，置于機房的兩側，同時與南昌市機房利用一套思科的DCM設備，可互相交換10路ASI信號，互為備份。

3.用戶鑒權

用戶鑒權是指外來信號通過各種手段進入機房后，對設備進行操作前需要鑒別該信號是否合法及權限是否足夠。其首先所有涉及到“廣播”設備與服務器，因此堅決不能與互聯網連接，需維護或者設置時，一律申請在機房進行操作；其次“廣播”與其他諸如“業務網”、“互動網”之間通過接口機和安全網關互聯，權限設置必須為最小；最后，必須連接互聯網的地方，用防火墻連接。

這一層的危險在于被非法入侵。

首先，我們對設備、服務器的密碼按照“大小寫字母+數字+特殊符號”的原則進行設置。用戶名、密碼只以書面形式記錄，并存于機房負責人處，兩人才能開啟。

其次，防火墻、安全網關通過權限按照系統必須進行最小設置。必須遠程維護操作，必須經過安全網關，安全網關會記錄所有操作，且全程有專人監控，操作一般安排在晚上1點后進行，維護完成后，我們會對相應的系統進行檢查。

4.監測

江西廣電網絡建設了一套全省數字電視信號監測系統，該系統目前已全面覆蓋全省10個設區市及80個縣市區前端機房。其中，省中心機房能夠對各分公司前端機房的節目監測系統進行管理，從而實現對所轄分前端有線數字廣播電視的播出情況進行監測、管理和考核。此外，監測系統能做到信道層、碼流層實時監測及報警、TR 101 290三級錯誤實時監測及報警，對所有信號的故障記錄及故障進行錄像。

青海：安全播出應急管理淺析

青海省轄區內6個民族自治州，7個民族自治縣級34個民族鄉，從藏區和維穩角度，青海有線網絡在安全播出上又多一層特殊性和重要性。

1.機房

雖然青海省有線網絡的整合工作已經完成，但目前還存在三個相對獨立的前端機房：省公司、原西寧市公司（3個區）及格爾木分公司。其中，西分機房由于機頂盒的配合等問題，還有幾萬臺單向機頂盒無法升級；各分機房個別光纜干線未通達到縣級分公司，如玉樹、果洛等。

省公司機房：

信源：主要包括中央臺節目。主用國干信源、環網、自動切換；各地衛視：指定的衛星；本地節目：由當地電視臺光纜環網傳送。

在新源安全方面，目前，本地前端有2個IP平臺互為備份，下一步將在玉樹、格爾木做異地信源備份；有信源預警監測系統。

機房環境及安全：門禁、24小時值班；機房供電：兩路外電、兩路UPS（60、80KVA）、一路柴發（300 kW及完善的機房安全制度。

2.傳輸

城域網：有分前端的形成自愈環網。采用光點到樓的結構。

長途光纜干線：通過自建、租桿掛纜、租纖、形成1550環網，個別分公司有支鏈但未形成環網的，放清流的數字備份平臺。今年開通大部分地區OTN傳輸網。

3.數據環節的安全防范

1）公司數據業務方面：嚴格公司內外網系統建設，局域網和互聯網要求獨立，做到物理隔離；在OA電子自動化辦公系統和BOSS運營支撐系統方面，嚴格人員權限，規范上網和操作行為。員工個人賬號必須設置密碼，離開時要求及時退出，避免人為方面的安全隱患。

2）CAS條件接收系統方面：數字電視前端采用了永新視博CAS條件接收系統和數碼視訊CAS條件接收系統，并進行了同密。OSD和郵件發布由公司專人進行管理，做到了三級審核。該系統的安全性能通過公司嚴格的權限管理，尤其OSD和郵件發布工作由專人負責，并責任到人；各分公司營業廳收費電腦通過內網與BOSS系統服務器連接，除CAS系統管理員外，其他人不得隨意進入CAS系統進行任何操作，以保證合法信息的正常播發，不給非法信息留有可乘之機。

3）高清互動點播系統：目前，青海廣電網絡的華數互動點播業務平臺為杭州華數的CDN分發中心，屬于分前端點播模式。高清互動系統在杭州華數公司，系統的安全性也由華數公司來保障。

4）廣告系統方面：廣視易通廣告系統完全獨立運行，青海廣電網絡公司局域網與互聯網沒有互聯。廣告公司發布的廣告由相關部門專人負責發布。

4.下一步工作

下一步工作包括：電子郵件顯示機制、策略的變更；部門之間職責的界定；內部客戶端、網上營業廳的管理；設備巡檢、升級，提供商應現場進行；機房操作有完整的記錄；外網連接端口的隔離、管理；補充進《應急預案》中。

陜西：構建開放、安全的廣電網絡

1.《廣播電視安全播出管理規定》（總局62號令）解讀

1）三項重要工作

日常管理：在日常情況下，對廣播電視播出、傳輸、覆蓋等活動的管理規定；

重要保障期管理：在重要保障期，對廣播電視播出、傳輸、覆蓋等活動的管理規定；

應急管理：應急管理指對突發事件的管理，突發事件分為破壞侵擾事件、自然災害事件、技術安全事件、其他事件四類，級別分為特大、重大、較大三級。

解讀：

日常管理：為保證用戶日常收看廣播電視節目而制訂的管理規定；安全保障級別相對較低；

重要保障期管理：在重要保障期（如重要會議、賽事的直播），為保證用戶收看到安全、高質量的廣播電視節目而制訂的管理規定；安全保障級別相對較高；

應急管理：不管是日常播出還是重要保障期播出，都可能發生突發事件，而突發事件造成的負面影響往往較為嚴重，尤其是在重要保障期，因此，應急管理是安全播出管理中的重中之重，必須予以高度重視。

2）三個核心要素

人員：對保障安全播出的各級人員、組織架構提出了規定和要求；

制度：對保障安全播出的有關制度、標準、規范和流程提出了規定和要求；

技術：對播出系統的技術配置、技術標準以及運維技術管理等方面都提出了明確的規定和要求。

解讀：

人員：人員是三大要素中最核心、最活躍的要素，要做好安全播出工作，首先要解決好人的問題（思想端正、心理健康、技術熟練、有責任心）；有很多安全播出事故案例都是由于內部人員出問題而引發的，所以內部人員的心理疏導、技術培訓、增強責任心等方面的工作不容忽視；

制度：其實，62號令就是一個有關安全播出的大的管理制度，62號令所涉及的制度、標準、規范和流程將有關要素組織成一個有機的體系，從而實現對安全播出強大的支撐和保障；

技術：安全播出工作與技術越來越密切了，尤其在廣電網絡向互聯網轉型的進程當中，技術的發展為廣電網絡注入了新的活力，同時也帶來了諸多安全的隱患，對于廣電網絡公司來說，加強技術防范是今后安播工作的一個新趨勢、新動向。

3）安全播出是一個系統工程

總局62號令其實是一個有關安全播出的系統工程的管理規定。62號令對安全播出的日常管理、重要保障期管理、應急管理等各項重要工作均做出了明確的規定和要求，將人員、制度、技術等核心要素有機地融合進各項規定條款中，構建出一個立體的廣播電視安全播出保障體系。

2.“三網融合”給廣電網絡帶來的安全新挑戰

1）三網融合的特點

開放平臺：云；其次是IP網絡：管；第三是融合終端：端。

2）當今運營網絡的特點

越來越開放的網絡。開放性給用戶帶來了靈活、便捷的個性化服務和體驗，同時，讓運營商能夠快速部署各種應用以應對市場競爭；越來越具有挑戰性的網絡安全。技術的開放、設備的開放、系統漏洞的開放、黑客攻擊手段的開放，讓保證網絡的安全工作變得越來越具有挑戰性。

3）廣電網絡在“三網融合”進程中共性

雙向化改造；IP化演進；開放性平臺；與互聯網對接。由此帶來的安全隱患主要包括通過用戶端攻擊系統；通過互聯網攻擊系統；通過遠程VPN撥號攻擊系統；“不攻自破”。

4）認識和建議

廣電網絡的開放性是不可逆轉的趨勢，并且會越來越開放；開放帶來的安全隱患必須予以高度重視，這些隱患已經成為安全播出面臨的新問題和新挑戰；建議從技術層面對網絡安全問題進行深入研究和討論，集各方智慧研究適合廣電網絡的安全標準和規范，推進安全播出工作向更高臺階邁進。

3.構建開放、安全的廣電網絡

1）網絡安全的概念

網絡安全是指保護網絡系統中的軟件、硬件及信息資源，使之免受偶然或惡意的破壞、篡改和泄露，保證網絡系統的正常運行、網絡服務不中斷。其主要包括以下五個屬性：可用性、機密性、完整性、可靠性和不可抵賴性。

2）傳統通信過程中安全所受到的威脅

傳統通信過程中所受到的安全威脅主要分為以下四大類：中斷、截獲、篡改及偽造。其原理如圖6所示。

圖6 傳統通信四大安全問題

3）計算機網絡安全所受到的威脅

傳統通信過程安全所受到的威脅在計算機網絡中依然存在，由于加密技術、認證技術、數字簽名技術等領域的發展和成熟，這方面的威脅得到了一定的控制。

計算機網絡安全所受到的更大的威脅來自：網絡攻擊和病毒侵害。

4）對于目前廣電網絡的數字電視直播系統、互動點播系統而言，安全威脅主要來自網絡攻擊，這是一個新動向，也是安全播出工作的一個新課題。

無論是何種動機，攻擊者實際上是希望完成以下四件事中的一件或多件：破壞目標正常工作、竊取目標信息、控制目標計算機、利用假消息欺騙對方，而這四件事的本質就是破壞與入侵。

破壞：所謂破壞，指的是破壞攻擊目標，使之不能正常工作，但不能隨意控制目標系統。

入侵：以入侵為目的的攻擊方式，需要獲得一定的權限來達到控制攻擊目標的目的。這類攻擊通常是利用服務器操作系統、應用軟件或者網絡協議存在的漏洞進行的。

5）網絡攻擊的動機和目的

網絡攻擊的動機和目的包括：政治和軍事目的；集體或個人的商業目的；以惡意破壞為目的；無惡意的惡作劇。

6）推薦

P2DR網絡安全模型，是美國ISS公司提出的動態網絡安全模型。P2DR模型（見圖7）包括四個主要部分：Pol?icy（安全策略）、Protection（防護）、De?tection（檢測）和Response（響應）。

圖7 P2DR模型示意圖

安全策略：根據風險分析產生的安全策略描述了系統中哪些資源要得到保護，以及如何實現對它們的保護等。策略是模型的核心，所有的防護、檢測和響應都是依據安全策略實施的。網絡安全策略一般包括總體安全策略和具體安全策略兩個部分。

Protection（防護）：通過修復系統漏洞、正確設計開發和安裝系統來預防安全事件的發生；通過定期檢查來發現可能存在的系統脆弱性；通過教育等手段，使用戶和操作員正確使用系統，防止意外威脅；通過訪問控制、監視等手段來防止惡意威脅。采用的防護技術通常包括數據加密、身份認證、訪問控制、授權和虛擬專用網（VPN）技術、防火墻、安全掃描和數據備份等。

Detection（檢測）：檢測是動態響應和加強防護的依據，通過不斷地檢測和監控網絡系統，來發現新的威脅和弱點，通過循環反饋來及時做出有效的響應。當攻擊者穿透防護系統時，檢測功能就開始發揮作用，與防護系統形成互補。

Response（響應）：系統一旦檢測到被攻擊，響應系統就開始工作，進行事件處理。響應包括緊急響應和恢復處理，恢復處理又包括系統恢復和信息恢復。

理論解釋見圖8。

圖8 P2DR理論解釋

其中，Pt代表系統為了保護安全目標設置各種保護后的防護時間，或者理解為在這樣的保護方式下，攻擊者攻擊安全目標所花費的時間。Dt代表從攻擊者發動攻擊開始，到系統能夠檢測到攻擊行為所花費的時間。Rt代表從檢測到攻擊行為開始，系統能夠做出足夠的響應，將系統調整到正常狀態的時間。

公式1：Pt＞Dt+Rt

對于需要保護的安全目標，如果公式1成立，即滿足防護時間大于檢測時間加上響應時間，也就是說，在攻擊者危害安全目標之前就能被檢測到并及時處理，即達到了對安全目標的防護目的。

公式2：Et=Dt+Rt-Pt。

Et為安全目標系統的暴露時間，Et越小目標系統越安全。

通過上面兩個公式的描述，實際上給出了一個安全的全新定義：及時的檢測和響應就是安全。

這樣的定義也為安全問題的解決指明了方向：即提高系統的防護時間Pt，降低檢測時間Dt和響應時間Rt。

希望P2DR模型能夠為構建開放的廣電網絡提供堅實的安全保障。

中國有線海南分公司：廣電網絡的安全播出

對于中國有線海南分公司來說，廣電完全播出的目標主要為保障播出系統的安全。即拒絕非授權用戶的訪問，避免出現篡改播出內容或者插入其他內容等非法操作。播出系統（含外圍系統）主要包括CA系統、BOSS系統（CA外圍系統）IVR系統（CA外圍系統）、雙向互動系統及EPG廣告系統。在防護方面，最重要的原則為：盡可能少的服務=盡可能多的安全。

1.CA和BOSS防護

（1）采用天栢CA部署兩臺防火墻（主備冗余）進行防護，只允許特定源（BOSS接口機）到CA特定端口的訪問，過濾其他訪問；NDSCA2部署一臺防火墻進行防護，只允許特定源（BOSS接口機）到NDSCA特定端口的訪問，過濾其他訪問（見圖9）。

圖9 CA和BOSS防護架構圖

（2）BOSS系統部署兩臺防火墻（主備冗余）進行防護。

所有業務終端（含外圍系統）只允許訪問BOSS系統特定服務器特定端口，業務終端綁定IP地址和MAC地址；

現場維護終端到BOSS的訪問權限較大，要求現場維護終端專機專用并綁定IP地址和MAC地址，不能訪問互聯網。

遠程維護通過SSL VPN對傳輸數據進行加密保護，在需要對BOSS系統進行遠程維護時，網管人員在SSL VPN服務器上臨時激活登錄帳號。

2.綜合區域防護

綜合區域防護架構如圖10所示。

圖10 綜合區域防護架構圖

綜合區域部署一臺防火墻進行防護。

遠程維護終端只能訪問外網SSL VPN的登錄端口，過濾其他訪問。

內網維護終端只能訪問內網SSL VPN的登錄端口，過濾其他訪問。

根據需要，開通綜合區域內服務器到特定目標的訪問，過濾其他訪問。

3.辦公網接入防護

辦公室防護架構如圖11所示。

圖11 辦公室防護架構圖

部署上網行為管理系統，限制非授權用戶（特別是專機專用操作終端）訪問互聯網。

部署一臺防火墻，實現OA用戶到OA服務器的訪問控制，根據需要開通特定OA用戶到特定OA服務器特定應用端口的訪問，過濾其他訪問。

4.外部接入防護

外部接入防護架構如圖12所示。

圖12 外部接入防護架構圖

部署兩臺防火墻（一主一備）組建統一的外聯網絡，用于控制內部網絡和外部網絡的連接，根據需要只放特定源（外部用戶）到特定目標服務器特定目標端口的訪問。

每個業務分配單獨VLAN，各個業務之間完全隔離，實現在一個平臺上多業務復用。

5.雙向互動系統防護

雙向互動系統防擴架構如圖13所示。

圖13 雙向互動系統防護架構圖

維護操作終端專機專用，綁定IP地址和MAC地址，只能訪問特定服務器的特定應用。

雙向互動系統通過兩臺防火墻（一主一備）進行防護，每個系統（雙向互動、媒資系統A、媒資系統B等）一個區域，通過防火墻對各個區域之間的互訪做控制，只開通最小訪問需求；

機頂盒通過雙向網訪問各個系統的Portal服務器，通過防火墻進行控制，只能訪問特定Portal服務器的特定端口；

6.EPG廣告系統防護

EPG廣告系統單獨組網，不與其他網絡互通，只有專機專用的操作終端可以訪問到EGP廣告系統，通過在EGP廣告系統和維護操作終端之間部署防火墻，控制從操作終端到特定服務器的特定應用端口的訪問，以過濾其他訪問。

EPG廣告系統防護見圖14。

山東：針對安全開展8方面工作

圖14 EPG廣告系統防護架構圖

1.基本情況

山東省廣電有線網始建于1995年，1997年12月份完成省中心濟南市連接山東17個地市的一期工程，2005、2012年先后實施第二期、第三期擴容擴建，形成了目前拓撲結構為“一大環五支線環”總長度為3 800 km的省一級干線網，承載華為SDH2.5 GHz和OTN 40×40 Gbit/s兩個數字傳輸平臺。2012年5月,山東廣電網絡重組，在省委宣傳部的直接推動下，網絡公司利用一年時間完成全省的整合，以山東廣電網絡有限公司為母公司，組建了山東廣電網絡集團，下轄17家地市分公司、126家縣級分公司及5家子公司。

截至2014年6月份，山東有線網絡已擁有1 960多萬有線電視用戶，其中，數字電視用戶1 400多萬，互動電視用戶120多萬，互聯網用戶65萬。2012年公司整合之后，按照“統一建設、統一規劃、統一管理、統一運營”的原則，開始建設全省數字電視IP播出平臺。2013年初平臺建成使用，其主要設備DCM、編解碼器、交換機等都是業界高端的具有品質保證的主流產品。而各分公司原有自建平臺作為備用平臺，在省網平臺信號出現中斷等意外情況下可實現本地切換播出。

目前，山東省網播出平臺集成的節目主要分為三類：央視和各省市衛視節目，主要是通過衛星及國干網這兩個通道傳輸，分別有濟南和濰坊兩個信源；第二，以山東臺為主的本地自辦節目；第三，在此基礎上山東有線還采購了華數、上海文廣等各種類型的優秀高清視頻節目，以打造“山東有線”這一品牌。

目前主打產品“高清暢享館”以二級菜單呈現，共容納31套高清電視節目。這也是夯實電視大屏的重要措施之一，目前來看，效果很好。8月1號溫州事件發生之后，山東廣電領導非常重視，及時部署安排，針對安全問題，山東有線主要開展了以下8個方面的工作。

1.成立聯絡小組，建立安全播出匯報制度

首先，成立了山東省全省安全播出管理工作領導小組，直接歸省公司安委會領導。省公司技術部總監擔任領導小組組長，省公司戰略規劃部、運維中心、數據中心等部門的一線骨干力量和各分公司播出負責人兼任小組成員。各單位、各分公司定期將安全工作匯總上報。

其次，在重要時期，啟動安全播出零報告制度。省公司運維中心等單位收集本部同時對口收集分公司安全播出情況，每天準時向技術部報送信息。技術部整理后上報安委會負責領導。

2.加強各類技術系統的安全防范

山東省公司統一描述符播發系統、分公司EPG廣告播出系統、省市公司的EPG和CA系統等等，以上各平臺服務器和VPN管理客戶端一概不準外接互聯網，以確保物理隔離。

所有內容播出系統，均實施專人負責、專人審核簽字通過負責制。

進一步落實各類系統平臺網管管理，嚴格按照流程，專人負責。

市縣分公司新上廣告插播系統，均需上一級公司批準；內容核實及插播操作一概由公司正式員工在授權后實施。

3.加強嚴格規范各平臺遠程操控

首先，對設備廠家遠程操控人員實施政審登記，并限制人數；操作前由省網具體業務負責人通知播出值班員工，將端口人為插接，操作完畢后再手動斷開。值班員工應及時匯報操作效果；在特殊時期，業務負責人須現場監看操作流程。

其次，加強登錄保密意識，遠程登錄賬號與密碼定期更換。重要時期，一次一換。

4.引入節目審查機制，加強內容監督

首先，建立省網對第三方引入節目內容的審查機制。安排專人通過節目內容審查客戶端、預覽節目信息數據（標題、導演、簡介等），通過內嵌播放器抽樣或者整體審看外來節目包。

其次，Portal等業務頁面可以繼續使用第三方提供的頁面，但對其遠程修改權限做出限制，具體流程與上類似。

5.確保直播平臺通道安全、內容安全

目前，山東省有線平臺播出的絕大部分節目通過國有衛星和國干光纜網這兩條信息鏈路傳輸，只有華數和上海文廣提供的共8套節目的傳輸通過某互聯網基礎設施供應商提供數據鏈路，相對來講，這8套節目存在鏈路環節的隱患可能更大。基于此，山東省網對這條傳輸鏈路采取了嚴盯死防的策略，一旦節目有異常，即時切換墊片，為實現長治久安，省網公司必須加快節目審核平臺的建設。

此外，山東省網配備了各分公司節目分發專用的高端交換機（CIS?CO4948），其閑置端口全部關閉，同時不可劃出VLAN接入公網挪作其他用途。閑置端口啟用需要上報備案。

6.強化BOSS系統的安全管理

首先，省市縣各級在用的BOSS服務器一概不得與外網相連，營業廳客戶端通過專線與BOSS服務器鏈接。各級設施均不可插接外來U盤、手機等數字終端。

其次，建立健全BOSS使用規范，BOSS系統的操作員賬號專人專用。在分公司BOSS系統中，屏顯和郵件發送有三項功能，分別為“訂制屏顯和郵件”、“審核屏顯和郵件”、“維護催費信息模板”，山東省網要求將以上三項功能分開授權，尤其前兩項：信息訂制和審核兩個環節的安排由兩人完成，以保證技審和政審到位。

7.建設安全可靠的全省IP骨干網絡平臺

首先，將原有互聯網業務從IP播出平臺中分離開來，以確保播出平臺專網專用；細化防火墻策略，保證核心平臺的安全，比如通過IP層的包過濾和訪問控制列表，針對業務內容與其他訪問限制隔離。

其次，制訂緊急情況處理預案，做好意外攻擊或者突發故障導致系統崩潰的應對，從硬件冗余和人員響應等多方面做好準備。

8.跟蹤探索新的技防措施

著手開發機頂盒內存強制清空的功能軟件，搭建響應系統，以實現數字電視在出現被插入非法畫面的情況時，可迅速通過指令由機頂盒實現快速清除。

研究制訂如何防范內網用戶利用雙向通道侵入業務系統的方案。

加強網上營業廳的安全防范。

研發BOSS系統敏感字眼過濾乃至摒棄敏感字眼字條的功能。

湖南：加強信息安全管理筑牢安全播出防線

溫州事件給廣電行業帶來的教訓，第一是信息安全問題和安全播出工作必須常抓不懈。第二是必須嚴格執行信息安全管理制度。第三是要不斷提高安全播出保障能力。第四是要全面排查、分析安全隱患。第五是積極采取防護措施。

溫州事件之后，湖南有線主要開展了以下四個方面的工作，一是做了安全隱患全面的分析，二是做了安全風險等級分析，三是梳理了一下安全防護技術措施，四是制訂了信息安全管理制度。

1.安全隱患分析。對于有線網絡公司來說，可能直接或間接受到攻擊的系統和設備，一個是數字電視節目平臺的衛星信源和視頻核心交換機；第二個是EPG/CA系統、廣告業務系統、數據廣播系統；第三個是交互電視系統及各業務PORTAL系統；第四個是BOSS系統及其應用終端；第五個是新業務系統，如電視營業廳、OTT、Portal管理系統、新媒體廣告系統等；第六個是媒資生產與管理系統、硬盤播出系統、網站制作與網站Web服務器等；第七個是IP數據網，包括辦公網、寬帶網、雙向網等子網。

2.風險等級分析。按影響范圍可分為：省級安全事件，即影響范圍同時波及全省大部分用戶，涉及范圍大、影響惡劣；市級安全事件，影響范圍同時波及全市范圍內的大部分用戶，影響比較大；縣級安全事件，影響波及全縣范圍內的大部分用戶。

按影響性質可分為：特大安全事件、重大安全事件、一般安全事件，其劃分主要是根據單個業務、單個節目、單個界面的使用率、收視率、點擊率和事故處理的時長來區分，但如果業務使用率高，節目收視率高，界面點擊率高，處理時間過長，就會導致安全事件升級。

3.安全防護技術措施。首先，應嚴防死守核心關鍵系統和設備，如核心交換機、BOSS系統等，主要措施是斷開所有非必要的連接端口、部署防火墻和隔離設備等。第二，是建設部署防護系統和設備。主要工作包括：搭建業務監控系統，監測各地的碼流，一旦發現攻擊，緊急采取措施；部署廣告應墊播系統，替換非法信息；部署安全信息發布系統，及時通知并預警；部署堡壘機系統，加強各業務系統的安全防護，管理記錄所有操作行為。第三，是加強技術管理和安全管理，需要加強的方面主要有：各系統身份管理、權限管理以及密碼管理；所有服務器及其終端安全防病毒、木馬軟件；數據加密、備份、保存、維護工作；遠程維護VPN連接；機房門禁和系統終端現場管理和保衛；內容發布和播放的審核流程。

4.制訂信息安全管理制度。建立健全信息安全管理各項制度和安全操作規范。首先，應筑牢安全播出防線的重要舉措。在具體實施方面，各單位、各部門首要是指定一位信息安全員，專門負責信息安全工作和制度建設；其次，長效落實信息安全管理制度，定期組織應急演練和自查自糾。第三，應長期堅持安全意識宣傳教育和培訓工作，培養員工安全行為和習慣，還有是建立信息安全獎懲制度和安全播出責任制，設立安全播出獎。

酷開榮耀A55智慧屏幕發布

10月13日，酷開榮耀暨暢玩品牌發布會在京舉行，華為榮耀事業部總裁劉江峰、酷開網絡董事長王志國出席該發布會并進行了“榮耀系列產品”和“酷開榮耀A55智慧屏幕”的解說，同時京東、天貓等合作商城相關負責人也出席了該發布會，當然該發布會更離不開眾多的“花粉”。

華為榮耀掌門人劉江峰先生提到，在榮耀成立10個月之際，希望能夠打造一個生態圈去經營用戶。此次發布會產品包括華為榮耀6、榮耀至尊版、榮耀手環，當然也開啟了榮耀的大屏計劃，就是其與酷開合作推出的“酷開榮耀A55智慧屏幕”。

酷開網絡董事長王志國先生介紹，酷開要做最優秀的產品，做到別人遙不可及。同時也介紹了A55的頂級硬件配置：LGD頂級55 in 4K屏幕，4核CPU、2核VPU、8核GPU，60GHz WiHD無線高清模組，可支持Mac OS X，iOS，Win?dows和Android系統手機遙控。

市場上已有眾多的使用手機遙控的智能電視，而A55的亮點在于其實現了只需簡單的看內容，也就是當用戶在玩手機時，可隨時使用手機將電視開機，而開機時間僅需1 s，看完后就會自動關機。A55也配置了無線耳機，當用戶希望在晚上看電視而不想打擾家人時，只需在手機上插上耳機，電視就可靜音。A55的出現讓眾多用戶可以更好地用手機“玩”電視，而這樣一款具有頂級硬件配置的電視銷售價格為6 999元，于10月15日在酷開官網、華為商城首發預定，于11月11日正式發售。

【本文獻信息】《電視技術》編輯部.廣電網絡信息安全現狀及未來發展[J].電視技術，2014，38（20）.