青海廣播電視臺信息安全保障體系規劃建設

陳 蕙

(青海廣播電視臺，青海 西寧810008)

三網融合引發了整個電視廣播產業鏈的變革，隨著電視廣播數字化、網絡化的廣泛應用，電視廣播信息安全的重要性越發突出，急需搭建信息安全保障體系。青海廣播電視臺依據廣電總局已發布的相關技術標準、技術規范、實施指南、實施細則等要求，規劃設計了符合標準要求的青海廣播電視臺信息安全等級保護建設方案。

1 信息安全保障體系設計

1.1 設計原則

從青海廣播電視臺實際業務應用的安全需求出發，信息安全深度防御體系遵循以下原則設計:

1)縱深防御體系結合信息系統情況，以GD/J 038—2011基本要求為依據，建設符合安全需要的安全計算環境、安全通信網絡和安全區域邊界，對信息系統的深度防御是整體方案設計的核心。

2)結構化安全是結構化保護級信息系統的核心內容。安全保護對結構化安全給出了一些原則性的要求。結構化安全包括網絡結構安全和結構化操作系統。

3)集中統一管理是建設信息安全等級保護深度防御系統的最基本要求，是系統橫向集成、縱向貫通，信息共享的前提。

4)鑒于廣電行業業務特點，在信息安全防御體系建設中，需考慮對內部的防護，突出適度防護的原則。在考慮可用性和建設成本的前提下，對現有系統進行改造升級，建立滿足高安全等級要求的信息系統。

5)把技術措施和管理措施結合起來，在一定情況下，依靠管理措施來彌補技術措施的缺陷，保障安全技術措施的正確實施，有效保障業務系統的整體安全性。

6)方案設計建立在安全評估基礎上，設計措施和策略要能夠滿足等級保護相關標準，能根據業務信息系統特點，量身定制符合自身需求的整體安全解決方案。

1.2 信息系統定級

根據《廣播電視相關信息系統安全等級保護定級指南》(GD/J 037—2011)，等級保護定級見表1。

表1 省級電視中心播出相關信息系統安全保護等級

2 信息安全體系總體規劃

圖1 青海廣播電視臺信息安全保障體系規劃拓撲圖

青海廣播電視臺信息安全保障體系總體框架包括信息安全管理體系、信息安全技術體系和信息安全運維體系三部分。整體安全規劃詳見圖1。

3 信息安全體系設計

根據《廣播電視相關信息系統安全等級保護基本要求》(GD/J 038—2011)技術要求，主要對綜合制作域、制播混合域和播出域3 部分進行了設計［1］。

1)信息安全域劃分

根據青海臺的業務系統情況劃分以下安全域:高安全區指的是辦公網、網絡臺、外部業務系統與生產網之間進行安全數據交換的區域，綜合制作域指為實現臺里生產業務的區域，包括媒體資產管理系統、統一檢索平臺、主干平臺等業務域，制播混合域指包含新聞制播的系統域，包括新聞/節目制作系統、備播系統、總編室系統等，播出域指實現全臺節目統一播出的系統域。

2)信息安全域的設計

(1)高安全區安全設計

高安全區作為生產網邊界，承擔著辦公網和生產網數據交換任務，主要是對來自辦公網和其他業務系統的數據進行安全防護，在高安全區中部署UTM 安全網關實現惡意代碼防護和入侵防御，部署網閘實現數據擺渡，部署防火墻實現訪問控制。高安全區主要業務情景如下:

①辦公網、網絡電視臺訪問統一檢索平臺

在高安全區部署反向代理服務器，辦公網、網絡電視臺通過反向代理服務器訪問B/S 架構的統一檢索平臺進行節目和素材檢索，有效地保護統一檢索平臺Web 服務器。

②生產網向辦公網、網絡電視臺推送節目和素材

生產網通過FTP 服務器向辦公網、網絡電視臺推送節目和素材，媒體文件在高安全區不落地。

③互聯網成品節目回傳

互聯網成品節目通過FTP 服務器回傳至新聞制作系統，媒體文件通過高安全區進入新聞制作系統的擺渡和轉碼系統。也可以通過FTP 服務器和磁盤陣列，實現媒體文件在高安全區落地并形成防病毒異構查殺，具體業務可以根據未來實際情況決定。

(2)綜合制作域安全設計

①邊界安全

在主干平臺部署2 臺防火墻，對進出系統的數據包進行細粒度的訪問控制，防火墻通過白名單機制實現系統內外交互資源的控制，拒絕一切未被明確允許的訪問請求，以保證網絡的安全性。訪問控制粒度限制到源和目的的IP 地址、端口及協議［2］。

②主機安全

通過安全管理中心部署的網絡版防病毒系統實現綜合制作域和制播混合域惡意代碼防范。通過安全管理中心部署的終端安全管理系統實現綜合制作域和制播混合域的終端安全管理。可以對內部終端進行集中保護、監控、審計和管理，可自動向終端分發系統補丁，防止重要信息通過外設和端口泄漏、計算機非法外聯，防范非法設備接入內網，有效地管理終端資產等。

③安全審計

在安全管理中心部署2 臺日志審計系統、2 臺數據庫審計系統和2 臺運維審計系統對綜合制作域和制播混合域進行安全審計。

日志審計系統將綜合制作域和制播混合域中部署的各類網絡或安全設備、終端和主機操作系統、數據庫以及各種應用系統的日志、事件、告警全部匯集起來，進行日志歸并和分析，使得用戶通過單一的管理控制臺對綜合制作域和制播混合域的日志進行統一監控，并可將分析數據統一發送到全臺安全管理中心，用于全臺安全事件關聯分析。

數據庫審計系統主要用于避免網絡中與數據庫系統相關的管理風險、技術風險以及審計風險。本系統采用了數據庫操作及用戶行為雙重審計方式。根據查詢接口，數據管理者可以查詢、解析、取證、判斷，及時發現風險因素，提供風險控制依據;若發現非正常定義操作，會及時警示用戶查明原因，排除問題。提供豐富的審計查詢條件和細致的統計分析條件，通過多樣化的關聯查詢分析能力，保證數據展現的靈活多樣;同時提供強大的報表模板以及可定制的客戶化報表，滿足客戶不同需求［3］。

運維審計系統實現運行維護人員對網絡設備、主機系統、數據庫等進行操作時的身份認證和權限管理，同時具備安全防范攻擊能力及輸入輸出的審計功能。不僅能夠詳細記錄用戶所操作的指令，而且能夠將記錄全部的輸出信息，能夠對多平臺的多種圖形終端操作做審計，并通過Syslog 方式將安全審計日志發送到安全管理中心進行集中分析與管理。

④入侵檢測

本項目部署2 臺入侵檢測系統，對綜合制作域和制播混合域內部的非法入侵行為進行實時監控。入侵檢測系統的主要功能是在發現有可疑文件傳輸時，會及時發出警報并主動采取措施。部署在生產網內，可以有效地提供對來自于綜合制作域和制播混合域內部攻擊和誤操作的實時保護，在系統受到危害之前響應和報警。

(3)制播混合域安全設計

①邊界安全

在新聞/節目制作系統和總編節目整備系統系統邊界分別部署2 臺UTM 網關，原主干平臺4 臺UTM 網關利舊，對進出系統的數據包進行細粒度的訪問控制，防火墻通過白名單機制實現系統內外交互資源的控制，拒絕一切未被明確允許的訪問請求，以保證網絡的安全性。訪問控制粒度限制到源和目的的IP 地址、端口及協議。同時具備IPS 入侵防御和惡意代碼防護功能［3］。

總編業務管理系統由于系統較小，可直接接入總編節目整備系統的邊界UTM，既達到了安全防護的目的，又降低了成本。

新聞/節目制作系統與總編節目整備系統之間建立緊急鏈路，當主干平臺出現故障的時候，新聞/節目制作系統可以通過緊急鏈路向總編節目整備系統傳送備播節目，在緊急鏈路中部署2 臺防病毒網關，實現緊急備播節目的惡意代碼防范。

②主機安全

通過安全管理中心部署的網絡版防病毒系統實現綜合制作域和制播混合域惡意代碼防范。對內部終端進行集中保護、監控、審計和管理，自動向終端分發系統補丁，防止重要信息通過外設和端口泄漏、計算機非法外聯，防范非法設備接入內網，有效地管理終端資產等。

③安全審計

在安全管理中心部署2 臺日志審計系統、2 臺數據庫審計系統和2 臺運維審計系統對綜合制作域和制播混合域進行安全審計。

日志審計系統進行日志歸并和分析，使得用戶通過單一的管理控制臺對綜合制作域和制播混合域的日志進行統一監控，并可將分析數據統一發送到全臺安全管理中心，用于全臺安全事件關聯分析。

數據庫審計系統提供審計查詢、統計分析條件，通過多樣化的關聯查詢分析能力，保證數據展現的靈活多樣，同時提供報表模板及可定制的客戶化報表。

運維審計系統對多平臺的多種圖形終端操作做審計，通過Syslog 方式將安全審計日志發送到安全管理中心進行集中分析與管理。

④入侵檢測

部署2 臺入侵檢測系統，對綜合制作域和制播混合域內部的非法入侵行為進行實時監控。入侵檢測系統部署在生產網內，可以對來自于綜合制作域和制播混合域內部攻擊和誤操作的實時保護，在系統受到危害之前響應和報警。

(4)播出域安全設計

管理與技術對播出而言其重要性是并重的，為了確保網絡化制播條件下播控域的安全，在積極提高技術系統安全性的情況下，需要切實做好的是安全管理工作［2］。

2007年9月29日，中投公司成立。樓繼偉親任董事長兼黨委書記，首任總經理是高西慶，另外還有包括汪建熙在內的4位副總經理。

①邊界安全

建議送播系統的元數據信息和媒體文件通過防火墻和UTM 網關進行訪問控制和惡意代碼檢測，播出串聯單分發通過網閘進行文件格式過濾和非通用協議的數據擺渡。

②主機安全

通過部署網絡版防病毒系統實現播出域惡意代碼防范。

③強制訪問控制

在播出系統安全風險最大的接口類服務器如遷移服務器等上通過部署基于操作系統的主機核心加固系統，滿足安全標記和強制訪問控制要求。強制訪問控制策略是通過對該組數據執行確定的操作程序實現的。當有訪問要求時，通過調用該程序執行即可確定是否允許進行該次訪問操作。

④入侵檢測

⑤漏洞掃描

仍舊使用臺內原配置的漏洞掃描設備對網絡、操作系統、數據庫、安全設備等進行漏洞檢測。漏洞掃描可以實時測出網絡漏洞及薄弱環節，并出具詳細檢測報告及修補措施和安全建議。

⑥安全審計

通過部署一臺數據庫審計系統和兩臺運維審計系統對播出域進行安全審計。

數據庫審計系統提供豐富的審計查詢條件和細致的統計分析條件，通過多樣化的關聯查詢分析能力，保證數據展現靈活多樣;同時提供報表模板以及可定制的客戶化報表，滿足客戶不同需求。

運維審計系統記錄用戶所操作指令，并記錄全部輸出信息，對多平臺的多種圖形終端操作做審計，通過Syslog 方式將安全審計日志發送到安全管理中心進行集中分析與管理。

⑦安全管理平臺

播出域部署一套安全管理平臺，對播出系統內的安全事件進行集中管理、分析，對網絡、主機、應用的運行狀況進行監控，對安全風險和變化趨勢進行預警。采用分布式部署方式，生產網部署采集引擎，進行前端日志采集和過濾，把標準化后的日志發送至安全管理平臺進行集中的管理和分析，并定期生成播出系統安全日報、周報或年報。

(5)安全管理中心設計

①漏洞掃描

原臺內配置的漏洞掃描設備利舊，可以對綜合制作域、制播混合域和播出域的網絡設備、操作系統、數據庫及安全設備進行漏洞檢測。支持端口識別、多重服務檢測、計劃任務掃描、安全優化掃描、斷點恢復掃描、拒絕服務腳本順序掃描、遞進式掃描等功能。

②數字證書

部署一套數字證書系統，建立雙因素認證系統，并與統一身份認證系統進行接口開發，實現三級系統雙因素認證，通過雙因素認證確保業務系統訪問者的合法性，只有通過雙因素認證的用戶才能訪問業務系統資源。同時系統管理員需要通過雙因素認證之后才能進行安全運維，保障系統運維安全。

③統一身份認證

部署統一身份認證系統，同步在主干平臺建立的全臺用戶信息，并與數字證書系統和身份認證網關進行接口研發和配置，在異構IT 系統實現身份認證、個體登錄(單點)、身份管理、資源管理以及集中審計。該系統可以在現有網絡環境將用戶各種應用整合到個體登錄(單點)平臺上，一次登錄可訪問所有應用系統。

④安全管理平臺

安全管理中心部署一套安全管理平臺，對網絡內的安全事件進行集中管理、分析，對網絡、主機、應用的運行狀況進行監控，對安全風險和變化趨勢進行預警。安全管理平臺采用分布式部署方式，生產網部署采集引擎，進行前端的日志采集和過濾，把標準化后的日志發送至安全管理平臺進行集中的管理和分析，并定期生成安全日報、周報或年報。

⑤安全集成實施服務

對所涉及的各安全系統及設備進行集成，包括安裝、調試、聯調、模擬運行、試運行等，對項目進行規范化的項目管理，保障項目按期、保質完成，提供相關技術和運行管理培訓。

4 總結

青海廣播電視臺安全防護技術體系的規劃設計已經初步完成，現正在細化實施方案。但是，信息系統的安全不僅依賴于安全防護技術體系，安全播出也是關鍵，系統常態化的安全運維，需要通過相應的安全體系運行保障手段，諸如定期進行信息安全等級保護測評、定期進行安全檢查、制定應急響應機制，拿出具體整改措施，從而最大限度地降低和消除安全風險。

［1］宋宜純.構架全臺統一設備監測與故障管理體系［R］.北京:第九屆DDMN 數字媒體網絡技術研討會，2008.

［2］齊月玲.廣播電視安全播出監控系統設計［D］.長春:吉林大學，2006.

［3］李文所，毛紅麗.播出網與全臺網互聯互通時邊界安全問題探討［J］.電視技術，2009，33(7):61－63.