淺析新聞后期制作網絡系統安全管理

楊綱

?

淺析新聞后期制作網絡系統安全管理

楊綱

中央電視臺，北京 100062

在數字化、網絡化時代，電視技術系統的復雜性顯著提高。各業務板塊間的聯系及共享更加緊密，節目制播的工作模式和流程也發生改變。以某新聞后期制作網絡系統為例，從網絡結構和網絡管理的角度闡述了新聞后期制作網絡的安全管理。

新聞后期制作；網絡結構；網絡安全

1 電視臺網絡安全層次

電視臺網絡安全層次包括基礎環境層，網絡交換層，系統平臺層，媒體資源層，廣電業務層，各層次的安全技術，分別于不同層面的安全風險和技術對策相對應，每一層次層安全是支撐更高層次應用的基礎，而上層安全對策的實施也會相應的對下層的安全技術提出要求和制約。

基礎環境層主要考慮核心設備機房在環境安全風險方面的技術對策，包括供配電、接地、機房溫濕度控制、防靜電、消防、防雷擊、防電磁泄漏和干擾等各個環節的安全。這方面的措施主要有：1）按照《廣播電視中心技術用房室內環境要求》、《廣播電影電視系統重點單位重要部位的風險等級和安全防護級別》等相關國標和行標的規定進行設計和施工，保證環節溫濕度，防靜電，防雷，接地等條件到位，確保計算機設備和電視專業設備的穩定，可靠，安全運行。2）供電系統必須將動力，照明與工藝用電線路分開，并配置相應結構的主備電源和UPS，合理配置功率負載，同時制定使用規范。3）結合人力巡查與動力和環境監控系統隨時查看設備環境狀態，不正常時及時處理。

網絡交換層主要考慮基礎網絡本身的安全性、可靠性和服務質量，重點是避免各業務板塊之間未經授權的訪問，已經病毒、木馬的攻擊和擴散，保證關鍵業務的安全。措施主要包括：1）合理劃定安全等級[1]，構建安全的網絡架構，對單純的后期網來說，一般不與互聯網進行直接物理連接，平時可采取移動介質進行必要的數據傳輸，當需要與播出，辦公等平臺連接時可以采取高安全區和網閘等技術手段，同時進行流程監控、審計以保證網絡邊界的安全。2）建立域環境，并正確配置域安全策略，嚴格控制用戶的權限，對網絡中計算機的數據、用戶、系統、外部設備等各種資源實施有效管理，對數據交換比較頻繁的文稿工作站等安裝防病毒軟件并定期升級，增強終端自身的安全防護能力。3）核心設備采用冷熱備份，基礎網絡采用鏈路備份以及負載均衡技術，確保鏈路可靠性和足夠的傳輸寬帶。

系統平臺層主要考慮系統總體架構、設備鏈路冗余及平臺軟件安全，避免單點故障造成網絡癱瘓。措施主要包括：1）在不降低兼容性的前提下對核心環節采用特殊、異構的操作系統和數據庫平臺，提高系統抗風險能力。2）硬件設備選用具有大量應用案例、可靠性指標高的產品，并配備冗余、可熱插拔的存儲控制器、網卡、硬盤、電源、風扇等部件，提高設備可靠性，保證不因為部件或電源單點故障而停機，對關鍵設備還配有多臺冷熱設備。3）盡量選用支持本地和遠程的管理、監控，并具備自動報警、日志及自動診斷功能的設備。4）由于設備壽命周期的問題，需要建立部分備品及備份庫，并對設備生產和集成廠家的售后服務能力有一定要求。5）對磁盤陣列的TIER、LUN以及光交換機的FabricOS、Zoing等進行合理配置。

媒體資源層主要考慮元數據、媒體數據的安全，包括保密性、完整性、可用性等方面。措施包括：1）通過RAID陣列技術，增強存儲設備的可靠性，通過備份-恢復機制，同步-持續性數據保護機制等技術，提高存儲架構的可靠性。2）對設備使用用戶進行賬戶配置，只允許有訪問權的用戶訪問相應的數據。3）通過數字簽名及MD5或SHA效驗的方式來確保數據在傳輸過程中的安全性、完整性和不可篡改性。

廣電業務層主要考慮應用軟件、用戶權限、流程管理、應急預案等方面的安全措施。主要包括：1）通過統一身份認證等安全技術，以數據庫為支撐，定制合理的用戶權限策略，分級完成對用戶的管理。2）業務軟件進行嚴格測試，并制定合理的補丁跟進策略。3）分離設備管控和業務模塊，減少業務數據庫壓力并提高安全級別。4）制定合理的應急預案，保證在任何條件下的安全播出。

本系統是一個基于NAs網絡附加存儲，采用高速千兆以太網，支持高低質量雙碼流采編、配音以及審片的全數字化新聞非線性編輯網絡。中心存儲平臺采用成熟的NAS技術，支持工作站和服務器對存儲的要求。數據庫服務器采用0racIe數據庫平臺，通過數據中間件和業務中間件實現三層軟件架構，確保系統的安全性、穩定性和良好的可擴展特性。系統采用以太網單網結構，以cisco高性能干兆交換機為核心交換設備，提供24個1000Mbps以太網端口。NAs服務器、域控和數據庫服務器、訪問高碼率素材的2個上下載工作站、4個精編工作站和1個審片工作站直接連接到千兆交換機上，訪問低碼率素材的10個粗編工作站和1個配音工作站通過百兆交換機連接到千兆交換機上，整個系統的網絡結構簡潔有序。

2 系統的安全管理

作為一個計算機網絡和電視節目制作相結合的系統，系統的安全性和靈活性是非常重要的，但是計算機網絡的脆弱性無疑是電視制作系統高安全性的很大障礙，而為提高系統的安全性所采取的措施又限制了系統的高靈活性。因此如何保證系統的安全性。靈活性是系統構建和維護人員所面臨的問題。為了達到系統安全性和靈活性的統一，我們在系統的設計、招標前期就與提供商進行技術交流，對系統的設計進行了充分的考慮，更在建設、實施階段和投入使用后對系統采取了一系列措施，以提高系統的安全性、可靠性和靈活性。

（1）將NAs服務器的系統和數據分別存儲，并提供冗余措施

作為系統核心的視音頻素材存儲體——NAs服務器，在內部配置2塊專用系統硬盤，做磁盤鏡像確保NAs服務器操作系統的安全。在外部配置scsl硬盤箱，提供2T的存儲容量，其中包含13塊數據盤和1塊校驗盤，做RAID5容錯，確保視音頻數據的安全。NAs服務器通過2條1000Mbps鏈路連接到千兆交換機上，一方面能夠提供足夠的存儲訪問帶寬，另一方面也可以達到鏈路冗余的目的。目前高碼率素材采用MPEG2l幀30Mbps，低碼率素材采用1Mbps MPEG4格式，高低碼率素材在共享存儲體上都有各自的專用卷。NAs的存儲空間功能劃分明確，各種數據在系統內有明確的流通路線，可以有效地避免數據混亂帶來的系統不穩定。

（2）提供主備服務器，提高網絡管理核心的安全性

系統采用了兩臺服務器，一主一備作為域控和數據庫服務器，對數據庫服務器的SCSI數據盤做RAID5容錯。在主數據庫服務器和備數據庫服務器之間，利用Windows2000 Advanced Server的群集服務，配置兩個網絡端口public和Private，其中public口作為服務器和網絡通訊的公用端口，private口作為主備服務器之間內部群集通訊的端口。通過Legato熱備軟件將主數據庫服務器和備數據庫服務器public口的端口地址虛擬成一個IP地址，作為數據庫服務的訪問端口，通過軟件檢測實現雙機熱備機和數據同步。當主數據庫服務器不能提供管理服務時，可以自動或在設備軟件的控制臺中手動將活動服務器切換到備服務器上來接管網絡，反之亦然。同時我們將Oracle數據庫的工作方式設定為歸檔日志模式，每天定時進行自動歸檔，這樣可以根據歸檔日志來恢復數據庫，歸檔日志都存放在一個特定的文件夾中，根據需要定期備份、刪除。這些措施從物理層面和軟件應用層面上確保了數據庫系統，網絡管理系統的正常運行和故障后的快速恢復。

（3）工作站對外物理隔離，強化工作站的管理

各工作站都屏蔽了所有的外部存儲媒介借口，如光驅、軟驅、USB接口等，避免任意拷貝文件造成的病毒傳播。同時在數據庫服務器上安裝域控制器，利用Active Directory建立域控管理，所有的服務器和工作站都加入到域，并且在域的屬性中，新建一個域的組策略，在安全屬性中對所有的域用戶都執行該組策略，策略的制定主要包括禁用注冊表和控制面板，禁用Windows資源管理器，任務欄和開始菜單中的某些項目等等。同時通過登錄密碼限制非編用戶登錄到工作站的本地系統，進一步保護網絡系統的穩定運行。

（4）提供干凈的應用軟件，包裝元素和傳輸途徑，提高系統的靈活性

作為電視節目的制作平臺，應該充分滿足節目制作對各種應用軟件，包裝元素的需要。為此我們一方面購買了正版的圖像、音視頻編輯軟件和包裝元素庫，拷貝到NAS服務器上，供系統的所有用戶使用，同時專門設置了一臺安裝防病毒軟件的資料上載機，通過它存儲、上傳一些視音頻文件、圖文素材、應用軟件等公用資料。同時為了便于編導上傳一些在辦公電腦上處理和獲取的文檔、圖片等，我們在辦公網中設置一臺服務器，用于上傳一些小文件，如文本、圖片和動畫到NAs服務器，從而將辦公網與該系統進行了連接。

為確保制作網的數據安全，防止資料上載機和辦公網給制作網帶來的病毒威脅和網絡攻擊，我們通過防火墻，把制作網和辦公網、資料上載機隔離開。先在防火墻上設置3個端口的IP地址，使之分別與制作網域控服務器、資料上載機、辦公網服務器在同一個子網，把所有制作網非編站點的網關都指向防火墻中與制作網相連的端口地址，使這些設備能夠相互通訊。再利用防火墻的訪問控制功能制定規則，使非編站點能訪問資料上載機和辦公網服務器，進行資料的上傳和下載，而無法從資料上載機和辦公網上訪問非編站點。這樣不但方便了節目的制作，最大程度滿足了資料傳輸的需要，而且成功的阻止了外部媒介對后期制作網的安全威脅。

（5）結合新聞評論部節目制作習慣和流程進行系統配置

索貝的網絡管理系統功能主要包括用戶組管理、媒體資產管理、權限管理、文稿基礎管理、工作站管理和存儲管理。

在權限管理方面，我們根據新聞評論部的工作習慣和角色分工對人員的權限進行了詳細的規劃。根據不同人員的需要，對素材管理、節目管理、文稿管理等權限進行詳細設置。在存儲空間管理方面，按一般的分配原則，根據部門、欄目、人員進行多級分配，某部門下屬的欄目或用戶使用的存儲空間只要不超過該部門的最大容量即可。但是由于參與節目制作的人員較多，而空間只有2TB，如果采用傳統的按人頭分配的方式，空間會比較零散，而且每個人的可用空間有限，很可能出現部分人員在制作節目時空間不足，而同時其他人的空間又比較富余的情況。這樣既不能充分的利用空間，又會造成管理上的困難，顯然這種方式是不實用的。

我們發現新聞評論部的工作模式比較特殊，先由編導進行節目的粗編，再p4個專業的包裝人員進行節目的串編，同時我們也注意到在索貝的新聞制作系統中，所有上載的素材通過系統設置可以都是共享的。根據這兩個特點，我們設置了2個公用的采集用戶、4個包裝用戶、其他編輯用戶共三類用戶。從用戶功能的角度，對其存儲空間和用戶權限進行了劃分：采集用戶共分配1T的存儲空間，存儲空間最大，主要具有采集素材權限；包裝用戶分配比較大的存儲空間，具有所有素材管理和節目編輯合成權限；而其他編輯用戶基本不分配存儲空間，只有簡單的節目編輯和文稿管理權限，限制了其素材生成、節目合成以及素材刪除的權限。在素材上載時，一律用公用的采集賬號或包裝賬號在上下載站點或精編站點上進行素材的上載，并根據節目名稱對素材進行命名以便于區分不同節目的素材，素材上載后成為公用素材，編輯人員用各自的賬號登陸系統，根據素材名稱和時間檢索、調用所需素材進行簡單編輯，剪輯的結果交給包裝人員進行最后的包裝（簡單編輯不需要生成，也就不需要額外的存儲空間，而節目包裝往往需要生成和臨時上載素材，需要額外的存儲空間），節目下載后由包裝人員負責素材的保留和刪除。這樣就將空間和權限的分配集中在采集用戶和包裝用戶上，合理有效地利用了存儲空間，同時簡化了空間的管理。

3 結束語

系統運行至今，實際應用證明通過合理的系統設計和采取有效的措施，該后期制作網絡系統提供了相對安全穩定的節目制作環境，在系統可靠性、數據存儲安全、系統管理等方面比較成功，為新聞評論部各檔新聞類節目的制作提供了有力的技術保障。

[1]李天罡.技術創新使網絡監控管理更加智能——吉林電視臺全臺節目生產網網絡監控系統介紹[J].現代電視技術，2012（11）：98-100.

TN948.13

A

1009-6434（2016）01-0042-02