業務安全和云化，深信服助力融合媒體智慧轉型

摘? 要：近年來，媒體融合建設如火如荼，廣播電視和報社針對傳媒環境的變化通過融媒體建設不斷進行業務轉型。在這個過程中，如何保障融媒體上層業務穩定、安全、高效的運行呢？這需要在上層業務設計之初同步考慮底層架構和網絡安全設計。本文中，我們將從云計算架構設計和網絡安全架構設計兩個方面，闡述在融媒體建設過程中，深信服是如何通過洞悉廣電和報社融媒體業務特點，通過不斷的技術和產品創新，助力融合媒體智慧轉型。

關鍵詞：融媒體;云計算;網絡安全

中圖分類號：TN94? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? 文獻標識碼：A

本文著錄格式：張明全.業務安全和云化，深信服助力融合媒體智慧轉型[J].中國傳媒科技，2020，01（01）：14-19.

1.背景介紹

1.1融媒體簡介

“融媒體”是充分利用媒介載體，把廣播、電視、報紙等既有共同點，又存在互補性的不同媒體，在人力、內容、宣傳等方面進行全面整合，實現“資源通融、內容兼融、宣傳互融、利益共融”的新型媒體。[1]工業化時代專業媒體是傳媒的中心，隨著移動互聯網時代的到來，傳統的專業媒體受到了極大的沖擊，人成為了傳媒主體和中心，各種連接越發的復雜，為了應對當前傳媒發展的形勢，傳統專業媒體必須實現業務轉型，利用移動互聯網的浪潮，發展融合媒體業務。

1.2媒體業務安全現狀

通過和大量的廣播電視以及報社用戶的溝通交流，當前媒體業務的網絡安全現狀不容樂觀，主要問題體現在以下四個方面。

1.2.1缺少安全隔離

媒體行業目前外網發布的業務、網站等與內網業務以及辦公網沒有進行有效的安全隔離，一旦外網遭受攻擊，很容易被作為跳板向內網系統進行擴散，影響核心業務。

1.2.2缺乏安全運維

媒體行業信息化運維目前普遍存在人員不足的問題，尤其是針對網絡安全的運維更是嚴重缺乏，但網絡安全又是動態變化的，需要投入很大運維精力才能有效抵御網絡攻擊。

1.2.3缺欠安全意識

媒體行業內部辦公人員缺乏安全意識，隨意的在辦公終端上進行缺乏安全性的操作，如隨意在辦公電腦上使用U盤，WIFI共享插件。

1.2.4缺乏抵御新型網絡攻擊的能力

媒體行業目前普遍的安全防御手段不足以抵抗新型網絡攻擊，特別是今年剛發布的等保2.0標準，相比于等保1.0標準，特別強調對于新型威脅的檢測和防御能力。

1.3媒體業務云化趨勢

隨著政策導向的明確和輿論引導的復雜化，融媒體業務呈現出多種形態的延伸，延伸朝著多終端化、全天化、快速迭代發展，這些變化勢必對整體IT帶來了很多新的挑戰，主要挑戰體現在以下四個方面。

1.3.1缺少統一規劃

IT架構缺什么補什么，沒有頂層設計，無法平滑演進IT架構，5G、AI、大數據、物聯網、云計算落地割裂。

1.3.2媒體業務變化快

融媒體業務變化快、潮汐性大，保證業務快速迭代、穩定運行沒有太多參考指南。另外融媒體業務場景通常伴隨短視頻業務，視頻業務需要更好的存儲、發布和使用。

1.3.3移動化的挑戰

多終端化中移動業務是融媒體的重要組成，新形勢下要求業務快速響應隨時隨地辦公，比如老的業務不適合短時間內做APP版怎么跨平臺，老業務老操作系統才能適配，在外怎么快速安全高效的獲取想要的資源都是我們認為目前遇到的相應挑戰。

通過分析以上挑戰可以看出融媒體業務的特點是融為一體，移動優先，大數據推動，這意味著融媒體業務會是多種特點業務的合集，而每個業務特點對于底層承載資源的需求是不同，再使用傳統架構已經無法適應這種狀況，而云計算的特點是資源按需分配，動態遷移的，恰好是符合當前融媒體建設的需求，因此媒體業務的云化勢必成為趨勢。

1.4融媒體建設政策導向

在融媒體建設中，相關行業監管單位也著重強調了業務云化和安全的要求。2019年年初由廣電總局發布的《縣級融媒體中心建設規范》和《縣級融媒體中心省級平臺規范要求》中明確提及，省級融媒體平臺的安全防護能力宜不低于GB/T22239中第三級的要求，[2]縣級融媒體平臺的網絡安全保護等級安全防護能力宜不低于GB/T22239中第二級的要求[3]，同時融媒體平臺的安全建設應符合 GD/J 038-2011 的要求。在云計算方面，建設規范要求省級融媒體技術平臺采用開放的云架構，具有松耦合、資源池化、高可擴展等特性，具備滿足業務發展快速迭代升級的能力，可采用微服務架構方式實現[2]。縣級融媒體中心應充分依托云計算、大數據等技術，適應移動互聯網，特別是5G的發展。[3]

2.業務安全建設

2.1建設理念

結合等級保護2.0相關標準和要求以及國內外最新的安全防護體系模型，從保障融媒體業務安全高效運行為根本出發點，整體思路圍繞“持續保護，不止合規”的中心思想展開建設。隨著等級保護對象擴展到云計算、移動互聯網、物聯網、工業控制系統與大數據等，如今的網絡環境復雜度已遠超過去。同時，有效的風險管理一定是建立在一定的模型之上的。[4]為適應融媒體業務特點下新的安全形勢，安全建設在滿足等保2.0要求的前提下，建議引入新的智安全能力模型“APDRO”，其中集防御（P）、檢測（D）、響應（R）于一體的閉環安全已經深入人心，但是僅有PDR還不夠，安全能力模型需要適應新的安全形勢的，因此才有了對PDR的改進模型，A代表智能，O代表運營，在PDR模型上疊加智能和運營能力。APDRO安全架構的簡單邏輯就是，首先，要去打造集防御、檢測和響應于一體的閉環安全能力，滿足等保2.0的基本要求，然后，面對自動化水平不斷提高的威脅，利用人工智能技術來提升PDR的自動化程度，最后由運營來讓PDR變得更有效，讓PDR運轉的更好。通過以APDRO安全能力模型支撐，為融媒體的業務運行構建以技術、管理和運營三大安全體系為目標的可運營的智能化安全體系，讓融媒體業務具備了安全可視、持續檢測、協同防御的能力。[5]

2.2建設思路

依據等級保護政策、標準、指南等文件要求以及融媒體業務的實際安全需求，對保護對象進行區域劃分和定級，對不同的保護對象從物理環境防護、通信網絡防護、區域邊界防護、計算環境防護等各方面進行不同級別的安全防護設計。同時統一的安全管理中心保障了防護的有效協同及一體化管理，保障了安全技術措施有效運行和落地。以等級保護安全框架為依據和參考，在滿足國家法律法規和標準體系的前提下通過“一個中心、三重防護”的安全設計，形成網絡安全綜合技術防護體系。[5]突出技術思維和立體防范，注重全方位主動防御、動態防御、整體防控和精準防護。

2.3建設方案

基于以上建設理念和建設思路，融媒體業務安全最終落地的建設方案如下圖。

2.3.1方案概述

2.3.1.1分級分域設計

首先基于不同功能不同重要程度，將網絡進行分級分域，對不同區域實行分級保護。一般來說融媒體平臺可以劃分為外場接入區、公有云/專屬云區、互聯網接入區、內網制作區、辦公網、融媒體數據中心區、安全管理區。

2.3.1.2通信網絡安全

融媒體業務的通信網絡通過安全設計確保網絡架構的冗余性和通信傳輸的安全性。例如在互聯網出口區，內部web業務的對外發布和外部的內網接入都需要通過該區域，為了確保該區域的高可用性和數據傳輸的安全性，通過雙機部署鏈路負載和上網行為管理確保網絡高峰期的鏈路高可用性，部署防火墻和SSLVPN確保對外發布業務安全和外部內網接入安全。通過這樣的互聯網出口部署架構，任何出口設備出現故障（接口故障或宕機），都能保證秒級的切換，保證業務不中斷。

2.3.1.3區域邊界安全

對于已經完成分級分域的區域，不同區域邊界必須設置應對網絡層和應用層攻擊的防護手段，確保各區域之間的數據交互必須通過安全威脅的過濾，對于不同安全級別的區域嚴格做好網絡層的訪問控制，建議使用具有2-7層防護的下一代防火墻進行區域邊界的安全隔離。此外，對于未知威脅和新型攻擊，在網絡中關鍵節點部署潛伏威脅探針，通過基于大數據和人工智能技術的分析平臺進行威脅的持續監測。

2.3.1.4計算環境安全

隨著業務云化成為趨勢，安全邊界也逐漸下移，計算環境的安全防護顯得越發的重要。但計算環境的安全絕不能是孤立的防護，終端的安全防護需要和網絡層形成有效聯動，才能提升防護效率和應急響應周期。對于終端安全可以部署EDR（終端安全檢測響應）系統，EDR的優勢在于可以一體化的完成終端安全和桌面管控的集中管理，同時可以實現和網絡側防護體系的聯動處置。

2.3.1.5管理中心設計

等保2.0相較于等保1.0，著重強調了安全的集中管控和集中審計，同時集中管控的安全設計也有利于安全的統一運維。對于安全的集中管控，建議使用態勢感知作為全網的安全大腦，實現網絡和終端安全的統一分析和呈現，并能實現閉環處置;對于集中審計，通過軟件定義安全組件的方式，構建基于超融合架構的云安全一體化平臺。

2.3.1.6安全運營設計

完整的信息安全保障體系應該是安全技術和安全運營實施的結合，才能真正達到信息安全保障目標。通過以上網端的安全設計，在技術層面已完成完整的體系化安全建設，構建了集防御、檢測、響應于一體的閉環安全能力體系。然而防御、檢測、響應的閉環安全能力都是通過產品來承載的，如果這些產品無法被合理的使用和運營起來就無法形成真正有效的安全風險管理，因此，安全運營設計是風險管理的有效落地的重要保障。當前安全服務趨勢正在由傳統人工方式的安全服務轉向人機結合的業務安全托管服務轉變。通過業務安全托管服務可確保安全建設效果落地，且能確保融媒體業務可以獲得7×24小時的安全服務。

2.3.2方案亮點

2.3.2.1安全運維管理一體化平臺——極簡交付，滿足合規

2.3.2.1.1一體化交付，快速合規

相對傳統硬件設備堆疊的方式，安全運維管理一體化平臺可以實現硬件設備的快速交付和部署，各類安全功能組件按需調用，實現了等級保護的快速合規。

2.3.2.1.2安全服務化交付，管理極簡

通過安全運維管理一體化平臺構建的一站式等級保護解決方案可以實現各類安全組件的統一管理和靈活編排，大大減少了安全硬件的運維工作，實現安全的極簡管理。

2.3.2.1.3安全功能資源化，彈性擴展

通過安全運維管理一體化平臺滿足等保建設要求的同時，也可根據后續業務的安全需求，按需定義調度一體機上的安全組件和服務，實現安全功能的彈性擴展。

2.3.2.2安全態勢感知平臺——構建內網安全大腦

通過關鍵節點上部署的潛伏威脅探針采集的流量，以全流量分析為核心，結合威脅情報、行為分析建模、UEBA、失陷主機檢測、圖關聯分析、機器學習、大數據關聯分析、可視化平臺等技術，對全網的流量實現業務可視化，威脅可視化，攻擊與可疑流量可視化，定位異常與違規行為，發現潛伏威脅，解決安全黑洞與安全洼地的問題。

2.3.2.3終端安全管理——殺毒、準入與桌管一體化解決方案

通過圍繞終端資產安全生命周期，通過預防、防御、檢測、響應賦予終端更為細致的隔離策略、更為精準的查殺能力、更為持續的檢測能力、更為快速的處置能力。在應對高級威脅的同時，通過云網端聯動協同、威脅情報共享、多層級響應機制，幫助用戶快速處置終端安全問題，構建輕量級、智能化、響應快的下一代終端安全系統。

面對媒體行業普遍面臨的終端安全運維問題，該方案在終端僅安裝一個客戶端即可完成殺毒、準入與桌管功能，極大的減輕廣電終端安全的運維壓力。

3.業務云化設計

融媒體業務的建設，甚至是往后整個媒體行業的業務變革，除了上層業務的變化外，重構IT基礎架構也是必經之路，而云計算技術因其高可用性和易擴展性，必然成為媒體業務承載的最佳方式。

如上圖所呈現的，重構IT基礎架構，對于技術本身來講存在很強的技術隱蔽性，對于終端用戶或者業務使用同事只能看到冰山的上面，實際IT底層有太多需要考慮的部分。總的來說，首先需要按照標準的層級進行劃分 IAAS、PAAS、SAAS層，同時考慮未來構建中臺、微服務等新架構，為了便于后期進行業務擴展不同層級之間在建設之初需要預留標準API接口，那么重構IT基礎架構采用什么架構？

通過多年的云計算落地實踐，對于融媒體業務建設建議采用超融合架構進行搭建，用標準的x86服務器+標準的二層交換機配合超融合軟件對上提供計算、存儲、網絡、安全、桌面資源，在這些資源上可以擴展延伸中臺、大數據、PAAS等服務，同時采用超融合架構可以靈活的按業務數據和模塊擴展。

3.1方案設計

3.2資源池搭建框架

3.3計算虛擬化設計

對于融媒體平臺中協同生產服務器、文件服務、人力資源、Web等對服務器性能要求不高的業務系統，采用x86服務器，通過在x86服務器上部署虛擬化系統，將物理服務器虛擬化為細顆粒的虛擬機，形成服務器池，應用系統部署于虛擬機上。任何虛擬機出現宕機時，可以將業務瞬間切換到服務器池的其他虛擬機上，保障業務的連續性。同時如果有新增業務系統，用戶只需創建新的虛擬機，非常方便高效。物理服務器的利用率得到明顯提高，管理和運營成本明顯降低。

3.3.1主機資源化平臺設計

在服務器資源池上需要再通過安裝虛擬化軟件平臺，使得其計算資源能以一種云主機的方式被不同的應用和不同用戶使用。在x86系列的服務器上，其主要是以云主機的形式存在，如下為虛擬化軟件平臺的構成。

3.3.1.1虛擬化內核平臺

運行在基礎設施層和上層操作系統之間的“元”操作系統，用于協調上層操作系統對底層硬件資源的訪問，減輕軟件對硬件設備以及驅動的依賴性，同時對虛擬化運行環境中的硬件兼容性、高可靠性、高可用性、可擴展性、性能優化等問題進行加固處理。

3.3.1.2虛擬化管理系統

主要實現對數據中心內的計算、網絡和存儲等硬件資源的軟件虛擬化，形成虛擬資源池，對上層應用提供自動化服務。其業務范圍包括：虛擬計算、虛擬網絡、虛擬存儲、高可靠性（HA）、動態資源調度（DRS）、云主機容災與備份、云主機模板管理、集群文件系統、虛擬交換機策略等。

采用虛擬化平臺對多臺服務器虛擬化后，連接到共享存儲，構建成計算資源池，通過網絡按需為用戶提供計算資源服務。同一個資源池內的云主機可在資源池內的物理服務器上動態漂移，實現資源的動態調配。

建成后的虛擬化系統，虛擬機之間安全隔離;虛擬機可以實現物理機的全部功能;兼容主要服務器廠商的主流x86服務器、主流存儲陣列產品、運行在x86服務器上的主流操作系統，并支持主流應用軟件的運行。

3.3.2高可用性設計

高可用性包括兩個方面：

虛擬機之間的隔離：每個虛擬機之間可以做到隔離保護，其中一個虛擬機發生故障不會影響同一個物理機上的其他虛擬機。

物理機發生故障不會影響應用：故障物理機上運行的虛擬機可被自動遷移接管，即虛擬機可以在同一集群內的多臺服務器之間進行遷移，從而實現多臺物理服務器之間的相互熱備，實現當其中一個物理服務器發生故障時，自動將其上面的虛擬機切換到其他的服務器，應用在物理機宕機情況下保證零停機。虛擬機的遷移需要依賴共享存儲，關于共享存儲，后續章節將詳細介紹。

虛擬化平臺 HA功能會監控該集群下所有的主機和物理主機內運行的虛擬主機。當物理主機發生故障，出現宕機時，HA功能組件會立即響應并在集群內另一臺主機上重啟該物理主機內運行的虛擬機。當某一虛擬服務器發生故障時，HA功能也會自動的將該虛擬機重新啟動來恢復中斷的業務。

3.3.3動態資源調度

在虛擬化環境中，如果生產環境的應用整合到硬件資源相對匱乏的物理主機上，虛擬機的資源需求往往會成為瓶頸，全部資源需求很有可能超過主機的可用資源，這樣業務系統的性能也無法保障。

aSV虛擬化管理平臺提供的動態資源調度技術，通過引入一個自動化機制，持續地動態平衡資源能力，將虛擬機遷移到有更多可用資源的主機上，確保每個虛擬機在任何節點都能及時地調用相應的資源。即便大量運行對CPU和內存占用較高的虛擬機（比如數據庫虛擬機），只要開啟了動態資源調度功能，就可實現全自動化的資源分配和負載平衡功能，也可以顯著地降低數據中心的成本與運營費用。

3.4存儲虛擬化設計

aSAN是基于分布式文件系統作為超融合架構中的重要組成部分，為云計算環境而設計，融合了分布式緩存、SSD讀寫緩存加速、多副本機制保障、故障自動重構機制等諸多存儲技術，能夠滿足關鍵業務的存儲需求，保證客戶業務高效穩定可靠的運行。

融媒體平臺運行業務均為超融合生產業務系統，對IO性能、容量擴展和彈性擴拓展提出了新的要求，不同業務系統對平臺需求不盡相同，上表對報社業務系統做了簡單分類，生產業務系統。

3.4.1數據保護和高可用性

在可靠性方面，虛擬化存儲aSAN沒有采用傳統FC存儲的raid方式，而是把每份數據復制成多份副本進行多副本存儲，服務器只需要以常規手段掛載硬盤，虛擬化存儲平臺會把數據、在不同的物理服務器硬盤里創建2個到3個一樣的副本。而且，每一次數據的變化，都會通過網絡，同時在aSAN中的所有副本里進行同步，從而確保數據的一致性。這樣做的好處非常明顯，多副本的同步存儲方式，能夠在最大程度上確保數據的互備效果，從而低成本的實現存儲的高可靠。

由于aSAN存儲虛擬化采用副本方式保存數據，支持2-3份副本。當物理硬盤出現故障的時候，存儲則會被重新指向另外一個健康的副本，整個過程是毫秒級的切換，對用戶來講基本是無感知的。

如果不幸遇上了物理主機或者是網絡故障，整個虛擬化平臺可以完成分鐘級的切換，業務系統或者網絡設備的虛機可以快速切換到另一臺服務器拉起，幾分鐘就能恢復正常運作，而存儲的指向仍然保持了同步，這樣就比傳統方式的業務恢復速度快了很多。

3.4.2自動化運維

企業云提供一鍵式的自動化運維手段，通過平臺提供的一鍵故障檢測、一鍵健康檢測，通過平臺提供故障定位分析，能夠快速分析出問題節點，并能夠指出具體的原因和修復的指導、而平臺提供的一鍵健康檢測，能夠快速分析出平臺潛在的業務風險，包括各種和資源性能或者容量風險，平臺管理和租戶管理員，可以根據系統建議，可以選擇手動或者自動的方式，實現業務的故障排除和資源優化。

結語

媒體融合發展之路會是個不斷改革不斷創新的過程，在這個過程中需要更好的底層架構來承載業務，需要更有效的安全防護。本文中，通過分析當前融媒體業務特性以及政策導向，結合業務安全現狀和業務云化趨勢，給出當前融媒體建設中業務安全建設和業務云化設計的解決方案，該解決方案最終期望交付給融媒體建設用戶一個穩定、簡單、安全和高效的網絡和計算環境，助力融媒建設智慧轉型。

[1]百度百科“融媒體”詞條[EB/OL].https：//baike.baidu.com/item/融媒體/4588919？fr=aladdin.2019（12）：25.

[2]國家廣電總局官網.中宣部、國家廣電總局發布《縣級融媒體中心建設規范》[J].中國廣播，2019，309（3）：15.

[3]國家廣播電視總局官網.國家發布縣級融媒體中心建設標準和規范[J].新聞論壇，2019，199（1）：108.

[4]深信服科技.央視報道等保2.0標準發布，合規建設時不我待[Z/OL].2019-05-29.

[5]深信服科技.數字化熱力升級，2019深信服創新大會有點不一樣！[Z/OL].2019-08-16.

作者簡介：張明全，男，漢族，深信服科技股份有限公司媒體事業部網絡安全運營專家，研究方向：網絡安全運營。