電視播控系統三級等保實施與探討

符武陽，羅國有，朱錦標

（東莞廣播電視臺，廣東 東莞 523071）

0 引言

近年來，隨著信息系統網絡化和數字化的快速發展，國家相關部門陸續頒布了有關條例，如國家市場監督管理總局于2019 年5 月發布《信息安全技術網絡安全等級保護基本要求》（GB/T 22239—2019），國家廣播電視總局于2020 年11 月頒布了《廣播電視網絡安全等級保護定級指南》（GY/T 337—2020），開啟了等保2.0 時代，2021 年7 月制訂了《廣播電視網絡安全等級保護基本要求》（GY/T 352—2021）。這些標準完善了廣播電視行業在信息系統等級保護方面的制度體系。

目前，各地廣播電視臺的電視播控系統有很多是在現行標準體系出臺前（2019 年之前）建成，與等保2.0 標準有一定的距離，需要升級優化[1]。本文通過介紹東莞廣播電視臺電視播控系統在等保方面的升級實施，探討電視播控系統如何達到等保2.0標準。

1 三級等保基本原則要求

電視播控系統作為三級信息系統，可能存在受到網絡攻擊、數據泄露、網絡設備管理等方面的威脅[2]。結合《廣播電視網絡安全等級保護基本要求》規定，需要達到以下要求。

第一，安全通信網絡。網絡設備的業務處理能力滿足業務高峰期需要；主要通信線路、關鍵網絡設備、關鍵安全設備和關鍵計算設備的硬件要有備份冗余，采用密碼技術或特定協議轉換技術保證通信過程中數據的保密性，同時定期審計，并對審計記錄進行分析，以便及時發現異常行為。

第二，安全區域邊界。系統的網絡邊界應能夠對外來訪問進行限制和檢測，包括能夠對非授權設備私自連到內部網絡的行為或者內部用戶非授權連到外部網絡的行為進行檢查和限制；在關鍵網絡節點處檢測、防止或限制從外部發起的網絡攻擊行為[3]。

第三，安全計算環境。應采用口令、密碼技術、生物技術等兩種或兩種以上組合的鑒別技術對用戶進行身份鑒別，且其中一種鑒別技術至少應使用密碼技術來實現。重要數據應做到本地備份并具備恢復功能，完全數據備份至少每周一次，增量備份或差分備份至少每天一次。

第四，安全管理。系統應通過安全管理員對系統中的安全策略進行配置，包括安全參數的設置，主體、客體進行統一安全標記，對主體進行授權，配置可信驗證策略等。應具備網絡安全實時監測、態勢感知、風險預警、統一展示和安全事件應急處置的能力。

2 原系統介紹

東莞廣播電視臺電視播控系統2011 年建設完成，網絡結構如圖1 所示，主要由兩臺核心交換機、4 臺接入交換機、視頻服務器、數據庫服務器、合成轉碼服務器、遷移服務器、存儲及控制終端等設備組成。

圖1 系統結構圖

2.1 系統邊界

系統為內部局域網，通過2 臺Linux 接口服務器和2 個安全網關與節目制作網（業務局域網）相連，如圖2 所示。除此以外，該系統沒有其他對外連接路由。這也是在建設之初沒有過多進行網絡安全配置的理由之一。但隨著網絡化的發展，局域網同樣面臨諸多安全隱患，需要進行升級優化[4]。

圖2 系統邊界圖

2.2 系統硬件存在的不足

系統在搭建時主要考慮的是業務上的應用，對于網絡安全方面的設備考慮有所欠缺，沒有配備堡壘機、數據庫審計等能夠對網絡內設備進行統一管理的設備。另外，原有系統也缺少異地備份的路由和相關設備。

2.3 系統軟件存在的不足

原有系統在軟件方面的不足主要有兩個。一是軟件版本陳舊，沒有及時更新。如服務器使用的操作系統、殺毒軟件等較少進行更新，廠家定制軟件（如播控系統）的更新周期更長甚至無法更新。二是未啟用軟件中關于網絡安全的配置。原軟件在安裝后沒有進行密碼定期修改、設置安全管理員、沒有身份鑒別等配置。

3 系統優化情況

電視播控系統于2013 年開始進行等保測試，主要采用基線檢測、上機檢測、外網入侵等方式對系統進行檢測。測試過程中，分別在安全區域邊界、安全計算環境等方面發現了一些問題。對此，東莞廣播電視臺進行了優化和改進。

3.1 安全區域邊界方面

之前，系統對外的邊界防護主要依靠2 臺安全網關和2 臺Linux 接口服務器。經過評估，這種屏障較為單薄，無法及時發現入侵并采取相應的措施。對此，東莞廣播電視臺主要做了以下幾個方面的改進。

第一，在系統中部署蜜罐，當有外來入侵時引誘其進入，為系統增加一道看不見的防護。結合現有系統規模，技術人員部署了4 個蜜罐[5]。

第二，部署入侵防御系統（Intrusion Prevention System，IPS）流量防入侵服務器（SUricata），并在服務器中安裝開源的Wazuh 監控軟件，實時監測現有系統的訪問流量大小、有無異常動態等。一旦發生入侵事件，第一時間阻斷受入侵的主機，避免危害進一步擴大。

第三，關閉防火墻、交換機非在用端口。在用端口采用綁定物理地址的方式，防止端口被利用。同時，設置網際互連協議（Internet Protocol，IP）白名單，僅允許有業務關聯的主機訪問，加強系統防入侵能力。

第四，定期對防火墻、IPS 的規則庫和病毒庫進行更新，確保能發現最新的惡意代碼等。

經過以上優化，電視播控系統在邊界防護和防入侵方面達到了等保的要求。在“2023 年度廣播電視網絡安全攻防演練”中，電視播控系統作為演練的靶心，實現零入侵。東莞廣播電視臺獲得“優秀防守單位”稱號。

3.2 安全計算環境方面

按照三級等保相關條例規定，電視播控系統在安全計算環境方面要滿足身份鑒別、數據恢復備份等方面的具體要求。

3.2.1 身份鑒別

機房的關鍵設備應采用口令、密碼技術、生物技術等兩種或兩種以上組合的鑒別技術對用戶進行身份鑒別[6]，且其中一種鑒別技術至少應使用密碼技術來實現（如密碼+指紋）。

由于播出系統是早期建設的，很多設備的操作系統不能安裝指紋識別設備，導致系統很難滿足以上要求，對此，東莞廣播電視臺通過堡壘機集中管理，采用用戶密碼+一次性密碼（One Time Password，OTP）兩種身份鑒別技術，一定程度上達到了“具有兩種組合的鑒別技術”的要求，同時配合制度上的管理將這一高危漏洞降為中危，基本滿足等保的要求。

3.2.2 數據備份恢復

系統中的主要設備包括服務器、數據庫及核心交換機等需要滿足3 個條件：第一是要具有熱冗余，保證系統的高可用性；第二是定期對數據（含安全審計日志）進行本地備份，并定期做恢復測試；第三是設備系統的數據要定期備份到異地。

東莞廣播電視臺電視播控系統在設備冗余以及數據備份方面的措施較為完善，但是缺少對數據進行定期恢復測試以及異地備份。為此，技術團隊進行了改進，在每3 ～6 個月對數據備份的基礎上，每半年對所保留的數據、配置等進行恢復性測試。為了保證安全，采用主備設備分開測試的方式，先在備機上完成恢復測試，在線運行一段時間后，再對主機進行同樣的操作。另外，將備份的數據通過光纖傳輸到臺外的發射基地機房，進行異地備份。

3.3 安全通信網絡方面

等級保護對系統在安全通信方面的要求是保證數據傳輸的完整性和保密性，具體為采用校驗技術或密碼技術保證通信過程中數據的完整性，采用密碼技術保證通信過程中數據的保密性。

東莞廣播電視臺播出機房的堡壘機等安全設備采用超文本傳輸安全協議（Hypertext Transfer Protocol Secure，HTTPS）或安全外殼協議（Secure Shell，SSH）方式進行管理，可以保證設備通信過程中重要數據的完整性和保密性，但是應用系統、數據庫、服務器等未采用安全的協議進行通信，不能確定是否能夠保證數據在傳輸過程中的完整性和保密性。

對此，東莞廣播電視臺結合系統軟件客戶端/服務器（Client/Server，C/S）架構的特點，對這些設備進行滲透測試，結果顯示數據通信已加密，未發現明文信息，將測試的數據作為佐證資料提交，將這一高危風險降為低危風險。

除了以上邊界、環境、通信等方面的優化外，東莞廣播電視臺在安全物理、安全管理方面也針對等保標準提出的建議進行了整改，包括搭建智能化環境監控系統，通過管理工具對服務器、網絡設備、安全設備進行統一管理操作等。

4 結語

東莞廣播電視臺較為重視系統等保工作，對于電視播控系統，結合每年等保過程中發現的問題，在邊界防護、計算環境、通信安全等方面進行優化和綜合型改造，逐漸建立了符合等保2.0標準的體系。近年來，電視播控系統成功通過了省、市級的網絡安全攻防演練，取得了較好的成績。

在網絡安全等級保護工作中，東莞廣播電視臺一方面對系統進行優化和改造，另一方面提高員工的網絡安全意識，完善網絡安全管理制度，常年開展員工學習網絡安全相關知識課程（組織專家授課和員工自行授課），同時出臺了《信息網絡系統安全使用管理規定》，筑牢管理屏障。系統的網絡安全是一項長期的工作，東莞廣播電視臺將不斷提升網絡安全意識、加強網絡安全技術，定期更新設備，確保電視播控系統的網絡安全。