電視播控系統(tǒng)三級等保實施與探討

符武陽，羅國有，朱錦標(biāo)

（東莞廣播電視臺，廣東 東莞 523071）

0 引言

近年來，隨著信息系統(tǒng)網(wǎng)絡(luò)化和數(shù)字化的快速發(fā)展，國家相關(guān)部門陸續(xù)頒布了有關(guān)條例，如國家市場監(jiān)督管理總局于2019 年5 月發(fā)布《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求》（GB/T 22239—2019），國家廣播電視總局于2020 年11 月頒布了《廣播電視網(wǎng)絡(luò)安全等級保護(hù)定級指南》（GY/T 337—2020），開啟了等保2.0 時代，2021 年7 月制訂了《廣播電視網(wǎng)絡(luò)安全等級保護(hù)基本要求》（GY/T 352—2021）。這些標(biāo)準(zhǔn)完善了廣播電視行業(yè)在信息系統(tǒng)等級保護(hù)方面的制度體系。

目前，各地廣播電視臺的電視播控系統(tǒng)有很多是在現(xiàn)行標(biāo)準(zhǔn)體系出臺前（2019 年之前）建成，與等保2.0 標(biāo)準(zhǔn)有一定的距離，需要升級優(yōu)化[1]。本文通過介紹東莞廣播電視臺電視播控系統(tǒng)在等保方面的升級實施，探討電視播控系統(tǒng)如何達(dá)到等保2.0標(biāo)準(zhǔn)。

1 三級等?；驹瓌t要求

電視播控系統(tǒng)作為三級信息系統(tǒng)，可能存在受到網(wǎng)絡(luò)攻擊、數(shù)據(jù)泄露、網(wǎng)絡(luò)設(shè)備管理等方面的威脅[2]。結(jié)合《廣播電視網(wǎng)絡(luò)安全等級保護(hù)基本要求》規(guī)定，需要達(dá)到以下要求。

第一，安全通信網(wǎng)絡(luò)。網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力滿足業(yè)務(wù)高峰期需要；主要通信線路、關(guān)鍵網(wǎng)絡(luò)設(shè)備、關(guān)鍵安全設(shè)備和關(guān)鍵計算設(shè)備的硬件要有備份冗余，采用密碼技術(shù)或特定協(xié)議轉(zhuǎn)換技術(shù)保證通信過程中數(shù)據(jù)的保密性，同時定期審計，并對審計記錄進(jìn)行分析，以便及時發(fā)現(xiàn)異常行為。

第二，安全區(qū)域邊界。系統(tǒng)的網(wǎng)絡(luò)邊界應(yīng)能夠?qū)ν鈦碓L問進(jìn)行限制和檢測，包括能夠?qū)Ψ鞘跈?quán)設(shè)備私自連到內(nèi)部網(wǎng)絡(luò)的行為或者內(nèi)部用戶非授權(quán)連到外部網(wǎng)絡(luò)的行為進(jìn)行檢查和限制；在關(guān)鍵網(wǎng)絡(luò)節(jié)點處檢測、防止或限制從外部發(fā)起的網(wǎng)絡(luò)攻擊行為[3]。

第三，安全計算環(huán)境。應(yīng)采用口令、密碼技術(shù)、生物技術(shù)等兩種或兩種以上組合的鑒別技術(shù)對用戶進(jìn)行身份鑒別，且其中一種鑒別技術(shù)至少應(yīng)使用密碼技術(shù)來實現(xiàn)。重要數(shù)據(jù)應(yīng)做到本地備份并具備恢復(fù)功能，完全數(shù)據(jù)備份至少每周一次，增量備份或差分備份至少每天一次。

第四，安全管理。系統(tǒng)應(yīng)通過安全管理員對系統(tǒng)中的安全策略進(jìn)行配置，包括安全參數(shù)的設(shè)置，主體、客體進(jìn)行統(tǒng)一安全標(biāo)記，對主體進(jìn)行授權(quán)，配置可信驗證策略等。應(yīng)具備網(wǎng)絡(luò)安全實時監(jiān)測、態(tài)勢感知、風(fēng)險預(yù)警、統(tǒng)一展示和安全事件應(yīng)急處置的能力。

2 原系統(tǒng)介紹

東莞廣播電視臺電視播控系統(tǒng)2011 年建設(shè)完成，網(wǎng)絡(luò)結(jié)構(gòu)如圖1 所示，主要由兩臺核心交換機(jī)、4 臺接入交換機(jī)、視頻服務(wù)器、數(shù)據(jù)庫服務(wù)器、合成轉(zhuǎn)碼服務(wù)器、遷移服務(wù)器、存儲及控制終端等設(shè)備組成。

圖1 系統(tǒng)結(jié)構(gòu)圖

2.1 系統(tǒng)邊界

系統(tǒng)為內(nèi)部局域網(wǎng)，通過2 臺Linux 接口服務(wù)器和2 個安全網(wǎng)關(guān)與節(jié)目制作網(wǎng)（業(yè)務(wù)局域網(wǎng)）相連，如圖2 所示。除此以外，該系統(tǒng)沒有其他對外連接路由。這也是在建設(shè)之初沒有過多進(jìn)行網(wǎng)絡(luò)安全配置的理由之一。但隨著網(wǎng)絡(luò)化的發(fā)展，局域網(wǎng)同樣面臨諸多安全隱患，需要進(jìn)行升級優(yōu)化[4]。

圖2 系統(tǒng)邊界圖

2.2 系統(tǒng)硬件存在的不足

系統(tǒng)在搭建時主要考慮的是業(yè)務(wù)上的應(yīng)用，對于網(wǎng)絡(luò)安全方面的設(shè)備考慮有所欠缺，沒有配備堡壘機(jī)、數(shù)據(jù)庫審計等能夠?qū)W(wǎng)絡(luò)內(nèi)設(shè)備進(jìn)行統(tǒng)一管理的設(shè)備。另外，原有系統(tǒng)也缺少異地備份的路由和相關(guān)設(shè)備。

2.3 系統(tǒng)軟件存在的不足

原有系統(tǒng)在軟件方面的不足主要有兩個。一是軟件版本陳舊，沒有及時更新。如服務(wù)器使用的操作系統(tǒng)、殺毒軟件等較少進(jìn)行更新，廠家定制軟件（如播控系統(tǒng)）的更新周期更長甚至無法更新。二是未啟用軟件中關(guān)于網(wǎng)絡(luò)安全的配置。原軟件在安裝后沒有進(jìn)行密碼定期修改、設(shè)置安全管理員、沒有身份鑒別等配置。

3 系統(tǒng)優(yōu)化情況

電視播控系統(tǒng)于2013 年開始進(jìn)行等保測試，主要采用基線檢測、上機(jī)檢測、外網(wǎng)入侵等方式對系統(tǒng)進(jìn)行檢測。測試過程中，分別在安全區(qū)域邊界、安全計算環(huán)境等方面發(fā)現(xiàn)了一些問題。對此，東莞廣播電視臺進(jìn)行了優(yōu)化和改進(jìn)。

3.1 安全區(qū)域邊界方面

之前，系統(tǒng)對外的邊界防護(hù)主要依靠2 臺安全網(wǎng)關(guān)和2 臺Linux 接口服務(wù)器。經(jīng)過評估，這種屏障較為單薄，無法及時發(fā)現(xiàn)入侵并采取相應(yīng)的措施。對此，東莞廣播電視臺主要做了以下幾個方面的改進(jìn)。

第一，在系統(tǒng)中部署蜜罐，當(dāng)有外來入侵時引誘其進(jìn)入，為系統(tǒng)增加一道看不見的防護(hù)。結(jié)合現(xiàn)有系統(tǒng)規(guī)模，技術(shù)人員部署了4 個蜜罐[5]。

第二，部署入侵防御系統(tǒng)（Intrusion Prevention System，IPS）流量防入侵服務(wù)器（SUricata），并在服務(wù)器中安裝開源的Wazuh 監(jiān)控軟件，實時監(jiān)測現(xiàn)有系統(tǒng)的訪問流量大小、有無異常動態(tài)等。一旦發(fā)生入侵事件，第一時間阻斷受入侵的主機(jī)，避免危害進(jìn)一步擴(kuò)大。

第三，關(guān)閉防火墻、交換機(jī)非在用端口。在用端口采用綁定物理地址的方式，防止端口被利用。同時，設(shè)置網(wǎng)際互連協(xié)議（Internet Protocol，IP）白名單，僅允許有業(yè)務(wù)關(guān)聯(lián)的主機(jī)訪問，加強(qiáng)系統(tǒng)防入侵能力。

第四，定期對防火墻、IPS 的規(guī)則庫和病毒庫進(jìn)行更新，確保能發(fā)現(xiàn)最新的惡意代碼等。

經(jīng)過以上優(yōu)化，電視播控系統(tǒng)在邊界防護(hù)和防入侵方面達(dá)到了等保的要求。在“2023 年度廣播電視網(wǎng)絡(luò)安全攻防演練”中，電視播控系統(tǒng)作為演練的靶心，實現(xiàn)零入侵。東莞廣播電視臺獲得“優(yōu)秀防守單位”稱號。

3.2 安全計算環(huán)境方面

按照三級等保相關(guān)條例規(guī)定，電視播控系統(tǒng)在安全計算環(huán)境方面要滿足身份鑒別、數(shù)據(jù)恢復(fù)備份等方面的具體要求。

3.2.1 身份鑒別

機(jī)房的關(guān)鍵設(shè)備應(yīng)采用口令、密碼技術(shù)、生物技術(shù)等兩種或兩種以上組合的鑒別技術(shù)對用戶進(jìn)行身份鑒別[6]，且其中一種鑒別技術(shù)至少應(yīng)使用密碼技術(shù)來實現(xiàn)（如密碼+指紋）。

由于播出系統(tǒng)是早期建設(shè)的，很多設(shè)備的操作系統(tǒng)不能安裝指紋識別設(shè)備，導(dǎo)致系統(tǒng)很難滿足以上要求，對此，東莞廣播電視臺通過堡壘機(jī)集中管理，采用用戶密碼+一次性密碼（One Time Password，OTP）兩種身份鑒別技術(shù)，一定程度上達(dá)到了“具有兩種組合的鑒別技術(shù)”的要求，同時配合制度上的管理將這一高危漏洞降為中危，基本滿足等保的要求。

3.2.2 數(shù)據(jù)備份恢復(fù)

系統(tǒng)中的主要設(shè)備包括服務(wù)器、數(shù)據(jù)庫及核心交換機(jī)等需要滿足3 個條件：第一是要具有熱冗余，保證系統(tǒng)的高可用性；第二是定期對數(shù)據(jù)（含安全審計日志）進(jìn)行本地備份，并定期做恢復(fù)測試；第三是設(shè)備系統(tǒng)的數(shù)據(jù)要定期備份到異地。

東莞廣播電視臺電視播控系統(tǒng)在設(shè)備冗余以及數(shù)據(jù)備份方面的措施較為完善，但是缺少對數(shù)據(jù)進(jìn)行定期恢復(fù)測試以及異地備份。為此，技術(shù)團(tuán)隊進(jìn)行了改進(jìn)，在每3 ～6 個月對數(shù)據(jù)備份的基礎(chǔ)上，每半年對所保留的數(shù)據(jù)、配置等進(jìn)行恢復(fù)性測試。為了保證安全，采用主備設(shè)備分開測試的方式，先在備機(jī)上完成恢復(fù)測試，在線運(yùn)行一段時間后，再對主機(jī)進(jìn)行同樣的操作。另外，將備份的數(shù)據(jù)通過光纖傳輸?shù)脚_外的發(fā)射基地機(jī)房，進(jìn)行異地備份。

3.3 安全通信網(wǎng)絡(luò)方面

等級保護(hù)對系統(tǒng)在安全通信方面的要求是保證數(shù)據(jù)傳輸?shù)耐暾院捅Ｃ苄?，具體為采用校驗技術(shù)或密碼技術(shù)保證通信過程中數(shù)據(jù)的完整性，采用密碼技術(shù)保證通信過程中數(shù)據(jù)的保密性。

東莞廣播電視臺播出機(jī)房的堡壘機(jī)等安全設(shè)備采用超文本傳輸安全協(xié)議（Hypertext Transfer Protocol Secure，HTTPS）或安全外殼協(xié)議（Secure Shell，SSH）方式進(jìn)行管理，可以保證設(shè)備通信過程中重要數(shù)據(jù)的完整性和保密性，但是應(yīng)用系統(tǒng)、數(shù)據(jù)庫、服務(wù)器等未采用安全的協(xié)議進(jìn)行通信，不能確定是否能夠保證數(shù)據(jù)在傳輸過程中的完整性和保密性。

對此，東莞廣播電視臺結(jié)合系統(tǒng)軟件客戶端/服務(wù)器（Client/Server，C/S）架構(gòu)的特點，對這些設(shè)備進(jìn)行滲透測試，結(jié)果顯示數(shù)據(jù)通信已加密，未發(fā)現(xiàn)明文信息，將測試的數(shù)據(jù)作為佐證資料提交，將這一高危風(fēng)險降為低危風(fēng)險。

除了以上邊界、環(huán)境、通信等方面的優(yōu)化外，東莞廣播電視臺在安全物理、安全管理方面也針對等保標(biāo)準(zhǔn)提出的建議進(jìn)行了整改，包括搭建智能化環(huán)境監(jiān)控系統(tǒng)，通過管理工具對服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備進(jìn)行統(tǒng)一管理操作等。

4 結(jié)語

東莞廣播電視臺較為重視系統(tǒng)等保工作，對于電視播控系統(tǒng)，結(jié)合每年等保過程中發(fā)現(xiàn)的問題，在邊界防護(hù)、計算環(huán)境、通信安全等方面進(jìn)行優(yōu)化和綜合型改造，逐漸建立了符合等保2.0標(biāo)準(zhǔn)的體系。近年來，電視播控系統(tǒng)成功通過了省、市級的網(wǎng)絡(luò)安全攻防演練，取得了較好的成績。

在網(wǎng)絡(luò)安全等級保護(hù)工作中，東莞廣播電視臺一方面對系統(tǒng)進(jìn)行優(yōu)化和改造，另一方面提高員工的網(wǎng)絡(luò)安全意識，完善網(wǎng)絡(luò)安全管理制度，常年開展員工學(xué)習(xí)網(wǎng)絡(luò)安全相關(guān)知識課程（組織專家授課和員工自行授課），同時出臺了《信息網(wǎng)絡(luò)系統(tǒng)安全使用管理規(guī)定》，筑牢管理屏障。系統(tǒng)的網(wǎng)絡(luò)安全是一項長期的工作，東莞廣播電視臺將不斷提升網(wǎng)絡(luò)安全意識、加強(qiáng)網(wǎng)絡(luò)安全技術(shù)，定期更新設(shè)備，確保電視播控系統(tǒng)的網(wǎng)絡(luò)安全。