有線電視網(wǎng)絡(luò)安全體系設(shè)計(jì)與實(shí)踐

陳杰

【摘要】目前，中國電信、中國移動等運(yùn)營商網(wǎng)絡(luò)建設(shè)的安全管理、安全監(jiān)督已經(jīng)日趨完善，由于有線電視網(wǎng)絡(luò)的發(fā)展經(jīng)歷了組織架構(gòu)的不斷變更等因素，導(dǎo)致了有線電視網(wǎng)絡(luò)建設(shè)受重視度不夠，加之有線電視的安全播出、安全傳輸、安全生產(chǎn)非常重要，有線電視網(wǎng)絡(luò)建設(shè)的安全生產(chǎn)尤為迫切。

【關(guān)鍵詞】有線電視網(wǎng)絡(luò);安全體系;設(shè)計(jì);實(shí)踐

中圖分類號：TN929 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?文獻(xiàn)標(biāo)識碼：A ? ? ? ? ? ? ? ? ? ? ? ? ?DOI：10.12246/j.issn.1673-0348.2022.01.025

某網(wǎng)絡(luò)公司啟動網(wǎng)絡(luò)安全體系設(shè)計(jì)和建設(shè)落地項(xiàng)目，包括DVB直播電視系統(tǒng)、交互電視系統(tǒng)、基礎(chǔ)傳輸網(wǎng)絡(luò)系統(tǒng)、OSS系統(tǒng)、BOSS系統(tǒng)、云計(jì)算平臺的安防護(hù)建設(shè)以及網(wǎng)絡(luò)安全監(jiān)測中心的建設(shè)。

1. 有線電視網(wǎng)絡(luò)建設(shè)的現(xiàn)狀

安全播出、安全傳輸、安全生產(chǎn)是有線電視的生命線。隨著有線電視的發(fā)展，網(wǎng)絡(luò)工程的建設(shè)步伐日益加快，工程數(shù)量逐年攀升，在施工過程中出現(xiàn)的各種各樣的問題隨之凸顯出來，管理體制和管理辦法的落后、缺失，施工人員對施工安全的忽視，施工人員的整體素質(zhì)偏低等，都成為影響施工安全、施工質(zhì)量的重要因素。管理制度的制訂、執(zhí)行、施工人員對安全意識的敬畏是提高施工質(zhì)量和保障施工安全的必然要求。

我國于2000年和2003年分別發(fā)布了《建設(shè)工程質(zhì)量管理?xiàng)l例》《建設(shè)工程安全生產(chǎn)管理?xiàng)l例》，2000年以來，國家廣播電視總局也先后發(fā)布了《廣播電視安全播出管理規(guī)定》《廣播電視管理?xiàng)l例》《廣播電視設(shè)施保護(hù)條例》等一系列法律法規(guī)。這些法律法規(guī)為有線電視安全生產(chǎn)提供了制度和依據(jù)，厘清了責(zé)任和義務(wù)。

2. 網(wǎng)絡(luò)安全問題分析

2.1 DVB直播電視系統(tǒng)

地市DVB直播系統(tǒng)與CA系統(tǒng)連接，存在通過CA系統(tǒng)作為跳板進(jìn)行入侵的風(fēng)險(xiǎn)。

廣播核心交換機(jī)與運(yùn)維管理中心、DVB直播應(yīng)用支撐系統(tǒng)邊界不明確，對運(yùn)維人員的管理操作未進(jìn)行審計(jì)，沒有授權(quán)和權(quán)限控制措施，無事后追溯手段，存在較大安全風(fēng)險(xiǎn)。

廣告播出的公文流轉(zhuǎn)審批操作沒有三權(quán)分離，不能形成有效監(jiān)管。

2.2 交互電視系統(tǒng)

交互式電視系統(tǒng)面臨的安全風(fēng)險(xiǎn)主要體現(xiàn)在以下幾個(gè)方面：①該系統(tǒng)與所有雙向機(jī)頂盒相連。存在數(shù)據(jù)外部連接和攻擊風(fēng)險(xiǎn)。②機(jī)頂盒容易受到連接劫持和遠(yuǎn)程注入攻擊。機(jī)頂盒和公司門戶之間的邊界存在巨大的安全威脅。③業(yè)務(wù)系統(tǒng)邊界缺乏完善的訪問控制、入侵防護(hù)、安全認(rèn)證審核等措施。④高風(fēng)險(xiǎn)安全漏洞在服務(wù)器、網(wǎng)絡(luò)設(shè)備和應(yīng)用程序系統(tǒng)中很常見。⑤目前，多個(gè)交互業(yè)務(wù)子系統(tǒng)的部署相對分散，沒有統(tǒng)一的網(wǎng)絡(luò)邊界，也沒有安全防護(hù)措施。

2.3 基本傳輸網(wǎng)絡(luò)系統(tǒng)

基本傳輸網(wǎng)絡(luò)系統(tǒng)面臨的安全問題是當(dāng)前網(wǎng)絡(luò)中最重要的問題。從目前的建設(shè)情況來看，主要體現(xiàn)在以下幾個(gè)方面：①基礎(chǔ)傳輸網(wǎng)絡(luò)系統(tǒng)與互聯(lián)網(wǎng)存在數(shù)據(jù)交互，涉及互聯(lián)網(wǎng)業(yè)務(wù)，存在很大的安全風(fēng)險(xiǎn)和不確定性。②辦公網(wǎng)、IP通信網(wǎng)等基礎(chǔ)傳輸網(wǎng)絡(luò)系統(tǒng)缺乏必要的邏輯隔離設(shè)備和安全訪問控制手段，風(fēng)險(xiǎn)極大。③運(yùn)行維護(hù)管理人員沒有權(quán)力分離，沒有最低授權(quán)和權(quán)限控制措施，沒有運(yùn)行記錄和事后追蹤手段。一旦出現(xiàn)問題，就會產(chǎn)生巨大的影響。

2.4 開放源碼軟件系統(tǒng)

運(yùn)營支持系統(tǒng)（OSS系統(tǒng)）的核心服務(wù)器和網(wǎng)絡(luò)設(shè)備部署在網(wǎng)絡(luò)公司機(jī)房內(nèi)，通過二層交換機(jī)與外界進(jìn)行通信，無法進(jìn)行三層網(wǎng)絡(luò)安全控制;交換機(jī)外部連接公司核心交換機(jī)，無防火墻防護(hù);OSS系統(tǒng)服務(wù)器通過三張網(wǎng)卡進(jìn)行外部交互，沒有防火墻進(jìn)行訪問控制。同時(shí)，系統(tǒng)服務(wù)器未安裝殺毒軟件，核心數(shù)據(jù)庫未審核;運(yùn)維人員直接訪問系統(tǒng)服務(wù)器，沒有堡壘機(jī)等運(yùn)維安全控制系統(tǒng)。

2.5 BOSS系統(tǒng)

綜合業(yè)務(wù)支持系統(tǒng)（BOSS系統(tǒng)）作為業(yè)務(wù)發(fā)展的核心工作平臺，接入方多，防護(hù)設(shè)備陳舊，缺乏網(wǎng)絡(luò)邊界，訪問控制和入侵檢測防護(hù)措施嚴(yán)格;對具有訪問權(quán)限的系統(tǒng)和終端沒有認(rèn)證和審核手段;服務(wù)器和應(yīng)用系統(tǒng)中存在大量可利用的高風(fēng)險(xiǎn)漏洞;當(dāng)存在多個(gè)網(wǎng)絡(luò)連接出口和復(fù)雜的訪問對象時(shí)，總體缺乏深入防御支持規(guī)劃往往會被設(shè)置為惡意攻擊者進(jìn)行深入攻擊的關(guān)鍵攻擊目標(biāo)和跳板。

2.6 云計(jì)算平臺

網(wǎng)絡(luò)公司新建云計(jì)算平臺，將基礎(chǔ)業(yè)務(wù)應(yīng)用系統(tǒng)和外部服務(wù)遷移到云平臺。云平臺被設(shè)計(jì)為公司的統(tǒng)一服務(wù)平臺，是未來業(yè)務(wù)增長的重要堡壘。但在云平臺規(guī)劃建設(shè)之初，并未考慮其云安全防護(hù)要求，且已建成的云平臺沒有相關(guān)的安全防護(hù)措施，內(nèi)部和外部都面臨著巨大的安全風(fēng)險(xiǎn)。

3. 網(wǎng)絡(luò)安全體系規(guī)劃實(shí)踐

3.1 網(wǎng)絡(luò)安全監(jiān)測中心

網(wǎng)絡(luò)安全監(jiān)測中心建設(shè)借鑒電信和廣電運(yùn)營商的經(jīng)驗(yàn)，針對有線電視業(yè)務(wù)特點(diǎn)，建立以“一網(wǎng)一平臺”為中心的網(wǎng)絡(luò)安全監(jiān)測中心，實(shí)現(xiàn)網(wǎng)絡(luò)安全調(diào)度指揮，保障安全播出。

“一網(wǎng)”指監(jiān)測信息審計(jì)系統(tǒng)內(nèi)部網(wǎng)絡(luò)，建設(shè)系統(tǒng)平臺軟件、審計(jì)系統(tǒng)、監(jiān)測工具以及安全帶外支撐網(wǎng)絡(luò)，項(xiàng)目總集成方提供相關(guān)軟件和專用硬件設(shè)備，由項(xiàng)目總集成方技術(shù)團(tuán)隊(duì)負(fù)責(zé)日常運(yùn)營服務(wù)，按期向公司交付監(jiān)測服務(wù)，相應(yīng)結(jié)果可在監(jiān)測服務(wù)中心大屏實(shí)時(shí)顯示。

安全監(jiān)測服務(wù)包括聚合掃描分析、滲透測試、漏洞掃描、安全檢測評估分析、信息系統(tǒng)安全綜合保障服務(wù)、安全事件應(yīng)急處置、安全通告服務(wù)等，結(jié)合安全監(jiān)測值守、應(yīng)急演練與培訓(xùn)服務(wù)，實(shí)現(xiàn)全天候7×24小時(shí)服務(wù)保障。

“一平臺”指安全態(tài)勢感知平臺，部署網(wǎng)絡(luò)安全態(tài)勢感知系統(tǒng)，在不改變現(xiàn)有網(wǎng)絡(luò)結(jié)構(gòu)的前提下，旁路方式部署態(tài)勢感知系統(tǒng)，對進(jìn)出網(wǎng)絡(luò)的流量進(jìn)行深度分析，實(shí)現(xiàn)內(nèi)網(wǎng)系統(tǒng)和設(shè)備日志進(jìn)行篩選排查，并在發(fā)現(xiàn)或檢測攻擊行為時(shí)發(fā)出告警，由監(jiān)測人員及時(shí)處置、追蹤溯源，發(fā)現(xiàn)受攻擊和入侵的主機(jī)、系統(tǒng)，并設(shè)置相應(yīng)安全策略，阻斷威脅源。

3.2 三重安全防護(hù)

3.2.1 網(wǎng)絡(luò)安全防護(hù)

首先，安全管理領(lǐng)域計(jì)劃放置網(wǎng)絡(luò)公司即將上線和已經(jīng)上線的安全設(shè)備，如終端安全管理中心、日志審計(jì)、數(shù)據(jù)庫審計(jì)、堡壘機(jī)、蜜罐管理服務(wù)器、態(tài)勢感知分析平臺等，在安全管理領(lǐng)域，統(tǒng)一管理和調(diào)度網(wǎng)絡(luò)安全。二是增加兩個(gè)萬兆防火墻和兩個(gè)千兆防火墻，淘汰舊的防火墻設(shè)備，配置網(wǎng)絡(luò)間的邏輯隔離策略和安全訪問控制手段。三是增加門禁系統(tǒng)，配合fortressmachine為運(yùn)維管理人員配置分權(quán)策略，最小化授權(quán)和權(quán)限控制措施，實(shí)現(xiàn)對接入網(wǎng)絡(luò)的終端和主機(jī)的安全認(rèn)證控制，防止未經(jīng)授權(quán)和不受信任的外部終端和主機(jī)連接到公司內(nèi)部網(wǎng);在接入公司網(wǎng)絡(luò)前對外部單元設(shè)備進(jìn)行身份認(rèn)證，對與公司連接的外部鏈路進(jìn)行認(rèn)證和控制。四是新增云安全防護(hù)體系，與云平臺無縫對接，開放無代理防病毒、反惡意代碼、虛擬防火墻、入侵防御等功能，實(shí)現(xiàn)對云平臺資產(chǎn)、系統(tǒng)補(bǔ)丁、網(wǎng)絡(luò)接入、移動媒體的有效保護(hù)和管理。

3.2.2 系統(tǒng)安全保護(hù)

網(wǎng)絡(luò)公司面向互聯(lián)網(wǎng)的外部系統(tǒng)的前端計(jì)算機(jī)統(tǒng)一部署在DMZ區(qū)域，通過新的web應(yīng)用防火墻（WAF）保護(hù)應(yīng)用層安全。保護(hù)對象包括OSS系統(tǒng)、OA系統(tǒng)、支付系統(tǒng)、移動門戶等核心外部業(yè)務(wù)系統(tǒng)。

在交互式電視服務(wù)系統(tǒng)邊界部署兩個(gè)web應(yīng)用防火墻（WAF），以確保機(jī)頂盒與公司門戶之間邊界的安全，防止機(jī)頂盒受到連接劫持和遠(yuǎn)程注入攻擊的威脅。

在安全管理域部署終端安全管理中心，對辦公網(wǎng)絡(luò)和云平臺的終端和服務(wù)器資產(chǎn)、系統(tǒng)補(bǔ)丁和移動媒體進(jìn)行管理，實(shí)現(xiàn)對病毒、木馬和惡意代碼的有效防護(hù)。

在公司重要業(yè)務(wù)系統(tǒng)的網(wǎng)段部署至少一個(gè)蜜罐探測器，管理節(jié)點(diǎn)部署在安全管理域。蜜罐偽裝技術(shù)用于誘使攻擊者將蜜罐服務(wù)作為陷阱進(jìn)行攻擊，從而觸發(fā)攻擊警報(bào)，延遲攻擊者時(shí)間，獲取入侵者信息，有效幫助運(yùn)維人員快速實(shí)施有針對性的防御措施。

3.2.3 內(nèi)容安全保護(hù)

一是將辦公網(wǎng)絡(luò)與業(yè)務(wù)支撐系統(tǒng)隔離，在核心鏈路上串聯(lián)部署互聯(lián)網(wǎng)行為管理設(shè)備，對公司辦公網(wǎng)絡(luò)運(yùn)營行為（包括無線網(wǎng)絡(luò)）進(jìn)行統(tǒng)一安全管理，配置策略路由和行為控制策略，控制和過濾互聯(lián)網(wǎng)流量，實(shí)現(xiàn)公司互聯(lián)網(wǎng)接入的安全防護(hù)。其次，在安全管理領(lǐng)域增加了一個(gè)新的數(shù)據(jù)庫審計(jì)系統(tǒng)。通過部署在核心業(yè)務(wù)系統(tǒng)中的數(shù)據(jù)審計(jì)探針，實(shí)時(shí)記錄核心業(yè)務(wù)數(shù)據(jù)庫的活動記錄，審計(jì)細(xì)粒度滿足合規(guī)管理要求。同時(shí)，對數(shù)據(jù)庫遭受的風(fēng)險(xiǎn)行為進(jìn)行報(bào)警，阻止攻擊行為，以便事后生成合規(guī)報(bào)告，追查事故來源，提高數(shù)據(jù)資產(chǎn)安全性。最后，在安全管理域新增日志審計(jì)系統(tǒng)，通過鏡像及SYSLOG方式將重要業(yè)務(wù)系統(tǒng)的日志集中審計(jì)分析，及時(shí)發(fā)現(xiàn)問題，同時(shí)日志留存6個(gè)月并循環(huán)覆蓋，滿足《網(wǎng)絡(luò)安全法》中日志留存要求。

3.3 四大基本保障

3.3.1 組織管理制度保障

建設(shè)安全管理制度，明確系統(tǒng)安全管理工作總體方針、安全策略、總體目標(biāo)、工作范圍、安全責(zé)任等要素;安全管理制度主要包括安全建設(shè)管理、安全人員管理、安全運(yùn)維管理、安全開發(fā)管理等制度。

3.3.2 應(yīng)急響應(yīng)體系保障

完善網(wǎng)絡(luò)公司《網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案》，建立應(yīng)急響應(yīng)組織機(jī)構(gòu)和職責(zé)，明確不同級別網(wǎng)絡(luò)安全事件的應(yīng)急響應(yīng)與處置原則，定期進(jìn)行應(yīng)急演練，根據(jù)演練結(jié)果不同修訂完善應(yīng)急預(yù)案，不斷提升公司應(yīng)急響應(yīng)能力，確保各業(yè)務(wù)系統(tǒng)的安全、穩(wěn)定運(yùn)行和業(yè)務(wù)的連續(xù)性。

3.3.3 教育與培訓(xùn)保障

在安全管理總方針的指導(dǎo)下，明確網(wǎng)絡(luò)公司網(wǎng)絡(luò)安全培訓(xùn)教育的內(nèi)容及相關(guān)人員的職責(zé)。在網(wǎng)絡(luò)安全管理體系建立、實(shí)施和維護(hù)的不同階段，采用內(nèi)外結(jié)合的方法，有計(jì)劃、有步驟地開展培訓(xùn)工作;對網(wǎng)絡(luò)安全管理人員和普通員工進(jìn)行培訓(xùn)和考核，包括網(wǎng)絡(luò)安全管理理論培訓(xùn)、安全管理體系教育、安全意識宣傳和專項(xiàng)安全技術(shù)培訓(xùn);確保網(wǎng)絡(luò)安全政策、規(guī)章制度和技術(shù)規(guī)范的順利實(shí)施，最大限度地降低和消除安全風(fēng)險(xiǎn)。

3.3.4 日常運(yùn)行安全保證

完善各項(xiàng)安全管理活動中的流程和機(jī)制，確保系統(tǒng)的安全運(yùn)行，主要包括安全事件處理流程、安全風(fēng)險(xiǎn)評估流程、安全事件追溯和取證流程、安全設(shè)備在線交付流程、安全事件處理機(jī)制，等建立和完善日常管理操作程序和手冊，指導(dǎo)安全操作。

4. 結(jié)論

安全播出是廣電行業(yè)的生命線，安全生產(chǎn)是有線電視安全播出的重要一環(huán)，生產(chǎn)事故、技術(shù)事故稍有不慎，就會演變成重大安全事件。有線電視網(wǎng)絡(luò)建設(shè)工程作為一項(xiàng)系統(tǒng)工程，要想對施工安全進(jìn)行有效控制，就必須從影響施工安全的多個(gè)階段進(jìn)行控制。安全管理貫穿于整個(gè)施工過程，需要不斷總結(jié)，不斷創(chuàng)新，尋找更加有效的管理手段以提高建設(shè)工程的安全管理。

參考文獻(xiàn)：

[1]鞠國山，王凱.有線電視網(wǎng)絡(luò)工程施工安全管理[J].中國有線電視，2020（9）：1089-1090.