新形勢下廣電信息安全保障體系構(gòu)建思路

■ 安徽廣播電視臺：何金龍

1.廣電信息安全保障體系設(shè)計原則

結(jié)合廣播電視業(yè)務(wù)應(yīng)用系統(tǒng)的安全需求，在進(jìn)行廣電信息安全保障體系的設(shè)計時，應(yīng)嚴(yán)格遵循以下原則：

廣電信息安全縱深防御體系設(shè)計應(yīng)結(jié)合廣電信息系統(tǒng)的實際情況，以廣電信息安全的基本要求為根本，設(shè)計滿足廣電信息系統(tǒng)安全需要的通信網(wǎng)絡(luò)、計算環(huán)境以及區(qū)域邊界，并將廣電信息系統(tǒng)的縱深防御作為安全保障體系設(shè)計的重心。

結(jié)構(gòu)化安全是廣電信息系統(tǒng)結(jié)構(gòu)化保護(hù)級的關(guān)鍵內(nèi)容，結(jié)構(gòu)化安全主要包括廣電網(wǎng)絡(luò)結(jié)構(gòu)安全以及結(jié)構(gòu)化操作系統(tǒng)的安全。

加強(qiáng)廣電信息安全集中統(tǒng)一管理，是廣播電視信息系統(tǒng)橫向集成、縱向貫通、信息共享的重要基礎(chǔ)與前提，是信息安全等級保護(hù)深度防御系統(tǒng)最根本的要求。

鑒于廣播電視行業(yè)的特殊性，在建設(shè)廣電信息安全防御體系時，應(yīng)統(tǒng)籌考慮對內(nèi)部的安全防護(hù)，重點突出適度防護(hù)的基本要求。并在充分考慮系統(tǒng)可用性、經(jīng)濟(jì)型的前提下，對現(xiàn)有系統(tǒng)做好升級改造，進(jìn)而建立能夠滿足系統(tǒng)高安全等級需求的信息安全保障系統(tǒng)。

結(jié)合廣電系統(tǒng)實際，將安全防護(hù)技術(shù)與安全防護(hù)管理等措施相結(jié)合，并通過采取合理的管理措施彌補技術(shù)措施的不足，進(jìn)而有效保證安全防護(hù)技術(shù)措施的有效落實，確保廣電業(yè)務(wù)系統(tǒng)運行的安全性與穩(wěn)定性。

廣電信息安全保障體系的設(shè)計應(yīng)建立在對系統(tǒng)安全評估的前提下，實際安全防護(hù)措施與安全策略應(yīng)符合等級保護(hù)的相關(guān)要求，并能根據(jù)廣電業(yè)務(wù)信息系統(tǒng)的特點，量身定制能夠滿足廣電系統(tǒng)自身需求的安全保障體系。

2.廣電信息安全保障體系建設(shè)思路

在進(jìn)行廣電信息安全保障體系的構(gòu)建時，應(yīng)分別從管理層面、技術(shù)層面、過程層面予以進(jìn)行設(shè)計，并嚴(yán)格依照國家要求、行業(yè)標(biāo)準(zhǔn)，按照分等級保護(hù)的思想對不同的系統(tǒng)、對象采取不同等級的保護(hù)方法，進(jìn)而保證系統(tǒng)的一層防御受到攻擊破壞時，整個信息系統(tǒng)的其他基礎(chǔ)設(shè)施不會被破壞。由此，廣電信息安全保障體系的構(gòu)建思路如下：

2.1 全面安全保障

在進(jìn)行廣電信息安全保障體系的建設(shè)時，應(yīng)從防護(hù)技術(shù)、安全管理、過程監(jiān)控、運維管理等全方位、多層次進(jìn)行統(tǒng)籌考慮，進(jìn)而實現(xiàn)全面、全方位的廣電信息安全防護(hù)。

2.2 技術(shù)管理并重

廣電信息安全保障體系的建設(shè)時，除了要充分考慮系統(tǒng)、設(shè)備、產(chǎn)品等方面的技術(shù)安全，還要重點考慮廣電信息系統(tǒng)運維管理的安全，做到技術(shù)安全與管理安全并重。

2.3 動態(tài)靜態(tài)結(jié)合

廣電信息安全系統(tǒng)不僅要做好靜態(tài)防護(hù)，還要考慮監(jiān)測、防護(hù)、響應(yīng)以及恢復(fù)等動態(tài)防護(hù)措施，同時，在信息系統(tǒng)的日常運維中，還要做到風(fēng)險評估、安全監(jiān)控以及安全審計的常態(tài)化。

2.4 安全攻防結(jié)合

信息安全保障體系除了要做好安全技術(shù)的主動防護(hù)外，還應(yīng)具備主動攻擊防御的能力，如日常性安全掃描、滲透測試，以及網(wǎng)絡(luò)安全攻擊平臺，以便能夠及時主動發(fā)現(xiàn)系統(tǒng)潛在的安全風(fēng)險。

2.5 內(nèi)外風(fēng)險并重

在做好外部風(fēng)險防范的基礎(chǔ)上，對于信息系統(tǒng)內(nèi)部的安全隱患也要做好相應(yīng)的控制與管理，因此，務(wù)須要兼顧做好內(nèi)部風(fēng)險與外部風(fēng)險的共同管理。

2.6 安全與密碼技術(shù)結(jié)合

密碼技術(shù)作為網(wǎng)絡(luò)安全的關(guān)鍵技術(shù)之一，其是較為精確的安全防護(hù)技術(shù)，而信息系統(tǒng)因人為因素的存在，使得網(wǎng)絡(luò)安全管理較為復(fù)雜，因此，在信息系統(tǒng)安全防護(hù)時，還要結(jié)合相應(yīng)的系統(tǒng)安全技術(shù)，充分保障廣電信息系統(tǒng)的安全。

3.廣電信息安全保障體系建設(shè)內(nèi)容

3.1 高安全區(qū)安全保障體系

高安全區(qū)作為廣電生產(chǎn)網(wǎng)絡(luò)的邊界，其承擔(dān)著辦公網(wǎng)絡(luò)與生產(chǎn)網(wǎng)絡(luò)的數(shù)據(jù)交換任務(wù)，安全防護(hù)重點為辦公網(wǎng)數(shù)據(jù)以及其他業(yè)務(wù)系統(tǒng)數(shù)據(jù)，通過UTM安全網(wǎng)關(guān)的部署來保障網(wǎng)絡(luò)不受外界惡意代碼及黑客入侵。高安全區(qū)安全保障內(nèi)容如下：

對于高安全區(qū)可進(jìn)行反向代理服務(wù)器的部署，確保在檢索相關(guān)節(jié)目內(nèi)容與素材時，通過反向代理服務(wù)器對檢索平臺進(jìn)行訪問，保證了統(tǒng)一檢索平臺Web服務(wù)器的安全。

電視內(nèi)容生產(chǎn)網(wǎng)絡(luò)向辦公網(wǎng)絡(luò)推動節(jié)目內(nèi)容與素材時，通過FTP服務(wù)器有效保證了廣電媒體文件推送在高安全區(qū)不落地。

借助FTP服務(wù)器將互聯(lián)網(wǎng)成品節(jié)目向新聞制作系統(tǒng)進(jìn)行回傳時，媒體文件先經(jīng)過高安全區(qū)后再傳輸至新聞制作系統(tǒng)的文件擺渡系統(tǒng)與轉(zhuǎn)碼系統(tǒng)。同時，也可以借助FTP服務(wù)器與磁盤陣列，使廣電媒體文件能夠在高安全區(qū)落地，并同步形成病毒防范異構(gòu)查殺。

3.2 綜合制作域安全保障體系

3.2.1 邊界安全

在主干平臺的邊界按要求布置2臺防火墻，以此對輸入及輸出系統(tǒng)未授權(quán)數(shù)據(jù)包的細(xì)粒度進(jìn)行訪問控制，對于系統(tǒng)內(nèi)部與外部的交互信息資源，可通過防火墻白名單機(jī)制進(jìn)行控制，以拒絕未被允許及授權(quán)的訪問請求，進(jìn)而保證廣電網(wǎng)絡(luò)系統(tǒng)的安全性。

3.2.2 主機(jī)安全

首先，通過廣電服務(wù)器安全管理中心進(jìn)行網(wǎng)絡(luò)防病毒系統(tǒng)的部署，以確保制作域與制播域不會受到惡意代碼攻擊。其次，通過廣電服務(wù)器安全管理中心進(jìn)行終端安全管理系統(tǒng)的部署，以保證制作域與制播域終端的安全性。對內(nèi)部終端予以集中安全防護(hù)、安全監(jiān)控、安全審計，并通過系統(tǒng)補丁自動分發(fā)，實現(xiàn)對重要信息的防護(hù)，防止信息泄露、外聯(lián)，避免非法設(shè)備接入內(nèi)網(wǎng)，進(jìn)而實現(xiàn)終端資產(chǎn)的有效防護(hù)。

3.2.3 安全審計

在廣電系統(tǒng)安全管理中心按要求分別部署兩臺日志審計、數(shù)據(jù)庫審計以及運維審計系統(tǒng)，以實現(xiàn)對制作域的安全審計。首先，日志審計系統(tǒng)即是將部署在制作域中的安全設(shè)備、操作系統(tǒng)以及應(yīng)用系統(tǒng)中的各種日志、事件、預(yù)警等集中后予以日志歸并，以便于用戶實現(xiàn)對制作域日志的統(tǒng)一集中監(jiān)控，并將統(tǒng)計分析得出的數(shù)據(jù)經(jīng)單一控制臺統(tǒng)一發(fā)送至安全管理中心，以對廣電系統(tǒng)的安全事件予以分析。其次，數(shù)據(jù)庫審計系統(tǒng)能夠最大限度防范系統(tǒng)中潛在的各類風(fēng)險，且通過查詢接口，管理人員能夠?qū)崿F(xiàn)查詢、分析、取證、判斷，以及時發(fā)現(xiàn)與控制風(fēng)險因素。一旦發(fā)現(xiàn)系統(tǒng)存在非正常定義的操作，就會第一時間預(yù)警用戶進(jìn)行問題查找與處理。另外，運維審計系統(tǒng)能夠?qū)崿F(xiàn)用戶操作的身份認(rèn)證與權(quán)限管理，并具備安全風(fēng)險防范及輸入輸出審計，其能夠記錄用戶所有的操作指令及輸出信息，對多平臺的多種圖形終端操作做審計，并將安全審計日志統(tǒng)一傳送至安全管理中心予以分析統(tǒng)計管理。

3.2.4 入侵檢測

通過入侵檢測系統(tǒng)的部署，能夠?qū)崿F(xiàn)對非法入侵行為予以實時監(jiān)控。同時，在發(fā)現(xiàn)可疑的數(shù)據(jù)文件傳輸時，能及時預(yù)警并采取防范措施。同時，對于廣電內(nèi)容生產(chǎn)網(wǎng)部署的入侵檢測系統(tǒng)，能夠?qū)χ谱饔虻恼`操作或內(nèi)部攻擊予以實時保護(hù)，并在系統(tǒng)遭受風(fēng)險前進(jìn)行響應(yīng)與報警。

3.3 制播混合域安全保障體系

3.3.1 邊界安全

首先，在廣電節(jié)目的制作系統(tǒng)與整備系統(tǒng)邊界按要求部署UTM網(wǎng)關(guān)，原主干的IUTM網(wǎng)絡(luò)進(jìn)行關(guān)閉，以對系統(tǒng)中傳輸?shù)臄?shù)據(jù)包能夠?qū)崿F(xiàn)細(xì)粒度的訪問控制；防火墻通過白名單機(jī)制，實現(xiàn)對系統(tǒng)內(nèi)外交互資源的安全控制，并對未被允許的訪問請求進(jìn)行拒絕，進(jìn)而保證廣電網(wǎng)絡(luò)系統(tǒng)的安全性。其次，由于總編業(yè)務(wù)管理系統(tǒng)相對較小，因此，可將其直接接入整備系統(tǒng)邊界的UTM網(wǎng)關(guān)，如此不僅降低了系統(tǒng)安全防護(hù)成本，而且也能夠?qū)崿F(xiàn)對業(yè)務(wù)系統(tǒng)的安全防護(hù)。另外，廣電節(jié)目制作與整備系統(tǒng)間進(jìn)行緊急鏈路的構(gòu)建，以促使主干平臺出現(xiàn)故障時，節(jié)目制作系統(tǒng)能夠借助緊急鏈路向節(jié)目整備系統(tǒng)進(jìn)行備播節(jié)目內(nèi)容的傳輸，同時，在緊急鏈路中根據(jù)實際部署相應(yīng)臺數(shù)的病毒網(wǎng)關(guān)，進(jìn)而確保緊急備播節(jié)目不會受到惡意代碼攻擊。

3.3.2 主機(jī)安全

通過廣電服務(wù)器安全管理中心進(jìn)行網(wǎng)絡(luò)防病毒系統(tǒng)的部署，以防止惡意代碼對制作域與制播域的攻擊。對內(nèi)部終端予以集中安全防護(hù)、安全監(jiān)控、安全審計，并通過系統(tǒng)補丁自動分發(fā)，實現(xiàn)對重要信息的防護(hù)，防止信息泄露、外聯(lián)，避免非法設(shè)備接入內(nèi)網(wǎng)，進(jìn)而實現(xiàn)終端資產(chǎn)的有效防護(hù)。

3.3.3 安全審計

在廣電系統(tǒng)安全管理中心按要求分別部署相應(yīng)臺數(shù)的日志審計、數(shù)據(jù)庫審計以及運維審計系統(tǒng)，進(jìn)而實現(xiàn)對制播域的安全審計。首先，日志審計系統(tǒng)是通過對系統(tǒng)日志予以歸并與分析，進(jìn)而使用戶能夠?qū)χ撇ビ蛉罩镜慕y(tǒng)一監(jiān)控，并將統(tǒng)計分析得出的數(shù)據(jù)經(jīng)控制臺統(tǒng)一發(fā)送至安全管理中心，用于廣電系統(tǒng)安全事件的關(guān)聯(lián)分析。其次，數(shù)據(jù)庫審計系統(tǒng)是能夠為系統(tǒng)提供審計事件查詢、統(tǒng)計分析風(fēng)險條件，并通過其所具備多樣化的關(guān)聯(lián)查詢分析功能，保證數(shù)據(jù)以靈活多樣的形式展現(xiàn)，并為用戶提供報表模板與定制化的報表。另外，運維審計系統(tǒng)能夠?qū)崿F(xiàn)對多個平臺的不同種圖形的終端操作進(jìn)行審計，并通過Syslog方式向系統(tǒng)安全管理中心傳送安全審計日記進(jìn)行分析。

3.3.4 入侵檢測

通過入侵檢測系統(tǒng)的部署，能夠?qū)崿F(xiàn)對制播域內(nèi)的入侵行為予以實時監(jiān)控。同時，將入侵檢測系統(tǒng)部署與廣電內(nèi)容生產(chǎn)網(wǎng)內(nèi)部，以對來自于制播域的誤操作與非法攻擊予以實時保護(hù)，確保系統(tǒng)在受到威脅時提前響應(yīng)與報警。

3.4 播出域安全保障體系

3.4.1 邊界安全

對于廣電送播系統(tǒng)的元數(shù)據(jù)與媒體數(shù)據(jù)等信息，可利用UTM網(wǎng)關(guān)與防火墻對惡意代碼入侵及非法訪問進(jìn)行控制，節(jié)目內(nèi)容播出串聯(lián)單分發(fā)可利用安全隔離網(wǎng)閘對文件格式進(jìn)行過濾。

3.4.2 主機(jī)安全

通過網(wǎng)絡(luò)防病毒系統(tǒng)的部署，對播出域潛在的惡意代碼攻擊進(jìn)行安全防護(hù)。

3.4.3 強(qiáng)制訪問控制

對于廣電播出系統(tǒng)而言，遷移服務(wù)器等接口類服務(wù)器往往面臨的風(fēng)險較大，因此，可部署基于操作系統(tǒng)的主機(jī)安全加固系統(tǒng)，以實現(xiàn)安全標(biāo)記及強(qiáng)制訪問控制的需求。強(qiáng)制訪問控制是對某組設(shè)定的數(shù)據(jù)制定確定的操作程序來實現(xiàn)。在發(fā)現(xiàn)有訪問需求時，對該程序執(zhí)行進(jìn)行調(diào)用，進(jìn)而確定是否允許此次訪問進(jìn)行操作。

3.4.4 入侵檢測

通過入侵檢測設(shè)備的部署，對播出域出現(xiàn)的非法入侵及攻擊行為予以實時監(jiān)控，一旦發(fā)現(xiàn)存在可疑的文件傳輸，則立即預(yù)警并進(jìn)行處理。對于播出域內(nèi)部署的入侵檢測設(shè)備，可對系統(tǒng)內(nèi)部攻擊或誤操作等行為予以實時保護(hù)，并在系統(tǒng)受到威脅時提前響應(yīng)與預(yù)警。

3.4.5 漏洞掃描

對廣電網(wǎng)絡(luò)、操作系統(tǒng)、數(shù)據(jù)庫以及安全設(shè)備等存在的漏洞，可通過在臺內(nèi)部署相應(yīng)的漏洞掃描設(shè)備進(jìn)行掃描。通過漏洞掃描能夠及時發(fā)現(xiàn)廣電網(wǎng)絡(luò)存在的漏洞及薄弱之處，并生成檢測報告與安全處理措施。

3.4.6 安全審計

對播出域的安全審計，可通過數(shù)據(jù)庫審計、運維審計等系數(shù)的部署來實現(xiàn)。其中，數(shù)據(jù)庫審計系統(tǒng)能夠為系統(tǒng)數(shù)據(jù)提供多樣的審計查詢與統(tǒng)計分析條件，并通過豐富多樣的關(guān)聯(lián)查詢分析，保證數(shù)據(jù)以靈活多樣的形式展現(xiàn)，為用戶提供報表模板與定制化的報表。運維審計系統(tǒng)能夠?qū)τ脩舻乃胁僮髦噶罴拜敵鲂畔⑦M(jìn)行記錄，對多個平臺的不同種圖形的終端操作進(jìn)行審計，并通過Syslog方式向系統(tǒng)安全管理中心傳送安全審計日記進(jìn)行分析。

3.4.7 安全管理平臺

通過在播出域進(jìn)行安全管理平臺的部署，以對播出系統(tǒng)的安全事件予以集中分析，并對網(wǎng)絡(luò)、主機(jī)以及應(yīng)用系統(tǒng)的運行情況予以監(jiān)控，對存在的安全風(fēng)險與變化予以預(yù)警。另外，通過分布式部署的模式，節(jié)目內(nèi)容生產(chǎn)網(wǎng)進(jìn)行數(shù)據(jù)采集引擎的部署，以對前端日志進(jìn)行采集與過濾，將日志進(jìn)行標(biāo)準(zhǔn)化處理后發(fā)送至安全管理平臺予以集中分析、管理，并定期生成系統(tǒng)安全報表。

4.結(jié)語

廣電網(wǎng)絡(luò)作為我國最為關(guān)鍵的基礎(chǔ)網(wǎng)絡(luò)之一，在現(xiàn)如今媒體深度融合的新形勢下，已逐漸從“封閉”轉(zhuǎn)為“開放”，帶來諸多發(fā)展機(jī)遇的同時，也使其信息安全問題變得越發(fā)突出。因此，應(yīng)基于時下形勢，積極改進(jìn)與完善現(xiàn)有廣電信息安全保障體系，做好常態(tài)化系統(tǒng)安全運維，定期進(jìn)行安全測評、安全檢查，并制定切實有效的應(yīng)急響應(yīng)機(jī)制，以最大化減少與消除各類安全隱患的萌生。