廣電云媒體電視平臺(tái)安全防護(hù)建設(shè)之道

顏唐林

摘要：為了保障廣電云媒體電視平臺(tái)能夠安全、穩(wěn)定、持續(xù)的對(duì)外提供服務(wù)，需要從多個(gè)層面展開安全建設(shè)。

關(guān)鍵詞：云媒體電視平臺(tái)

在信息技術(shù)迅猛發(fā)展的今天，云計(jì)算正一步步走進(jìn)人們的視線，成為當(dāng)今最炙手可熱的新技術(shù)。在互聯(lián)網(wǎng)行業(yè)，云計(jì)算已經(jīng)得到廣泛的應(yīng)用，包括谷歌、微軟、IBM等公司紛紛推出了各自的云計(jì)算平臺(tái)，搜索引擎、網(wǎng)絡(luò)信箱更是與互聯(lián)網(wǎng)用戶有著密不可分的關(guān)系，但這些應(yīng)用仍然只是云計(jì)算應(yīng)用的一小部分。

在三網(wǎng)融合的浪潮下，互聯(lián)網(wǎng)視頻的異軍突起，使得廣電傳統(tǒng)視頻業(yè)務(wù)面臨著巨大挑戰(zhàn)。迫于發(fā)展壓力，廣電行業(yè)不得不在短時(shí)間內(nèi)建設(shè)多套業(yè)務(wù)系統(tǒng)，推出新的業(yè)務(wù)。由于國(guó)內(nèi)多數(shù)已部署的互動(dòng)平臺(tái)系統(tǒng)中不同組件之間大多缺乏明確界定的開放式接口和協(xié)議，從而導(dǎo)致大量重復(fù)投資建設(shè)，維護(hù)成本增加，系統(tǒng)擴(kuò)容和業(yè)務(wù)融合的難度越來越大。為了保障廣電云媒體電視平臺(tái)能夠安全、穩(wěn)定、持續(xù)地對(duì)外提供服務(wù)，需要從多個(gè)層面展開安全建設(shè)。

云媒體電視平臺(tái)具體應(yīng)用類型

OTT平臺(tái)：OTT平臺(tái)作為原本獨(dú)立的DTV平臺(tái)與Internet平臺(tái)間的橋梁，將DTV的視頻點(diǎn)播、直播業(yè)務(wù)引入到Internet服務(wù)平臺(tái)，將可利用的Internet業(yè)務(wù)引入到DTV平臺(tái)；從用戶層面上，可保證用戶從不同終端均能訪問OTT平臺(tái)，獲取不同的業(yè)務(wù)服務(wù)。

電視互聯(lián)網(wǎng)平臺(tái)：提供新聞、視頻節(jié)目及其他互動(dòng)功能的web門戶站點(diǎn)。

云媒體電視平臺(tái)安全分析及防護(hù)建設(shè)

一、業(yè)務(wù)類型分析。OTT系統(tǒng)是面向廣電運(yùn)營(yíng)商，為了提供全面的、整體的視頻解決方案，包括媒資的注入、打包、分發(fā)、產(chǎn)品化管理、推流、多終端適配、碼流自適應(yīng)等各個(gè)環(huán)節(jié)，滿足用戶高質(zhì)量體驗(yàn)需求。OTT系統(tǒng)融合數(shù)家國(guó)際上成功運(yùn)營(yíng)的OTT系統(tǒng)的架構(gòu)體系，同時(shí)兼顧國(guó)內(nèi)廣電運(yùn)營(yíng)商目前現(xiàn)有的系統(tǒng)情況，符合業(yè)界使用廣泛的NGOD標(biāo)準(zhǔn)；遵循開放、可用、可靠、可管、可控、可維護(hù)等原則，并為媒資、廣告等系統(tǒng)提供規(guī)范的接口。

OTT平臺(tái)為有線數(shù)字電視平臺(tái)的補(bǔ)充，可以將直播頻道、VOD平臺(tái)視頻點(diǎn)播資源引進(jìn)互聯(lián)網(wǎng)接入業(yè)務(wù)平臺(tái)，從而形成覆蓋個(gè)人計(jì)算機(jī)、手機(jī)、PAD等移動(dòng)多媒體終端的視頻服務(wù)體系。OTT平臺(tái)為互聯(lián)網(wǎng)接入平臺(tái)的補(bǔ)充，可以引導(dǎo)寬帶互聯(lián)網(wǎng)接入用戶訪問OTT平臺(tái)獲取視頻點(diǎn)播內(nèi)容，從而降低寬帶互聯(lián)網(wǎng)出口壓力；另一方面，通過該平臺(tái)提供高質(zhì)量的音視頻點(diǎn)播、直播內(nèi)容，能夠顯著提高用戶相關(guān)體驗(yàn)，有利于寬帶互聯(lián)網(wǎng)接入業(yè)務(wù)的推廣。

二、網(wǎng)絡(luò)現(xiàn)狀。OTT平臺(tái)當(dāng)前網(wǎng)絡(luò)現(xiàn)狀如圖1所示。

當(dāng)前，OTT業(yè)務(wù)平臺(tái)連接云媒體電視核心平臺(tái)實(shí)現(xiàn)數(shù)據(jù)交互，安全防護(hù)措施只有防火墻系統(tǒng)實(shí)現(xiàn)部分區(qū)域的邏輯隔離。

三、風(fēng)險(xiǎn)分析。（一）網(wǎng)絡(luò)結(jié)構(gòu)產(chǎn)生的風(fēng)險(xiǎn)。OTT業(yè)務(wù)平臺(tái)沒有進(jìn)行VLAN劃分，不同應(yīng)用類型服務(wù)器之間均可進(jìn)行互相通信。如果OTT業(yè)務(wù)平臺(tái)中的某臺(tái)服務(wù)器被攻陷，會(huì)影響整個(gè)服務(wù)器上的承載的業(yè)務(wù)，將會(huì)帶來很大的風(fēng)險(xiǎn)，嚴(yán)重破壞信息的可用性、機(jī)密性及其完整性。

（二）網(wǎng)絡(luò)邊界接入的風(fēng)險(xiǎn)。OTT業(yè)務(wù)平臺(tái)在該出口部署了防火墻設(shè)備，而忽略了內(nèi)部的邊界，如服務(wù)器邊界，而這些邊界卻能帶來巨大的風(fēng)險(xiǎn)。如內(nèi)部人員可以攻擊服務(wù)器邊界或者安全區(qū)域以及其他區(qū)域的邊界，會(huì)導(dǎo)致重要數(shù)據(jù)泄露或者網(wǎng)絡(luò)不可用等風(fēng)險(xiǎn)。

（三）網(wǎng)絡(luò)節(jié)點(diǎn)局域網(wǎng)安全風(fēng)險(xiǎn)。根據(jù)調(diào)查，在已發(fā)生的危害網(wǎng)絡(luò)安全的事件中，約80%來自內(nèi)部網(wǎng)絡(luò)，根據(jù)OTT業(yè)務(wù)平臺(tái)的情況分析，面臨的安全風(fēng)險(xiǎn)主要是：

1.由于OTT業(yè)務(wù)平臺(tái)在局域網(wǎng)內(nèi)部，沒有明確界定不同用戶、不同信息和不同系統(tǒng)安全級(jí)別，沒有實(shí)現(xiàn)基于安全域的訪問控制，給關(guān)鍵系統(tǒng)和信息的安全保護(hù)帶來了風(fēng)險(xiǎn)。

2.在內(nèi)部網(wǎng)不同安全域之間普遍沒有防護(hù)措施，不能有效抵御內(nèi)部的安全威脅。

3.內(nèi)部人員有意或無意間泄露內(nèi)部網(wǎng)絡(luò)結(jié)構(gòu)、賬號(hào)、口令等重要信息，為針對(duì)網(wǎng)絡(luò)的攻擊提供了條件。

4.針對(duì)路由器、交換機(jī)的攻擊，造成路由破壞。

（四）邊界粗粒度控制帶來的安全風(fēng)險(xiǎn)。由于OTT業(yè)務(wù)平臺(tái)在邊界處僅僅通過防火墻的技術(shù)做訪問控制，現(xiàn)在的攻擊很多是基于應(yīng)用層來實(shí)現(xiàn)的，如文件型病毒、蠕蟲、木馬等，而這些攻擊防火墻顯得無能為力。因此如果不對(duì)邊界進(jìn)行深度訪問控制，將會(huì)出現(xiàn)數(shù)據(jù)泄漏、網(wǎng)絡(luò)上充滿大量攻擊數(shù)據(jù)包等重大風(fēng)險(xiǎn)。

（五）配置缺陷的風(fēng)險(xiǎn)。1.缺乏對(duì)操作系統(tǒng)基本安全配置的指導(dǎo)，導(dǎo)致某些主機(jī)由于配置不規(guī)范如弱口令、文件共享等被作為跳板來攻擊其他機(jī)器。

2.重要應(yīng)用和服務(wù)器的數(shù)量種類日益增多，對(duì)業(yè)務(wù)系統(tǒng)資產(chǎn)，如操作系統(tǒng)和支撐的數(shù)據(jù)庫(kù)、網(wǎng)絡(luò)中間件，以及網(wǎng)絡(luò)邊界的路由器、交換機(jī)、防火墻等設(shè)備配置，無法準(zhǔn)確了解且配置是否符合基本安全要求，一旦發(fā)生維護(hù)人員誤操作，或者采用一成不變的初始系統(tǒng)設(shè)置而忽略了對(duì)安全控制的要求，就可能會(huì)極大地影響系統(tǒng)的正常運(yùn)轉(zhuǎn)。

（六）系統(tǒng)漏洞風(fēng)險(xiǎn)。蒼蠅不叮無縫的蛋，入侵者只要找到復(fù)雜的計(jì)算機(jī)網(wǎng)絡(luò)中的一個(gè)縫，就能輕而易舉地闖入系統(tǒng)。所以了解這些縫都有可能在哪里，對(duì)于修補(bǔ)它們至關(guān)重要。通常裂縫主要表現(xiàn)在軟件編寫存在BUG、系統(tǒng)配置不當(dāng)、口令失竊、明文通訊信息被監(jiān)聽以及初始設(shè)計(jì)存在缺陷等方面。無論是服務(wù)器程序、客戶端軟件還是操作系統(tǒng)，只要是用代碼編寫的東西，就會(huì)存在不同程度的BUG。當(dāng)前OTT業(yè)務(wù)平臺(tái)不具備漏洞監(jiān)測(cè)機(jī)制，對(duì)平臺(tái)系統(tǒng)中的漏洞無法做到快速預(yù)警及響應(yīng)。

（七）家庭終端機(jī)頂盒連接OTT業(yè)務(wù)平臺(tái)風(fēng)險(xiǎn)。終端用戶通過機(jī)頂盒以太網(wǎng)口能夠輕松獲取IP地址，便可連接廣電云媒體平臺(tái)相當(dāng)一部分服務(wù)器或應(yīng)用系統(tǒng)。只要用戶具備基本的網(wǎng)絡(luò)知識(shí)及安全攻防技術(shù)即可實(shí)現(xiàn)對(duì)廣電云媒體電視平臺(tái)中多數(shù)服務(wù)器進(jìn)行掃描，一旦掃描發(fā)現(xiàn)漏洞即可采用對(duì)應(yīng)的入侵工具對(duì)廣電當(dāng)前系統(tǒng)實(shí)施攻擊，輕則導(dǎo)致業(yè)務(wù)系統(tǒng)負(fù)載過高，重則導(dǎo)致云媒體平臺(tái)某些業(yè)務(wù)終端，甚至某些系統(tǒng)頁(yè)面有被篡改的風(fēng)險(xiǎn)。

四、需求分析。通過以上風(fēng)險(xiǎn)分析，OTT業(yè)務(wù)平臺(tái)需要從結(jié)構(gòu)安全、邊界安全、漏洞預(yù)警、基線配置檢查、運(yùn)維管理等多個(gè)維度進(jìn)行建設(shè)。

建設(shè)防守思路分析

建設(shè)思路分別從產(chǎn)品技術(shù)層面和安全服務(wù)層面展開，具體內(nèi)容描述如下。

一、方案參考標(biāo)準(zhǔn)。本方案參考了國(guó)內(nèi)以下信息安全技術(shù)標(biāo)準(zhǔn)和規(guī)范：GB/T 22239-2008 （《信息安全技術(shù)——信息系統(tǒng)安全等級(jí)保護(hù)基本要求》）、GB/T 22240-2008 （信息安全技術(shù)——信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南）、GB/T 25070-2010（信息安全技術(shù)——信息系統(tǒng)安全等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求）、《廣播電視安全播出管理規(guī)定及各專業(yè)實(shí)施細(xì)則》（廣電總局62號(hào)令）、GD/J 038-2011（《廣播電視相關(guān)信息系統(tǒng)——安全等級(jí)保護(hù)基本要求》）。

二、安全技術(shù)層面建設(shè)。

（一）網(wǎng)絡(luò)結(jié)構(gòu)安全。建議對(duì)OTT業(yè)務(wù)應(yīng)用平臺(tái)網(wǎng)絡(luò)區(qū)域進(jìn)行調(diào)整，根據(jù)其應(yīng)用特點(diǎn)劃分網(wǎng)絡(luò)域、核心域、計(jì)算域。在應(yīng)用服務(wù)區(qū)之間進(jìn)行路由控制建立安全的訪問路徑，劃分不同的子網(wǎng)或網(wǎng)段，并按照方便管理和控制的原則為各子網(wǎng)、網(wǎng)段分配地址段；避免將重要網(wǎng)段部署在網(wǎng)絡(luò)邊界處且直接連接外部信息系統(tǒng)，重要網(wǎng)段與其他網(wǎng)段之間采取可靠的技術(shù)隔離手段。

（二）邊界防護(hù)建設(shè)。1.在云媒體電視平臺(tái)網(wǎng)絡(luò)建設(shè)示圖（圖2）中區(qū)域邊界處，即云媒體核心交換機(jī)側(cè)與OTT業(yè)務(wù)平臺(tái)交換機(jī)側(cè)，按GD/J 038-2011 《廣播電視相關(guān)信息系統(tǒng)安全等級(jí)保護(hù)基本要求》部署防火墻，構(gòu)造安全區(qū)域邊界。對(duì)廣播業(yè)務(wù)前端網(wǎng)絡(luò)和雙向業(yè)務(wù)前端網(wǎng)絡(luò)的服務(wù)器和應(yīng)用系統(tǒng)進(jìn)行安全防護(hù)。

2.在應(yīng)用服務(wù)器區(qū)1邊界處部署入侵防護(hù)系統(tǒng)（IPS）實(shí)現(xiàn)對(duì)端口掃描、強(qiáng)力攻擊、木馬后門攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊等行為進(jìn)行阻斷；當(dāng)檢測(cè)到攻擊行為時(shí)，能夠記錄攻擊源IP、攻擊類型、攻擊目的、攻擊時(shí)間，在發(fā)生嚴(yán)重入侵事件時(shí)能夠阻斷并報(bào)警。另外，機(jī)頂盒端上存在以太口，一旦利用網(wǎng)線連接電腦可以自動(dòng)獲取IP地址，直接與廣電云媒體平臺(tái)相通，并能夠直接與OTT平臺(tái)進(jìn)行通信，具備安全基礎(chǔ)知識(shí)的外部人員可以對(duì)云媒體電視平臺(tái)的其他主機(jī)以及OTT應(yīng)用平臺(tái)進(jìn)行掃描甚至入侵。OTT應(yīng)用平臺(tái)應(yīng)用服務(wù)器區(qū)1外部可以直接訪問，為此在應(yīng)用服務(wù)器區(qū)1前端部署入侵防護(hù)系統(tǒng)阻斷從家庭網(wǎng)絡(luò)發(fā)起對(duì)機(jī)頂盒或網(wǎng)關(guān)等終端的非法入侵。

3.FTP服務(wù)器需要訪問合作伙伴視頻庫(kù)，為了防止蠕蟲、病毒、惡意代碼等威脅進(jìn)入廣電云媒體平臺(tái)，在FTP服務(wù)器邊界部署防毒墻（即防病毒網(wǎng)關(guān)）阻斷惡意代碼任意擴(kuò)散。

（三）漏洞預(yù)警建設(shè)。在云媒體電視平臺(tái)運(yùn)維管理區(qū)部署漏洞掃描系統(tǒng)對(duì)該平臺(tái)中的漏洞、弱口令等脆弱性進(jìn)行定期安全檢查并提供預(yù)警響應(yīng)，對(duì)發(fā)現(xiàn)的網(wǎng)絡(luò)系統(tǒng)安全漏洞進(jìn)行及時(shí)的修補(bǔ)。通過漏洞掃描系統(tǒng)能夠落實(shí)評(píng)估與漏洞修補(bǔ)工作，真正重視漏洞管理、修補(bǔ)漏洞是阻斷攻擊者實(shí)施攻擊的有效途徑，從而也可以有效阻斷蠕蟲攻擊。

（四）統(tǒng)一安全基線建設(shè)。安全基線配置核查系統(tǒng)是一款專門檢測(cè)各類設(shè)備（操作系統(tǒng)、網(wǎng)絡(luò)設(shè)備、應(yīng)用系統(tǒng)、安全設(shè)備）存在不規(guī)范配置的工具，系統(tǒng)具備完善的安全配置檢查點(diǎn)，采用高效、智能的識(shí)別技術(shù)，第一時(shí)間主動(dòng)對(duì)網(wǎng)絡(luò)中的資產(chǎn)設(shè)備進(jìn)行細(xì)致深入的安全配置監(jiān)測(cè)、分析，并給用戶提供專業(yè)、有效的安全配置建議，提高檢查結(jié)果的準(zhǔn)確性和合規(guī)性。在運(yùn)維管理區(qū)部署安全基線配置核查系統(tǒng)一方面能夠?qū)崿F(xiàn)對(duì)已上線的系統(tǒng)進(jìn)行檢查，還可以針對(duì)未來新上線的系統(tǒng)進(jìn)行入網(wǎng)安全評(píng)估使用。

（五）運(yùn)維管理、審計(jì)建設(shè)。堡壘機(jī)系統(tǒng)是集中的運(yùn)維操作監(jiān)控平臺(tái)，建立基于唯一身份標(biāo)識(shí)的實(shí)名制管理，統(tǒng)一賬號(hào)管理策略，實(shí)現(xiàn)跨平臺(tái)管理，消滅管理孤島。該系統(tǒng)能夠集中訪問控制與授權(quán)，實(shí)現(xiàn)單點(diǎn)登錄和細(xì)粒度的命令級(jí)訪問授權(quán)，并實(shí)現(xiàn)基于用戶的審計(jì)，審計(jì)到人，實(shí)現(xiàn)從登錄到退出的全程操作審計(jì)，將安全運(yùn)管落到實(shí)處。

同時(shí)，通過在運(yùn)維管理區(qū)部署ESPC（日志管理平臺(tái)）實(shí)現(xiàn)對(duì)本次所部署的安全防護(hù)系統(tǒng)（FireWall、IPS、SAS-H、RSAS）進(jìn)行集中、統(tǒng)一管控。

三、安全服務(wù)層面建設(shè)。安全不是一成不變的，針對(duì)網(wǎng)絡(luò)發(fā)展的日新月異，提供產(chǎn)品防護(hù)的同時(shí)需要安全服務(wù)貫穿整個(gè)信息安全發(fā)展的始終。建議所采用具體服務(wù)內(nèi)容，包括安全評(píng)估、安全加固、應(yīng)急響應(yīng)服務(wù)，具體內(nèi)容如下。

（一）安全評(píng)估。風(fēng)險(xiǎn)評(píng)估對(duì)現(xiàn)有網(wǎng)絡(luò)中的網(wǎng)絡(luò)架構(gòu)、網(wǎng)絡(luò)協(xié)議、系統(tǒng)、數(shù)據(jù)庫(kù)等資產(chǎn)安全現(xiàn)狀進(jìn)行了解，確定在系統(tǒng)的具體環(huán)境下到底存在什么安全漏洞和安全隱患，一旦這些脆弱性被黑客利用會(huì)造成什么樣的資產(chǎn)風(fēng)險(xiǎn)和影響。在此基礎(chǔ)上，具體實(shí)施的過程中再對(duì)實(shí)施流程進(jìn)行規(guī)劃，即針對(duì)廣電云媒體電視平臺(tái)中的OTT應(yīng)用平臺(tái)的具體情況定制適合于自身的安全目標(biāo)和安全級(jí)別，然后根據(jù)所要達(dá)到的安全目標(biāo)和安全級(jí)別，在充分考慮安全性的基礎(chǔ)之上選擇和實(shí)施相應(yīng)的安全建設(shè)方案。

（二）安全加固。網(wǎng)絡(luò)安全是動(dòng)態(tài)的，需要時(shí)刻關(guān)注最新漏洞和安全動(dòng)態(tài)，制定更新的安全策略以應(yīng)對(duì)外來的入侵和蠕蟲病毒等威脅。針對(duì)廣電云媒體平臺(tái)中的OTT應(yīng)用平臺(tái)各臺(tái)服務(wù)器的漏洞和脆弱性，定期的進(jìn)行安全加固，可以使系統(tǒng)有效的抵御外來的入侵和蠕蟲病毒的襲擊，使系統(tǒng)可以長(zhǎng)期保持在高度可信的狀態(tài)。

安全加固是針對(duì)進(jìn)行評(píng)估后的主機(jī)的漏洞和脆弱性采取的一種有效的安全手段，可以幫助系統(tǒng)抵御外來的入侵和蠕蟲病毒的襲擊，使系統(tǒng)長(zhǎng)期保持在高度可信的狀態(tài)。通常對(duì)系統(tǒng)和應(yīng)用服務(wù)的安全加固包括如下方面：安裝最新補(bǔ)丁，賬號(hào)、口令策略調(diào)整，網(wǎng)絡(luò)與服務(wù)加固，文件系統(tǒng)權(quán)限增強(qiáng)，日志審核功能增強(qiáng)，安全性增強(qiáng)。

（三）應(yīng)急響應(yīng)。當(dāng)前廣電行業(yè)自身可能尚沒有足夠資源和能力對(duì)安全事故作出反應(yīng)。網(wǎng)絡(luò)安全的發(fā)展日新月異，無法實(shí)現(xiàn)一勞永逸的安全，所以當(dāng)緊急安全問題發(fā)生，一般技術(shù)人員又無法迅速解決的時(shí)候，及時(shí)發(fā)現(xiàn)問題、解決問題就必須依靠專業(yè)的應(yīng)急響應(yīng)服務(wù)來實(shí)現(xiàn)。在第一時(shí)間內(nèi)對(duì)客戶信息系統(tǒng)面臨的緊急安全事件進(jìn)行應(yīng)急響應(yīng)。緊急安全事故包括：大規(guī)模病毒爆發(fā)、網(wǎng)絡(luò)入侵事件、拒絕服務(wù)、主機(jī)或網(wǎng)絡(luò)異常事件等。

小結(jié)

在三網(wǎng)融合的大背景下，互聯(lián)互通給人們生活帶來便利的同時(shí)，也給信息系統(tǒng)安全防護(hù)建設(shè)帶來了挑戰(zhàn)。廣電網(wǎng)絡(luò)除了要從安全組織結(jié)構(gòu)、責(zé)任和體系、安全管理流程和制度方面加強(qiáng)外，還需要認(rèn)真研究《廣播電視相關(guān)信息系統(tǒng)——安全等級(jí)保護(hù)基本要求》，針對(duì)新型廣電網(wǎng)絡(luò)的復(fù)雜性和業(yè)務(wù)的多態(tài)性，設(shè)計(jì)和采用有效的信息安全解決方案。（作者單位：江西網(wǎng)絡(luò)廣播電視臺(tái)）