广播电视台内域网安全防护范文

《计算机安全杂志》2014年第六期

1广播电视台网

1.1定义和结构广播电视台网是指以现代信息技术和数字广播电视技术为基础，以计算机网络为核心，实现广播电视节目的采集、编辑、存储、播出交换以及相关管理等辅助功能的网络化系统。图1给出了一般的广播电视台网的总体框架。如图1所示，广播电视台网由基础支撑平台、业务支撑平台、业务系统、统一信息门户组成。从业务类型的角度广播电视台网包含两大部分：节目生产板块和综合管理板块。节目生产板块一般包含以下功能系统：采集交换系统、新闻制播系统、综合制作系统、数字内容管理系统、节目收录系统、播出分发系统、广告串编系统等。综合管理板块一般包含以下功能系统：节目生产管理系统、广告管理系统、设备资源管理系统、办公自动化系统等。从物理结构的角度广播电视台网包含两大部分：业务网和办公网。业务网和办公网一般在物理上完全分离，不共用网络链路和设备。最初的节目生产板块与业务网、综合管理板块与办公网是一一对应的。随着业务融合程度的加深，管理系统的业务模块可以纳入生产板块，生产板块的业务模块也可以在办公网上运行。例如：有些电视台将新闻文稿管理纳入了新闻制播板块，将总编室编播管理纳入了数字内容管理板块；为了综合利用办公资源，有些电视台提出了“桌面化”的概念，将生产板块中的收录申请、素材检索、低码流编辑、审片等业务模块，部署到办公网络，从而可以在办公网的桌面终端完成一部分生产业务功能。图1广播电视台网总体框架

1.2安全要求安全生产播出是广播电视台的生命线，是一切工作的重中之重。在数字化、网络化后，技术系统的复杂程度显著提高，传统的工作模式发生根本改变。因此，必须建立完善的安全防范机制，从系统、网络数据、运维等不同层面，保障系统高可用和端到端的安全。根据相关标准[2-7]，可以得出我国各级广播电视中心中的等级保护定级情况，如表1所示；根据相关指南，陕西台系统定级结果如表2所示。

2常用防护技术

2.1防火墙防火墙（Firewall）是一项协助确保信息安全的设备，会依照特定的规则，允许或是限制传输的数据通过。防火墙可能是一台专属的硬件或是架设在一般硬件上的一套软件。防火墙最基本的功能就是隔离网络，通过将网络划分成不同的区域，制定出不同区域之间的访问控制策略来控制不同信任程度区域间传送的数据流。可通过NAT隐藏保护网段的IP地址，采用包过滤和状态检测进行逻辑隔离，配置简便，具有直观的实时监控、日志分析功能。缺点是对通过文件传染的病毒无能为力，对蠕虫病毒、木马、恶意攻击的防护能力有限。在网络流量大时，防火墙对网络性能有影响。

2.2入侵防御入侵预防系统（IntrusionPreventionSystem，IPS）是一部能够监视网络数据传输行为的计算机网络安全设备，能够实时地中断、调整或隔一些不正常或是具有伤害性的网络数据传输行为。入侵预防系统可以专门深入网络数据内部，查找它所认识的攻击代码特征，过滤有害数据流，丢弃有害数据包，并进行记载，以便事后分析。除此之外，大部分的IPS会结合考虑应用程序和网络传输层的异常情况，来辅助识别入侵和攻击。缺点是功能仅限于隔离蠕虫病毒和网络攻击，存在漏报、误动作的可能，网络流量大时，IPS对网络性能有影响。

2.3主机加固主机加固软件是一种专门针对服务器系统的优化防护软件，在操作系统的底层对多类资源（文件、注册表、进程、网络访问）等做安全防护，针对病毒和木马可能的发作机制做主动防御，对服务器系统禁止访问的关键资源做了控制。陈伟东等[8]提出一种融合TSOC（可信服务器安全运营平台）理念和自主研发的ROST（加固操作系统）技术，可以透明地提升服务器操作系统的安全级别。在内核层对安全威胁的主体和客体等加以鉴别控制。在内核层对文件、注册表、进程等做强制访问控制。缺点是只针对操作系统进行安全防护，需要与网络、硬件等安全措施配合使用。

2.4杀毒软件杀毒软件（Antivirussoftware）是用于侦测、移除计算机病毒、计算机蠕虫、和特洛伊木马程序的应用软件。杀毒软件通常含有实时程序监控识别、恶意程序扫描和清除和自动更新病毒数据库等功能，有的杀毒软件附加损害恢复等功能，杀毒软件所赋予的任务是随时监控计算机程序的举动、及扫描系统是否含有病毒等恶意程序。杀毒软件最基本的功能是防范病毒、查找病毒、清除病毒。可在一定程度上避免计算机感染病毒。缺点是占用服务器和工作站资源，可能会与个别应用软件发生冲突。

2.5VPNVPN（VirtualPrivateNetwork，虚拟专用网络）指的是在公用网络上建立专用网络的技术。其之所以称为虚拟网，主要是因为整个VPN网络的任意两个节点之间的连接并没有传统专网所需的端到端的物理链路，而是架构在公用网络服务商所提供的网络平台，如Internet、ATM（异步传输模式）、FrameRelay（帧中继）等之上的逻辑网络，用户数据在逻辑链路中传输。它涵盖了跨共享网络或公共网络的封装、加密和身份验证链接的专用网络的扩展。VPN使用加密隧道协议，通过阻止截听与嗅探来提供机密性，还允许发送者身份验证，以阻止身份伪造，同时通过防止信息被修改提供消息完整性。VPN可以实现对业务网的扩展，在办公网和业务网之间建立可信的安全连接，并保证数据的安全传输。缺点是通过VPN方式接入业务网的办公电脑，其性能、安全性、可用性往往不在自己控制的范围内。

2.6物理隔离网闸物理隔离网闸是一种由带有多种控制功能专用硬件在电路上切断网络之间的链路层连接，并能够在网络间进行安全适度的应用数据交换的网络安全设备。物理隔离网闸，是利用双主机形式，从物理上来隔离阻断潜在攻击的连接。其中包括一系列的阻断特征，如没有通信连接、没有命令、没有协议、没有TCP/IP连接、没有应用连接、没有包转发，只有文件“摆渡”，对固态介质只有读和写两个命令。其结果是无法攻击，无法入侵，无法破坏。缺点是对网络性能有影响，不能满足多系统交互、高实时性、大流量的要求。

3基于应用类型的安全防护策略

通过以上分析可知，每一项安全防护技术都只能解决某一方面的安全问题，一劳永逸的方法是不存在的。因此在实际项目中，往往采用多种安全技术进行组合，从而实现多层次、多方位、立体化的网络安全防御体系。一般的思路是在互通链路上部署防火墙、IPS、物理隔离网闸等，在服务器端部署主机加固系统、杀毒软件等，或者通过VPN连接。这种思路存在着效率与安全之间的矛盾，即安全性与设备串接的数量成正比，设备串接的数量与系统效率成反比。在这种思路下，如何取得效率与安全两方面的平衡，如何确定最优的搭配，往往使系统设计者和使用者陷入两难境地。本文提出一种基于应用类型的安全防护策略，主要思想是对需要互联互通的两个计算机网络系统进行详细分析，根据实际情况和相关标准或法规，确定出系统的安全级别；对从低安全级别系统流向高安全级别系统的数据进行重点分析，按照应用类型进行分类；在此基础上针对每一种具体类型设计不同的物理链路；在各自的物理链路上根据每种应用类型的特点有的放矢，制定最有效的安全预警和防护措施；通过统一调度平台来区分用户请求并进行链路调度。一方面，针对不同应用的特点选用专门的安全措施，防护效果更好；另一方面，将流量分摊到不同的链路，传输效率更高。在陕西台的实际环境中，业务网等保定级为二级，办公网未纳入等保定级范围，业务网的安全要求显然要高于办公网。因此，从办公网流向业务网的数据就要重点防范，而从业务网流向办公网的数据相对安全。通过分析业务需求可将交互数据分类为四种类型：文件类型、消息类型、服务调用和流媒体，可对应建立三条物理通道：控制信息及元数据传输通道、办公网至业务网数据传输通道、业务网至办公网数据传输通道。再针对每条通道传输数据的特点部署不同的安全措施。

4结语

本文首先对内域网的定义和安全防护进行了综述，然后介绍了广播电视台网的定义和一般结构，分析了常见安全防护措施的优缺点。最后结合广播电视具体业务提出基于应用类型的安全防护策略，在实际项目中应用效果良好。

作者：史国宝单位：陕西广播电视台