顏唐林

摘要：為了保障廣電云媒體電視平臺能夠安全、穩(wěn)定、持續(xù)的對外提供服務(wù)，需要從多個層面展開安全建設(shè)。

關(guān)鍵詞：云媒體電視平臺

在信息技術(shù)迅猛發(fā)展的今天，云計算正一步步走進人們的視線，成為當今最炙手可熱的新技術(shù)。在互聯(lián)網(wǎng)行業(yè)，云計算已經(jīng)得到廣泛的應(yīng)用，包括谷歌、微軟、IBM等公司紛紛推出了各自的云計算平臺，搜索引擎、網(wǎng)絡(luò)信箱更是與互聯(lián)網(wǎng)用戶有著密不可分的關(guān)系，但這些應(yīng)用仍然只是云計算應(yīng)用的一小部分。

在三網(wǎng)融合的浪潮下，互聯(lián)網(wǎng)視頻的異軍突起，使得廣電傳統(tǒng)視頻業(yè)務(wù)面臨著巨大挑戰(zhàn)。迫于發(fā)展壓力，廣電行業(yè)不得不在短時間內(nèi)建設(shè)多套業(yè)務(wù)系統(tǒng)，推出新的業(yè)務(wù)。由于國內(nèi)多數(shù)已部署的互動平臺系統(tǒng)中不同組件之間大多缺乏明確界定的開放式接口和協(xié)議，從而導(dǎo)致大量重復(fù)投資建設(shè)，維護成本增加，系統(tǒng)擴容和業(yè)務(wù)融合的難度越來越大。為了保障廣電云媒體電視平臺能夠安全、穩(wěn)定、持續(xù)地對外提供服務(wù)，需要從多個層面展開安全建設(shè)。

云媒體電視平臺具體應(yīng)用類型

OTT平臺：OTT平臺作為原本獨立的DTV平臺與Internet平臺間的橋梁，將DTV的視頻點播、直播業(yè)務(wù)引入到Internet服務(wù)平臺，將可利用的Internet業(yè)務(wù)引入到DTV平臺；從用戶層面上，可保證用戶從不同終端均能訪問OTT平臺，獲取不同的業(yè)務(wù)服務(wù)。

電視互聯(lián)網(wǎng)平臺：提供新聞、視頻節(jié)目及其他互動功能的web門戶站點。

云媒體電視平臺安全分析及防護建設(shè)

一、業(yè)務(wù)類型分析。OTT系統(tǒng)是面向廣電運營商，為了提供全面的、整體的視頻解決方案，包括媒資的注入、打包、分發(fā)、產(chǎn)品化管理、推流、多終端適配、碼流自適應(yīng)等各個環(huán)節(jié)，滿足用戶高質(zhì)量體驗需求。OTT系統(tǒng)融合數(shù)家國際上成功運營的OTT系統(tǒng)的架構(gòu)體系，同時兼顧國內(nèi)廣電運營商目前現(xiàn)有的系統(tǒng)情況，符合業(yè)界使用廣泛的NGOD標準；遵循開放、可用、可靠、可管、可控、可維護等原則，并為媒資、廣告等系統(tǒng)提供規(guī)范的接口。

OTT平臺為有線數(shù)字電視平臺的補充，可以將直播頻道、VOD平臺視頻點播資源引進互聯(lián)網(wǎng)接入業(yè)務(wù)平臺，從而形成覆蓋個人計算機、手機、PAD等移動多媒體終端的視頻服務(wù)體系。OTT平臺為互聯(lián)網(wǎng)接入平臺的補充，可以引導(dǎo)寬帶互聯(lián)網(wǎng)接入用戶訪問OTT平臺獲取視頻點播內(nèi)容，從而降低寬帶互聯(lián)網(wǎng)出口壓力；另一方面，通過該平臺提供高質(zhì)量的音視頻點播、直播內(nèi)容，能夠顯著提高用戶相關(guān)體驗，有利于寬帶互聯(lián)網(wǎng)接入業(yè)務(wù)的推廣。

二、網(wǎng)絡(luò)現(xiàn)狀。OTT平臺當前網(wǎng)絡(luò)現(xiàn)狀如圖1所示。

當前，OTT業(yè)務(wù)平臺連接云媒體電視核心平臺實現(xiàn)數(shù)據(jù)交互，安全防護措施只有防火墻系統(tǒng)實現(xiàn)部分區(qū)域的邏輯隔離。

三、風險分析。（一）網(wǎng)絡(luò)結(jié)構(gòu)產(chǎn)生的風險。OTT業(yè)務(wù)平臺沒有進行VLAN劃分，不同應(yīng)用類型服務(wù)器之間均可進行互相通信。如果OTT業(yè)務(wù)平臺中的某臺服務(wù)器被攻陷，會影響整個服務(wù)器上的承載的業(yè)務(wù)，將會帶來很大的風險，嚴重破壞信息的可用性、機密性及其完整性。

（二）網(wǎng)絡(luò)邊界接入的風險。OTT業(yè)務(wù)平臺在該出口部署了防火墻設(shè)備，而忽略了內(nèi)部的邊界，如服務(wù)器邊界，而這些邊界卻能帶來巨大的風險。如內(nèi)部人員可以攻擊服務(wù)器邊界或者安全區(qū)域以及其他區(qū)域的邊界，會導(dǎo)致重要數(shù)據(jù)泄露或者網(wǎng)絡(luò)不可用等風險。

（三）網(wǎng)絡(luò)節(jié)點局域網(wǎng)安全風險。根據(jù)調(diào)查，在已發(fā)生的危害網(wǎng)絡(luò)安全的事件中，約80%來自內(nèi)部網(wǎng)絡(luò)，根據(jù)OTT業(yè)務(wù)平臺的情況分析，面臨的安全風險主要是：

1.由于OTT業(yè)務(wù)平臺在局域網(wǎng)內(nèi)部，沒有明確界定不同用戶、不同信息和不同系統(tǒng)安全級別，沒有實現(xiàn)基于安全域的訪問控制，給關(guān)鍵系統(tǒng)和信息的安全保護帶來了風險。

2.在內(nèi)部網(wǎng)不同安全域之間普遍沒有防護措施，不能有效抵御內(nèi)部的安全威脅。

3.內(nèi)部人員有意或無意間泄露內(nèi)部網(wǎng)絡(luò)結(jié)構(gòu)、賬號、口令等重要信息，為針對網(wǎng)絡(luò)的攻擊提供了條件。

4.針對路由器、交換機的攻擊，造成路由破壞。

（四）邊界粗粒度控制帶來的安全風險。由于OTT業(yè)務(wù)平臺在邊界處僅僅通過防火墻的技術(shù)做訪問控制，現(xiàn)在的攻擊很多是基于應(yīng)用層來實現(xiàn)的，如文件型病毒、蠕蟲、木馬等，而這些攻擊防火墻顯得無能為力。因此如果不對邊界進行深度訪問控制，將會出現(xiàn)數(shù)據(jù)泄漏、網(wǎng)絡(luò)上充滿大量攻擊數(shù)據(jù)包等重大風險。

（五）配置缺陷的風險。1.缺乏對操作系統(tǒng)基本安全配置的指導(dǎo)，導(dǎo)致某些主機由于配置不規(guī)范如弱口令、文件共享等被作為跳板來攻擊其他機器。

2.重要應(yīng)用和服務(wù)器的數(shù)量種類日益增多，對業(yè)務(wù)系統(tǒng)資產(chǎn)，如操作系統(tǒng)和支撐的數(shù)據(jù)庫、網(wǎng)絡(luò)中間件，以及網(wǎng)絡(luò)邊界的路由器、交換機、防火墻等設(shè)備配置，無法準確了解且配置是否符合基本安全要求，一旦發(fā)生維護人員誤操作，或者采用一成不變的初始系統(tǒng)設(shè)置而忽略了對安全控制的要求，就可能會極大地影響系統(tǒng)的正常運轉(zhuǎn)。

（六）系統(tǒng)漏洞風險。蒼蠅不叮無縫的蛋，入侵者只要找到復(fù)雜的計算機網(wǎng)絡(luò)中的一個縫，就能輕而易舉地闖入系統(tǒng)。所以了解這些縫都有可能在哪里，對于修補它們至關(guān)重要。通常裂縫主要表現(xiàn)在軟件編寫存在BUG、系統(tǒng)配置不當、口令失竊、明文通訊信息被監(jiān)聽以及初始設(shè)計存在缺陷等方面。無論是服務(wù)器程序、客戶端軟件還是操作系統(tǒng)，只要是用代碼編寫的東西，就會存在不同程度的BUG。當前OTT業(yè)務(wù)平臺不具備漏洞監(jiān)測機制，對平臺系統(tǒng)中的漏洞無法做到快速預(yù)警及響應(yīng)。

（七）家庭終端機頂盒連接OTT業(yè)務(wù)平臺風險。終端用戶通過機頂盒以太網(wǎng)口能夠輕松獲取IP地址，便可連接廣電云媒體平臺相當一部分服務(wù)器或應(yīng)用系統(tǒng)。只要用戶具備基本的網(wǎng)絡(luò)知識及安全攻防技術(shù)即可實現(xiàn)對廣電云媒體電視平臺中多數(shù)服務(wù)器進行掃描，一旦掃描發(fā)現(xiàn)漏洞即可采用對應(yīng)的入侵工具對廣電當前系統(tǒng)實施攻擊，輕則導(dǎo)致業(yè)務(wù)系統(tǒng)負載過高，重則導(dǎo)致云媒體平臺某些業(yè)務(wù)終端，甚至某些系統(tǒng)頁面有被篡改的風險。

四、需求分析。通過以上風險分析，OTT業(yè)務(wù)平臺需要從結(jié)構(gòu)安全、邊界安全、漏洞預(yù)警、基線配置檢查、運維管理等多個維度進行建設(shè)。

建設(shè)防守思路分析

建設(shè)思路分別從產(chǎn)品技術(shù)層面和安全服務(wù)層面展開，具體內(nèi)容描述如下。

一、方案參考標準。本方案參考了國內(nèi)以下信息安全技術(shù)標準和規(guī)范：GB/T 22239-2008 （《信息安全技術(shù)——信息系統(tǒng)安全等級保護基本要求》）、GB/T 22240-2008 （信息安全技術(shù)——信息系統(tǒng)安全等級保護定級指南）、GB/T 25070-2010（信息安全技術(shù)——信息系統(tǒng)安全等級保護安全設(shè)計技術(shù)要求）、《廣播電視安全播出管理規(guī)定及各專業(yè)實施細則》（廣電總局62號令）、GD/J 038-2011（《廣播電視相關(guān)信息系統(tǒng)——安全等級保護基本要求》）。

二、安全技術(shù)層面建設(shè)。

（一）網(wǎng)絡(luò)結(jié)構(gòu)安全。建議對OTT業(yè)務(wù)應(yīng)用平臺網(wǎng)絡(luò)區(qū)域進行調(diào)整，根據(jù)其應(yīng)用特點劃分網(wǎng)絡(luò)域、核心域、計算域。在應(yīng)用服務(wù)區(qū)之間進行路由控制建立安全的訪問路徑，劃分不同的子網(wǎng)或網(wǎng)段，并按照方便管理和控制的原則為各子網(wǎng)、網(wǎng)段分配地址段；避免將重要網(wǎng)段部署在網(wǎng)絡(luò)邊界處且直接連接外部信息系統(tǒng)，重要網(wǎng)段與其他網(wǎng)段之間采取可靠的技術(shù)隔離手段。

（二）邊界防護建設(shè)。1.在云媒體電視平臺網(wǎng)絡(luò)建設(shè)示圖（圖2）中區(qū)域邊界處，即云媒體核心交換機側(cè)與OTT業(yè)務(wù)平臺交換機側(cè)，按GD/J 038-2011 《廣播電視相關(guān)信息系統(tǒng)安全等級保護基本要求》部署防火墻，構(gòu)造安全區(qū)域邊界。對廣播業(yè)務(wù)前端網(wǎng)絡(luò)和雙向業(yè)務(wù)前端網(wǎng)絡(luò)的服務(wù)器和應(yīng)用系統(tǒng)進行安全防護。

2.在應(yīng)用服務(wù)器區(qū)1邊界處部署入侵防護系統(tǒng)（IPS）實現(xiàn)對端口掃描、強力攻擊、木馬后門攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊等行為進行阻斷；當檢測到攻擊行為時，能夠記錄攻擊源IP、攻擊類型、攻擊目的、攻擊時間，在發(fā)生嚴重入侵事件時能夠阻斷并報警。另外，機頂盒端上存在以太口，一旦利用網(wǎng)線連接電腦可以自動獲取IP地址，直接與廣電云媒體平臺相通，并能夠直接與OTT平臺進行通信，具備安全基礎(chǔ)知識的外部人員可以對云媒體電視平臺的其他主機以及OTT應(yīng)用平臺進行掃描甚至入侵。OTT應(yīng)用平臺應(yīng)用服務(wù)器區(qū)1外部可以直接訪問，為此在應(yīng)用服務(wù)器區(qū)1前端部署入侵防護系統(tǒng)阻斷從家庭網(wǎng)絡(luò)發(fā)起對機頂盒或網(wǎng)關(guān)等終端的非法入侵。

3.FTP服務(wù)器需要訪問合作伙伴視頻庫，為了防止蠕蟲、病毒、惡意代碼等威脅進入廣電云媒體平臺，在FTP服務(wù)器邊界部署防毒墻（即防病毒網(wǎng)關(guān)）阻斷惡意代碼任意擴散。

（三）漏洞預(yù)警建設(shè)。在云媒體電視平臺運維管理區(qū)部署漏洞掃描系統(tǒng)對該平臺中的漏洞、弱口令等脆弱性進行定期安全檢查并提供預(yù)警響應(yīng)，對發(fā)現(xiàn)的網(wǎng)絡(luò)系統(tǒng)安全漏洞進行及時的修補。通過漏洞掃描系統(tǒng)能夠落實評估與漏洞修補工作，真正重視漏洞管理、修補漏洞是阻斷攻擊者實施攻擊的有效途徑，從而也可以有效阻斷蠕蟲攻擊。

（四）統(tǒng)一安全基線建設(shè)。安全基線配置核查系統(tǒng)是一款專門檢測各類設(shè)備（操作系統(tǒng)、網(wǎng)絡(luò)設(shè)備、應(yīng)用系統(tǒng)、安全設(shè)備）存在不規(guī)范配置的工具，系統(tǒng)具備完善的安全配置檢查點，采用高效、智能的識別技術(shù)，第一時間主動對網(wǎng)絡(luò)中的資產(chǎn)設(shè)備進行細致深入的安全配置監(jiān)測、分析，并給用戶提供專業(yè)、有效的安全配置建議，提高檢查結(jié)果的準確性和合規(guī)性。在運維管理區(qū)部署安全基線配置核查系統(tǒng)一方面能夠?qū)崿F(xiàn)對已上線的系統(tǒng)進行檢查，還可以針對未來新上線的系統(tǒng)進行入網(wǎng)安全評估使用。

（五）運維管理、審計建設(shè)。堡壘機系統(tǒng)是集中的運維操作監(jiān)控平臺，建立基于唯一身份標識的實名制管理，統(tǒng)一賬號管理策略，實現(xiàn)跨平臺管理，消滅管理孤島。該系統(tǒng)能夠集中訪問控制與授權(quán)，實現(xiàn)單點登錄和細粒度的命令級訪問授權(quán)，并實現(xiàn)基于用戶的審計，審計到人，實現(xiàn)從登錄到退出的全程操作審計，將安全運管落到實處。

同時，通過在運維管理區(qū)部署ESPC（日志管理平臺）實現(xiàn)對本次所部署的安全防護系統(tǒng)（FireWall、IPS、SAS-H、RSAS）進行集中、統(tǒng)一管控。

三、安全服務(wù)層面建設(shè)。安全不是一成不變的，針對網(wǎng)絡(luò)發(fā)展的日新月異，提供產(chǎn)品防護的同時需要安全服務(wù)貫穿整個信息安全發(fā)展的始終。建議所采用具體服務(wù)內(nèi)容，包括安全評估、安全加固、應(yīng)急響應(yīng)服務(wù)，具體內(nèi)容如下。

（一）安全評估。風險評估對現(xiàn)有網(wǎng)絡(luò)中的網(wǎng)絡(luò)架構(gòu)、網(wǎng)絡(luò)協(xié)議、系統(tǒng)、數(shù)據(jù)庫等資產(chǎn)安全現(xiàn)狀進行了解，確定在系統(tǒng)的具體環(huán)境下到底存在什么安全漏洞和安全隱患，一旦這些脆弱性被黑客利用會造成什么樣的資產(chǎn)風險和影響。在此基礎(chǔ)上，具體實施的過程中再對實施流程進行規(guī)劃，即針對廣電云媒體電視平臺中的OTT應(yīng)用平臺的具體情況定制適合于自身的安全目標和安全級別，然后根據(jù)所要達到的安全目標和安全級別，在充分考慮安全性的基礎(chǔ)之上選擇和實施相應(yīng)的安全建設(shè)方案。

（二）安全加固。網(wǎng)絡(luò)安全是動態(tài)的，需要時刻關(guān)注最新漏洞和安全動態(tài)，制定更新的安全策略以應(yīng)對外來的入侵和蠕蟲病毒等威脅。針對廣電云媒體平臺中的OTT應(yīng)用平臺各臺服務(wù)器的漏洞和脆弱性，定期的進行安全加固，可以使系統(tǒng)有效的抵御外來的入侵和蠕蟲病毒的襲擊，使系統(tǒng)可以長期保持在高度可信的狀態(tài)。

安全加固是針對進行評估后的主機的漏洞和脆弱性采取的一種有效的安全手段，可以幫助系統(tǒng)抵御外來的入侵和蠕蟲病毒的襲擊，使系統(tǒng)長期保持在高度可信的狀態(tài)。通常對系統(tǒng)和應(yīng)用服務(wù)的安全加固包括如下方面：安裝最新補丁，賬號、口令策略調(diào)整，網(wǎng)絡(luò)與服務(wù)加固，文件系統(tǒng)權(quán)限增強，日志審核功能增強，安全性增強。

（三）應(yīng)急響應(yīng)。當前廣電行業(yè)自身可能尚沒有足夠資源和能力對安全事故作出反應(yīng)。網(wǎng)絡(luò)安全的發(fā)展日新月異，無法實現(xiàn)一勞永逸的安全，所以當緊急安全問題發(fā)生，一般技術(shù)人員又無法迅速解決的時候，及時發(fā)現(xiàn)問題、解決問題就必須依靠專業(yè)的應(yīng)急響應(yīng)服務(wù)來實現(xiàn)。在第一時間內(nèi)對客戶信息系統(tǒng)面臨的緊急安全事件進行應(yīng)急響應(yīng)。緊急安全事故包括：大規(guī)模病毒爆發(fā)、網(wǎng)絡(luò)入侵事件、拒絕服務(wù)、主機或網(wǎng)絡(luò)異常事件等。

小結(jié)

在三網(wǎng)融合的大背景下，互聯(lián)互通給人們生活帶來便利的同時，也給信息系統(tǒng)安全防護建設(shè)帶來了挑戰(zhàn)。廣電網(wǎng)絡(luò)除了要從安全組織結(jié)構(gòu)、責任和體系、安全管理流程和制度方面加強外，還需要認真研究《廣播電視相關(guān)信息系統(tǒng)——安全等級保護基本要求》，針對新型廣電網(wǎng)絡(luò)的復(fù)雜性和業(yè)務(wù)的多態(tài)性，設(shè)計和采用有效的信息安全解決方案。（作者單位：江西網(wǎng)絡(luò)廣播電視臺）