唐建軍

[摘要]OTT業(yè)務(wù)開展以來發(fā)展迅速，其在規(guī)模、覆蓋、服務(wù)質(zhì)量等諸多方面與傳統(tǒng)電視運營商相比有一定的優(yōu)勢，但隨著互聯(lián)網(wǎng)視頻業(yè)務(wù)的成熟以及新技術(shù)的引入，其面臨的安全風(fēng)險愈來愈多，大部分運營商03q-安全建設(shè)方面存在空白。本文根據(jù)OTT系統(tǒng)特點提供對OTT防篡改、防盜鏈、安全運維方面的技術(shù)研究與解決方案建議。旨在為運營商提升03q-主動防御能力，進(jìn)一步鞏固和提升用戶占有率。

[關(guān)鍵詞]OTT 防篡改 防盜鏈 安全運維

引言：OTT TV（以下簡稱OTT）是“Over The Top TV”的縮寫，是指基于開放互聯(lián)網(wǎng)的視頻服務(wù)，終端可以是電視機(jī)、電腦、機(jī)頂盒、PAD、智能手機(jī)等等。

OTT系統(tǒng)除傳統(tǒng)的直播、點播業(yè)務(wù)外還為互聯(lián)網(wǎng)上的各種業(yè)務(wù)應(yīng)用提供內(nèi)容服務(wù)。OTT安全性已成為各運營商的關(guān)注重點，OTT系統(tǒng)出現(xiàn)業(yè)務(wù)中斷，EPG頁面、節(jié)目內(nèi)容、海報圖片等如果被惡意篡改為涉黃、反動等內(nèi)容，會對運營商、品牌、業(yè)務(wù)等造成信任危機(jī)，同時也會帶來政治、法律上的風(fēng)險。

一、防篡改

OTT防篡改主要包含EPG防竄改及內(nèi)容防篡改。EPG即電子節(jié)目菜單，當(dāng)用戶訪問OTT平臺時通過EPG頁面為其提供業(yè)務(wù)導(dǎo)航和節(jié)目信息展現(xiàn)功能；CDN即內(nèi)容網(wǎng)絡(luò)，通過OTT CDN平臺實現(xiàn)和節(jié)目源對接，完成內(nèi)容的引入；支持牌照方內(nèi)容和自有內(nèi)容視頻的注入。

目前OTT防篡改技術(shù)主要有三類：文件比對、數(shù)字水印技術(shù)、內(nèi)核監(jiān)控技術(shù)。

（1）文件比對：對信源文件通過輪詢，出站檢測，文件標(biāo)識等方式進(jìn)行文件比對。這種方案的安全性較高，但實時防護(hù)效果一般（分鐘級），資源消耗較大（需要增加EPG/CDN服務(wù)器）。

（2）數(shù)字水印技術(shù)：對信源文件實施數(shù)字水印處理，通過文件MD5/數(shù)字水印等比對源文件值，如篡改則拒絕。這種方案實時防護(hù)能力有一定提高（準(zhǔn)實時），但資源消耗仍較大（需要增加EPG/CDN服務(wù)器）。

（3）內(nèi)核監(jiān)控技術(shù)：該方案采用系統(tǒng)內(nèi)核驅(qū)動技術(shù)對監(jiān)控目標(biāo)目錄I/O訪問進(jìn)程進(jìn)行控制，通過黑/白名單規(guī)則將高風(fēng)險篡改進(jìn)程直接拒絕。系統(tǒng)實時防護(hù)，資源消耗較低（配置少量策略服務(wù)器，無需擴(kuò)CDN、EPG服務(wù)器）

綜上，結(jié)合安全性及資源投入，OTT防篡改宜選用內(nèi)核監(jiān)控方案：部署內(nèi)核監(jiān)控防護(hù)系統(tǒng)，在有文件進(jìn)行操作的時候，系統(tǒng)能改實時捕獲用戶的操作行為并且進(jìn)行實時判斷，對不在安全策略中的更新進(jìn)程進(jìn)行實時阻斷與告警。

二、防盜鏈技術(shù)

防盜鏈技術(shù)，即防止別人通過一些IP嗅探等技術(shù)獲取資源地址進(jìn)行盜用視頻資源，從而減輕OTT視頻分發(fā)壓力，減少經(jīng)濟(jì)損失。國內(nèi)主流防盜鏈方法如下：

（1）綁定IP，根據(jù)用戶IP段確認(rèn)接入用戶合法性。OTT業(yè)務(wù)是針對終端個數(shù)進(jìn)行收費的，此種方法并不能排除網(wǎng)內(nèi)用戶盜鏈的存在。

（2）設(shè)定鏈接的時效性。設(shè)定時間范圍內(nèi)可獲取流媒體服務(wù)，超時后即鏈接失效，此種方法可對點播內(nèi)容有一定防范作用，但直播內(nèi)容仍存在安全風(fēng)險。

（3）URL中帶上加密的防盜鏈字符串，CDN系統(tǒng)在為用戶播流前，解密防盜鏈字符串，以驗證用戶的IP、點播的內(nèi)容、有效期的合法性。對不帶防盜鏈字符串的請求視為非法請求。此種方法安全性較高可有效杜絕盜鏈問題。

URL加密防盜鏈方案實施如下：

（1）CDN單獨開啟防盜鏈參數(shù)校驗功能。當(dāng)CDN啟動該功能時，終端請求時必須攜帶合法的AuthInfo（防盜鏈字符串）才能順利訪問CDN；

（2）AuthInfo由EPG生成，要求支持基于算法+密鑰的防盜鏈摘要，密鑰需要由雙方協(xié)商和同步；

（3）EPG和CDN共享密鑰，同時使用公用秘鑰算法進(jìn)行加解密。EPG在返回給用戶的URL中增加AuthInfo，用戶采用包含防盜鏈信息的URL到CDN中請求內(nèi)容播放，CDN進(jìn)行URL檢查，具體流程如下圖所示：

三、安全運維

3.1OTT平臺安全運維面臨挑戰(zhàn)

1、主機(jī)被黑客攻擊，各種漏洞攻擊入侵，病毒擴(kuò)散，業(yè)務(wù)受影響或中斷。

2、安全管理人員不明確，職責(zé)不清晰，未有有效的安全應(yīng)急預(yù)案及處理方法，當(dāng)發(fā)生安全事件時，無法及時恢復(fù)業(yè)務(wù)，造成經(jīng)濟(jì)、企業(yè)形象損失。

3、維護(hù)入口多、管理員特權(quán)濫用，入侵防范能力弱。

4、用戶認(rèn)證信息，機(jī)密文檔泄露。

3.2OTT平臺安全運維解決方

3.2.1安全運維功能

針對OTT系統(tǒng)所有設(shè)備的帳戶進(jìn)行統(tǒng)一管控，包括業(yè)務(wù)帳戶（系統(tǒng)帳戶、數(shù)據(jù)庫帳戶）、運維帳戶，引入包干責(zé)任人的管理流程完善系統(tǒng)設(shè)備的安全管理機(jī)制，分為帳號管理（在帳戶管理中采用分權(quán)分域的概念對各種操作員的權(quán)限進(jìn)行精確劃分）和密碼管理（支持業(yè)務(wù)帳戶及運維帳戶密碼的統(tǒng)一修改以及密碼的異常檢測，與短信系統(tǒng)對接提供動態(tài)短信驗證）兩部分。

3.2.2入侵監(jiān)測功能

入侵監(jiān)測主要是對所管理設(shè)備上各種安全狀態(tài)進(jìn)行監(jiān)控，包括：異常進(jìn)程、異常操作、異常帳戶操作，其它異常狀態(tài)等的安全監(jiān)控；多個層面對設(shè)備進(jìn)行監(jiān)控管理?；趯粽呷肭中袨榈姆治觯瑥牡顷懴到y(tǒng)、執(zhí)行操作和運行進(jìn)程這三個方面進(jìn)行設(shè)備安全的強(qiáng)化監(jiān)控，提升設(shè)備安全事件預(yù)警的敏感度和定位的準(zhǔn)確性。

3.2.3安全審計功能

安全審計功能模塊主要完成對主機(jī)設(shè)備上各種登錄，操作行為進(jìn)行審計，便于事前檢查和事后追蹤，主要包括主機(jī)登錄審計和主機(jī)操作審計。通過審計功能，可有效的完成安全事件的事件檢查和事后追溯，保證系統(tǒng)安全可管可控。

3.2.4安全策略功能

安全策略功能模塊主要通過策略服務(wù)器，設(shè)置合規(guī)規(guī)則，根據(jù)定制的各設(shè)備和網(wǎng)元類型，設(shè)置任務(wù)自動完成各設(shè)備安全合規(guī)檢查或加固，根據(jù)結(jié)果輸出各網(wǎng)元合規(guī)結(jié)果和分析報告。

四、新疆移動OTT安全加固與總結(jié)展望

新疆公司OTT系統(tǒng)中心平臺關(guān)鍵部件采用雙機(jī)部署，網(wǎng)絡(luò)設(shè)備設(shè)有一定的策略控制，OTT業(yè)務(wù)通過專網(wǎng)進(jìn)行承載，互聯(lián)網(wǎng)業(yè)務(wù)及OTT業(yè)務(wù)能進(jìn)行一定的有效隔離。安全運維方面主要依靠自身策略、IPS、漏掃等第三方工具進(jìn)行防護(hù)備，但不具備內(nèi)容防篡改、EPG防篡改、防盜鏈、直播源防篡改安全功能，通過文中所述安全加固方案實施，提升了OTT系統(tǒng)主動防御能力，對鞏固和提升OTT用戶占有率有重要作用。

目前，國內(nèi)大部分OTT運營商在EPG、內(nèi)容防篡改、防盜鏈、安全運維方面的安全加固存在較多建設(shè)空白。隨著OTT業(yè)務(wù)的高速發(fā)展，OTT業(yè)務(wù)面臨的安全形勢會愈加嚴(yán)峻，本文結(jié)合實際建設(shè)經(jīng)驗提出相關(guān)OTT安全技術(shù)研究與解決方案，希望能為OTT運營商在安全建設(shè)中提供一定參考。