王慧勇

[摘 要]有線電視數(shù)字前端系統(tǒng)的安全性十分重要，特別是在有線數(shù)字電視前端系統(tǒng)IP化改造、媒介融合的大環(huán)境下，安全隱患大大增加?；诖耍疚膶τ芯€電視網(wǎng)絡(luò)的安全問題進(jìn)行分析，并提出針對性的技術(shù)防護(hù)措施與手段。

[關(guān)鍵詞]有線數(shù)字電視;前端;網(wǎng)絡(luò)安全;設(shè)計

doi：10.3969/j.issn.1673 - 0194.2020.12.081

[中圖分類號]TN943.6[文獻(xiàn)標(biāo)識碼]A[文章編號]1673-0194（2020）12-0-02

0 ? ? 引 言

2017年6月1日，我國正式頒布《中華人民共和國網(wǎng)絡(luò)安全法》，明確網(wǎng)絡(luò)安全等級保護(hù)制度是網(wǎng)絡(luò)安全維護(hù)的基本制度。有線電視前端系統(tǒng)一旦受到網(wǎng)絡(luò)攻擊，會造成功能喪失、數(shù)據(jù)泄露，或者發(fā)布有害信息，對企業(yè)業(yè)務(wù)、公共利益、國家安全產(chǎn)生重大危害。

1 ? ? 系統(tǒng)現(xiàn)狀

有線數(shù)字電視前端系統(tǒng)擁有龐大的用戶群，是國家重要的信息基礎(chǔ)設(shè)施。因此，該系統(tǒng)的網(wǎng)絡(luò)安全建設(shè)十分重要。有線數(shù)字電視前端主要包含信源處理系統(tǒng)、加擾表單系統(tǒng)以及傳輸系統(tǒng)。對視音頻進(jìn)行相應(yīng)處理，使用戶能夠通過機(jī)頂盒等方式接收并觀看節(jié)目。信源處理系統(tǒng)主要完成音視頻信號的編碼以及碼率轉(zhuǎn)換，主要設(shè)備包括編碼器以及轉(zhuǎn)碼器。信號處理系統(tǒng)主要負(fù)責(zé)EPG（Electronic Program Guide，電子節(jié)目指南）和數(shù)據(jù)廣播、產(chǎn)生CA信號，主要設(shè)備包括EPG服務(wù)器以及加擾機(jī)等。傳輸處理系統(tǒng)主要完成信號復(fù)用、調(diào)制輸出，主要設(shè)備包括節(jié)目復(fù)用器以及射頻調(diào)制器等。目前，對有線數(shù)字電視前端系統(tǒng)的非法入侵、篡改網(wǎng)絡(luò)問題層出不窮。攻擊態(tài)勢逐步規(guī)模化、專業(yè)化、多樣化。隨著業(yè)務(wù)增加、核心業(yè)務(wù)網(wǎng)的拓展，網(wǎng)絡(luò)拓?fù)淙找鎻?fù)雜，網(wǎng)絡(luò)安全邊界模糊，缺少必要的網(wǎng)絡(luò)安全設(shè)備。網(wǎng)絡(luò)安全設(shè)備的安全配置較弱，缺少對用戶行為的控制和審計，業(yè)務(wù)主機(jī)系統(tǒng)及數(shù)據(jù)庫版本較老，漏洞較多。一旦被侵入，將涉及多種業(yè)務(wù)，風(fēng)險巨大。

2 ? ? 安全域劃分

對業(yè)務(wù)網(wǎng)絡(luò)進(jìn)行安全域劃分，需要根據(jù)系統(tǒng)架構(gòu)，承載的業(yè)務(wù)和數(shù)據(jù)流、安全需求等情況，按照層次化、縱深防御的安全域劃分思想，進(jìn)行科學(xué)、嚴(yán)謹(jǐn)劃分。根據(jù)業(yè)務(wù)梳理，前端系統(tǒng)中重點(diǎn)對EPG單元、CA單元、SMS單元、數(shù)據(jù)庫單元、網(wǎng)管單元進(jìn)行網(wǎng)絡(luò)安全設(shè)計。

2.1 ? ? EPG及數(shù)據(jù)廣播

EPG系統(tǒng)是一種廣告內(nèi)容處理系統(tǒng)。在符合規(guī)范的有線電視私有數(shù)據(jù)中插入自定義的廣告數(shù)據(jù)，使用戶在電視節(jié)目接收終端進(jìn)行一系列操作時，畫面中出現(xiàn)相應(yīng)的廣告數(shù)據(jù)內(nèi)容。數(shù)據(jù)廣播系統(tǒng)，即單向數(shù)據(jù)廣播，負(fù)責(zé)應(yīng)用數(shù)據(jù)的單向廣播，基于DSM-CC（ISO 13818-6）協(xié)議，可發(fā)送HTML（HyperText Markup Language，超文本標(biāo)記語言）應(yīng)用、JAVA應(yīng)用或任意其他預(yù)置應(yīng)用的數(shù)據(jù)，如MP3、圖片文件、XML文件等;同時可配置發(fā)送數(shù)據(jù)廣播相關(guān)業(yè)務(wù)的PSI/SI數(shù)據(jù)以及與各應(yīng)用相關(guān)的AIT表。其中，EPG廣告系統(tǒng)以及數(shù)據(jù)廣播以TS流的方式進(jìn)入復(fù)用器的TS輸入口。

2.2 ? ? CAS系統(tǒng)以及SMS系統(tǒng)

CAS系統(tǒng)是為了確保有線數(shù)字電視前端的輸出信號只能被經(jīng)過授權(quán)的用戶進(jìn)行接收的一種條件接收系統(tǒng)。省級以及直轄市級有線電視運(yùn)營商一般采用3家CA同密技術(shù)來保障加密數(shù)據(jù)的安全性。主要設(shè)備包含EMMG服務(wù)器、ECMG服務(wù)器、加密機(jī)服務(wù)器、加密數(shù)據(jù)庫等部分。SMS系統(tǒng)是有線數(shù)字電視前端用戶管理系統(tǒng)，通常也被稱作BOSS系統(tǒng)，負(fù)責(zé)開通業(yè)務(wù)、運(yùn)營服務(wù)。由此可見，在有線電視數(shù)字前端中，CAS以及SMS/BOSS系統(tǒng)，只有擁有一個高安全性、高可靠性的網(wǎng)絡(luò)，才能穩(wěn)定地完成其功能，保障付費(fèi)用戶和運(yùn)營商的利益。

2.3 ? 網(wǎng)絡(luò)安全設(shè)計

對于網(wǎng)絡(luò)信息化系統(tǒng)，需要對通信網(wǎng)絡(luò)架構(gòu)、區(qū)域邊界、計算環(huán)境3個方面進(jìn)行安全加固，從而保障制播系統(tǒng)內(nèi)的應(yīng)用業(yè)務(wù)、重要數(shù)據(jù)的正常流轉(zhuǎn)。通過分析，可以建立一個數(shù)字電視前端網(wǎng)絡(luò)模型，如圖1所示。

在網(wǎng)絡(luò)模型中，對于核心業(yè)務(wù)，需要做冗余保障，確保主備鏈路切換。結(jié)合安全域，建立網(wǎng)絡(luò)區(qū)域邊界，在邊界處進(jìn)行網(wǎng)絡(luò)安全加固，并結(jié)合業(yè)務(wù)特性，分析網(wǎng)絡(luò)數(shù)據(jù)。另外，對于安全區(qū)域內(nèi)的設(shè)備，企業(yè)要營造安全計算環(huán)境，對系統(tǒng)的每個環(huán)節(jié)配置安全策略。建立網(wǎng)絡(luò)安全防護(hù)中心，對系統(tǒng)的網(wǎng)絡(luò)安全態(tài)勢進(jìn)行整體監(jiān)測與控制。

2.4 ? ? 通信網(wǎng)絡(luò)架構(gòu)安全加固

網(wǎng)絡(luò)結(jié)構(gòu)的合理性，對整個系統(tǒng)的高效穩(wěn)定非常重要。核心業(yè)務(wù)承載網(wǎng)絡(luò)需要具備一定的冗余性。重要的網(wǎng)絡(luò)設(shè)備、業(yè)務(wù)服務(wù)器需要進(jìn)行雙機(jī)冗余部署，保障通信網(wǎng)絡(luò)的高可用性。對在線業(yè)務(wù)進(jìn)行梳理，對業(yè)務(wù)的重要性以及帶寬、資源需求進(jìn)行分級規(guī)劃，優(yōu)先保障高優(yōu)先級的業(yè)務(wù)。優(yōu)化網(wǎng)絡(luò)拓?fù)?，做好備份路由建設(shè)。核心業(yè)務(wù)不與外部網(wǎng)絡(luò)相連，單獨(dú)劃分網(wǎng)絡(luò)與VLAN。同時，配置防火墻、負(fù)載均衡等設(shè)備，完善整個網(wǎng)絡(luò)架構(gòu)，提高網(wǎng)絡(luò)架構(gòu)的安全性。此外，還要過濾內(nèi)外的網(wǎng)絡(luò)信息數(shù)據(jù)，對于內(nèi)網(wǎng)設(shè)備，部署相應(yīng)的應(yīng)用層防護(hù)軟件或硬件，并配置安全策略，進(jìn)行應(yīng)用安全防護(hù)。

2.5 ? ? 區(qū)域邊界安全加固

系統(tǒng)部署終端準(zhǔn)入控制中心監(jiān)控外部人員非授權(quán)聯(lián)入內(nèi)部網(wǎng)絡(luò);部署終端安全管理中心監(jiān)控內(nèi)部人員非授權(quán)聯(lián)出外部網(wǎng)絡(luò)。非授權(quán)用戶私自聯(lián)到外部網(wǎng)絡(luò)的行為通過終端安全管理系統(tǒng)進(jìn)行檢查驗證。監(jiān)控跨越網(wǎng)絡(luò)區(qū)域邊界的數(shù)據(jù)交換，并通過指定接口進(jìn)行數(shù)據(jù)交換與通信。綁定源地址、目的地址、相應(yīng)端口、協(xié)議等，建立訪問控制策略，限制訪問權(quán)限，利用白名單，允許符合相關(guān)規(guī)則的請求;利用黑名單，拒絕不符合規(guī)則的請求。加強(qiáng)內(nèi)部主機(jī)的相互訪問控制，避免非法入侵后，外部人員利用內(nèi)網(wǎng)主機(jī)作為跳板，進(jìn)一步入侵系統(tǒng)。系統(tǒng)防火墻中配置相關(guān)端口安全策略，實現(xiàn)受控端口通信。同時，監(jiān)視網(wǎng)絡(luò)區(qū)域邊界的攻擊行為。在網(wǎng)絡(luò)安全設(shè)備中建立監(jiān)聽機(jī)制，實現(xiàn)端口掃描，監(jiān)測木馬攻擊、網(wǎng)絡(luò)蠕蟲攻擊等。

2.6 ? 計算環(huán)境安全加固

創(chuàng)建安全的計算環(huán)境，部署堡壘機(jī)以及身份認(rèn)證系統(tǒng)。配置嚴(yán)格的安全加固策略，避免突破系統(tǒng)保護(hù)邊界的外部人員侵入。部署第三方審計系統(tǒng)收集數(shù)據(jù)庫審計日志，并配置相關(guān)策略;采用多種組合鑒別技術(shù)，通過第三方身份認(rèn)證系統(tǒng)，配置相關(guān)認(rèn)證策略，實現(xiàn)雙因子身份安全認(rèn)證;對重要資源進(jìn)行敏感性標(biāo)記，并設(shè)置強(qiáng)制訪問控制規(guī)則，對主機(jī)進(jìn)行安全加固和安全配置，對重要資源進(jìn)行敏感性標(biāo)記。計算環(huán)境中的一些重要識別特征，如MAC地址、設(shè)備串號、硬件編碼等進(jìn)行綁定限制，保證每一個參與系統(tǒng)運(yùn)作設(shè)備的唯一性。利用條件匹配原則，對不符合唯一性要求的訪問設(shè)備予以拒絕。

2.7 ? 策略安全加固

除了新增安全設(shè)備外，對現(xiàn)網(wǎng)以及安全設(shè)備配置合適的安全策略，保證安全建設(shè)落到實處。主要包括以下幾點(diǎn)：①身份鑒別，權(quán)限與用戶名一一對應(yīng)，建立實名制管控機(jī)制;②對進(jìn)入內(nèi)網(wǎng)的登錄地址進(jìn)行限制，只有通過多因素認(rèn)證后，才允許其登錄;③各種訪問密碼信令需要定期調(diào)換;④限制登錄次數(shù)，登錄若干此失敗后，判定為非法登錄，需要進(jìn)行解鎖驗證后才能正常登錄，阻止非法暴力嘗試登錄等行為。

2.8 ? 運(yùn)維管理安全加固

網(wǎng)絡(luò)安全運(yùn)維是系統(tǒng)安全中極為重要的一個環(huán)節(jié)，因此，不僅需要配置安全策略，也需要建立嚴(yán)密的運(yùn)維體系。對于參與運(yùn)維的人員進(jìn)行明確唯一的定義，提高管理人員的安全意識，并提升系統(tǒng)運(yùn)維人員的安全操作水平，避免對業(yè)務(wù)系統(tǒng)帶來人為的安全隱患。

3 ? ? 結(jié) 語

根據(jù)調(diào)研、評估，確保在線業(yè)務(wù)正常開展的同時，對網(wǎng)絡(luò)安全需求以及業(yè)務(wù)流程進(jìn)行匯總分析，確立網(wǎng)絡(luò)安全加固方案。優(yōu)化網(wǎng)絡(luò)架構(gòu)，增加系統(tǒng)的冗余保障能力，對網(wǎng)絡(luò)安全設(shè)備、操作系統(tǒng)以及數(shù)據(jù)庫配置安全策略。同時，加強(qiáng)系統(tǒng)網(wǎng)絡(luò)安全保護(hù)工作，保障系統(tǒng)穩(wěn)定運(yùn)行。

主要參考文獻(xiàn)

[1]楊海文，高宇，張虹.基于等級保護(hù)的數(shù)據(jù)安全管理體系建設(shè)實踐[J].現(xiàn)代信息科技，2019（2）：102-105.

[2]曾建中.媒體融合云技術(shù)下的信息系統(tǒng)安全防護(hù)體系設(shè)計[J].廣播與電視技術(shù)，2016（11）：23-27.