广西整省（区）广播电视无线发射台站运行支撑管理系统信息安全规划与实现

廖 芸（广西广播电视技术中心）



广西整省（区）广播电视无线发射台站运行支撑管理系统信息安全规划与实现

廖 芸
（广西广播电视技术中心）

［摘 要］结合实例，讨论广西整省（区）广播电视无线发射台站运行支撑管理系统信息安全规划的主要组成部分和实现功能，通过技术手段和管理手段，保障广播电视远程监控系统的信息安全。

［关键词］广播电视；远程监控；信息安全

1　引言

广西整省（区）广播电视无线发射台站运行支撑管理系统（以下简称远程监控系统）承担着全区300多个无线发射台站的发射设备和播出情况以及周边环境的实时监控、告警管理、资产管理、工单维护等安全播出管理工作。随着广播电视事业的不断发展壮大，广播电视无线覆盖率逐年提升，日后将承担更多无线台站的安全播出管理工作。该系统的业务信息覆盖全区，社会影响力大，系统正常运行与否，直接关系到广播电视安全播出这一生命线。若系统遭受非法入侵或破坏，可能直接造成安全播出事故，对社会秩序和公共利益造成不良影响。

2　信息安全规划与实现

按照GB/T 22239-2008《信息安全技术 信息系统安全等级保护基本要求》中第三级的基本要求，我们将远程监控系统划分为内网和外网两大部分，内外网之间通过网闸进行隔离，每一部分再按照具体业务细分为多个安全区域，采取不同的防护手段，结合物理安全防护和统一安全管理，整个系统的信息安全防护体系如图1所示。

图2　网站防护部署示意图

图1　系统信息安全防护体系示意图

2.1物理防护

远程监控系统所在机房，除了防盗、防静电、防水、防潮、温湿度控制、电力保障等防破坏基本保护措施之外，我们重点加固了防雷、自动消防和视频监控建设。建筑物、机房内的电源线、信号线、电子设备等均采取了必要的防雷措施。机房内部采用防火材料装修，设置感烟、感温两路报警，并配备了七氟丙烷气体自动消防系统。机房出入口和内部均安装有红外摄像机，做到对机房整体环境实时监控。

2.2外网防护

远程监控系统的业务网站，面向单位职工提供发射台站实时状态监控服务。部分台站通过VPN采集的数据也由此回传。我们按照网站漏洞检测结果，从网站代码源头入手，逐一修复漏洞，增强代码的健壮性和安全性。互联网接口处更换了性能更好的防火墙，对进出网络的数据包进行路由控制和状态检测。同时，增加部署Web应用防火墙和网站防篡改系统用以防御针对网站进行的攻击。网站防护部署如图2所示。

网站区域中的Web服务器对外提供业务服务，其上安装有监控代理，用于监控Web目录文件，阻断非法篡改，实时恢复正常文件。同时，应用防护系统监测并阻断针对应用层进行的诸如XSS、SQL注入、远程命令执行等各类攻击。管理区域中的同步代理将备份更新后的目录文件实时同步到Web服务器，并实时响应监控代理的告警，将被篡改的文件恢复正常。监控中心则实时接收来自监控代理和同步代理的告警信息，并将操作指令传送至代理端执行。

2.3内网防护

远程监控系统的内网承载着全区广

播电视无线台站远程监控智能管理核心业务。内网与外网之间增加部署网闸进行相互隔离。内网中，我们重点部署了终端安全管理系统和入侵防御系统。

2.3.1终端安全管理系统

终端安全管理系统部署如图3所示。我们对每台请求接入远程监控系统的终端采用USBkey令牌认证，用户首次访问时，强制用户到指定站点进行认证。不合法用户将强制退出，禁止访问。对于合法用户将按照制定的安全策略进行用户主机和行为的安全评估，包括对主机登录密码设置、系统补丁安装、防病毒软件安装、病毒库升级、是否非法外联、私自使用移动存储介质等情况进行安全性检查。检测不合格的用户将进入隔离区修改配置、规范行为，直至符合安全策略的要求。只有符合安全策略的用户方可允许进入系统，按照用户角色进行权限分配，只允许进行权限范围内的操作，对系统进行受控访问。

终端安全管理客户端具有自我保护机制，能够防止用户随意停止或卸载。客户端和服务器相互通信采取双向认证机制，能够防止同类或假冒客户端非法进入网络。同时，依靠统一管理中心对所有终端进行整体管理，包括终端资产、准入控制、策略管理、文档加密、接口联动、行为审计、报表分析等多样化功能，形成对终端的事前规划、事中监控和事后分析统计的立体化管理，有效保障整个远程监控系统的终端接入安全。

2.3.2入侵防御系统

在内网的核心节点处，部署入侵防御系统，导入丰富的异常行为特征库，并定期更新特征库。对于流经内部网络的多种报文，采用基于指纹特征的检测技术，首先根据报文的源地址、目的地址、端口、关键信息进行分类，智能识别出协议类型、流量统计等信息，配合高效匹配算法将报文和攻击行为特征库、病毒特征库进行高速精确匹配，阻断符合特征值的报文，与之相关的信息将自动更新，指示系统删除关于该报文的所有数据信息。采用大规模并发过滤处理机制，不会因处理报文而对网络数据率造成影响，过滤后剩下正常的报文方可进入网络。通过查看事件记录，可追溯异常源头，分析详细情况，调整防护设置。

图3　终端安全管理系统部署示意图

2.4安全管理

为了方便管理远程监控系统包含的众多设备，我们整合了一套安全管理系统。依靠一个安全管理平台，即可管理系统中所有的设备资产、策略配置、用户权限等内容，通过汇总所有设备上报的实时状态和审计日志，并进行分析和统计，让系统整体运行情况一目了然。平台对所有监控指标产生的告警进行集中的响应，支持声、光、电等多种告警方式，并能够通过手机短信、电子邮件等发出告警。同时，还制定了例如人员管理制度、资产管理制度、运维管理制度等一系列安全管理制度，以及安全事件处置和应急响应预案。平时严格规范各项制度，并定期进行应急演练。

3　小结

信息安全建设是一个动态的、长期发展的过程。随着广播电视事业的不断壮大，远程监控系统将不断拓展功能，信息安全建设也将随之升级换代。我们应以长远的眼光看待问题，关注业界发展态势，与时俱进，加大信息安全建设力度，不断完善远程监控系统的信息安全防护体系。

参考文献：

GB/T 22239-2008《信息安全技术 信息系统安全等级保护基本要求》