贾汪电视台制播网病毒防范体系建设

周家增 徐州市贾汪区广播电视台



贾汪电视台制播网病毒防范体系建设

周家增 徐州市贾汪区广播电视台

【摘要】随着数字信息时代的来临，数字化网络技术的发展，大容量存储技术的发展取代了以往的盘带存储，外来交流的移动存储接入制播网络，带来了未知的病毒，可能导致制播设备及网络瘫痪。本文介绍了贾汪电视台制播网病毒防范体系的建设及实践经验。

【关键词】制播网 防火墙 隔离 白名单

一、引言

随着广播电视数字化、网络化技术的发展，“数字化、网络化、自动化”是目前广播电视行业的流行语，也是各级广播电视台共同追求的目标，纷纷建设了数字节目制作网和播出网。数据传输技术、视频压缩技术、大容量存储技术的应用取代了传统的录像机线性编辑和盘带模拟播出。

我台自2000年开始购置非编、硬盘播出设备，更换原有的线性编辑及盘带播出，并逐步从模拟编辑系统改造为全数字化、网络化、自动化的非编、硬盘播出系统。新闻、专题、广告等栏目的非编设备，和总编室电视剧制作编单、硬盘播出系统组成的一体化网络，使工作流程简化，提高了制作速度和播出质量。大容量存储技术的发展取代了以往的盘带存储，大量的视频、音频、图片等文件都以体积小巧、读写速度高的移动存储为介质提供，方便快捷传输到制播网络内部。频繁交叉使用的移动存储介质若带有未知的病毒，将在制播网里迅速蔓延扩散，可能导致制播设备及网络瘫痪，造成播出中断、停播等严重的后果。网络化的制播系统由采集、制作、存储、播出等多个业务子板块构成，各个业务子板块之间相互连通，基于网络安全的木桶原理和网络的无边界性，必须保证整个网络的各个业务子板块的安全，才能保证最终的播出安全。

二、制播网安全需求分析

前期我台采用常规的技术手段来应对病毒传播，每台设备安装杀毒软件、禁用USB接口、严格控制移动存储设备，经过杀毒软件病毒检测安全后才能在制作网络中指定设备上使用。杀毒软件对于新病毒、未知病毒查杀能力很差，存在查不到，杀不掉，并会对非编软件误杀，病毒库要经常更新等弊端。这些手段在工作中不仅费时费力，而且事倍功半，防不胜防。由于因特网快速发展，计算机病毒已经是无处不在，大容量移动存储又作为电视拍摄、制作及素材保存的重要存储介质，病毒传播已经对数字制播系统构成重大威胁。如何能够安全、有效地实现病毒隔离的防范系统，成为制播网络安全的一个重要任务。

常用的防火墙关键技术可以分为三类：包过滤、状态检测和应用代理。

状态检测防火墙用一种被称为状态检测的模型去拦截经过网络模型的数据包，这种防火墙对整个网络用户是透明的。

应用代理技术工作在应用层，也就是网络模型的最高层，这种方式能让用户觉得在对服务器发起连接时没有延时的存在。

防火墙被放在内外网络之间，它对传输的数据包和连接方式按照一定的安全策略对其进行检查，来决定网络之间的通信是否被允许。防火墙能够有效控制内部网络与外部网络之间的访问及数据传输，从而达到保护内部网络的信息不受外部非授权用户的访问和对不良信息的过滤。

传统防火墙有以下缺点：

（1）不能防范不通过它的连接

（2）不能防范病毒

（3）不能防范全部的威胁

塑料熔体在注塑模具中的流动被认为是非牛顿、非稳态、非等温的瞬态不可压缩流动与传热过程。注塑仿真CAE依据连续介质力学、传热学及塑料流变学，建立塑料在模具型腔中的流动与转热数学模型。Moldflow中提供三种网格类型对模型进行网格划分:(1)中性面网格,应用于薄壳件产品;(2)双层面网格,应用于薄壳件产品，是目前应用最广的网格类型;(3)3D网格，可适用于所有类型产品，包括薄壳件和厚壁件[5]。由于按钮平均厚度较小，本文采用双层面网格模型，该模型基于广义Hele-Shaw流动的控制方程(包含连续性方程、运动方程、能量方程)[6]。

（4）不能防止数据驱动式攻击

传统的防火墙尤其对音频、视频流中携带的病毒或恶意代码不能有效防范，并且有被攻破、渗透的可能，需要专门针对广播电视台视音频影像数据高速、安全传输的产品，PSC-1000IP正是秉承电视台制播网络应用要求研发的。该系统采用“白名单”确认原理，通过板块外病毒隔离、板块间病毒隔离、病毒检测定位手段，在快速、安全、完整地转发对实时性要求极高的大数据量视音频数据流的同时，达到了“业务板块内安全”、“各个板块间交互安全”以及“有效的病毒监测”等安全要求。

病毒隔离墙通过对传输内容进行分析，仅容许通过“认可的”和符合规则的文件，对无法识别的文件或者格式错误的文件一律视为非法文件，限制在网络上传输。网间病毒隔离墙能够用来隔开网络中的多个网段，能够防止某一网段中的安全隐患通过网络向别的网段传播。通过在全台网各个业务板块子网络之间安装网间病毒隔离墙，即可保证板块之间数据交互的安全性。

其典型的系统特性如下：

（1）支持千兆网络，高传输率，用户几乎感觉不出性能的损失，保证了传输的流畅性；

（2）多种模式灵活选择，单向、逆向、双向工作模式可选，可实现一对多、多对多等应用场景；

（3）传输透明化，保证用户迅捷上传、下载和选择文件；

（4）专有的传输协议，保证传输过程的安全性；

（5）传输完整性检测，通过收发双方的MD5码校验，最大限度保证传输的正确性；

（6）权限控制，对工作目录的文件进行读写权限设置、保证文件的安全性；

（7）日志记录功能，对文件操作和多传输过程进行详细的日志记录，保证文件的修改有据可查；

（8）设备自动搜索功能，用户不需要进行繁琐的设置；

（9）文件内容深度分析，通过对文件内容和格式的深度比对，让非法文件无所遁形；

（10）灵活的传输规则，除内置的文件格式外，还支持用户自定义传输格式文件（以扩展名验证）；

（11）支持常见的视音频、图片以及文本等文件。

下面以基于“白名单”文件监测过滤技术为例来加以说明。

在限制病毒在全台网络中的传播和扩散方面，“严格遵循“除非明确允许，否则就禁止”的白名单基本原则，以文件为单位对传输内容进行格式分析和过滤。通过对传输内容进行严格分析和过滤，仅容许通过“认可的”和符合规范的文件通过，对无法识别的文件和格式错误的文件一律视为非法文件，限制其向本地计算机传播。

对于MPEG-2视频文件和JPEG文件来说，有可能受到各种病毒的感染。通常不同种类的病毒能够通过不同的方式感染MPEG-2视频文件和JPEG文件。由于病毒是一段可执行代码，它具有独特的自我复制能力，并且可以自身附着在各种类型文件中并在一定条件下激活，这点与生物病毒极为相似。其中，宏病毒则作为一种新形态的计算机病毒，它能够寄生在一些数据文档中，以便在不同的操作系统中使用，已具备了跨平台传播的能力。

对于感染MPEG-2视频文件和JPEG图像文件的病毒来说，它们即以MPEG-2视频文件和Jpeg图像文件为寄存宿主，通过MPEG-2视频文件和JPEG图像文件的操作来进行自我复制，向本地文件传播，继而破坏数据的完整性和系统的完整性。被病毒感染的文件，扩展名可能也是*.mpg、*.mpeg或*.jpg，图标也是正常的，而且有些捆绑软件甚至能够将病毒捆绑到文件上之后并对其进行优化，普通的杀毒软件很难识别其中是否包含病毒。

基于白名单检测的病毒防御机制则能对传输的文件进行文件内部结构和文件特定内容层次上的检测，如：对MPEG-2视频文件从其特有的序列层、图像层等六个层次进行逐层对结构和内容进行检测匹配。例如检测一个MPEG-2视频文件的序列层时，如果其文件序列开始码不是0x000001b3或者序列结束码不是0x000001b7，就可以判断此文件有可能受到了病毒的侵袭。又如检测其块时，由于亮度和色度格式应为4：4：4、4：2：2或4：2：0格式，当发现块信息数据并非遵循此格式时，也可以断定此MPEG-2视频文件有可能被病毒侵染过，再如检测片层信息时，片层的起始码范围应该在0x00000101——0x000001af，如果传输文件的片层数据起始码并不在此范围内，那么此文件也会被认为感染病毒而不能通过。同样对于JPEG图像文件也从其文件特有的图像开始SOI标记、APP0标记等八个部分进行逐个检测验证。例如JPEG图像的每个标记都是有两个字节组成的，而第一个字节是固定的值0xFF，当检测到文件的某个标记的第一个字节不是0xFF时，就可认为此图像文件受到了病毒感染，又如当检测到文件的开始SOI标记不是0xD8或者检测到文件结束标记EOI不是0xD9时，也可认为此文件有被病毒感染的嫌疑；再者APP0标记应为JFIF应用数据块，其起始位置为0xE0，而APPn 标记为其他的应用数据块起始，其起始码应在0xE1 —— 0xEF范围内，如果传输的文件不符合其中任何一条，都认为此文件有可能已经被病毒感染。

图1　防护安全体系示意图

病毒隔离墙就是针对这些文件的内部结构，运用自己专有的算法，精确的分析一个文件是否符合其应有的结构标准，从而做到精确的分析并过滤文件数据，确保不允许非法文件通过。如图1是防护安全体系示意图。

三、网络设计与实现

图2　制播网病毒防范体系

根据对网间病毒隔离墙特点的分析，并结合我台的实际情况，最终决定建设我台制播网病毒防范体系。图2是我台的制播网病毒防范体系。

表1　双网段的IP地址设置

通过对网间病毒隔离墙操作，配置两个网段的IP地址，然后在两个网段中需要的计算机中安装上传软件，实现两个网段的计算机间进行影音文件的传输。表1是双网段的IP地址设置。

为每间制作机房配置一台计算机，设置B网段的IP固定地址，安装杀毒软件，在主机前面板安装USB3.0多合一万能读卡器，方便外来的U盘、SD卡等移动存储能直接使用。USB3.0多合一万能读卡器应用实例见图3。

安装上传软件，配置制作网内计算机接收端的IP地址及共享目录，可以方便白名单允许文件的上传，下传。软件传输过程示意图见图4。

制播网络为A网段，网络内计算机设置固定IP地址，禁用USB端口，使用软件禁用和BIOS端口关闭相结合的方法，为需要传输数据的计算机设置共享目录。

四、结束语

图3　USB3.0多合一万能读卡器应用实例

贾汪电视台制播网的病毒防范体系建设经过充分的需求分析和设计，适应我台节目制作工作流程，取得了良好的效果。该系统投入使用近一年，运行状态良好，彻底隔离了外来文件对制播网的威胁，至今没发生一起病毒感染事件，保障了全台网络制播系统的安全、稳定、可靠运行。

图4　软件传输过程示意图