有线电视网络安全体系设计与实践

陈杰

【摘要】目前，中国电信、中国移动等运营商网络建设的安全管理、安全监督已经日趋完善，由于有线电视网络的发展经历了组织架构的不断变更等因素，导致了有线电视网络建设受重视度不够，加之有线电视的安全播出、安全传输、安全生产非常重要，有线电视网络建设的安全生产尤为迫切。

【关键词】有线电视网络;安全体系;设计;实践

中图分类号：TN929                                  文献标识码：A                          DOI：10.12246/j.issn.1673-0348.2022.01.025

某网络公司启动网络安全体系设计和建设落地项目，包括DVB直播电视系统、交互电视系统、基础传输网络系统、OSS系统、BOSS系统、云计算平台的安防护建设以及网络安全监测中心的建设。

1. 有线电视网络建设的现状

安全播出、安全传输、安全生产是有线电视的生命线。随着有线电视的发展，网络工程的建设步伐日益加快，工程数量逐年攀升，在施工过程中出现的各种各样的问题随之凸显出来，管理体制和管理办法的落后、缺失，施工人员对施工安全的忽视，施工人员的整体素质偏低等，都成为影响施工安全、施工质量的重要因素。管理制度的制订、执行、施工人员对安全意识的敬畏是提高施工质量和保障施工安全的必然要求。

我国于2000年和2003年分别发布了《建设工程质量管理条例》《建设工程安全生产管理条例》，2000年以来，国家广播电视总局也先后发布了《广播电视安全播出管理规定》《广播电视管理条例》《广播电视设施保护条例》等一系列法律法规。这些法律法规为有线电视安全生产提供了制度和依据，厘清了责任和义务。

2. 网络安全问题分析

2.1 DVB直播电视系统

地市DVB直播系统与CA系统连接，存在通过CA系统作为跳板进行入侵的风险。

广播核心交换机与运维管理中心、DVB直播应用支撑系统边界不明确，对运维人员的管理操作未进行审计，没有授权和权限控制措施，无事后追溯手段，存在较大安全风险。

广告播出的公文流转审批操作没有三权分离，不能形成有效监管。

2.2 交互电视系统

交互式电视系统面临的安全风险主要体现在以下几个方面：①该系统与所有双向机顶盒相连。存在数据外部连接和攻击风险。②机顶盒容易受到连接劫持和远程注入攻击。机顶盒和公司门户之间的边界存在巨大的安全威胁。③业务系统边界缺乏完善的访問控制、入侵防护、安全认证审核等措施。④高风险安全漏洞在服务器、网络设备和应用程序系统中很常见。⑤目前，多个交互业务子系统的部署相对分散，没有统一的网络边界，也没有安全防护措施。

2.3 基本传输网络系统

基本传输网络系统面临的安全问题是当前网络中最重要的问题。从目前的建设情况来看，主要体现在以下几个方面：①基础传输网络系统与互联网存在数据交互，涉及互联网业务，存在很大的安全风险和不确定性。②办公网、IP通信网等基础传输网络系统缺乏必要的逻辑隔离设备和安全访问控制手段，风险极大。③运行维护管理人员没有权力分离，没有最低授权和权限控制措施，没有运行记录和事后追踪手段。一旦出现问题，就会产生巨大的影响。

2.4 开放源码软件系统

运营支持系统（OSS系统）的核心服务器和网络设备部署在网络公司机房内，通过二层交换机与外界进行通信，无法进行三层网络安全控制;交换机外部连接公司核心交换机，无防火墙防护;OSS系统服务器通过三张网卡进行外部交互，没有防火墙进行访问控制。同时，系统服务器未安装杀毒软件，核心数据库未审核;运维人员直接访问系统服务器，没有堡垒机等运维安全控制系统。

2.5 BOSS系统

综合业务支持系统（BOSS系统）作为业务发展的核心工作平台，接入方多，防护设备陈旧，缺乏网络边界，访问控制和入侵检测防护措施严格;对具有访问权限的系统和终端没有认证和审核手段;服务器和应用系统中存在大量可利用的高风险漏洞;当存在多个网络连接出口和复杂的访问对象时，总体缺乏深入防御支持规划往往会被设置为恶意攻击者进行深入攻击的关键攻击目标和跳板。

2.6 云计算平台

网络公司新建云计算平台，将基础业务应用系统和外部服务迁移到云平台。云平台被设计为公司的统一服务平台，是未来业务增长的重要堡垒。但在云平台规划建设之初，并未考虑其云安全防护要求，且已建成的云平台没有相关的安全防护措施，内部和外部都面临着巨大的安全风险。

3. 网络安全体系规划实践

3.1 网络安全监测中心

网络安全监测中心建设借鉴电信和广电运营商的经验，针对有线电视业务特点，建立以“一网一平台”为中心的网络安全监测中心，实现网络安全调度指挥，保障安全播出。

“一网”指监测信息审计系统内部网络，建设系统平台软件、审计系统、监测工具以及安全带外支撑网络，项目总集成方提供相关软件和专用硬件设备，由项目总集成方技术团队负责日常运营服务，按期向公司交付监测服务，相应结果可在监测服务中心大屏实时显示。

安全监测服务包括聚合扫描分析、渗透测试、漏洞扫描、安全检测评估分析、信息系统安全综合保障服务、安全事件应急处置、安全通告服务等，结合安全监测值守、应急演练与培训服务，实现全天候7×24小时服务保障。

“一平台”指安全态势感知平台，部署网络安全态势感知系统，在不改变现有网络结构的前提下，旁路方式部署态势感知系统，对进出网络的流量进行深度分析，实现内网系统和设备日志进行筛选排查，并在发现或检测攻击行为时发出告警，由监测人员及时处置、追踪溯源，发现受攻击和入侵的主机、系统，并设置相应安全策略，阻断威胁源。

3.2 三重安全防护

3.2.1 网络安全防护

首先，安全管理领域计划放置网络公司即将上线和已经上线的安全设备，如终端安全管理中心、日志审计、数据库审计、堡垒机、蜜罐管理服务器、态势感知分析平台等，在安全管理领域，统一管理和调度网络安全。二是增加两个万兆防火墙和两个千兆防火墙，淘汰旧的防火墙设备，配置网络间的逻辑隔离策略和安全访问控制手段。三是增加门禁系统，配合fortressmachine为运维管理人员配置分权策略，最小化授权和权限控制措施，实现对接入网络的终端和主机的安全认证控制，防止未经授权和不受信任的外部终端和主机连接到公司内部网;在接入公司网络前对外部单元设备进行身份认证，对与公司连接的外部链路进行认证和控制。四是新增云安全防护体系，与云平台无缝对接，开放无代理防病毒、反恶意代码、虚拟防火墙、入侵防御等功能，实现对云平台资产、系统补丁、网络接入、移动媒体的有效保护和管理。

3.2.2 系统安全保护

网络公司面向互联网的外部系统的前端计算机统一部署在DMZ区域，通过新的web应用防火墙（WAF）保护应用层安全。保护对象包括OSS系统、OA系统、支付系统、移动门户等核心外部业务系统。

在交互式电视服务系统边界部署两个web应用防火墙（WAF），以确保机顶盒与公司门户之间边界的安全，防止机顶盒受到连接劫持和远程注入攻击的威胁。

在安全管理域部署终端安全管理中心，对办公网络和云平台的终端和服务器资产、系统补丁和移动媒体进行管理，实现对病毒、木马和恶意代码的有效防护。

在公司重要业务系统的网段部署至少一个蜜罐探测器，管理节点部署在安全管理域。蜜罐伪装技术用于诱使攻击者将蜜罐服务作为陷阱进行攻击，从而触发攻击警报，延迟攻击者时间，获取入侵者信息，有效帮助运维人员快速实施有针对性的防御措施。

3.2.3 內容安全保护

一是将办公网络与业务支撑系统隔离，在核心链路上串联部署互联网行为管理设备，对公司办公网络运营行为（包括无线网络）进行统一安全管理，配置策略路由和行为控制策略，控制和过滤互联网流量，实现公司互联网接入的安全防护。其次，在安全管理领域增加了一个新的数据库审计系统。通过部署在核心业务系统中的数据审计探针，实时记录核心业务数据库的活动记录，审计细粒度满足合规管理要求。同时，对数据库遭受的风险行为进行报警，阻止攻击行为，以便事后生成合规报告，追查事故来源，提高数据资产安全性。最后，在安全管理域新增日志审计系统，通过镜像及SYSLOG方式将重要业务系统的日志集中审计分析，及时发现问题，同时日志留存6个月并循环覆盖，满足《网络安全法》中日志留存要求。

3.3 四大基本保障

3.3.1 组织管理制度保障

建设安全管理制度，明确系统安全管理工作总体方针、安全策略、总体目标、工作范围、安全责任等要素;安全管理制度主要包括安全建设管理、安全人员管理、安全运维管理、安全开发管理等制度。

3.3.2 应急响应体系保障

完善网络公司《网络安全事件应急预案》，建立应急响应组织机构和职责，明确不同级别网络安全事件的应急响应与处置原则，定期进行应急演练，根据演练结果不同修订完善应急预案，不断提升公司应急响应能力，确保各业务系统的安全、稳定运行和业务的连续性。

3.3.3 教育与培训保障

在安全管理总方针的指导下，明确网络公司网络安全培训教育的内容及相关人员的职责。在网络安全管理体系建立、实施和维护的不同阶段，采用内外结合的方法，有计划、有步骤地开展培训工作;对网络安全管理人员和普通员工进行培训和考核，包括网络安全管理理论培训、安全管理体系教育、安全意识宣传和专项安全技术培训;确保网络安全政策、规章制度和技术规范的顺利实施，最大限度地降低和消除安全风险。

3.3.4 日常运行安全保证

完善各项安全管理活动中的流程和机制，确保系统的安全运行，主要包括安全事件处理流程、安全风险评估流程、安全事件追溯和取证流程、安全设备在线交付流程、安全事件处理机制，等建立和完善日常管理操作程序和手册，指导安全操作。

4. 结论

安全播出是广电行业的生命线，安全生产是有线电视安全播出的重要一环，生产事故、技术事故稍有不慎，就会演变成重大安全事件。有线电视网络建设工程作为一项系统工程，要想对施工安全进行有效控制，就必须从影响施工安全的多个阶段进行控制。安全管理贯穿于整个施工过程，需要不断总结，不断创新，寻找更加有效的管理手段以提高建设工程的安全管理。

参考文献：

[1]鞠国山，王凯.有线电视网络工程施工安全管理[J].中国有线电视，2020（9）：1089-1090.