广播电视制播网的病毒防范
发布时间：2014-07-25 03:31:45 阅读次数：5467
一、网络特点及需求
随着计算机技术、视音频技术的发展，“数字化、网络化、自动化”是目前广播电视行业的流行语，也是各级广播电视台共同追求的目标，各地都纷纷投入大量资金搭建了（广播）电视数字节目制作网和播出网。
非编设备的改良，播出设备的兼容性增强，使得非编与播出系统可以实现直接的打包文件传输播出，很多地方已经实现了制播网络一体化。与传统的制播系统相比，网络化的制播系统为我们带来了不可比拟的优势，但也带来了前所未有的安全问题。
传统制播系统是由一个个相对独立的子系统组成，子系统之间主要采用SDI信号或者磁带进行数据传递。这样的数据交换方式，虽然效率比较低，但是从一定程度上降低了安全风险，安全隐患比较容易固定在子系统内，不易向别的子系统扩散。
安全播出历来备受关注，在技术上我们主要通过各种IT设备、各级链路、系统协作等多层冗余机制，来提高系统的安全性和可靠性，以提升系统的应急响应能力，确保最终的安全播出。
而网络化的制播系统由采集、制作、存储、播出等多个业务子板块构成，各个业务子板块之间是相互连通的，基于网络安全上的木桶原理和网络的无边界性，我们必须保证整个网络的各个业务子板块的安全才能保证最终的播出安全。
传统的技术手段对于保证制播设备的正常运转是行之有效的。但网络化数字系统的运行却面临新的挑战—病毒攻击。由于计算机病毒已经是无处不在，已经对数字制播系统构成重大威胁，成为了很多广电人士的心头之恨，担心和困扰挥之不去。目前，中小（广播）电视台的网络化普及率较高，病毒危害最深。大型（广播）电视台由于担心病毒攻击造成播出事故，安全责任重大，制播一体化工作一直不敢实施，造成设备和人员冗余、工作效率低下。
目前，大家采用常规的技术手段来应对，如加防火墙、封闭USB接口、软件杀毒等措施，不仅费时费力，而且事倍功半，防不胜防。针对广电数字制播系统的结构和数据特点，能够安全、有效、放心地实现病毒隔离的防范系统，深受业内人士期盼。
安徽天虹数码科技有限公司为此而设计的“红旗-9”全台网病毒防范系统，正是秉承以上制播网络应用要求研发的。该系统采用“白名单”确认原理，通过板块外病毒隔离、板块间病毒隔离、病毒检测定位手段，在快速、安全、完整地转发对实时性要求极高的大数据量视音频数据流的同时，切实达到了“业务板块内安全”、“各个板块间交互安全”以及“有效的病毒监测”等安全要求。
“红旗-9”全台网病毒防范系统主要技术内容和创新点包括：
1、国内自主研发的数字视音频网络专用安全系统，申请了发明专利，具有自主知识产权；
2、采用FPGA实现的专用安全引擎，对大数据量视频流进行实时检查 ；
3、安全系统运行在特殊定制的操作系统之上，使通用平台程序代码无法在该系统上运行，从而有效地避免了通用计算机病毒和黑客程序的攻击 ；
4、系统采用分离总线处理进入和发出的数据流，任何网络接口之间的通讯都必须通过视频网络安全装置，切实做到了安全隔离。
5、通过可靠检测确保病毒完全隔离，在设计上遵循——“除非明确允许，否则就禁止”的白名单基本原则，以文件为单位对传输内容进行格式分析和过滤，任何问题素材都不能通过。
二、系统描述
“红旗-9”全台网病毒防范系统是由安徽天虹数码技术有限公司自主研发的计算机网络边界安全防护产品，是专门针对目前各（广播）电视台外部不可信网络、移动传输介质向内部可信网络的视音频影像数据高速、安全导入而研制的，其部署于外部不可信网络、移动传输介质与内部制播网络之间，或内部网络的各个板块之间，实现了影像数据资料的受控传输、内容审查、内网网络拓扑隐蔽、日志审计等安全功能，确保整个传输过程高速、安全、可控。其产品结构如下图所示：
首先，为了保证全台网中采集、制作、播出、存储等各个业务板块的网络相互之间能够正常连接、传输数据，并且保证板块间数据传递安全，我们采用了在板块和板块之间设置网间病毒隔离墙的方法。
其次，为了确保制播网中的各个业务板块的子网络，在快速、高效地接受外部移动存储设备中数据的同时，不受移动存储设备中可能的病毒的侵害，我们采用了在外部网络、移动介质与相应板块的子网络之间添加移动存储隔离墙的方法；
另外，为了保障对全台制播网络数据交换中心实施病毒监测，我们采用了病毒报警器，一旦在制播网中发现病毒，病毒报警器就会快速作出反应，提供实时报警。
“红旗-9”全台网病毒防范系统主要为下图中的三个组成部分，我们分别介绍每个部分的系统特性和功能特点。
1、板块内安全——移动介质病毒隔离墙
移动介质病毒隔离墙在设计上严格遵循——“除非明确允许，否则就禁止”的白名单基本原则，以文件为单位对传输内容进行格式分析和过滤，以确保对USB设备、DVD光盘等存储设备上的病毒进行有效识别、并隔离。
移动介质病毒隔离墙在体系结构上采用软硬件有机结合的设计理念，根据软件和硬件之间的“协作”关系量身定制，充分发挥系统的潜力，保持较高的工作效率和稳定性，并且采用安全增强和优化的操作系统，安全级别高，具有强大的功能特性。其典型的系统特性如下：
文件内容深度分析，通过对文件内容和格式的深度比对，让非法文件无所遁形；
安全性高，通过用户身份验证、数据内容验证等多种方式保证有效数据安全传输；
传输透明化，保证用户迅捷的上传、下载和选择文件；
专有的传输协议，保证传输过程的安全性；
传输完整性检测，通过收发双方的MD5码校验，最大限度保证传输的正确性；
设备自动搜索功能，用户不需要进行繁琐的设置；
支持常见的视音频、图片以及文本等文件；
定制应用交换功能；
访问控制功能；
数字内容审查；
内网拓扑隐蔽功能。
通过在制播网各个业务板块子网络中运用移动介质病毒隔离墙，可以充分保障各个子网络的安全，有效地防止外部移动存储设备中的病毒的侵入。如下图：
2、板块间交互安全——网间病毒隔离墙
网间病毒隔离墙是基于制播网络各个板块之间进行病毒防护而开发的一套产品，典型的应用是在制作网与播出网之间。通过对传输内容进行分析，仅仅容许通过“认可的”和符合规则的文件，对无法识别的文件或者格式错误的文件一律视为非法文件限制在网络上传输。网间病毒隔离墙能够用来隔开网络中的多个网段，能够防止某一网段中的安全隐患通过网络向别的网段传播。这样，通过在全台网各个业务板块子网络之间安装网间病毒隔离墙，即可保证板块之间数据交互的安全性。
网间病毒隔离墙作为板块网络间访问的唯一点，所有进出信息都必须通过网间病毒隔离墙，所以网间病毒隔离墙非常适用在被保护的网络之间收集关于系统、网络使用和用户操作行为的信息。其典型的系统特性如下：
支持千兆网络，高传输率，用户几乎感觉不出性能的损失，保证了传输的流畅性；
多种模式灵活选择，单向、逆向、双向工作模式可选，可实现一对多、多对多等应用场景；
传输透明化，保证用户迅捷的上传、下载和选择文件；
专有的传输协议，保证传输过程的安全性；
传输完整性检测，通过收发双方的MD5码校验，最大限度保证传输的正确性；
权限控制，对工作目录的文件进行读写的权限设置、保证文件的安全性；
日志记录功能，对文件操作和多传输过程进行详细的日志记录，保证文件的修改有据可查；
设备自动搜索功能，用户不需要进行繁琐的设置；
文件内容深度分析，通过对文件内容和格式的深度比对，让非法文件无所遁形；
灵活的传输规则，除内置的文件格式外，还支持用户自定义传输格式文件(以扩展名验证)；
支持常见的视音频、图片以及文本等文件。
设备的安装、配置简单，可以很容易的整合到现有的网络环境
通过在全台网各个业务板块子网络间运用网间病毒隔离墙，可以充分保障各个子网络交互传输数据的安全，有效地防范病毒在各个子网络间交互传播。
3、病毒监测——病毒报警器
在确保了各业务板块内部安全和板块间交互传输数据的安全之后，我们剩下最后一步，即：对网内病毒进行监测。这一步由病毒防范系统中的病毒报警器来完成。
病毒报警器是天虹公司自主研发的病毒监测类安全产品，其主要作用是用来帮助我们发现、查找、跟踪、定位以太网的各种威胁，并提供有效的反病毒措施和提高系统防病毒能力，并能够对全台网安全情况提供有效评估。
病毒报警器采用了融合多种分析方法的新一代病毒监测技术，配合经过全面优化的高性能双系统安全平台。其中一个系统模拟被攻击机，收集病毒；另一个安全系统跟踪病毒动向，并绕过欺骗主机定位病毒来源。更可以根据用户定制安全策略，准确分析、报告网络中正在发生的各种异常事件和攻击行为，实现对网络病毒的“全面检测”，同时通过实时的报警和用户界面系统、短信系统，为用户提供详细、可操作的安全措施，帮助用户完善安全保障措施。其典型的功能特点如下：
支持多级、分布式部署，实现策略统一下发，信息集中收集。
支持协议自识别与协议插件技术，可准确识别非常规端口的协议和新型协议。
支持基于特征和基于原理的两种检测方式，在保障检测精度的基础上，扩大了检测可识别的范围。
有一套业界最规范的后继服务支撑体系，确保对新型事件的快速准确响应。
提供网络入侵事件、网络违规事件、流量异常事件等多种异常检测。
采用最短时间优先算法，确保了产品在网络数据高负载情况下的检测效率。
结合了环境指纹技术，在发现有攻击行为后，与存储的环境信息进行二次匹配，将那些能够确信为“有用”的报警信息单独呈现，减少用户的分析操作消耗。
除了事件的双方地址、协议等信息外，还包括了对事件的具体描述、漏洞信息、修补建议、影响系统等，可以将最细致的事件信息呈现给用户。
提供与实际地理拓扑相结合的报警显示方式。在大规模部署的情况下，可以将设备拓扑与地理拓扑相结合，使得管理员可以直观而迅速的判断威胁所在。
提供基于时间、地址、事件等多重参数信息的分析报表，结合历史分析数据，可清晰展现安全建设发展趋势，协助考查网络安全建设水平。
三、白名单检测过滤技术