摘要 在广播电视系统中所传输的信息种类很多，以媒体的种类来区分可分为视频、音频、图片、数据等介质;从视频网站中的各类应用来看，有电视节目直播、视频点播、多媒体信息查询、节
在广播电视系统中所传输的信息种类很多，以媒体的种类来区分可分为视频、音频、图片、数据等介质;从视频网站中的各类应用来看，有电视节目直播、视频点播、多媒体信息查询、节目回看、大数据查询以及其他媒体形式的专题等;从传输手段看有网络、无线发射、有线电视、微波传输、卫星传输等，形成“天地一体，星网结合”的立体传输网络，打通了传输方式全覆盖，实现信息、介质传输的多渠道输出，为用户多渠道获取媒资信息提供了方便。广播电视网络具有高带宽、高速率，多用途，终端传输不对称等良好特性，而广播电视信息中的大视频，多语言等媒体信息在传输中需要较高质量的传输媒介。目前，安徽广电视频网站在传输媒资信息时，直播还无法做到所有频道的全覆盖，点播所有栏目、所有期数无法全留存，遇到节假日或者特别直播时，网络出现卡顿、无法打开等现象，视频网站受到攻击风险激增，用户人数、业务在增加，所以需要对安徽广播电视台视频网站网络安全面临的风险进行评估并逐步解决。
1安徽广播电视台视频网站网络安全面临的系统安全风险
从整体来看，安徽广播电视台视频网站网络系统高安全风险主要出现在以下三个层面：
1.1网络层面
由于网络系统访问控制策略设计的不合理或缺乏一些严格的网络安全产品(如防火墙、IDS、防病毒、业务监控网关等)，导致外部互联网上的黑客或病毒可以趁隙入侵或破坏，影响整个广电服务的资讯提供质量。视频网站网络安全影响广播电视媒体正常传播，所以，在网络层面必须制定策略确保网络安全，网络安全威胁一直威胁着安徽台视频网络的安全传输，一旦发生网络病毒大肆攻击，威胁着网络安全，影响千家万户对广播电视媒体的正常使用。确保网络层面安全关系重大，把控好网络层安全，保证视频网站的正常传输。
1.2系统层面
由于网络设备和服务器操作系统的安全漏洞频繁出现，利用这些漏洞的入侵工具和病毒(蠕虫)等攻击手段也随之产生，导致安徽广播电视台视频网站存在随时被黑客入侵或蠕虫爆发的可能。系统层面的威胁可能是存在于系统根上，也有可能存在于外界的入侵。对于系统根上的基因自带的漏洞需要及时弥补漏洞，补丁，短板需要及时堵住;对于来自外界的入侵需要做到严加防范与系统监管。
1.3管理层面
安全事件发生的主要原因往往是安全管理问题，缺乏有效的安全管理制度、安全制度执行与监督不力、没有统一的安全策略、没有严格的机房管理制度等，一系列不严格措施均可能导致内部人员工作松懈，为外部黑客的攻击创造了条件，甚至内部人员恶意的窃听、破坏、偷窃信息等。管理层面的疏忽成为现如今发生网络安全威胁的重要原因。安全管理制度的制定与有效的执行是防范安全事件发生的有效办法。做到日查、登记备案、应急演习都能够有效防范安全事件的发生。制定有效的安全管理制度、有效的执行、良好的机房管理环境、强大的维保队伍需要在管理层面下功夫，做到管理层面的不疏忽、不懈怠，及时高效保障网络安全。针对安全风险出现的三个层面的剖析，经过前期对广电整体网络拓扑的分析，目前安徽台视频网站的网络安全风险主要存在于如下几方面：(1)网络出口现有安全设备的抗攻击性能难以满足安全需求，一旦发生大规模的网络攻击(如各种DDOS攻击等)时容易出现流量拥塞甚至瘫痪，导致业务不可用;(2)安徽省广电IP承载网互联网出口缺乏针对应用层攻击的检测及防御能力，此类攻击的典型特点是以小搏大，即使很小流量的攻击，也会造成业务不可用;(3)视频网站接入互联网，需要超强的辨别识别能力，必须时刻了解跑在网络上的各种业务带宽的使用情况以及流量情况，只有这样才能传输大量数据内容，特别是媒体信息，才能保证老百姓网络环境正常，保证各种业务的正常开展以及良好的用户体验;(4)因为无限制的P2P、在线视频等新兴业务对广电网络带来的电信业务收入、带宽利用等威胁，所以，视频网站网络必须对使用的业务所需的网络环境进行控制和管理，只用做到良好监管，有序分布使用，才能确保广播电视网络的服务质量。根据对安徽省广电系统信息安全风险分析和需求分析，在国家对信息安全各种政策的要求下，保证现有各类业务信息正常运行的前提下，以现代信息安全保障体系为理论基础，运用最新的安全保护技术、国家标准、网络安全技术规范为架构，为保障广播电视网网络安全提出以下解决方案。
2整体安全解决方案
根据安徽广电系统高可靠性和高安全性要求，对广电互联网出口进行综合安全防护，需要部署六套系统：
2.1部署一套DDOS防护系统
拒绝服务攻击DOS是当前Internet最流行的攻击手段，拒绝服务攻击是通过制造大量非法流量，占用大量系统服务资源以达到耗尽带宽为目的，使正常网络业务无法正常开展的一种攻击手段。拒绝服务攻击具有攻击方式简单粗暴，迅速达到目的，而且很难防范与源头追踪等特点。所以，在现如今的在网络上开展的如电子商务、电子政务、电子银行等一系列网络服务，都有可能通过这种攻击方式使业务无法正常开展，给国家、公司、人民造成巨大损失，耗费大量人力、物力、财力。所以，需要严加防范这种网络攻击。DDOS即分布式拒绝服务[1]，攻击指借助客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DOS攻击，从而成倍地提高拒绝服务攻击的威力。所以，需要在现有广电网络与互联网连接的边界处部署一套可支持多种类DDOS攻击的准确识别和控制系统，不仅可以做到对攻击的准确识别，还可以提高对蠕虫病毒流量的识别能力，从而提高系统的安全防范能力。该DDOS防御系统包括三部分，监测及分析中心，控制及清洗中心和安全管理中心，三个中心互联互动，可实现自动检测，识别攻击自动或手动引流清洗，统计分析报表定期生成。
2.2部署一套业务监控系统
通过DPI技术[2]对网络流量进行深入协议分析，把控好网络流量对于业务区分以及业务所需要的网络流量的质量控制。并且，通过对业务流量统计数据进行深入挖掘，更深入地了解网络使用情况，如用户使用宽带的习惯、方式等。业务监控系统的部署对于业务流量的分配调动起到了及时的监视作用，有了一套业务监控系统可以为现有的网络环境提供优化改造意见，也可以为开辟新业务以及增值业务提供指导意见。所以，需要部署一套业务监看系统。
2.3部署一套互联网缓存系统
对于广电网络传输的视频、图片、音频等大数据量内容，保证用户使用的流畅度与所有业务的质量，使网络“不卡”业务“不顿”，特别是缓存系统中的调度子系统运用了负载均衡、热点内容搜索管理调度以及缓存记录搜索等技术，能够引导请求用户和已经缓存过的数据设备发生数据交换，增加已缓存数据设备使用率。另外，无限制的P2P、在线视频等新兴业务对当前带宽超负荷使用等威胁。所以，需要一个高速、优质的网络服务。做到网络的优质、高速需要部署一套互联网缓存系统，采用分析定向、自动缓存、精确调度和速度搜索等技术，将占用总出口带宽60%～80%的P2P流量、在线视频以及大文件下载流量本地化，进而达到节省出口带宽、降低网间结算费用、提高网络利用效率、降低网络运营成本，最终实现广电网优质高速，提升用户使用的流畅度以及所有业务的高质量开展。
2.4部署一套日志管理系统
在信息管理系统中，日志是指对计算机设备运行中重要活动或事件的完整记录和描述，它能够记录信息系统内发生的动作和行为，向外界展示信息系统运作的完整轨迹和本质。帮助网管实现日志统一管理，系统能够采集、过滤、归并、分析、存储、监控并上报成专业的防火墙会话日志，并支持发送告警和输出报表。形成完整的上报日志对系统内发生任何行为做到有迹可查、有迹可循、有事可报，这对于解决系统问题以及业务起到非常重要的作用。并且，以报表的形式可以做到问题的溯源以及备案，为后续问题的查证与追责提供重要依据。本次部署的日志管理系统可以针对网络出口处的防火墙和服务器防火墙进行统一的日志分析，以检测当前网络中的最新攻击类型。
2.5部署一套安全管理平台
随着广电信息化深入，网络规模逐渐扩大，所使用的网络及安全设备逐渐增多，如何更好更方便地对网络及安全设备进行管理，是每个使用者优先考虑的问题。然而，网络设备的管理又存在设备类型复杂、管理信息多样性等问题，如何更好地解决这些问题，网络管理就显得尤为重要。统一安全网管系统[3]要支持全系列安全设备和主流网络设备的网络拓扑管理、故障排查管理、网元管理、设备性能管理、集中策略配置管理、VPN管理等一系列功能。安全管理平台需要能够直观展现网络架构，帮助管理员快速定位网络故障，提升管理能力，提高工作效率，降低维护成本，为用户提供一个对全网设备高效管理的平台。
2.6在网络出口位置部署一套功能强大的防火墙
现网络出口位置的网络防火墙暂时能够满足当前用户数的安全需求，但随着用户数量的不断增加，现有的网络防火墙性能逐渐达不到需求，所以，需要考虑布置新型防火墙。布置新型防护墙的性能需求有强大的入侵防御功能、反病毒功能、强大的GTP保护功能、IDS联动等主要功能。(1)强大的入侵防御功能需求：传统的IPS策略[4]是通过分析现有系统的漏洞以及对已有攻击方式引发的攻击事件进行特征提取，进而制定防御规则。比如：防范有针对性的操作系统漏洞攻击、针对邮箱服务器漏洞攻击、文件服务器攻击、浏览器漏洞攻击等。对当下大多数的木马、蠕虫、间谍软件等能够进行很好的防御与检测。针对现有的防火墙功能缺陷需要IPS能够识别运行于非知名端口的常用数据流类型以及对于特定介质流量减少误报。(2)反病毒功能：反病毒功能指支持邮件传输协议SMTP、POP3，网页协议HTTP的传输数据扫描中做到病毒的删除操作或者向用户发送通过。但现防火墙对10种以上、多层压缩文件、对病毒进行加壳操作的压缩文件进行扫描时发现病毒能力较弱。所以，需要部署新防火墙具有对病毒具有脱壳操作能力，并且对文件类别具有智能识别功能。(3)强大的GTP保护功能[5]：部署在Gn、Gp和Gi接口进行GTP安全防范功能需要有支持R97GTP、R99GTP、GTP协议、报文分析控制能力以及按照规则对报文进行过滤的能力;在路由模式和透明模式两种工作模式下工作;能够解决GTP隧道的限制、能够检测GTP隧道信息、GTP隧道双机热备功能;支持分片缓存功能等。(4)IDS联动[6]是指IDS设备能自动侦听整个网络中是否存在恶意攻击、入侵或其他安全隐患行为，通过下发指令的方式通知统一安全网关，由统一安全网关对攻击报文进行丢弃或其他处理。运用IDS联动的方式来防范恶意攻击，是将恶意攻击分为入侵检测和攻击处理两个过程分量后进行处理，充分发挥各设备的优势，改善系统性能。通过和IDS设备联动，统一安全网关可以提供一种高可靠的主动防御模型和安全解决方案。用户优先配置好静态的安全性能配置信息，通过IDS设备可以动态发现安全隐患，通过统一安全网关设备修改安全策略，起到实时、动态的修改防御策略，保证整网的安全。要有灵活的联动接口协议，可以和很多IDS设备互通，方便支持各种IDS设备和统一安全网关联合工作。
3结语
为应对众多网络不安全因素，本文提出的解决方案包含外网出口、入侵检测和日志审计，同时提供了统一的安全管理中心各模块，可以有效解决当前视频网站面临的问题。在广电行业产业化改造的历史机遇面前，建立一个高起点、高技术含量、多功能、智能化并具有良好扩展性的综合信息平台至关重要。让安徽电视台视频网络信息高速、优质地通往千家万户，让广电网络能够高效传递信息，成为百姓获取信息咨询、丰富文化知识的良好载体，成为国家信息基础建设以及现代化信息服务的重要组成部分。
参考文献：
[1]于跃.基于安全路由联盟DD0S攻击防御机制[D].保定:河北大学,2018.
[2]李婷婷.DPI技术在广电IP化检测系统中的应用[J].广播与电视技术,2019(9):124-127.
[3]翟纲.基于SNMPv3的安全网管技术研究[D].成都:西南交通大学,2003.
[4]谭菲菲.入侵防御系统(IPS)专利技术分析[J].网络安全技术与应用,2018(8):121-122.
[5]李俊凤.基于ENP-2611的GTP防火墙的设计与实现[J].湖南邮电职业技术学院学报,2016(3):42-44,75.
[6]张艳.防火墙与IDS联动的网络安全技术应用研究[J].电脑知识与技术,2012(13):3050-3051.
《广电视频网站网络安全问题解决方案》来源：《西部广播电视》，作者：李振辉
转载请注明来自：http://www.lunwenhr.com/hrlwfw/hrkjlw/15080.html