点击标题下「广电猎酷」可下载行业标准
本文由《广播与电视技术》杂志独家授权。本文刊发于2017年第127期。
作者：毕江，王燕清，张宁，王立冬，李程，陈奇（北京电视台）
【摘 要】
本文聚焦于信息化发展和媒体融合形势下电视台网络安全监测系统的规划。首先梳理电视台信息系统分类及其安全风险，分析现存问题并提出一个支撑、两个维度、三个转变的整体应对思路，然后基于网络安全监测需求，规划系统框架、设计功能要点，并提供系统实施的参考建议。
【关键词】
电视台，信息系统，网络安全，安全监测，安全数据，安全管理，安全运维
0 引言
随着信息化进程、媒体融合的迅猛推进，互联网和IT革命对广电行业产生了重大而深远的影响。信息系统在电视台技术体系中逐步占据主导地位，各项业务开展几乎完全依赖其正常运转。
在此背景下，网络安全的重要性被提升到前所未有的高度。网络安全法的制定为网络安全体系建设提供了法律依据，广电总局十三五科技规划也将网络安全列入显要位置。各电视台在以往的网络安全保障工作中，大多以局部系统为对象、以静态措施为核心、以等保测评为目标，整体安防成效难以追踪、安全资源投入缺乏依据、安全管理运维手段匮乏，安全保障能力与信息化水平明显脱节，亟待引入新思路，实现跨越式转型。
随着大数据、态势感知、智能分析、数据可视化等新一代技术手段走向成熟，电视台网络安全领域正在发生重大变革：从侧重静态安全措施部署转向基于数据支撑的动静结合、内外协同；通过网络事态的自动获取和智能识别，及时掌握安全态势，适时调整安全策略，全面提升安全事件应对能力。
本文针对上述趋势，从业务特征出发、分类梳理电视台信息系统及其安全风险，针对现存问题给出整体应对思路、形成电视台网络安全监测需求。在此基础上，规划系统框架、设计功能要点，并提供系统实施建议，为行业实践提供参考。
1 需求分析
1.1 系统分类与安全风险
根据承载业务性质，电视台信息系统可以分为制播业务、新媒体应用、办公管理三个基本类别。其中制播业务系统作为电视核心业务支撑平台，提供节目生产和制播能力；新媒体应用系统是拓展电视业务形态、主要面向互联网用户提供服务的信息系统；办公管理系统侧重满足行政办公和业务管理需求，同时承载部分辅助生产业务。
随着平台架构应用和业务融合发展的脚步，信息系统的一体化进程逐步清晰，“统一资源平台+不同类型应用”模式将成为主流，系统分类界限渐趋模糊。即使如此，上述针对应用的分类原则依然有效，不同类型信息系统的网络安全风险持续存在。
对于电视台信息系统而言，安全风险主要分为业务性风险、技术性风险、通用性风险三类。
1.1.1 业务性风险
业务性风险与电视台业务特征密切相关。根据信息系统分类，分述如下：
制播业务系统承载电视核心业务，直接关系到播出安全，对生产能力大规模中断极为敏感，因而安全等级最高，部署于网络纵深内部，安全防护措施相对严密。系统安全风险主要是病毒、木马传播和安全边界失效等。安全关注点聚焦于内部安全威胁，兼顾安全边界可靠性，防病毒重于防入侵。
新媒体业务面向互联网提供公众服务，不可避免的面临各类恶意攻击威胁。新媒体应用系统需要确保发布内容正确性和业务连续性，安全风险主要来源于网页篡改、挂马、网站失效、应用仿冒等。安全关注点聚焦于防范恶意入侵和内容篡改。
办公管理系统业务应用规模小、数量庞杂、类型多样，且提供互联网接入服务，因其处于网络纵深外侧，经常成为外部恶意攻击行为的首要目标。系统安全风险主要来自APT攻击、互联网出口攻击、DMZ区入侵等，对非法外联也较为敏感。安全关注点聚焦于防范病毒传播和恶意入侵，以及内部人员行为隐患。
1.1.2 技术性风险
技术性风险源于信息系统的技术层面，参照等级保护要求，可以分为基础网络、边界、终端、服务端、应用、数据等方面。
技术性风险主要体现为安全措施部署不到位。例如：网络拓扑结构设计未能形成纵深防护体系；没有部署边界安全设备并开启安全策略；登陆网络设备、主机、应用过程中未能采取双因素身份验证手段；系统管理员、安全管理员角色没有分离等。
1.1.3 通用性风险
通用性风险通常体现在信息系统的日常管理、运维过程中，涉及安全管理、运行维护及技术发展三个方面。
安全管理风险首先是对安全威胁、系统脆弱性、安全措施有效性缺乏感知、分析能力，整体安全态势难以把握；其次是片面追求局部安全措施符合性，安防成效难以保证。
运行维护风险来自于运维人员及其操作行为。信息系统运行过程中，往往缺乏有效的安全事件告警和风险预警手段，人员操作也存在安全隐患。
技术发展风险是指传统安全措施无法应对信息技术发展和新型业务形态所带来的安全风险。面对云平台架构、虚拟化环境下的安全域划分、多租户隔离、虚拟机防病毒、边界安全等问题，传统防火墙、防毒墙、入侵检测设备已经陷入捉襟见肘、效果不明的境地。
1.2 现存问题与应对思路
现阶段电视台网络安全保障工作中的突出问题，主要体现在以下两个方面：
一是安全措施符合性或已达标，却难以保证安全防护效果。随着各类安全措施的逐步部署，网络安全系统日趋复杂。从全局视角看，依旧缺乏整体规划，安全资源投入缺乏依据，整体安防效果难以追踪评估；安全措施部署缺少针对性，相互之间不能有效协同；传统安防设备只能抵御特定领域的已知安全威胁，主动对抗能力薄弱，无法应对APT攻击等新型安全威胁。
二是安全运维和管理工具缺失，无法及时获取、掌握总体安全态势，安全事件应对能力不足。传统安全管理平台以IT资产为核心，收集、展示安全日志和告警信息，但可读性不强、可用性有限，无法辅助安全运维人员深入理解、分析安全数据；对安全事件、安全威胁缺乏有效预警、告警和追溯，安全管理人员不能及时掌握当前安全态势，安全事件响应仍以事后分析处置为主；对外部威胁情报未能充分利用，无法结合内部安全数据分析识别高危攻击。
针对上述问题，电视台网络安全保障工作思路需要调整：以网络安全数据为支撑，通过等级保护和安全监测两个维度，实现从安全态势难以掌握到可视化感知、从被动防御到主动对抗、从注重局部措施落实到聚焦全面成效获取的跨跃性转变，即：一个支撑、两个维度、三个转变。
安全威胁往往隐藏在海量数据之中。一个支撑的含义，就是要引入数据洞悉安全的理念，通过采集、分析安全数据，挖掘关联、定位隐患并提供处置参考，有效应对新形势下的安全需求。
等级保护和安全监测两个维度之间既有区别，又有关联。网络安全等级保护相关要求是电视台开展安全保障工作的指导原则，推进网络安全监测则是动态掌握安全态势、提高安全事件应对能力、实现安全资源投入适度化的有效途径。等级保护重点强调安全措施部署，形成了较为完整、周密的宏观架构和细节要求；安全监测是以数据为支撑，注重动静结合、内外协同、态势感知、主动对抗。在推动电视台网络安全保障工作转型过程中，等级保护和安全监测互为依托和补充，共同构筑了网络安全管理和运维的基石，如图1所示。
三个转变是从一个支撑、两个维度导出的发展方向，描述了现阶段电视台网络安全保障工作转型、演进的目标和效果。目标属于宏观和全局层面，效果可根据条件、环境分步实现。安全态势可视化感知旨在获取、理解、呈现引发网络态势变化的安全要素，并对发展趋势进行预测；主动对抗是指通过事前部署安全措施、即时调整安全策略，阻止安全事件的发生或降低其风险，化解安全威胁；聚焦全面成效获取是指改进重视局部安全措施部署的传统思路，从全局视角出发，统筹协调各类措施、手段和机制，保证信息系统安全运转。
综上所述，电视台网络安全保障工作要在以往落实信息系统等级保护相关要求的基础上，开展网络安全监测系统建设，及时掌握安全措施运行状态，识别、预判安全风险，动态呈现安全态势，为安全管理和运维提供技术支持工具。结合完善的安全运行机制，形成由分散到集中、由事后到实时、由被动到主动的网络安全保障能力提升，向网络安全态势可见、可控、能控、在控迈进。
2 框架规划
2.1 总体定位和规划原则
电视台网络安全监测系统是基于安全数据，实现网络流量检测、威胁情报分析、安全事件溯源、安全态势感知等功能的信息系统。该系统通过与电视台内部网络监控、运维管理、资产管理等信息系统以及外部行业监测监管平台、第三方服务提供机构之间的互联互通和数据共享，实现网络安全监测、管理、运维领域的流程协同。
网络安全监测系统应遵从适用性、前瞻性、可行性的规划原则。在适用性方面，适应高可用、不间断、高带宽、实时性、高交互、一体化的行业特点，具备良好的移植性和扩展性，同时适配电视台信息系统分类和业务特征，能够应对安全风险并解决现存问题。在前瞻性方面，顺应信息化发展方向，符合网络安全技术趋势，契合行业监测监管要求，具备技术先进性。在可行性方面，满足网络安全管理、运维人员的核心需求，具备技术可行性和功能实用性。
2.2 系统架构和能力要素
网络安全监测系统由对象层、数据层、能力层、功能层、操作层构成，如图2所示。对象层以电视台信息系统和安全措施为监测对象；数据层汇集各类网络安全数据源；能力层包括数据采集、处理、分析、呈现等能力要素，为上层功能提供数据支撑；功能层包括状态监测、管理支持、威胁防御三类模块，满足场景化监测需求；操作层通过统一界面支持用户操作。
架构设计采用层次化、平台化、组件化准则，有效提升系统弹性和扩展性，根据业务负载动态伸缩、按需部署功能模块，灵活适配安全管理目标。
网络安全监测系统在性质上属于数据分析服务类系统。通过网络安全数据的采集、处理、分析、呈现，为应用功能实现提供支撑。这些基础数据功能可以抽象概括为四类能力要素，以后台服务模块形式实现，共同构成系统架构中的能力层。
数据采集能力要素通过被动接收和主动采集两种方式，实现各类日志、流量数据采集，同时利用对外接口获取威胁情报。通过在传输过程中使用安全协议，保证数据的机密性和完整性，避免导致新的安全隐患。
数据处理能力要素对原始数据进行必要的清洗和转换，根据预设规则转化为系统能够识别的标准事件，并以适当数据结构进行统一存储，有效降低数据噪声，提升数据分析模块的工作性能和效率。
数据分析是核心能力要素，按照网络安全管理、运维相关的数据逻辑和应用逻辑要求，利用大数据技术对采集、处理过的安全数据进行深入分析和挖掘。
数据呈现能力要素是系统人机交互接口。依托数据可视化技术，以地理、仪表、星云、流向等图表形式，实时全景展示全局网络安全状态和分项监测主题。
2.3 外部接口和安全防护
网络安全监测系统通过数据接口与其他信息系统进行交互。接口类型包括数据采集、互联网情报、管理协同、行业监测四种，如图3所示。
数据采集类接口负责收集内部监测数据，互联网情报类接口负责获取外部威胁情报，两者共同为安全数据分析提供来源。管理协同类接口与网络监控、运维管理、资源管理等台内信息系统对接，打通安全运维和系统运维两类流程，实现安全态势感知、评估、呈现、处置的闭环。行业监测类接口通过标准数据格式与行业监测监管平台交互，获取安全预警信息、推送安全数据、上报安全事件。
网络安全监测系统自身需要参照等级保护要求从网络、主机、应用、数据等层面进行安全加固。与台内高安全级别信息系统对接时，要充分考虑安全边界划分和隔离，通过专用交互通道或采取旁路镜像方式采集数据，尽可能减少给对方带来的影响。在获取外部数据时，则应通过相应安全机制保证数据完整性和准确性。
3 功能设计
网络安全监测系统在采集、分析安全数据基础上，以视图和列表形式实时展示系统设备、业务应用以及安全措施等的运行状态，跟踪安全事件、挖掘未知事态、呈现安全态势，做出风险预警和事件告警。
系统功能主要包括状态监测、管理支持和威胁防御三个类别。从安全管理目标适配角度，状态监测类属于基础性功能，侧重实现安全状态获取、查询和展示；管理支持类属于拓展性功能，侧重支持安全管理和运维协同；威胁防御类属于提升性功能，侧重完成威胁防御和主动对抗。
3.1 状态监测类功能设计要点
状态监测类功能主要针对电视台信息系统运行环境进行监测，动态呈现其运行和安防状态，具体包括设备、应用、配置和措施四个模块，其中应用状态监测功能实现如图4所示。
上述监测目标的实现是通过采集、存储信息系统和安防措施运行数据，智能学习生成运行状态历史基线，并将当前状态数据与历史基线数据进行比较、生成告警信息，以视图方式呈现。基线是实现该类监测功能的基础技术，通过比较差异发现可能存在的异常，为后续关联分析和响应处置提供依据。
3.2 管理支持类功能设计要点
管理支持类功能为电视台网络安全管理、运维提供技术支持，通过建模直观展现信息系统安全态势，准确定位安全建设短板，成为安全系统建设、改造以及安全策略制定、实施的辅助工具，具体包括等保措施自查、安全资产管理、安全态势评估和安全运维协同四个模块。
等保措施自查模块对照等级保护控制项，自动采集、聚合、分析、比对信息系统相关数据，全面展示网络安全建设成果、等保要求符合度以及整改情况。安全资产管理模块在呈现安全资产数据基础上，依托安全配置管理数据库，在安全资产数据与其他监测功能之间建立关联，方便逻辑分析和问题定位。安全态势评估模块综合分析安全风险、措施、漏洞等相关数据，对信息系统整体安全态势进行量化评估和展现，如图5所示。安全运维协同模块负责对接运维管理系统，基于安全事件触发运维流程，实现监测、运维、反馈的闭环。
3.3 威胁防御类功能设计要点
威胁防御类功能主要针对信息系统脆弱性，结合外部威胁情报，动态展现各类威胁信息，实现风险预警和事件告警，并提供一定的攻击追溯能力，具体包括漏洞补丁监测、威胁预警分析、安全事件告警、威胁攻击追溯和未知事态挖掘五个模块。
漏洞补丁管理模块负责扫描、监测设备、系统安全漏洞和补丁安装情况，以图形化方式展现漏洞分布和风险级别。威胁预警分析模块综合各类安全数据进行关联分析，及时发现安全威胁并进行风险预警。安全事件告警模块对大量安全事态进行过滤、聚类和分析，识别安全事件并展示告警信息，如图6所示。威胁攻击追溯模块通过采集检测网络流量数据，结合外部威胁情报，识别攻击行为并回溯相关数据，辅助重构攻击路径和定位攻击源。未知态势挖掘模块依托大数据技术，从海量多源异构数据中挖掘出未知特征和类型的安全风险。
4 实施参考
4.1 推进思路和实现要点
电视台网络安全监测系统的规划、建设，应综合考虑信息化水平、安全管理目标和安全运维需求，从无到有、持续推进；适配不同类型系统架构的特征，选择相应的监测手段和实现方式；合理确定网络安全监测功能实现的深度、广度和颗粒度，均衡管理目标和资源投入；充分利用已有安全设备和监控系统采集网络安全数据，条件具备时也可以复用已有大数据系统分析能力。总之，通过网络安全监测系统的规划、建设和运行，逐步完善电视台网络安全保障体系。
根据电视台三类信息系统的业务特征和安全风险，状态监测和威胁防御类功能可以各有侧重，适度进行定制化场景设计。
制播业务系统重点保障系统运行环境安全，关注措施状态监测和安全事件告警等功能实现，确保安全边界防护措施有效性，及时反应主机病毒、恶意代码相关安全事件。
新媒体应用系统重点防范恶意入侵和发布内容篡改。在状态监测类功能中，关注应用状态监测功能实现，动态掌握页面情况。在威胁防御类功能中，关注漏洞补丁监测、安全事件告警和威胁预警分析等功能实现，尽早发现自身脆弱性和安全威胁。
办公管理系统重点完成外部入侵防范和内部运维审计。状态监测类功能的实现和部署需注意均衡、适度；威胁防御类功能中，关注威胁预警分析、安全事件告警和威胁攻击追溯等功能实现隐藏进程防检测工具，针对复杂的应用环境进行场景化建模，及时发现高危风险并追根溯源。
4.2 典型模式和注意事项
网络安全监测系统从实施角度，可以考虑三种典型模式，如表1所示。基础型模式侧重实现状态监测类功能，酌情配置部分管理支持类功能；提升型模式在完整部署状态监测类功能基础上，侧重实现管理支持类功能，同时少量配置威胁防御类功能；拓展型模式完整配置三类功能，为安全管理和运维提供全面支持。电视台可以依据自身信息化水平和安全管理目标，选择其中一种模式组织实施，也可采取递进方式，从基础型逐步向拓展型模式过渡。
网络安全监测系统投入使用后，离不开完善的安全管理制度、合理的运维体系框架以及必要的运转资金投入。系统本身只是技术平台，人的作用不可忽视；数据和算法只是辅助工具，需要通过机制来推动运转并发挥作用。
5 结语
在电视台网络安全监测系统规划中，借助数据洞悉安全态势，根据态势选择安全策略，通过基于数据的持续监测和分析，建立预测、防御、检测、响应的动态闭环，提升网络安全保障能力。这意味着任务视角从局部转向全局隐藏进程防检测工具，关注焦点从合规转向成效，应对方式从防御转向对抗，最终实现对安全态势的有效掌控和对安全事件的及时响应，驱动电视台网络安全保障工作实现新形势下的跨越式转型，为信息化发展和媒体融合进程保驾护航。
第一作者简介
毕江，男，1968 年生，工学学士，教授级高级工程师，现任北京电视台副总工程师。曾任北京电视台新台址标清制播网络项目群、高清网络化改造项目群负责人，主持过多个新闻出版广电总局科研项目并取得良好应用效果。
内容不错?点击页面右上角”分享到朋友圈”： ）
有话要说?关注”广电猎酷”,可在文末写留言：）
———END———
限 时 特 惠：本站每日持续更新海量各大内部创业教程，一年会员只需128元，全站资源免费下载点击查看详情
站 长 微 信：jiumai99