文｜劉杰

隨著計算機技術(shù)的發(fā)展，在計算機上處理業(yè)務已由基于單機的數(shù)學運算、文件處理，基于簡單連結(jié)的內(nèi)部網(wǎng)絡的內(nèi)部業(yè)務處理、辦公自動化等發(fā)展到基于業(yè)內(nèi)復雜的內(nèi)部網(wǎng)、外部網(wǎng)、全球互聯(lián)網(wǎng)的企業(yè)級計算機處理系統(tǒng)和世界范圍內(nèi)的信息共享和業(yè)務處理。在信息處理能力提高的同時，系統(tǒng)的連結(jié)能力也在不斷的提高。但在連結(jié)信息能力、流通能力提高的同時，基于網(wǎng)絡連接的安全問題、網(wǎng)間數(shù)據(jù)的安全傳輸問題也日益突出。

廣電系統(tǒng)主要包括內(nèi)部廣播網(wǎng)（播出網(wǎng)）和外部網(wǎng)（制作網(wǎng)）。對于廣電系統(tǒng)來說，制作網(wǎng)和播出網(wǎng)的隔離是一項非常重要的工作，這項工作的好壞直接關(guān)系到廣電播出網(wǎng)的安全問題。廣播節(jié)目以內(nèi)容為主，在信息爆炸的今天，互聯(lián)網(wǎng)上的海量信息是電臺最需要的內(nèi)容。此外，編輯記者也徹底擺脫了采訪資料一比一錄入的低效率時代，廣告客戶的小樣文件也都采用U盤等數(shù)字存儲設(shè)備進行傳輸，同時，兄弟電臺的節(jié)目交流也更多的依賴于互聯(lián)網(wǎng)絡。這樣，在內(nèi)部播出網(wǎng)，其信息的來源就包括互聯(lián)網(wǎng)、移動存儲設(shè)備等，但這在為廣電系統(tǒng)的工作帶來方便的同時，也為廣電系統(tǒng)的安全性、節(jié)目的正常播出埋下了隱患。

本文將從什么是制播網(wǎng)間隔離、現(xiàn)有制作網(wǎng)以及播出網(wǎng)存在的問題以及現(xiàn)有制作網(wǎng)和播出網(wǎng)的改進目標等方面來闡述制播網(wǎng)間隔離的問題。

為什么要實現(xiàn)制播網(wǎng)間隔離

2008年1月，由國家廣播電影電視總局科技司主持并通過審定了《廣播電臺數(shù)字化網(wǎng)絡化建設(shè)白皮書（2007）》，在其中“5.4 廣播臺網(wǎng)互聯(lián)互通的構(gòu)建內(nèi)容指導”要求：“廣電總局規(guī)定，為了保證系統(tǒng)的安全運行和廣播節(jié)目的安全播出，廣播電臺制播網(wǎng)必須是一個物理隔離的計算機網(wǎng)絡。”，同時，又在“5.4.1基礎(chǔ)層”明確：“互聯(lián)互通的基礎(chǔ)層是連接功能網(wǎng)，實現(xiàn)網(wǎng)間數(shù)據(jù)交互的物理系統(tǒng)。對于基礎(chǔ)層的建設(shè)，應著重考慮保證兩個網(wǎng)絡的安全和數(shù)據(jù)透明交互。根據(jù)功能網(wǎng)安全等級不同，網(wǎng)間互聯(lián)可采用防火墻、路由器和安全隔離網(wǎng)閘等網(wǎng)絡設(shè)備實現(xiàn)?！钡囊?。

由此可見，制播網(wǎng)間隔離對于廣電系統(tǒng)來說是一項非常重要的工作。制播網(wǎng)間隔離的具體內(nèi)容是指：

1.將現(xiàn)有音頻節(jié)目制作播出網(wǎng)絡中的節(jié)目制作環(huán)境與節(jié)目播出環(huán)境分離。

2.為便于技術(shù)運維及管理，將全臺所有節(jié)目播出系統(tǒng)（含錄播播出、直播播出）重新整合，并獨立于其他節(jié)目制作環(huán)節(jié)而全面專用于國際臺音頻節(jié)目對外播出，統(tǒng)稱為“播出網(wǎng)”。

3.以上“播出網(wǎng)”與“制作網(wǎng)”之間采用網(wǎng)閘等物理隔離安全設(shè)備進行連接，由此，既能夠保證臺內(nèi)節(jié)目“制”與“播”技術(shù)平臺的互聯(lián)互通，又能使“播出網(wǎng)”邏輯上獨立于“制作網(wǎng)”，以保證音頻節(jié)目的播出安全。

網(wǎng)間隔離產(chǎn)品的技術(shù)要點

1.隔離產(chǎn)品首先要保證自身具有高度的安全性。從技術(shù)實現(xiàn)上，除了對操作系統(tǒng)進行加固優(yōu)化或采用安全操作系統(tǒng)外，關(guān)鍵在于要把外網(wǎng)接口和內(nèi)網(wǎng)接口從一套操作系統(tǒng)中分離出來。也就是說至少要由兩套主機系統(tǒng)組成，一套控制外網(wǎng)接口，另一套控制內(nèi)網(wǎng)接口，然后在兩套主機系統(tǒng)之間通過不可路由的協(xié)議進行數(shù)據(jù)交換，如此，即便黑客攻破了外網(wǎng)系統(tǒng)，仍然無法控制內(nèi)網(wǎng)系統(tǒng)，就達到了更高的安全級別。

2.保證網(wǎng)間隔離的關(guān)鍵是網(wǎng)絡包不可路由到對方網(wǎng)絡，無論中間采用了什么轉(zhuǎn)換方法，只要最終使得一方的網(wǎng)絡包能夠進入到對方的網(wǎng)絡中，都無法稱之為隔離，即達不到隔離的效果。顯然，只是對網(wǎng)間的包進行轉(zhuǎn)發(fā)， 并且允許建立端到端連接的防火墻，是沒有任何隔離效果的。

3.要保證網(wǎng)間交換的只是應用數(shù)據(jù)。既然要達到網(wǎng)絡隔離，就必須做到徹底防范基于網(wǎng)絡協(xié)議的攻擊，即不能夠讓網(wǎng)絡層的攻擊包到達要保護的網(wǎng)絡中，所以就必須進行協(xié)議分析，完成應用層數(shù)據(jù)的提取，然后進行數(shù)據(jù)交換。

4.要對網(wǎng)間的訪問進行嚴格的控制和檢查。作為一套適用于高安全度網(wǎng)絡的安全設(shè)備，要確保每次數(shù)據(jù)交換都是可信的和可控的，嚴格防止非法通道的出現(xiàn)，以確保信息數(shù)據(jù)的安全和訪問的可審計性。

5.隔離產(chǎn)品會部署在多種多樣的復雜網(wǎng)絡環(huán)境中，并且往往是數(shù)據(jù)交換的關(guān)鍵點，因此，產(chǎn)品要具有很高的處理性能，不能夠成為網(wǎng)絡交換的瓶頸，要有很好的穩(wěn)定性；不能夠出現(xiàn)時斷時續(xù)的情況，要有很強的適應性，能夠透明接入網(wǎng)絡，并且透明支持多種應用。

網(wǎng)絡隔離產(chǎn)品簡介

現(xiàn)有的網(wǎng)絡安全及網(wǎng)絡隔離產(chǎn)品很多，但不同的產(chǎn)品可能有各自不同的功能側(cè)重點，下面分別介紹不同的網(wǎng)絡隔離產(chǎn)品。

1.防火墻

防火墻抵御來自互聯(lián)網(wǎng)的攻擊。網(wǎng)絡防火墻技術(shù)作為內(nèi)部網(wǎng)絡與外部網(wǎng)絡之間的第一道安全屏障，是最先受到人們重視的網(wǎng)絡安全技術(shù)。應該安裝防火墻的位置是內(nèi)部廣播網(wǎng)與外部互聯(lián)網(wǎng)的接口處，以阻擋來自外部網(wǎng)絡的入侵；雖然從理論上看,防火墻處于網(wǎng)絡安全的最底層，負責網(wǎng)絡間的安全認證與傳輸，但隨著網(wǎng)絡安全技術(shù)的整體發(fā)展和網(wǎng)絡應用的不斷變化，現(xiàn)代防火墻技術(shù)已經(jīng)逐步走向網(wǎng)絡層之外的其他安全層次，不僅要完成傳統(tǒng)防火墻的過濾任務，同時還能為各種網(wǎng)絡應用提供相應的安全服務。另外還有多種防火墻產(chǎn)品正朝著數(shù)據(jù)安全與用戶認證、防止病毒與黑客侵入等方向發(fā)展。

防火墻設(shè)備側(cè)重于網(wǎng)絡層到應用層的策略隔離，操作系統(tǒng)、內(nèi)部系統(tǒng)的漏洞、通用協(xié)議的缺陷等都成為不安全的潛在因素。防火墻在安全性方面具有以下特點，首先防火墻難于抵御數(shù)據(jù)驅(qū)動式攻擊，即大量合法的數(shù)據(jù)包將導致網(wǎng)絡阻塞而使正常通信癱瘓；其次，防火墻很難阻止由通用協(xié)議本身漏洞發(fā)起的入侵；第三，防火墻系統(tǒng)本身的缺陷也是影響內(nèi)部網(wǎng)絡安全的重要因素，當防火墻主機被控制后，內(nèi)部受保護網(wǎng)絡就會暴露無疑；第四，要使防火墻發(fā)揮有效的安全性，需要正確、合理的配置防火墻相關(guān)的安全策略，而配置的復雜程度不僅帶來煩瑣的工作量，同時也增加了配置不當帶來的安全隱患。

2.網(wǎng)閘

網(wǎng)閘又名安全隔離網(wǎng)閘，是在兩個不同安全域之間，通過協(xié)議轉(zhuǎn)換的手段，以信息擺渡的方式實現(xiàn)數(shù)據(jù)交換，且只有被系統(tǒng)明確要求傳輸?shù)男畔⒉趴梢酝ㄟ^，其信息流一般為通用應用服務。當用戶的網(wǎng)絡需要保證高強度的安全，同時又與其它不信任網(wǎng)絡進行信息交換的情況下，如果采用物理隔離卡，用戶必須使用開關(guān)在內(nèi)外網(wǎng)之間來回切換，不僅管理起來非常麻煩，使用起來也非常不方便；如果采用防火墻，由于防火墻自身的安全很難保證所以防火墻也無法防止內(nèi)部信息泄漏和外部病毒、黑客程序的滲入，安全性無法保證。在這種情況下，安全隔離網(wǎng)閘能夠同時滿足這兩個要求，又避免了物理隔離卡和防火墻的不足之處，是最好的選擇。

內(nèi)部廣播網(wǎng)安全問題的防護

1.防火墻抵御來自互聯(lián)網(wǎng)的攻擊

網(wǎng)絡防火墻技術(shù)作為內(nèi)部網(wǎng)絡與外部網(wǎng)絡之間的第一道安全屏障，是最先受到人們重視的網(wǎng)絡安全技術(shù)。應該安裝防火墻的位置是內(nèi)部廣播網(wǎng)與外部互聯(lián)網(wǎng)的接口處，以阻擋來自外部網(wǎng)絡的入侵；雖然從理論上看,防火墻處于網(wǎng)絡安全的最底層，負責網(wǎng)絡間的安全認證與傳輸，但隨著網(wǎng)絡安全技術(shù)的整體發(fā)展和網(wǎng)絡應用的不斷變化，現(xiàn)代防火墻技術(shù)已經(jīng)逐步走向網(wǎng)絡層之外的其他安全層次，不僅要完成傳統(tǒng)防火墻的過濾任務，同時還能為各種網(wǎng)絡應用提供相應的安全服務。另外還有多種防火墻產(chǎn)品正朝著數(shù)據(jù)安全與用戶認證、防止病毒與黑客侵入等方向發(fā)展。

2.抵御網(wǎng)間數(shù)據(jù)傳輸?shù)陌踩{

由于網(wǎng)間數(shù)據(jù)的傳輸大多是通過移動存儲設(shè)備完成的，移動存儲設(shè)備很有可能感染互聯(lián)網(wǎng)上的病毒。經(jīng)過調(diào)研，國內(nèi)自主研發(fā)的基于傳輸卡的網(wǎng)間數(shù)據(jù)安全傳輸系統(tǒng)在保證數(shù)據(jù)的安全傳輸方面有很好的效果。

該網(wǎng)間傳輸系統(tǒng)由獲得國家專利的韋氏傳輸卡（兩塊）和韋氏傳輸線連接兩個網(wǎng)絡，如圖1所示。在互聯(lián)網(wǎng)和播出網(wǎng)中各安排一臺計算機作為傳輸服務器，分別在PCI插槽上安裝傳輸卡，并且使用傳輸線相連，在傳輸服務器上運行傳輸程序，建立用戶并且為用戶指定可以傳輸?shù)奈募愋汀Ｎ募念愋歪槍﹄娕_的實際需要，有MP3、MP2、S48、WAV、TXT等格式。

圖1 基于傳輸卡的網(wǎng)間數(shù)據(jù)安全傳輸系統(tǒng) 韋氏傳輸卡

3.部署網(wǎng)閘來隔離制作網(wǎng)和廣播網(wǎng)

將網(wǎng)閘安裝在內(nèi)部播出網(wǎng)和外部制作網(wǎng)之間，從而保證內(nèi)部網(wǎng)和外部網(wǎng)之間的隔離，如圖2所示。

圖2 網(wǎng)閘的部署

4.采用審計系統(tǒng)及時發(fā)現(xiàn)威脅

每一種安全機制都有一定的應用范圍和應用環(huán)境。防火墻是一種有效的安全工具，它可以隱蔽內(nèi)部網(wǎng)絡結(jié)構(gòu)，限制外部網(wǎng)絡到內(nèi)部網(wǎng)絡的訪問。但是對于內(nèi)部網(wǎng)絡之間的訪問，防火墻往往是無能為力的。因此，對于內(nèi)部網(wǎng)絡到內(nèi)部網(wǎng)絡之間的入侵行為和內(nèi)外勾結(jié)的入侵行為，防火墻是很難發(fā)覺和防范的。此外，防火墻并不是對所有的攻擊行為都能夠及時的防御，因為，防火墻就像是一道防盜門，只要有充足的時間，盜賊遲早都能夠打開這道防盜門。因此，僅僅選用防火墻作為網(wǎng)絡安全的防御措施是遠遠不夠的。還可以選用一些必要的審計系統(tǒng)以及安全管理系統(tǒng)，審計系統(tǒng)以日志的形式記錄計算機所發(fā)生的一切行為，安全管理系統(tǒng)可以針對一定的日志信息進行數(shù)據(jù)的挖掘與分析，及時的發(fā)現(xiàn)攻擊，在攻擊成功之前，將其消滅。目前市場上有很多這類安全審計相關(guān)的產(chǎn)品。

5.人為因素的干預

黑客的攻擊手段在不斷地更新，幾乎每天都有不同系統(tǒng)安全問題出現(xiàn)。然而安全工具的更新速度太慢，絕大多數(shù)情況需要人為的參與才能發(fā)現(xiàn)以前未知的安全問題。通過日之審計系統(tǒng)發(fā)現(xiàn)威脅，由人來干預攻擊，接觸威脅。

此外，要培養(yǎng)廣電系統(tǒng)工作人員的安全意識以及安全技能，時刻警惕網(wǎng)絡上來自各個方面的威脅，讓大家認識到，威脅無處不在。

6.計算機網(wǎng)絡管理安全規(guī)范

管理是網(wǎng)絡中安全得到保證的重要組成部分，是防止來自內(nèi)部網(wǎng)絡入侵的必須部分。責權(quán)不明，管理混亂，安全管理制度不健全以及缺乏可操作性等都可能引起管理安全的風險。除了技術(shù)方面實現(xiàn)網(wǎng)絡安全部署外，還需要依靠安全管理規(guī)定和制度來實現(xiàn)。

五.結(jié)束語

網(wǎng)絡安全是一個系統(tǒng)的工程，不能僅僅依靠防火墻等單個的系統(tǒng)，而需要仔細考慮系統(tǒng)的安全需求，并將各種安全技術(shù)，如密碼技術(shù)、審計技術(shù)等結(jié)合在一起，才能生成一個高效、通用、安全的網(wǎng)絡系統(tǒng)。

同時，對于網(wǎng)間數(shù)據(jù)的傳輸，也要采用一定的設(shè)備來保證其安全性。還要從思想上提高工作人員的安全意識，從技術(shù)上提高工作人員的安全技能，從法律法規(guī)上規(guī)范工作人員的行為，這樣，才能盡可能的減少安全威脅的產(chǎn)生。