楊樹海

(張家口廣播電視臺播出部，河北 張家口 075001)

責(zé)任編輯:任健男

當(dāng)前，國內(nèi)各級電視臺大多數(shù)已搭建數(shù)字化、網(wǎng)絡(luò)化、文件化的內(nèi)部網(wǎng)絡(luò)(例如，非線性編輯網(wǎng)絡(luò)、硬盤播出網(wǎng)絡(luò)、媒體資產(chǎn)管理網(wǎng)絡(luò))，外部網(wǎng)絡(luò)(移動介質(zhì)、互聯(lián)網(wǎng)、辦公網(wǎng))需要安全、高效地與內(nèi)部網(wǎng)絡(luò)進(jìn)行數(shù)據(jù)交換顯得尤為重要。

《廣播電視相關(guān)信息系統(tǒng)安全等級保護(hù)基本要求》關(guān)于數(shù)據(jù)安全交換提及:信息系統(tǒng)與外部網(wǎng)絡(luò)進(jìn)行數(shù)據(jù)交換時，應(yīng)通過數(shù)據(jù)交換區(qū)或?qū)Ｓ脭?shù)據(jù)交換設(shè)備等完成內(nèi)外網(wǎng)數(shù)據(jù)的安全交換，數(shù)據(jù)交換區(qū)對外應(yīng)通過訪問控制設(shè)備與外部網(wǎng)絡(luò)進(jìn)行安全隔離，對內(nèi)應(yīng)采用安全的方式進(jìn)行數(shù)據(jù)交換，必要時可通過協(xié)議轉(zhuǎn)換的手段，以信息擺渡的方式實現(xiàn)數(shù)據(jù)交換。

本文介紹了應(yīng)用于外部網(wǎng)絡(luò)與內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)安全交換平臺，旨在實現(xiàn)外部網(wǎng)絡(luò)數(shù)據(jù)通過此平臺與電視臺內(nèi)部網(wǎng)絡(luò)進(jìn)行安全、高效的數(shù)據(jù)交換，有效避免病毒傳輸以及網(wǎng)絡(luò)攻擊給內(nèi)部網(wǎng)絡(luò)所帶來的嚴(yán)重威脅。

1 整體架構(gòu)

數(shù)據(jù)安全交換平臺主要由后臺軟件執(zhí)行服務(wù)器、異構(gòu)緩存服務(wù)器、安全網(wǎng)關(guān)、文件分發(fā)服務(wù)器以及相應(yīng)的網(wǎng)絡(luò)設(shè)備構(gòu)成，如圖1所示。

圖1 數(shù)據(jù)安全交換平臺架構(gòu)圖

后臺軟件執(zhí)行服務(wù)器實現(xiàn)素材深度解析、白名單認(rèn)證、多級殺毒的服務(wù)功能，一臺物理服務(wù)器可以啟動一個或者多個服務(wù)進(jìn)程，也可以啟動多個處理不同服務(wù)進(jìn)程。服務(wù)器及服務(wù)進(jìn)程都支持集群部署，并發(fā)執(zhí)行。

異構(gòu)緩存服務(wù)器基于Linux內(nèi)核的分布式文件緩沖區(qū)(擺渡區(qū))，對Windows惡意代碼攻擊和病毒感染先天免疫，并支持以集群方式實現(xiàn)擺渡區(qū)主備冗余和帶寬均衡。

安全網(wǎng)關(guān)確保入侵防范，有效防止端口掃描、木馬后門攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊等，并支持以集群方式實現(xiàn)網(wǎng)絡(luò)鏈路主備冗余和帶寬均衡。

文件分發(fā)服務(wù)器實現(xiàn)素材的多目標(biāo)同步分發(fā)。

在外部網(wǎng)絡(luò)一般部署有導(dǎo)入客戶端，通過B/S或C/S方式提交數(shù)據(jù)導(dǎo)入任務(wù)。

在內(nèi)部制作網(wǎng)一般部署有接入點服務(wù)器，接收文件分發(fā)服務(wù)器推送過來的媒體數(shù)據(jù)，具有多網(wǎng)口聚合的功能。

2 平臺流程

數(shù)據(jù)安全交換平臺采用工作流方式，每個流程節(jié)點都可按需配置，而且還可以動態(tài)配置子流程，實現(xiàn)流程的定制，如圖2所示。

圖2 數(shù)據(jù)安全交換平臺架構(gòu)圖

數(shù)據(jù)安全交換步驟為:

1)導(dǎo)入點客戶端站點打開瀏覽器，輸入用戶名和賬號，登陸數(shù)據(jù)安全交換平臺瀏覽器界面，選擇數(shù)據(jù)文件及目標(biāo)板塊，提交任務(wù)。

2)提交的數(shù)據(jù)文件通過安全網(wǎng)關(guān)的入侵防護(hù)后緩存至異構(gòu)緩存服務(wù)器，異構(gòu)緩存服務(wù)器采用Linux操作系統(tǒng)，有效隔離非Linux病毒。

3)多級殺毒服務(wù)進(jìn)程對緩存在異構(gòu)緩存服務(wù)器上的數(shù)據(jù)文件進(jìn)行多級殺毒，可以采用卡巴斯基、NOD32、江民、360等多種殺毒引擎，實現(xiàn)“進(jìn)口+國產(chǎn)”的優(yōu)化軟件殺毒。

4)對通過多級殺毒的數(shù)據(jù)文件進(jìn)行“白名單”認(rèn)證，由于電視臺使用的數(shù)據(jù)文件格式相對固定，采用了與“黑名單”相對的“白名單認(rèn)證”機制，只有加入白名單集的文件格式數(shù)據(jù)才能進(jìn)入內(nèi)部網(wǎng)絡(luò)，反之則退回。

5)數(shù)據(jù)文件通過“白名單”認(rèn)證后，還要對其進(jìn)行深度解析，即這個合法格式的文件頭進(jìn)行全方位的特征碼比對(包括文件頭、封裝信息、索引信息、視頻寬高、碼率、幀率、聲道數(shù)、位數(shù)、采樣率等)。

6)通過深度解析的數(shù)據(jù)文件通過多目標(biāo)分發(fā)服務(wù)進(jìn)程推送到內(nèi)部網(wǎng)絡(luò)的各個接入點服務(wù)器。

7)內(nèi)部網(wǎng)絡(luò)的客戶端站點檢索到自己所需要的素材，引入使用。

3 應(yīng)用特點

數(shù)據(jù)安全交換平臺能達(dá)到平臺安全、鏈路安全、數(shù)據(jù)安全、任務(wù)安全共4種機制的安全防護(hù)，并通過多通道傳輸矩陣、并發(fā)執(zhí)行、多目標(biāo)同步推送的策略實現(xiàn)高效的數(shù)據(jù)交換。

3.1 平臺安全

1)安全網(wǎng)關(guān)

安全網(wǎng)關(guān)是媒體傳送的數(shù)據(jù)總線，也是外部網(wǎng)絡(luò)與內(nèi)部制作網(wǎng)之間數(shù)據(jù)互聯(lián)互通的唯一通道，外來數(shù)據(jù)必須經(jīng)過門戶網(wǎng)關(guān)才能進(jìn)入內(nèi)部制作網(wǎng)。門戶網(wǎng)關(guān)可采用具有防止端口掃描、木馬后門攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊的門戶網(wǎng)關(guān)確保入侵防范。門戶網(wǎng)關(guān)可集群方式部署，既實現(xiàn)互為備份的多路由通道，同時又增加了數(shù)據(jù)互聯(lián)互通的并發(fā)帶寬。

2)異構(gòu)緩存

數(shù)據(jù)安全交換平臺采用基于Linux內(nèi)核的分布式文件緩沖區(qū)(擺渡區(qū))，對Windows惡意代碼攻擊和病毒感染先天免疫，并且以集群方式實現(xiàn)擺渡區(qū)主備冗余和帶寬均衡。

3.2 鏈路安全

數(shù)據(jù)安全交換平臺采用有限安全方式接入內(nèi)網(wǎng)業(yè)務(wù)板塊，包括加密 FTP 和私有傳輸協(xié)議(USB2.0＆3.0，1394A＆B)等，其他傳輸協(xié)議和端口全部關(guān)閉。

采用私有協(xié)議傳輸通道矩陣，實現(xiàn)USB或1394協(xié)議的“一對多”和“多對多”的集群并發(fā)傳輸(類似網(wǎng)絡(luò))，除了保證接入下游業(yè)務(wù)板塊的極高安全性外，相比單點私有協(xié)議傳輸通道還有極大的速度和效率優(yōu)勢。

3.3 數(shù)據(jù)安全

1)多級殺毒

可根據(jù)需要配置不同檔次的硬件防火墻、防毒墻、網(wǎng)閘、網(wǎng)關(guān)，結(jié)合國內(nèi)外多種頂級防病毒引擎(卡巴斯基、賽門鐵克等)進(jìn)行交叉殺毒，實現(xiàn)“硬+軟”、“軟+軟”多級安全防護(hù)體系，所有軟硬件都受數(shù)據(jù)安全交換平臺的統(tǒng)一管理、調(diào)度。

2)認(rèn)證解析

認(rèn)證解析包含兩方面的內(nèi)容，一是“白名單”認(rèn)證，二是深度解析。

“白名單”認(rèn)證就是指只有“白名單”中的數(shù)據(jù)才能完整可靠地進(jìn)入系統(tǒng)，或者在系統(tǒng)內(nèi)進(jìn)行數(shù)據(jù)處理，“深度解析”是對符合“白名單”集的合法格式文件頭進(jìn)行全方位的特征碼比對(包括文件頭、封裝信息、索引信息、視頻寬高、碼率、幀率、聲道數(shù)、位數(shù)、采樣率等)，使那些“丟包”及破損的數(shù)據(jù)文件都被擋在本系統(tǒng)之外，保證數(shù)據(jù)的完整性和真實性。

3.4 任務(wù)安全

數(shù)據(jù)安全交換平臺采用圖形化監(jiān)控界面，對設(shè)備、業(yè)務(wù)進(jìn)程全實時監(jiān)控，并提供及時消息處理、查詢業(yè)務(wù)、故障分析等，包括對數(shù)據(jù)運行的監(jiān)控、對設(shè)備運行的監(jiān)控、對網(wǎng)絡(luò)運行的監(jiān)控、對業(yè)務(wù)流程的監(jiān)控、對業(yè)務(wù)進(jìn)程的監(jiān)控。設(shè)備監(jiān)控界面如圖3所示，任務(wù)監(jiān)控界面如圖4所示。

3.5 高效率

1)多通道傳輸矩陣

文件采用多通道并發(fā)傳輸，可以對多個傳輸通道分組設(shè)置優(yōu)先級，依次為緊急文件傳輸通道、普通文件傳輸通道、超大文件傳輸通道，低級別的文件不能在高級別的通道上傳輸，高級別的文件可以在低級別通道空閑時優(yōu)先借道傳輸。一組中同級別的傳輸通道也實現(xiàn)并行傳輸和負(fù)載均衡。

2)并發(fā)執(zhí)行

采用并發(fā)的殺毒、解析、轉(zhuǎn)碼及分發(fā)引擎集群，所有流程節(jié)點的任務(wù)都可以多進(jìn)程并發(fā)執(zhí)行，程序進(jìn)程互為備份，效率也成倍提高。

3)多目標(biāo)同步推送

以前，導(dǎo)入點是“一對一服務(wù)”，若同一外來數(shù)據(jù)需要同時向3個制作子網(wǎng)引入，則需要分別在3個不同的引入點引入一次。數(shù)據(jù)安全交換平臺實現(xiàn)引入點的“一對多”服務(wù)，同一內(nèi)容同時向3個制作子網(wǎng)的多目標(biāo)同步推送，效率提高顯著。