周家增 徐州市賈汪區(qū)廣播電視臺(tái)

?

賈汪電視臺(tái)制播網(wǎng)病毒防范體系建設(shè)

周家增 徐州市賈汪區(qū)廣播電視臺(tái)

【摘要】隨著數(shù)字信息時(shí)代的來(lái)臨，數(shù)字化網(wǎng)絡(luò)技術(shù)的發(fā)展，大容量存儲(chǔ)技術(shù)的發(fā)展取代了以往的盤(pán)帶存儲(chǔ)，外來(lái)交流的移動(dòng)存儲(chǔ)接入制播網(wǎng)絡(luò)，帶來(lái)了未知的病毒，可能導(dǎo)致制播設(shè)備及網(wǎng)絡(luò)癱瘓。本文介紹了賈汪電視臺(tái)制播網(wǎng)病毒防范體系的建設(shè)及實(shí)踐經(jīng)驗(yàn)。

【關(guān)鍵詞】制播網(wǎng) 防火墻 隔離 白名單

一、引言

隨著廣播電視數(shù)字化、網(wǎng)絡(luò)化技術(shù)的發(fā)展，“數(shù)字化、網(wǎng)絡(luò)化、自動(dòng)化”是目前廣播電視行業(yè)的流行語(yǔ)，也是各級(jí)廣播電視臺(tái)共同追求的目標(biāo)，紛紛建設(shè)了數(shù)字節(jié)目制作網(wǎng)和播出網(wǎng)。數(shù)據(jù)傳輸技術(shù)、視頻壓縮技術(shù)、大容量存儲(chǔ)技術(shù)的應(yīng)用取代了傳統(tǒng)的錄像機(jī)線性編輯和盤(pán)帶模擬播出。

我臺(tái)自2000年開(kāi)始購(gòu)置非編、硬盤(pán)播出設(shè)備，更換原有的線性編輯及盤(pán)帶播出，并逐步從模擬編輯系統(tǒng)改造為全數(shù)字化、網(wǎng)絡(luò)化、自動(dòng)化的非編、硬盤(pán)播出系統(tǒng)。新聞、專題、廣告等欄目的非編設(shè)備，和總編室電視劇制作編單、硬盤(pán)播出系統(tǒng)組成的一體化網(wǎng)絡(luò)，使工作流程簡(jiǎn)化，提高了制作速度和播出質(zhì)量。大容量存儲(chǔ)技術(shù)的發(fā)展取代了以往的盤(pán)帶存儲(chǔ)，大量的視頻、音頻、圖片等文件都以體積小巧、讀寫(xiě)速度高的移動(dòng)存儲(chǔ)為介質(zhì)提供，方便快捷傳輸?shù)街撇ゾW(wǎng)絡(luò)內(nèi)部。頻繁交叉使用的移動(dòng)存儲(chǔ)介質(zhì)若帶有未知的病毒，將在制播網(wǎng)里迅速蔓延擴(kuò)散，可能導(dǎo)致制播設(shè)備及網(wǎng)絡(luò)癱瘓，造成播出中斷、停播等嚴(yán)重的后果。網(wǎng)絡(luò)化的制播系統(tǒng)由采集、制作、存儲(chǔ)、播出等多個(gè)業(yè)務(wù)子板塊構(gòu)成，各個(gè)業(yè)務(wù)子板塊之間相互連通，基于網(wǎng)絡(luò)安全的木桶原理和網(wǎng)絡(luò)的無(wú)邊界性，必須保證整個(gè)網(wǎng)絡(luò)的各個(gè)業(yè)務(wù)子板塊的安全，才能保證最終的播出安全。

二、制播網(wǎng)安全需求分析

前期我臺(tái)采用常規(guī)的技術(shù)手段來(lái)應(yīng)對(duì)病毒傳播，每臺(tái)設(shè)備安裝殺毒軟件、禁用USB接口、嚴(yán)格控制移動(dòng)存儲(chǔ)設(shè)備，經(jīng)過(guò)殺毒軟件病毒檢測(cè)安全后才能在制作網(wǎng)絡(luò)中指定設(shè)備上使用。殺毒軟件對(duì)于新病毒、未知病毒查殺能力很差，存在查不到，殺不掉，并會(huì)對(duì)非編軟件誤殺，病毒庫(kù)要經(jīng)常更新等弊端。這些手段在工作中不僅費(fèi)時(shí)費(fèi)力，而且事倍功半，防不勝防。由于因特網(wǎng)快速發(fā)展，計(jì)算機(jī)病毒已經(jīng)是無(wú)處不在，大容量移動(dòng)存儲(chǔ)又作為電視拍攝、制作及素材保存的重要存儲(chǔ)介質(zhì)，病毒傳播已經(jīng)對(duì)數(shù)字制播系統(tǒng)構(gòu)成重大威脅。如何能夠安全、有效地實(shí)現(xiàn)病毒隔離的防范系統(tǒng)，成為制播網(wǎng)絡(luò)安全的一個(gè)重要任務(wù)。

常用的防火墻關(guān)鍵技術(shù)可以分為三類：包過(guò)濾、狀態(tài)檢測(cè)和應(yīng)用代理。

狀態(tài)檢測(cè)防火墻用一種被稱為狀態(tài)檢測(cè)的模型去攔截經(jīng)過(guò)網(wǎng)絡(luò)模型的數(shù)據(jù)包，這種防火墻對(duì)整個(gè)網(wǎng)絡(luò)用戶是透明的。

應(yīng)用代理技術(shù)工作在應(yīng)用層，也就是網(wǎng)絡(luò)模型的最高層，這種方式能讓用戶覺(jué)得在對(duì)服務(wù)器發(fā)起連接時(shí)沒(méi)有延時(shí)的存在。

防火墻被放在內(nèi)外網(wǎng)絡(luò)之間，它對(duì)傳輸?shù)臄?shù)據(jù)包和連接方式按照一定的安全策略對(duì)其進(jìn)行檢查，來(lái)決定網(wǎng)絡(luò)之間的通信是否被允許。防火墻能夠有效控制內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間的訪問(wèn)及數(shù)據(jù)傳輸，從而達(dá)到保護(hù)內(nèi)部網(wǎng)絡(luò)的信息不受外部非授權(quán)用戶的訪問(wèn)和對(duì)不良信息的過(guò)濾。

傳統(tǒng)防火墻有以下缺點(diǎn)：

（1）不能防范不通過(guò)它的連接

（2）不能防范病毒

（3）不能防范全部的威脅

塑料熔體在注塑模具中的流動(dòng)被認(rèn)為是非牛頓、非穩(wěn)態(tài)、非等溫的瞬態(tài)不可壓縮流動(dòng)與傳熱過(guò)程。注塑仿真CAE依據(jù)連續(xù)介質(zhì)力學(xué)、傳熱學(xué)及塑料流變學(xué)，建立塑料在模具型腔中的流動(dòng)與轉(zhuǎn)熱數(shù)學(xué)模型。Moldflow中提供三種網(wǎng)格類型對(duì)模型進(jìn)行網(wǎng)格劃分:(1)中性面網(wǎng)格,應(yīng)用于薄殼件產(chǎn)品;(2)雙層面網(wǎng)格,應(yīng)用于薄殼件產(chǎn)品，是目前應(yīng)用最廣的網(wǎng)格類型;(3)3D網(wǎng)格，可適用于所有類型產(chǎn)品，包括薄殼件和厚壁件[5]。由于按鈕平均厚度較小，本文采用雙層面網(wǎng)格模型，該模型基于廣義Hele-Shaw流動(dòng)的控制方程(包含連續(xù)性方程、運(yùn)動(dòng)方程、能量方程)[6]。

（4）不能防止數(shù)據(jù)驅(qū)動(dòng)式攻擊

傳統(tǒng)的防火墻尤其對(duì)音頻、視頻流中攜帶的病毒或惡意代碼不能有效防范，并且有被攻破、滲透的可能，需要專門(mén)針對(duì)廣播電視臺(tái)視音頻影像數(shù)據(jù)高速、安全傳輸?shù)漠a(chǎn)品，PSC-1000IP正是秉承電視臺(tái)制播網(wǎng)絡(luò)應(yīng)用要求研發(fā)的。該系統(tǒng)采用“白名單”確認(rèn)原理，通過(guò)板塊外病毒隔離、板塊間病毒隔離、病毒檢測(cè)定位手段，在快速、安全、完整地轉(zhuǎn)發(fā)對(duì)實(shí)時(shí)性要求極高的大數(shù)據(jù)量視音頻數(shù)據(jù)流的同時(shí)，達(dá)到了“業(yè)務(wù)板塊內(nèi)安全”、“各個(gè)板塊間交互安全”以及“有效的病毒監(jiān)測(cè)”等安全要求。

病毒隔離墻通過(guò)對(duì)傳輸內(nèi)容進(jìn)行分析，僅容許通過(guò)“認(rèn)可的”和符合規(guī)則的文件，對(duì)無(wú)法識(shí)別的文件或者格式錯(cuò)誤的文件一律視為非法文件，限制在網(wǎng)絡(luò)上傳輸。網(wǎng)間病毒隔離墻能夠用來(lái)隔開(kāi)網(wǎng)絡(luò)中的多個(gè)網(wǎng)段，能夠防止某一網(wǎng)段中的安全隱患通過(guò)網(wǎng)絡(luò)向別的網(wǎng)段傳播。通過(guò)在全臺(tái)網(wǎng)各個(gè)業(yè)務(wù)板塊子網(wǎng)絡(luò)之間安裝網(wǎng)間病毒隔離墻，即可保證板塊之間數(shù)據(jù)交互的安全性。

其典型的系統(tǒng)特性如下：

（1）支持千兆網(wǎng)絡(luò)，高傳輸率，用戶幾乎感覺(jué)不出性能的損失，保證了傳輸?shù)牧鲿承裕?/p>

（2）多種模式靈活選擇，單向、逆向、雙向工作模式可選，可實(shí)現(xiàn)一對(duì)多、多對(duì)多等應(yīng)用場(chǎng)景；

（3）傳輸透明化，保證用戶迅捷上傳、下載和選擇文件；

（4）專有的傳輸協(xié)議，保證傳輸過(guò)程的安全性；

（5）傳輸完整性檢測(cè)，通過(guò)收發(fā)雙方的MD5碼校驗(yàn)，最大限度保證傳輸?shù)恼_性；

（6）權(quán)限控制，對(duì)工作目錄的文件進(jìn)行讀寫(xiě)權(quán)限設(shè)置、保證文件的安全性；

（7）日志記錄功能，對(duì)文件操作和多傳輸過(guò)程進(jìn)行詳細(xì)的日志記錄，保證文件的修改有據(jù)可查；

（8）設(shè)備自動(dòng)搜索功能，用戶不需要進(jìn)行繁瑣的設(shè)置；

（9）文件內(nèi)容深度分析，通過(guò)對(duì)文件內(nèi)容和格式的深度比對(duì)，讓非法文件無(wú)所遁形；

（10）靈活的傳輸規(guī)則，除內(nèi)置的文件格式外，還支持用戶自定義傳輸格式文件（以擴(kuò)展名驗(yàn)證）；

（11）支持常見(jiàn)的視音頻、圖片以及文本等文件。

下面以基于“白名單”文件監(jiān)測(cè)過(guò)濾技術(shù)為例來(lái)加以說(shuō)明。

在限制病毒在全臺(tái)網(wǎng)絡(luò)中的傳播和擴(kuò)散方面，“嚴(yán)格遵循“除非明確允許，否則就禁止”的白名單基本原則，以文件為單位對(duì)傳輸內(nèi)容進(jìn)行格式分析和過(guò)濾。通過(guò)對(duì)傳輸內(nèi)容進(jìn)行嚴(yán)格分析和過(guò)濾，僅容許通過(guò)“認(rèn)可的”和符合規(guī)范的文件通過(guò)，對(duì)無(wú)法識(shí)別的文件和格式錯(cuò)誤的文件一律視為非法文件，限制其向本地計(jì)算機(jī)傳播。

對(duì)于MPEG-2視頻文件和JPEG文件來(lái)說(shuō)，有可能受到各種病毒的感染。通常不同種類的病毒能夠通過(guò)不同的方式感染MPEG-2視頻文件和JPEG文件。由于病毒是一段可執(zhí)行代碼，它具有獨(dú)特的自我復(fù)制能力，并且可以自身附著在各種類型文件中并在一定條件下激活，這點(diǎn)與生物病毒極為相似。其中，宏病毒則作為一種新形態(tài)的計(jì)算機(jī)病毒，它能夠寄生在一些數(shù)據(jù)文檔中，以便在不同的操作系統(tǒng)中使用，已具備了跨平臺(tái)傳播的能力。

對(duì)于感染MPEG-2視頻文件和JPEG圖像文件的病毒來(lái)說(shuō)，它們即以MPEG-2視頻文件和Jpeg圖像文件為寄存宿主，通過(guò)MPEG-2視頻文件和JPEG圖像文件的操作來(lái)進(jìn)行自我復(fù)制，向本地文件傳播，繼而破壞數(shù)據(jù)的完整性和系統(tǒng)的完整性。被病毒感染的文件，擴(kuò)展名可能也是*.mpg、*.mpeg或*.jpg，圖標(biāo)也是正常的，而且有些捆綁軟件甚至能夠?qū)⒉《纠壍轿募现蟛?duì)其進(jìn)行優(yōu)化，普通的殺毒軟件很難識(shí)別其中是否包含病毒。

基于白名單檢測(cè)的病毒防御機(jī)制則能對(duì)傳輸?shù)奈募M(jìn)行文件內(nèi)部結(jié)構(gòu)和文件特定內(nèi)容層次上的檢測(cè)，如：對(duì)MPEG-2視頻文件從其特有的序列層、圖像層等六個(gè)層次進(jìn)行逐層對(duì)結(jié)構(gòu)和內(nèi)容進(jìn)行檢測(cè)匹配。例如檢測(cè)一個(gè)MPEG-2視頻文件的序列層時(shí)，如果其文件序列開(kāi)始碼不是0x000001b3或者序列結(jié)束碼不是0x000001b7，就可以判斷此文件有可能受到了病毒的侵襲。又如檢測(cè)其塊時(shí)，由于亮度和色度格式應(yīng)為4：4：4、4：2：2或4：2：0格式，當(dāng)發(fā)現(xiàn)塊信息數(shù)據(jù)并非遵循此格式時(shí)，也可以斷定此MPEG-2視頻文件有可能被病毒侵染過(guò)，再如檢測(cè)片層信息時(shí)，片層的起始碼范圍應(yīng)該在0x00000101——0x000001af，如果傳輸文件的片層數(shù)據(jù)起始碼并不在此范圍內(nèi)，那么此文件也會(huì)被認(rèn)為感染病毒而不能通過(guò)。同樣對(duì)于JPEG圖像文件也從其文件特有的圖像開(kāi)始SOI標(biāo)記、APP0標(biāo)記等八個(gè)部分進(jìn)行逐個(gè)檢測(cè)驗(yàn)證。例如JPEG圖像的每個(gè)標(biāo)記都是有兩個(gè)字節(jié)組成的，而第一個(gè)字節(jié)是固定的值0xFF，當(dāng)檢測(cè)到文件的某個(gè)標(biāo)記的第一個(gè)字節(jié)不是0xFF時(shí)，就可認(rèn)為此圖像文件受到了病毒感染，又如當(dāng)檢測(cè)到文件的開(kāi)始SOI標(biāo)記不是0xD8或者檢測(cè)到文件結(jié)束標(biāo)記EOI不是0xD9時(shí)，也可認(rèn)為此文件有被病毒感染的嫌疑；再者APP0標(biāo)記應(yīng)為JFIF應(yīng)用數(shù)據(jù)塊，其起始位置為0xE0，而APPn 標(biāo)記為其他的應(yīng)用數(shù)據(jù)塊起始，其起始碼應(yīng)在0xE1 —— 0xEF范圍內(nèi)，如果傳輸?shù)奈募环掀渲腥魏我粭l，都認(rèn)為此文件有可能已經(jīng)被病毒感染。

圖1　防護(hù)安全體系示意圖

病毒隔離墻就是針對(duì)這些文件的內(nèi)部結(jié)構(gòu)，運(yùn)用自己專有的算法，精確的分析一個(gè)文件是否符合其應(yīng)有的結(jié)構(gòu)標(biāo)準(zhǔn)，從而做到精確的分析并過(guò)濾文件數(shù)據(jù)，確保不允許非法文件通過(guò)。如圖1是防護(hù)安全體系示意圖。

三、網(wǎng)絡(luò)設(shè)計(jì)與實(shí)現(xiàn)

圖2　制播網(wǎng)病毒防范體系

根據(jù)對(duì)網(wǎng)間病毒隔離墻特點(diǎn)的分析，并結(jié)合我臺(tái)的實(shí)際情況，最終決定建設(shè)我臺(tái)制播網(wǎng)病毒防范體系。圖2是我臺(tái)的制播網(wǎng)病毒防范體系。

表1　雙網(wǎng)段的IP地址設(shè)置

通過(guò)對(duì)網(wǎng)間病毒隔離墻操作，配置兩個(gè)網(wǎng)段的IP地址，然后在兩個(gè)網(wǎng)段中需要的計(jì)算機(jī)中安裝上傳軟件，實(shí)現(xiàn)兩個(gè)網(wǎng)段的計(jì)算機(jī)間進(jìn)行影音文件的傳輸。表1是雙網(wǎng)段的IP地址設(shè)置。

為每間制作機(jī)房配置一臺(tái)計(jì)算機(jī)，設(shè)置B網(wǎng)段的IP固定地址，安裝殺毒軟件，在主機(jī)前面板安裝USB3.0多合一萬(wàn)能讀卡器，方便外來(lái)的U盤(pán)、SD卡等移動(dòng)存儲(chǔ)能直接使用。USB3.0多合一萬(wàn)能讀卡器應(yīng)用實(shí)例見(jiàn)圖3。

安裝上傳軟件，配置制作網(wǎng)內(nèi)計(jì)算機(jī)接收端的IP地址及共享目錄，可以方便白名單允許文件的上傳，下傳。軟件傳輸過(guò)程示意圖見(jiàn)圖4。

制播網(wǎng)絡(luò)為A網(wǎng)段，網(wǎng)絡(luò)內(nèi)計(jì)算機(jī)設(shè)置固定IP地址，禁用USB端口，使用軟件禁用和BIOS端口關(guān)閉相結(jié)合的方法，為需要傳輸數(shù)據(jù)的計(jì)算機(jī)設(shè)置共享目錄。

四、結(jié)束語(yǔ)

圖3　USB3.0多合一萬(wàn)能讀卡器應(yīng)用實(shí)例

賈汪電視臺(tái)制播網(wǎng)的病毒防范體系建設(shè)經(jīng)過(guò)充分的需求分析和設(shè)計(jì)，適應(yīng)我臺(tái)節(jié)目制作工作流程，取得了良好的效果。該系統(tǒng)投入使用近一年，運(yùn)行狀態(tài)良好，徹底隔離了外來(lái)文件對(duì)制播網(wǎng)的威脅，至今沒(méi)發(fā)生一起病毒感染事件，保障了全臺(tái)網(wǎng)絡(luò)制播系統(tǒng)的安全、穩(wěn)定、可靠運(yùn)行。

圖4　軟件傳輸過(guò)程示意圖