龍廷波 尹麗娜 徐州廣播電視傳媒集團(tuán)

1．前言

節(jié)目的安全播出是電視臺的重中之重，其中安全播出的重要環(huán)節(jié)即非編系統(tǒng)的安全性，直接關(guān)系到電視節(jié)目的制作和播出。

病毒滲透、惡意軟件破壞、黑客攻擊等都會(huì)對非編網(wǎng)系統(tǒng)造成巨大傷害，影響正常的廣電制作和播出的安全運(yùn)行，因此需要加強(qiáng)對外部攻擊的預(yù)防，抵御局域網(wǎng)外的惡意攻擊，隔斷非編網(wǎng)與互聯(lián)網(wǎng)的直接連接。然而節(jié)目的制作需要豐富的素材，包括編輯記者在互聯(lián)網(wǎng)上查找的圖片和音樂，后期包裝人員制作的欄目角標(biāo)，廣告公司制作的視頻廣告等等。大量類似的數(shù)據(jù)文件需要導(dǎo)入非編網(wǎng)，但外來文件的導(dǎo)入必然會(huì)增加感染病毒的風(fēng)險(xiǎn)，因此需要構(gòu)建非編系統(tǒng)的病毒隔離機(jī)制，防范病毒的入侵。

2．物理隔離設(shè)備MRG9000工作原理及關(guān)鍵技術(shù)

非編網(wǎng)絡(luò)的外來數(shù)據(jù)導(dǎo)入面臨數(shù)據(jù)遷移有可能伴隨病毒和攻擊同時(shí)引入，如何能做到既可以交換數(shù)據(jù)，又能隔離威脅是需要重點(diǎn)考慮的問題。我臺選擇了MRG9000 數(shù)字視頻網(wǎng)絡(luò)安全系統(tǒng)，將它部署在外網(wǎng)和內(nèi)網(wǎng)（非編網(wǎng)）之間，用于保護(hù)內(nèi)網(wǎng)的安全。

2.1　工作原理

MRG系統(tǒng)選用雙核 CPU 技術(shù)，在其中一個(gè)CPU內(nèi)核上運(yùn)行支持標(biāo)準(zhǔn)協(xié)議（TCP/IP等）的專有系統(tǒng)，通過外網(wǎng)接口連接外部計(jì)算機(jī)，接收可能存在安全隱患的數(shù)據(jù)文件；另一個(gè) CPU內(nèi)核則運(yùn)行Linux操作系統(tǒng)，用來完成文件深度分析（白名單檢測）功能，并通過內(nèi)網(wǎng)接口與服務(wù)器交換數(shù)據(jù)文件。兩個(gè)系統(tǒng)之間采用硬件隊(duì)列技術(shù)進(jìn)行數(shù)據(jù)擺渡，實(shí)現(xiàn)分時(shí)導(dǎo)通的物理隔離。

圖1　MRG 物理隔離技術(shù)

采用電子開關(guān)技術(shù)，分時(shí)控制緩存池的導(dǎo)通方向，緩存池永遠(yuǎn)只和其中的一個(gè)網(wǎng)絡(luò)連通，所以從整體上看，內(nèi)外網(wǎng)之間在任一時(shí)刻都是斷開的，這樣也就實(shí)現(xiàn)了內(nèi)網(wǎng)和外網(wǎng)之間的物理隔離，其原理如圖1 所示。

2.2　關(guān)鍵技術(shù)

2.2.1文件格式的深度檢測

任何計(jì)算機(jī)文件都有獨(dú)特的數(shù)據(jù)格式，MRG將文件擴(kuò)展名與特定的數(shù)據(jù)格式相對應(yīng)，在文件數(shù)據(jù)傳輸?shù)絻?nèi)網(wǎng)文件服務(wù)器上之前，MRG文件格式分析模塊對文件數(shù)據(jù)進(jìn)行格式分析、比對，只有數(shù)據(jù)格式與擴(kuò)展名一致并且該擴(kuò)展名在白名單以內(nèi)的才允許傳輸。這就從根本上斷絕了病毒數(shù)據(jù)的擴(kuò)散，保證了內(nèi)網(wǎng)安全。

2.2.2內(nèi)網(wǎng)拓?fù)潆[蔽功能

SAT（服務(wù)器地址轉(zhuǎn)換功能）能夠?qū)?nèi)部的服務(wù)器地址映射為MRG外端機(jī)對外訪問IP地址，外部用戶訪問MRG的外部IP時(shí)，等于訪問被保護(hù)的內(nèi)部網(wǎng)絡(luò)服務(wù)器地址，如果用戶直接訪問內(nèi)部服務(wù)器IP地址和特定的通信端口，則這種訪問將被拒絕。

2.2.3訪問控制功能

MRG實(shí)現(xiàn)了從網(wǎng)絡(luò)接口層到應(yīng)用層的訪問控制功能，通過貫穿整個(gè)協(xié)議棧的訪問控制能夠有效過濾非法連接、數(shù)據(jù)的非法傳輸。由表1可以看出在OSI模型的具體層級是如何實(shí)現(xiàn)訪問控制功能的。

表1　訪問控制功能表

3．非編系統(tǒng)安全方案

3.1　非編系統(tǒng)安全策略

外網(wǎng)數(shù)據(jù)來源復(fù)雜，使得數(shù)據(jù)容易攜帶威脅進(jìn)入到非編網(wǎng)，這些威脅一旦進(jìn)入，有可能影響非編工作站的正常工作，例如系統(tǒng)不能正常啟動(dòng)，或是大量占用系統(tǒng)內(nèi)存導(dǎo)致非編軟件自動(dòng)退出，甚至?xí)斐烧麄€(gè)非編系統(tǒng)網(wǎng)絡(luò)癱瘓，直接影響節(jié)目的制作和送播。我臺在制作網(wǎng)前端部署網(wǎng)絡(luò)安全設(shè)備，所有進(jìn)入到制作網(wǎng)的素材都需要通過 MRG9000過濾和分析。

如圖2所示，我們將MRG9000部署在內(nèi)網(wǎng)（非編網(wǎng)）和外網(wǎng)之間，并將內(nèi)網(wǎng)所有工作站的USB端口和DVD禁用，給工作站設(shè)置BIOS密碼，防止病毒從工作站進(jìn)入系統(tǒng)。

所有數(shù)據(jù)文件進(jìn)入非編系統(tǒng)只有兩條安全途徑：

（1）通過藍(lán)光盤驅(qū)動(dòng)器、SXS讀卡器或P2讀卡器連接上載工作站進(jìn)行記者外拍素材的采集上載；

（2）通過MRG工作站上安裝的客戶端軟件進(jìn)行外來素材的導(dǎo)入，有安全性潛在威脅的文件必須通過安全設(shè)備的過濾和分析才能進(jìn)入非編網(wǎng)。

圖2　非編系統(tǒng)安全示意圖

圖3　非編系統(tǒng)安全隔離網(wǎng)絡(luò)圖

3.2　非編系統(tǒng)安全隔離網(wǎng)絡(luò)結(jié)構(gòu)

從圖3中可以看出，我臺有三套各自獨(dú)立的非編系統(tǒng)，每套非編系統(tǒng)有獨(dú)立的服務(wù)器、存儲(chǔ)和工作站，都統(tǒng)一連接到一個(gè)交換機(jī)。為此，我們對交換機(jī)進(jìn)行了VLAN劃分，將三套非編系統(tǒng)劃分到三個(gè)相應(yīng)的VLAN中。每個(gè)非編系統(tǒng)都配置一個(gè)MRG網(wǎng)閘與外網(wǎng)交換數(shù)據(jù)，每個(gè)網(wǎng)閘的內(nèi)網(wǎng)網(wǎng)口連接到交換機(jī)相應(yīng)的VLAN中，另一網(wǎng)口與外網(wǎng)相連。對每個(gè)非編網(wǎng)的存儲(chǔ)建立一個(gè)共享文件夾，用于存放和外網(wǎng)之間的交換數(shù)據(jù)，MRG工作站上的客戶端軟件通過網(wǎng)閘可以與該文件夾相互傳輸數(shù)據(jù)，由此完成內(nèi)外網(wǎng)之間的數(shù)據(jù)交換。

3.3　MRG的軟件設(shè)置

3.3.1網(wǎng)絡(luò)接口配置

網(wǎng)絡(luò)連接設(shè)計(jì)好后，需要給MRG配置內(nèi)網(wǎng)和外網(wǎng)分配IP地址，使設(shè)備可以連接到內(nèi)網(wǎng)和外網(wǎng)，圖4是網(wǎng)絡(luò)接口配置界面。

3.3.2傳輸目錄配置

在非編網(wǎng)的存儲(chǔ)上建立共享文件夾，用于存放需要傳輸?shù)臄?shù)據(jù)，圖5為共享文件夾的管理配置。

圖4　網(wǎng)絡(luò)接口配置

圖5　傳輸目錄配置

圖6　白名單設(shè)置

圖7　客戶端軟件使用界面

3.3.3白名單設(shè)置

白名單上設(shè)置的是能夠通過MRG的數(shù)據(jù)文件類型，白名單以外的數(shù)據(jù)文件都不能通過。廣電網(wǎng)絡(luò)涉及的文件類型主要包括視音頻文件、圖片文件和文稿文件等，采用白名單的方式可以提高檢測和傳輸?shù)男省?/p>

管理員可以用白名單的方式對通過 MRG9000 傳輸?shù)奈募愋瓦M(jìn)行控制。為了避免某些不在白名單之內(nèi)的文件逃避安全檢查，即使攻擊者將文件的后綴修改了，使其符合白名單的規(guī)范也難以通過，因?yàn)镸RG9000實(shí)現(xiàn)了文件的一致性檢查，這種檢查不但停留在尾綴識別，還要做特征碼分析、語義分析和邏輯結(jié)構(gòu)分析等深度解析，徹底避免假冒文件通過。當(dāng)傳輸文件中被注入惡意代碼時(shí)，能識別出其結(jié)構(gòu)的變化并加以阻斷和警告。圖6為白名單設(shè)置界面。

3.4　客戶端操作

當(dāng)用戶需要在外網(wǎng)和內(nèi)網(wǎng)之間傳輸數(shù)據(jù)時(shí)，在MRG工作站上打開客戶端軟件，如圖7所示，窗口右側(cè)是非編網(wǎng)的共享文件夾路徑，窗口左側(cè)是本地目錄（包括所映射的外網(wǎng)網(wǎng)盤目錄），如果需要從非編網(wǎng)傳輸文件到外網(wǎng)，選中共享目錄下的文件，右擊鼠標(biāo)，選擇“下載文件”，文件即可傳輸。從圖中可以看到，傳輸速度能達(dá)到7MBps左右，當(dāng)然這是參考值，因?yàn)楹途W(wǎng)絡(luò)帶寬、存儲(chǔ)讀取帶寬也有很大關(guān)系。如果選擇的文件是白名單之外的類型，在傳輸失敗窗口軟件會(huì)提示詳細(xì)原因。

4．總結(jié)

本文提出了非編系統(tǒng)安全的重要性，需要與外網(wǎng)交換文件的特殊性，根據(jù)這些需求在內(nèi)外網(wǎng)之間部署了MRG9000 數(shù)字視頻網(wǎng)絡(luò)安全系統(tǒng)， 介紹了MRG的工作原理和關(guān)鍵技術(shù)，著重介紹了我臺非編系統(tǒng)網(wǎng)絡(luò)安全方案和網(wǎng)絡(luò)結(jié)構(gòu)，并對MRG軟件的幾個(gè)重要配置做了簡單介紹。

根據(jù)我臺近些年MRG9000的使用情況來看，設(shè)備較為穩(wěn)定，軟件操作簡單，傳輸速度能夠滿足非編網(wǎng)和外網(wǎng)之間文件的傳輸要求，成功的完成了內(nèi)外網(wǎng)之間的病毒物理隔離任務(wù)，很好的保障了非編系統(tǒng)的安全。