广电网络信安全方案攻略.docVIP

广电网络信息安全方案攻略 北京数字太和科技有限责任公司 总工 梅红兵 一、概述 近期，华东某地广电遭受非法信息攻击，将非法信息通过广电前端播出系统广播出去，导致所有广电机顶盒终端都在显示不良信息，并且因为不良信息存储在机顶盒的FLASH内存中长时间不能清除，造成恶劣的影响。此次事故现露出广电网络在信息安全方面的一些漏洞，特别是没有足够重视越来越复杂越来越智能的机顶盒终端上的信息安全，急需预防非法信息攻击手段和有效的应急预案与措施。 对以上问题，我们需要一套有效的预防非法信息攻击方案和应急预案。非法信息包括非法文字、非法图片、非法视频和非法App等。 数字太和在安全技术领域具有多年丰富的技术和经验积累，自主研发了UTI独立安全芯片、基于UTI独立安全芯片支持广电总局DCAS标准的UCAS无卡条件接收系统、支持ChinaDRM标准的DRM数字版权管理系统。UTI独立安全芯片支持多种对称密钥算法和ECC/RSA公钥算法，硬件内置CA和DRM等安全模块。近期数字太和DRM系统通过了国际权威第三方安全审计公司Merdan的高安全级别的A级安全认证，全球拿到A级认证的不超过10家公司。 本方案参考了国内以下信息安全技术标准和规范： GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求 GB/T 22240-2008 信息安全技术 信息系统安全等级保护定级指南 GB/T 25070-2010 信息安全技术 信息系统等级保护安全设计技术要求 广电总局62号令-2010，《广播电视安全播出管理规定》及各专业实施细则 GD/J 038-2011 广播电视相关信息系统 安全等级保护基本要求 二、广电网络信息安全要求 在三网融合政策以及数字化、网络化、智能化等技术的推动下，广电网络演变成了一个综合信息通信网络，既是单向信息广播网络也是也是双向传输网，还可以接入互联网。广电机顶盒终端也从单向广播型向DVB+OTT双向智能化演进，各地广电还在发展融合型的家庭智能网关，以便老百姓家庭所有智能终端都能随时随地收看广电的数字直播等业务并能同时上互联网。因此，信息安全在广电网络中愈来愈复杂，也越发重要。传统安全播出技术手段已经无法应对最新的非法信息攻击。 虽然广电总局2011年发布的GD/J 038-2011《广播电视相关信息系统 安全等级保护基本要求》基本上继承了GB/T 25070-2010《信息安全技术 信息系统等级保护安全设计技术要求》，并根据广电网络的特点将GB/T 25070-2010的五级系统安全保护环境设计定制为广播电视的四级信息系统安全保护能力。 实际上，完整地广电网络的信息安全环境如下表所示： 表1 广电网络信息安全环境分类表 安全环境 分类描述 安全通信网络 外部网络：外单位网络、互联网和其它公共网络等 前端网络：办公网络、广播业务前端网络、业务前端网络 传输网络：包括单向广播网、双向传输网 终端网络：以新型机顶盒或家庭智能网关形成的家庭网络 安全区域边界 外部网络-前端网络之间的区域边界 前端网络-传输网络的区域边界 传输网络-终端网络的区域边界 安全计算环境 办公电脑等设备的信息安全 前端服务器等设备的信息安全 终端机顶盒等设备的信息安全 智能终端等设备的信息安全 安全管理中心 运行监测、安全管理、审计管理 应用系统 BOSS/SMS系统、EPG系统、EPG广告系统、数据广播系统、中间件系统、Loader系统、应用下载系统、VOD系统、OTT系统等 广电网络中的信息安全环境之间的关系如下图所示： 图1 广电网络信息安全环境关系图 按GD/J 038-2011《广播电视相关信息系统 安全等级保护基本要求》第四级安全保护能力要求：广电网络应能够在统一安全策略下防护系统免受来自拥有丰富资源的威胁源发起的恶意攻击、较为严重的自然灾难、以及其他相当危害程度的威胁所造成的资源损害，能够发现安全漏洞和安全事件，在系统遭到损害后，能够迅速恢复所有功能。 三、广电网络非法信息攻击手段 从图1我们可以看出，针对广电网络的非法信息攻击主要是： 从外部网络或办公网络发起，在没有安全区域边界或者安全区域边界能力不够的情况下，入侵广播业务前端网路或双向业务前端网络，控制服务器等设备，并对应用系统进行攻击，使应用系统瘫痪，或非法篡改替换各种数据、文字、图片、视频、App等，使得机顶盒等终端不能正常使用或显示播放非法信息； 从单向广播网中间发起，篡改原有信息，注入非法信息，如采用非法未透明流替换前端直播或点播播出的节目码流，替换EPG广告未加密播出的文字、图片等，替换数据广播未加密播出的文字、图片等，使得机顶盒等终端显示播放非法信息； 从双向传输网中间发起，在没有安全区域边界或者安全区域边界能力不够的情况下，入侵双向业务