浅析广电网的网间隔离

2012-05-30刘杰

中国传媒科技 2012年15期

文｜刘杰

随着计算机技术的发展，在计算机上处理业务已由基于单机的数学运算、文件处理，基于简单连结的内部网络的内部业务处理、办公自动化等发展到基于业内复杂的内部网、外部网、全球互联网的企业级计算机处理系统和世界范围内的信息共享和业务处理。在信息处理能力提高的同时，系统的连结能力也在不断的提高。但在连结信息能力、流通能力提高的同时，基于网络连接的安全问题、网间数据的安全传输问题也日益突出。

广电系统主要包括内部广播网（播出网）和外部网（制作网）。对于广电系统来说，制作网和播出网的隔离是一项非常重要的工作，这项工作的好坏直接关系到广电播出网的安全问题。广播节目以内容为主，在信息爆炸的今天，互联网上的海量信息是电台最需要的内容。此外，编辑记者也彻底摆脱了采访资料一比一录入的低效率时代，广告客户的小样文件也都采用U盘等数字存储设备进行传输，同时，兄弟电台的节目交流也更多的依赖于互联网络。这样，在内部播出网，其信息的来源就包括互联网、移动存储设备等，但这在为广电系统的工作带来方便的同时，也为广电系统的安全性、节目的正常播出埋下了隐患。

本文将从什么是制播网间隔离、现有制作网以及播出网存在的问题以及现有制作网和播出网的改进目标等方面来阐述制播网间隔离的问题。

为什么要实现制播网间隔离

2008年1月，由国家广播电影电视总局科技司主持并通过审定了《广播电台数字化网络化建设白皮书（2007）》，在其中“5.4 广播台网互联互通的构建内容指导”要求：“广电总局规定，为了保证系统的安全运行和广播节目的安全播出，广播电台制播网必须是一个物理隔离的计算机网络。”，同时，又在“5.4.1基础层”明确：“互联互通的基础层是连接功能网，实现网间数据交互的物理系统。对于基础层的建设，应着重考虑保证两个网络的安全和数据透明交互。根据功能网安全等级不同，网间互联可采用防火墙、路由器和安全隔离网闸等网络设备实现。”的要求。

由此可见，制播网间隔离对于广电系统来说是一项非常重要的工作。制播网间隔离的具体内容是指：

1.将现有音频节目制作播出网络中的节目制作环境与节目播出环境分离。

2.为便于技术运维及管理，将全台所有节目播出系统（含录播播出、直播播出）重新整合，并独立于其他节目制作环节而全面专用于国际台音频节目对外播出，统称为“播出网”。

3.以上“播出网”与“制作网”之间采用网闸等物理隔离安全设备进行连接，由此，既能够保证台内节目“制”与“播”技术平台的互联互通，又能使“播出网”逻辑上独立于“制作网”，以保证音频节目的播出安全。

网间隔离产品的技术要点

1.隔离产品首先要保证自身具有高度的安全性。从技术实现上，除了对操作系统进行加固优化或采用安全操作系统外，关键在于要把外网接口和内网接口从一套操作系统中分离出来。也就是说至少要由两套主机系统组成，一套控制外网接口，另一套控制内网接口，然后在两套主机系统之间通过不可路由的协议进行数据交换，如此，即便黑客攻破了外网系统，仍然无法控制内网系统，就达到了更高的安全级别。

2.保证网间隔离的关键是网络包不可路由到对方网络，无论中间采用了什么转换方法，只要最终使得一方的网络包能够进入到对方的网络中，都无法称之为隔离，即达不到隔离的效果。显然，只是对网间的包进行转发，并且允许建立端到端连接的防火墙，是没有任何隔离效果的。

3.要保证网间交换的只是应用数据。既然要达到网络隔离，就必须做到彻底防范基于网络协议的攻击，即不能够让网络层的攻击包到达要保护的网络中，所以就必须进行协议分析，完成应用层数据的提取，然后进行数据交换。

4.要对网间的访问进行严格的控制和检查。作为一套适用于高安全度网络的安全设备，要确保每次数据交换都是可信的和可控的，严格防止非法通道的出现，以确保信息数据的安全和访问的可审计性。

5.隔离产品会部署在多种多样的复杂网络环境中，并且往往是数据交换的关键点，因此，产品要具有很高的处理性能，不能够成为网络交换的瓶颈，要有很好的稳定性；不能够出现时断时续的情况，要有很强的适应性，能够透明接入网络，并且透明支持多种应用。

网络隔离产品简介

现有的网络安全及网络隔离产品很多，但不同的产品可能有各自不同的功能侧重点，下面分别介绍不同的网络隔离产品。

1.防火墙

防火墙抵御来自互联网的攻击。网络防火墙技术作为内部网络与外部网络之间的第一道安全屏障，是最先受到人们重视的网络安全技术。应该安装防火墙的位置是内部广播网与外部互联网的接口处，以阻挡来自外部网络的入侵；虽然从理论上看,防火墙处于网络安全的最底层，负责网络间的安全认证与传输，但随着网络安全技术的整体发展和网络应用的不断变化，现代防火墙技术已经逐步走向网络层之外的其他安全层次，不仅要完成传统防火墙的过滤任务，同时还能为各种网络应用提供相应的安全服务。另外还有多种防火墙产品正朝着数据安全与用户认证、防止病毒与黑客侵入等方向发展。

防火墙设备侧重于网络层到应用层的策略隔离，操作系统、内部系统的漏洞、通用协议的缺陷等都成为不安全的潜在因素。防火墙在安全性方面具有以下特点，首先防火墙难于抵御数据驱动式攻击，即大量合法的数据包将导致网络阻塞而使正常通信瘫痪；其次，防火墙很难阻止由通用协议本身漏洞发起的入侵；第三，防火墙系统本身的缺陷也是影响内部网络安全的重要因素，当防火墙主机被控制后，内部受保护网络就会暴露无疑；第四，要使防火墙发挥有效的安全性，需要正确、合理的配置防火墙相关的安全策略，而配置的复杂程度不仅带来烦琐的工作量，同时也增加了配置不当带来的安全隐患。

2.网闸

网闸又名安全隔离网闸，是在两个不同安全域之间，通过协议转换的手段，以信息摆渡的方式实现数据交换，且只有被系统明确要求传输的信息才可以通过，其信息流一般为通用应用服务。当用户的网络需要保证高强度的安全，同时又与其它不信任网络进行信息交换的情况下，如果采用物理隔离卡，用户必须使用开关在内外网之间来回切换，不仅管理起来非常麻烦，使用起来也非常不方便；如果采用防火墙，由于防火墙自身的安全很难保证所以防火墙也无法防止内部信息泄漏和外部病毒、黑客程序的渗入，安全性无法保证。在这种情况下，安全隔离网闸能够同时满足这两个要求，又避免了物理隔离卡和防火墙的不足之处，是最好的选择。

内部广播网安全问题的防护

1.防火墙抵御来自互联网的攻击

网络防火墙技术作为内部网络与外部网络之间的第一道安全屏障，是最先受到人们重视的网络安全技术。应该安装防火墙的位置是内部广播网与外部互联网的接口处，以阻挡来自外部网络的入侵；虽然从理论上看,防火墙处于网络安全的最底层，负责网络间的安全认证与传输，但随着网络安全技术的整体发展和网络应用的不断变化，现代防火墙技术已经逐步走向网络层之外的其他安全层次，不仅要完成传统防火墙的过滤任务，同时还能为各种网络应用提供相应的安全服务。另外还有多种防火墙产品正朝着数据安全与用户认证、防止病毒与黑客侵入等方向发展。

2.抵御网间数据传输的安全威胁

由于网间数据的传输大多是通过移动存储设备完成的，移动存储设备很有可能感染互联网上的病毒。经过调研，国内自主研发的基于传输卡的网间数据安全传输系统在保证数据的安全传输方面有很好的效果。

该网间传输系统由获得国家专利的韦氏传输卡（两块）和韦氏传输线连接两个网络，如图1所示。在互联网和播出网中各安排一台计算机作为传输服务器，分别在PCI插槽上安装传输卡，并且使用传输线相连，在传输服务器上运行传输程序，建立用户并且为用户指定可以传输的文件类型。文件的类型针对电台的实际需要，有MP3、MP2、S48、WAV、TXT等格式。

图1 基于传输卡的网间数据安全传输系统韦氏传输卡

3.部署网闸来隔离制作网和广播网

将网闸安装在内部播出网和外部制作网之间，从而保证内部网和外部网之间的隔离，如图2所示。

图2 网闸的部署

4.采用审计系统及时发现威胁

每一种安全机制都有一定的应用范围和应用环境。防火墙是一种有效的安全工具，它可以隐蔽内部网络结构，限制外部网络到内部网络的访问。但是对于内部网络之间的访问，防火墙往往是无能为力的。因此，对于内部网络到内部网络之间的入侵行为和内外勾结的入侵行为，防火墙是很难发觉和防范的。此外，防火墙并不是对所有的攻击行为都能够及时的防御，因为，防火墙就像是一道防盗门，只要有充足的时间，盗贼迟早都能够打开这道防盗门。因此，仅仅选用防火墙作为网络安全的防御措施是远远不够的。还可以选用一些必要的审计系统以及安全管理系统，审计系统以日志的形式记录计算机所发生的一切行为，安全管理系统可以针对一定的日志信息进行数据的挖掘与分析，及时的发现攻击，在攻击成功之前，将其消灭。目前市场上有很多这类安全审计相关的产品。