应用于电视台内外网络的数据安全交换平台

杨树海

(张家口广播电视台播出部，河北 张家口 075001)

责任编辑:任健男

当前，国内各级电视台大多数已搭建数字化、网络化、文件化的内部网络(例如，非线性编辑网络、硬盘播出网络、媒体资产管理网络)，外部网络(移动介质、互联网、办公网)需要安全、高效地与内部网络进行数据交换显得尤为重要。

《广播电视相关信息系统安全等级保护基本要求》关于数据安全交换提及:信息系统与外部网络进行数据交换时，应通过数据交换区或专用数据交换设备等完成内外网数据的安全交换，数据交换区对外应通过访问控制设备与外部网络进行安全隔离，对内应采用安全的方式进行数据交换，必要时可通过协议转换的手段，以信息摆渡的方式实现数据交换。

本文介绍了应用于外部网络与内部网络的数据安全交换平台，旨在实现外部网络数据通过此平台与电视台内部网络进行安全、高效的数据交换，有效避免病毒传输以及网络攻击给内部网络所带来的严重威胁。

1 整体架构

数据安全交换平台主要由后台软件执行服务器、异构缓存服务器、安全网关、文件分发服务器以及相应的网络设备构成，如图1所示。

图1 数据安全交换平台架构图

后台软件执行服务器实现素材深度解析、白名单认证、多级杀毒的服务功能，一台物理服务器可以启动一个或者多个服务进程，也可以启动多个处理不同服务进程。服务器及服务进程都支持集群部署，并发执行。

异构缓存服务器基于Linux内核的分布式文件缓冲区(摆渡区)，对Windows恶意代码攻击和病毒感染先天免疫，并支持以集群方式实现摆渡区主备冗余和带宽均衡。

安全网关确保入侵防范，有效防止端口扫描、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等，并支持以集群方式实现网络链路主备冗余和带宽均衡。

文件分发服务器实现素材的多目标同步分发。

在外部网络一般部署有导入客户端，通过B/S或C/S方式提交数据导入任务。

在内部制作网一般部署有接入点服务器，接收文件分发服务器推送过来的媒体数据，具有多网口聚合的功能。

2 平台流程

数据安全交换平台采用工作流方式，每个流程节点都可按需配置，而且还可以动态配置子流程，实现流程的定制，如图2所示。

图2 数据安全交换平台架构图

数据安全交换步骤为:

1)导入点客户端站点打开浏览器，输入用户名和账号，登陆数据安全交换平台浏览器界面，选择数据文件及目标板块，提交任务。

2)提交的数据文件通过安全网关的入侵防护后缓存至异构缓存服务器，异构缓存服务器采用Linux操作系统，有效隔离非Linux病毒。

3)多级杀毒服务进程对缓存在异构缓存服务器上的数据文件进行多级杀毒，可以采用卡巴斯基、NOD32、江民、360等多种杀毒引擎，实现“进口+国产”的优化软件杀毒。

4)对通过多级杀毒的数据文件进行“白名单”认证，由于电视台使用的数据文件格式相对固定，采用了与“黑名单”相对的“白名单认证”机制，只有加入白名单集的文件格式数据才能进入内部网络，反之则退回。

5)数据文件通过“白名单”认证后，还要对其进行深度解析，即这个合法格式的文件头进行全方位的特征码比对(包括文件头、封装信息、索引信息、视频宽高、码率、帧率、声道数、位数、采样率等)。

6)通过深度解析的数据文件通过多目标分发服务进程推送到内部网络的各个接入点服务器。

7)内部网络的客户端站点检索到自己所需要的素材，引入使用。

3 应用特点

数据安全交换平台能达到平台安全、链路安全、数据安全、任务安全共4种机制的安全防护，并通过多通道传输矩阵、并发执行、多目标同步推送的策略实现高效的数据交换。

3.1 平台安全

1)安全网关

安全网关是媒体传送的数据总线，也是外部网络与内部制作网之间数据互联互通的唯一通道，外来数据必须经过门户网关才能进入内部制作网。门户网关可采用具有防止端口扫描、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击的门户网关确保入侵防范。门户网关可集群方式部署，既实现互为备份的多路由通道，同时又增加了数据互联互通的并发带宽。

2)异构缓存

数据安全交换平台采用基于Linux内核的分布式文件缓冲区(摆渡区)，对Windows恶意代码攻击和病毒感染先天免疫，并且以集群方式实现摆渡区主备冗余和带宽均衡。

3.2 链路安全

数据安全交换平台采用有限安全方式接入内网业务板块，包括加密 FTP 和私有传输协议(USB2.0＆3.0，1394A＆B)等，其他传输协议和端口全部关闭。

采用私有协议传输通道矩阵，实现USB或1394协议的“一对多”和“多对多”的集群并发传输(类似网络)，除了保证接入下游业务板块的极高安全性外，相比单点私有协议传输通道还有极大的速度和效率优势。

3.3 数据安全

1)多级杀毒

可根据需要配置不同档次的硬件防火墙、防毒墙、网闸、网关，结合国内外多种顶级防病毒引擎(卡巴斯基、赛门铁克等)进行交叉杀毒，实现“硬+软”、“软+软”多级安全防护体系，所有软硬件都受数据安全交换平台的统一管理、调度。

2)认证解析

认证解析包含两方面的内容，一是“白名单”认证，二是深度解析。

“白名单”认证就是指只有“白名单”中的数据才能完整可靠地进入系统，或者在系统内进行数据处理，“深度解析”是对符合“白名单”集的合法格式文件头进行全方位的特征码比对(包括文件头、封装信息、索引信息、视频宽高、码率、帧率、声道数、位数、采样率等)，使那些“丢包”及破损的数据文件都被挡在本系统之外，保证数据的完整性和真实性。

3.4 任务安全

数据安全交换平台采用图形化监控界面，对设备、业务进程全实时监控，并提供及时消息处理、查询业务、故障分析等，包括对数据运行的监控、对设备运行的监控、对网络运行的监控、对业务流程的监控、对业务进程的监控。设备监控界面如图3所示，任务监控界面如图4所示。

3.5 高效率

1)多通道传输矩阵

文件采用多通道并发传输，可以对多个传输通道分组设置优先级，依次为紧急文件传输通道、普通文件传输通道、超大文件传输通道，低级别的文件不能在高级别的通道上传输，高级别的文件可以在低级别通道空闲时优先借道传输。一组中同级别的传输通道也实现并行传输和负载均衡。

2)并发执行

采用并发的杀毒、解析、转码及分发引擎集群，所有流程节点的任务都可以多进程并发执行，程序进程互为备份，效率也成倍提高。

3)多目标同步推送

以前，导入点是“一对一服务”，若同一外来数据需要同时向3个制作子网引入，则需要分别在3个不同的引入点引入一次。数据安全交换平台实现引入点的“一对多”服务，同一内容同时向3个制作子网的多目标同步推送，效率提高显著。