运用信息安全技术构筑视频监控安全之盾

武警8740部队司令部 王学龙；成都三零凯天通信实业有限公司 曹 波 吴 震

运用信息安全技术构筑视频监控安全之盾

武警8740部队司令部 王学龙；成都三零凯天通信实业有限公司 曹 波 吴 震

一、视频监控系统简介

随着新技术的发展，视频监控系统经历了模拟监控、数字监控和网络视频监控几个时代，目前网络化是视频监控非常重要的发展方向之一。基于IP网络的视频监控系统有着无可比拟的优势，一方面监控方式更灵活、造价更低廉、可保存数据量更大、数据保存方式更多、数据应用形式更广、系统集成度更高；另外一方面以网络为基础的视频监控突破了时间、地域的限制，降低了监控成本。据Gartner集团预测，我国网络监控摄像机市场将以每年57.5%的速度增长。

网络化促进了视频监控系统的发展和普及，大量的网络摄像机和管理平台部署在专有网络、公共网络甚至互联网上，由此带来了视频监控系统信息安全的双刃剑效应。传统的视频监控系统缺乏信息安全防护能力，往往成为黑客攻击的目标。最近曝光的“某品牌监控系统黑天鹅事件”，再次表明了我国视频监控系统面临的严峻安全形势。视频监控产品本身作为维护国家公共安全的重要工具，遍布国家重要机构和群众生活的各个领域，以其为入口的信息包含了从国家安全机密到普通百姓日常生活隐私的各个方面。如果大量设备被发现存在安全漏洞甚至被国外IP地址控制，造成的信息泄露损失和未来潜在的威胁将难以估量。黑客通过安全漏洞可以获得视频监控设备的控制权，轻则造成监控视频泄漏，重则可借这个入口发起更严重的网络攻击，危害警用监控系统和装备安全，甚至危害国家安全。

“黑天鹅事件”促使各方意识到视频监控信息安全的重要性，并将催生大量视频监控系统信息安全的需求，同时极大推动视频监控信息安全技术和产品发展。另外，随着IT技术的不断进步，物联网、云计算等新技术也将对视频监控行业产生持续、重大的影响，新技术的出现对视频监控信息安全也提出了更高的要求。因此，解决视频监控系统的信息安全问题，对现有视频监控系统进行安全加固，研发推广新一代安全视频监控系统，将是视频监控行业的一个迫切任务。

二、传统视频监控面临安全威胁

网络视频监控引导着视频监控行业技术、产品和解决方案的发展趋势，相对于传统的视频监控系统，基于成熟互联网架构的视频监控系统部署和应用更加简便和有效。网络视频监控虽然有巨大的技术优势、产品优势、方案优势以及应用优势，但是架构于开放IP网络的视频监控系统也面临其它网络系统所面临的各种安全威胁。根据网络视频监控系统的部署特点，将其划分为接入层、传输层、应用层三个层次说明其面临的安全威胁。

1. 接入层安全威胁

主要是针对前端设备的安全威胁。目前大多数监控前端设备（如网络摄像机、网络录像机等设备）没有安全措施，不具备标识身份的唯一证书，对采集到的音视频流以及与管理平台交互的通信协议及其通信端口也通常不进行保护，因此非法用户能够进行视频伪造，利用其他视频替换监控点的视频；或者截取采集设备与管理平台的通信协议，模拟采集设备，通过设备的网络接入点入侵到整个监控网，对监控网内的其他设备或主机进行攻击，或被植入恶意代码变成“肉鸡”，从而导致整个监控系统无法正常工作。

2. 传输层安全威胁

主要是针对传输设备与网络协议的安全威胁。现有视频监控系统的传输网络未进行网络层加密，视频数据和通信协议明文传输，非法用户能够采用网络旁路方式，截获视频流数据和通信协议。同时，随着视频编码方式的标准化，未经加密的视频数据大部分都能够使用通用视频播放软件进行播放，未经授权的非法用户能够随意传播监控视频数据。

3. 应用层安全威胁

主要是针对用户身份和权限管理、视频数据存储的安全威胁。目前大部分监控管理平台都采用简单的用户身份认证和权限管理体系，有些管理平台只通过用户名和密码进行身份认证，而管理平台在数据库中明文保存密码，这样系统管理员或稍懂计算机和数据库知识的人，很容易查看到用户密码，从而轻易进入系统，进行非法操作，比如修改用户权限，远程控制和操作前端监控设备等。此外，目前部分管理平台、网络硬盘录像机（NVR）、硬盘录像机（DVR）在存储录像时，使用了操作系统自带的通用文件系统，这样简单的实现方式很容易让进入操作系统的用户去打开和操作（删除和篡改）这些文件，这对于录像文件的安全管理和完整性带来了很大威胁。

针对上述这些安全威胁，部分视频监控厂家也有所意识并采取了一些解决措施，但是都比较局限，而且都是解决局部的个体问题，没有形成系统化、专业化的解决方案。应对网络视频监控系统面临的安全威胁需要整体解决方案，目前有两个思路，一是在传统视频监控系统上实施信息安全等级保护制度，对现有系统进行安全加固，通过完善的管理措施确保系统安全；二是研发新一代的安全视频监控系统，在产品设计初期就把安全能力考虑进去，打造一体化的安全解决方案。一体化的安全视频监控系统可在新建系统中推广部署，为用户提供高安全等级的视频监控系统。

三、 实施视频监控系统信息安全等级保护

信息安全等级保护是指国家通过制定统一的信息安全等级保护管理规范和技术标准，组织公民、法人和其他组织对信息系统分等级实行安全保护，对等级保护工作的实施进行监督、管理。信息安全等级保护制度是国家在国民经济和社会信息化的发展过程中，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设健康发展的一项基本制度。

视频监控系统也属于信息系统，同样适用于信息安全等级保护制度。实行视频监控系统信息安全等级保护，能够充分调动国家、法人和其他组织及公民的积极性，发挥各方面的作用，达到有效保护的目的，增强安全保护的整体性、针对性和实效性，使视频监控系统信息安全建设更加突出重点、统一规范、科学合理，对促进我国视频监控信息安全的发展将起到重要推动作用。实施视频监控系统信息安全等级保护主要包括以下工作环节：

1. 组织开展调查摸底

各视频监控系统主管部门、运营使用单位组织开展对所属视频监控系统的摸底调查，全面掌握系统的数量、分布、业务类型、应用或服务范围、系统结构以及系统建设规划等基本情况，为开展信息安全等级保护工作打下基础。

2. 合理确定保护等级

各视频监控系统主管部门和运营使用单位要按照《信息系统安全等级保护定级指南》，确定定级对象的安全保护等级。

3. 开展安全建设整改

各视频监控系统主管部门和运营使用单位根据确定的安全保护等级，对已有的视频监控系统按照等级保护的管理规范和技术标准，采购和使用相应等级要求的信息安全产品，落实安全技术措施，完成系统整改。

4. 组织系统安全测评

视频监控系统整改完成后，运营使用单位应当选择符合要求的测评机构进行测评。已投入运行视频监控系统在完成系统整改后也应当进行测评。经测评，信息系统安全状况未达到安全保护等级要求的，运营使用单位应当制定方案进行整改。

5. 依法履行备案手续

信息系统安全保护等级为二级以上的视频监控系统运营使用单位或主管部门应当在系统投入运行后（新建系统）或确定等级后（已运营的系统）30日内到公安机关办理备案手续。

6. 加强安全监督检查

公安机关应当会同有关部门加强对视频监控系统的监督检查，对未依法履行定级、备案手续的单位，督促其限期改正。

7. 建设技术支撑体系

公安部门组织开展继续教育工作，加强对安全专业技术人员的培训，提高视频监控系统运营使用单位和主管部门以及视频监控产品研发机构、安全服务机构安全专业技术人员的技术和法律知识水平。

8. 健全长效工作机制

在信息安全等级保护职能部门、视频监控系统主管部门、运营使用单位间建立畅通的联络机制。落实视频监控系统主管部门对运营使用单位的监督指导责任，建立职能部门、主管部门对视频监控系统的定期监督检查机制。

四、 研发新一代安全视频监控系统

目前数字化与网络化为视频监控系统带来巨大的发展空间，基于网络的视频监控系统已经广泛使用。在机要场所以及涉及敏感商业信息和个人隐私的场所，传统的视频监控系统在图像资源保护和系统访问控制等方面没有完整的信息安全防护体系，非法用户可以篡改、伪造和窃取视频数据，并非法侵入系统，给用户造成不可估量的损失。现有的视频监控设备不具备完整的安全防护能力，不能有效抵御网络安全威胁，实施视频监控系统信息安全等级保护制度仅能从管理角度解决安全问题，仍然无法提供高安全等级的安全防护。

因此，为了满足高安全等级的视频监控市场需求，迫切需要研发新一代的安全视频监控系统。该系统应运用信息安全技术且具备一体化的安全防护能力，采用视频加密技术、身份认证技术和访问控制技术，形成覆盖前端设备到后端管理平台的完整产品解决方案，实现数据采集、传输、存储和应用过程中的全程安全防护，彻底解决网络摄像头人为更换；传输过程数据篡改、完整性破坏；存储过程数据篡改、泄露；管理平台出现非法访问等安全问题。

新一代一体化安全视频监控系统综合采用各种信息安全技术，以达到高安全等级的防护能力，所涉及的信息安全技术应包括：

1. 数据加密技术

采用专用密码算法体制，对监控视频图像进行加密，应对视频伪造、视频篡改和视频非法传播等安全问题。

2. 数据完整性保护技术

采用专用算法保证协议数据的完整性，应对协议攻击等安全问题。

3. 基于数字证书的身份认证与鉴权授权技术

采用数字证书技术实现用户与设备的高安全等级身份认证，支持基于角色的鉴权授权访问控制模型，应对传统基于口令式身份认证所带来的安全问题。

4. 安全审计技术

采用高等级安全审计技术，对用户登录和身份验证、非法或异常事件、用户越权行为、持有权限变更操作等事件进行审计，并保留记录，实现对系统访问行为的安全审计。

5. 应用层网关防火墙技术

采用L3网络接口模式，使用虚拟路由器转发协议和视频数据，可以及时发现针对网络摄像头的窃听、纂改、冒充、破坏威胁。识别允许通过的数据流并动态生成防火墙针孔（pin hole），实现对SIP信令、RTSP信令和RTP数据的动态通过或者禁止，提高网络攻击难度。可限制访问者的IP地址范围，MAC地址范围，用户名密码，保证HTTP协议、RTSP协议的受限访问，保证用户操作的安全性。

通过融合信息安全技术打造的一体化安全视频监控系统具备以下特点：

第一，采用“信源加密”模式，从采集点开始数据即为“密态”，直至客户端才解开为“明态”，以最简模式解决数据采集、传输和存储的安全问题。

第二，采用专用加密芯片为运算核心，加密算法可替换，在设备不改动的情况下，可通过算法加载方式，适用于不同的行业应用需求。

第三，在数据加密实现中，可做到只加密有效视频数据载荷，对视频系统原有的流媒体转发等业务流程完全透明，兼容已建视频监控系统。

这种一体化安全视频监控系统能够为用户提供高安全等级的视频监控服务，适合于在对视频监控有较高安全要求的党政机构、军队、军工企事业单位，以及对商业秘密和个人隐私有严格保护的特殊领域进行广泛应用。

五、 结语

视频监控系统进入网络化时代后，由于越来越多的部署到开放IP网络中，因此面临各种网络安全威胁，影响系统正常使用，甚至造成严重的信息安全事故。为了解决视频监控领域面临的安全问题，目前主要有两种思路，一种思路是实施视频监控系统的信息安全等级保护制度，通过严格的管理措施保证系统安全，这种方法适合于已建系统的改造以及非高安应用环境；另一种思路是研发新一代的一体化安全视频监控系统，使产品本身具备较强的信息安全能力，从源头上解决视频监控系统面临的安全问题，这种方法适合于在党政、军队等高安应用环境中推广；一体化安全视频监控系统是视频监控系统安全问题的根本解决办法，其推广和应用将会具有广阔的市场前景，也将带来深远的行业影响和巨大的社会效益。