甘南广播电视台新媒体平台网络安全防护建设概况

陈韬

摘 要 “甘南广电新媒体”是全国少数民族地区地级广电单位为数不多自行开发建设、自行维护并且稳定运行超过2年以上的新媒体平台，甘南州属于全国藏区反分裂斗争的最前沿，新媒体网络信息安全尤为重要，在建设资金不足的情况下，通过运用高性能防火墙对网络系统划分为基本的外网非安全区、DMZ隔离区、内网安全区的方式，达到了网络安全防护要求，满足日常使用，可供地方民族台或者地级市台参考。

关键词 民族地区；广电新媒体；网络安全体系

中图分类号 G2 文献标识码 A 文章编号 2096-0360（2017）08-0028-02

2014年11月，甘南广播电视台率先在甘肃乃至整个安多藏区开通了首家集网站、手机App、微信、微博于一体的全媒体平台，通过互联网和移动互联网的传输实现了甘南台广播电视节目的网络点播和直播，广受全州各族群众和好评。该平台依托后台强大的媒资采集、编码、存储、管理和发布等模块，把传统的电视、广播的内容，同步发布到WEB和手机客户端，实现媒体内容的全屏幕覆盖。甘南广电新媒体平台是甘南广电在互联网上的服务窗口，承担着对州内群众宣传党和国家的政策和声音，对州外群众宣传甘南生态、旅游、文化建设成就的重要任务，在我台新媒体平台建设当中，网络信息安全防护更是重中之中的工作，网络信息安全事关国家主权稳定、经济健康发展，更是我台新媒体平台稳定运行的基础，由于甘南州地处安多藏区，是反分裂斗争的最前线，一旦新媒体平台受到黑客攻击、劫持发生严重的网络安全事故，将对甘南州的对外形象以及全州的维稳工作产生极其恶劣的影响和严重的后果。

1 甘南广电新媒体平台网络安全威胁来源

甘南广电新媒体平台面临的网络威胁来源分内网和外网，最主要是外网的攻击。一般来说内网威胁主要是局域网内工作站电脑由于使用人员缺乏网络安全意识、操作不当感染了木马、病毒等恶意程序或被黑客所劫持，从而绕开防火墙对所其连接的服务器、后台管理系统、数据库进行进行攻击破坏，或者由于从业人员人为因素故意进行破坏。

外网攻击主要分网络层攻击和应用层攻击。常见的网络层攻击有DOS（拒绝服务）、DDOS（分布式拒绝服务）等，网络层的攻击其根本就是利用TCP协议的缺陷通过窃听、篡改、IP欺骗、伪造方式来占用和消耗大量的网络，造成主机的拒绝服务、网络资源无法访问、系统瘫痪崩溃，其中DDOS攻击（分布式拒绝服务攻击）更是有很强的破坏力，也是我们在网络层中重点防范的攻击类型。常见的DDOS攻击手段有SYN Flood、ACK Flood、UDP Flood、ICMP Flood、TCP Flood等；应用层（WEB）攻击常见的有：跨站脚本攻击、注入攻击、缓冲区溢出攻击、Cookie假冒、认证逃避、表单绕过、非法输入、强制访问、隐藏变量篡改、应用层DDOS拒绝服务攻击等等，其原理都是利用網页、服务器的漏洞插入恶意的HTML代码或者写入恶意的SQL代码，从而窃取用户浏览会话中诸如用户名和口令等敏感信息或者非法获得操作后台的数据库的权限，导致敏感信息泄露、网页挂木马、数据库内容和结构遭到破坏。除了以上两类外还有一种综合性的APT攻击（高级持续性威胁），是利用先进的攻击手段长期对特定目标发起持续性的网络攻击，破坏力极强，造成的危害极大，通常是针对高价值目标，比如政府、商业、企业等部门。

甘南广电新媒体平台运行两年多以来，在网络攻击方面我们遇到最多的，也是重点防范的也就是DDOS、XSS跨站攻击、SQL注入、APT攻击和爬虫这几种类型的攻击。

2 甘南广电新媒体平台防护措施

新媒体平台的网络安全是一项动态的系统工程。从技术上来说，一个网站所应采用的相应安全技术主要包括：防病毒、防火墙、入侵检测、漏洞扫描与检测、网站实时监控与恢复、安全事件紧急响应体系等。甘南广电新媒体平台网络信息安全防护分内网、外网两个方面来建设实施。按照《广播电视相关信息系统安全等级保护基本要求》，在总体安全防护设计中以高性能UTM防火墙为核心，把整个系统划分为3个区，外部非安全区，内部安全区和DMZ区设置不同的权限和访问规则，具有高效率、高可靠性、高安全性、高性能的特点，很好的解决内外网络信息安全防护问题。

内部安全区主要是由连接后台服务器的发布审核工作站和音视频非编工作站、图文工作站、文稿编辑系统等构成。为了方便个人办公电脑在互联网上搜集素材、编辑图文信息，又避免后台服务器直接和互联网相连，办公互联网和网站出口网络我们分别采用两条专线，部署了一台双网卡中转存储服务器，分别与网站专线和办公网连接，办公网前端已部署防火墙和行为管理器，在中转存储服务器按照内容空间化出文稿、图片、视频空间并做了磁盘映射，分别映射到连接后台的发布、审核工作站电脑和个人办公电脑，中转存储服务器与网站后台服务器直接部署隔离网关，避免病毒、木马对服务器的攻击，这样就可以通过个人电脑方便的通过互联网进行图片搜集、文稿编辑、视频加工，然后存入中转服务器，由各工作站统一进行杀毒、审核、上传、发布，同时审核发布工作站配备了USB隔离网关，避免通过U盘来传素材时发生病毒感染。DMZ区由CMS服务器、WEB服务器、手机客户端服务器、流媒体服务器、媒资磁盘阵列构成，是为解决安装防火墙后外部网络不能访问内部网络服务器的问题，而设立的一个非安全系统与安全系统之间的缓冲区，有效保护了外网对内网服务器的访问安全。外部网络由带IDS的下一代UTM防火墙和web防火墙构成，主要用于隔离和审查任何需要进入内网服务器的数据访问和信息，其中UTM防火墙用抵御网络层的攻击，web防火墙专门用于从应用层方面对服务器组提供保护。

3 结束语

由于甘南藏族自治州属于边远少数民族贫困地区，建设“新媒体网络平台”资金十分有限，在网络安全体系建设中，我们按照网络安全等级保护标准，建成了最基本的“三区”安全体系，系统稳定可靠，安全性能方面达到了建设需求，截至目前没有发生过一起网络安全事故，可以给民族地区地级新媒体平台网络安全防护建设提供一定的参考，但是随着今后的发展和针对我们实际使用中发现的问题，还需要进一步加强网络安全防护体系建设，需要建设网络审计系统、日志审计系统、网络安全实时监测告警系统，独立的硬件IDS系统，购置专门的抗DDOS设备解决网络层DDOS攻击高的问题，同时为了避免单点故障的发生还需要购置高性能防火墙，增加吞吐量，按口字型网络部署，实现双机热备。新媒体平台的安全防护体系不能依靠单一技术体系来保障，管理是网络安全的重要组成部分，尤其是内部网络管理。因此为了切实保障新媒体平台的安全运行，还需要建设完善的安全管理体系，依靠严格的安全管理、安全检查制度来实现。

参考文献

[1]国家广播电影电视局总局科技司.GD/J 037-2011 广播电视相关信息系统安全等级保护定级指南[S].2011.