傳統媒體傳播模式從思想層面上來講，是一種預先策劃好的自上而下的線性傳播，是中國社會能夠穩步向前發展的一塊基石。新媒體是“所有人面向所有人進行的傳播”，傳統媒體和新媒體具有很強的互補性，新媒體和傳統媒體的聯動融合，相互依存、相互借鑒、共同發展將引導輿論新格局。傳統媒體與新媒體走融合發展之路，共同朝著智能媒體的方向邁進，這是媒體行業的共同特點。
網絡電視臺（新媒體）網絡安全解決方案
網絡電視臺（新媒體）是在三網融合大趨勢下構建的新媒體運營平臺，其建設目標是通過統一的視頻內容整合和管理能力，提供基于IPTV、手機電視、互聯網電視、門戶網站等多種終端的媒體傳播，實現支持跨終端業務聯動和服務融合，從而建立全新的媒體產業化運營模式。
網絡電視臺（新媒體）的整體業務是匯聚來自IPTV收錄、上載、合作伙伴專線接入、網絡上傳等渠道傳送的節目和素材，經過編輯加工，形成適合新媒體業務的節目形態，經IPTV、手機電視、互聯網電視和門戶網站的播出平臺對外發布。業務體系包括節目和素材的采、編、播、管、存等基礎業務，與傳統電視臺相比，其最大的區別在于網絡電視臺的生產系統需要連接外網，這就把網絡安全提高到戰略的層面。
面臨的挑戰及安全需求
網絡電視臺（新媒體）網絡安全系統建設需要滿足四大重點需求：
1）建立內容生產服務平臺與播控區互聯互通的安全網絡通道；建立與合作伙伴進行安全高效的素材交換的網絡通道；建立接入網絡與來自互聯網的合作伙伴的進行素材交換；建立與辦公網絡和媒資系統互聯互通的安全網絡通道。
2）規劃和建設網絡安全域，基于基礎網絡系統，梳理上下載、上傳、收錄、編輯、內容管理、發布等業務邊界。
3）需要建設網絡安全保障與風險防范、綜合安全監控管理系統，實現基于監控、審計、風險和運維四個維度的信息系統安全管理功能。
4）需要實現業務終端區設備的安全接入和統一認證、單點登錄、分散授權，保證節目的快編、精編、上下載和運維管理業務的順暢運行，同時實現運維管理人員的雙因素認證功能，確保人員身份唯一性。
安全解決方案
※ 劃分安全域，梳理網絡邊界，加強域間域內訪問控制
媒資獲取渠道眾多，而這些渠道的安全性不能完全保障，攻擊及病毒等惡意代碼能夠通過媒資獲取渠道侵入網絡廣播電視臺系統媒資庫，從而造成嚴重影響。因此，對于這類邊界必須進行強隔離，重點關注兩類防護：一是進行訪問控制，避免非授權訪問及可能的網絡攻擊；另一方面，要對獲取的媒資進行病毒等惡意代碼的檢查，避免病毒的侵入?？刹渴餟TM類產品（具備防火墻、防毒墻、入侵防御等各類邊界防護功能）。
1、網絡外部邊界的關鍵安全措施包括：接入管理區防火墻、接入VPN網關、安全交互區的UTM、門戶網站去IDC機房防火墻、IPTV播控區去運營商機房防火墻。
2、內部區域邊界的關鍵安全措施包括：接入管理區隔離UTM、辦公與生產區域的隔離UTM、移動工作區隔離的防毒墻和內容生產與播控隔離的防火墻。
※ 系統身份認證和操作的合規性審計
內容生產系統、播控平臺等系統內有多類重要應用，直接影響著安全生產和播出，對于這些應用系統的使用者必須進行嚴格的身份鑒定，僅依靠用戶名/口令較為薄弱，一旦口令泄露或者在網絡內被嗅探，將有可能會使內外部的非授權人員進入核心應用系統而進行非法操作，因此，可考慮對應用系統的使用人員采用雙因素認證等措施加強身份認證，同時，所有的應用系統應嚴格限制每個賬號的權限。
※ 全網綜合安全監測管理平臺
1、綜合安全監測管理平臺：從監控、審計、風險和運維四個維度對信息系統進行可用性與性能的監控、配置與事件的分析審計預警、風險與態勢的評估、事件集中收集、關聯分析和自動化管理，經過平臺的處理與分析，在海量數據中挖掘出重要的、危險的、有用的信息；全面地監視網絡設備和主機發生的各種事件，有助于了解網絡安全設備的安全環境等的使用狀況；通過對安全事件的深度分析，并快速做出智能響應，實現對安全風險的統一監控分析和預警處理；利用多項指標計算得出安全對象所面臨風險數值，并根據指標的變化得出資產當前的風險狀況；掌握各資產的名稱、IP、CIA屬性機密性、可用性、完整性及脆弱性信息，對網絡中的設備、主機、應用系統等方面的綜合管理與監控，利于實現網絡環境的綜合安全管理
2、入侵檢測系統組件：在內容生產區核心、門戶播控匯聚、IPTV播控核心、接入管理區核心部署入侵檢測系統，與綜合安全監測管理平臺對接。
3、漏洞掃描和漏洞管理：部署全網無IP限制漏洞掃描系統，實現全網漏洞掃描；部署漏洞管理系統，實現漏洞的發現、驗證、修復等全生命周期管理，與綜合安全監測管理平臺對接。
4、終端和服務器自身安全：對于移動終端，由臺里統一安裝必備軟件，并關閉管理員帳戶，避免用戶自由卸載、安裝軟件。安全軟件需要加裝：防病毒、補丁管理、網絡準入、介質管理(固定終端)。關鍵服務器和重要終端數據按需與綜合安全監測管理平臺對接。
解決方案整體安全措施部署示意圖如下所示：
有線電視前端交互系統安全審計解決方案
有線數字電視系統網絡的數字化、網絡化和雙向網絡改造建設快速發展，特別是體現人機互動和交互功能特點的有線數字電視前端系統的發展尤為突出。有線數字電視前端系統IT資產和業務應用系統是有線數字電視網絡運營商在互聯網浪潮和三網融合大背景下得以正常運營的重要基礎設施，管理好這些IT基礎設施，是各有線數字電視網絡運營商必須完成的使命。
各種安全事件呈幾何級增長，來自外部的攻擊入侵事件頻發，而且日益呈現出“組織性”、“針對性”和“目的性”的特點，安全事件的應急響應的經驗告訴我們，一旦出現入侵事件后，分析日志是發現入侵攻擊蛛絲馬跡的關鍵手段。內部人員的誤操作或有意無意的泄密事件也時有發生，日志分析也是排錯的重要手段，同時還可以協助我們進行責任認定。在這樣日益嚴峻的情況下，如何確保有線數字電視前端系統的安全，尤其是如何更好地防范與審計內部管理人員對前端系統的訪問和操作行為，成為當前保障數據信息安全的重要環節。
面臨的挑戰及安全需求
有線數字電視前端系統在日志管理方面的挑戰和需求是利用“日志留存”、“痕跡保留”和“運維審計”手段實現綜合審計，具體包括日志全生命周期管理，精確的管理授權、網絡與數據庫管理系統操作審計。
1、日志全生命周期管理。日志（Log）是對IT系統在運行過程中產生的事件的記錄。通過日志，IT管理人員可以了解系統的運行狀況，獲悉信息系統的安全運行狀態，識別針對信息系統的攻擊和入侵，以及來自內部的違規和信息泄露事件，能夠為事后的問題分析和調查取證提供必要的信息。網絡安全日志管理與審計系統能夠實時不間斷地采集有線數字電視前端系統網絡中各種不同廠商的安全設備、網絡設備、主機、操作系統、數據庫管理系統以及各種應用系統產生的海量日志信息，實現日志信息的范式化、關聯分析和基于日志的審計功能，以幫助管理員有效排錯，便于事件追查和責任認定。
2、精確的管理授權。首先實現基于對自然人身份以及資源、資源賬號的集中管理，建立“自然人—資源—資源賬號”對應關系，實現自然人對資源的統一授權。其次，對運維人員根據其職責進行權限的分配和管理，運維人員只能在權限范圍內，進行資源的訪問以及日常的運維工作，不能訪問未經授權的資源。然后可根據用戶、用戶組、訪問主機、目標系統賬號、訪問方式等設置細粒度訪問策略，根據訪問授權列表自動展示授權范圍內的主機和可訪問的資源，實現運維用戶與后臺資源帳號相對應，限制帳號的越權使用。
3、網絡與數據庫管理系統操作審計。需要針對有線數字電視前端系統環境下的基于網絡的操作行為進行細粒度審計的管理，通過對運維人員訪問網絡系統和數據庫管理系統的操作行為進行解析、分析、記錄、匯報，以加強內、外部運維人員對網絡和數據庫管理系統操作行為細顆粒度的監管。系統可針對網絡運維協議進行解析，以達到對網絡設備和數據庫管理系統操作訪問的全面審計，常用的運維協議包括通過字符協議Telnet、Rlogin、SSH的遠程登錄，通過圖形協議RDP、VNC、X11的操作以及PLSQL、SQLPlus等數據庫操作協議。
安全解決方案
有線數字電視前端系統一般包括CA條件接收系統、EPG電子節目指南、SMS用戶管理系統、數據廣播系統和VOD/NVOD等。各業務應用在網絡結構上相對獨立，為了保證現有的安全區域不發生根本變化，使得各區域之間的安全策略改變最小，日志采集器連接在各業務系統的匯聚交換機上，基于以下考慮因素：
1、日志采集器可非常方便地通過匯聚交換機到達有線數字電視前端各業務系統的設備，日志采集器與設備之間經過的防火墻或ACL策略最少，對內部防火墻的策略改動最少，從而保證對現有系統的影響降至最低。日志采集器連接到有線數字電視前端各業務系統匯聚的交換機上，在網絡路由層面上日志采集器與各資源的的通訊路徑最短，在采集各設備上的日志時，可減少網絡上的非業務流量的傳輸，起到優化網絡傳輸內容的作用。
2、日志采集器與安全審計中心服務器之間通訊的業務流向非常清晰，運維區的安全管理員可以清晰地設計日志采集器與審計中心之間的網絡訪問策略。
如下圖所示，基于有線數字電視前端系統的網絡結構和業務區域的劃分情況，采用安全審計中心和日志采集器分離的部署模式。前端各個業務應用本地分別部署一臺日志采集器，負責采集其所在區域業務應用設備的日志數據，同時采集運維操作行為日志，數據傳送到安全審計中心服務器進行集中存儲和關聯分析，實現日志全生命周期管理和基于日志的安全審計功能。安全審計中心作為綜合審計平臺的前端用戶交互界面和管控中心，實現運維審計、帳號管理、權限管理和身份認證等核心功能。
方案部署示意圖如下所示：
方案主要價值
在有線數字電視前端系統中部署綜合審計平臺，利用運維堡壘機這一重要組件很好的解決了運維管理賬號分散、認證強度不一，授權管理混亂等諸多安全審計與管理問題，實現了運維安全審計和控制的目的。
同時，有效的解決了日志全生命周期的管理問題，實現系統日志、網絡日志、安全日志、操作行為日志的收集、歸并、存儲、關聯分析，便于完成基于日志的安全審計、排錯與輔助責任認定工作。
智慧廣電網絡4A解決方案
“寬帶中國”戰略的部署對于廣電行業網絡視聽領域帶來全新的發展機遇，綜合利用有線、無線技術推動電信網、廣播電視網和互聯網融合發展，加快構建寬帶、融合、安全、泛在的下一代國家信息基礎設施成為智慧廣電戰略的必由之路。
“智慧廣電的本質是新興信息技術與廣電產業有優勢的高度融合，廣電產業不但是信息的生產者、傳播者，更應該是新生活方式的發起者、組織者和提供者?！?/p>
近年來有線網絡公司用戶的業務系統發展十分迅速，內部的系統數和用戶數不斷增加，網絡規模迅速擴大，應用擴展和融合發展迅速，同時作為廣電運營商、關鍵信息基礎設施的網絡運營者對網絡安全的要求也與日俱增，其中賬號管理混亂、身份認證分散不統一權限分配隨意、審計信息不全缺乏關聯是急需解決的重要安全問題之一。
面臨的挑戰及安全需求
廣電網絡公司在信息化系統中存在著賬號、認證、授權、審計等方面的各種問題，所面臨的網絡安全挑戰和安全需求是帳號管理系統、統一認證系統、集中授權系統和綜合審計系統。面臨的具體安全挑戰包括下面幾個方面：
1)帳號繁多，管理困難，管理成本較高，難以實現帳號權限的有效監督和審核，難以維護有效的用戶帳號列表，對于離職或者工作崗位變更的用戶，很難干凈徹底的刪除或者禁止相應帳號，容易產生無主帳號或者容易發生安全問題，用戶自主設定、修改密碼，密碼強度難以保證、定期修改的規定難以執行。
2)隨著業務系統的增多，使用戶經常要在各個系統之間切換，每次從一個系統切換到另一支撐系統時，都需要輸入用戶名和口令進行登錄，給用戶的工作帶來不便，影響了工作效率。用戶為便于記憶口令會采用較簡單的口令或將多個支撐系統的口令設置成相同的，危害到系統的安全性。
3)各系統管理員分別管理所屬的系統資源，為本系統的用戶分配權限，由此導致許多安全隱患，比如：缺乏集中統一的資源授權管理平臺，無法嚴格按照最小權限原則分配權限。
4)由于各支撐系統獨立運行、維護和管理，所以各系統的審計也是相互獨立的，不但各個系統單獨審計，即使同一系統中的每個網絡設備，每個主機系統，每個業務系統及每個數據庫系統都要分別進行審計，缺乏集中統一的系統訪問審計。
安全解決方案
在帳號管理方面，需要實現對自然人身份，以及系統帳號和應用帳號的統一集中管理，包括按照密碼策略自動更改密碼，賬號同步等。
在認證管理方面，需要實現對不同業務系統操作者身份認證的統一集中管理，并且采用SSO方式實現自然人訪問資源的透明登錄。
在集中授權方面，需要實現自然人對資源的統一授權，建立“自然人帳號——資源——資源帳號”的對應關系，實現不同用戶對系統不同資源的訪問。
在綜合審計方面，需要完成對授權人員的業務操作行為進行記錄、分析、展現，以幫助內控工作事前規劃預防、事中實時監控、違規行為響應、事后合規報告、事故追蹤回放，加強內部業務操作行為監管、避免核心資產（數據庫、服務器、網絡設備等）損失、保障業務系統的正常運營。
如下圖所示，將賬號（Account）管理、認證（Authentication）管理、授權(Authorization)管理和安全審計(Audit)，4個A在內的所有功能模塊集成在一起，以一個統一的風格呈現給最終用戶和系統管理員。
管理平臺Portal層作為平臺使用的統一入口，為普通操作人員和管理人員提供一個基于Web方式的登錄界面。
4A平臺管理系統的賬號管理用于集中維護包括自然人賬號（主帳號）和資源賬號（從帳號）在內的全部帳號以及相關的賬號屬性。
4A平臺管理系統將管轄的資源進行了邏輯上的集中授權管理。在資源中擁有各自獨立的權限管理功能，對所管理對象和主帳號進行授權，實現了實體級的授權。對所管理對象上的從帳號可以使用角色進行授權，而不需要進入每一個被管理對象才能授權，完成實體內授權。
4A平臺管理系統提供對審計事件、告警事件、帳號管理事件和認證授權事件進行實時采集、監控、告警和查詢功能，以便用戶實時監控各業務系統的情況，并根據預警做出相應處理。
4A平臺管理系統通過防繞行組件可以針對有線網絡公司用戶跳開4A管理平臺直接登錄業務資源或者登錄系統資源的行為進行記錄、告警和阻斷。主要方法是通過繞行阻斷和重定向方式來實現，保證所有的用戶都必須通過4A管理平臺來登錄所有資源，實現4A的賬號、認證、授權、審計管理。
4A平臺管理系統向有線網絡公司的外部系統提供賬號管理接口、認證接口、審計接口、授權接口、外部管理接口等，可以靈活的與第三方系統相結合。
方案主要價值
對用戶整個系統的帳號進行集中管理、統一身份認證、集中授權和綜合審計等功能，可以為有線網絡公司用戶帶來較大價值，其中包括：
1) 從賬號開通、職務變更帶來的賬號權限變更、定期改密、發現空白賬號到賬號刪除吊銷證書，實現賬號生命周期管理，可以減少賬號漏洞帶來的風險。
2) 加強對業務系統核心信息資產的訪問控制與審計，減少破壞和信息泄漏分先，降低損失。
3) 采用基于角色的訪問控制與審計機制，不僅能夠有效控制運維操作風險，還能夠有效區分不同維護人員的身份，同時能夠完整回放事故當時操作場景，定位事故真正責任人，便于事后追查原因與界定責任。
4) 實現獨立審計與三權分立，利于完善有線網絡公司IT內控機制。
京公網安備11010802024551號