广电网络信息安全方案攻略

广电网络信息安全方案攻略

北京数字太和科技有限责任公司总工梅红兵

一、概述

近期，华东某地广电遭受非法信息攻击，将非法信息通过广电前端播出系统广播出去，导致所有广电机顶盒终端都在显示不良信息，并且因为不良信息存储在机顶盒的FLASH内存中长时间不能清除，造成恶劣的影响。此次事故现露出广电网络在信息安全方面的一些漏洞，特别是没有足够重视越来越复杂越来越智能的机顶盒终端上的信息安全，急需预防非法信息攻击手段和有效的应急预案与措施。

对以上问题，我们需要一套有效的预防非法信息攻击方案和应急预案。非法信息包括非法文字、非法图片、非法视频和非法App等。

数字太和在安全技术领域具有多年丰富的技术和经验积累，自主研发了UTI 独立安全芯片、基于UTI独立安全芯片支持广电总局DCAS标准的UCAS无卡条件接收系统、支持ChinaDRM标准的DRM数字版权管理系统。UTI独立安全芯片支持多种对称密钥算法和ECC/RSA公钥算法，硬件内置CA和DRM等安全模块。近期数字太和DRM系统通过了国际权威第三方安全审计公司Merdan 的高安全级别的A级安全认证，全球拿到A级认证的不超过10家公司。

本方案参考了国内以下信息安全技术标准和规范：

GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求

GB/T 22240-2008 信息安全技术信息系统安全等级保护定级指南

GB/T 25070-2010 信息安全技术信息系统等级保护安全设计技术要求

广电总局62号令-2010，《广播电视安全播出管理规定》及各专业实施细则GD/J 038-2011 广播电视相关信息系统安全等级保护基本要求

二、广电网络信息安全要求

在三网融合政策以及数字化、网络化、智能化等技术的推动下，广电网络演

变成了一个综合信息通信网络，既是单向信息广播网络也是也是双向传输网，还可以接入互联网。广电机顶盒终端也从单向广播型向DVB+OTT双向智能化演进，各地广电还在发展融合型的家庭智能网关，以便老百姓家庭所有智能终端都能随时随地收看广电的数字直播等业务并能同时上互联网。因此，信息安全在广电网络中愈来愈复杂，也越发重要。传统安全播出技术手段已经无法应对最新的非法信息攻击。

虽然广电总局2011年发布的GD/J 038-2011《广播电视相关信息系统安全等级保护基本要求》基本上继承了GB/T 25070-2010《信息安全技术信息系统等级保护安全设计技术要求》，并根据广电网络的特点将GB/T 25070-2010的五级系统安全保护环境设计定制为广播电视的四级信息系统安全保护能力。

实际上，完整地广电网络的信息安全环境如下表所示：

表1 广电网络信息安全环境分类表

广电网络中的信息安全环境之间的关系如下图所示：

图1 广电网络信息安全环境关系图

按GD/J 038-2011《广播电视相关信息系统安全等级保护基本要求》第四级安全保护能力要求：广电网络应能够在统一安全策略下防护系统免受来自拥有丰富资源的威胁源发起的恶意攻击、较为严重的自然灾难、以及其他相当危害程度的威胁所造成的资源损害，能够发现安全漏洞和安全事件，在系统遭到损害后，能够迅速恢复所有功能。

三、广电网络非法信息攻击手段

从图1我们可以看出，针对广电网络的非法信息攻击主要是：

1)从外部网络或办公网络发起，在没有安全区域边界或者安全区域边

界能力不够的情况下，入侵广播业务前端网路或双向业务前端网络，

控制服务器等设备，并对应用系统进行攻击，使应用系统瘫痪，或

非法篡改替换各种数据、文字、图片、视频、App等，使得机顶盒

等终端不能正常使用或显示播放非法信息；

2)从单向广播网中间发起，篡改原有信息，注入非法信息，如采用非

法未透明流替换前端直播或点播播出的节目码流，替换EPG广告未

加密播出的文字、图片等，替换数据广播未加密播出的文字、图片

等，使得机顶盒等终端显示播放非法信息；

3)从双向传输网中间发起，在没有安全区域边界或者安全区域边界能

力不够的情况下，入侵双向业务前端网络，控制服务器等设备，使

应用系统瘫痪，或非法篡改替换各种数据、文字、图片、视频、App

等，使得机顶盒等终端不能正常使用或显示播放非法信息。如果双

向业务前端网络和广播业务前端网络之间没有隔离，还可以入侵广

播业务前端网络中的服务器；

4)从机顶盒等终端发起，对机顶盒软件进行非法刷机替换，下载存储

非法应用，显示播放非法信息；

5)从家庭网络发起，在没有安全区域边界或者安全区域边界能力不够

的情况下，入侵双向业务前端网络，控制服务器等设备，使应用系

统瘫痪，或非法篡改替换各种数据、文字、图片、视频、App等，

使得机顶盒等终端不能正常使用或显示播放非法信息。如果双向业

务前端网络和广播业务前端网络之间没有隔离，还可以入侵广播业

务前端网络中的服务器；

6)从家庭网络中智能终端发起，篡改广电应用的用户数据和信息，显

示播放非法信息。

四、广电网络信息安全防护措施

尽管在GD/J 038-2011《广播电视相关信息系统安全等级保护基本要求》中已经提出了非常完整的安全防护能力要求，但是为应对以上非法信息攻击手段，广电网路还是应在以下方面做好防护措施。

4.1 网络安全

图1中所有网络应遵循GD/J 038-2011《广播电视相关信息系统安全等级保护基本要求》。

单向广播网应在每个广播信道（频点）上构造一条可以从单向广播网前端到机顶盒等终端上的安全广播通信通路，信息授权或应急管理指令可以通过这条安全广播通信通路到达每台机顶盒等终端。同时这条通路上应定期广播合法性指纹，一旦机顶盒等终端在某广播信道上不能定期发现合法性指纹，应视为非法信号。

数字太和的UCAS条件接收系统和机顶盒等终端上的UTi安全芯片可以构造上述安全广播通信通路。

双向传输网应在单向广播网前端和机顶盒等终端构造点对点的安全双向通信通路，信息授权或应急管理指令可以通过这条安全广播通信通路到达每台机顶盒等终端。

数字太和的UDRM数字版权管理系统和机顶盒等终端上的UTi安全芯片可以构造上述双向通信通路。

4.2 安全区域边界

在图1中所有区域边界处按GD/J 038-2011《广播电视相关信息系统安全等级保护基本要求》部署防火墙，构造安全区域边界。对广播业务前端网络和双向业务前端网络的服务器和应用系统进行安全防护。

※机顶盒等终端安全区域边界

机顶盒或网关等终端应在广播信息和双向信息的接收侧部署安全处理模块，构造安全区域边界，阻止非法透明码流、非法数据、非法文字、非法图片等信息的进入，数字太和的UTi安全芯片自带多种安全处理可以帮助机顶盒和网关等终端构造有效的信息接收安全区域边界。

机顶盒或网关等终端应在连接家庭网络侧部署内部防火墙，防止从家庭网络