电视生产网安全方案v2.0资料.docx

电视生产网网络安全技术方案集团电视生产网作为国内第一个全台网，第一个实现了电视生产系统的IT化。但由于网络建设时期较早，基于当时的业务，网络安全问题并不突出，虽然在生产网后续的建设时期，根据相关业务做了一些安全防护，但是总体缺乏安全防护体系。随着业务壮大和新媒体的发展，以及信息安全形势的复杂化，集团电视生产网的网络安全体系已经不能适应目前的制、播安全和业务发展。为了保障安全播出，促进电视生产业务和新媒体的发展，需对集团电视生产的网络安全体系进行全面的规划。网络现状图一集团电视生产网安全现状图如图一所示，目前电视生产网以主干平台为核心，连接各个生产子系统、媒资系统和外部网络。电视生产网连接的外部网络主要是集团办公网和旗下企业中国时刻网络，边界防护为一台Juniper防火墙、一台天融信防火墙，和一台伟思网闸，设备比较老旧，防护性能较弱。电视生产网外联业务如表1所示：业务类型外联区域防护设备5-2 B/S文稿办公网天融信防火墙5-2 C/S文稿办公网天融信防火墙生产网旧远程文稿办公网天融信防火墙生产网收录约传办公网天融信防火墙新B/S远程文稿办公网天融信防火墙传统资料管理办公网天融信防火墙生产网组件服务办公网天融信防火墙高清新闻文稿办公网JUNIPER 防火墙节目成品推送到S1979S1979伟思网闸新闻资源共享平台至1979S1979伟思网闸UGC模块接入生产网S1979伟思网闸表1 电视生产网外联业务内部网络方面，电视生产网主干平台和内部各子系统之间没有部署安全防护和病毒查杀、防护设施。外来文件使用移动介质通过杀毒工作站后上传到生产系统，由于杀毒工作站使用免费杀毒软件，同时由于个别记者、编辑贪图方便，不通过查毒直接上传文件，因此不能有效的阻止病毒感染。目前生产网各系统已经有病毒存在，对安全播出存在很大的安全隐患。互联网出口方面，目前电视生产网没有互联网出口。和互联网相关的业务必须通过办公网络实施，如目前移动非编制作的节目、素材，需通过互联网传到办公网，再由人工导入到电视生产网。同时由于没有互联网出口和相关防护，一些互联网相关业务无法开展，如两会期间的“热词有哪些信誉好的足球投注网站功能”。随着新业务和新媒体的发展，电视生产网和互联网的连接将不可避免。虽然目前生产网外联具备一定的安全性，但由于历史遗留问题，没有全网的安全体系部署，存在较大的安全隐患，不利于制、播安全和新业务的扩展。主要体现在如下四方面：外网安全防护能力弱。目前电视生产网和外部网络之间的防火墙和网闸比较老旧，缺乏入侵防御和病毒防护设施，没有设置DMZ区，存在较大的安全隐患。同时，随着新业务和新媒体的发展，和Internet的连接已经不可避免，目前的防护体系不利用Internet的接入和新业务的扩展。内网缺乏安全防护。目前内网各子系统和主干平台之间、终端和服务器、播出系统和生产系统之间没有安全防护设施。当前特别突出的是病毒防护问题，目前外来文件入口病毒防护能力较差，网内已经存在病毒，对生产安全存在较大的隐患。没有部署互联网出口及其防护。通过办公网络实现互联网业务，看似比较安全，实不然。原因是电视生产网安全级别高于办公网络，办公网络的互联网出口防护要同时兼顾电视生产网的安全比较困难。同时由于没有部署互联网出口和互联网防护，无法有效地部署互联网、移动互联网相关的业务，制约着新业务和新媒体的发展。缺乏统一的安全规划。由于前期业务的局限性，电视生产网络是独立封闭的网络，安全性相对较高，因此没有考虑安全方面的规划。随着业务的发展，和外部的交互不可避免，安全方面的规划问题越加凸显。安全方案总体原则电视生产网的安全级别高于办公网络。由于安全级别和业务的不同，电视生产网和办公网的安全规划应有所兼顾，有所独立。同时，电视生产网应该设置互联网出口和部署单独的互联网防护区，以便开展互联网、移动互联网相关业务。立足当前，考虑未来。安全方案在不但要解决目前电视生产网的安全问题，同时在设立互联网防护区、DMZ区和内部防护区时应考虑未来新业务的部署和大新闻中心的接入。支持下一代网络。IPv4地址已经耗尽，电信运营商已经在进行IPv6的试商用，IPv6时代即将来临，因此安全设备选型应该考虑对IPv6的支持。同时，移动互联网已经来临，下一代移动通信技术LTE也已经在试商用，因此安全方案应该考虑移动生产业务的支持。技术方案电视生产网的安全技术方案如图二所示，电视生产网和办公网络共享互联网出口，但基于安全级别的不同，电视生产网和办公网络的安全防护规划独立。电视生产网的安全防护包括互联网防护区、DMZ区、内部防护区，内网安全防护四大部分，这四部分的方案均考虑未来大新闻中心的接入。其中大新闻中心的内网防护本方案只涉及框架性的方案，详细方案由大新闻中心规划设计时设计。互联网出口为了开展互联网、移动互联网相关业务（如当前比较紧迫的CU