基于网络安全等级保护2.0标准的播出信息系统设计

秋妍信息科技 2021-04-08 09:34:25 87 0

随着网络安全法的出台，等级保护工作成为了国家网络安全的基础性工作。中央广播电视总台播出系统作为国家级电视台的播出系统，自广电系统开始推行等级保护开始就被定为了四级系统。2011年，新建的高清播出系统就完全按照等保要求进行建设，并通过了之后历年的测评，2020年，随着4K播出系统的建设，又迎来了新版的网络安全等级保护标准，即等保2.0标准。

本次系统建设正处于新老等保标准交替的阶段，我们积极与新标准的起草单位专家进行交流，寻找符合要求的安全产品进行选型测试，整体设计上遵循“一个中心、三重防护”理念，从安全计算环境、安全区域边界、安全通信网络以及安全管理中心四个方面构建安全建设方案，并顺利通过了系统上线前的等保测评，对照标准要求，共对228个安全通用要求指标和49个安全扩展要求指标进行了测评。

本文将对等保标准的发展变化、信息系统设计中的关键环节及测评情况进行详细介绍，可对有类似需求的广电系统设计提供参考。

一、网络安全等级保护标准体系的发展

1. 等级保护1.0标准

等级保护1.0指的是在《GB17859—1999计算机信息系统安全保护等级划分准则》以及随后多项政策文件引导下，并最终在2008年发布的《GB/T 22239—2008信息系统安全等级保护基本要求》《GB/T 22240—2008信息系统安全等级保护定级指南》等一系列信息安全等级保护标准，我们将2008版本的一系列标准及其配套政策文件习惯称为等保1.0。该标准发布距今已经有10多年的时间，等保1.0普及了等保概念，强化了安全意识，从单个系统到部门、到行业，再上升到国家层面从合规到攻防对抗，整体提升了网络安全保障能力技术并且不断进行人才的积累，这些都对等保2.0提供了有力的支撑。

2. 等级保护2.0标准

在经历多年的试点、推广、行业标准制定、落实工作后，由于新技术、新应用、新业务形态的大量出现，尤其是大数据、物联网、云计算等的大量应用，同时安全趋势和形势的变化，等保1.0要求已无法有效应对新的安全风险和新技术应用所带来的新威胁，等保1.0被动防御为主的防御无法满足当前发展要求，因此急需建立一套主动防御体系。

从2015年开始，等级保护的安全要求逐步开始制定2.0标准，在1.0时代标准的基础上，注重主动防御，从被动防御到事前、事中、事后全流程的安全可信、动态感知和全面审计，实现了对传统信息系统、基础信息网络、云计算、大数据、物联网、移动互联网和工业控制信息系统等级保护对象的全覆盖。

新版的网络安全等级保护标准体系包括《GB/T 22239—2019信息系统安全等级保护基本要求》《GB/T 25070—2019 信息系统等级保护安全设计要求》《GB/T 28448—2019信息系统安全等级保护测评要求》，于2019年12月1日起正式实施。

3. 新标准的变化

新标准的变化主要体现在以下几个方面：

（1）标准依据的变化

从条例法规提升到法律层面，等保1.0的最高国家政策是国务院147号令，而等保2.0标准的最高国家政策是网络安全法。2017年6月1号，《中华人民共和国网络安全法》出台，从法律角度明确要求信息系统要遵照等级保护标准来建设，等级保护工作成为了国家网络安全的基础性工作，是网络安全法要求我们履行的一项安全责任，不开展等级保护等于违法。

（2）标准要求变化

等级2.0在1.0的基础上进行了优化，同时对云计算、物联网、移动互联网、工业控制、大数据新技术提出了新的安全扩展要求，构成了“安全通用要求+新型应用安全扩展要求”的要求内容。在使用新技术的信息系统需要同时满足“通用要求+扩展要求”。且针对新的安全形势提出了新的安全要求，标准覆盖度更加全面，安全防护能力有很大提升。

通用要求方面，等保2.0标准的核心是优化，删除了过时的测评项，对测评项进行合理改写，新增对新型网络攻击行为防护和个人信息保护等新要求，调整了标准结构、将安全管理中心从管理层面提升至技术层面。扩展要求扩展了云计算、物联网、移动互联网、工业控制、大数据。新版基本要求的文档框架如图1所示。

（3）安全体系变化

等保2.0相关标准采用“一个中心、三重防护”的理念，从等保1.0被动防御的安全体系向事前防御、事中响应、事后审计的动态保障体系转变。建立安全技术体系和安全管理体系，构建具备相应等级安全保护能力的网络安全综合防御体系，开展组织管理、机制建设、安全规划、通报预警、应急处置、态势感知、能力建设、监督检查、技术检测、队伍建设、教育培训和经费保障等工作。

1.0的分类是层次分类：物理安全、网络安全、主机安全、应用安全、数据安全。2.0强调纵深防御：从外到内包括通讯网络、区域边界、内部计算环境、通讯边界计算环境保护，形成纵深防御体系。

新标准体系中的“基本要求、设计要求和测评要求”分类框架统一，形成了“安全通信网络”“安全区域边界”“安全计算环境”和“安全管理中心”支持下的三重防护体系架构。此外，新标准强化了可信计算技术使用的要求，把可信验证列入各个级别并逐级提出各个环节的主要可信验证要求。

（4）测评合格要求提高

相较于等保1.0，等保2.0测评的标准发生了变化，2.0的测评结论分为：优（90分及以上）、良（80分及以上）、中（70分及以上）、差（低于70分），70分以上才算基本符合要求，基本分调高了，测评要求更加严格。

另外需要注意的是，测评中对于技术五项要求和管理五项要求，每项要求均占10分，因此系统建设过程中除进一步加强网络安全技术防护外，网络安全管理也是一项非常重要的内容，应按要求设置网络安全机构，制订各项规章制度、应急方案，并定时进行演练。

二、系统设计要点

1. 网络架构

无论是播出4K频道还是高标清频道，都是基于成熟的全文件化播出流程，对于播出网络架构的建设来说没有特别的差异性，只是带宽有所差别，因此，此次4K播出系统建设中从整体架构上就充分考虑了未来的扩展性，播出域内网络统一规划，统一架构，兼顾本次4K播出系统及未来新建高清播出系统的扩展需求。根据网络制播系统信息安全体系建设思路，对播出系统按照通信网络、区域边界、计算环境和管理中心进行安全域的划分，多种防护措施并举，构建纵深防御体系，建立可信的安全机制。

（1）播出系统通信网络

播出系统中网络设备处理能力及网络链路带宽均具备冗余空间，能够满足业务高峰期的需求，播出系统与全台网之间采用MPLS-VPN技术并通过协议层安全加密密钥实现双方认证可信，形成安全数据传输通道。播出系统内部网络通过划分VLAN和设置ACL访问控制列表来进行访问控制。

网络设备、安全设备均采用双节点冗余部署，重要的服务器等计算设备采用分布式、热备、冷备等方式保证系统可用性。

（2）播出系统区域边界

播出边界防火墙及播控区防火墙均基于业务需求启用了端口级和会话状态级别的访问控制策略，部署网闸用于对信息数据进行协议转换，部署防病毒网关进行恶意代码检测，部署入侵检测设备用于对边界流量进行入侵行为检测。部署了安全态势感知分析引擎，对信息区边界的异常流量进行APT流量分析。

将交换机无用端口划分到专用隔离VLAN中，并关闭该VLAN内的物理端口防范非法接入，部署终端管理设备用于管控非法外联行为。