广电融媒体云数据中心安全体系设计

【摘要】云计算为融媒体的发展提供了极佳的基础平台，但是云计算特有的一些安全挑战加上传统信息系统面临的安全课题给融媒体云平台的运行带来了很大的安全隐患。为了化解这些安全问题，必须结合融媒体云的特点对其进行风险分析，建立一个全面的安全保障体系，在此基础上对网络、虚拟化、数据传输和存储、应用的安全防护进行重点部署，构建一个安全可靠、高效的融媒体云数据中心。

【关键词】融媒体;云计算;云安全;虚拟化;七彩云

【作者简介】王磊，学士，云南广播电视台电视传输部，工程师，研究方向为计算机网络与电视信号传输。

中图分类号：TN92                 文献标识码：A               文章编号：1673-0348（2020）018-078-03

Abstract： Cloud computing provides an excellent basic platform for the development of financial media， but some security challenges unique to cloud computing and security issues faced by traditional information systems have brought great security risks to the operation of financial media cloud platform. In order to solve these security problems， it is necessary to analyze the risks of the media cloud according to its characteristics， and establish a comprehensive security system. On this basis， the security protection of the network， virtualization， data transmission， storage and application should be focused on， and a safe， reliable and efficient data center of the media cloud should be built.

Keywords melt media; Cloud computing; Cloud security; Virtualization; Colorful clouds

1. 云风险来源

云计算的安全威胁来源可以分为两部分，一部分是传统信息系统原有的安全问题，另外一部分就是由虚拟化、资源共享等云计算技术自身带来的安全隐患。云计算建立在IPS-3层架构模式之上，底层的安全隐患不解决必然传导到高层。由于省级广电融媒体云一方面以SaaS方式对外提供服务，其上运行着大量本行业和非本行业的应用软件，另一方面又以IaaS或PaaS的方式作为县级融媒体的基础平台，因此省级广电融媒体云必须做好IPS三层的安全防护。

传统安全因素主要是來自于病毒、木马、DDoS、网络监听、物理安全等造成的威胁，由于虚拟化等新技术的大量应用，在云平台中风险更加容易扩散，影响范围和危害程度会更大。因为虚拟化软件自身的缺陷和漏洞，Hypervisor可能会受到攻击，导致访问权限被非法获取，威胁到虚拟机和宿主机的安全;网络横向流量不经过外部安全检测设备，难以对其进行监管;在云数据存储和传输方面，存储位置不确定、数据难以有效隔离、数据残留、数据丢失等都会威胁到云的安全;虚拟应用之间的隔离不充分，会导致数据的机密性和完整性受到破坏。云风险的来源是多方面的，只有认真做好风险分析识别出各类风险，重点关注主要风险，才能为后续的安全部署提供可靠的指导。

2. 云安全体系

对云计算系统进行安全防护体系规划时依然要遵循计算机与网络安全的纵深防御原则和“木桶原则”，构建一个完整的、立体的、层次化的云安全技术体系，实现全方位的防护，杜绝出现安全短板，同时要兼顾安全与效率的平衡。尽管云安全有其特殊的一面，但传统的安全技术在云计算安全体系中仍然处于主导地位，“分区规划，分层部署”仍然是重要的安全部署原则。安全接入是云计算系统的第一道安全防护，可以应用VPN网关、防火（毒）墙等部署云边界防护措施，尽量把安全威胁挡在云平台之外;资源共享和虚拟化是云计算最重要的特征，必须实现不同用户之间的数据和应用程序运行环境的可靠隔离;应用服务应该重点考虑用户数据安全、内容安全和应用软件自身的安全保护，确保用户在使用云应用软件的过程中的所有数据在云环境中传输和存储的安全，防止非授权使用、非法内容传播，建立严密的身份认证机制，实现资源访问的最小权限化策略。

3. 云安全部署

为了搭建可靠的云计算环境，除了要做好传统信息系统的安全防护外，还要针对云计算所特有的一些新技术如虚拟化、资源共享等采取特殊的保护措施，实现多种安全技术手段的动态联动（如图1所示）。物理安全是所有信息系统的安全基石，云平台和传统信息系统在物理安全层面采取的措施基本上是一致的。在云平台中由于虚拟化和共享技术的大量应用，网络安全、数据安全和应用安全的内涵发生了很大的变化，在部署安全措施的时候需要重点关注网络、虚拟主机、数据和应用的安全防护。

3.1 网络安全

云数据中心网络最好采用大二层扁平化的网络结构，并且划分为核心交换区、云存储区、运维区、服务器区、安全防护区、用户接入等区域，采用虚拟化技术将网络结构尽量简化，形成接入层到核心层的点对点连接，避免出现环路。高端防火墙应部署在核心交换机和核心路由器之间，对私有云与外部世界的违规流量进行封堵;IDS、网络安全审计等设备可以和核心交换机旁路连接，实时监控网络，对违规流量实现中断、隔离，并对网络安全事件记录保存;充分利用VLAN/Vxlan技术，最大限度降低“广播风暴”的发生，保证管理流量与云租户业务流量分离;加强对网络流量特别是横向流量的监控，可以利用EVB+VEPA技术将虚拟机的内部流量引入到外部交换机上，在外部交换机转发这些流量之前，通过镜像或重定向技术将流量引入到安全设备进行检测、安全策略配置或访问控制策略配置。

3.2 虚拟主机安全

云平台中要重点关注虚拟机的安全防护，可以从以下几方面来部署安全措施：首先应选用安全性高、隔离性好的Hypervisor，避免虚拟化层软件被恶意破坏，导致虚拟机甚至宿主机被攻击;对宿主机和虚拟机加强对病毒的防范，应用“无代理杀毒”软件对虚拟机进行保护;部署适应虚拟化环境的恶意代码检测系统，及时发现木马并对其隔离查杀，防止感染其他虚拟机;应用主机入侵防御系统，防止密码暴力破解、检测账户异地登录、Web脚本后门侵入等安全威胁。其次要确保虚拟机只能使用分配给自己的硬件资源，不允许自主抢占系统资源;出现故障的虚拟资源要及时将其屏蔽，避免将其分配给虚拟机，导致虚拟机运行不正常。另外要谨慎使用自动快照功能，防止快照中存在病毒或木马，导致数据泄露;虚拟化平台自身应提供镜像安全基线管理、完整性检验、镜像版本管理等功能，实现镜像、快照的加密、压缩等保护。

3.3 数据安全

云数据安全包括机密性、完整性、可用性和不可抵赖性，可以应用数据加密、隔离、数字签名和数据复制等技术来实现。云中数据的所有权与管理权分离，确保云数据的安全是构建云安全体系最重要的一项内容。首先在数据生成阶段由云用户做好数据分级，并添加到数据的属性信息中，在此基础上利用DAC和RBAC两种访问控制技术实现对多用户的不同级别的信息进行有效的隔离和完整性保护;对于密级较高的数据，可以先加密再分散存储到云端，利用密文云存储技术实现密文存储和检索;综合利用多副本技术、数据复制技术和灾难备份技术来提高云数据的可用性。利用IP SAN技术建立至少达到数据容灾第2级别的“两地三中心”备份系统，并且异地备份中心必须相距300km以上，而且不能在同一地震带、同地电网、同一江河流域。对于决定废弃的数据，要执行差异化处理，对敏感度较高的数据要进行彻底销毁，对不敏感的公共数据或敏感度较低的数据进行清除。加强对移动存储介质如U盘、光盘的管理，禁止在云内部设备上违规使用此类设备。可以通过例如VMware的vMotion多步传输的机制保证虚拟机迁移过程中瞬时状态同步，通过MD5完整性校验保护完整性，当完整性受到破坏时支持快照恢复。对磁盘阵列划分LUN，给各个业务系统分配独立的存储空间，便于数据安全隔离。

3.4 应用安全

云计算应用主要通过Web浏览器实现，因此保障Web安全成为确保云应用安全最重要的工作。避免发生Dos/DDos攻击，正确安装和配置SSL，防止数据通过不可信的互联网时发生数据窃取和篡改是这一层的主要职责。Web应用防火墙WAF不同于普通的网络防火墙，它工作在应用层，对应用层的数据流可以起到监视和隔离的作用，对保护应用的安全起着至关重要的作用。为了降低用户接入风险和用户行为威胁，需要将用户帐号account、认证authentication、授权authorization和安全审计audit进行整合，形成统一的4A安全管理平台（如图2所示），即便于新的应用集成，又可以实现单点登录。应部署应用性能监测软件，及时发现异常网络连接、进程死锁、内存泄漏或溢出等故障。需要将应用开发平台和生产平台隔离，并采取不同等级的安全等保措施。

4. “七彩云”安全

“七彩云”是云南广播电视台重要的融媒体云设施，由私有云、专属云和公有云3朵云组成的混合云构成。为了确保云的安全运行，构建了统一的云安全管理平台，应用多种安全措施以应对各类安全风险。私有云部分严格按照国家《信息安全等级保护管理办法》第三级相关要求规划建设，专属云和公有云基础设施和安全方案由华为云提供。系统采用多租户模式架构，为各县级融媒体和其他入驻机构划分vPC，在保证资源使用效率的同时实现了租户之间的数据和应用安全隔離。根据应用的安全等级要求采取分区域部署策略，安全要求最高的媒资、总编、办公、新闻、电视制播等传统系统部署在私有云，内容云、网台、APP等新媒体的生产与发布部署在专属云，公有云上部署UGC、互联网直播、两微等安全等级最低的应用。规范系统接口统一采用适应云计算环境的RESTful风格接口，应用上线前必须经过严格的测试，防止引入安全漏洞。充分利用4A安全管理机制提高混合云平台的安全性，实现了单点登录功能，新应用可以很容易的接入到现有的安全管理体系中。充分利用专属云安全隔离、稳定可靠、灵活可控、成本低等特点，建立私有云的远程异地应用级备份中心，大大提高了数据存储和应用的安全性。在华为云安全解决方案的基础上，构建了以WAF、IPS和DDoS/DoS清洗为主要措施的三层保护网，有效的化解了相关安全风险。

5. 结束语

安全对于广电融媒体云至关重要，除了采取技术上的防护措施外，还必须建立一套科学合理的管理制度并严格执行，只有这样才能搭建一个安全高效的媒体云运行环境。信息系统安全建设没有完成时只有进行时，在今后的系统升级过程中，将继续完善“七彩云”安全防护措施，为我台云基础设施编织起一张坚实的安全防护网。

参考文献：

[1] 梁晓斌 . 融合环境下的媒资系统建设[J].广播与电视技术，2019，46（9）：52-56.

[2] 陈驰，于晶 .云计算安全体系[M]. 北京：科学出版社，2014.

[3] 毛祥威，金晶.“七彩云”构建县级融媒体中心省级技术平台[J].现代电视技术，2019，（8）：108—110.