当前位置：文档之家 › 广播电视无线双向网安全体系架构研究

广播电视无线双向网安全体系架构研究

  • 格式：pdf
  • 大小：1.12 MB
  • 文档页数：3

41● NGB

综合技术实验室专栏实践应用●行业动态●广达新网专栏●运营商专栏●运维管理●

1 无线网络的安全挑战

近年来，随着业务需求的增加和

行业竞争的不断加剧，广播电视网络

也正在逐渐向无线化和融合化方向发

展。其中，广播电视无线双向网（以

下简称“双向网”）具有扁平化、IP化、

终端智能化和业务数据化四个特征，

这四个特征在某种程度上都带来了更

多的安全挑战。

1.1 网络扁平化带来的挑战

为了适应网络扁平化的演进趋势，

双向网无线资源控制功能放在双向小

塔，但双向小塔处于不安全域。双向

网的分布化，使得接入层和非接入层

分布在不同的网络实体。由于低成本、

小型化的无线基站大量部署，接入层

的地理位置分散化，各个接入层之间

及非接入层与接入层之间在地理和逻

辑上都处于分离状态，位于安全域的

核心网实体很难为接入网络提供安全

保护，这使网络面临严峻的安全挑战。由于双向小塔部署于非安全域，且地

理位置分散，一旦被攻破，攻击者可

以利用攻破的双向小塔对核心网进行

攻击，也可以利用它对其他小塔和终

端进行攻击。

1.2 网络IP化带来的挑战

网络IP化带来灵活高效传送的同

时，也带来新的安全威胁。IP化使得传

统IP网络的安全威胁在广电双向网网络

成为可能，比如黑客攻击和DoS攻击等。

1.3 终端智能化带来的挑战

移动智能终端打破了传统手机应

用的封闭性，其不仅具有与电脑相当

的强大功能和业务能力，而且能够记

录并存储大量用户的隐私数据。同时，

移动智能终端安全防护能力较弱，给

移动互联网用户的个人隐私带来了潜

在的安全风险，也对信息安全监管工

作造成极大困难。

1.4 业务数据化带来的挑战

随着业务数据化等移动业务的兴起，双向网络面临更多的威胁，如黑

客攻击、蠕虫病毒、DoS 攻击和有害

信息等更多来自外部的攻击。

2 安全威胁与需求

2.1 网络安全威胁

（1）空口威胁

用户被跟踪的威胁。攻击者可

以通过如下几个方法来跟踪到用户终

端：跟踪用户终端的临时ID、基于新

旧无线网络临时标识的映射关系、基

于切换信令消息、基于小区级测量报

告和基于数据包的序列号等。

空口用户面数据的威胁。攻击者

在空口上插入用户面数据包，或者捕

获数据包后修改再发送，从而导致用

户没能接收正常的数据包；攻击者窃

听用户面数据包，从而得到用户的隐

私信息等。

（2）双向小塔设备威胁

攻击者破坏小塔设备以获取密钥

和未加密数据。在物理上攻破小塔后，NGB综合技术实验室专栏

广播电视无线双向网安全体系架构研究

冯海亮 张翀 国家新闻出版广电总局广播科学研究院

摘要： 本文针对广播电视无线双向网的安全需求，提出了端到端的安全体系架构，从用户平面、控制平面和管理平面三个维度对网络安全进行分析并给出安全解决方法和手段。关键词：广播电视 无线双向 网络安全

42《有线电视技术》 2017年第5期 总第329期广电风向标●技术前沿●数字电视●NGB综合技术实验室专栏●广电网络●

攻击者可以绕过无线资源控制完整性保护，然后对用户终端进行无线资源控制消息的DoS攻击，或者获取用户终端的标识。攻击者可以盗取已经存在部署的小塔，然后卖出或自己再部署。攻击者还可以通过访问小塔的OAM安全上/下文，来重新配置这个小塔，或者攻击其他小塔。（3）传输网络的威胁小塔基站接口IP化后，使得接入网络的传输网络完全IP化，现有IP网络的安全威胁完全都可以出现在双向网的接入网中。无线网络的传输网络可以是自建的网络，也可以是租用第三方的网络，这样就不能保证数据的机密性和完整性。（4）网管系统的威胁网管系统的安全威胁主要包括硬件设备的安全威胁、操作系统的安全威胁和用户数据信息的安全威胁三个方面。硬件设备的安全威胁包括非法访问、病毒或误操作等；操作系统的安全威胁包括病毒、恶意代码和口令猜测等；用户数据信息的安全威胁包括数据信息完整性被破坏、篡改，数据信息的越权访问或抵赖行为等。（5）业务层面的威胁随着业务数据化等移动业务的兴起，双向网面临来自业务层面的威胁。

2.2 双向网安全需求

对于双向网系统来说，其安全需求主要体现在以下几个方面，这些方面相互关联但又具有一定的独立性，几个方面共同配合起来实现双向网系统的整体性安全。（1）用户标识符和用户设备的机密性用户标识符应确保不能从空口上窃取。同时用户的位置、用户的服务信息也应通过机密性保护确保不能从

空口上窃取。

（2）网络实体的认证

包括用户和网络设备之间的互相

认证，即用户和网络设备之间的每一

次连接都应实现认证；小塔与核心网

以及小塔与传输网络之间的互相认证。

（3）用户数据和用户信令的机密

性以及完整性

包括网络附属存储和无线资源控

制信令的机密性保护，分组数据汇聚

协议中的用户数据机密性保护以及切

换过程中上述信息的保护，接口上用

户数据、网管信息以及信令的机密性

和完整性保护，同时也包括空口层面

用户数据是否加密以及用户能够对安

全功能进行管理配置。

（4）双向小塔的安全保护

对于小塔配置和建立过程中的授

权与认证，包括接口、软件和数据更

新等过程的认证与授权，以及保存在

小塔中的密钥不能通过非授权获取。

（5）用户信息的保护

因为服务器上存储了很多重要的

用户信息，需要保证该隐私的机密性

和完整性。安全措施主要包括：安全

生成鉴权矢量，通过使用用户密钥或

密码等方式保护敏感数据的存储和加

密传输，以及在和对端通信时对信令

进行加解密。

（6）安全网关的设置

核心网域即网络安全域对外提供

的接口，需要安全网关的保护。基站

设备和网管设备等接入到核心网域都

需要经过安全网关。

（7）数据业务的安全保护

在无线网络的汇聚层，需要部署

防火墙等安全设备，组成一个完整的

业务控制和安全管理平台。3 安全体系架构设计

在该体系架构中，双向网按照数

据流的类型分成三个平面，即用户平

面、控制平面和管理平面，每个平面

按照网络的层次分为三个层：设备层、

网络层和业务层。这三个层是按照网

络模型的层次来划分的，其中设备层

对应于物理层，主要提供构成网络的

节点设备本身的安全，包括网络设备、

服务器、主机等的设备的软硬件安全

和物理安全；网络层对应于数据链路

层和网络层；业务层对应于网络层之

上各层。双向网络由多个网络域构成，

包括接入网络、传送网络、核心网、

IP多媒体子系统核心网等网络域，每

个网络域中可以从三个平面的安全、

三个层的安全的角度来实施安全保护。

3.1 安全保护方法

对于双向网，可以在不同的平面、

不同的层中，采用不同的安全方法和手

段，来应对各种的安全威胁，从而构成

了完整的网络安全保护。

（1）用户平面安全

使用加密和完整性保护的方法，

来保证用户数据在空口、接口中的安

全传输，防止用户数据被窃听和篡改。

（2）控制平面安全

使用加密和完整性保护的方法，

来保证控制信令在空口、接口中的安

全传输，防止控制信令被窃听和篡改。

（3）管理平面安全

包括用户管理、口令策略、日志

管理、数据的备份和保护、安全的管

理协议等措施。

（4）设备层安全

包括物理安全和设备完整性，比

如，小塔设备通常被安放在不安全的

环境中，通过完整性保护的方法来保

43● NGB综合技术实验室专栏实践应用●行业动态●广达新网专栏●运营商专栏●运维管理●

证小塔设备不被非法侵入和损害；操

作系统加固、防病毒系统，以及通过

ACL来防止非法的访问和操作。

（5）网络层安全

包括设备接入网络的认证、

IPSec、VPN、VLAN及安全域划分。

（6）服务层安全

通过用户认证，防止非法用户接

入和操作网络。

3.2 具体的实现方法

在该体系架构中，通过在不同的

网络层面，提供不同的技术方法来实

现不同平面之间的数据流的隔离，从

而使各个平面之间的数据流之间不会

相互干扰和影响。从逻辑上来说，用

户平面、控制平面和管理平面都是分

离的，在具体的实现中，有下列实现

方法。

（1）设备层面，在小塔设备中，

分别由不同的板卡处理不同平面的数

据流，并且各个平面外部接口的输入

输出端口也可以是分离的。

（2）在传送网域，PTN设备支持

MPLS VPN的方式将不同平面、不同用

途的数据流承载在不同的VPN隧道中，

从而保证数据流的隔离性和QoS。

（3）在接入网域，双向网小塔设

备支持VLAN，可以使用VLAN技术将不同平面的数据流进行隔离，并且

还可以将同一平面的不同用途的数据

流通过VLAN进行隔离。并且小塔支

持IPSec隧道，可以将不同平面、不

同用途的数据流承载在不同的IPSec

隧道中，从而实现分离和保护。

（4）在核心网域，通过VPN或

者VLAN的方式对不同平面的数据流

进行隔离。

3.3 安全保护手段和措施

根据上述的安全体系架构模型，

提出双向网的端到端安全体系架构，

如图1所示。

（1）在空口通过加密和完整性保

护，保证空口用户数据和控制信令的

安全。

（2）在接入传送网络中，通过

IPSec对小塔到核心网的各种数据流进

行加密和完整性保护，防止这些数据

流被非法窃听和篡改。

（3）在传送网层，使用MPLS

VPN技术，将不同的数据流承载在不

同的VPN中，使数据流的安全性和

QoS得到保证。

（4）在小塔设备上，通过设备完

整性保护，使小塔设备不被非法侵入

和篡改。

（5）在接入网和核心网边界，部署支持IPSec和防火墙功能的安全网

关，保护进入核心网的各种数据的合

法性。

（6）在核心网IP 骨干网中，通

过VPN和物理端口隔离技术，进行安

全域划分，保证每个系统的独立性。

（7）在接入边界部署防火墙等安

全防御设备，对接入进行安全保护。

（8）在网管、EPC、IMS、业务

等各个系统中，采用多种安全手段对

系统内的安全进行保护。

4 小结

根据上述对广播电视无线双向网

安全需求及安全架构的分析，总结该

体系具有以下特点。

（1）从用户平面、控制平面和管

理平面三个维度对安全进行分析并给

出安全解决方法和手段。

（2）通过VPN、VLN和物理隔离

等方式，对不同平面的流量进行隔离，

保证各个平面的流量不相互干扰和影

响。

（3）在无线接入侧，通过加密和

完整性保护的手段保证空口的信息不

被非法窃听和篡改。

（4）采取多种手段来保证部署在

不安全环境中的小塔设备本身的安全。

（5） 在接入网和核心网边界部署

安全网关来保证进入核心网的数据的

合法性和安全性。

（6）在核心网中进行安全域划分，

将不同性质和用途的网络进行隔离，

通过部署防火墙对外部网络接入进行

安全保护。

（7）提供有效可靠的网管安全管

理功能，并支持多种方式与外部安全

系统对接。CATV图1 双向网安全体系架构

合集下载

广播电视安全防范模式的体系与架构研究

广播电视安全防范模式的体系与架构研究

龙源期刊网

广播电视安全防范模式的体系与架构研究

作者：秦许峰

来源：《电子技术与软件工程》2016年第16期

摘 要

本文结合作者多年的相关工作经验对广播电视安全防范模式的体系与架构进行研究，文章从基于电视信号内容的防范研究出发，首先对统一监测标准与防范模式进行了阐述与研究，然后对安全防范模式的体系与架构进行了分析与研究，重点介绍了安全防范系统的功能与特点以及安全防范系统的架构，为广播电视的安全防范构建一个科学合理现实可用的体系架构。

【关键词】体系与架构 广播电视 安全防范模式

1 以电视信号内容为基础的防范研究

传统的广播电视检测系统是有着一定的局限性的，如物理拓扑结构方面的局限性与检测电视内容方面的局限性，因此传统的广播电视监测系统已经无法满足当前数字网络安全防范的需求。本文从电视信号内容本身的特点出发，寻求一种全物理结构防范数字电视非法网络攻击的解决方案。由于本防范方案是以数字电视信号为基础，因而首先需要对数字电视信号的优势与特点进行研究。

1.1 主要优势

经过分析，总结出以数字电视信号为基础进行安全防范主要有两个方面的优势：

1.1.1 有利于防范标准的统一

目前电视信源编码一般采用MPEG-2格式进行传输，卫星电视与有线视频网络都是如此，以信号源为基础进行安全防范技术系统的研究对于两者都是可以通用的，不需要研究多种方案。

1.1.2 可以使用统一的执行设备

数字电视信号传输中是有着多个环节的，而各个传输环节都能够将检查设备进行统一安装，以对数字电视信号进行检查，在检测过程中，基本操作都是相同，当然受攻击时会反映不同的具体被攻击位置。在这情况下对于将产品进行拓展与升级是很方便的。

1.2 防范模式的研究 龙源期刊网

广播电视有线无线卫星融合网络架构分析

广播电视有线无线卫星融合网络架构分析

广播电视有线无线卫星融合网络架构分析

随着信息时代的不断发展和进步，广播电视产业也在不断朝着融合的方向发展。融合架构是广播电视产业中比较重要的一部分，它将广播、电视、有线电视、无线电视、卫星电视网络等多个地方进行有机融合，形成一个整体。本文将对广播电视有线无线卫星融合网络架构进行分析。

一、概述

广播电视有线无线卫星融合网络架构是利用现代网络技术，将广播电视、有线电视、无线电视、卫星电视等多个传输方式有机结合起来，形成一个完整的网络结构。该网络可以实现多种媒体内容的传输，如文字、音频、图片、视频、数据等多种媒体形式，同时还可以实现多种交互方式，如语音、手写、触控、虚拟现实等，将人类和信息互联起来。

二、组成部分

1. 传输网络：广播电视有线无线卫星融合网络的传输网络是建立在网络技术上的，可以根据不同传输方式进行区分。例如，在传输广播内容时，使用的是广播电视传输技术；在传输有线电视内容时，使用的是有线电视传输技术；在传输无线电视内容时，使用的是无线电视传输技术；在传输卫星电视内容时，使用的是卫星电视传输技术。

2. 数据中心：数据中心是广播电视有线无线卫星融合网络的核心部分，是进行数据存储、处理和管理的地方。所有的媒体内容和交互数据将在数据中心进行管理和处理，通过数据中心可以实现对广播电视有线无线卫星融合网络的整体管控。

3. 终端设备：广播电视有线无线卫星融合网络的终端设备包括电视、手机、电脑、平板等。终端设备是广播电视有线无线卫星融合网络能够实现最终目的的关键，通过终端设备，用户可以实现对广播电视有线无线卫星融合网络的信息获取、交互和应用。

4. 应用服务：应用服务是广播电视有线无线卫星融合网络中的应用层，包括媒体内容、交互数据以及其他应用程序，可以提供给用户进行使用。例如，在应用服务中，用户可以使用网上购物、在线支付、在线医疗、在线阅读等多种应用程序。

广播电视传输技术的网络拓扑与架构设计

广播电视传输技术的网络拓扑与架构设计

广播电视传输技术的网络拓扑与架构设计

随着科技的不断发展，广播电视传输技术也在不断革新与进步。为了提供更高质量的影音传输服务，网络拓扑与架构设计成为广播电视行业中至关重要的议题。本文将探讨广播电视传输技术的网络拓扑与架构设计，旨在给读者提供更全面的了解和参考。

引言

在数字化时代，广播电视传输技术的网络拓扑与架构设计具有重要意义。网络拓扑是指广播电视信号传输网络中节点之间连接关系的布局，而架构设计则是指整个系统的组成和构成方式。良好的网络拓扑与架构设计可以实现高质量的广播电视传输，提高用户体验，满足用户对于高清晰度、低延迟的需求。

一、传统的网络拓扑与架构设计方式

在传统的广播电视传输技术中，常见的网络拓扑与架构设计方式主要有以下几种：

1. 集中式架构

集中式架构是最早也是最简单的广播电视传输网络架构。在此架构中，所有的信号源都连接到一个中心节点，并通过中心节点进行传输。虽然集中式架构在构建和管理上较为简单，但是信号传输存在单点故障风险，容错性较低。

2. 分布式架构 分布式架构是一种将广播电视传输网络分布在多个节点上的设计方式。在这种架构下，信号源被分散连接到多个节点，通过节点之间的互联完成信号传输。分布式架构可以提高容错性，减少系统故障带来的影响，但是在节点之间的协调与管理上需要更多的复杂性。

3. 树状架构

树状架构是一种将广播电视传输网络组织成树状结构的设计方式。在此架构中，中心节点连接多个子节点，子节点再连接到更多的终端节点。树状架构可以有效地扩展传输规模，并提供较高的传输效率，但是存在单点故障风险和较长的传输延迟。

二、现代的网络拓扑与架构设计方式

随着科技的不断进步，现代的广播电视传输技术日益完善，网络拓扑与架构设计方式也呈现出新的发展趋势。以下是一些现代的网络拓扑与架构设计方式：

1. 网状架构

网状架构是一种将广播电视传输网络构建成网状结构的设计方式。在这种架构下，各节点之间相互连接，形成一个多对多的网络拓扑结构。网状架构可以提供更高的可靠性和容错性，即使某些节点发生故障，仍能保持信号传输的连续性。

广播电视传输业的网络架构与系统集成

广播电视传输业的网络架构与系统集成

广播电视传输业的网络架构与系统集成

在当今数字化时代，广播电视传输业正迎接一次全面的升级和转型。传统的广播电视传输方式面临着诸多限制，如信号受损、频谱资源有限等问题，因此，建设先进的网络架构和实现系统集成已成为广播电视传输业发展的关键。

一、网络架构的重要性

在广播电视传输业中，网络架构起着承载和传输信号的重要功能。一个优秀的网络架构能够提高信号传输的稳定性和效率，为广播电视媒体提供高质量的视听体验。以下介绍几种常见的网络架构：

1. 卫星链路网络架构

卫星链路网络架构是广播电视传输领域最常用的一种方式之一。通过卫星链路，广播电视节目可以实现全球范围内的传送和接收，同时可以克服地理限制和传输距离的限制。该架构广泛应用于电视直播节目、卫星移动电视等领域。

2. 光纤网络架构

光纤网络架构具有传输速度快、容量大、传输距离远、抗干扰能力强等优势，因此在广播电视传输中得到广泛应用。光纤网络架构可分为点对点和点对多点两种模式。点对点模式主要用于直播节目的传输，点对多点模式适用于广播电视网络和系统的集成传输。

3. IP网络架构 伴随着互联网的发展，IP网络架构在广播电视传输业中得到越来越多的应用。IP网络架构借助互联网传输广播电视节目，可以覆盖更广泛的区域和更多用户。同时，基于IP网络的广播电视传输架构还可以实现多种媒体形态的集成传输，如音频、视频、文字等。

二、系统集成的必要性

广播电视传输业需要面对在数字化环境下的多种挑战，包括内容传输、信号处理、系统管理等方面。系统集成作为应对这些挑战的有效手段，已经成为广播电视传输业不可或缺的一部分。

1. 内容传输系统集成

广播电视传输业的核心是实现良好的内容传输，在这方面系统集成发挥了重要作用。系统集成可以将各种传输、压缩、编码和解码等技术融合在一起，实现高效、稳定的内容传输。此外，系统集成还可以将传统的模拟传输方式与数字传输方式有机结合，提高传输质量和效率。