如何构建“立体化”的视频监控网络安全防护体系？

REC

在物联网、大数据等技术应用的推动下，视频监控网络已渗透到生活的方方面面，在家庭安防、交通监控、智慧城市建设等领域发挥着不可替代的作用。尤其是在全国范围内推行的“科技强警建设工程”、“3111 工程”、“平安城市”、“天网工程”等重大安防项目，视频监控网络建设是核心的“驱动力”之一。

但是，视频监控网络覆盖面的急剧扩大，网络安全问题也日趋严重，针对摄像头等视频监控网络的恶意程序频繁出现。2015年初，国内政府机关和公共行业广泛使用的某型号监控设备被曝存在高危漏洞，并已被利用植入恶意代码，导致部分设备被远程控制并可对外发动网络攻击；2017年，物联网恶意软件Mirai利用接入互联网的视频监控设备实施大规模DDoS攻击，其感染的僵尸网络迅速扩大，数百万的视频监控终端被感染成为“肉鸡”……

针对视频监控网络存在的问题，安恒信息从前端安全、边界安全、网络安全、数据安全和管理安全入手，采用自适应的安全防护系统架构，结合安全体系中的“事前检测、事中防护、事后追溯”的防护理念，以视频监控网络安全态势感知平台为核心，构建立体化的视频监控网络安全防护体系。

视频监控网络风险分析

视频监控网络与传统网络不同，整体架构更为复杂，大量终端部署在室外等非隔离网络环境中，存在终端资产数量特别多、网络边界不清晰、网络关系复杂、部署环境多样化等特点，这也导致了视频监控网络内外网，都面临着多样化的安全风险。主要包含以下几个方面：

1、资产状态无法实时感知

视频监控设备通常数量非常庞大、部署位置分散，可能会出现断网、设备故障、状态异常等情况，因此，需要对物联网设备状态进行实时的监控，及时发现异常设备并预警。

2、前端设备弱口令或无口令

视频监控设备往往管理难度极大，极易存在弱口令，甚至不设置密码等问题，一旦被黑客利用后果严重。因此，需要及时发现监控系统存在的弱口令问题，并采取更复杂的的鉴权或口令强化。

3、前端设备系统漏洞被利用

视频监控设备通常都已经智能化，大多都有自己的操作系统，以Linux为主，而系统自身可能会存在系统漏洞，比如溢出、越权等。因此，需要实时监测未修复漏洞，并进行及时修复，否则极易被不法分子利用而入侵设备。

4、前端非法接入敏感信息易泄露

视频监控设备类型多样、地理位置分布广，一旦前端有非法接入，即可连接到系统网络内部，内部敏感信息极容易被泄露；同时，不法分子还能对系统网络内部其他联网设备进行攻击，可能会产生极为严重的影响。因此，需要对这些设备进行及时监控，发现其中非法接入的物联网设备类型并告知监管人员及时作出处理。

5、身份伪造被恶意利用

视频监控设备可能分布位置非常分散，容易被恶意攻击利用，遭到替换设备并伪造身份，被利用作为攻击源，甚至会通过伪造的设备入侵到内网，对其他相关设备进行攻击，进而对整体物联网造成安全威胁。

6、恶意代码入侵传播

视频传输专网与其他专网、互联网网络边界互联缺乏规范的技术防护。在内部网络，前端设备基本处于零防护的状态，仅有系统用户密码认证等简单的安全措施。面对越来越复杂的APT攻击、黑客入侵、内部非法人员的渗透，网络极易被攻破，内部网络中的服务器、终端和视频设备一旦被入侵，可能造成视频监控设备被感染、内部大规模传播、网络不可用等安全风险。

搭建视频监控网络安全架构

根据视频监控网络的系统现状与特点，需要有重点的合理划分安全区域、确定安全边界，进行分区分域防护。依据国家信息安全等级保护制度和信息保障技术框架，针对视频监控网络各区域脆弱点与风险，结合前端、边界、网络和管理多个层次安全综合考虑，构建一套以视频监控网络安全态势感知为核心的立体化网络安全防护体系。

图：视频监控网络总体安全架构

1

前端安全

主要包括前端接入的摄像机及其他设备。应建立前端安全防护机制，实现对前端接入资源的有效识别和安全管理。通过对前端智能设备，如智能摄像头等前端资产安全状态监测，快速对视频监控前端设备进行安全检查，扫描资产，形成资产指纹库，发现弱口令、漏洞、非法接入等安全问题，提供安全加固技术手段，实现对前端的安全防护、数据加密和安全管控。

2

边界安全

视频监控网络边界主要包含视频监控网络与社会资源网，及其他专网等区域之间的通信边界。边界安全建设必须实现网络隔离，并实现访问权限控制；针对前端摄像头接入视频专网，进行严密准入管控，确保仅有授权的、合法的视频终端接入网络。通过识别传输数据的应用层协议特征与动态端口号，只允许授权的数据流及控制信令进入视频监控系统，禁止其他非法数据接入。

3

网络安全

视频监控网络安全须针对网络中的威胁进行实时检测、准确监测网络异常流量，能够对流量中夹杂的DDoS攻击实现有效防御；具有网络攻击防护、入侵防护、病毒防护等安全防护措施，实现对各类攻击有效识别和阻断；对链路中的相关设备运行状况、网络流量、用户行为等进行审计和管控。

4

数据安全

针对视频数据传输安全需要结合数据签名和链路加密等多方面的技术，针对接入前端进行设备和用户身份认证，在视频数据源进行签名和结果进行完整性校验，结合传输和存储加密机制，基于统一的秘钥更新与分发体系，从多个方面确保数据安全。

5

管理安全

视频监控网络管理安全包含漏洞管理、资产管理、应用防护、日志审计、秘钥管理和运维管理等几个方面，达到视频监控网络各种类型资产监管及风险预警的效果，可对本前端资产状态、网络状态及安全状态进行统一监测，可发现异常接入、异常链路、非法入侵等并进行实时告警及溯源，与各区域安全设备及平台进行数据对接，实现整体视频监控网络的安全态势感知。

6

架构与服务

实现立体化的视频监控网络安全防护体系，需要基于视频监控网络的特点构建自适应的安全防护架构，从检测、响应、防护和预测几个维度实现安全闭环。当检测到某个区域/节点出现安全事件时，能够自动响应并对事件进行处置，同时将处置策略同步到整体平台，基于对视频监控网络的持续评估，在风险被利用之前能够进行预测并采取防护措施，再结合人工安全响应服务，建立周期性的自适应安全防护体系。

方案特点

1、端到端的数据安全加密

采用端到端的数据安全加密技术，内置高强度标准加密算法，利用密文密钥分离机制确保数据全过程加密，从而实现全过程数据安全加密防护，提供数据从客户端、传输、存储和应用加密服务，保障音视频数据传输安全。

2、联网资产安全监测

物联网安全监测引擎通过高速对视频监控设备安全监测和状态监测，及时识别资产指纹、漏洞、非法接入、异常伪造等问题，并上报视频监控网络安全态势感知与管控中心。

3、机器学习驱动的安全分析

针对海量的多维原始行为数据，建立机器学习算法模型，基于多维数据样本训练进行分类聚类，快速识别异常行为。

4、事前、事中、事后的一体化防护

针对视频监控网络安全事件的事前、事中、事后三个生命周期过程，不同的阶段我们可以有针对性地采用安全措施，三个生命周期的安全任务即事前预防为主，事中有效防护，事后追溯审计。

5、统一安全管理与态势评估

通过部署视频监控网络安全态势感知与管控中心，实现整网资产安全状态可视化，威胁情报实时通报预警，网络安全态势实时可查、整网安全态势可评估。

在法制日报举办的2019全国政法智能化建设创新案例征集活动，安恒视频监控物联网态势感知平台入选“雪亮工程十大创新产品”。目前该解决方案已经成功应用在北京、浙江、江苏、安徽、山东等多个省市，有效解决了用户在视频网建设中摄像头终端及数据面临的安全防护难题。