一种智能视频云平台安全边界的实现方法

但是出于安全和带宽等方面的考虑，这些视频资源不能直接共享到专网，以免造成使用上的不便和产生安全性的问题。因此本方法研究将这些视频流安全流畅接入内网的技术解决办法和技术方案，指导和规范社会治安动态视频监控系统与内网的接入技术建设，不断提高应用成效，进一步完善和充实公安边界接入平台建设。

1.方案介绍

根据用户对安全的需求并根据当前网络的应用情况，设计横向边界安全交互平台解决方案，实现对智能视频云平台视频图像接入公安视频传输网。

智能视频云平台视频图像接入公安视频传输网要遵循《公共安全视频监控资源接入、共享及管理技术要求》（征求意见稿）和《公安视频图像信息系统安全要求 第 3 部分：安全交互》技术规范文件。在横向边界安全交互系统上做相应的支撑，在边界保护区实现了访问控制、入侵防御等防护功能；在应用服务区放置探针实现了整条链路边界的日志收取；在安全隔离区实现了物理隔离，保证了安全性。

智能视频云平台视频图像资源通过安全视频交换系统与公安视频传输网的视频图像服务平台做基于国标的 GB/T 28181 标准的上、下级平台级联做视频图像的调取，智能视频云平台为下级，公安视频传输网视频平台为上级，来保障智能视频云平台图像资源安全接入到公安视频传输网视频服务平台上。

从而可以保障公安视频传输网视频服务平台的用户调取或观看智能视频云平台的视频图像的安全性、合规性。

2.系统功能

2.1 底层传输

网络通信链路检测，当网络从异常状态恢复后，在一定时间周期后可自行恢复数据传输。周期检测数据链路的运行情况，以便合理分配数据链路。

链路回收：对一定周期无响应的链路进行回收。支持单播、多播和组播方式，有效解决流量瓶颈问题。

2.2 配置管理

配置管理子系统让管理员在个人工作站实现远程一体化管理，使用 HTTPS 连接方式在浏览器中单点配置。该子系统集中存储、管理系统的接入配置信息；并管理业务应用系统的数据交换方式、认证协议。配置信息采用 XML 格式的配置文件，在视频接入系统（后置，前置）启动时载入。

2.3 流量管理

基于业务种类的流量控制，针对不同业务种类可以调配相对应的流量。保障业务相关领导在处理突发事件时候能稳定的查看视频监控。可控制接入系统的总流量上限，到上限后不接受新用户的连接，可设置单一通道的流量上限。

2.4 监控管理

使用浏览器，在内网终端显示运行状态(正常、最高并发、当前并发数、整小时流量、请求总数、出错数量、成功率、响应时间)，并可通过该界面启动和停止该业务。

状态：说明该业务的运行情况，主要分为：正常、失败两种最高并发：记录该业务一天当中最高并发数量当前并发：统计当前该业务的并发数流量/小时：统计一小时的流量请求总数：统计一小时内的请求数。

出错数量：统计一小时内用户请求的失败数量。

成功率：统计一小时内的成功率。

响应时间（平均响应时间）：统计一段时间内（在系统初始化时候设置）在用户发起请求后，从外网接入平台前置服务器接收请求开始计时，到内网返回业务系统的请求，并传输到外网接入平台终止，统计响应时间。

启动：启动该服务。

停止：停止该服务。

2.5 协议接口模块

支持标准 SIP 协议,对于视频厂商实现了标准 SIP 协议的直接转发。

支持标准 TCP/UDP 数据传输。对视频厂商实现了 TCP/UDP 代理协议转发。

支持标准视频点播协议（H.264、H.263、RTSP），并可对协议进行分析和审核。

支持回放、调焦、摄像头角度移动等命令。

2.6 审计服务

管理员帐号创建、修改、删除

审计配置

审计记录入库

审计查询审计统计及报表

2.7 应用安全及终端管理

视频系统启动时，前置与后置要进行基硬件的安全认证，以确保系统是合法的。

可对用户终端基于 IP/MAC 地址进行访问控制。

可根据用户需要实施点到点的安全，使用 PKI/PMI 认证系统对视频访问终

进行安全认证,以确保是合法的授权用户。该方式需要结合公安的 PKI/PMI 系统和在各个终端进行客户端安全开发。

流媒体数据格式验证，以确保通过视频接入系统的视频是合法。

可对用户终端访问流媒体行为进行安全审计。

2.8 链路管理

根据用户等级合理调度数据链路。

周期检测数据链路的运行情况，以便合理分配数据链路。

3.安全隔离传输系统

安全隔离传输系统(GAP)采用 2+1 架构和硬件隔离技术；拥有自主知识产权的专用隔离硬件。采用安全定制的安全操作系统，采用专用通信协议进行数据摆渡。保证对所有过往的流量都剥离了通信协议，所有协议剥离和再生过程都接受安全审计，并且具有防范各种网络协议攻击的能力，能实现确保公安内网安全前提下的数据安全交换，满足信息采集要求。该产品获得公安部生产科技进步奖、国家知识产权局专利证书、军用信息安全产品认证证书、公安部科技成果鉴定证书等证书。

4.防火墙

防火墙可根据数据包的源/目标地址、协议类型、源/目标端口以及网络协议等对数据包进行访问控制,可实现基于策略的协议透明代理和深度过滤，能确保终端用户合法有效地使用各种网络资源。

利用 NAT 地址转换功能，防火墙还可保证边界接入平台应用服务区内的主机地址不被外部终端获得，以及通过基于 IP 地址、服务类型、时间段等定义的带宽分配策略，保障平台前置应用服务器的带宽使用，保护用户带宽投资。

5.安全防御系统

安全防御系统是实时的网络违规自动识别和响应系统。它运行于边界保护区内，通过实时监听网络数据流，识别，记录入侵和破坏性代码流，寻找网络违规模式和未授权的网络访问尝试。该系统安装于防火墙后，可以对攻击防火墙本身的数据流进行响应，同时可以对穿透防火墙进行攻击的数据流进行响应。

6.集控探针系统

接入平台安全监管功能设计包括以下几个部分：注册信息管理、运行监控管理和安全审计管理

注册信息管理：注册信息管理部分提供边界接入不同层次（接入终端、平台、链路、业务、使用单位等）的信息注册和管理功能。包括对接入终端信息、接入平台信息、链路信息、业务信息、使用单位信息、平台运行信息等进行注册管理，以及根据实际应用需求从不同层次配置的安全策略管理。

运行监控管理：运行监控管理部分主要根据接入平台以及业务注册过程中配置的安全策略提供安全管理功能。主要包括实时监控接入终端的安全状况、网络连接情况、系统和业务应用的运行情况；实时监控接入平台的运行状况，并实现对监测信息、报警信息、安全事件信息等数据的查询和统计，监控接入平台当前运行总体情况；用户监控，即登录状态、操作行为、访问资源等；异常监控，包括异常用户、流量、设备等信息；按时间段、应用系统、用户单位分析统计用户信息、流量信息、异常信息；及时生成网络流量信息的报表。

安全审计管理：安全审计管理部分提供针对用户、业务应用系统、设备等的安全审计功能，以及对异常事件的追踪。主要包括：用户行为审计，即用户信息、访问的资源、访问的时间等；业务应用系统审计，即应用系统信息，数据传输流量、传输时间、传输单位等；设备运行审计；异常行为审计等；按时间段、应用系统、用户单位分析统计用户行为、业务应用系统数据传输、异常行为。

级联上报设计：接入平台级联上报功能主要将本地接入平台、接入业务及使用单位等注册管理基本信息，以及运行状态和安全审计基本信息定时上报给上级接入平台，从而为上级接入平台对本地接入平台的注册管理、运行状态、安全审计等方面信息的浏览、综合查询及统计分析提供所必须的数据。