广播电视网络攻击应急处置预案

广播电视网络攻击应急处置预案1适用范围与响应目标广播电视网络是国家关键信息基础设施（CII）的核心组成部分，网络攻击造成的信号中断、内容篡改、数据泄露事件，其传播速度、影响范围、社会危害远高于一般互联网系统，因此预案的响应边界、处置优先级必须首先明确，杜绝响应过程中的职责错位、优先级颠倒。本预案适用于辖区内所有广播电视相关系统的网络攻击应急处置，覆盖范围包括：国干/省干/市干OTN传输网、HFC同轴接入网、FTTH广电宽带网、广电5G核心网、播出前端系统（编码器、复用器、加扰器、CAS条件接收系统、EPG电子节目指南系统、播控服务器）、IPTV/OTT集成播控平台、BOSS用户管理系统、融媒体指挥调度平台、对外服务门户、内部办公网络，所有面向公众提供广播电视服务的生产系统均纳入预案管控范围。预案执行严格遵循《中华人民共和国网络安全法》《中华人民共和国数据安全法》《广播电视安全播出管理规定》（广电总局62号令）、GD/J038-2013《广播电视相关信息系统安全等级保护基本要求》的相关要求，以量化指标明确响应目标：一是内容安全底线，非法政治、邪教、低俗内容的播出时长必须控制在2秒以内，坚决杜绝大面积非法内容传播事件；二是业务恢复时效，Ⅲ级事件30分钟内恢复受影响业务，Ⅱ级事件30分钟内恢复核心频道播出，Ⅰ级事件5分钟内完成非法信号切断、2小时内恢复核心播出业务；三是处置优先级刚性执行：第一优先级阻断非法内容传播，第二优先级恢复中央、省、市三级核心广播电视节目（中央一套、新闻频道、省卫视一套、市综合频道）信号传输，第三优先级恢复互动点播、广电宽带等增值业务，第四优先级恢复内部办公系统，严禁出现“先修办公网、后保播出”的优先级颠倒行为。2应急组织架构与权责划分网络攻击应急处置的核心矛盾不是技术能力不足，而是跨部门权责不清导致的决策延迟，因此组织架构必须按照RACI矩阵明确每个环节的唯一决策人，杜绝“集体负责等于无人负责”的情况。应急指挥部为最高决策机构，指挥长由单位主要负责人（台长/总经理）担任，副指挥长由分管技术的副总经理、安全播出总工程师担任，成员为技术运维部、播控中心、客服中心、综合部、法务部、后勤保障部负责人。指挥部职责为：审定响应级别、决策重大处置动作（如核心信号切换、全网断网隔离、对外信息发布）、向上级主管部门上报事件情况，其中Ⅰ级事件必须由指挥长到场决策，若指挥长不在岗，由现场职务最高的值班领导代行决策权，事后补签审批流程，严禁因等待审批错过最佳处置窗口。指挥部下设5个专业处置组，各组权责、到岗时限、产出要求明确如下：技术处置组：由运维部主任牵头，成员包括传输网运维、播控系统运维、网络安全岗、广电5G核心网运维工程师，要求7*24小时值班，每班至少配备2名持有CISP（注册信息安全专业人员）证书的网安工程师，接警后驻场人员10分钟内到达机房、远程人员5分钟内接入运维平台，负责攻击检测、流量清洗、隔离封堵、系统恢复、溯源分析，处置过程中每15分钟向指挥部汇报一次进展。内容审核组：由播控中心主任牵头，成员为各班组值机员、内容审核岗，负责全频道画面、EPG内容、点播资源的实时监看，发现异常第一时间触发信号切换；日常值守每30秒轮巡一次核心频道，重大保障期（全国两会、重大节庆、重要会议）每10秒轮巡一次核心频道，监看大屏设置敏感内容声音报警，确保异常内容1秒内被发现。外联上报组：由综合部主任牵头，配备网信、公安、广电局、基础电信运营商的固定对接人，负责按规定时限完成事件上报、对接网安部门开展溯源、协调运营商开展近源流量封堵、拟定对外统一答复口径；Ⅰ级事件发生后15分钟内完成初报，后续每30分钟续报一次进展，严禁迟报、瞒报、漏报。用户服务组：由客服中心主任牵头，组织所有坐席人员开展用户咨询答复、受影响用户统计、恢复后回访工作；故障发生后5分钟内将统一答复口径下发到所有坐席，答复优先使用“系统临时升级维护，部分区域业务暂时受影响，我们正在紧急恢复”的表述，用户追问时可告知“技术问题正在排查，恢复后第一时间通知”，严禁主动提及“黑客攻击”“网络入侵”等敏感表述，避免引发公众恐慌。后勤保障组：由行政部主任牵头，负责应急期间供电、通信、物资保障，确保机房UPS满载续航不低于4小时，柴油发电机储备燃油满足8小时以上连续运行需求，每月开展一次发电机试机、应急物资盘点，保障应急状态下设备、耗材随时可用。各核心环节的RACI权责矩阵如下：任务事项责任主体（R）批准主体（A）咨询主体（C）告知主体（I）Ⅰ级响应启动指挥部联络员指挥长技术处置组全体部门、上级主管部门核心信号源一键切换内容审核组值机员播控中心值班主任技术处置组指挥部、客服中心攻击流量封堵清洗技术处置组网安岗运维部主任基础电信运营商指挥部对外信息发布外联宣传岗指挥长法务部客服中心、公众用户业务恢复上线验证技术处置组测试岗总工程师内容审核组客服中心、指挥部3网络攻击风险分级与演化路径网络攻击的处置窗口极短，必须在攻击从侦察阶段到造成实质影响的演化链路上设置分级触发阈值，不能等用户大面积投诉、非法内容播出后才启动响应。结合广电网络近年发生的攻击事件特征，典型攻击演化路径分为三类：一是内容篡改类攻击，攻击者通过社工钓鱼、边界防火墙0day漏洞、未授权API接口获取内网权限→横向移动到播控服务器/CAS/EPG系统→植入篡改脚本或非法视频源→触发全网非法内容插播；二是流量拥塞类攻击，攻击者利用弱口令漏洞批量控制存量机顶盒、光猫组建僵尸网络→针对核心路由、IPTV播控平台发起T级DDoS攻击→核心链路带宽拥塞→大面积用户直播卡顿、点播无响应；三是数据破坏类攻击，攻击者通过U盘摆渡、钓鱼邮件入侵内网→横向移动到BOSS系统、播控存储服务器→投放勒索病毒加密文件→业务系统瘫痪、用户数据泄露。按照影响范围、危害程度将网络攻击事件分为三级，明确每级的判定标准、启动权限、处置原则，同时设置动态升级机制：若低级别事件处置超过30分钟无进展，现场值班人员可直接升级响应级别，事后补报审批。Ⅲ级（一般事件）：判定标准为满足任一条件：单个接入网片区（覆盖用户<1万户）出现DDoS攻击导致的业务卡顿，攻击流量<10Gbps，未影响核心频道播出；对外服务门户被篡改但未涉及敏感内容，10分钟内可恢复；办公内网遭遇勒索病毒但未扩散到播出域，感染终端<5台；<1000台用户机顶盒被植入恶意程序弹出广告，未涉及非法内容。启动权限为运维部主任批准，处置原则为边处置边上报，不触发核心播出系统断网操作，优先清洗攻击流量、隔离受感染终端，2小时内完成处置，处置结束后24小时内提交事件报告至指挥部。Ⅱ级（较大事件）：判定标准为满足任一条件：覆盖1万-10万户的区域出现传输中断或信号卡顿，攻击流量10-100Gbps，导致省级卫视、地面频道信号中断，但中央级核心频道未受影响；EPG系统被篡改出现不良信息，或互动点播栏目出现非授权内容，未涉及反动、邪教等严重敏感内容；BOSS系统被入侵导致<10万条用户数据泄露；广电5G核心网信令面遭遇攻击导致单地市5G广播电视服务中断。启动权限为总工程师批准，处置原则为先隔离再排查，立即断开受影响系统与核心播出域的网络连接，启动备用系统接管业务，30分钟内恢复核心频道播出，事件发生后30分钟内上报省广电局、省网信办。Ⅰ级（特别重大事件）：判定标准为满足任一条件：任何量级的非法政治、邪教、低俗内容通过直播、EPG、点播渠道向公众播出，无论持续时间、覆盖用户规模；覆盖>10万户的区域出现核心频道信号中断，中断时长>5分钟；CAS条件接收系统被攻破，出现大面积解扰、非法节目解密传播；攻击流量>100Gbps导致省干核心节点瘫痪；全平台BOSS系统被加密勒索，用户数据泄露量>100万条。启动权限为指挥长（或现场最高值班领导）批准，处置原则为先阻断再溯源，第一时间启动一键关停机制切断被入侵系统的输出链路，切换至卫星备份信源播出，绝对优先阻断非法内容传播，事件发生后15分钟内初报国家广电总局、省公安厅网安总队。所有级别响应必须严格遵守底线要求：严禁为了“减少用户投诉、不中断业务”延迟切断被篡改的信号源——非法内容播出每多1秒，造成的政治影响远大于短暂黑屏或停播的服务影响；若因延迟切源导致非法内容播出时长超过2秒，相关值班人员、分管领导需按规定承担纪律责任，涉嫌违法的移交司法机关。切源后的替代方案为立即切入预先调试好的卫星备用信号或公益宣传片，短暂黑屏为允许的操作结果，不属于安全播出事故。4分场景应急处置操作规程不同类型的网络攻击处置逻辑完全不同，照搬通用网络安全处置流程往往会扩大故障范围，因此必须针对广电网络最高发的五类攻击场景制定可直接执行的分步操作流程，明确每一步的动作机理、错误后果、回退方案。4.1内容篡改/非法插播类攻击此类攻击为最高优先级风险，核心防护逻辑是减少软件依赖、增加硬切冗余——软件系统存在被攻击者篡改控制的可能，只有物理硬连接的切换装置才能作为最后一道防线。操作步骤严格按以下顺序执行：信号切断：内容审核岗值机员通过多画面监看系统发现任一频道出现非授权内容时，必须在1秒内按下操作台上的“一键切源”物理按钮，该按钮通过硬接线直接切换至中星6B卫星备份信源，信号切换路径不经过任何服务器、交换机等可编程设备，从物理层面避免被攻击者绕过。严禁先打电话请示、先截图留证、先排查原因再切源，此类操作会导致非法内容覆盖数十万用户，触发重大安全播出事故。网络隔离：切源完成后，值机员立即通过专线电话通知技术处置组，网安工程师3分钟内通过网闸断开播出域与办公域、互联网的所有连接，核查核心交换机ACL规则，封禁所有非授权IP对播控服务器的访问权限，检查CAS系统加扰状态，确保非法信号无法进入传输链路。播出域与其他网络必须采用网闸实现物理隔离，严禁用防火墙逻辑隔离代替网闸——防火墙基于TCP/IP协议转发数据包，存在规则被绕过的风险，而网闸通过私有协议摆渡数据，不存在网络层连通路径，可彻底阻断横向移动通道。系统排查：技术处置组逐台核查编码器、复用器、播控服务器的进程、操作日志，排查webshell、异常登录记录、篡改后的视频文件；对被入侵的服务器必须全盘格式化重装系统，从物理隔离的蓝光备份库恢复经过MD5校验的正版节目内容和系统配置，严禁带毒上线；若发现入侵路径为U盘摆渡，立即封存所有在播出域使用过的移动存储介质，逐一查杀病毒。信号回切：所有系统清除恶意程序、内容校验无误后，经总工程师签字批准，方可从卫星备份信源切回主用播控系统；回切过程安排双人双岗监看画面，出现异常立即切回备用信号，回切后连续监看30分钟无异常，方可结束应急状态。针对HFC光节点私接信号的线下插播场景，运维人员接报后必须30分钟内到达现场，切断非法插入点的光链路恢复信号，后续配合公安部门排查作案人员。4.2DDoS攻击导致的传输网拥塞此类攻击的本质是通过海量无效数据包占满链路带宽或服务器连接数，导致正常业务流量无法转发，处置核心是近源清洗、优先保障核心组播流量，不能等流量冲到核心节点再处理。操作步骤如下：攻击判定：流量分析系统监测到核心链路入方向流量超过同时段基线200%、且SYN/UDP异常包占比超过80%时，自动触发高危告警，网安工程师5分钟内判定攻击源IP段、攻击流量大小、受影响端口，核心频道对应的组播地址段（239.0.0.0/8）为最高优先级保障对象。分层处置：优先启用本地200Gbps容量的DDoS清洗集群，牵引核心频道组播流量通过清洗设备，丢弃异常数据包，保障核心频道组播丢包率<0.1%、MDI（媒体传输质量指标）DF值<50ms、MLR值<0.001个/秒；若攻击流量超过本地清洗能力，立即联动三家基础电信运营商的省级抗D平台，在上行骨干网端口对攻击流量进行近源封堵，严禁将全部攻击流量放入核心网后再清洗，此类操作会导致核心链路被打满、全网上下行业务中断。验证恢复：清洗完成后，检查核心链路带宽利用率回落至70%以下，随机抽取10%的在线用户测试直播、点播业务，确认画面无卡顿、无花屏，视为恢复正常；对攻击源IP段执行72小时临时封禁，调整防火墙单IP连接数阈值，单IP并发连接数超过100的自动临时封禁24小时。4.3勒索病毒/恶意软件入侵此类攻击的传播路径是通过SMB、RDP等端口横向扫描移动，一旦扩散到播出域会造成长时间停播，处置核心是第一时间断网隔离，阻断传播路径。操作步骤如下：自动隔离：EDR终端检测系统发现任一终端出现异常文件加密行为、可疑进程扫描445/3389端口时，自动触发网络隔离规则，断开该终端的所有网络连接，无需人工审批。分级处置：若受感染终端位于办公域，立即切断该终端所在VLAN的上行连接，排查同VLAN所有终端的感染情况，优先通过离线备份恢复被加密文件；若不具备备份恢复条件则全盘重装系统，严禁向攻击者支付赎金——支付赎金不仅会面临二次勒索风险，也无法保证获得有效解密密钥；若发现病毒渗透到播出域VLAN，立即触发Ⅰ级响应，断开播出域与所有其他网络的连接，逐台核查服务器进程，确认无感染后再逐步恢复业务。上线验证：所有被感染终端、服务器必须全盘格式化，安装最新安全补丁、更新EDR病毒库，经2名网安工程师交叉验证无异常后方可重新接入网络，严禁仅解密文件、不重装系统就上线，此类操作会导致留驻的后门程序引发二次入侵。备份介质优先使用物理隔离的蓝光光盘库；若暂不具备蓝光备份条件，使用离线移动硬盘存储数据，备份完成后断开硬盘与所有设备的连接；严禁使用联网NAS、云存储作为唯一冷备份介质，否则勒索病毒会同步加密备份文件，导致备份失效。4.4物联网僵尸网络攻击广电网络存量机顶盒、光猫存在大量弱口令、未修复的固件漏洞，是攻击者组建僵尸网络的重点目标，被控终端不仅会对外发起DDoS攻击，还可能被远程替换直播源、弹出非法内容，处置核心是快速切断被控终端与恶意C2服务器的连接。操作步骤如下：异常判定：通过AAA认证系统、流量分析系统发现短时间内超过1000台终端向同一个境外IP发起连接，或待机终端上行流量超过1Mbps（正常待机机顶盒上行流量<10kbps），判定为僵尸网络被控。快速处置：首先在核心路由层封禁被控终端访问的恶意IP、域名，阻断攻击者的控制通道；再通过TR069远程管理系统向所有在线终端推送强制固件更新，将所有终端的默认管理密码修改为8位以上包含数字、字母、特殊字符的强密码，关闭不必要的远程管理端口；对无法远程更新的老旧终端，安排运维人员72小时内上门更换。持续监测：清理完成后连续72小时监测终端流量，确认无终端向恶意地址发起连接，视为处置完成；后续每月对全网终端进行一次弱口令扫描，发现弱口令立即强制修改。4.5用户数据泄露类攻击此类攻击的演化路径为攻击者通过SQL注入、未授权API接口入侵BOSS系统，窃取用户姓名、身份证号、联系方式、缴费记录等敏感信息，在暗网售卖引发舆情和监管处罚，处置核心是第一时间封堵漏洞、及时告知用户。操作步骤如下：漏洞封堵：通过WAF系统发现大量SQL注入尝试、或通过外部舆情监测发现暗网出现广电用户数据售卖信息时，立即下线存在漏洞的API接口，封禁攻击者IP，核查数据库访问日志，统计被泄露的数据量级、字段范围；若泄露数据超过100万条，立即触发Ⅰ级响应，向公安网安部门报案配合溯源。用户告知：按照《中华人民共和国个人信息保护法》要求，对受影响用户通过短信、APP推送逐一告知，说明泄露的信息范围、可能存在的风险、用户可采取的防范措施，严禁隐瞒数据泄露情况，此类行为会引发用户集体投诉和监管部门的高额处罚。加固验证：对所有对外提供服务的API接口开展渗透测试，修复未授权访问、SQL注入等漏洞，增加数据库访问的审计规则，所有数据库查询操作必须留痕可追溯。5应急恢复与复盘改进机制应急处置的结束不是业务恢复上线，而是找到攻击的根因、补上漏洞、避免同类事件重复发生，形成PDCA闭环管理，否则每次攻击都会在同一个地方摔倒。5.1恢复上线验证标准所有系统恢复上线必须同时满足三个条件，缺一不可：一是所有恶意代码、后门程序被彻底清除，经2名以上网安工程师交叉验证，第三方漏洞扫描报告得分≥90分，无高危、中危漏洞；二是业务测试连续30分钟无异常，核心频道播出质量符合GD/J038-2013规定的指标要求；三是恢复操作经总工程师签字确认，严禁未经验证匆忙上线导致二次故障。业务恢复后1小时内，客服中心完成对受影响区域用户的抽访，抽访比例不低于受影响用户的1%，确认用户侧业务恢复正常。5.2复盘与整改要求所有Ⅲ级及以上事件，必须在处置结束后72小时内召开复盘会，全体应急处置组成员参会，会议必须形成三类可落地的产出：一是精确到秒的全流程时间轴，记录事件发生、发现、处置、恢复的每个节点，明确哪个环节存在延迟、哪个操作出现失误，杜绝模糊化的“处置及时、配合有力”这类空泛评价；二是基于5Why法的根因分析，不得将原因简单归咎于“黑客攻击手段先进”，必须穿透到管理、技术、流程层面的具体漏洞，例如“边界防火墙未及时更新CVE漏洞补丁”“一键切源按钮被杂物遮挡导致操作延迟3秒”“DDoS告警阈值设置过高导致发现延迟”；三是明确可跟踪的整改任务清单，每个任务明确责任人、完成时限、验收标准，例如“3天内完成所有防火墙的最新补丁更新，由运维部主任验收”“1天内清理监看操作台杂物，确保一键切源按钮无遮挡，由播控中心主任验收”。5.3持续优化机制每季度组织一次无预告实战化攻防演练，模拟非法插播、T级DDoS攻击、勒索病毒入侵等场景，直接触发生产系统告警，检验值班人员的响应速度和操作规范性，对响应超时、操作错误的人员开展离岗培训，考核合格后方可重新上岗；每年至少委托第三方等保测评机构开展一次渗透测试，发现的高危漏洞必须15天内完成整改；每次演练、测评发现的问题，同步更新到预案中，确保预案与实际系统、人员能力匹配。建立明确的追责机制，对以下行为严肃处理，涉嫌违法的移交司法机关：发现非法内容未第一时间切源导致播出超时的；迟报、瞒报、漏报事件导致影响扩大的；未按规程操作导致病毒扩散到核心播出域的；整改任务逾期未完成导致同类事件重复发生的。6应急保障能力建设要求网络攻击的应急处置能力不是靠预案写出来的，是靠平时的人员、物资、系统储备练出来的，没有平时的足额投入，再完善的预案在攻击面前都是一张白纸。一是人员保障：按照每10万用户配备1名专职网安工程师的标准配齐运维团队，所有值班人员必须持有《广播电视安全播出从业人员资格证》，每年参加不少于40学时的网络安全专业培训，每半年开展一次应急操作考核，考核不合格的不得上岗；关键播出岗位执行7*24小时双人值班制度，严禁单人值岗。二是系统冗余建设：核心播出系统必须按照“主用+备用+应急”三级架构建设，主用系统为IP化播控平台，备用系统为独立物理链路的备用播控服务器，应急系统为直接接收卫星信号的硬切装置，三个系统之间无共用的网络设备、服务器、供电回路，任一系统被攻击均可在1秒内切换至其他系统；核心OTN传输网实现不同物理路由的双归保护，单条光纤中断时50ms内自动切换至备用路由；播出域供电采用“双市电+UPS+柴油发电机”四层保障，杜绝单点故障。三是物资储备：机房建立应急物资台账，每月盘点一次，确保以下物资随时可用：便携式卫星信号接收机2台、备用编码器2台、10G/100G光模块各10个、核心交换机板卡4块、防火墙冗余电源2个、预装运维工具和离线系统镜像的应急笔记本3台、防暴工具1套；所有物资存放在机房专用储物柜，标注清晰位置，严禁随意挪用。附录A应急联络通讯录（24小时可用）岗位联系人联系电