广电新媒体平台网络安全巡检指南（试行）

广电新媒体平台网络安全巡检指南（试行）一、适用范围与制定依据广电新媒体平台的巡检必须覆盖全链路核心资产，任何边缘节点的安全疏漏都可能引发全平台的播出安全事故。•适用单位：各级IPTV集成播控平台、OTT集成播控平台、广电移动端新媒体平台、广电系短视频/直播平台的运营单位•适用资产：互联网边界设备、核心网络设备、集成播控服务器、EPG系统、内容管理系统（CMS）、CDN分发节点、用户管理系统、终端管理系统、安全防护设备、敏感数据存储系统•制定依据：《中华人民共和国网络安全法》《中华人民共和国个人信息保护法》《广播电视网络安全管理办法》《网络安全等级保护基本要求》（GB/T22239-2019）《互联网电视集成播控平台技术规范》（GY/T255-2012）•试行期限：自发布之日起试行1年，由各单位网络安全管理部门负责解释与迭代修订二、巡检组织与权责划分巡检责任必须绑定到具体岗位与人员，权责不清是导致漏检、推诿的核心原因。•网络安全部（牵头责任部门）：必须在每月25日前制定下月巡检计划，明确巡检范围、频次、责任人、输出要求；每月5日前出具上月巡检汇总报告，报分管领导审批；每季度组织1次巡检复盘优化。•系统运维组（日常巡检执行层）：负责每日/周度常规巡检，每日9:30前完成前24小时的全量日常巡检项核查，提交巡检日报；发现异常立即上报安全运维组，不得拖延或瞒报。•安全运维组（专项巡检执行层）：负责月度/季度/重大保障期专项巡检，牵头问题研判与整改验证；每月对核心资产开展1次漏洞扫描，每季度配合第三方机构开展渗透测试。•业务运维组（配合整改层）：负责应用系统、业务节点的巡检配合，承担涉及业务配置、内容调整类问题的整改工作，整改完成后24小时内提交验证申请。•复核岗（由网络安全部经理兼任）：必须在巡检报告提交后24小时内完成复核，对漏检、误判、整改不到位的问题启动追责；重大安全问题的复核结果需同步报分管领导。三、巡检分类与周期设定不同周期的巡检侧重不同的安全维度，兼顾日常可用性监控与深度风险排查。1.日常巡检：每日1次（含节假日），由系统运维组执行，侧设备运行状态、告警核查、业务可用性拨测，输出《每日巡检日报》。2.周度巡检：每周一12:00前完成，由安全运维组执行，侧重安全设备规则有效性、弱口令抽查、日志完整性核查，输出《周度安全巡检简报》。3.月度专项巡检：每月10日前完成，由网络安全部牵头，覆盖等保三级核心控制点，包含全量安全设备核查、核心系统基线检查、数据安全专项核查，输出《月度网络安全巡检报告》。4.季度深度巡检：每季度最后10天完成，邀请具备等保测评资质的第三方机构配合，开展全资产漏洞扫描、核心系统渗透测试、物理环境安全核查，输出《季度安全风险评估报告》。5.重大保障期专项巡检：保障期前7天启动，保障期内每日增加2次巡检（12:00、20:00），保障期结束后3天内出具保障总结。重大保障期包括：全国两会、国庆、春节、春晚、奥运会/世界杯等重大赛事播出期，以及广电总局明确要求的重要保障时段。四、网络边界与基础设施巡检网络边界是广电新媒体平台抵御外部攻击的第一道防线，一旦失守将直接威胁核心播控资产与用户数据安全。4.1互联网边界设备（防火墙、IPS、边界路由器）•系统资源监控◦操作步骤：登录防火墙管理后台，查看近24小时CPU、内存使用率曲线，以及并发会话数峰值；对比近7天同时段数据，判断是否存在异常波动。◦合格标准：CPU使用率峰值≤80%，内存使用率峰值≤75%，并发会话数≤设备额定值的70%，波动幅度≤30%。◦异常处置：若超过阈值，15分钟内排查是否存在DDoS攻击、规则配置冗余；若确认是攻击，立即启动DDoS清洗，同步切换备用带宽；若为配置冗余，需在3个工作日内完成规则优化。◦动作机理：每个TCP/UDP连接都会占用防火墙会话表项资源，会话数超过额定值时新连接会被直接丢弃，相当于边界“断网”。广电新媒体高峰时段单平台并发会话可达百万级，预留30%冗余可应对突发流量与攻击。•安全规则有效性核查◦操作步骤：每周抽查10%的防火墙规则，核对规则的源地址、目的地址、端口、协议是否与审批单一致；统计过期6个月以上未使用的“僵尸规则”占比。◦合格标准：僵尸规则占比≤1%，所有规则均有书面审批记录，无互联网到核心业务区（播控区、用户数据库区）的直接开放端口。◦异常处置：发现无审批规则立即禁用，僵尸规则在3个工作日内清理；若存在核心区直接暴露端口，2小时内完成关停与溯源。◦风险演化路径：冗余规则/未授权端口→攻击面扩大→攻击者通过弱口令暴破进入内网→横向渗透至播控系统→篡改播出内容→触发一级播出安全事故。•边界入侵检测告警核查◦操作步骤：每日筛选IPS/WAF的高危告警（SQL注入、命令执行、webshell上传、DDoS攻击），通过日志关联核实是否为误报。◦合格标准：高危告警误报率≤20%，所有真实攻击均有处置记录与溯源报告。◦异常处置：确认真实攻击后1小时内封堵攻击源IP，排查受影响资产，同步上报安全运维组组长。4.2内网网络分区与访问控制•操作步骤：每月核查核心业务区（播控平台、CMS、用户数据库）、业务支撑区（CDN、EPG、终端管理）、办公区之间的访问控制策略，验证跨区访问是否符合最小权限原则。•合格标准：核心业务区仅允许业务支撑区指定IP访问指定端口；办公区不得直接访问核心业务区，所有运维操作必须通过堡垒机跳转；跨区访问规则审批记录完整率100%。•异常处置：发现越权访问规则立即修改，24小时内完成全量规则排查；若存在未授权跨区访问痕迹，立即启动入侵事件响应流程。严禁私自开通互联网到核心业务区的任何端口，如需临时开通（如第三方调试），必须经网络安全部审批，开通时长不得超过72小时，到期自动关停，且所有访问必须通过VPN+堡垒机双因子认证。（私开端口会使核心区被攻击概率提升90%以上，极易引发内容篡改、数据泄露等重大事故）五、主机与服务器安全巡检主机是业务系统的载体，90%以上的内网攻击最终都通过获取主机权限实现破坏目标。5.1核心业务服务器（播控服务器、数据库服务器、EPG服务器）•资源使用率监控◦操作步骤：每日通过监控平台查看近24小时CPU、内存、磁盘使用率曲线，统计磁盘剩余空间占比。◦合格标准：CPU/内存峰值≤85%，磁盘剩余空间≥20%，无连续10分钟以上的资源占满情况。◦异常处置：磁盘剩余空间低于10%时，2小时内完成日志/临时文件清理；CPU/内存持续超阈值时，立即排查是否存在挖矿、木马等恶意程序，必要时扩容或切换备用节点。•账号与口令安全◦操作步骤：每月抽查20%的核心服务器账号，核查是否存在弱口令（长度<8位、纯数字/纯字母、包含admin/123456等常见组合）、过期账号、共享账号、未授权新增账号。◦合格标准：弱口令数量为0，共享账号数量为0，过期账号占比≤1%，所有账号均有审批记录。◦异常处置：发现弱口令立即重置，24小时内完成全平台账号排查；发现未授权账号立即封禁，溯源入侵路径。•系统补丁管理◦操作步骤：每月核查核心服务器的安全补丁安装情况，对比厂商发布的高危补丁清单，统计补丁安装率。◦合格标准：高危补丁必须在发布后72小时内安装，中危补丁15天内安装，低危补丁月度统一安装；补丁安装前必须经过测试环境验证。◦风险演化路径：未打高危漏洞补丁→攻击者通过远程代码执行获取服务器权限→篡改播控内容/删除用户数据→播出事故/合规处罚。严禁在业务高峰时段（每日18:00-次日0:00）对核心服务器安装补丁、重启服务，所有影响业务的操作必须在凌晨2:00-4:00开展，提前备好回滚脚本，安装失败10分钟内完成回滚。（补丁兼容性问题可能导致业务中断，高峰时段中断影响用户数可达数十万，触发广电总局通报）5.2运维终端与堡垒机管理•堡垒机操作审计：每日核查核心服务器的登录日志，所有运维操作必须通过堡垒机跳转，不得直接登录。合格标准：核心服务器直登次数为0，所有操作日志留存≥180天。异常处置：发现直登立即冻结涉事账号，24小时内完成核查与问责。•运维终端安全：每月抽查运维终端的补丁安装、杀毒软件安装情况，运维终端必须禁用USB接口（除经审批的加密U盘外）。合格标准：杀毒软件安装率100%，USB接口禁用率100%，终端补丁更新率≥95%。六、应用系统安全巡检广电新媒体面向公众的应用系统是攻击者篡改内容、窃取用户数据的主要攻击面，也是播出安全的核心防护对象。6.1核心业务应用（集成播控平台、EPG系统、CMS内容管理系统）•业务可用性拨测◦操作步骤：每5分钟通过全国产化拨测系统检测EPG页面、播控流、APP首页的可用性，拨测点覆盖31个省份的三大运营商，统计可用率、页面加载时间、卡顿率。◦合格标准：业务可用率≥99.99%，EPG页面加载时间≤2秒，播控流卡顿率≤0.1%，单节点故障切换时间≤30秒。◦异常处置：可用率低于99%时，10分钟内排查节点故障，切换备用CDN节点；若为大面积故障，立即启动业务应急预案。•EPG内容防篡改校验◦操作步骤：每日对EPG首页、核心栏目页做哈希值一致性校验，每小时抽查10个CDN边缘节点的内容与中心节点是否一致。◦合格标准：内容一致性校验通过率100%，篡改告警响应时间≤5分钟。◦动作机理：EPG是用户收视的第一入口，一旦被篡改插入涉政、涉黄等有害内容，将造成极其恶劣的社会影响，因此必须做到实时监控、秒级切换。•上传功能安全核查◦操作步骤：每周抽查CMS的文件上传日志，核查是否存在非授权格式文件上传、越权上传操作，验证上传文件类型校验、大小限制、权限控制是否生效。◦合格标准：上传文件仅允许指定的视频、图片、文档格式，所有上传操作均有操作人记录，无webshell等恶意文件上传记录。◦异常处置：发现非法上传立即删除文件，封禁上传账号，溯源攻击来源，24小时内完成全平台入侵排查。•权限分离核查◦操作步骤：每月核查CMS、播控平台的账号权限，验证内容审核、内容发布、系统管理权限是否三权分离，是否存在超权限账号。◦合格标准：权限分离率100%，所有账号权限符合最小权限原则。6.2终端管理系统（IPTV机顶盒、OTT终端管理）•固件升级安全核查：每月核查终端固件升级包的签名验证机制，验证升级包是否经过双重签名校验才能推送，抽查近1个月的升级包推送记录。合格标准：固件签名验证通过率100%，无未签名升级包推送记录。异常处置：发现未签名升级包立即停止推送，召回已推送终端，排查责任环节。•终端指令安全：每季度核查终端远程控制指令的鉴权机制，验证指令是否经过加密与签名，防止被篡改或伪造。合格标准：指令加密率100%，无未鉴权指令执行记录。七、数据安全巡检广电新媒体平台存储的用户收视数据、个人信息、付费数据是合规风险的高发区，一旦泄露将面临最高5%年营业额的罚款。7.1敏感数据存储与传输•数据加密核查：每月核查用户手机号、身份证号、付费记录、收视偏好等敏感数据的存储加密情况，验证公网传输是否使用HTTPS/TLS1.2及以上协议。合格标准：敏感数据存储加密率100%，公网传输加密率100%，加密算法符合国家密码管理局要求。异常处置：发现未加密的24小时内完成整改。•数据访问日志审计：每日核查数据库的访问日志，排查是否存在非授权访问、批量下载敏感数据、异常时间（凌晨1:00-5:00）的大量查询操作。合格标准：所有敏感数据访问均有审批记录，无批量导出异常操作。异常处置：发现批量导出立即冻结账号，溯源操作人，核实是否为合法操作，若为数据泄露立即启动应急预案。•数据备份核查：每日核查核心数据的备份情况，验证本地备份+异地备份的执行成功率，每月开展1次备份数据恢复测试。合格标准：备份成功率100%，异地备份距离≥100公里，数据恢复时间≤4小时。异常处置：备份失败立即排查原因，24小时内重新备份。7.2数据出境与共享核查•操作步骤：每季度核查数据对外共享、合作方数据调用情况，验证是否经过用户授权、是否签订数据安全协议、是否存在数据出境行为。•合格标准：数据共享均有审批记录，无未经批准的数据出境行为，合作方数据访问权限符合最小必要原则。八、安全设备与日志审计巡检安全设备与日志是攻击溯源、事件处置的核心依据，日志缺失将导致安全事件无法定责、无法溯源。8.1安全设备运行状态•在线状态与资源监控：每日检查WAF、IDS/IPS、堡垒机、日志审计系统、态势感知平台的在线状态、CPU/内存使用率、告警数量。合格标准：所有安全设备在线率100%，资源使用率峰值≤80%，告警量波动幅度≤30%。异常处置：设备离线15分钟内排查恢复，告警量突增立即排查是否有大规模攻击。•规则与特征库更新：每周核查安全设备的规则更新情况，验证WAF、IPS的入侵特征库、病毒库是否为最新版本。合格标准：特征库更新延迟≤7天，规则更新均有测试记录。8.2日志审计与留存•日志完整性核查：每月核查网络设备、安全设备、服务器、应用系统的日志采集情况，验证日志是否完整上传至日志审计平台，留存时长是否符合要求。合格标准：日志采集完整率≥99.9%，留存时长≥180天，符合等保三级要求。异常处置：日志缺失立即排查采集规则，24小时内恢复采集。•日志关联分析：每月开展1次全量日志关联分析，排查隐蔽攻击行为（如多次登录失败后成功登录、异常时间的运维操作、跨网段异常访问）。合格标准：每月至少发现1项隐蔽风险或优化点，分析报告留存归档。九、应急响应准备巡检应急准备的完备程度直接决定安全事件的处置速度，每延迟1分钟处置，播出事故的影响范围将扩大15%。9.1应急预案与演练•应急预案有效性核查：每季度核查应急预案的覆盖场景、处置流程、责任人、联络方式是否更新，是否覆盖DDoS攻击、内容篡改、数据泄露、主机沦陷、业务中断等常见场景。合格标准：预案覆盖场景≥10个，应急联络人更新时间≤1个月，所有核心岗位人员均熟悉预案流程。•应急演练核查：每年开展至少4次应急演练，其中内容篡改、DDoS攻击场景每年至少各演练1次；演练后7天内出具演练报告，优化预案。合格标准：演练完成率100%，演练问题整改率100%。9.2应急资源储备•操作步骤：每月核查应急资源储备情况，包括备用服务器、备用带宽、备份数据、回滚脚本、应急工具、应急通讯录是否可用。•合格标准：备用服务器可在1小时内切换上线，备用带宽≥主带宽的50%，备份数据每周校验1次完整性，回滚脚本经过测试验证，应急通讯录更新及时。•重大保障期要求：保障期前1天必须完成全量应急资源核查，确保100%可用，应急人员7x24小时在岗。十、巡检执行规范与闭环管理巡检的核心价值在于问题的闭环整改，仅发现问题不整改的巡检毫无意义。10.1计划制定•网络安全部必须在每月25日前发布下月巡检计划，明确巡检范围、频次、责任人、输出要求；重大保障期前10天制定专项巡检计划，报分管领导审批。•巡检计划必须覆盖所有核心资产，不得遗漏边缘节点、第三方运维系统、合作方接入节点。10.2执行要求•巡检人员必须严格按照SOP操作，不得漏检、跳检，巡检记录必须实时填写，不得事后补填、造假。•主动探测类巡检（端口扫描、漏洞扫描、渗透测试）必须在凌晨2:00-4:00开展，扫描速率限制为100包/秒以内，严禁扫描核心播控服务器的业务端口。•巡检过程中发现异常，必须立即上报，不得擅自处置可能影响业务的问题。10.3问题分级与处置原则问题等级判定标准启动权限处置时限处置原则一级（特别重大）核心业务区被入侵、EPG/播控内容被篡改、用户数据泄露≥10万条、业务中断≥10分钟、涉政有害内容传播网络安全部经理立即上报分管领导，15分钟内启动一级应急2小时内出具初步事件报告，24小时内上报广电主管部门优先恢复业务、控制影响范围，同步溯源处置二级（重大）非核心业务区被入侵、高危漏洞未及时修复、业务中断<10分钟、用户数据泄露<1万条、安全设备大规模告警安全运维组组长启动二级应急，上报网络安全部经理24小时内完成整改，72小时内出具事件报告先隔离风险，再排查整改，防止扩散至核心区三级（一般）低危漏洞、配置不规范、日志缺失、非核心服务器弱口令巡检执行人员直接派发整改工单7天内完成整改按计划推进整改，定期跟踪进度10.4整改与复核•所有问题必须录入《安全问题整改台账》，明确整改责任人、整改时限、验证人。•整改完成后，验证人必须在24小时内完成复核，复核不通过的重新整改，且需提交延期说明。•每月5日前出具上月整改完成率报告，整改完成率必须≥95%，未完成的需制定专项整改计划，报分管领导审批。10.5复盘优化•每季度开展1次巡检复盘，分析漏检原因、高频问题、处置效率，优化巡检SOP与频次。•每年结合新的业务场景、新的攻击手段、最新的监管要求，修订本指南。十一、考核与追责可落地的考核机制是巡检制度持续执行的核心保障，无考核的巡检必然流于形式。•奖励：连续3个月巡检完成率100%、整改完成率100%、无安全事件的，给予安全运维组500-1000元的月度安全奖励；年度无重大安全事件的，给予网络安全部门年度专项奖励。•一般处罚：漏检、瞒报问题、巡检记录造假的，每次扣责任人绩效50-200元；整改逾期的，每次扣整改责任人绩效100-300元。•重大处罚：因巡检不到位导致一级、二级安全事件的，按公司安全责任制度追究责任人、部门负责人、分管领导的责任；涉嫌违法的，移送司法机关处理。十二、附录A：日常巡检记录表（样表）序号巡检大类巡检项合格标准巡检结果（是/否/异常）异常说明巡检人巡检时间1边界网络防火墙主备在线状态主备节点均在线2边界网络防火墙CPU峰值≤80%3边界网络防火墙并发会话数≤额定值70%4边界网络IPS高危告警处置率100%真实告警已处置5主机安全核心播控服务器CPU峰值≤85%6主机安全核心数据库磁盘剩余空间≥20%7业务应用EPG页面可用率≥99.99%8业务应用播控流卡顿率≤0.1%9业务应用EPG内容一致性校验100%通过10安全设备WAF在线状态在线11安全设备堡垒机在线状态在线12安全设备日志审计系统日志接收正常无断流13数据安全核心数据备份成功率100%14应急准备应急联络人畅通所有联络人可接通十三、附录B：安全问题整改台账（样表）问题编号问题描述问题等级发现时间发现人整改责任人整改时限整改措施复核人复核结果备注SEC-20240501-001办公区可直接访问测试环境播控