【文章內容簡介】 管理安全分析對于一個綜合性的治安監(jiān)控系統(tǒng)，里面的系統(tǒng)多而且復雜，能接觸到的人也是形形色色，這就需要一個良好的管理制度來約束。 網(wǎng)絡邊界安全分析一般來說網(wǎng)絡邊界安全問題主要有以下幾個方面：信息泄密：網(wǎng)絡上的資源是可以共享的，但沒有授權的人得到了他不該得到的資源，信息泄露了。一般信息泄露有兩種方式：攻擊者（非授權人員）進入了網(wǎng)絡，獲取了信息，這是從網(wǎng)絡內部的泄密。合法使用者在進行正常業(yè)務往來時，信息被外人獲取，這是從網(wǎng)絡外部的泄露。入侵者的攻擊：入侵就是有人通過進入你的網(wǎng)絡（或其他渠道），篡改數(shù)據(jù)，或實施破壞行為，造成你網(wǎng)絡業(yè)務的癱瘓，這種攻擊是主動的、有目的、甚至是有組織的行為。網(wǎng)絡病毒：與外界網(wǎng)絡的業(yè)務互聯(lián)，難免在通信中帶來病毒，一旦在你的網(wǎng)絡中發(fā)作，業(yè)務將受到巨大沖擊，病毒的傳播與發(fā)作一般有不確定的隨即特性。這是無對手、無意識的攻擊行為。木馬入侵：木馬的發(fā)展是一種新型的攻擊行為，他在傳播時 16社會治安動態(tài)監(jiān)控項目建設像病毒一樣自由擴散，沒有主動的跡象，但進入你的網(wǎng)絡后，便主動與他的“主子”聯(lián)絡，從而讓主子來控制你的機器，既可以盜用你的網(wǎng)絡信息，也可以利用你的系統(tǒng)資源為他工作。 來自網(wǎng)絡外部的安全問題，重點是防護和監(jiān)控。由于有這些安全隱患的存在，在網(wǎng)絡邊界上，最容易受到的攻擊方式有下面幾種：黑客入侵：入侵的過程是隱秘的，造成的后果是竊取數(shù)據(jù)或破壞系統(tǒng)。木馬的入侵也是屬于黑客的一種，只是入侵的方式采用病毒傳播，達到的效果與黑客一樣。病毒入侵：病毒就是網(wǎng)絡的蛀蟲與垃圾，大量的自我繁殖，侵占系統(tǒng)與網(wǎng)絡資源，導致系統(tǒng)性能下降。病毒對網(wǎng)關沒有影響，一旦進入網(wǎng)絡內部，便成為可怕的瘟疫，看似漫無目的，實則無孔不入。網(wǎng)絡攻擊：網(wǎng)絡攻擊是針對網(wǎng)絡邊界設備或系統(tǒng)服務器的，主要的目的是中斷網(wǎng)絡與外界的連接，比如DOS攻擊，雖然不破壞網(wǎng)絡內部的數(shù)據(jù)，但阻塞了應用的帶寬，可以說是一種公開的攻擊，攻擊的目的一般是造成你的服務中斷。 17社會治安動態(tài)監(jiān)控項目建設二、 項目方案 系統(tǒng)總體構架 系統(tǒng)結構 ，由五部分組成，包括視頻采集設備、網(wǎng)絡傳輸、網(wǎng)絡視頻監(jiān)控平臺、系統(tǒng)應用、與其它應用系統(tǒng)的接口等。 系統(tǒng)軟件構架，網(wǎng)絡視頻監(jiān)控系統(tǒng)的軟件平臺采用分層結構，包括資源接入層、平臺管理層、系統(tǒng)服務層和基本應用層，同時它 18社會治安動態(tài)監(jiān)控項目建設可以提供相應的接口，為其它實用業(yè)務提供監(jiān)控視頻服務。 軟件結構圖 系統(tǒng)網(wǎng)絡構架、鄉(xiāng)鎮(zhèn)監(jiān)控中心、村級監(jiān)控系統(tǒng)和用戶的網(wǎng)絡拓撲機構。整個系統(tǒng)采用多級、層次性的結構，能夠實現(xiàn)多級管理的互聯(lián)互通。村級監(jiān)控系統(tǒng)通過廣電網(wǎng)絡連接到鄉(xiāng)鎮(zhèn)監(jiān)控中心，鄉(xiāng)鎮(zhèn)監(jiān)控中心連接廣電監(jiān)控中心，村級警務室、鄉(xiāng)鎮(zhèn)派出所的用戶訪問鄉(xiāng)鎮(zhèn)監(jiān)控中心，獲得有關監(jiān)控視頻。政法委和公安部門的用戶可通過廣電監(jiān)控中心訪問整個監(jiān)控網(wǎng)絡。支持多級權限管理和共享，實現(xiàn)系統(tǒng)內部多級管理。授權用戶只能訪問自己權限內的設備和視頻通道，權限外的設備和視頻通道是不可見的。不同層次間可采用流媒體服務器級聯(lián)的方式，保證層次間視頻流不重復，減輕主干網(wǎng)絡的負擔，最大效率地使用網(wǎng)絡帶寬，也可方便地增加下級監(jiān)控系統(tǒng)，有利于系統(tǒng)的擴充。19社會治安動態(tài)監(jiān)控項目建設層次性的結構有利于系統(tǒng)容量的不斷擴充，能夠滿足系統(tǒng)長遠發(fā)展的要求。 20社會治安動態(tài)監(jiān)控項目建設 本項目采用二級管理模式，既：縣運維中心一級管理和鄉(xiāng)鎮(zhèn)中心二級管理； 我們按照的行政轄區(qū)劃分，以鎮(zhèn)為單位，通過在每個鎮(zhèn)設立一個監(jiān)控分中心，同時在縣里設臵一個總運維中心，每個中心都按照模塊化設計，這樣便于日后統(tǒng)一進行信息整合管理，各鄉(xiāng)鎮(zhèn)中心統(tǒng)一由縣運維中心管理。 一級管理，即縣運維中心，主要負責全縣整個項目的管理； 二級管理，既鄉(xiāng)鎮(zhèn)分中心，主要負責本鄉(xiāng)鎮(zhèn)的管理； 一級、二級管理主要負責設備的管理（如：增加、減少）、設備狀態(tài)的管理（如：圖像信號的狀態(tài)、服務器狀態(tài)、網(wǎng)絡狀態(tài)等等）、權限的管理，流媒體轉發(fā)的管理等。 一級管理的權限高于二級管理，同時一級管理中心具有二級管理21社會治安動態(tài)監(jiān)控項目建設的備份功能，當二級管理中心出現(xiàn)故障，通過一級管理中心的備份數(shù)據(jù)能快速、準確地予以恢復。當一級系統(tǒng)出現(xiàn)故障，二級管理中心也能獨立運行。 系統(tǒng)技術架構根據(jù)農(nóng)村社會治安監(jiān)控系統(tǒng)建設思路、原則和具體建設技術要求，我們對項目建設的系統(tǒng)方案進行認真地規(guī)劃設計。項目建設方案分為四級構建，即：前端系統(tǒng)、鄉(xiāng)鎮(zhèn)分中心、縣運維中心和用戶端。各構建部分通過專用網(wǎng)絡進行連接、整合。網(wǎng)絡通信部分，分為核心VPN（虛擬專用網(wǎng)絡）專網(wǎng)、鄉(xiāng)鎮(zhèn)廣電傳輸網(wǎng)絡和客戶端接入網(wǎng)絡，具有全網(wǎng)統(tǒng)一網(wǎng)絡管理，監(jiān)測網(wǎng)絡設備狀態(tài)和故障告警，提供符合要求的：前端到鄉(xiāng)鎮(zhèn)中心、鄉(xiāng)鎮(zhèn)中心到縣運維中心以及用戶端的網(wǎng)絡接入；前端圖像采集與配套部分，包括圖像采集攝像機、電源供應部分、IP轉換部分、前端存儲部分、立桿基礎部分等，初步預計為1500路前端；鄉(xiāng)鎮(zhèn)分中心管理部分（10個鄉(xiāng)鎮(zhèn)），分設在各鄉(xiāng)鎮(zhèn)廣電管理站機房，負責流媒體轉發(fā)、圖像存儲、設備巡檢、權限管理及鄉(xiāng)鎮(zhèn)網(wǎng)絡安全等功能，包括：流媒體轉發(fā)服務器、集中存儲服務器、交換機、UPS電源配套設施等；運維中心管理部分，負責為各級用戶提供認證、授權服務，提供單點登錄、集中權限管理、巡檢服務及系統(tǒng)備份，對整個系統(tǒng)集中配臵管理。包括：備份存儲服務器、自動巡檢服務器、人工檢查服務器、維護信息服務器、時鐘同步服務器等；22社會治安動態(tài)監(jiān)控項目建設用戶端部分，為實際需要監(jiān)看或調用監(jiān)控圖像的各單位或部門，包括：各鄉(xiāng)鎮(zhèn)村警務室、各鎮(zhèn)綜治辦和轄區(qū)派出所、縣政法委、公安局、指揮中心等客戶端。同時，通過專用網(wǎng)絡政法委、公安局等部門因工作需要根據(jù)權限可以隨時調用任意監(jiān)控點的圖像。 23社會治安動態(tài)監(jiān)控項目建設 社會治安動態(tài)監(jiān)控系統(tǒng)—構架圖如上圖所示，前端監(jiān)控點（包括：紅外攝像機、彩色槍機、高速24社會治安動態(tài)監(jiān)控項目建設球機、高清攝像機等）將采集的圖像信息經(jīng)亞當模塊編碼和IP轉換后，連接到鄉(xiāng)鎮(zhèn)廣電傳輸網(wǎng)絡，這些信息被直接送到鄉(xiāng)鎮(zhèn)中心，鄉(xiāng)鎮(zhèn)中心的存儲服務器負責將這些信息儲存在磁盤上，同時流媒體服務器負責將這些信息轉發(fā)給相關授權的用戶，巡檢系統(tǒng)對各鄉(xiāng)鎮(zhèn)設備進行實時檢測，并將巡檢信息實時發(fā)送給運維中心中心巡檢服務器。在村級管理辦公室、村警務站、鎮(zhèn)警務室、鎮(zhèn)政法、公安部門以及縣局政法、公安部門等用戶部門通過廣電VPN專線網(wǎng)絡，實現(xiàn)與鄉(xiāng)鎮(zhèn)流媒體服務器、存儲服務器連接，通過客戶端軟件獲得相關經(jīng)授權圖像等信息。運維中心通過廣電專線網(wǎng)絡，實現(xiàn)對所有圖像的瀏覽與管理，負責整個系統(tǒng)的權限管理、系統(tǒng)運維巡檢、系統(tǒng)備份管理、應急事件處理等。 系統(tǒng)各部分設計與功能、性能說明網(wǎng)絡通訊部分主要完成前端采集圖像的傳輸至分中心匯聚存儲，各分中心互聯(lián)至運維管理中心，不同層次客戶端接入進行圖像信息監(jiān)看或調用。根據(jù)上述不同的作用網(wǎng)絡通訊部分可分為核心VPN（虛擬專用網(wǎng)絡）專網(wǎng)、鄉(xiāng)鎮(zhèn)廣電傳輸網(wǎng)絡和客戶端接入網(wǎng)絡。 核心VPN（虛擬專用網(wǎng)絡）專網(wǎng)核心VPN專網(wǎng)完成各個分中心機房終端系統(tǒng)和運維管理中心的溝通互聯(lián)，是整個系統(tǒng)運行的核心。該系統(tǒng)承載于高淳廣電的IP城域網(wǎng)上。由中心機房的核心路由器提供MPLS VPN支持。25社會治安動態(tài)監(jiān)控項目建設（1）高淳廣電IP城域網(wǎng)介紹高淳廣電采用成熟、先進的國內、國際通信和網(wǎng)絡技術，按NGB網(wǎng)絡建設要求將網(wǎng)絡統(tǒng)一規(guī)劃成IP化、雙向、交互式、多業(yè)務、寬帶化網(wǎng)絡。，即前端接入網(wǎng)絡鄉(xiāng)鎮(zhèn)廣電傳輸網(wǎng)絡主要負責向各前端視頻監(jiān)控終端提供接入網(wǎng)絡的端口，它的特點是所需的端口數(shù)量非常多，并且分布范圍廣泛。（1）接入方式選擇社會治安動態(tài)監(jiān)控是安全保障、綜合管理的重要手段，是現(xiàn)代化管理系統(tǒng)的重要基礎。對于安防監(jiān)控系統(tǒng)，其具有系統(tǒng)規(guī)模大（一般有幾千只甚至上萬只攝像頭）、分布范圍廣（幾十平方公里以上）的特點，而且系統(tǒng)中有巨量的視頻數(shù)據(jù)要進行傳輸、管理、錄像等處理，因此采用寬帶數(shù)字網(wǎng)絡進行視頻監(jiān)控信號的傳輸幾乎是唯一的選擇。安防監(jiān)控的特殊性使得所需要的傳輸帶寬不同于常規(guī)的用戶寬帶接入網(wǎng)絡要求：◆安防監(jiān)控傳輸要求上行帶寬大于下行帶寬。常規(guī)的用戶寬帶接入應用，例如瀏覽因特網(wǎng)，主要是從網(wǎng)絡中的服務器下載信息，下行帶寬較大，上行帶寬較??；對于安防監(jiān)控來說，上行帶寬用于將圖像信息傳遞到監(jiān)控中心，要求帶寬較大，下行帶寬主要是傳輸控制信號，信息量小，帶寬要求小。◆所需帶寬要求較高。要保證每路視頻業(yè)務傳輸流暢，必須提供很大的帶寬,就是采用CIF圖像格式的碼流帶寬也要達到512K以上，才能保證其圖像質量?！魝鬏旀溌芬辛己玫腝OS保證。在很多數(shù)據(jù)傳輸業(yè)務應用中往 26社會治安動態(tài)監(jiān)控項目建設往都是實時數(shù)據(jù)少、突發(fā)流量大，而且即使出現(xiàn)鏈路通道堵塞數(shù)據(jù)丟包也可以通過糾錯重發(fā)機制實現(xiàn)數(shù)據(jù)的傳輸，而圖像監(jiān)控傳輸業(yè)務則有很大的不同，它是實時數(shù)據(jù)大，突發(fā)流量小，也就是不管在傳輸網(wǎng)絡空閑還是擁塞的時候都需要一定的帶寬來保證它的傳輸，否則一旦數(shù)據(jù)擁塞丟包就會造成圖像停頓甚至中斷故障，因此傳輸網(wǎng)絡需要很好的QOS保證?！魯z像頭分布非常廣泛，網(wǎng)絡環(huán)境較差，這就要求網(wǎng)絡運營商的寬帶傳輸覆蓋全縣城鄉(xiāng)的每個角落且具有較強的魯棒性?！舭卜辣O(jiān)控的圖像信息比其他一般信息在傳輸?shù)陌踩苑矫嬗懈叩囊蟆＞C上特點，選擇一個合適的接入技術是本系統(tǒng)方案設計的一個重點。滿足視頻傳輸高帶寬、低時延、高QOS保證和信息安全的要求，且按照項目建設周期要求在2013底前完成全縣1500個監(jiān)控點的建設，這對任何一個網(wǎng)絡運營商來說，要建造一個完全符合要求的網(wǎng)絡，在如此緊的時間內完成難度非常大。由于高淳廣電已在高淳全縣形成一張完整的縣、鎮(zhèn)、村、組（小區(qū)）HFC光電纜傳輸網(wǎng)絡，光節(jié)點數(shù)量近2000個，其中鄉(xiāng)鎮(zhèn)網(wǎng)絡超過1000個，而且有線電視同軸接入網(wǎng)具有得天獨厚的寬頻優(yōu)勢，因此利用現(xiàn)有的HFC光電纜網(wǎng)絡并結合EPON+EOC技術可以非常方便地解決監(jiān)控前端寬帶接入要求。以下介紹一下EPON和EOC技術原理（2）EPON技術介紹EPON是英文Ethernet over Passive Optical Networks即以太無源光網(wǎng)絡的縮寫，是IEEE于2004年6月，頒布文號為IEEE 。EPON是一項采用點到多點拓撲結構、利用光纖和光無源器件進行物理層傳輸、通過以太網(wǎng)協(xié)議提 27社會治安動態(tài)監(jiān)控項目建設供多種業(yè)務的寬帶接入技術。這項技術充分結合了無源光網(wǎng)絡技術和以太網(wǎng)技術的優(yōu)勢，為在局端中心機房(CO)和終端客戶現(xiàn)場之間配臵寬帶接入光纖線路提供了一種低成本的方法。無源光網(wǎng)絡技術具備點到多點的拓撲結構、無源器件、后期維護成本低等特點，上、完全可以滿足各監(jiān)控點當前和未來擴容的容量需求。EPON系統(tǒng)主要由以下幾部分組成：ONU(Optical Network Unit，光網(wǎng)絡單元)：ONU位于用戶端，為用戶提供數(shù)據(jù)、視頻和電話等業(yè)務接口。根據(jù)ONU放臵的位臵，又有光纖到樓、光纖到戶的區(qū)別。OLT(Optical Line Terminal，光線路終端)：OLT為光接入網(wǎng)提供EPON系統(tǒng)與服務提供商的核心數(shù)據(jù)、視頻和電話等業(yè)務接口，并經(jīng)一個或多個ODN與ONU通信，OLT與ONU的關系是主從通信關系。OLT一般設臵在網(wǎng)絡的前端(分前端)。POS(Passive Optical Splitter，無源光分路器)：POS是一個連接OLT和ONU的無源器件，它的功能是分發(fā)下行數(shù)據(jù)和集中上行數(shù)據(jù)。ODN(Optical Distribution Network)：位于OLT和ONU之間的由POS和光纖組成的無源光分配網(wǎng)，其主要功能是完成光功率的分配，按IEEE :16或1:32，依據(jù)光纖的實際敷設距離分光比例也可以達到1:64或1:128。ODN通常呈星樹型結構，也可以用環(huán)型結構。28社會治安動態(tài)監(jiān)控項目建設 EPON無源光網(wǎng)絡簡圖從結構上看，光信號通過光分路器(POS)把光纖線路終端(OLT)一根光纖下行的信號分成多路給每一個光網(wǎng)絡單元(ONU)，每個ONU上行的信號通過光耦合器合成在一根光纖傳輸?shù)絆LT。，上行方向執(zhí)行時分復用相關接入?yún)f(xié)議。由于上行方向上的給定時刻只允許一個用戶傳輸，為了避免不同用戶的沖突，采用了多點控制協(xié)議(Multipoint control protocol，MPCP)。通過多點控制協(xié)議(MPCP)，實現(xiàn)多個用戶共享光網(wǎng)絡單元(ONU)，多個光網(wǎng)絡單元(ONU)共享光線路終端(OLT)，實現(xiàn)光接入網(wǎng)。 29社會治安動態(tài)監(jiān)控項目建設 EPON下行傳輸—廣播模式 EPON上行傳輸—TDMA模式（時分多址）（3）EOC技術介紹EoC（Ethernet over Coaxial cable）是一種新的實現(xiàn)HFC網(wǎng)絡寬帶雙向傳輸?shù)慕尤爰夹g。該寬帶接入技術是在現(xiàn)有的HFC網(wǎng)絡基礎上在不影響現(xiàn)有的CATV正常工作的前提下將以太IP數(shù)據(jù)信號和原有的CATV信號合成在同軸電纜中一起傳輸，實現(xiàn)承載基于IP的數(shù)據(jù)、語音和視頻等業(yè)務。由于同軸電纜的傳輸頻帶超過1000MHz。通過頻分復用將傳輸頻帶的高端（或低端）部分空閑頻帶用于傳輸經(jīng)過EOC技術調制后的以太IP數(shù)據(jù)信號就可以很方便地利用實30社會治安動態(tài)監(jiān)控項目建設現(xiàn)雙向寬帶接入，可實現(xiàn)的接入帶寬達到5100Mbps。 （4）本方案接入網(wǎng)絡部分原理在各鄉(xiāng)鎮(zhèn)分中心處，完全可以滿足大量視頻信號接入的需求，且OLT為模塊式結構，可以根據(jù)需要擴充PON口的數(shù)量。每個PON口通過光分路器可以支持下聯(lián)32個ONU，傳輸距離可達10公里，完全可以滿足各接入點到分中心的距離要求。ONU終結光信號，提供一個百兆以太口連接EoC頭端