CN111277421A - 一种网络摄像机接入安全防护的系统和方法 - Google Patents

Abstract

本发明提供了一种网络摄像机接入安全防护的系统和方法。该系统包括安全策略配置模块、运维管理模块、设备扫描模块、资产管理模块、安全诊断模块、报文解析模块、报文转发模块和告警管理模块。本发明所述的系统和方法，可以基于IP地址、MAC地址、应用协议，设备指纹特征四个方面对非法接入的网络摄像机进行安全检测和防护，防护全面、安全性高、配置灵活，部署简单，用户体验好。

Description

一种网络摄像机接入安全防护的系统和方法

技术领域

本发明涉及一种网络摄像机接入安全防护的系统和方法，当网络摄像机接入视频监控网络时，可识别是否为非法设备接入或者是非授权的设备接入视频监控网络并产生相应的阻断和告警，避免视频监控网络遭受非法入侵攻击或存在未经批准私自接入视频监控网络的设备。

缩略语及名词解释：

IP地址：全称Internet Protocol Address，互联网协议地址

MAC地址：全称Media Access Control Address，媒体访问控制地址，用来确认网上设备位置的地址。

UDP：全称User Datagram Protocol，用户数据报协议，提供面向事务的简单不可靠信息传送服务的传输层通信协议。

TCP：全称Transmission Control Protocol，传输控制协议，提供面向连接的、可靠的、基于字节流的传输层通信协议。

网络摄像机：一种可生产数字视频流，并将视频流通过有线或无线网络进行传输的摄像机。

视频监控系统：是安全防范系统的重要组成部分，包括网络摄像机、传输网络、视频监控平台。

黑客：指研究智取计算机安全系统的人员，在未经许可的情况下，载入对方系统。

ONVIF：全称Open Network Video Interface Forum，开放型网络视频接口论坛，为网络视频设备之间的信息交换定义通用协议，包括装置搜寻、实时视频、音频、元数据和控制信息等。

背景技术

随着国家对社会公共安全的重视，部、省、市、县等各级执法部门都在不断加强公共安全视频监控系统的建设和投入。这是新形势下维护国家安全和社会稳定、预防和打击暴力恐怖犯罪的重要手段，对于提升城乡管理水平、创新社会治理体制也具有重要意义。但由于视频监控系统中最重要的设备，前端网络摄像机接入地点分散，不便于监管，带来很大的安全隐患。黑客可能会利用监管漏洞把前端网络摄像机替换成非法设备，从而接入到视频监控网络，攻击视频监控平台或非法调阅视频监控内容；也有可能某些组织或个人私自接入未经执法部门许可的网络摄像机，监控某些重点单位或敏感场所，危及国家安全或公民个人隐私的泄露。当前前端网络摄像机存在如下安全防护手段的缺失：

1、前端网络摄像机被其他设备替换后，视频监控网络中存在非法接入的设备，黑客可能会非法窃取后端视频监控平台的内容，或者对视频监控平台进行网络攻击，导致视频监控系统无法正常使用。

2、前端私自接入未经许可的网络摄像机，新增设备无法被感知，可能会导致国家安全或公民隐私被泄露。

发明内容

本发明提供了一种网络摄像机接入安全防护的系统和方法，针对前端网络摄像机被非法替换，或者私自接入未经许可的网络摄像机，可以实时检测并进行阻断，防止黑客对视频监控平台的非法攻击或者调阅，也可以阻断私自接入的网络摄像机视频流传输。

本发明所述的网络摄像机接入安全防护系统和方法，可从以下几个方面对非法接入的网络摄像机进行安全检测和防护。

1.对接入的网络摄像机IP地址进行合法性检测，只允许具有合法IP地址的设备接入的视频监控网络。

2.对接入的网络摄像机MAC地址进行合法性检测，只允许具有合法MAC地址的设备接入的视频监控网络。

3.对接入的网络摄像机传输数据使用的应用协议进行合法性检查，只允许使用合法的应用协议进行数据传输。

4.对接入的网络摄像机设备指纹进行检测，只允许具有合法设备指纹特征的网络摄像机接入视频监控网络。

图1为本发明所述的网络摄像机接入安全防护系统，其中包括安全策略配置模块、运维管理模块、设备扫描模块、资产管理模块、安全诊断模块、报文解析模块、报文转发模块和告警管理模块。该系统可以独立部署在前端网络摄像机接入侧，也可以独立部署在视频监控平台侧。

安全策略配置模块给用户提供灵活的安全策略配置界面，配置界面可以是图形界面或命令行方式。用户可根据实际管控需求灵活配置对前端网络摄像机的接入安全策略，然后将安全策略下发给安全诊断模块。安全策略可以是一种或几种的组合，包含基于IP地址合法性判断的安全策略，允许或阻止某个IP地址或IP地址段；基于MAC地址合法性判断的安全策略，允许或阻止某个MAC地址或MAC地址段；基于应用协议合法性判断的安全策略，允许或阻止某个应用协议；基于设备指纹的安全策略，允许或阻止某个厂家或某种类型的设备，允许或阻止新增设备接入。

运维管理模块给用户提供设备扫描地址范围和扫描间隔配置的界面和是否需要审批新增设备的配置界面，配置界面可以是图形界面或命令行方式，用户可以根据网络的规划情况配置需要扫描的网段和扫描间隔。如果收到设备扫描模块上报的新增设备信息，根据客户配置是否需要对新增设备进行审批，如果不需要审批，可以直接调用资产管理模块接口将新增设备写入资产数据库。如果需要审批，运维管理模块可以自动创建新增设备的审批工单，待审批通过后才调用资产管理模块接口将新增设备写入资产数据库，审批不通过则不允许写入资产数据库。运维管理模块提供用户接口可以按照某个条件或某几个条件组合查询资产信息，也可以增加、删除或修改资产数据库中的资产记录信息。

设备扫描模块会根据运维管理模块下发的网段配置和扫描间隔，定时扫描视频监控网络中所有设备，获取设备IP地址，MAC地址和设备操作系统的信息。根据ONVIF协议定义的设备发现和探测功能，可以获取网络摄像机的设备生产厂商和设备类型信息，并根据这些信息调用资产管理模块的接口进行查询，如果所有信息完全一致说明是资产管理库中已经存在的设备，不需要重复上报给资产管理模块。如果查询不到说明该设备为新增设备，然后判断是否为首次发现，如果是需要给运维管理模块上报新增的设备IP地址、MAC地址、生产厂商、设备类型和操作系统信息，并通知安全诊断模块该新增设备的IP地址和MAC地址信息。如果不是首次发现，则不需要给运维管理模块和安全诊断模块上报。

资产管理模块提供资产数据库的查询接口，可以根据设备IP地址，MAC地址，设备生产厂商，设备类型，设备操作系统的信息查询资产记录。资产管理模块提供资产数据库增删改的接口，可以对资产数据库中的资产记录进行增加，删除和修改。资产管理模块还可以支持在资产数据库中自定义设备所属部门、责任人、联系电话、所在地、坐标、设备用途、设备描述等信息字段。

安全诊断模块根据安全策略配置模块下发的策略信息生成规则库。规则库有两种类型，如果下发的策略是基于IP地址、MAC地址以及应用协议的合法性检测策略，可以根据这些信息直接生成地址协议规则库。如果下发的是基于设备指纹的检测策略，需要根据设备生产厂商和设备类型生成设备规则库。安全诊断模块收到设备扫描模块提供的新增设备的IP地址和MAC地址信息后，也需要根据是否允许新增设备接入的策略将该信息加入地址协议规则库。

a)地址协议规则库的规则样式如下：

i.允许某些MAC地址(段)报文通过；

ii.允许除某些MAC地址(段)以外的报文通过；

iii.允许某些IP地址(段)报文通过；

iv.允许除某些IP地址(段)以外的报文通过；

v.允许某些协议的报文通过；

vi.允许除某些协议以外的报文通过；

vii.允许某些IP地址(段)和某些协议的报文通过；

viii.允许除某些IP地址(段)和某些协议以外的报文通过；

b)设备规则库的规则样式如下：

i.允许某种类型设备接入；

ii.允许除某种类型以外的设备接入；

iii.允许某个厂家的设备接入；

iv.允许除某个厂家以外的设备接入；

报文解析模块对收到的报文进行解析，根据以太网协议的定义从以太网报文头中解析得到源MAC地址，根据IP协议的定义从IP报文头中解析得到源IP地址，根据UDP或TCP协议定义从UDP或TCP报文头中解析得到端口号，然后根据端口号映射得到应用协议类型。

报文转发模块收到网络摄像机发出的视频报文，先调用报文解析模块的接口从报文中获取源IP地址，源MAC地址和应用协议的信息。首先根据这些信息调用安全诊断模块的接口查询地址协议规则库，如果匹配阻断规则成功，则阻断报文转发。如果没有匹配，需要根据IP地址调用资产管理模块接口查询资产数据库获取设备生产厂家和设备类型信息，然后再调用安全诊断模块的接口继续查询设备规则库，如果匹配阻断规则成功，则阻断报文转发。如果以上两个规则库都未匹配成功，则根据目的IP地址查询路由，将视频报文正常转发给视频监控平台。如果匹配任何一个阻断规则后，需要判断是否为首次匹配，如果是首次匹配，需要将报文IP地址、MAC地址、应用协议、设备生产厂家、设备类型信息上报到告警管理模块，如果不是首次匹配则不需要上报。

告警管理模块可以根据报文转发模块上报的信息在用户界面产生告警信息，告警的内容包括IP地址、MAC地址、应用协议、设备生产厂商、设备类型和告警发生时间。

本发明还提供一种网络摄像机接入安全防护的方法，它采用本发明所述的网络摄像机接入安全防护系统，系统可以独立部署或嵌入在现网设备中，安全策略配置模块给用户提供灵活的安全策略配置界面，用户可以基于IP地址、MAC地址、应用协议或者基于网络摄像机的设备指纹进行安全策略配置；运维管理模块给用户提供灵活的设备扫描配置界面，可以根据新增的设备信息自动创建审批工单，支持根据审批结果管理新增设备是否允许加入资产数据库，还支持对资产数据库进行增加，删除，修改和查询操作；设备扫描模块主动扫描并发现网络中设备，获取设备IP地址、MAC地址、设备生产厂商、设备类型和设备操作系统信息，通过资产管理模块查询是否为新增设备信息，上报运维管理模块；资产管理模块提供资产数据库的增加，删除，修改和查询操作接口，并支持自定义设备相关信息的字段；安全诊断模块根据安全策略配置模块下发的策略信息生成规则库，可以生成基于IP地址、MAC地址和应用协议的规则库，或基于设备生产厂商和设备类型的规则库；报文解析模块可以从报文中解析出IP地址，MAC地址和应用协议类型；报文转发模块根据报文解析模块返回的信息查询安全诊断模块中的规则库来决定报文需要阻断还是转发，并上报阻断的告警信息；告警管理模块可以在用户界面生成告警，告警的内容包括IP地址、MAC地址、应用协议、设备生产厂商、设备类型和告警发生时间。

具体实施方式：

视频监控安防网络中典型的组网模型是网络摄像机通过数据交换网络连接到视频监控平台。

本发明所述的网络摄像机接入安全防护系统可以采用主路或者旁路的方式部署到网络摄像机和视频监控平台之间的网络位置。网络摄像机发送的报文先经过接入安全防护系统才能传输到视频监控平台。本安全防护系统可以自动扫描并发现视频监控网络中的设备，并可以根据用户配置的安全策略识别该网络摄像机是否为合法接入设备或者访问行为是否合法，再决定对该台网络摄像机发送的报文是否继续转发或丢弃，从而阻止非法的网络摄像机接入到视频监控网络中，或者黑客对视频监控平台进行入侵攻击，并可上报告警。

附图说明

图1为本发明所述的网络摄像机接入安全防护系统示意图。

Claims (10)

1.一种网络摄像机接入安全防护的系统，其特征在于该系统可采用主路或者旁路部署方式，独立部署在视频监控网络中，为网络摄像机接入视频监控网络时提供安全保护，包括安全策略配置模块、运维管理模块、设备扫描模块、资产管理模块、安全诊断模块、报文解析模块、报文转发模块和告警管理模块，其中：

A.安全策略配置模块给用户提供灵活的安全策略配置界面，用户可以基于IP地址、MAC地址、应用协议或者基于网络摄像机的设备指纹进行安全策略配置，然后将安全策略下发给安全诊断模块；

B.运维管理模块给用户提供设备扫描配置的界面，可以根据新增的设备信息自动创建审批工单，支持根据审批结果管理新增设备是否允许加入资产数据库，支持对资产数据库增加，删除，修改和查询操作；

C.设备扫描模块主动扫描并发现网络中的设备，获取设备IP地址、MAC地址、设备生产厂商、设备类型和设备操作系统信息，并根据信息查询资产管理模块是否为新增设备信息，上报给运维管理模块；

D.资产管理模块提供资产数据库的增加，删除，修改和查询操作接口，支持自定义设备相关信息的字段；

E.安全诊断模块根据安全策略配置模块下发的策略信息生成规则库，可以生成基于IP地址、MAC地址和应用协议的规则库，也可以生成基于设备生产厂商和设备类型的规则库；

F.报文解析模块可以根据协议从报文中解析出IP地址，MAC地址和应用协议类型；

G.报文转发模块根据安全诊断模块中的规则库判断报文需要阻断还是转发，如果阻断可以给告警管理模块上报告警信息；

H.告警管理模块可以在用户界面产生告警，告警的内容包括IP地址、MAC地址、应用协议、设备生产厂商、设备类型和告警发生时间。

2.如权利要求1所述的一种网络摄像机接入安全防护的系统，其特征在于，安全策略配置包括：基于IP地址管控、基于MAC地址管控、基于应用协议管控、基于设备指纹管控，而且管控方式均支持黑名单或白名单方式；安全策略可以是其中一条或者几条的组合，当用户安全策略配置完成后，会下发给安全诊断模块用于生成安全规则库。

3.如权利要求1所述的一种网络摄像机接入安全防护的系统，其特征在于，运维管理模块可以配置扫描地址范围和扫描间隔，地址范围可以是具体的IP地址列表，也可以是IP地址的网段；运维管理模块可以对新增设备增加审批权限，并自动触发审批流程，可以根据审批结果决定是否允许新增设备加入资产数据库；运维管理模块给用户提供增加，删除，修改，查询资产数据库的接口。

4.如权利要求1所述的一种网络摄像机接入安全防护的系统，其特征在于，设备扫描模块可以根据配置地址范围和间隔，主动扫描并自动发现网络中的设备IP地址，MAC地地址，操作系统信息；可以主动识别前端网络摄像机的生产厂商和设备类型；当发现设备时可以向资产管理模块查询是否属于新增设备；可以提交资产管理模块向资产数据库中写入设备信息；可以提交给运维管理模块向资产数据库写入设备信息。

5.如权利要求1所述的一种网络摄像机接入安全防护的系统，其特征在于，资产管理模块可以提供资产数据库的增加，删除，修改和查询操作的接口，并支持自定义设备相关信息的字段。

6.如权利要求1所述的一种网络摄像机接入安全防护的系统，其特征在于，安全诊断模块可以生成安全规则库，可以基于IP地址生成，基于MAC地址生成，基于应用协议生成，基于设备指纹生成；也可以基于其中的某几个的组合生成规则库。

7.如权利要求1所述的一种网络摄像机接入安全防护的系统，其特征在于，报文解析模块可以根据以太网协议报文格式解析出MAC地址，可以根据IP协议格式解析出IP地址，可以根据TCP和UDP协议格式解析出端口号，从而解析出应用协议；解析的结果提供给报文转发模块，用于安全规则的匹配。

8.如权利要求1所述的网络摄像机接入安全防护的系统，其特征在于，报文转发模块可以根据IP地址、MAC地址和应用协议，也可以根据设备生产厂家和设备类型，调用安全诊断模块的接口进行安全规则的匹配，并根据匹配返回的结果对报文转发流程进行阻断，同时上报告警。

9.如权利要求1所述的网络摄像机接入安全防护的系统，其特征在于，告警管理模块可以将报文转发模块提供的阻断设备的IP地址、MAC地址、应用协议、设备生产厂家和设备类型信息，以及告警发生时间上报到用户界面，生成告警信息。

10.一种网络摄像机接入安全防护的方法，其特征在于采用权利要求1-9任一所述之一种网络摄像机接入安全防护的系统，系统可以独立部署或嵌入到视频监控网络现网设备中，既可以部署在网络摄像机接入网络位置处，也可以部署在视频监控平台网络位置处，安全策略配置模块给用户提供灵活的安全策略配置界面，用户可以基于IP地址，基于MAC地址，基于应用协议或者基于网络摄像机的设备指纹进行安全策略配置；运维管理模块给用户提供灵活的设备扫描配置界面，可以根据新增的设备信息自动创建审批工单，支持根据审批结果管理新增设备是否允许加入资产数据库，还支持对资产数据库进行增加，删除，修改和查询操作；设备扫描模块主动扫描并发现网络中设备，获取设备IP地址、MAC地址、设备生产厂商、设备类型和设备操作系统信息，通过资产管理模块查询是否为新增设备信息，上报运维管理模块；资产管理模块提供资产数据库的增加，删除，修改和查询操作接口，并支持自定义设备相关信息的字段；安全诊断模块根据安全策略配置模块下发的策略信息生成规则库，可以生成基于IP地址、MAC地址和应用协议的规则库，或基于设备生产厂商和设备类型的规则库；报文解析模块可以从报文中解析出IP地址，MAC地址和应用协议类型；报文转发模块根据报文解析模块返回的信息查询安全诊断模块中的规则库来决定报文需要阻断还是转发，并上报阻断的告警信息；告警管理模块可以在用户界面生成告警，告警的内容包括IP地址、MAC地址、应用协议、设备生产厂商、设备类型和告警发生时间。

Images