视频监控系统中的网络安全控制设计思路

视频监控系统管理需凭借多年的行业沉淀与技术积累，是结合公安部信息安全等级保护、保密局涉密信息系统分级保护政策要求，以自主研发的NACP准入控制技术为基础，研发的全新一代专注于视频监控网络的信息安全管理系统。

系统采用linux嵌入式系统与网络协议分析模块结构相结合技术，对网络内接入的各类设备进行识别、过滤、阻断，确保接入视频监控网络设备的合法性和安全性，与此同时对运行中的设备进行实时监控，利用独有的感知发现技术，及时发现网络中伪冒、入侵、异常的设备，从而保障整体网络安全运行。

系统采用新一代准入控制技术，主要设计理念是网络设备信息绑定，消除非法入侵和操作监控，实现警用交通视频设备的准入控制管理。根据"不要更改网络，不要依赖网络设备，部署简单"的特点，本发明与各种复杂的网络环境兼容，支持分布式快速部署，解决了非法设备免费访问公安交通警察视频网络的问题，达到了"可以看到信任访问、访问权限、访问权限"的管理规范。

通过SNMP协议、数据链路发现协议和设备特征识别技术，系统采用主动检测和被动协议分析技术对视频监控网络中的所有前端设备进行检测和识别。系统通过协议分析后可获得网络内设备的信息，与系统数据库进行对比，鉴别设备的合法性，识别得到的设备属性主要包括设备类型、设备型号、设备IPMAC信息及设备唯一标识码、厂商等，同时采用网络感知发现模块，对网络内设备运行情况进行实时监控，检测是否存在设备异常，设备是否被伪冒替换、是否存在陌生入侵设备。系统将利用后台合法设备数据对检测到的前端设备信息进行综合验证，对接入设备进行校准，并自动报警和中断非法接入设备系统。

系统可以根据连接到网络的设备的实际情况生成动态网络拓扑图，可以显示相关设备的IP地址，设备制造商和设备型号等信息，并可以与入侵相关联检测功能，实现报警图形化和方便。经理执行快速故障定位。

IP地址的合法性是网络正常通信的重要组成部分，决定了网络能否正常使用。在实际的运行维护过程中，管理者往往无法正确判断IP地址的实时在线状态，导致IP地址的重复分配和网络风暴。

系统为这些问题提供可视IP地址使用信息。根据网络的IP地址，信息分为三种模式：“可用”，“已分配”和“关闭”。管理员可以快速识别当前地址的状态。

系统采用可视化设备管理技术，可以清晰的了解组织结构下设备的分类、数量、在线状态，可对设备类型进行分类查询，设备列表中显示设备的类型、IP、MAC、厂商、唯一标识、物理位置（摄像头经纬度）、入网状态（信任/隔离）、事件信息（新增、网络入侵、MAC变化、类型失联、类型变化、唯一标识变化、离线）等信息。该设备可以通过一个密钥被信任和访问，通信可以被隔离，列表中的设备可以被物理地定位和操作。

系统集成了地图离线包，保留了警察地理信息系统（PGIS）接口，可与PGIS系统完美对接，提取摄像机的位置信息，并自动将摄像机分布关联到矢量地图。当摄像机检测到故障或异常时，它会与警报模块链接。当平台弹出告警信息时，闪烁的告警会自动定位在地图上，并在地图上显示红色，以便管理员快速区分并提高维护效率。

在GIS地图中嵌入的高级聚合分析技术使可视化成为图像报表，拒绝"盲人触摸图像"。用户可以直观地了解该区域中设备的分布和数量。

系统报警模块内置多种报警触发事件（网络入侵、MAC变化、类型失联、类型变化、唯一标识变化、离线等），支持对发生事件类型自定义报警等级（警告、严重、致命）。报警模块与设备发现模块，识别感知模块，录取控制模块，入侵，虚假欺诈，离线等事件实时交互，触发报警机制，可发送报警邮件，报警短信，报警窗口消息，并在 GIS 地图定位，网络拓扑图闪烁校准..在告警管理中，可以查看告警的详细信息，包括告警时间，告警设备类型，告警IPMAC，事件类型，告警内容，网络访问状态等。管理员可以手动定位告警设备，查看物理位置，并修改网络访问状态。

系统的图表管理功能可以实现对视频网中的网络设备运行情况进行汇总展现，功能包含在线率趋势统计、安全态势分析、弱口令检测统计、IP地址使用分析、资产分布统计、入侵伪冒分布分析，管理人员通过图表分析结果可对存在安全薄弱的区域组织、设备类型进行提前安全预警，方便管理人员及时对网络进行安全加固。