网络视频监控系统是基于IP网的图像远程监控、传输、存储、管理的视频监控系统，将分散、独立的图像采集点进行联网，实现跨区域的统一监控、统一存储、统一管理、资源共享。
1网络视频监控系统概述及其安全威胁
1.1网络视频监控系统
网络视频监控系统是基于IP网的图像远程监控、传输、存储、管理的视频监控系统，将分散、独立的图像采集点进行联网，实现跨区域的统一监控、统一存储、统一管理、资源共享。典型网络视频监控系统主要由前端监控设备(摄像机、视频服务器/编码器)、监控中心(中心服务器)、监控客户端(监控工作站)三部分组成。通过对网络视频监控系统所面临的安全状况的分析，网络视频监控系统的安全性在总体结构上分为四个层次：物理安全、接入安全、传输和网络安全、业务安全和信息安全。
1.2视频监控系统面临的安全威胁
视频监控网络中通常存在哪些威胁?我们根据对视频监控网络的结构、业务特征进行分析，主要威胁如下：
(1)前端设备(网络摄像头)的非法替换接入;
(2)视频监控网络的终端、网络设备非法接入;
(3)NVR/集中管理系统自身的安全漏洞，如系统漏洞、弱口令等;
(4)视频监控系统管理终端的安全问题;
(5)使用视频监控网络的人员的安全问题。
我们可以看到，事实上从前端设备终端、网络环境、管理系统、管理终端到管理人员，这些任何一个环节出现问题都可能带来严重的安全事件。因此，保护视频监控网络绝不是一个头痛医头、脚痛医脚的问题，需要一种全局的思维，一个全方位多维度的安全解决方案从根本上解决问题。
2视频监控信息安全机制的标准
针对网络视频监控系统的安全威胁，业界制定了多种安全机制，主要有ONVIF(Open Network Video Interface Forum，开放型网络视频产品接口开发论坛)、CCSA《电信网视频监控系统安全要求》等标准。此外，运营商和厂商各自制定了针对自己系统的安全标准和解决方案，其中ONVIF和《城市监控报警联网系统技术标准安全技术要求》是业界采用比较多的监控标准。ONVIF由安讯士网络通讯公司联合博世集团及索尼公司三方携手共同成立，关注IP视频监控，目标是实现一个网络视频框架协议，使不同厂商所生产的网络视频产品(包括摄录前端、录像设备等)完全互通。ONVIF规范向视频监控引入了Web Services的概念。设备的实际功能均被抽象为Web Services的服务，视频监控系统的控制单元以客户端的身份出现，通过Web请求的形式完成控制操作。
由于ONVIF基于Web Services，Web Services主要利用HTTP和SOAP使数据在Web上传输，其在信息安全方面主要有以下要求：
(1)获取或设置访问安全策略。
(2)服务器端HTTPS(secure hypertext transfer protocol，安全超文本传输协议认证。
(3)客户端HTTPS认证。
(4)密钥生成和证书下载功能。
(5)IEEE 802.1x supplicant认证。
(6)IEEE 802.1x CA认证。
(7)IEEE 802.1x配置。
(8)在信息安全性方面，ONVIF规范支持摘要认证和WSS安全框架。
(9)在用户认证方面，最基本验证包括HTTP摘要认证和WSS摘要认证(用户名令牌描述(username token profile))，高级验证包括TLS-based access。
(10)在用户认证通过后，通过“获取或设置访问安全策略”实现基于用户的权限控制，以授权其能访问的前端监控设备。
在信息的安全通信层面，ONVIF规范定义了两种通信层面的安全架构：传输层安全(transport layer security，TLS)和消息层安全。传输层安全协议用于保护ONVIF提供的所有服务。同时还需要保护媒体流的RTP(real-time transport protocol，实时传输协议)、RTSP/HTTPS。设备应该支持TLS 1.0、TLS 1.1，可以支持TLS 1.2;加密算法支持TLS_RSA_WITH_AES_128_CBC_SHA、TLS_RSA_WITH_SHA。客户端应支持TLS 1.1、TLS 1.0，加密算法。
支持TLS_RSA_WITH_AES_128_CBC_SH、TLS_RSA_NULL_SHA。在服务器端认证方面，设备支持X.509(X.509是由国际电信联盟(ITU-T)制定的数字证书标准)服务器认证。RSA key长度至少为l024 bit，客户端支持TLS服务器认证。客户端认证功能可以在设备管理命令中禁止和启用。支持TLS的设备应该在证书请求中支持RSA认证类型。而且应该支持RSA客户端认证和签名验证。
3安全机制的应用建议
通常，一个监控系统应根据加密等级和系统架构的不同采用相应的安全机制。对于一般的安全监控系统，要求支持对业务数据访问权限进行安全认证和授权，实现业务信令流的加密和传输。访问权限的安全认证可采用口令、数字证书或数字摘要等标准算法，信令流的加密算法根据业界标准可采用DES、3DES、AES(128bit)等算法，信令流的安全传输可根据监控架构协议采用不同的通信安全协议，如HTTPS、IEEE802.1x等。
视频监控平台服务器定期随机产生一个AES加密/解密密钥。分别使用各个终端或客户端用户密码对AES加密密钥进行加密，形成传输密钥发往各个设备，各个设备对传输密钥的内容进行解密，即可获取AES加密/解密密钥。在以后的监控过程中，所有设备就可以使用该AES加密/解密密钥对信令和媒体码流进行加密和解密。
对于监控系统中静止的数据，如存储的录像文件、音频数据，为保证安全性，需要加密处理，可采用通用的针对录像文件加密的方法，如3DES、AES(128 bit)、SCB2等。为了确保图片和视频数据的安全可靠，监控系统还可采用数字摘要、数字时间戳及数字水印等技术防止信息的完整性被破坏。
作者：潘震环 来源：科教导刊·电子版 2016年15期
