视频监控数据安全防护系统技术要求(T-SSPIA 2—2020).pdf

《视频监控数据安全防护系统技术要求(T-SSPIA 2—2020).pdf》由会员分享，可在线阅读，更多相关《视频监控数据安全防护系统技术要求(T-SSPIA 2—2020).pdf（13页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、 ICS35.200 L 80 团 体 标 准 T/SSPIA 2 2020 视频监控数据安全防护系统技术要求 Technical requirements for data security system of video surveillance 2020-02-10 发布 2020-02-10 实施 苏州市安全技术防范行业协会 发 布 T/SSPIA 2-2020 I 目 次 前 言.II 1 范围.1 2 规范性引用文件.1 3 术语、定义和缩略语.1 4 系统构成.2 5 技术要求.3 6 接口要求.6 7 试验方法.6 参考文献.10 T/SSPIA 2-2020 II 前 言 本

2、标准按照GB/T 1.1-2009给出的规则起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。本标准由苏州市安全技术防范行业协会团体标准化技术委员会提出并归口。本标准起草单位：慧盾信息安全科技（苏州）股份有限公司、苏州科达科技股份有限公司、浙江大华技术股份有限公司、江苏国保信息系统测评中心有限公司。本标准主要起草人：黄晓利、周亮、张之双、吕明、刘兴盛、方平、蓝兴建、高国平、宫勋。T/SSPIA 2-2020 1 视频监控数据安全防护系统技术要求 1 范围 本标准规定了视频监控数据安全防护系统的技术要求、接口要求和试验方法。本标准适用于视频监控系统的数据安全防护

3、系统的建设及检验。2 规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T 28181-2016 公共安全视频监控联网系统信息传输、交换、控制技术要求 GB 50348-2018 安全防范工程技术标准 3 术语、定义和缩略语 3.1.术语和定义 GB 50348-2018界定的及下列术语和定义适用于本文件。为了便于使用，以下重复列出了GB 50348-2018中的某些术语和定义。3.1.1 视频监控系统 video surveillance system 利用视频技术

4、探测、监视监控区域并实时显示、记录现场视频图像的电子系统。GB 50348-2018，定义 2.0.10 3.1.2 视频监控数据 data in video surveillance 视频监控系统在视频采集、传输、存储、应用、共享过程中形成的记录集。3.1.3 视频监控数据安全 data security in video surveillance 针对视频监控数据采取技术措施，使其免受偶然或恶意的动作，保障系统整体安全的防护能力。3.1.4 前端设备指纹 front-end device fingerprinting 用于识别前端设备的唯一标识。注：通常以 MAC 地址、IP 地址、操作系

5、统、设备类型、厂商等信息，通过某种算法生产特征字符串来用作设备指纹。T/SSPIA 2-2020 2 3.1.5 视频监控数据安全软件 security software in video surveillance 依附于用户终端及服务器运行，具有对获取的视频监控数据进行数据安全保护的软件。3.1.6 视频监控数据安全网关 security gateway in video surveillance 在视频监控系统网络和各设备之间，一种旨在按照给定的安全策略来保护视频监控数据安全的网络连接设备。3.1.7 视频监控数据安全管理平台 data security management platfo

6、rm in video surveillance 对视频监控数据安全网关、视频监控数据安全软件进行统一管理，实现各产品有机联动、信息集中处理、运行维护等功能的软硬件组合。3.1.8 视频监控数据安全防护系统 data security protection system in video surveillance 由单台或多台视频监控数据安全网关、视频监控数据安全软件、视频监控数据安全管理平台组成，保护和维持视频监控数据的保密性、完整性、真实性和可用性，提供一套保障视频监控数据及控制信令信息的全生命周期的数据安全防护系统。3.2.缩略语 下列缩略语适用于本文件。FTP：文件传输协议（File

7、Transfer Protocol）IP：因特网协议（Internet Protocol）MAC：介质访问控制（Medium Access Control）POE：以太网供电（Power Over Ethernet）PON：无源光纤网络（Passive Optical Network）：RTCP：实时传输控制协议（Real-time Transport Control Protocol）RTP：实时传输协议（Real-time Transport Protocol）RTSP：实时流化协议（Real-Time Streaming Protocol）SIP：会话初始协议（Session Initi

8、ation Protocol）TCP：传输控制协议（Transmission Control Protocol)4 系统构成 视频监控数据安全防护系统（以下简称系统），由视频监控数据安全网关（以下简称安全网关）、视频监控数据安全管理平台（以下简称安全管理平台）、视频监控数据安全软件（以下简称安全软件）三部分组成，见图 1，安全网关的配置应与视频监控系统的联网模式相适应，安全软件的配置应与用户终端或服务器相适应。功能实体之间的通道互联协议分为控制流、数据流两种类型。T/SSPIA 2-2020 3 图 1 视频监控数据安全防护系统结构示意图 5 技术要求 5.1.功能 5.1.1 身份鉴别 5.

9、1.1.1 设备身份鉴别 应保证只有经过身份鉴别的前端设备方可接入视频监控平台：a)支持基于口令的数字摘要认证方式、基于数字证书的认证方式；b)通过TCP、Telnet和FTP等多种协议组合的主动扫描技术，及RTP、RTCP和RTSP等多种网络承载协议组合的被动检测技术，获取前端设备MAC地址、IP地址、操作系统、设备类型、厂商等信息，形成前端设备指纹实现身份鉴别，并上报设备信息。5.1.1.2 用户身份鉴别 应保证只有经过身份鉴别的用户方可接入视频监控平台：a)安全软件应提供专用的登录控制模块对登录用户进行身份标识，对于无身份标识或没有通过身份鉴别的用户，安全网关应禁止其登陆系统；b)采用两

10、组或两组以上组合的鉴别技术对访问视频监控平台的用户终端进行身份鉴别。其中一组为视频监控系统自身的鉴别方式，一组为视频监控数据安全防护系统的鉴别方式；c)具备用户身份标识唯一性检查，鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用；d)具备认证失败处理功能，可采取结束会话、限制非法登陆次数和自动退出等措施。T/SSPIA 2-2020 4 5.1.2 访问控制 应对进出受保护对象的视频流设置访问控制规则，默认情况下除允许通信外拒绝所有通信：a)对源和目的MAC地址、源和目的IP地址、源和目的端口、协议类型等进行检查，以允许/拒绝数据包进出；b)支持对RTP、R

11、TCP、RTSP、SIP等标准视频协议命令级的访问控制，阻断非法协议及通信；c)支持信令流双向访问控制，媒体流单向访问控制；d)默认情况下，禁止前端设备之间互相通信；e)对前端设备、监控平台、应用平台的非授权联到外部的行为进行检查或阻断；f)对接入网络的摄像头和调阅终端最大数量进行限制。5.1.3 入侵防范 应在关键节点检测和阻断IP地址扫描、端口扫描攻击、拒绝服务攻击、Mirai类等物联网攻击行为：a)当前端设备被恶意替换时，应采取技术措施，及时检测和限制恶意入侵行为；b)当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目标、攻击时间，并告警；c)系统关闭不需要的系统服务、默认共享和高危端

12、口。5.1.4 通信传输 应根据安全策略设置视频监控数据的通信传输控制规则：a)应采用校验码技术或密码技术，保证视频监控通信过程中会话控制信令和媒体流的完整性。b)应采用密码技术，保证视频监控通信过程中的视频监控数据的保密性。5.1.5 终端防泄密 安全软件应根据安全策略设置用户终端视频使用控制规则：a)采用密码技术保证用户终端存储的视频监控数据的保密性和完整性，带离非授权环境视频监控数据应无法打开；保护视频监控数据的能力应不小于5G字节；b)具有防止截屏、录屏软件非法获取视频及截取内存和显存数据的能力；c)支持视频预览及回放页面、图片、WEB页面、数据库页面、文档页面等的截屏、录屏防护功能。

13、5.1.6 屏幕防拍摄 用户终端屏幕、指挥大屏、拼接大屏应根据安全策略设置视频防泄密水印：a)视频防泄密水印可包含终端物理、用户身份、时间、警示语、自定义等信息；b)可对视频预览、回放页面、图片、数据库页面、WEB页面及文档页面设置透明水印、二维码飘窗、隐性水印等视频防泄密水印。5.1.7 视频外发管控 应能通过授权，在用户终端将视频监控文件制作成外发数据：a)根据系统安全策略设置外发管控规则，通过申请、批复流程，下载外发数据；b)通过授权，在用户终端制作具有密码、时效、编辑、自删除、防泄密水印功能的外发数据；c)外发数据满足5.1.5、5.1.6技术要求；T/SSPIA 2-2020 5 d

14、)外发数据在时效和权限许可范围内，应无需安装专用软件使用。5.1.8 视频调阅安全 对在线调阅的视频码流应实时插入数字指纹，具有在线调阅溯源和防篡改功能：a)针对不同调阅端插入不同的调阅水印，调阅端无需安装专业软硬件即可使用，视频水印包含信息同5.1.6a)；b)可使用视频防篡改检测工具对调阅端接收的视频监控数据进行检测。5.1.9 视频数据库安全 视频数据库安全应有下述控制：a)对访问数据库的增、删、改、查等行为进行实时审计，审计日志存储6个月以上；b)根据系统安全策略对数据库实施的高危操作进行检测和阻断；c)采用数据访问控制技术，阻断非法工具连接数据库；d)对流出的数据进行脱敏处理，脱敏后

15、的数据采用校验码或者密码技术进行追溯和加密。5.1.10 视频数据节点安全 视频数据节点安全应有下述控制：a)采用密码技术和数据访问控制技术保证重要数据在存储过程中的保密性，不改变使用习惯；b)采用数据访问控制技术保证数据的可用性，阻断非法用户损毁数据，阻断勒索病毒恶意加密及删除数据。5.1.11 视频数据共享安全 视频数据共享安全应有下述控制：a)只有经过身份鉴别和系统授权下，才可以对共享数据进行访问和使用；b)通过深度报文检测等技术对流出的数据做协议识别、应用识别、内容识别，阻断非法用户对数据进行窃取；c)通过大数据分析与建模技术对流出的数据做异常检测，阻断非法夹带操作。5.1.12 安全

16、审计 5.1.12.1 当安全审计检测到可能的安全侵害事件时，应具有如下功能：a)生成实时报警信息；b)终止违例进程，取消当前服务；c)断开当前用户账号，使其失效；d)断开相关主机的通信。5.1.12.2 对审计的事件形成审计记录，审计记录应包含：事件的日期和时间、用户、事件类型、事件结果及其他与审计相关的信息。5.1.12.3 应可按审计事件的名称、时间、类型查询筛选审计事件并导出记录。5.1.13 系统管理 T/SSPIA 2-2020 6 安全管理员、安全操作员、安全审计员管理范围如下：a)安全管理员负责系统的用户账号和工作组的管理；b)安全操作员负责系统的安全策略的管理；c)安全审计员

17、负责安全管理员和安全操作员的操作审计；d)应对管理员进行身份鉴别，默认情况下除允许的系统管理员外拒绝所有登录系统操作；e)应限制管理员登录系统的IP地址或IP地址段；f)安全软件支持卸载控制功能，应采用密码技术限制非法卸载。5.2.系统性能 5.2.1 转发时延 在符合GB/T28181-2016中5.5网络传输质量要求前提下，应保证单台安全网关引入的时延不高于1ms。5.2.2 视频外发文件打开时延 应保证5G大小的视频外发文件打开时间比原始视频文件打开增加不超过5s。5.2.3 视频数据节点加解密 应保证批量视频监控应用数据节点加解密对平台整体性能损耗不高于5%。6 接口要求 系统与监控点

18、、监控中心设备的接口要求如下：a)支持千兆电、千兆光、万兆光、PON、VGA、HDMI、CVBS、YPbPr、DVI等接口；b)部署在前端的安全网关接口应支持POE供电功能；c)支持USB3.0接口、Console接口、管理接口。7 试验方法 7.1.功能检验 7.1.1 身份鉴别 7.1.1.1 设备身份鉴别 检查前端设备是否只有在通过设备身份鉴别之后才能通过接入网络，安全网关是否支持对前端设备非授权接入的告警和阻断，检查系统是否可以自动获取前端设备MAC地址、IP地址、操作系统、设备类型、厂商等信息并在管理页面上进行显示，检查是否能否限制网络最大摄像头数量、调阅终端数量，判定结果是否符合5

19、.1.1.1的要求。T/SSPIA 2-2020 7 7.1.1.2 用户身份鉴别 检查视频监控数据安全软件是否可以输入登录账号和密码，并与视频监控系统的账号口令不同；为用户设置低复杂度密码，检查系统是否可以检测，并弹窗强制修改密码为符合复杂度要求的密码；多次输入错误用户名或密码后，检查是否能够采取措施进行处理；检查是否支持同一用户重复登录的识别；判定结果是否符合5.1.1.2的要求。7.1.2 访问控制 检查前安全网关的管理页面是否具有访问控制功能，按5.1.2所列的要求逐一检查，是否按照要求的安全策略进行控制，判定结果是否符合5.1.2的要求。7.1.3 入侵防范 检查安全网关的管理页面是

20、否具有入侵防范功能；通过扫描攻击软件对前端多台监控设备进行端口扫描和IP地址扫描，检查攻击是否被阻止且在管理平台收到告警信息；使用PC替换前端设备接入，检查系统是否可以检测和阻断；系统是否可以关闭前端设备、监控系统不需要的系统服务、默认共享和高危端口，判定结果是否符合5.1.3的要求。7.1.4 通信传输 在前端设备和数字录像设备之间的链路上获取视频流，检查信令流和媒体流是否被加密；前端设备到数字录像设备的实时视频进行篡改，检查系统是否可以识别；判定结果是否符合5.1.4的要求。7.1.5 终端防泄密 通过用户终端下载5.1G的视频录像，检查文件落地后是否自动加密，检查授权用户终端是否可以正常

21、打开视频文件；将文件拷贝到系统外部的用户终端，检查是否无法打开；使用系统自带截图工具、PrintScreen键截取视频预览及回放页面、图片、WEB页面、数据库页面、文档页面等屏幕，是否无法截取到播放画面；尝试用“picpick”等截屏工具分别截取内存屏幕数据和显存屏幕数据检测系统是否具有防护截取内存和显存数据的能力；判定结果是否符合5.1.5的要求。7.1.6 屏幕防拍摄 检查终端屏幕、指挥大屏上是否具有透明水印及二维码防护信息，内容包括用户终端的MAC地址、IP地址、登录用户名、当前时间、警示语等信息；检查拼接大屏视频窗口是否显示透明水印信息；检查是否支持视频预览及回放页面、图片、数据库页面

22、、WEB页面、文档页面等的屏幕拍摄防护；判定结果是否符合5.1.6的要求。7.1.7 视频外发管控 检查用户终端是否支持视频外发文件制作申请、批复流程，是否只有批复完成后才能下载视频外发文件；检查是否具有密码认证、使用次数、起止时间、MAC地址、硬盘SN号、修改、自删除、视频水印等配置；检查系统外部用户终端是否无需安装专用软件可以直接打开外发文件，打开后设置的密码认证、使用次数、起止时间、MAC地址、硬盘SN号、修改、自删除、视频水印等功能是否有效，检查视频文件是加密，检查使用截图工具截取屏幕是否失败，判定结果是否符合5.1.7的要求。T/SSPIA 2-2020 8 7.1.8 视频调阅安全

23、 检查获取实时视频流中是否具有视频水印信息，包括视频来源、调阅者信息；用校验工具检测修改后的调阅后的视频文件，检查是否提示文件已被篡改，判定结果是否符合5.1.8的要求。7.1.9 视频数据库安全 检查系统中是否具有对数据库操作进行实时采集分析和处理，是否支持各类操作行为审计：操作源（如IP及MAC信息）、操作类型（如查询、删除、插入等）、操作对象（如数据库服务器IP和MAC、数据库表）；检查系统是否支持对数据库操作审计内容设定策略，如设定login、logout为低风险，设定select、update、insert为中风险，设定drop、delete为高风险，审计内容自动按照设定策略划分风险

24、，并对风险较高的操作进行实时告警，审计页面中显示红色警示标识；检查当有客户端对数据库执行高风险操作时（如删除表），客户端与数据库的连接是否自动断开，且无法再次连接；对数据库文件进行拷贝、删除、重命名、修改操作，检查是否被阻止；使用非法数据库工具访问数据库文件，检查是否被阻止；判定结果是否符合5.1.9的要求。7.1.10 视频数据节点安全 检查数据是否被加密存储，检查非法终端或非法进程访问数据是否被阻止；检查非法用户删除数据是否被阻止；使用勒索病毒攻击数据，检查数据是否未被加密，判定结果是否符合5.1.10的要求。7.1.11 视频数据共享安全 按5.1.11配置安全策略，检查从视频监控应用平

25、台非授权窃取视频数据是否被阻止；检查从视频应用平台下载部分维度或全部不符合要求的数据（如：数据流量、传输协议、应用类型、内容词频），是否被阻止且在可视化平台显示告警信息，异常识别率不低于80%；检查从视频应用平台下载包含敏感词的数据，敏感词是否被脱敏，脱敏后的数据是否可以被加密，判定结果是否符合5.1.11的要求。7.1.12 安全审计 检查系统审计日志是否覆盖前端设备、用户终端、视频监控平台、视频监控应用平台；检查是否包含事件的日期和时间、用户、事件类型、事件结果等信息；检查是否能够按审计事件的名称、时间、类型查询筛选审计事件并导出记录，判定结果是否符合5.1.12的要求。7.1.13 系统

26、管理 检查系统是否具有安全管理员、安全管理员、安全审计员三类系统管理员角色，功能是否符合5.1.13的要求；检查安全软件是否支持卸载输入密码功能；判定结果是否符合5.1.13的要求。7.2.系统性能检验 7.2.1 转发时延 部署全套视频监控数据安全防护系统，检查视频监控画面播放是否流畅；使用测试仪对每种安全网关进行时延测试，判定结果是否符合5.2.1的要求。T/SSPIA 2-2020 9 7.2.2 视频外发文件打开时延 制作符合5.1.7要求的5G大小的外发视频文件，分别用终端打开原视频文件和视频外发文件，记录打开所用时间，计算时间差，判定结果是否符合5.2.2的要求。7.2.3 视频数

27、据节点加解密 对视频应用平台执行1000个文件的流入动作，检查在开启数据加密和不开启数据加密两种情况的性能损耗，判断结果是否符合5.2.3的要求。7.3.接口要求检验 检查每种安全网关硬件外观是否具有第6章的接口，检查部署在前端的安全网关接口是否支持POE供电，判断结果是否符合第6章的要求。T/SSPIA 2-2020 10 参考文献 1 中华人民共和国网络安全法 2 GB/T 18336.32001 信息技术 安全技术 信息技术安全性评估准则 第3部分：安全保证要求 3 GB 20815-2006 视频安防监控数字录像设备 4 GB/T 22239-2019 信息安全技术 信息系统安全等级保护基本要求 5 GB/T 25069-2010 信息安全技术 术语 6 GB/T 28181-2016 公共安全视频监控联网系统信息传输、交换、控制技术要求 7 GB 35114-2017 公共安全视频监控联网信息安全技术要求 8 GA/T 681-2007 信息安全技术 网关安全技术要求 9 MSTL_JGF_04-025 信息安全技术 主机文件监测产品检验规范 10 上海市视频安防监控数据导出防泄密系统基本技术要求(试行)