简介GA/T 1788.2—2021《公安视频图像信息系统安全技术要求 第2部分前端设备》标准原文PDF面向公安视频监控领域的系统集成商、前端设备厂商、安全测评与检测认证人员以及需按行业标准做方案设计与合规自查的技术人员。文件给出了前端设备按传输方式有线、无线与应用场景采集类、接入类、交互类的分类方法并按安全能力划分为通用型、增强型Ⅰ、增强型Ⅱ三级逐条列出物理安全、身份鉴别、访问控制、入侵防范、数据安全、证书与密钥管理、日志安全以及无线交互类前端设备管控、无线前端设备承载业务等要求并附与GB/T 28181、GB 35114、GA/T 1400等引用标准的对应关系。压缩包仅含1个PDF文件体积约278KB轻量、便于检索可直接用于条款比对、设计对标与检测依据查证。已有110人学习下载适合作为安防项目选型与合规评审的案头参考。1. 一句话说清这套要求到底在管什么很多人第一次看到GA/T 1788.2—2021这串编号会以为它是一份产品说明书或者采购清单。其实不是。它是一份公共安全行业标准专门规定视频图像信息系统里“前端设备”该达到什么安全水平。所谓前端设备就是那些架在路口、楼道、园区的摄像头以及把它们接进网络的接入网关、无线回传模块。前端设备安全技术要求这七个字说的就是这些设备本身要满足什么条件。打个比方把整套视频图像系统看成一栋大楼后端平台是物业中控室前端设备是遍布楼里的门禁读卡器和摄像头。中控室守得再严只要有一扇门的锁是坏的整栋楼都不算安全。这份文件管的正是“每扇门上的锁”——它先把设备分成几类几级再逐条列出物理防护、身份鉴别、访问控制、入侵防范、数据安全、证书和密钥管理、日志等方面的要求。搞懂它的意义很实在设备选型、出厂检验、进场验收、安全测评时大家嘴里说的“够不够级”“过不过”依据的就是这份东西而不是谁的经验之谈。2. 为什么要分类分级三类设备、三个档位是怎么来的这套要求最先让人卡住的地方不是某个技术条款而是它先花了一整章把设备切开按传输方式分有线、无线按应用场景分采集、接入、交互再按安全能力分通用型、增强型Ⅰ、增强型Ⅱ。不先把这个坐标搞清楚后面几十条要求读起来就是一团乱麻——你会不断怀疑“这条到底要不要我满足”。分类分级的本质是承认现实世界里的设备根本不在一个水平线上。装在围墙上的固定摄像头和揣在兜里的手持终端风险来源完全不同同样一个型号带不带密码模块、支不支持证书安全能力也差着一大截。标准做的事就是把这种差异写成一张可以对照的坐标表让“这台设备该满足哪些条款”变成一个能查出来的答案而不是一场讨论。2.1 有线与无线为什么无线要多出一类“交互类”标准里写得很干脆前端设备基于无线通信技术完成接入、传输及使用的就是无线前端设备。接着往下切——有线分采集类、接入类两类无线分采集类、接入类、交互类三类。采集类是真正“看”和“听”的那一层摄像头、拾音器、各类传感器都算接入类是把这些设备汇聚起来接进网络的网关、交换机、编码器。这两类有线无线都有因为职责是固定的谁都得有。无线多出来的“交互类”是这份文件里特别值得多看一眼的地方。为什么有线没有这一类因为一根网线插上去设备的物理边界基本就定死了它只能在那个口子上说话身上也没有多余的开关。而一台带无线模块的便携设备今天在 A 点、明天在 B 点能连热点、能插 U 盘、能装应用、能开蓝牙和定位。它的风险面是“它自己能连上什么、能装进什么”。正因如此标准给交互类单独写了一整节管控要求硬件能力和外围接口要可配置可管控管控对象包括 USB、扩展存储、蓝牙、定位服务、网络连接、摄像头、麦克风只能使用运营商 VPDN 或无线专网链路接入禁止跨网络和互联网连接禁止开启热点、禁止设备间相互直连禁止操作系统或应用与未知、未授权服务器交互应用发布下载安装要用数字签名并用黑白名单控制安装卸载更新权限还要能采集上报设备状态包括获取 ROOT 权限行为、登录失败行为、SIM/USIM 卡状态、密码模块状态、证书状态和互联网连通性状态还要支持远程锁定解锁、数据擦除、远程关机重启、定位信息上报。打个比方有线设备像装在墙上的固定电话你只要管好那根线无线交互类设备像一部能装应用、能开热点、能插卡的手机你得管它身上的每一个开关。这就是“交互类”只有无线才有的原因——不是有线设备不重要而是它的物理形态天然把很多口子堵住了。2.2 通用型、增强型Ⅰ、增强型Ⅱ三个档位不是质量等级分级这一层很多人第一眼会读成“低配、中配、高配”然后下意识觉得“买最贵的就对了”。这个理解偏得有点远。标准说的是前端设备根据安全能力分为通用型、增强型Ⅰ、增强型Ⅱ三级。注意是“安全能力”不是性能、不是清晰度、不是价格。它衡量的是一台设备“能扛住多少种攻击面”而不是“画质好不好”。同一个型号可能因为固件版本不同、带不带密码模块、支不支持证书认证落在不同级别上。更关键的是档位和设备类别是交叉的。不是“增强型Ⅱ就什么都强”而是要看它在哪一类设备里。表 1 里能看得很清楚有些条款在通用型上就是“应”有些只有增强型才需要满足还有一些条款只在无线设备那一列出现。比如“具有密码模块的前端设备其密码模块应具有不可更改的唯一电子身份标识”这一条在所有通用型列上都是“—”只在增强型上才是“●”。也就是说通用型设备不承担这项责任讲它“缺了这条”是不成立的。还有一个容易被跳过的细节标准写明增强型无线前端设备可通过纵向安全防护系统接入。这句话的分量在于承认现实——现场总会有必须用无线的场景与其一刀切堵死不如给它一条管得住的通道。这是一种工程思维不和现实较劲而是给现实加约束。2.3 那张“打勾表”到底怎么读标准正文里最容易劝退的就是安全要求与设备类别的对应关系那张表。一整页的圆点和横杠横着几十个条款号竖着十几种“类别 × 等级”的组合第一次看基本会懵。读法其实就三步。第一步先确定你的设备落在哪一列先看有线还是无线再看采集、接入还是交互最后看通用型、增强型Ⅰ还是增强型Ⅱ。第二步顺着这一列往下扫只关心三种符号——实心圆点表示应满足空心圆点表示宜满足横杠表示不需要满足。第三步把这一列里所有实心圆点对应的条款号抄出来那就是这台设备必须过的清单。举个具体例子。假设手里是一台有线采集类设备等级是通用型。顺着列看下去物理安全里“根据使用环境和安全需要采取防物理破坏、防电磁干扰、防阻挡屏蔽、防雷、防水、防尘、稳定电力供应等措施”是实心圆点“重要部件应有明显的不易除去的标记”也是实心圆点而“密码模块遭到破坏时应报警”是横杠身份鉴别里“唯一电子身份标识”和“基于口令的数字摘要认证”是实心圆点“密码模块的唯一标识”和“基于数字证书的设备身份认证”是横杠证书和密钥管理整节全是横杠。翻译成人话这台设备必须有唯一电子身份标识必须支持口令摘要认证但不需要密码模块、不需要证书认证、不需要配一整套密钥体系。把等级换成增强型Ⅱ同一行里那几条就全变成实心圆点了。升级档位带来的不是“更好”而是“多了几道必须过的关”。这个区别在验收现场吵起来的时候特别重要。提示读这张表永远先看列、再看符号最后才翻条款正文。条款正文只告诉你“怎么满足”不告诉你“要不要满足”。3. 身份鉴别与访问控制前端设备的门锁到底怎么装如果说第 2 章解决的是“哪些条款归我管”这一章解决的是“这些条款到底在要求什么”。身份鉴别和访问控制是整份文件里条款最密、也最容易被做成形式主义的两块——设备上确实有登录框也确实有密码但那个密码是不是默认的、账号是不是共享的、失败几次会不会锁才是真正决定安不安全的地方。3.1 唯一电子身份标识设备也得有“身份证号”标准第一件事是要设备有身份。原文要求前端设备应具有唯一电子身份标识采用 GB/T 28181 协议或 GA/T 1400 协议传输的前端设备其电子身份标识的编码规则应符合 GB/T 28181—2016 的相关规定。紧接着还有一条更严的具有密码模块的前端设备其密码模块应具有不可更改的唯一电子身份标识编码规则应符合 GB 35114—2017 附录 B 的规定。为什么这件事排在这么前面因为后面所有的鉴别、授权、审计都建立在一个前提上——系统得知道“你是哪一台”。如果两台设备的标识可以互相冒充或者标识能被改写那么后面记的日志、发的证书、做的授权全都失去意义。这就好比一个小区里所有门牌号都能自己改快递永远送不到正确的人手上。“不可更改”这四个字是重点。电子身份标识如果能在设备上随便改攻击者拿到一台设备改个标识就能顶替另一台合法设备接入日志里记录的还是那台合法设备的身份。所以这条要求不是形式主义它是在给整个信任链打地基。3.2 口令、动态口令、数字证书三种开门方式各管一段身份鉴别这一块标准没有指定唯一做法而是列了几条路并且说清了每条路各自对应什么场景。第一条是口令。前端设备接入时以及采集类设备连接接入类设备时采用基于口令的数字摘要认证方式进行认证其口令应具有复杂度控制、定期更换、加密传输和存储的能力并且应和账号不同。这里每一个附加条件都在补一个经典漏洞口令不能和账号一样否则猜中账号等于猜中口令口令要能定期更换否则一次泄露就是永久泄露口令要加密传输和存储否则抓个包或者拆个存储就全拿到了。第二条是动态口令。采用动态口令方式认证时认证流程应符合 GM/T 0021 的规定。这条路适合不方便长期保存静态口令的场景。第三条是协议自带的鉴别流程。采用 GB/T 28181 协议传输的认证流程应符合该标准相应条款采用 GA/T 1400 协议传输的应符合 GA/T 1400.4—2017 中 7.2.1 及 7.3.1 的规定采用 HTTP 协议访问的应支持安全模式进行身份认证比如 Digest 认证、WSSE 认证。这几条的意思很明确走哪条协议就按那条协议规定的姿势鉴别别自己发明一套。第四条是数字证书。前端设备接入时以及采集类设备连接接入类设备时采用基于数字证书的设备身份认证其认证流程应符合 GB 35114—2017 附录 C 中 C.2 的规定。这条路是增强型设备才必须走的对应第 2 章说的那个档位差异。四种方式不是“任选一个交差”而是要和设备所在的列对应。通用型有线采集类设备走口令摘要认证就够增强型就必须上证书。分不清这一点方案就会做偏。3.3 连续失败五次锁五分钟一条写得很“工程”的要求标准里有几条要求写得非常具体具体到让人怀疑是不是抄了某次事故的处理记录。最有代表性的是鉴别失败处理前端设备在连续鉴别失败 5 次后应锁定该账号不低于 5 分钟可支持对连续鉴别失败次数和锁定时间设置。这条要求防的是暴力猜解。如果设备允许无限次尝试攻击者可以用脚本一天试几十万次口令复杂度再高也扛不住。设一个失败阈值加锁定时长就把“无限次尝试”变成了“单位时间内只有几次机会”攻击成本瞬间被拉高。另一半是解锁账号锁定后可通过至少 1 种及以上方式进行解锁比如由更高权限用户进行解锁。这句看着不起眼其实是在防另一类事故——设备锁死之后没人能进去恢复现场只能拆机重刷。标准要求留一条恢复通道但这条通道本身也要有权限控制。配套的还有超时处理通信会话应支持设置最大超时时间超时时间可修改的应仅由已授权的用户进行设定通信会话在最大超时时间内若没有进行任何操作应终止会话再次操作时应进行身份鉴别。这三条连起来看是一个完整的会话生命周期进得来要有凭据试错要有代价挂着不动要自动退出退出后再动要重新验身。很多现场的安全问题不是出在密码学上而是出在“登录之后一直挂着”这种细节上——值班室的电脑开着管理页面人走开半小时谁路过都能点两下。3.4 访问控制真正卡人的四个地方访问控制这一节列了十条但真正在现场容易出问题的主要是下面四类。第一类是默认账户。首次登录时应重命名或删除默认账户对于无法删除的默认账户应修改其默认口令。这条几乎是所有设备安全的入门课也是最容易偷懒的地方——出厂账号admin配admin装完就没人管了。标准还补了一条采集类设备应支持采用专用工具集中统一设置管理账户口令。这条的用意是让批量部署的设备不必逐台上门改密码否则几百个点位改密码本身就会变成一场灾难最后大概率不了了之。第二类是账户卫生。应支持删除或停用多余的、过期的账户禁止共享账户。共享账户的麻烦在于审计——日志里记的是同一个用户名出了事根本查不到是谁操作的。禁止共享账户本质是让日志有意义。第三类是权限粒度。应支持授予管理类用户所需的最小权限实现管理类用户的权限分离访问控制的粒度应至少包括 IP/MAC 等属性。前一句是“别给人多余的权力”后一句是“别让谁都能从任何地方连进来”。最小权限加权限分离是为了避免一个账号被拿下就等于整个设备失守。第四类是访问入口的收口。用户通过系统访问前端设备时前端设备只接收基于 GB/T 28181—2016、GA/T 1400—2017 或 GB 35114—2017 的协议访问用户直接访问前端设备时前端设备只接收特定 IP 地址的访问或基于外设的访问。这两条把“谁能从哪儿进来”说死了走系统的走规定协议走直连的走白名单 IP 或者物理外设。中间那些“随便一个浏览器输入地址就能进”的路径是被明确排除的。另外还有两条容易被当成小事应禁止非授权用户访问操作系统的系统文件应禁止非授权用户对前端设备上的软件进行配置或变更。设备的系统文件和配置一旦被改前面所有的鉴别和授权都可能被绕过所以这两条其实是兜底。3.5 入侵防范不是装杀毒软件是“关掉用不上的东西”入侵防范这一节的思路和很多人想象的“装个防护软件”完全不一样。它的第一条就是应支持遵循最小安装要求可仅安装必要的组件和应用程序。第二条应支持关闭不需要的系统服务、默认共享和高危端口。这两条放在最前面是有道理的。绝大多数被拿下的设备问题不出在攻击手段多高明而是设备上开着一堆根本用不上的东西——测试用的调试服务、出厂留下的默认共享、为了图方便打开的高危端口。每多开一个就多一个被人摸进来的口子。最小安装和关闭冗余服务是把攻击面从“一屋子门”缩到“一扇门”。接下来才是补漏洞和加密通道应支持以版本升级等方式修补漏洞应支持采用 SSH、TLS 等安全协议进行业务访问和远程管理应支持通过数字签名校验的升级包进行升级。第三条特别关键——升级包如果没有签名校验攻击者只要能往升级通道里塞一个包就能让设备自己把自己换掉这比任何漏洞都彻底。还有检测和告警应有信令校验失败等事件的检测能力并记录日志或告警提示。信令校验失败往往意味着有人在尝试伪造或者篡改指令这是一个很早期的信号记录下来才有可能被发现。无线设备在这一节还多几条应支持接入认证功能禁止使用 WEP 方式进行认证应默认关闭 WPA 功能应能检测 SSID 广播、WPS 等高风险功能的开启状态默认关闭 SSID 广播。这三条后面还会专门讲因为它们是最容易被读串的地方。4. 容易混淆的几个点别把这几件事当成一件事读标准最难的地方往往不是条款看不懂而是把几条不同的要求混成一锅最后做出来的东西看着挺全实际一条都没对上。下面这几组是实际工作里最容易混的值得单独拎出来说清楚。4.1 “应”“宜”“不需要”三个符号的分量完全不同易混点把实心圆点和空心圆点当成一回事或者把横杠理解成“可以做也可以不做”。为什么混那张表里三种符号长得太像一眼扫过去全是点和横杠而且很多内部规范在转述时会统一写成“需满足”把差别抹掉了。怎么区分回到定义。实心圆点是“应满足”属于硬性条款缺了就是不符合空心圆点是“宜满足”属于推荐做法可以用等效手段替代横杠是“不需要满足”意味着这一档设备根本不承担这项责任不是“可以偷懒”。判断时先看列再看符号千万别只看条文正文——正文里每条都写着“应”但那是对“适用它的设备”说的。4.2 认证和加密不是同一件事易混点以为“上了数字证书”就等于“数据加密了”或者反过来以为“数据加密了就不用做设备认证”。为什么混两者都跟密码学有关条款里又挨着写术语还都带“证书”“密钥”这些字眼。怎么区分认证解决“你是谁”加密解决“别人看不见”。基于数字证书的设备身份认证属于身份鉴别那一条线流程指向 GB 35114—2017 附录 C 的 C.2数据加密属于数据安全那一条线比如重点区域、重点行业或重要部位前端设备的视频流在传输、存储、调看等环节应符合 GB 35114—2017 的 C 级规定无线前端设备采集数据的完整性和保密性也应符合该标准采集的除视频流外的重要数据同样要确保传输、存储的保密性和完整性。一台设备完全可能认证做得很规范但采集数据明文传输——这两件事必须分开查。4.3 增强型Ⅰ和增强型Ⅱ不是“高配万能”易混点以为等级越高所有条款就都要满足或者反过来以为通用型什么都不用做。为什么混“增强”这两个字天然带“全面加强”的暗示很容易让人联想到“全都得上”。怎么区分等级只在表 1 的列上起作用具体哪些条款打实心圆点是逐行规定的。有些条款在三个等级上全是实心圆点说明这是基本功跟档位无关有些条款只在增强型上出现比如“密码模块应具有不可更改的唯一电子身份标识”“基于数字证书的设备身份认证”这两条在通用型列上全是横杠。所以正确的问法不是“增强型是不是要求更多”而是“我这台设备落在哪一列那一列里到底有多少个实心圆点”。4.4 日志留 180 天是“宜”别当成硬指标易混点把日志安全里的几条要求当成一条觉得“有本地存储就必须留 180 天”。为什么混这几条挨着写都在同一节而且都挂在“具有本地存储功能的前端设备”这个前提上。怎么区分分开读。启用日志、覆盖到每个用户、对重要的用户行为和重要安全事件做记录用的是“应”日志记录内容包括事件的日期和时间、登录、重启、注销、异常报警、账户锁定等事件类型以及源 IP 地址、目标 IP 地址、用户等信息用的也是“应”而“用户行为日志和安全事件日志宜保存 180 天或支持以 Syslog 等方式上传”用的是“宜”。也就是说做不到 180 天但能稳定传出去是符合的两条都做不到才是不符合。这条差别在验收现场经常被争翻回原文看那个字就能定。4.5 无线管控里的几条“反直觉”要求易混点把 WEP、WPA、SSID 广播、WPS 这四件事混成一锅“无线安全”觉得关掉其中一个就等于全关了。为什么混它们都是无线配置页上相邻的选项名字长得也像而且都跟“关”有关。怎么区分逐条对号。禁止使用 WEP 方式进行认证说的是认证方式默认关闭 WPA 功能说的是这项功能默认不能开着能检测 SSID 广播、WPS 等高风险功能的开启状态并且默认关闭 SSID 广播说的是既要能看见状态又要在默认状态下关掉。三条的对象和动作都不同——一个是“禁”一个是“默认关”一个是“能检测还要默认关”。它们合起来表达的其实是同一个意思无线设备的出厂默认配置要往“最小暴露”的方向靠别一上电就主动广播自己、主动开放高风险功能。5. 什么时候该用这套要求什么时候别硬套标准自己写明了适用范围适用于前端设备的设计、制造和检验。注意这三个词——设计、制造、检验它没说“适用于所有采购”也没说“适用于所有运维”。这个边界划得挺清楚。适合套的场景有三个。一是设备选型要把“这台设备够不够级”说清楚需要一个可判定的依据。二是出厂检验和进场验收需要一条能对照的线而不是靠现场感觉。三是安全测评需要一个明确的条款清单来打勾。这三种场景的共同点是你需要一个“能给出是或否”的标准。不适合硬套的场景也有三个。第一种把这份要求当成通用网络安全规范用——它只管前端设备这一层平台侧、交互链路、管理平台各有各的部分硬套会得出很多莫名其妙的结论。第二种拿它当产品性能指标——它不谈分辨率、不谈码率、不谈夜视距离只谈安全能力。第三种脱离类别和等级直接背条款——同一句“应支持数字证书认证”在通用型设备上可能根本不需要在增强型上就是硬指标。不看列就背条文几乎一定做错。5.1 一份设备安全画像卡怎么填实际工作里比较省事的做法是先给每台设备建一张“安全画像卡”把类别和等级落到纸面上再对着表查必查项。下面这张是示例字段名和取值是为了表达“类别 等级 → 必查条款”这层映射不是标准原文。# 设备安全画像卡字段命名为示例非标准原文 device: 园区南门摄像头 category: wired-capture # 有线 采集类 level: enhanced-1 # 增强型Ⅰ checks: unique_device_id: required # 唯一电子身份标识 crypto_module_id: required # 密码模块不可更改的唯一标识 digest_auth: required # 基于口令的数字摘要认证 cert_auth: required # 基于数字证书的设备身份认证 lock_policy: 5次/5分钟 # 连续鉴别失败后的账号锁定 max_session: required # 可设置最大会话数量 key_management: required # 证书和密钥管理 log_enabled: required # 启用日志并覆盖到每个用户 log_retention: optional # 保存180天或Syslog上传属“宜”这张卡的用处是把“读标准”变成“填表”。category决定你落在表里的哪一列level决定这一列里哪些格是实心圆点checks里每一条都要能指回具体条款指不回去的就说明这条是凭印象加上去的得回去核对。log_retention特意标成 optional因为那一条用的是“宜”这一点上一章已经说清楚了。这里有条踩坑经验最容易写错的是crypto_module_id和cert_auth这两项。有人在通用型设备上写了这两条结果发现设备根本没有密码模块验收时对不上也有人该写没写到了增强型才发现证书体系还没搭起来。这两条到底要不要完全取决于level落在哪一档。5.2 三种不适合硬套的情形再补三种常见的不适配。一种是设备已经在网上跑了七八年固件早停止更新这时候拿增强型Ⅱ的条款去要求它大概率要求一条缺一条——正确做法是先确认它属于哪一类哪一级再看那一列里到底有多少个实心圆点而不是把所有条款一股脑搬出来。第二种是把无线交互类的管控要求往有线设备上套那一整节只对交互类成立套到有线采集类设备上纯属自找麻烦。第三种是把“宜”当“应”日志保存 180 天就是这样它是一条推荐做法做不到可以换成 Syslog 上传而不是直接判不合格。注意判断一条要求到底适不适用永远先回到表里找到那一列再看那一行的符号。条款正文只负责说“怎么满足”不负责说“要不要满足”。从那以后我每次拿到一台设备都会先填那张画像卡把类别、等级、必查项三样写死再去翻条款正文——不然几十页看下来很容易把别的档位的要求记成自己的等验收时才发现对不上。希望帮到你。本文还有配套的精品资源点击获取
排查与解决方案)
