selfrelease
a329d4906b
- 方案文档: AVCC 体系建设、IPTV TCS 需求(0-req)/PRD(1-prd)/任务(2-task)/二三四期任务 - tcs-iptv: Go 后端(哈希SDK/MA码生成/可信数据空间mock/业务编排/HTTP API+HMAC鉴权) - web-console: React+AntD 监管大屏(角色工作台/全流程演示/监管片库) - 一剧一码+集级哈希, 集级下架/恢复, 全栈测试通过
230 lines
16 KiB
Markdown
230 lines
16 KiB
Markdown
# AIGC-Hub 安全与合规架构详图 — 绘制描述
|
||
|
||
> 用途：面向安全/合规专家，展示等保三级全栈落地方案
|
||
> 建议工具：draw.io / Figma / PPT
|
||
> 画布方向：横版，左侧为六安全域拓扑，右侧为数据加密链路 + 隐私计算方案
|
||
> 建议尺寸：16:9 单页
|
||
|
||
---
|
||
|
||
## 一、整体构图逻辑
|
||
|
||
**"域 + 链 + 盾"** 三部分：
|
||
|
||
- **左区（40%）**：六安全域网络拓扑 — 物理/逻辑隔离关系
|
||
- **中区（30%）**：数据全生命周期加密链路 — 从传输到存储到销毁
|
||
- **右区（30%）**：等保三级九项落实矩阵 + 隐私计算四方案
|
||
|
||
---
|
||
|
||
## 二、左区：六安全域网络拓扑
|
||
|
||
```
|
||
┌──────────────────────────────────────────────────────────────┐
|
||
│ 六安全域拓扑图 │
|
||
│ │
|
||
│ ┌────────── 公网(互联网) ──────────┐ │
|
||
│ │ │ │
|
||
│ │ WAF + DDoS防护 + CDN │ │
|
||
│ │ │ │
|
||
│ └────────────────┬─────────────────┘ │
|
||
│ │ 443(HTTPS/TLS1.3) │
|
||
│ ┌────────────────▼─────────────────┐ │
|
||
│ │ ① DMZ 区 │ │
|
||
│ │ │ │
|
||
│ │ Kong API Gateway (3 replicas) │ │
|
||
│ │ · JWT/HMAC鉴权 │ │
|
||
│ │ · 限流/熔断 │ │
|
||
│ │ · 请求日志（脱敏） │ │
|
||
│ │ · IP白名单（监管专线） │ │
|
||
│ └────────────────┬─────────────────┘ │
|
||
│ │ mTLS (Istio) │
|
||
│ ┌────────────────▼─────────────────┐ │
|
||
│ │ ② 应用区 │ │
|
||
│ │ │ │
|
||
│ │ 微服务Pod (NetworkPolicy隔离) │ │
|
||
│ │ · code-svc · review-svc │ │
|
||
│ │ · workbench-svc · settlement │ │
|
||
│ │ · 服务间mTLS加密 │ │
|
||
│ │ · Pod Security Standards │ │
|
||
│ │ · Falco 运行时防护 │ │
|
||
│ └─────────┬──────────┬────────────┘ │
|
||
│ │ │ │
|
||
│ ┌─────────▼──┐ ┌───▼────────────┐ │
|
||
│ │ ③ 数据区 │ │ ④ AI推理区 │ │
|
||
│ │ │ │ │ │
|
||
│ │ PG(加密) │ │ Triton Server │ │
|
||
│ │ Redis │ │ GPU独占 │ │
|
||
│ │ Kafka │ │ 模型文件加密 │ │
|
||
│ │ ClickHouse │ │ 推理日志审计 │ │
|
||
│ │ MinIO(SSE) │ │ │ │
|
||
│ │ │ │ 仅应用区可访问 │ │
|
||
│ │ 仅应用区 │ └────────────────┘ │
|
||
│ │ 白名单访问 │ │
|
||
│ └─────────┬──┘ │
|
||
│ │ 专线/VPN │
|
||
│ ┌─────────▼──────────────┐ ┌──────────────────┐ │
|
||
│ │ ⑤ 区块链区 │ │ ⑥ 监管区 │ │
|
||
│ │ │ │ │ │
|
||
│ │ ChainMaker 5节点 │ │ regulatory-svc │ │
|
||
│ │ 联盟组织专线互连 │ │ 专线对接广电总局 │ │
|
||
│ │ HSM密钥管理 │ │ 安全数据交换网关 │ │
|
||
│ │ 国密SM2/SM3/SM4 │ │ 单向数据推送 │ │
|
||
│ │ │ │ 审计日志不可删 │ │
|
||
│ └────────────────────────┘ └──────────────────┘ │
|
||
│ │
|
||
│ 防火墙规则摘要： │
|
||
│ · DMZ → 应用区：单向，仅转发已鉴权请求 │
|
||
│ · 应用区 → 数据区：白名单端口（5432/6379/9092） │
|
||
│ · 应用区 → AI区：白名单端口（8000/8001 Triton） │
|
||
│ · 应用区 → 区块链区：白名单端口（gRPC 12301） │
|
||
│ · 监管区：仅出站（推送数据），不接受入站 │
|
||
│ · 所有区间：零信任，默认拒绝 │
|
||
└──────────────────────────────────────────────────────────────┘
|
||
```
|
||
|
||
---
|
||
|
||
## 三、中区：数据全生命周期加密链路
|
||
|
||
```
|
||
┌──────────────────────────────────────────────────────────────┐
|
||
│ 数据全生命周期安全链路 │
|
||
│ │
|
||
│ ┌─── 传输加密 ───┐ ┌─── 存储加密 ───┐ ┌─── 使用控制 ──┐ │
|
||
│ │ │ │ │ │ │ │
|
||
│ │ · 公网: TLS1.3 │ │ · PG字段级: │ │ · 脱敏展示 │ │
|
||
│ │ · 内网: mTLS │ │ SM4-CBC │ │ · 最小权限 │ │
|
||
│ │ (Istio证书) │ │ · MinIO: SSE-S3│ │ · RBAC │ │
|
||
│ │ · 链上: mTLS │ │ · Redis: 内存 │ │ · 审计日志 │ │
|
||
│ │ + 国密TLS │ │ 加密(可选) │ │ · 水印追踪 │ │
|
||
│ │ · 专线: IPSec │ │ · 链上: 国密 │ │ │ │
|
||
│ └────────────────┘ └────────────────┘ └──────────────┘ │
|
||
│ │
|
||
│ 数据分类分级（四级）： │
|
||
│ ┌──────────┬──────────┬──────────┬──────────┐ │
|
||
│ │ L4 核心 │ L3 敏感 │ L2 内部 │ L1 公开 │ │
|
||
│ ├──────────┼──────────┼──────────┼──────────┤ │
|
||
│ │ 私钥/证书 │ 身份证号 │ 审核报告 │ AVCC编码 │ │
|
||
│ │ API Secret│ 手机号 │ 播放统计 │ 证书PDF │ │
|
||
│ │ 链上密钥 │ prompt │ 分账明细 │ C2PA水印 │ │
|
||
│ ├──────────┼──────────┼──────────┼──────────┤ │
|
||
│ │ HSM存储 │ SM4加密 │ PG+审计 │ 明文 │ │
|
||
│ │ 不可导出 │ Vault管理│ 脱敏展示 │ CDN分发 │ │
|
||
│ └──────────┴──────────┴──────────┴──────────┘ │
|
||
│ │
|
||
│ 密钥管理架构： │
|
||
│ ┌────────────────────────────────────────────┐ │
|
||
│ │ HashiCorp Vault │ │
|
||
│ │ · 动态密钥生成（DB密码每24h轮换） │ │
|
||
│ │ · PKI证书签发（mTLS证书自动续期） │ │
|
||
│ │ · Transit引擎（应用层加密不见明文密钥） │ │
|
||
│ │ · Audit日志（所有密钥访问可追溯） │ │
|
||
│ │ │ │
|
||
│ │ HSM (硬件安全模块) │ │
|
||
│ │ · 区块链节点私钥（不可导出） │ │
|
||
│ │ · C2PA签名根证书 │ │
|
||
│ │ · 监管数据交换密钥 │ │
|
||
│ └────────────────────────────────────────────┘ │
|
||
└──────────────────────────────────────────────────────────────┘
|
||
```
|
||
|
||
---
|
||
|
||
## 四、右区：等保三级九项 + 隐私计算
|
||
|
||
### 等保三级落实矩阵
|
||
|
||
```
|
||
┌────────────────────────────────────────────────┐
|
||
│ 等保三级（GB/T 22239-2019）落实 │
|
||
├──────────────┬────────────────┬────────────────┤
|
||
│ 要求项 │ 落实措施 │ 技术实现 │
|
||
├──────────────┼────────────────┼────────────────┤
|
||
│ 安全物理环境 │ 广电云等保机房 │ 门禁+监控+UPS │
|
||
│ 安全通信网络 │ 全链路加密 │ TLS1.3+mTLS │
|
||
│ 安全区域边界 │ 六安全域隔离 │ K8s NetPol │
|
||
│ 安全计算环境 │ 容器安全 │ Harbor+Falco │
|
||
│ 安全管理中心 │ 集中管控 │ Vault+SIEM │
|
||
│ 身份鉴别 │ 多因素认证 │ MFA+HMAC │
|
||
│ 访问控制 │ 最小权限 │ OPA/RBAC │
|
||
│ 安全审计 │ 不可篡改日志 │ 审计链+ELK │
|
||
│ 数据安全 │ 加密+脱敏 │ SM4+隐私计算 │
|
||
└──────────────┴────────────────┴────────────────┘
|
||
```
|
||
|
||
### 隐私计算四方案
|
||
|
||
```
|
||
┌────────────────────────────────────────────────┐
|
||
│ 隐私计算方案 │
|
||
│ │
|
||
│ ┌─────────────────────────────────────────┐ │
|
||
│ │ 方案1: 联邦学习 + 差分隐私 │ │
|
||
│ │ 场景: AI审核模型训练 │ │
|
||
│ │ 做法: 各平台本地训练→仅上传梯度→聚合 │ │
|
||
│ │ 效果: 训练数据不出域，模型质量不下降 │ │
|
||
│ └─────────────────────────────────────────┘ │
|
||
│ │
|
||
│ ┌─────────────────────────────────────────┐ │
|
||
│ │ 方案2: 多方安全计算 (MPC) │ │
|
||
│ │ 场景: 跨平台版权比对 │ │
|
||
│ │ 做法: 指纹分片→各方持有片段→安全求交 │ │
|
||
│ │ 效果: 不暴露原始指纹即可完成侵权比对 │ │
|
||
│ └─────────────────────────────────────────┘ │
|
||
│ │
|
||
│ ┌─────────────────────────────────────────┐ │
|
||
│ │ 方案3: 同态加密 │ │
|
||
│ │ 场景: 用户行为数据聚合分析 │ │
|
||
│ │ 做法: 密文状态下完成统计计算 │ │
|
||
│ │ 效果: 广电云只看到聚合结果，不见用户明文 │ │
|
||
│ └─────────────────────────────────────────┘ │
|
||
│ │
|
||
│ ┌─────────────────────────────────────────┐ │
|
||
│ │ 方案4: 哈希上链 + 原文本地 │ │
|
||
│ │ 场景: 版权链存证 │ │
|
||
│ │ 做法: 仅content_hash上链，原文存MinIO │ │
|
||
│ │ 效果: 链上可验证、不可逆向还原原始内容 │ │
|
||
│ └─────────────────────────────────────────┘ │
|
||
└────────────────────────────────────────────────┘
|
||
```
|
||
|
||
---
|
||
|
||
## 五、安全事件响应与审计
|
||
|
||
```
|
||
┌────────────────────────────────────────────────┐
|
||
│ 安全事件分级响应 │
|
||
├──────┬───────────────┬─────────┬───────────────┤
|
||
│ 级别 │ 事件类型 │ 响应时间 │ 处置措施 │
|
||
├──────┼───────────────┼─────────┼───────────────┤
|
||
│ P0 │ 密钥泄露/数据泄 │ 15分钟 │ 立即熔断+通知 │
|
||
│ P1 │ 链节点异常/DDoS │ 30分钟 │ 切换+限流 │
|
||
│ P2 │ 服务故障/队列堆 │ 2小时 │ 扩容+人工 │
|
||
│ P3 │ 性能下降 │ 24小时 │ 排期优化 │
|
||
└──────┴───────────────┴─────────┴───────────────┘
|
||
|
||
审计日志保留策略：
|
||
· 赋码/审核操作：10年（PG + 审计链双写）
|
||
· API调用日志：5年（ClickHouse + 审计链摘要）
|
||
· 链上交易：永久（联盟链不可删除）
|
||
· 管理员操作：10年（PG + 审计链）
|
||
```
|
||
|
||
---
|
||
|
||
## 六、视觉设计建议
|
||
|
||
| 元素 | 建议 |
|
||
|------|------|
|
||
| 安全域 | 用不同色块+虚线边框表示隔离区域 |
|
||
| 加密 | 用锁图标🔒标注加密节点 |
|
||
| 数据流 | 用箭头标注加密方式（TLS/SM4/HSM） |
|
||
| 告警 | P0用红色，P1用橙色，P2用黄色 |
|
||
| 合规标签 | 等保三级logo + 国密logo + ISO标志 |
|
||
|
||
---
|
||
|
||
> 本图回答：系统如何满足等保三级要求？数据怎么保护？出了安全事件怎么响应？
|