《2022年医院业务网网安全建设方案.doc》由会员分享，可在线阅读，更多相关《2022年医院业务网网安全建设方案.doc（29页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、医院业务网网平安建立方案陕西虹桥科技开展2014-02-15目 录1概述42平安建立道路62.1设计原则62.1.1等级保护建立原则62.1.2体系化的设计原则62.1.3产品的先进性原则62.1.4按步骤有序建立原则62.1.5平安效劳细致化原则63平安需求分析73.1平安技术层面需求分析73.1.1外网平台平安需求73.1.2计算环境平安需求73.1.3应用系统平安需求93.1.4治理系统平安需求103.2平安治理层面需求分析103.3平安效劳层面需求分析104平安方案设计114.1平安体系技术层面设计114.1.1网络边界平安设计114.1.1.1外部边界114.1.1.2内部边界134
2、.1.2计算环境平安设计154.1.2.1终端平安治理154.1.2.2网络防病毒164.1.2.3主机审计174.1.2.4数据库审计174.1.2.5入侵检测系统184.1.2.6主机加固184.1.3应用系统平安设计194.1.3.1平安评估工具194.1.3.2Web页面防护204.1.3.3应用平安监控214.2平安体系治理层面设计215整体平安设计配置方案235.1整体部署构造231 概述网络技术的迅猛开展和广泛应用，一方面提高了数据存储、传输和分析的才能，另一方面也增加了各单位对信息平安方面的需求。数据是网络的根底核心和重要资源，同时也是各单位的珍贵财富。日益严峻的网络信息平安咨
3、询题，不仅使医院、机构及用户蒙受宏大经济损失，而且使国家的平安与主权面临严峻威胁。医疗卫生保健是人生在世不可或缺的需求，因而，医疗保健在世界各国，普遍被列入关乎国计民生和社会开展的关键根底设备（CI）。信息化的开展，为医疗卫生保健的效劳质量带来了崭新的前景。因而，医疗保健信息系统在世界各国，普遍被列入关键信息根底设备（CII）。信息系统存在的平安咨询题是妨碍医疗保健信息系统发挥其效率和效益，完成其使命的严峻隐患。因而，世界各国普遍把医疗保健信息系统的平安保护列为关键信息根底设备保护（CIIP）。我国在加强信息平安保障工作的相关政策中，提出了信息系统平安等级保护的制度性安排。医院等级平安保护体系
4、建立主要从物理层、网络层、应用层、主机层、数据层及治理层等方面进展构建。医院网络一般由办公外网、办公内网、医保网组成，三个网络之间完全物理隔离。因而，需要结合信息平安等级保护要求做好风险评估，界定医院信息平安网络的使用人群、涵盖的应用系统，并保障他们除业务信息治理外的正常办公所需，在此根底上购置相关资源，新建该平安防护体系，晋级主要应用系统，晋级相关网络平安软硬件，使其在物理环境、网络、系统、应用、数据、终端和系统集成六方面均到达对应等级要求。目前医院内部网络已经构成，网络上所涉及的业务活动包括HIS系统、LIS系统、PACS系统、药库系统、财务系统、院内网站系统、病案系统、日常办公OA系统等
5、网络应用，同相关单位连接的业务包括新农合、医保、健康档案等系统，以及使医院本部计算机网络能过Internet与外界平安的互联。这些应用系统本身也不是互相独立，它们在网络上运转时需要信息交换和共享，同时这些应用系统又要求一定的独立性。医院日常工作对网络和计算机系统的依赖越来越强，保证网络和计算机应用系统高效和平安的运转势在必行。假如不特别好的处理这个咨询题，必将阻碍信息化开展的进程。在卫生部关于印发卫生行业信息平安等级保护工作的指导意见的通知（卫办发201185号）（以下简称85号文件）相关内容中明确指出三级甲等医院的核心业务信息系统应当按照信息平安技术信息系统平安等级保护定级指南开展定级工作，
6、依照以往相关同行业经历，三甲医院的的核心业务信息系统原则上不会低于三级。那么对此系统的平安防护建立工作就必须按照等级保护三级要求来进展。本建立方案旨在提供医院在信息平安保障体系建立方面的思路，通过阅读本方案能够明晰的明白本期建立的内容，同时依照业务保护的重要程度进展分期建立方案设计。2 平安建立道路2.1 设计原则2.1.1 等级保护建立原则医院的核心业务系统属国家重要信息系统，其平安建立不能无视国家相关政策要求，在平安保障体系建立上最终所要到达的保护效果应符合信息系统平安等级保护根本要求。2.1.2 体系化的设计原则系统设计应充分考虑到各个层面的平安风险，构建完好的平安防护体系，充分保证系统
7、的平安性。同时，应确保方案中使用的信息平安产品和技术方案在设计和实现的全过程中有详细的措施来充分保证其平安性。2.1.3 产品的先进性原则本次建立对所需的各类平安产品提出了特别高的要求。必须认真考虑各平安产品的技术水平、合理性、先进性、平安性和稳定性等特点，共同打好工程的技术根底。2.1.4 按步骤有序建立原则信息平安保障体系的建立是一项长期的工程，并非一蹴而就处理所有平安咨询题。因而，在实际建立过程中要依照实际情况分轻重缓急，分期、分批的进展部署。2.1.5 平安效劳细致化原则要使得平安保障体系发挥最大的成效，除平安产品的部署外还提供平安效劳，全面而细致的平安效劳会提升日常运维及应急处理风险
8、的才能。平安效劳就需要把平安效劳商的专业技术经历与行业经历相结合，结合医院业务网的实际信息系统量身定做才能够保障其信息系统平安稳定的运转。3 平安需求分析医院业务网平安保护体系建立应该有以下几方面分别展开建立：3.1 平安技术层面需求分析3.1.1 外网平台平安需求l 外部边界防护主要指业务网所有外部网络边界，包括：专网边界：该边界位于院内业务网与其他单位互联的专网之间。专网边界两侧都是内部用户，网络环境、应用环境、用户身份及规章制度都特别接近，所面临的网络平安风险及相应的需求也根本类似。主要需要考虑防止内部的非法访咨询以及病毒、蠕虫等恶性平安事件的快速蔓延。互联网边界：互联网接入主要用于提供
9、对外基于互联网的WEB业务、内部人员的互联网访咨询，因而在同一个边界具备两种属性。外网边界直截了当面临社会各界用户，使用环境复杂面临的平安风险极大。各类复合网络攻击手段以及针对网站的流量攻击均是常见的平安威胁。应予以严格的平安防护手段在此边界进展设防，维护整个内部网络不被外部侵入。l 内部平安域边界在内部网络中，能够划分处多个网络平安域，包括多个效劳器区、业务区等等。这些平安域之间存在着内部边界，为能更加有针对性的对各平安域进展防护，在不同的边界应采取不同的边界防护措施。l 数据传输平安关于外部单位用户的接入存在两种方式：专线方式、互联网方式。通过互联网进展接入传输的数据属于电子政务内部的信息
10、，这些敏感的数据信息在互联网上十分容易被非法窃取、篡改或删除。因而必须采纳技术手段保证数据的机密性、完好性以及可用性。3.1.2 计算环境平安需求保护计算环境关注的是采纳信息保障技术确保用户信息在进入、离开或驻留客户机与效劳器时具有可用性、完好性和机密性。主要是指主机硬件、OS，应用软件等的平安需求。包括：l 终端行为的治理终端设备部署较为分散，难于统一治理，操作人员的计算机水平也参差不齐，因而终端设备的平安治理成为网络治理人员最为棘手的平安咨询题。终端泄密、非受权访咨询、内部攻击等都都对数据中心平安造成威胁。各类终端和效劳器系统的补丁治理同样是一个重要咨询题。不及时的给系统打破绽补丁会造成蠕
11、虫以及不怀好意者的入侵。l 终端防病毒病毒是对计算环境造成危害最大的隐患，当前病毒威胁特别严峻，特别是蠕虫病毒的迸发，会立即向其他子网迅速蔓延，如此会大量占据正常业务十分有限的带宽，造成网络功能严峻下降甚至网络通讯中断，严峻妨碍正常业务开展。因而必须采取有效手段进展查杀，阻止病毒的蔓延危害整个数据中心。l 主机审计关于效劳器和重要主机需要进展严格的行为操纵，对用户的行为、使用的命令等进展必要的记录审计，同时生成审计报表，便于日后的分析、调查、取证。l 数据库审计关于关键的数据库系统需要进展审计。异常的数据库操作将会造成数据的不完好和数据丧失，必须对治理员特别是数据库治理员的操作行为进展审计，一
12、方面完好记录数据库的操作行为，另一方面对高危操作进展及时阻止干涉。最大限度的保护审计署核心信息资产的平安。l 网络入侵行为检测攻击行为不仅来自于大家公认的互联网等外部网络，在内部也要防止攻击行为。通过部署平安措施，要实现主动阻断针对信息系统的各种攻击，如病毒、木马、间谍软件、可疑代码、端口、DoS/DDoS等，能防备针对操作系统破绽的攻击，能够实现应用层的平安防护，保护核心信息资产的免受攻击危害。l 平安加固不管是审计、入侵检测或是防病毒，某种意义上来说都是被动防备，大都不具备主动防备的才能。如在危险降临之前就能主动加固系统，加强系统本身的抵御才能，则在实际运转中发挥十分重要的作用。3.1.3
13、 应用系统平安需求关于存在于医院局域网平台上的众多应用系统，同样存在着多品种型平安需求，包括：1. 数据库审计由于用户的计算机相关的知识水平参差不齐，一旦某些平安认识薄弱的治理用户误操作，将给信息系统带来致命的破坏。有必要进展基于数据库的审计。从而威慑那些心存幸运、有恶意企图的少部分用户，以利于标准正常的网络应用行为。2. 系统风险评估治理关于外网平台上大量的效劳器系统，因而，对效劳器各项效劳的平安配置就显得尤为重要，假如有一点忽略也会直截了当造成审计署信息系统被攻击。我们建议定期/不定期的全面掌握网络设备、平安设备、主机、应用系统、数据库系统的风险情况，并以此在平安事件发生前进展加固，全面提
14、高抗风险才能。3. WEB页面防护Web应用的普及使得在电子政务外网平台上中存在的Web效劳器特别容易成为黑客的攻击目的。被篡改的网页将给业务系统带来特别大的平安隐患，造成信息丧失、泄露等平安事件。需要专业的主页防篡改工具有效阻止主页篡改事件的发生，维护Web页面的平安。4. 应用平安治理从用户角度看，其业务系统的正常运转是最关怀的核心咨询题，而业务系统能否施行良好的监控治理则是关键要素之一。因而需要技术手段对应用系统的情况进展全面监控，能够全盘呈现业务环境，施行主动监控，进展运转趋势分析，及时发觉存在的咨询题。3.1.4 治理系统平安需求完好的平安技术体系的搭建需要众多的平安设备和平安系统，
15、型号和品牌不一、物理部署位置分散、技术人员才能水平差异大。有限的治理人员难以对平安设备进展集中治理、及时快捷的部署平安策略，全面掌握设备运转和网络运转的风险情况。如何用好平安设备和平安系统支撑业务平安稳定运转成了一个棘手的咨询题。因而，需要建立平安治理中心，进展运转监控和平安风险治理。3.2 平安治理层面需求分析“三分技术、七分治理”更加突出的是治理层面在平安体系中的重要性。除了技术治理措施外，平安治理是保障平安技术手段发挥详细作用的最有效手段，建立健全平安治理体系不但是国家等级保护中的要求，也是作为一个平安体系来讲，不可或缺的重要组成部分。平安治理体系依赖于国家相关标准、行业标准、国际平安标
16、准等标准和标准来指导，构成可操作的体系。3.3 平安效劳层面需求分析平安技术手段是从系统与网络层面处理咨询题的方式之一，能够发挥详细的平安防护作用，但是假如把这些平安技术手段有效的利用起来，成为平安体系建立的重中之重。平安体系中除了技术体系、治理体系之外，还需要专业的技术人员配合技术与治理手段到达更高的详细防护效果。专业的技术人员是平安体系中更关键更重要的要素，除了利用好平安技术产品外，还需要利用其专业的技术经历与行业经历，通过专业的平安效劳来详细处理咨询题。4 平安方案设计方案通过对网络边界平安、计算环境平安、应用系统平安以及平安的治理制度的分析，采纳相应的平安产品和效劳来建立平安体系能够确
17、保医院局域网的整体平安。信息平安体系的建立是一个持续的过程，在方案设计中针对常见的风险和平安需求提出了详细的处理方法，但并不需要一次建立完成，可依照目前的实际情况分期建立，在后边的整体平安设计配置方案中也仅仅部署了目前最迫切需要的平安产品和效劳。4.1 平安体系技术层面设计4.1.1 网络边界平安设计4.1.1.1 外部边界4.1.1.1.1 防火墙防火墙技术是目前网络边界保护最有效也是最常见的技术。采纳防火墙技术，对医院局域网重要节点和网段进展边界保护，能够对所有流经防火墙的数据包按照严格的平安规则进展过滤，将所有不平安的或不符合平安规则的数据包屏蔽，杜绝越权访咨询，防止各类非法攻击行为。关
18、于外部平安边界来说，需要互联网边界上部署防火墙。在互联网效劳器区平安域的平安边界部署防火墙，将对外提供效劳的效劳器部署在防火墙的DMZ区，通过制定访咨询操纵策略，来对对外的业务效劳器进展专门的保护，能够对来自互联网的用户访咨询恳求进展访咨询操纵。同时，能够通过防火墙上集成的入侵检测功能，对来自互联网的入侵行为，进展检测并阻断。由于互联网效劳器区平安边界面临的平安风险较多，需要通过严格执行平安策略发挥防火墙最正确成效：1） 集中放置面向Internet效劳的主机，在一个集中、受控的环境下监控网络流量2） 关闭不必要的效劳3） 严格限制进、出网络的ICMP流量和UDP流量4） 同意网络治理流量进局
19、域网系统5） 严格制定防火墙策略，限制所有无关访咨询由于面对的是外部复杂的网络环境，因而这些边界防火墙需要具备更多的深度过滤功能：能够阻止常见的蠕虫扩散，能够对P2P带宽进展流量治理等。同时能够精细的进展设备治理，减轻治理员治理负担。4.1.1.1.2 IPS入侵防护系统在互联网边界部署了防火墙，对每个平安域进展严格的访咨询操纵。但是，防火墙通常不具备内容检测的才能，不具备检测新型的混合攻击和防护的才能。而此边界是最容易成为入侵目的的部分。为了确保局域网内部各效劳器区的平安访咨询，必须建立一整套的平安防护体系，进展多层次、多手段的检测和防护。入侵防护系统（IPS）确实是平安防护体系中重要的一环
20、，它能够及时识别网络中发生的入侵行为并实时报警同时进展有效拦截防护。IPS是继“防火墙”、“信息加密”等传统平安保护方法之后的新一代平安保障技术。它监视计算机系统或网络中发生的事件，并对它们进展分析，以寻找危及信息的机密性、完好性、可用性或试图绕过平安机制的入侵行为并进展有效拦截。IPS确实是自动执行这种监视和分析过程，同时执行阻断的硬件产品。将IPS串接在防火墙后面，在防火墙进展访咨询操纵，保证了访咨询的合法性之后，IPS动态的进展入侵行为的保护，对访咨询状态进展检测、对通讯协议和应用协议进展检测、对内容进展深度的检测。阻断来自内部的数据攻击以及垃圾数据流的泛滥。由于IPS对访咨询进展深度的
21、检测，因而，IPS产品需要通过先进的硬件架构、软件架构和处理引擎对处理才能进展充分保证。4.1.1.1.3 VPN虚拟专网目前新农合和健康档案等应用是采纳VPN虚拟专网技术，各医院用户分别通过专线或互联网的方式同外联单位互联对相关业务数据进展访咨询。同时VPN访咨询能够做为专线访咨询方式的冗余链路。在VPN接入平安域（医院局域网端）部署了VPN网关，负责与外部单位进展VPN互联。在医院局域网的互联边界或专网边界，部署了防火墙进展访咨询操纵，同时，能够旁路部署VPN网关，保证合法的用户能够通过防火墙，与VPN网关建立VPN隧道，与厅局、及其他外联单位进展互联，保护所承载的外网网络内部的敏感数据。
22、VPN在技术上采纳标准的IPSEC协议，采纳隧道技术以及加密、身份认证等方法，在公众网络上构建专用网络的技术，数据通过平安的“加密管道”在公众网络中传播。数据中心内部业务访咨询中涉及的敏感信息能够在受保护的隧道内加密传输。IPSec提供的平安效劳包括：保密性IPSec在传输数据包之前将其加密以保证数据的保密性。完好性IPSec在目的地要验证数据包，以保证该数据包任传输过程中没有被修正或交换。真实性IPSec端要验证所有受IPSec保护的数据包。防重放IPSec防止了数据包被捕捉并重新投放到网上，即目的地会回绝老的或重复的数据包，它通过报文的序列号实现。4.1.1.2 内部边界4.1.1.2.1
23、 平安隔离网闸依照医院业务网的业务需求，某些应用需要外联单位进展访咨询。对这些访咨询行为，需要对数据交换、传输协议、传输内容、平安决策等进展严格的检查，以防止有外联单位用户引入风险。业务网划分了专门的外联效劳器区平安域，将对外提供效劳的Web效劳器等部署在此区域，负责接收和相应来自外联用户的业务访咨询恳求。防火墙进展严格的访咨询操纵的设定，确保访咨询身份的合法性。但是，防火墙无法高度保证传输内容、协议、数据的平安性。同时，需要对外联应用效劳器对局域网内网数据库的访咨询进展严格的治理操纵。能够通过在外联业务效劳器区与内网的平安边界上部署平安隔离网闸，对外联业务效劳器区进展隔离。用户能够通过外联网
24、访咨询到外联业务效劳器区中的指定业务效劳器中，外联网效劳器区的业务效劳器负责接收用户的业务访咨询恳求，并通过平安隔离网闸访咨询内网单个部门效劳器平安域的相应数据库完成业务处理，并将业务处理结果，按照用户部门的不同，存储在单个部门效劳器平安域中、访咨询用户所在的部门的数据库中，完成用户通过外联网对相关业务效劳器的访咨询。同时内网用户通过网闸能够在外联业务效劳器区的相应效劳器上提交数据供本医院同外联单位进展数据的交换和同步。通过这种方式，能够为访咨询提供更高的平安性保障。平安隔离网闸两侧网络之间所有的TCP/IP连接在其主机系统上都要进展完全的应用协议复原，复原后的应用层信息依照用户的策略进展强迫
25、检查后，以格式化数据块的方式通过隔离交换矩阵进展单向交换，在另外一端的主机系统上通过本身建立的平安会话进展最终的数据通讯，即实现“协议落地、内容检测”。如此，既从物理上隔离、阻断了具有潜在攻击可能的一切连接，又进展了强迫内容检测，从而实现最高级别的平安。4.1.1.2.2 AV防病毒网关现今，病毒的开展呈现出以下趋势病毒与黑客程序相结合、蠕虫病毒更加泛滥、病毒破坏性更大、制造病毒的方法更简单、病毒传播速度更快，传播渠道更多、病毒感染对象越来越广。一旦办公终端区的主机感染病毒，病毒可能主动的对整个内部网络中所有主机进展探测，一旦发觉破绽主机，将自动传播。整个探测过程会极大的耗费网络的带宽资源，同
26、时可能造成病毒由办公终端平安域传播到其他重要的业务效劳平安域和治理平安域中，引发攻击和破坏行为。斩断传播途径是防止传染病迸发最为有效的手段之一，而这种防治手段不仅在传染病防治方面十分有效，在防止计算机病毒扩散方面起到了同样的效果。因而，在核心数据效劳器区边界部署防病毒网关，在访咨询量最多同时最重要边界处进展集中防护，能够有效防止病毒从其他区域传播到核心数据效劳器区全。部署的防病毒网关应特别留意设备功能，产品必须具备良好的体系架构保证功能，能够灵敏的进展网络部署。同时为使得到达最正确防毒效果，AV防病毒网关设备和桌面防病毒软件应为不同的厂家产品。4.1.2 计算环境平安设计4.1.2.1 终端平
27、安治理在进展业务访咨询和数据处理的过程中，内部泄密和内部攻击已经成为威胁网络平安应用的最大隐患。在内部办公终端主机上统一部署内网平安治理系统，通过对终端和访咨询行为进展限制和保护，到达平安业务访咨询的目的。同时，需要在内网平安治理效劳器区中部署内网平安治理系统的治理主机效劳器、操纵台、数据库，对内网终端主机和必要的其他终端主机进展统一的治理。通过部署内网平安治理系统，可实现终端平安加固、网络接入操纵、非法外联操纵、资产治理、I/O接口治理、终端配置维护、终端审计监控等功能终端平安加固实现补丁治理，对内网终端计算机补丁状态进展定期检测并自动安装与更新。实现防病毒软件监测，推断终端计算机是否安装了
28、防病毒软件、防病毒软件运转是否正常以及病毒库是否保持最新等情况，并关于未进展防病毒软件部署的主机进展内网接入限制实现主机防火墙功能，有效防备网络入侵和攻击行为网络接入操纵对接入内网的终端计算机进展身份鉴别或者平安状态检查，阻止未受权或不平安的终端计算机接入内网和访咨询内网资源。非法外联操纵通过操纵外接设备的使用和终端计算机的拨号行为进展网络非法外联操纵，充分保证内网计算机平安性资产治理实现终端计算机的硬件配置（包括CPU类型、主频、内存、硬盘、显示卡、网卡等等）的自动登记，使网管人员在操纵台的机器上，能够观察到各个机器的配置信息能够自动将终端计算机的操作系统、安装的软件、运转的程序和效劳、系统
29、日志、共享资源、以及补丁、端口等信息统计汇总，并可进展分类治理I/O接口治理治理员可集中制定策略，同意或阻断用户对受控终端的各种输出设备进展访咨询，包括USB可挪动存储设备、打印机、DVD/CD-ROM、软盘、磁带机、PCMCIA设备、COM/LPT端口、1394设备、红外设备等；对本地打印机使用情况进展审计；对受控终端的可挪动存储设备的使用情况进展审计；对拨号访咨询情况进展审计终端配置维护通过终端治理系统，IT治理人员可获得终端计算机各种相关信息，如主机名、IP地址、网络参数、帐户信息等IT治理人员能够响应远程终端计算机的协助恳求，临时接收远程终端计算机，进展本地化操作终端审计监控对终端计算
30、机运转的进程进展监控，可限制用户运转某些程序。可对终端计算机的网站访咨询、网络聊天和BT下载等行为进展治理和审计4.1.2.2 网络防病毒病毒是对医院局域网网络的严重危害，病毒在迸发时将使路由器、3层交换机、防火墙等网关设备功能急速下降，同时占用整个网络带宽。针对病毒的风险，我们建议通过终端与网关相结合的方式，以用户终端操纵加网络防火墙进展综合操纵。重点是将病毒消灭或封堵在终端这个源头上。在需要的平安边界上部署了防病毒网关，能够对病毒进展过滤、防止病毒扩散。同时，在所有终端主机和效劳器上部署网络防病毒系统，加强终端主机的病毒防护才能，与防病毒网关组成纵深防备的病毒防备体系。在平安治理效劳器区中
31、，能够部署防病毒效劳器，负责制定和终端主机防病毒策略，在内网建立全网统一的一级晋级效劳器，由治理中心晋级效劳器通过互联网或手工方式获得最新的病毒特征库，分发到数据中心节点的各个终端。在网络边界通过防火墙进展基于通讯端口、带宽、连接数量的过滤操纵，能够在一定程度上防止蠕虫病毒迸发时的大流量冲击。同时，防毒系统能够为平安治理平台提供关于病毒威胁和事件的监控、审计日志，为全网的病毒防护治理提供必要的信息。4.1.2.3 主机审计主机审计系统是保证内网数据平安的平安产品，在终端部署主机审计系统，能够实现对主机的操纵、监控、审计和系统治理。操纵功能包括计算机硬件资源操纵、软件资源操纵、挪动存储设备使用操
32、纵、IP与MAC地址绑定等。监控功能包括效劳监控、进程监控、硬件操作监控、文件系统监控、打印机监控、非法外联监控、计算机用户账号监控等。审计功能包括文件操作审计、外挂设备操作审计、非法外联审计、IP地址更改审计、效劳与进程审计等。系统治理功能包括系统用户治理、主机监控代理状态监控、平安策略治理、主机监控代理晋级治理、计算机注册治理、实时报警、历史信息查询、统计与报表等。另外，系统还包括其它一些辅助功能，例如资产治理、补丁分发、操作系统日志搜集。4.1.2.4 数据库审计针对内网的关键效劳器，将通过部署数据库审计系统，对用户行为、用户事件及系统状态加以审计，从而把握数据库系统的整体平安。在核心数
33、据效劳器区部署数据库审计系统，包括数据库审计插件以及数据库审计操纵台。审计操纵台采纳分级方式，能够实现向下一级或引擎下达治理策略，同时处理来自下一层监控中心的信息与事件。面对网络中的用户操作行为（如读、写记录等）、用户事件（如用户帐号的创立、删除等）和系统状态（如数据库的启动和关闭等）加以审计，审计信息作为平安事件分析和追踪的根底。通过抓取网络中的数据包，并对抓到的包进展分析、匹配、统计，通过数据库远程连接进展分析，从数据库访咨询操作入手，对抓到的数据包进展语法分析，从而审计对数据库中的哪些数据进展操作，能够对特定的数据操作制定规则，产生报警事件。4.1.2.5 入侵检测系统在重要的平安域边界
34、已经部署了防火墙。利用防火墙技术，通过细心的配置，通常能够在内外网或平安域之间提供平安的网络保护，降低了网络平安风险，但是入侵者可寻找防火墙背后可能放开的后门，或者入侵者也可能就在防火墙内。网络入侵检测系统位于有敏感数据需要保护的网络上，通过实时侦听网络数据流，寻找网络违规方式和未受权的网络访咨询尝试。当发觉网络违规行为和未受权的网络访咨询时，网络监控系统能够依照系统平安策略做出反响，包括实时报警、事件登录，或执行用户自定义的平安策略等。入侵检测系统能够部署在内网的网络的核心处，这里我们建议在核心交换机上部署入侵检测系统，监视并记录网络中的所有访咨询行为和操作，尤其是内部用户的访咨询行为和操作
35、，有效防止非法操作和恶意攻击。同时，入侵检测系统还能够形象地重现操作的过程，可协助平安治理员发觉网络平安的隐患。需要说明的是，IDS是对防火墙的特别有必要的附加而不仅仅是简单的补充。入侵检测系统作为网络平安体系的第二道防线，对在防火墙系统阻断攻击失败时，能够最大限度地减少相应的损失。因而，IDS应具备更多的检测才能，能够和其他平安产品（边界防火墙、内网平安治理软件等）进展联动。4.1.2.6 主机加固医院局域网内的业务效劳器主机及其承载的关键业务系统医院重要的信息资产，主机的平安性特别大程度上决定了整个业务系统的机密性、完好性、可用性及可确认性、可鉴别性和可靠性。主机的破绽和弱点是资产拥有者和
36、攻击者的必争之地，主机的破绽和弱点代表着风险的可能性和风险的严峻性，每年系统新的破绽和弱点层出不穷，平安事件发生的数量成几何倍增长，而同时平安攻击工具及方法传播速度日益加快，使得主机的平安性遭受着史无前例的挑战。主机平安加固效劳依照客户主机系统应用的详细情况，制定相应系统的测试方案、加固方案与回退方案，针对不同类型的目的系统，通过打补丁、修正平安配置、增加平安机制等方法，合理加强设备与应用的平安性。平安加固效劳能够协助数据中心减少误操作，减小由主机引发的平安隐患的可能性，使得整个信息系统最大可能的平安。4.1.3 应用系统平安设计4.1.3.1 平安评估工具依照对医院局域网的风险评估和需求分析
37、，建议在网络内部署破绽产品。破绽系统在网络中并不是一个实时启动的系统，只需要定期挂接到网络中，对当前网段上的重点效劳器以及主要的桌面机和网络设备进展一次，即可得到当前系统中存在的各种平安破绽，针对性地对系统采取补救措施，即可在相当一段时间内保证系统的平安。破绽系统通过核心模块对内网中的所有的操作系统、网络设备（路由器、交换机）、平安设备、防病毒软件中存在的脆弱性。同时，结合设备本身自带的破绽知识库进展同步数据检测，检测完之后会将相应的、检测结果反响到结果库中对所有数据进展汇总，对结果能够以报告方式呈现。平安能够分析系统当前的设置和防备，指出网内潜在的平安破绽，以改良系统对入侵的防备才能。平安技
38、术是用来评可能算机网络系统的平安功能，是网络平安防备中的一项重要技术，其原理是采纳模仿攻击的方式对目的可能存在的已经明白平安破绽进展逐项检查。目的能够是工作站、效劳器、交换机、数据库应用等各种对象。然后依照结果向治理员提供平安性分析报告，为提高网络平安整体水平产生重要依照。平安技术与防火墙、入侵检测系统互相配合，能够提供特别高平安性的网络。平安工具源于“黑客”在入侵网络系统时采纳的工具。商品化的平安工具为网络平安破绽的发觉提供了强大的支持。在网络平安体系的建立中，平安工具的运转相对独立，能较全面检测流行破绽，检测最严峻的平安咨询题，安装运转简单，能够大规模减少平安治理员的手工劳动，降低平安审计
39、人员的劳动强度，有利于保持全网平安政策的统一和稳定。通过部署破绽产品，能够到达如下目的：l 能够对网内所有的设备和主机的平安情况进展评估，给出当前网络的存在的平安破绽。l 对网内平安情况进展综合分析，找出网络的薄弱点，为决策提供参考，做到平安建立有的放矢。l 对发觉的平安咨询题给出详细描绘和处理方法。协助治理员及时地处理发觉的咨询题。l 通过晋级最新的插件，能够发觉最新的平安破绽，协助预防以蠕虫为代表的攻击破坏行为。l 制定周期评可能划，获得网络平安情况的变化趋势。整个过程自动进展。l 减轻治理人员的工作负担，大大提高工作效率。4.1.3.2 Web页面防护医院内部的Web效劳器对外提供Web
40、效劳，Web应用的普及使得Web效劳器特别容易成为黑客的攻击目的。需要专业的主页防篡改工具有效阻止主页篡改事件的发生，维护Web页面的平安。在web效劳器配置一套WEB应用平安防护系统，全面监测WEB效劳器的页面是否正常。关于打破网站防火墙的篡改行为，进展实时监控，确保网站信息平安。一旦发觉网站信息被篡改之后，立即通知监控中心并迅速恢复正常的网页文件。724不连续地保护网站，任何恶意篡改痕迹将被实时保存，并主动和及时通知治理人员，做到防备于未然。通过网络网站的网页，监测网页是否被修正，当发觉网页被修正后，系统能够自动报警和恢复。4.1.3.3 应用平安监控目前医院有多个业务系统，由于业务系统的
41、复杂性，一个应用往往涉及到多台效劳器的多个线程，因而出现咨询题的概率也相对较大，咨询题反响的时间也无法保障，另外 如今基于Web的三层B/S越来越复杂，一旦出现咨询题变得异常烦恼，可能需要动用网络治理员、应用治理员、数据库治理员等多个岗位的人员进展核查、排错。在系统监控治理方面，用户最关怀的是业务系统的监控治理，目前通用的系统治理软件无法对用户多样的关键业务系统进展有效监控、治理和展现。通过部署应用平安治理系统，能够在一个平台上实现对多个关键业务系统全面、高效、统一治理。应用平安治理系统并联在核心交换机上，对业务状态进展治理和监控。同时，在数据中心的平安治理平安域中，部署操纵台，进展集中的监控
42、和治理。通过部署应用平安治理系统，能够实现下述功能：统一治理：它提供了一个通用的图形界面和网络治理根底架构，用于跨设备执行治理功能、集成应用，并实现网元治理统一化。全网络可视性：借助发觉、物理和逻辑拓扑图、集中事件治理、图表和统计音讯等功能，能够全面显示和深化报告网络的行为。网元治理：它通过数据中心本地网元治理器对每个设备提供直截了当的访咨询，并同意从平安治理区中配置所有的网络设备。另外，还支持跨多种设备类型进展基于策略的治理。4.2 平安体系治理层面设计平安体系治理层面设计主要是依照信息系统平安等级保护根本要求中的治理要求而设计。治理要求平安治理制度各类治理规定、治理方法和暂行规定。从平安策
43、略主文档中规定的平安各个方面所应恪守的原则方法和指导性策略引出的详细治理规定、治理方法和施行方法，是具有可操作性，且必须得到有效推行和施行的制度。制定严格的知足与发布流程，方式，范围等；定期或不定期对平安治理制度进展检查和审定，修订缺乏及改良。平安治理机构包括的平安治理机构组织方式和运作方式：设置平安治理岗位、装备专职平安员、建立受权与审批制度、建立内外部沟通合作渠道、定期进展全面平安检查。人员平安治理制定人员录用，离岗、考核、培训几个方面的规定，并严格执行；规定外部人员访咨询流程，并严格执行。系统建立治理从工程施行的前、中、后三个方面，从初始定级设计到验收评测完好的工程周期角度进展系统建立治
44、理。系统运维治理信息系统日常运转维护治理，利用治理制度以及平安治理中心进展，包括：资产治理、设备治理、密码治理、应急治理等，使系统一直处于相应等级平安状态中。详细参见4.4.5章节“平安治理设计”。5 整体平安设计配置方案5.1 整体部署构造依照对各个平安系统的详细设计，已经能够比拟明晰的勾画出医院业务网平安建立的整体全景，如下列图所示：信息平安建立是一个按部就班的过程，不可能一蹴而就。因而，我们将本着首先定位关键资源、关键区域，先对关键资源、关键区域进展保护, 然后按照发散性的思路进展纵深层面的平安分析和扩展保护。由于边界平安防护是平安建立的根底性工作，因而本期建立重点内容即依照划分好的平安
45、域进展边界类防护，同时进展最常见的访咨询操纵、上网行为治理以及与桌面平安相关的平安措施。当前总体建立能够分为以下：总体步骤描绘部署产品部署位置作用区域/部署作用局域网主要边界防护，包括内、外部各主要边界；局域网计算环境平安建立的终端平安治理的建立；周期性平安运维。防火墙互联网边界操纵进出互联网的所有数据流量，对上网行为进展操纵，阻止各类非法应用。平安隔离网闸外联业务效劳器区同局域网其他平安域边界之间会聚外联业务效劳器，进展统一威胁治理，利用网闸双主机系统和平安摆渡机制，将外联业务效劳器区同内部网络进展逻辑隔离，完全切断不同平安级别网络间的任何连接；同时利用自有协议将合法的数据访咨询和数据交换在
46、网闸内进展平安摆渡，同时实现了高平安的隔离和实时的数据交换。内网平安治理系统省数据中心互联网边界作用于局域网内所有平安域终端；统一进展内网终端的平安治理，通过对终端和访咨询行为进展限制和保护，实现终端平安加固、网络接入操纵、非法外联操纵、资产治理、I/O接口治理、终端配置维护、终端审计监控等。数据中心计算环境平安建立，包括平安审计，数据库审计；边界入侵防护及网络防病毒系统的建立；破绽、周期性平安运维的建立。平安治理制度的逐步制定。VPN网关局域网同专网边界 作用于需通过VPN接入专网或互联网的应用效劳器及终端；为各接入终端及效劳器提供VPN接入效劳。网络入侵检测系统核心交换机，通过端口进展对内
47、部数据访咨询进展监听作用于各内部平安域；实时监测目的网络流量，及时发觉入侵行为并进展报警和审计。数据库审计核心数据库效劳器区作用于核心数据库效劳器区；对数据库用户行为、用户事件及系统状态加以审计，从而把握数据库系统的整体平安。IPS入侵防护系统互联网边界作用于互联网边界；实时监控并阻断针对内网效劳器平安域中各业务效劳器及主机的入侵行为，与该区域边界防火墙共同作用。AV防病毒网关核心数据库效劳器区边界作用于核心数据库效劳器区；边界集中进展病毒过滤，防止病毒侵入或向外扩散，与网络、终端防病毒组成多层次深度防备。破绽核心交换机，网络可达各效劳器即可作用于省数据中心所有主机、网络设备及效劳器；提供工具对外网平台各类主机、效劳器、网络设备等进展平安破绽，及时发觉咨询题，提供处理方案。有线网络根底架设核心交换机局域网网络核心核心层的主要提供不同网络模块之间优化传输效劳，将分组尽可能快地从一个网络传到另一个网络，作为所有网络流量的传输中枢，核心层除了要求高功能交换设备和高带宽传输链路外，还需考虑选用支持负载平衡或负载分担特性的设备实现负荷平衡。同时保证双机热备会聚交换机楼层网络会聚