XXX医院防统方解决方案医院等级保护解决方案图文精.docx
《XXX医院防统方解决方案医院等级保护解决方案图文精.docx》由会员分享，可在线阅读，更多相关《XXX医院防统方解决方案医院等级保护解决方案图文精.docx（14页珍藏版）》请在冰豆网上搜索。
XXX医院防统方解决方案医院等级保护解决方案图文精
XXX医院
防统方解决方案
目录
第1章XXX医院业务现状及威胁分析（1
第2章XXX医院防统方方案介绍（1
2.1方案部署（1
2.2方案设计（2
第3章防统方设备选型（4
3.1产品选型（4
3.2产品功能列表（4
第4章防统方价值优势（8
第5章深信服科技介绍（9
第1章XXX医院业务现状及威胁分析
东莞市XXX医院是一所集预防、医疗、保健、康复、科研、教学为一体的综合性二级甲等公立医院。
医院拥有编制病床510张,占地面积2.64万㎡,建筑面积达5.26万㎡;更拥有一支作风优秀、技术过硬的医疗队伍,全院共有职工723人,其中各级各类卫生技术人员628人（其中高级职称57人,中级职称119人。
近年来通过打造“院有优势、科有特色、人有专长”的发展模式,医院逐步在普外科、骨外科、妇产科、儿科等方面形成了自身特色。
而在信息化建设方面,XXX医院领导重视信息股的IT建设对医疗业务的推动作用,建立起以HIS系统、PACS系统、LIS系统、电子病历系统、医生工作站、护士工作站、移动查房系统、敏感服务器等支撑的集中业务资源访问平台,以及OA系统、邮件服务器、文件服务器等办公系统访问平台,大大提高了医护人员在日常办公和医疗事务处理的工作绩效与水平。
然而,近年来统方信息泄露的行为屡有发生,越来越多的医院都面临着药品、耗材等使用信息、患者信息等的外发与泄露,给医院的管理和病患个人都造成了极大的困扰。
无论是医护人员本身、第三方运维人员还是外部黑客入侵,面对规模之重的业务系统平台,统方的防泄漏难度可想而知。
我们相信,XXX医院要想继续打造高优医院品牌,理应对防统方大加重视,防患于未然。
第2章XXX医院防统方方案介绍
2.1方案部署
根据与XXX医院信息股同事的交流沟通,考虑到贵单位既有的网络架构和防统方需求,我们推荐采用深信服为其设计的防统方解决方案,通过在集中业务资源访问平台前端部署深信服VSP设备,来达到防统方的良好效果。
下图为XXX医院防统方方案的部署拓扑图,对于需要进行防统方的服务器进行区域隔离,而其他如OA和邮件等可以直接放通用户访问。
在HIS等系统服务器区前的交换机上旁路部署一台深信服VSP防统方网关设备,并在交换机上做访问控制,禁止直接的服务器访问请求,而只能由VSP设备做代理转发,对医护人员、维护人员和外部黑客等各种可能的统方泄密对象进行统一安全防护。
2.2方案设计
●服务器的安全隔离
在HIS等业务系统前端部署深信服VSP防统方网关设备,配合交换机的端口访问控制列表,XXX医院可实现对业务系统的隔离。
所有用户只能通过VSP设备发布的443端口去间接访问后端的服务器业务系统,避免此类系统直接暴露在用户面前所带来的安全风险。
当VSP设备因意外事故出现运行故障时,XXX医院可根据自身需要,放通ACL列表保证系统的正常访问;或者出于安全性考虑,即便无法通过VSP访问业务系统,也要保证数据的不泄露。
●高强度身份认证
信息股的同事可以根据医院的需要,对不同级别的医护工作人员和第三方维护人员设定不同强度的认证方式,如用户名密码认证、USB-KEY认证、与第三方服务器的结合认证、短信认证、动态令牌认证、硬件特征码认证等,并且可以将不同的认证方式加以组合,避免单一身份认证带来的密码泄露风险。
VSP设备还可以支持设备登录账户与系统访问账户的定向绑定,避免系统的越权访问带来的风险,进一步提升身份鉴别的可靠性。
●资源划分与权限控制
VSP设备可以将XXX医院各个医护及其他工作人员,配置其各自相应的资源访问权限。
如医生会通过tcp的方式和安全桌面组合在一起进行访问医生工作站,护士通过tcp的方式和安全桌面组合在一起进行访问护士工作站,系统维护人员只能通过应用发布的方式进行访问和系统维护等。
通过独特的角色管理功能,VSP设备可为XXX医院提供细致到每个URL和不同应用的权限划分。
通过给不同用户设置不同角色来分配访问授权,一个用户可以赋予多个角色以适合各种复杂的组织结构。
同时,VSP系统基于角色的授权机制可结合对客户端安全检查结果的准入和授权,做到根据用户所属角色、用户登录时间、登录终端、终端安全检查结果的细致应用访问授权。
●虚拟安全桌面的使用控制
XXX医院的工作人员在成功登录VSP设备后,会由设备自动下发一个安全桌面控件到客户端,该客户端生成一个与本地桌面相同的却又相互独立的安全桌面。
安全桌面会自动检测业务系统访问是否在安全桌面下进行,禁止本地桌面的直接访问;而在安全桌面下发起的访问,通过禁止与本地计算机的通信、与外设和第三方设备的通信、与外网的通信等,到达统方防泄漏的效果。
在安全桌面内可做到:
禁止与本计算机通讯:
禁止安全桌面与默认桌面通信
禁止与本地网络通讯:
安全桌面内禁止与内网内其他计算机通信。
禁止与外网通讯:
安全桌面内禁止使用网络应用或将数据通过网络通信泄漏
禁止使用外设拷贝（USB,打印机,COM,CD-RW等
●传输加密与访问审计
客户端与业务系统的交互过程通过VSP设备进行SSLVPN的传输隧道加密,可有效避免不法人员对传输线路监听嗅探等造成的数据泄露,保证传输的完整保密性。
而所有人员对业务系统的访问,都将被记录在独立的日志中心上。
用户的访问日志（用户IP地址、认证方式、访问资源和时间、用户的活跃程度和流量趋势等、资源的访问日志（资源的活跃程度、资源的无效统计、资源流量排行及查询等、管理员日志、安全日志和系统日志等,便于XXX医院管理人员的详细追查。
第3章防统方设备选型
3.1产品选型
根据XXX医院的用户数目及医疗业务系统访问量,考虑到后期XXX医院的发展规划,我们推荐使用深信服VSP-4050设备,具体性能和功能列表如下所示。
项目细节
设备型号VSP-4050
SSL最大加密流量400M
SSL并发用户数2600
每秒新建SSL用户数280
千兆电口WAN4个
千兆电口LAN1个
千兆DMZ口1个
千兆SFP光口2个
冗余电源可选
3.2产品功能列表
安全桌面启动、使用及注销
控制台
管理员可配置安全桌面名称
管理员可上传默认安全桌面壁纸（1张1MB以内的JPG格式壁纸,使用压缩上传
管理员可下载查看当前上传的壁纸
管理员可配置是否允许客户端自定义壁纸
管理员可配置是否使用干净桌面
导航条
默认桌面、SD和VSP安全桌面都有导航条,SD与VSP同时运行时默认桌面只有一个导航条
在任一个桌面的导航条上都支持切换到另外两个桌面
支持收缩锁定安全桌面导航条功能
安全桌面导航条提供导出文件功能
SD和VSP安全桌面内的导航条分别可以注销各自的安全桌面,默认桌面导航条可以注销指定的安全桌面,或同时
注销SD和VSP安全桌面
自定义壁
纸
客户端可选择自定义本地壁纸（JPG或者BMP格式
客户端未自定义壁纸、服务端未上传或壁纸不存在,支持使用安全桌面默认壁纸
客户端支持下载自定义壁纸
安全桌面使用自定义壁纸
使用干净
桌面
策略配置“使用干净桌面”功能后,安全桌面只显示与默认桌面一致的系统相关图标
沙盒数据加控制台控制台可配置退出安全桌面数据处理方式“保留数据”
密保存或“删除数据”。
控制台可配置是否允许用户自定义退出安全桌面后数
据处理方式
支持后台配置128、192、256位AES密钥,默认使用
128位
后台可配重定向目录是否根据VPN用户名、WINDOWS
系统用户名和VPN用户创建时间来命名,默认根据VPN用
户名和用户创建时间来命名
支持用户独立的AES密钥使用AES文件数据加密方法
不同的SSLVPN用户,采用不同AES加密密钥新建用户的密钥生成
老版本升级到新版本,老用户的密钥生成
外部认证用户的密钥生成
用户密钥和重定向数据加密密钥一致性检查
重定向目
录
不同VPN用户在客户端对应不同的重定向目录
重定向文件删除工具仅提供给管理员或技术支持使用
运行时要求输入正确密码
支持删除全部重定向文件
支持选择删除具体一个用户的重定向文件
支持可选择的删除部分文件
支持按文件后缀过滤选择文件
支持根据文件后缀批量选择保存文件
支持异常情况下,选择保存的文件数据不丢失
AES密钥备份及恢复支持将AES密钥信息从VSP导出到备份配置文件支持将AES密钥信息从备份配置文件导入到VSP
用户密钥和登录/创建时间同步
支持双机、集群、分布式部署下,用户AES密钥、登录或者创建时间数据同步
文件明文导出
控制台
可配置是否允许导出文件
可配置允许导出的文件大小的最大值
可配置是否开启导出文件审计,文件上传至数据中心
支持从安
全桌面导出文
件
支持文件导出界面
支持只显示安全桌面内重定向文件
支持单个或多个文件的方式进行导出
支持用户可选择导出的保存目录路径
支持导出源目录及目的目录路径自动记忆功
支持文件导出过程有进度条显示,显示当前导出的文件和进度
支持导出过程可取消
支持文件明文导出
导出界面只显示安全桌面内的重定向文件,用户只能导出重定向的文件,不能导出与电脑桌面相同的文件
未配置导出审计文件内容时,只上传VPN用户名、文件名和文件MD5值到数据中心审计。
配置导出审计文件内容时,若选择导出文件大于配置的允许导出文件大小上限,则禁止导出
配置导出审计文件内容时,导出前需要上传VPN用户名、导出文件和文件MD5值到数据中心,审计成功后才允许导出,审计失败提醒用户并禁止导出
配置导出审计文件内容时,审计成功但导出失败,需要发送导出失败日志到数据中心。
支持文件导出时,文件重名情况下,文件自动重命名
服务端ssllog转发审计的文件
数据中心审计文件导出
导出前需要将用户名、导出明文文件发送到数据中心做审计,审计成功之后再执行文件导出
数据中心记录文件导出的用户行为日志
客户端导出文件大小有上限控制,超过配置的上限禁止导出
数据中心报表根据导出文件名或者用户名进行查询
数据中心支持下载审计的导出文件
插件代理安装控制台
支持组策略配置允许安装的插件列表,最多支持128条规则
组策略配置可添加、删除、修改插件列表
代理安装
插件配置包括CAB文件名称和签名名称,不允许为空
插件只支持CAB包和OCX控件,其他格式不支持
安装插件被拒绝时,支持弹出提示框,提示插件安装被拒绝及插件信息,包括配置放行需要用到的插件名称和签名支持IE6、IE7、IE8、IE9浏览器
禁止安装的插件,支持弹出插件信息,包括配置放行需要用到的信息
网络拦截功能
控制台
支持配置安装LSP白名单,安装LSP时白名单中的LSP作为下层调用
LSP白名单最多支持配置32个
安全桌面网络放行规则仅支持IP地址段,不支持域名和端口范围
安全桌面网络放行规则最多支持128条,组策略中可配,可添加、删除、编辑
TCP控件
安装
根据配置LSP白名单,安装时将白名单LSP协议添加到协议链尾
安全桌面
网络拦截
客户端登陆时解析域名规则并加入IP放行规则列表
支持组策略配置本地通讯进程白名单,使用进程文件签名或文件版本信息
支持在默认桌面对网上邻居IP资源的拦截
安全桌面内进程控制控制台
控制台全局添加白名单进程,最多支持配置放行256个进程规则
配置进程信息支持签名、文件版本信息、MD5值
进程控制不符合白名单规则禁止进程运行,弹出提示窗口提示
安全桌面离线访问
控制台
支持“是否允许离线”和“最大离线访问时间”,管理员可配;可配置的最大离线访问时间为365天。
支持控制台用户绑定Dkey或解除Dkey绑定DKEY
仅支持有驱和无驱飞天诚信epass1000nd类型的USBKEY进行安全桌面离线访问;不支持第三方USBKEY,
需定制解决。
PIN码验证错误次数限制,超过将锁定DKEY,重新绑定可以解锁
客户端首次使用需要在线登陆一次并更新用户信息到DKEY
客户端功
能
显示离线剩余访问时间
离线访问禁止客户端的本地通讯、禁止安全桌面内访问网络、不允许在安全桌面内安装插件
离线时间为0强制退出安全桌面
支持“离线访问设置”,支持修改PIN码及更新用户信息
安全性增强
监视安全桌面内进程钩子
监视LSP
支持32位winXP、win7及64位win7系统下使用CanonLBP2900、HP1020PLUS打印机
32位winXP及win7系统,支持对OutLook进行网络拦截,使用TDI或WFP驱动
对重定向注册表的值加密
使用新的注入方案
安全桌面钩子模块SangforSD合法性检查
解决搜狗及熬游3浏览器单实例问题
安全桌面内禁止关机、重启、注销和待机
安全桌面内禁止第三方软件切换到电脑桌面
禁止mstsc远程桌面通过剪切板导致数据泄漏
禁止vmware虚拟机通过剪切板导致数据泄漏
网络部署部署模式单机、双机、集群、分布式集群
用户接口浏览器IE内核浏览器、Opera、Chrome、FireFox、Safari等
用户权限
安全桌面功能支持32位WinXP（需打sp2补丁包、Win7系统下的USER权限环境;
安全桌面功能支持64位Win7（包括管理员及USER权限
系统环境。
第4章防统方价值优势
采用深信服VSP防泄密网关设备,XXX医院可实现简易且安全的防统方效果,无需采用物理隔离方式耗费大量投资和维护成本,即可实现防统方的目的预期。
●完整的数据安全
VSP防统方安全网关可从用户接入、资源划分、使用控制、传输安全和行为审计等众多层面,为XXX医院实现一体化的完整数据安全防护效果,短到端的用户防护体验可有效避免统方在各个层面的泄露和外发。
●简易的使用和维护体验
整个业务系统访问过程只是换在另一个与本地桌面操作无异的安全桌面下进行,XXX医院的工作人员只需加多一次身份认证,相对于物理隔离,使用体验增加N倍,可有效提升工作人员对XXX医院IT信息维护的认可度。
管理员的管理维护同样简便易行,只需要在数据中心对VSP设备进行维护管理,不需在医院人员电脑上独立安全环境,避免终端电脑的额外管理维护量,提高XXX医院信息股同事的工作效率。
●优异的网络适应性
整个方案对XXX医院既有的网络环境改动极小,旁路设备部署无需硬件架构重整和网络架构改造,而且对Windows平台如XP、W7等众多版本系统支持良好,便于XXX医院防统方方案的推行和上线。
●投资性价比高
相对于物理隔离需要部署双套网络网络和终端电脑,虚拟化需要额外部署多台服务器、虚拟化平台和高额接入授权,该方案只需XXX医院部署单台VSP设备,并购买相应低成本的功能模块和接入授权即可。
面对后期医院扩容和设备升级需要,VSP设备也可支持非对称集群,只需在原来基础上添加相应型号的设备即可,两台集群设备共享一套功能授权,投资性价比超高。
第5章深信服科技介绍公司概览创立时间：
2000年员工数：
1100人客户数：
18,000家年增长率：
超过50%专利数：
申请超过60项（数据更新于2011年12月31日）关于深信服深信服公司成立于2000年，是中国最大的应用层网络设备供应商，致力于提供基于网络应用层的产品及解决方案。
目前，全球有超过18,000家用户正在使用深信服的产品（截至2011年底）。
在中国入选世界500强的企业中，有85%以上的企业都是深信服的用户。
截止2011年12月31日，深信服在全球共设有44个直属分局机构，分布在全球8个国家和地区，并拥有超过1100名员工。
作为中国应用层网络市场的领导者，深信服每年保持着50%以上的增长率，持续每年将总营收的15%投入到研发，并在深圳和北京设有研发中心。
截至2011年底，深信服共申请超过60项发明专利。
同时，深信服还是IPSecVPN和SSLVPN两项国家标准的主要承建单位。
深信服公司被评定为“国家规划布局内重点软件企业”，连续七年入选德勤“亚太地区高科技高成长500强”，连续两届荣获《财富》“卓越雇主——中国最适宜工作的公司”。
网络安全产品下一代防火墙NGAF深信服NGAF产品是一款以应用层安全需求出发而设计的下一代防火墙。
通过单次解析引擎真正做到将防火墙、VPN、入侵防御、服务器防护、病毒防护、内容过滤、流量控制等多种安全技术有机融合在一起，提供多功能、高性能的电信级安全设备。
自去年推出以来，深信服下一代防火墙产品增长迅速，目前已得到中国保险监督委员会、东风汽车、安徽省卫生厅、新疆联通等用户的成功应用。
深信服科技版权所有9
SSLVPN深信服SSLVPN为客户提供最安全、最快速、最易用的移动远程接入方案，最大程度地满足整个组织业务系统的安全发布及接入访问需求。
深信服已连续三年位居中国SSLVPN市场第一。
同时，深信服SSLVPN也是中国地区唯一入围Gartner魔力象限的产品。
（数据来源：
Frost&Sullivan，2011年3月）虚拟化安全平台VSPVSP是深信服最具前瞻性的虚拟化安全平台。
该平台以完美契合客户业务流程为设计出发点，借助虚拟化技术构建一套与风险完全隔离的、最具效率和性价比的核心业务网络，避免业务流程中核心业务数据泄漏的风险，最大化保障组织信息安全。
IPSecVPNIPSecVPN可实现异地机构快速组网、大型专网中数据安全加密、行业专网的VPN延伸、专网单一链路的稳定备份等多重价值。
深信服以38.5%的市场占比位居第一，高出第二名3倍以上。
（数据来源：
IDCChina，2011年3月）网络优化产品应用交付AD作为传统网络负载均衡产品的升级和扩展，应用交付产品基于网络应用层设计，将关键应用快速、可靠、智能地交付到用户使用。
深信服AD不仅能够避免系统宕机或链路故障对应用发布的影响，还能够极大地提升用户访问体验，提高业务发布的效率。
自深信服在2009年推出应用交付产品以来，已得到包括最高人民法院、国美电器、四川银联、陕西移动等知名用户的广泛应用，2011年销量超过前一年的3倍以上。
广域网优化WOC对于拥有分布式网络的用户，广域网带宽占用率偏高、网络丢包延时、应用交互效率低下、应用流量分布不均等因素都极大的影响用户的应用访问体验。
广域网优化产品针对以上问题，帮助用户大幅提升多种网络环境下应用访问效果、优化广域网链路质量、削减线路带宽占用率、合理管理广域网流量。
目前，深信服广域网优化产品已经承载了多个国家级的重要网络，并且跃升为中国广域网优深信服科技版权所有10
化市场的前三甲。
（数据来源：
Frost&Sullivan，2011年3月）上网优化SG深信服SG系列产品作为中国第一款上网优化网关，借助缓存和代理技术，并辅以带宽管理功能，解决了爆炸式的互联网流量与有限的局域网带宽之间的矛盾。
深信服科技版权所有11
深圳市南山区麒麟路1号科技创业中心4楼Add:
4thFloor,IncubationCenter,No.1QilinRoad,NanshanDistrict,ShenzhenP.C.:
518052产品咨询热线：
800-830-9565Email:
master@
升级会员 