BJCA医院内网整合式安全管理解决方案v1.5.pps

BJCA医院内网整合式安全管理解决方案v1.5.pps

《BJCA医院内网整合式安全管理解决方案v1.5.pps》由会员分享，可在线阅读，更多相关《BJCA医院内网整合式安全管理解决方案v1.5.pps（38页珍藏版）》请在冰豆网上搜索。

北京数字证书认证中心2007年10月1ConfidentialBJCABJCA整合式安全管理解决方案宋巍20122012年33月北京数字证书认证中心2007年10月2目录目录医院办公现状11整合式安全管理概述22整合式安全管理解决方案33整合式安全管理技术实现44北京数字证书认证中心2007年10月3医院信息化现状

（一）对于医务人员住院部住院部门诊楼门诊楼检验科检验科放射科放射科应用服务器群应用服务器群中心机房中心机房中心机房中心机房HIS、PACS、LIS、EMR安全管理安全管理缺乏面向用户的统一登入门户应用账号繁多，容易丢失或遗忘办公应用不集中，不同应用之间需要进行反复的认证操作北京数字证书认证中心2007年10月4医院信息化现状

（二）实用问题对于运维人员住院部住院部门诊楼门诊楼检验科检验科放射科放射科应用服务器群应用服务器群中心机房中心机房中心机房中心机房HIS、PACS、LIS、EMR安全管理安全管理安全运维重复工作无法有效的整合，缺乏统一安全管理运维人员不足，被管资产众多，管理难度大缺少终端安全检查机制，不合安全策略的终端无法排除在安全网络外缺乏统一的审计信息查询分析手段业务，难以追根溯源，责任到人网络运维人员无法统观全局，不了解全网安全状态运维人员运维人员第三方驻场第三方驻场终端接入设备缺乏有效监管手段，外来驻场人员无法有效监管北京数字证书认证中心2007年10月5医院信息化安全面临挑战医院终端电脑带来的安全威胁1外来人员、电脑带来的安全威胁2没有明确的网络访问权限控制，所有人可以访问所有服务器3系统、设备众多，管理人员不足，维护难度大4数据泄露、数据篡改无据可依5北京数字证书认证中心2007年10月6需求分析北京数字证书认证中心2007年10月7目录目录医疗卫生办公现状11整合式安全管理概述22整合式安全管理解决方案33整合式安全管理技术实现44北京数字证书认证中心2007年10月8整合式安全管理解决方案适用于医院的安全管理措施适用于医院的安全管理措施11、终端安全、终端安全、终端安全、终端安全22、访问控制、访问控制、访问控制、访问控制&权限管理权限管理权限管理权限管理33、集中管理、集中管理、集中管理、集中管理44、审计分析、审计分析、审计分析、审计分析只有通过安全检测的主机才能访问网络或业务只有通过安全检测的主机才能访问网络或业务只有通过安全检测的主机才能访问网络或业务只有通过安全检测的主机才能访问网络或业务用户使用的终端进行安全检测（硬盘用户使用的终端进行安全检测（硬盘用户使用的终端进行安全检测（硬盘用户使用的终端进行安全检测（硬盘IDID、病毒库、桌、病毒库、桌、病毒库、桌、病毒库、桌管等）管等）管等）管等）用户仅被允许访问已授权的业务所有用户入网前进行用户仅被允许访问已授权的业务所有用户入网前进行用户仅被允许访问已授权的业务所有用户入网前进行用户仅被允许访问已授权的业务所有用户入网前进行身份认证身份认证身份认证身份认证只有授权用户才能访问网络只有授权用户才能访问网络只有授权用户才能访问网络只有授权用户才能访问网络设备和运维管理人员账号的完整生命周期管理、单点设备和运维管理人员账号的完整生命周期管理、单点设备和运维管理人员账号的完整生命周期管理、单点设备和运维管理人员账号的完整生命周期管理、单点登录登录登录登录基线标准下，由安全管理平台统一下发策略到安全设基线标准下，由安全管理平台统一下发策略到安全设基线标准下，由安全管理平台统一下发策略到安全设基线标准下，由安全管理平台统一下发策略到安全设备或网络设备备或网络设备备或网络设备备或网络设备策略性审计分析，帮助运维人员排除疑难故障策略性审计分析，帮助运维人员排除疑难故障策略性审计分析，帮助运维人员排除疑难故障策略性审计分析，帮助运维人员排除疑难故障行为审计与网络准入联动，直接关联到人，审计定位行为审计与网络准入联动，直接关联到人，审计定位行为审计与网络准入联动，直接关联到人，审计定位行为审计与网络准入联动，直接关联到人，审计定位到自然人，事前预防，事后定责到自然人，事前预防，事后定责到自然人，事前预防，事后定责到自然人，事前预防，事后定责北京数字证书认证中心2007年10月9整合式安全管理解决方案你安全吗你安全吗？

身份认证身份认证接入请求接入请求合法用户合法用户合格用户合格用户安全检查安全检查非法用户非法用户拒绝入网拒绝入网你是谁？

你是谁？

不合格不合格进入隔离区进入隔离区强制加固强制加固不同用户享不同用户享受不同的网受不同的网络使用权限络使用权限你在做什么你在做什么？

隔离区隔离区办公网络办公网络你可以做什你可以做什么？

么？

动态授权动态授权行为审计行为审计北京数字证书认证中心2007年10月10整合式安全管理概述运维管理人员运维管理人员安全管理平台安全管理平台移动安全移动安全管理平台管理平台移动终端移动终端安全设备安全设备OAHISEmail堡垒主机堡垒主机网络设备网络设备医务人员医务人员第三方人员第三方人员固定终端固定终端应用服务应用服务主机设备主机设备实名访问实名访问控制平台控制平台有权限的访问有权限的访问可管控的访问可管控的访问分析分析管控管控北京数字证书认证中心2007年10月11整合式安全管理组成用户安全接入实名访问控制平台（内网接入、单点登录、行为控制等）移动安全管理平台（移动终端接入）运维安全管理堡垒主机（集中账号管理、单点登录、访问控制、强身份认证、资源授权、操作审计）安全管理平台（安全监控、关联分析、基线管理、审计管理）终端安全管理终端安全管理软件（终端状态监控、强制基线下发）北京数字证书认证中心2007年10月12整合式安全管理解决方案统一账号管理统一账号管理单点登录单点登录分级授权分级授权运维审计运维审计基线下发基线下发合规检查合规检查访问控制访问控制无线接入无线接入安全检测安全检测北京数字证书认证中心2007年10月13目录目录医疗卫生办公现状11整合式安全管理安全概述22整合式安全管理解决方案33整合式安全管理技术实现44北京数字证书认证中心2007年10月14整合式安全管理解决方案身份管理访问控制终端安全信息审计安全问题运维问题实用问题北京数字证书认证中心2007年10月15整合式安全管理解决方案访问控制2层网络访问控制位置终端位置终端A位置终端位置终端B位置终端位置终端C非法终端非法终端802.1x协议是基于Client/Server的访问控制和认证协议。

它可以限制未经授权的用户/设备通过接入端口（accessport）访问LAN/WLAN。

在获得交换机或LAN提供的各种业务之前，802.1x对连接到交换机端口上的用户/设备进行认证。

在认证通过之前，802.1x只允许EAPoL（基于局域网的扩展认证协议）数据通过设备连接的交换机端口；认证通过以后，正常的数据可以顺利地通过以太网端口。

802.1x访问控制802.1X交换机交换机访问区域访问区域1访问区域访问区域2访问区域访问区域3北京数字证书认证中心2007年10月16整合式安全管理解决方案访问控制4-7层网络访问控制PORTAL上网上网权限人员权限人员A权限人员权限人员B权限人员权限人员C外来人员外来人员OA核心办公核心办公Web实名访问实名访问控制平台控制平台SSO授权级别最高类角色，通过认证后可访问所有在线业务或互联网。

同时通过统一认证门户，自动完成单点登录，替用户省去复杂繁琐的多门户多账号重复认证过程。

权限人员A权限控制类角色，通过认证后可访问已被授权的OA系统和Web系统。

由于未被授权上网权限，故无法使用互联网。

权限人员B权限控制类角色，通过认证后可拥有访问互联网的权限，同时被上网行为系统监控和审计。

权限人员C无权限类角色，未经过任何认证的用户，无法进行上网及任何业务应用的访问和操作行为。

外来人员北京数字证书认证中心2007年10月17整合式安全管理解决方案访问控制移动终端接入移动终移动终端端移动安全管理平台OA-appEM-app电子病历-appOA服务器Email服务器电子病历服务器移动终端安全管理移动终端安全管理1）移动接入终端身份安全（通过TF卡/USBKEY/证书/口令用户密码等方式来保证接入终端用户身份安全）；2）网络通信安全：

通过高安全算法对传输通道加密，确保移动接入终端和内网通讯的链路安全；3）应用安全访问：

基于网关的安全访问控制实现不同的接入终端可访问不同的应用；4）移动终端数据存储安全：

对接入终端要求安全高或应用数据极为重要的客户建议应用数据不落地，保证移动终端和内网应用能实时连接且安全访问互访；移动终端从移动应用上下载的文件落地加密存储在终端上，实现移动应用数据的安全存储和交换。

北京数字证书认证中心2007年10月18整合式安全管理解决方案终端安全终端安全管理域出口终端管理系统终端管理系统实名访问实名访问控制平台控制平台病毒库服务器病毒库服务器补丁服务器补丁服务器终端终端A杀软版本老旧杀软版本老旧终端终端B操作系统操作系统K09补丁未安装补丁未安装终端终端C终端检测软件终端检测软件被私自卸载被私自卸载终端终端D各项状态符合各项状态符合基线策略基线策略通过邮件或短信通知终端用户升级版本和补丁，自动下发程序恢复已经卸载的终端检测软件。

自动恢复机制自动恢复机制由安全运维人员根据系统合规性要求，制定符合标准的基线策略，其中要求接入终端杀软需升级当日病毒库版本；操作系统补丁最新k09安装完毕；终端检测进程处于活跃状态。

满足基线条件的终端才可通过认证访问业务应用。

终端安全基线策略终端安全基线策略北京数字证书认证中心2007年10月19整合式安全管理解决方案终端安全实用问身份加固，通过加强终端使用者的身份认证，来确保终端当前使用者的身份，防止冒名使用终端。

数据保密，采用加密技术,针对数据源头进行保密，建立安全环境，实现数据的安全性。

同时，建立数据合法外发通道，保证内部数据的合法外发。

行为管控，从行为层面对用户的行为进行合理过滤，约束非法行为，放行合法行为，实现事前的安全管理。

日志审计，通过提供丰富的日志信息，以便能够在事后对系统的运行、文档是使用等情况进行监督。

终端安全管理四要素终端安全管理四要素北京数字证书认证中心2007年10月20整合式安全管理解决方案运维审计IT运维审计网络设备网络设备数据库数据库应用服务应用服务安全设备安全设备主机主机审计探针审计探针IT运维人运维人员员运维人员可使用堡垒主机中的审计管理模式，配合安全管理平台系统通过采集各个资产的运行维护日志，经过关联归并处理最终形成定制化报表，为安全管理人员和日常运维人员日后排查问题、追究事故责任、巩固信息系统安全提供重要参考。

堡垒主机堡垒主机安全审计管理安全审计管理北京数字证书认证中心2007年10月21整合式安全管理解决方案身份管理集中账号管理和单点登录网络设备网络设备数据库数据库应用服务应用服务安全设备安全设备主机主机IT运维人运维人员员集中账号管理：

对所有IT资产帐号的集中管理对帐号整个生命周期的监控和管理降低设备管理员管理大量用户帐号的难度和工作量发现帐号中存在的安全隐患，制定统一的、标准的用户帐号安全策略账号关联，可实现多级的用户管理和细粒度的用户授权。

满足实名审计的需要单点登录（SSO）：

帮助IT管理员完成过程冗繁的认证登录操作，实现一点式漫游管理堡垒主机堡垒主机SSOIDIDIDIDID北京数字证书认证中心2007年10月22整合式安全管理解决方案运维管理InternetInternetServerServer攻击者攻击者攻击者攻击者RouterRouterFirewallFirewal