APP安全系统建设方案设计.docx

APP安全系统建设方案设计.docx

《APP安全系统建设方案设计.docx》由会员分享，可在线阅读，更多相关《APP安全系统建设方案设计.docx（15页珍藏版）》请在冰豆网上搜索。

APP安全系统建设方案设计

医院服务窗

安全建设方案

2014年9月

一、医院服务窗背景介绍

随着3G、4G时代的到来，大家越来越习惯使用智能手机来查询、和商户的互动。

来自中国互联网络信息中心（CNNIC）的《2013中国互联网络发展状况统计报告》显示，截至2013年底，中国手机网民规模达到约4.6亿人，占整体网民的比例达到78.5%。

而最近几年，互联网在快速颠覆和改变很多传统行业，包括零售、通讯、医疗等行业。

医院作为特殊的事业单位，涉及到13亿中国人的福祉，但一直存在“挂号难”“看病难、看病贵”“医生劳动与回报”突出的问题，之所以出现这种状态是由于两方信息的不对称，医患不融合。

我们知道，解决任何双方矛盾的根本是平台的建设，只有双方在一个平台中共同努力，协调利益，才能有效解决问题。

目前支付宝将对医疗机构开放自己的平台能力，包括账户体系、移动平台、支付及金融解决方案、云计算能力等，通过支付宝钱包中的服务窗可以提供患者与医院交流的一个公众服务平台。

这也就为医院提高就医体验，掌握病人就医行为提供了可能；也为医院将更优质的服务通过互联网提供给病人提供了可能。

医院服务窗正是基于支付宝钱包服务窗向患者提供的医疗服务平台。

在这个平台上患者及其家属可以通过服务窗自助完成预约挂号、诊间支付以及查看患者感兴趣的信息，使医院和患者之间就建立了一种信任关系，进一步增加了患者对医院的信赖感和黏度，从而达到和谐医患关系的目标。

二、医院服务窗网络安全解决方案

医院服务窗的终端用户（病友及访客）是通过互联网来访问医院服务窗的IIS服务器获取信息，由于医院服务窗的IIS服务器位于医院内部网络且需要向医院的核心服务器HIS服务器提取相关数据，整个数据链路涉及内网及外网，为降低数据流被意外安全事件中断的机率，保证整个业务高效，流畅地运转，现为相关数据流设计如下网络安全防护体系。

下图是医院服务窗系统在应用过程中一个典型的安全防护设备部署拓补图。

医院服务窗的终端用户通过各种移动设备（智能手机、智能平板等）经过互联网向IIS服务器查询数据。

数据流会先经过安全设备的第一道门槛-防火墙，然后再经防病毒网关到达第二道门槛-WEB应用防护设备到达IIS服务器。

IIS服务器得到请求后会根据终端要求查询的内容向HIS核心服务器提取相关数据，这时数据流会经过安全防护设备的第三道门槛-网闸到达HIS服务器。

在医院内部核心交换机处还有一个安全防护设备-IDS来保证监视整个医院内部网络的攻击行为或异常现象为快速排错及故障定位提供保障。

以上提到的各种安全设备层层防护，相互补充，在最大程度上保证了整个医院服务窗及网络系统的安全应用。

各设备的具体防护功能及特性将在后面的章节详细介绍。

产品部署网络拓扑图如下：

三、安全设备效果及性能简介

3.1防火墙

防火墙部署于医院内部网络与互联网边界处，是整个网络安全防护的基础实施。

主要对需要访问医院服务窗IIS服务器的外部用户经行访问控制，起到对于网络层数据流和攻击的防御。

同时在蠕虫病毒大爆发的时候可防止外部用户将其感染到本安全域之内，造成更大更严重的损失。

防火墙按性能可分为万兆、千兆、百兆三大类，其中千兆及百兆应用最为普遍。

万兆高端防火墙主要应用于ISP及大型骨干网中，中端千兆防火墙主要应用于企事业单位，百兆的低端防火墙主要针对桌面级应用。

如医院网络边界处已有防火墙设备则此处不用考虑。

3.1.1设备技术参数

防火墙

（百兆）

网御星云PowerV6000-F1500-ZK

系统为VSP通用安全平台并具备其证书；设备至少具备三操作系统，MiniOS、SystemA、SystemB，均可启动配置选择，且在WEB界面可明确启动选项，用户可自由选择当前引导系统，保障稳定性；

并发连接数≥150万,吞吐量≥800Mbps，IPSec隧道数≥2000；标准1U机箱，标配10个10/100MBASE-T接口；支持多端口聚合，实现零成本扩展带宽；支持异常主机快速定位功能。

防火墙

（千兆）

网御星云PowerV6000-F2050-JW

系统为VSP通用安全平台并具备其证书；设备至少具备三操作系统，MiniOS、SystemA、SystemB，均可启动配置选择，且在WEB界面可明确启动选项，用户可自由选择当前引导系统，保障稳定性；

并发连接数≥180万，吞吐量≥3Gbps，IPSec隧道数≥5000；标准1U机箱，标配6个10/100/1000BASE-T接口，4个SFP接口；支持多端口聚合，实现零成本扩展带宽；支持异常主机快速定位功能。

3.2网闸

网闸的部署至关重要。

它部署在IIS服务器与HIS数据库之间。

因为用户通过IIS服务器向HIS数据库提取数据时，无论在安全性还是保密性的角度来看，网闸的部署进一步提升了安全的等级，到达物理隔离。

两个网络之间没有任何物理连接，没有任何网络协议可以直接穿透。

并可以实现“协议落地、内容检测”，这样，既从物理上隔离、阻断了具有潜在攻击可能的一切连接，又进行了强制内容检测，从而实现最高级别的安全。

有效的将两网之间实现了安全隔离与业务数据安全、可靠的交换。

通过这种部署方式，可以为访问提供更高的安全性保障。

确保核心数据库在对外提供数据时不被攻击、篡改、破坏。

安全隔离信息交换系统（网闸）该产品是利用网络隔离技术的访问控制产品，处于网络边界，连接两个或多个安全等级不同的网络，主要应用于对重点数据提供高安全隔离的保护。

国家保密局对安全隔离与信息交换类产品的应用也做了规定，规定安全隔离与信息交换系统在以下四种网络环境下应用：

●不同的涉密网络之间；

●同一涉密网络的不同安全域之间；

●与Internet物理隔离的网络与秘密级涉密网络之间；

●未与涉密网络连接的网络与Internet之间。

3.2.1设备技术参数

网闸

网御星云SIS-3000-Z1A00-ZK

机架式设备，采用2+1架构，并提供公安部计算机信息系统安全产品质量监督检验中心检验报告证明；不少于8个10/100/1000M自适应电口，内外网主机系统分别具有独立的网络口、管理口、HA口（热备口）；4个USB口。

网络延时小于5ms，系统总延时小于1ms，开关切换时间小于10ns，数据摆渡速度大于200Mbps，并发连接数大于15000；具备文件交换、FTP访问、数据库传输、邮件传输、安全浏览、定制访问、安全通道、视频传输等模块；支持所有模块全面病毒过滤。

网闸

网御星云SIS-3000-Z2A00-JW

机架式设备，采用2+1架构，并提供公安部计算机信息系统安全产品质量监督检验中心检验报告证明；不少于12个10/100/1000M自适应电口，内外网主机系统分别具有独立的网络口、管理口、HA口（热备口）；4个USB口。

网络延时小于1ms，系统总延时小于1ms，开关切换时间小于10ns，数据摆渡速度大于750Mbps，并发连接数大于50000；具备文件交换、FTP访问、数据库传输、邮件传输、安全浏览、定制访问、安全通道、视频传输等模块；支持所有模块全面病毒过滤。

3.3入侵检测（IDS）

在安全防护系统中，若不良来访者被允许访问，它会对用户网络做出令网络管理者无法控制的事情，如果系统配备了入侵检测（IDS），这种破坏性行为将被抑制。

我们知道，网络总是要提供服务的，对于一些常用的服务如浏览和E-mail收发等，防火墙只做到允许或者拒绝各种各样访问者访问这些服务，无法判定具有攻击行为的访问是否会摧毁防火墙。

这就好像门卫难以判定每个来访者是办事者还是偷窃者一样。

如果墙角（或其他什么位置）安装了微型摄像机，能够监视来访者的一举一动，保安人员便可以根据来访者的行为及时发现不法分子，及时报警，确保办公与居住人员的安全。

我们在核心交换区域部署IDS监听设备，在此位置，它在不影响整体网络业务性能的情况下，能监听到所有访问业务服务器区域和内网区域的所有行为举动，若有异常行为可联合防火墙等进行安全联动，阻断非法行为，同时为我们出现问题后的事后取证与行为还原提供了充分的依据。

3.3.1设备详细技术参数

入侵检测系统

网御星云TD3000-FS1000-ZK

探测器引擎的操作系统为VSP通用安全平台，具备高效、智能、安全、健壮、易扩展等特点（提供相关证明材料），要求IDS为专业的旁路检测类产品，因此要求不得以IPS旁路部署的方式提供，不能串接部署，产品应至少支持1个通讯接口，以及不少于5个10/100/1000M监听口，不小于500Mbps，不小于100万；超过3000条的检测规则，全面兼容CVE、BugTraq等国际标准漏洞库。

入侵检测系统

网御星云TD3000-GS1820-JW

探测器引擎的操作系统为VSP通用安全平台，具备高效、智能、安全、健壮、易扩展等特点（提供相关证明材料），要求IDS为专业的旁路检测类产品，因此要求不得以IPS旁路部署的方式提供，不能串接部署，产品应至少支持1个通讯接口，不少于5个10/100/1000M电口监听口，不少于2个千兆SFP光口监听口，冗余双电源，不小于1Gbps，不小于120万；超过3000条的检测规则，全面兼容CVE、BugTraq等国际标准漏洞库。

3.4Web应用安全防护——WAF

WAF（WebApplicationFirewall）工作在应用层，提供专业的针对医院服务窗IIS服务器Web应用的防护，提供Web应用交互内容以及Web页面中代码漏洞的检测防御和Web2.0时代动态网站的应用防护，通过执行应用会话内部的请求来处理应用层，它专门保护Web应用通信流和所有相关的应用资源免受利用Web协议或应用程序漏洞发动的攻击。

WAF可以阻止将应用行为用于恶意目的的浏览器和HTTP攻击，一些强大的应用安全网关甚至能够模拟代理成为基于web的应用服务器接受应用交付，部署与所有基于web应用的服务器群签名，形象的来说相当于给原web应用服务器群加上了一个安全的绝缘外壳。

WAF针对常见的Web业务系统，提供综合的Web应用安全解决方案，确保用户Web业务风险最小化。

WAF通过对进出Web应用服务器的http流量相关内容的实时分析检测、过滤，来精确判定并阻止各种Web应用攻击行为，阻断对Web应用服务器的恶意访问与非法操作，如SQL注入、XSS、Cookie篡改以及应用层DoS攻击等，有效应对网页篡改、网页挂马、敏感信息泄露等安全问题。

系统使用主动实时监测过滤技术，将恶意代码、非授权篡改、应用攻击等众多威胁进行综合防范，从而做到对医院服务窗对外提供服务的IIS应用服务器的多重保护，确保IIS应用安全的最大化，充分保障IIS应用的高可用性和可靠性。

通过部署一台WAF管理多个独立的Web应用，各Web应用可采用不同的安全策略，可以在不修改用户网络架构的情况下增加新的应用，为多元化的Web业务运营机构提供显著的运营优势与便利条件，可以实时配置修改多个后台Web系统，而无需让Web系统下线。

3.4.1设备技术参数

Web应用防火墙

网御星云Leadsec-280WAF-ZK

产品至少可提供1个RJ-45Console口，1个10/100Base-Tx带外管理口，8个10/100/1000Base-T接口，产品应具备液晶显示屏，需采用MIPS多核硬件架构，非INTEL多核、非X86架构，处理器至少可支持到2核，吞吐率不小于800Mbps，不小于100万；基于HTTP/HTTPS/FTP协议的蠕虫攻击、木马后门、间谍软件、灰色软件、网络钓鱼等基本攻击；CGI扫描、漏洞扫描等扫描攻击；SQL注入攻击、XSS攻击等Web攻击。

应采用先进的协议分析技术对入侵特征进行分析，可有效一种防范DNS请求报文洪泛滥攻击，可有效对系统进行安全性识别。

Web应用防火墙

网御星云Leadsec-850WAF-JW

产品至少可提供1个RJ-45Console口，1个10/100Base-Tx带外管理口，12个光电互斥接口，产品应具备液晶显示屏，需采用MIPS多核硬件架构，非INTEL多核、非X86架构，处理器至少可支持到4核，吞吐率不小于1.8Gbps，不小于150万；基于HTTP/HTTPS/FTP协议的蠕虫攻击、木马后门、间谍软件、灰色软件、网络钓鱼等基本攻击；CGI扫描、漏洞扫描等扫描攻击；SQL注入攻击、XSS攻击等Web攻击。

应采用先进的协议分析技术对入侵特征进行分析，可有效一种防范DNS请求报文洪泛滥攻击，可有效对系统进行安全性识别。

3.5防病毒网关

在网络边界部署防病毒网关，采用高检测度接入方式，在最接近病毒发生源安全边界处进行集中防护，对夹杂在网络交换数据中的各类网络病毒进行过滤，可以对网络病毒、蠕虫、混合攻击、端口扫描、间谍软件、P2P软件带宽滥用等各种广义病毒进行全面的拦截。

阻止病毒通过网络的快速扩散，将经网络传播的病毒阻挡在外，可以有效防止病毒从其他区域传播到内部其他安全域中。

通过部署防病毒网关，截断了病毒通过网络传播的途径，净化了网络流量。

如医院网络边界处已有防火墙设备则此处不用考虑。

3.5.1设备技术参数

防病毒网关

（百兆）

网御星云PowerV6000-A1300-ZK

机架式，2个10/100M电口、4个10/100/1000M电口和一个扩展槽位；防病毒吞吐量600Mbps，并发连接数≥1,800,000，每秒新建连接数≥12,000；支持路由、透明、混合等各种工作模式下的网络病毒检测，支持无IP地址的透明桥下的网络病毒检测模式，支持VPN模式下的病毒扫描。

防病毒网关

（千兆）

网御星云PowerV6000-A2390-JW

机架式，6个10/100/1000M电口、2个千兆SFP插槽；防病毒吞吐量1.5Gbps，并发连接数≥2,000,000，每秒新建连接数≥20,000；支持路由、透明、混合等各种工作模式下的网络病毒检测，支持无IP地址的透明桥下的网络病毒检测模式，支持VPN模式下的病毒扫描。

四、安全设备架构建议

医院服务窗系统安全防护建设本着信息安全建设四原则进行，即：

“全面保障”原则：

信息安全风险的控制需要多角度、多层次，从各个环节入手，全面的保障。

“整体规划，分步实施”原则：

对信息安全建设进行整体规划，分步实施，逐步建立完善的信息安全体系。

“同步规划、同步建设、同步运行”原则：

安全建设应与业务系统同步规划、同步建设、同步运行，在任何一个环节的疏忽都可能给业务系统带来危害。

“适度安全”原则：

没有绝对的安全，安全和易用性是矛盾的，需要做到适度安全，找到安全和易用性的平衡点。

在实施过程中基于以上四原则在安全设备的配置部署上也因医院具体情况而定，下面给出本方案中安全设备在几种常见情况下的配置组合为用户提供参考。

对于威胁的防护，可分为三个防护等级：

基础防护：

通过防火墙设置网络安全策略，限制对IP地址及Port的访问，并采用入侵检测系统（IDS）对异常网络行为及攻击手段进行监测和日志记录。

该防护等级可阻止大部分已知攻击行为，但对内容不能进行检测，对系统漏洞的防护力较弱。

防护效果：

★★★☆☆

所需安全设备：

防火墙、入侵检测系统

主动防护：

在基础防护等级的基础上，采用Web应用安全防护系统可重点针对系统应用服务器进行保护，对进出服务器数据的协议和内容进行分析，并对应用流程进行限定，对于内容包含威胁或不符合协议和应用流程的行为进行阻断。

同时增加防病毒安全网关（AV）对网络病毒进行查杀。

该防护等级可阻止绝大部分网络攻击及病毒传播。

防护效果：

★★★★☆

所需安全设备：

防火墙、入侵检测系统、Web应用安全防护系统、防病毒安全网关（AV）

物理隔离：

在主动防护等级的基础上，利用完全隔离与信息交换系统（网闸）对内网和外网进行物理隔离，同时实现指定业务数据的高等级安全交换。

该防护等级可阻止所有XX的网络操作和数据传递，杜绝外网对内网的所有安全威胁。

防护效果：

★★★★★

所需安全设备：

防火墙、入侵检测系统、Web应用安全防护系统、防病毒安全网关（AV）、完全隔离与信息交换系统（网闸）

五、安全设备部署实施时间计划表

项目内容

时间

前期调研网络状况及详细需求

2-3天

上架实施制定各种安全策略

2-3天

上线试运行观察，随时调整策略至稳定

4天

技术文档移交

1天

日常使用及维护培训

1-2天

六、安全设备厂商及产品选择参考

在明确了我们信息安全防护的目的及重点后，我们建议从以下几个方面去考虑对安全产品品牌及厂商的选择。

1、本土化

因为安全产品的特殊性及敏感性，建议在品牌及厂商选择上尽量选择国内的厂商。

信息安全领域行业在国内已经发展的十分成熟，国内的安全厂商与国外的安全厂商从技术上讲不存在什么差距，产品质量上也没有什么明显的差距不必盲目迷信国外厂商。

且国内厂商更熟悉国情及国人的使用习惯。

2、拥有自主知识产权的一线品牌厂商

鉴于安全本身是一个相对动态的服务，只有拥有自主知识产权厂商的产品的工艺流程能保障更好的产品质量，其拥有强大的研发团队及服务团队更能保证产品软件系统的延续及升级，保障相关特殊码及病毒库的及时更新。

目前一线厂商主要有网御星云、天融信、东软、启明星辰。

3、提供本地化安全服务支撑

安全服务并不只是指对安全设备提供的售前售后等服务，它是针对整个信息化网络的安全保障提供咨询服务、解决方案、产品实施三位一体的完整的信息安全保护体系。

为客户提供风险评估服务、等级保护服务、安全体系咨询、安全运维服务和信息安全培训等。

有实力、资质提供安全服务的厂商对网络安全会掌握的更准确理解的更透彻，对用户就能提供更可靠更细致的服务保障。

4、拥有各种行业、数量较大的实施案例及客户群

5、产品选择要素

产品名称

选择要素（产品选择时至少要具备以下特征保证产品品质）

网闸

具备双系统引导，及备份恢复系统，支持Web及客户端认证、具备病毒检测专用模块、具备抗DoS、DDoS功能、内外网口分别独立配置、管理确保实现真正的网闸隔离机制

Web应用安全防护系统

具备自由专利技术的SQL、XSS攻击防御技术、支持HTTPS应用协议解密及针对HTTPS应用的攻击防护

入侵检测系统

支持计算机病毒检测，病毒库数量超过100万、支持Web攻击检测扫描、具备威胁事件实时展示功能

防火墙

具备两个操作系统，和单独的备份恢复系统，保障操作系统稳定性

具备ISP路由表，可实现基于运营商路由的链路负载均衡、具备服务器负载均衡功能、支持扩展防病毒和入侵防御功能、具备1000万级网址智能特征库

防病毒

网关

支持HTTP,SMTP,FTP,PO3P,IMAP等多种协议下病毒防护，支持自定义非标准端口的HTTP,SMTP,FTP,POP3,IMAP协议中的病毒检测；

支持过滤邮件病毒、文件病毒、恶意网页代码、木马后门、蠕虫等多种类型的病毒，支持基于病毒防护规则设置阻断并清除病毒、记录日志，发送电子邮件报警等。

综合以上各种条件，在产品选择上我们推荐产品线丰富、性价比较高的网御星云旗下的安全产品。

七、安全防护应用等级参考价

7.1安全防护套装A系列：

安全防护套装A系列能满足1500人同时在线访问，支持大数据量的传输，同时也能胜任突发集中访问出现的高负荷状况，以及业务高峰时频繁访问等极端条件下的处理能力。

推荐三甲医院采用该套装方案。

套装A1：

基础防护级

产品名称

产品规格

中联价格

市场建议价

网御星云防火墙

PowerV6000-F2050-JW

55000.00

70000.00

网御星云入侵检测系统（IDS）

TD3000-GS1820-JW

135000.00

160000.00

合计

190000.00

230000.00

套装A2：

主动防护级

网御星云防火墙

PowerV6000-F2050-JW

55000.00

70000.00

网御星云入侵检测系统（IDS）

TD3000-GS1820-JW

135000.00

160000.00

防病毒安全网关（AV）

PowerV6000-A2390-JW

65000.00

80000.00

Web应用安全防护系统（WAF）

Leadsec-850WAF-JW

125000.00

150000.00

合计

380000.00

460000.00

套装A3：

物理隔离级

网御星云防火墙

PowerV6000-F2050-JW

55000.00

70000.00

网御星云入侵检测系统（IDS）

TD3000-GS1820-JW

135000.00

160000.00

防病毒安全网关（AV）

PowerV6000-A2390-JW

65000.00

80000.00

Web应用安全防护系统（WAF）

Leadsec-850WAF-JW

125000.00

150000.00

完全隔离与信息交换系统（网闸）

SIS-3000-Z2A00-JW

115000.00

140000.00

合计

495000.00

600000.00

7.2安全防护套装B系列：

安全防护套装B系列能支持300-500人同时在线访问，该套装系列能满足中小型医院的正常访问量，但是当出现超限定人数访问量、大规模集中访问等极端状况时，可能会出现该套装无法负荷的状况。

推荐二甲医院或三级专科医院采用该套装方案。

套装B1：

基础防护级

产品名称

产品规格

中联价格

市场建议价

网御星云防火墙

PowerV6000-F1500-ZK

30000.00

40000.00

网御星云入侵检测系统（IDS）

TD3000-FS1000-ZK

67000.00

85000.00

合计

97000.00

125000.00

套装B2：

主动防护级

网御星云防火墙

PowerV6000-F1500-ZK

30000.00

40000.00

网御星云入侵检测系统（IDS）

TD3000-FS1000-ZK

67000.00

85000.00

防病毒安全网关（AV）

PowerV6000-A1300-ZK

48000.00

60000.00

Web应用安全防护系统（WAF）

Leadsec-280WAF-ZK

95000.00

118000.00

合计

240000.00

303000.00

套装B3：

物理隔离级

网御星云防火墙

PowerV6000-F1500-ZK

30000.00

40000.00

网御星云入侵检测系统（IDS）

TD3000-FS1000-ZK

67000.00

85000.00

防病毒安全网关（AV）

PowerV6000-A1300-ZK

48000.00

60000.00

Web应用安全防护系统（WAF）

Leadsec-280WAF-ZK

95000.00

118000.00

完全隔离与信息交换系统（网闸）

SIS-3000-Z1A00-ZK

90000.00

110000.00

合计

330000.00

413000.00

备注：

因为每种安全设备中系列众多，根据不同规模不同需求不同的应用环境，价格也不尽相同。

所以表中所列价格仅为参考。

具体型号及价格还是要根据实际情况有所变化。