人民医院网络安全建设方案.docx
《人民医院网络安全建设方案.docx》由会员分享，可在线阅读，更多相关《人民医院网络安全建设方案.docx（36页珍藏版）》请在冰豆网上搜索。
人民医院网络安全建设方案
人民医院网络安全建设方案
一.背景概述3
1.1方案设计要求4
1.2方案设计原则5
二.“威胁分析+风险分析”=需求分析6
2.1威胁分析6
2.1.1外部威胁6
2.1.2内部威胁7
2.2风险分析8
2.2.1外部网络带来的安全风险8
2.2.2内部网络存在的风险8
2.2.3攻击快速传播引发的安全风险8
三、需求分析9
3.1医院网络安全建设拓扑图10
3.2网络安全设备投入列表10
四、基础安全建设11
4.1某下一代防火墙（访问控制）11
4.1.1部署方式11
4.1.2系统特点12
4.2某网络入侵防护系统13
4.2.1某网络入侵防护系统的特点13
4.2.3功能与效益17
4.3某安全审计系统17
4.3.1需求分析17
4.3.2解决方案18
4.3.3安全审计产品选型19
4.3.4某某安全审计系统的特点21
4.4远程安全评估系统（安全基线管理系列）26
4.4.1需求分析26
4.4.2某远程安全评估系统特点31
4.4.3功能与收益36
4.5某Web应用防火墙37
4.5.1需求分析37
4.5.2某Web应用防火墙的特点40
4.6安全审计堡垒机SAS-H42
4.6.1系统功能42
4.6.2产品特性43
附录A某科技公司简介45
A.1领先的专业安全厂商45
A.2安全技术基础研究45
A.3安全产品研发46
A.4专业安全服务46
一.
背景概述
某市第一人民医院是某市建院最早、具有百年发展历史的市级现代化综合性三级医院，某市唯一一家“红十字医院”；1995年被国家卫生部授予“爱婴医院”称号；1999年被国家卫生部授予“国际紧急救援网络中心”医院；2006年被授予“某市康复医院”。
某市第一人民医院位于某市中州大道，六层门诊、十三层病房大楼巍然屹立、雄伟壮观，内设中心供氧、中央空调、中心吸引；开放高、中、低档病床610张，各病房均装备有现代医院所具备的先进设备。
医院现有中、高级职称专业技术426人，临床、医技科室43个，拥有价值上亿元的大型先进医疗设备。
近年来，医院秉承“内抓管理、外树形象，质量强院、服务兴院”的办院宗旨，实施科技兴院战略，积极开展和引进新业务新技术，加强医德医风建设，全面提高医疗服务质量。
某市第一人民医院治院严谨，理念超前，医院经营方式灵活，全体员工爱岗敬业、勤奋工作。
面对竞争激烈的医疗市场，以实力求生存、凭技术谋发展、靠服务赢市场，各项工作进展顺利。
对于医院来讲，由于患者众多，业务繁忙，网络系统业务连续性十分重要。
为了保证医院的业务持续性发展，就必须分析信息系统的信息安全需求。
需求分析的主要目的是更加清晰、全面的了解网络的基本安全现状，了解如何解决系统的安全问题，为后期安全体系建设中的安全防护技术实施提供严谨的安全理论依据，为决策者制定网络安全策略、构架安全体系以及确定有效的安全措施、选择可靠的安全产品、建立全面的安全防护层次提供了一套完整、规范的指导模型。
医院网络安全解决方案从两个方面进行阐述，一方面是重新对外网区域进行网络规划，并加强网络安全建设；另一个方面就是解决内网和外网融合的问题，将内外网融合同时构建边界防护方案。
如何保证医院的网络正常运行和网络安全已成为迫切需要关注的问题。
随着医疗行业信息化发展的要求，《全国卫生信息化2003-2010年发展规划纲要》中对信息安全提出了明确的要求：
⏹加强与卫生信息化相关的法律、法规、政策体系的建设；
⏹提高信息安全意识，加强计算机和网络安全培训，防范、打击计算机与网络犯罪；
⏹在卫生信息系统建设的同时，要进行信息安全的总体设计和信息系统安全工程建设，在系统验收时必须对信息系统安全进行测评认证；
⏹对于已建的卫生信息系统，要采取信息安全加固措施，进行系统安全测评认证；
⏹卫生信息系统建设中信息安全投资应占系统投资的一定比例。
《发展规划纲要》从宏观的角度对卫生系统信息化建设，而与此同时，由于医疗行业发展的需要，2006年发布的《卫生系统内部审计工作规定（卫生部令51号）》中，明确了“为加强卫生系统内部审计工作，建立健全各单位内部审计制度，完善内部监督制约机制”，并要求“设置内部审计机构，配备审计人员，开展审计工作”；内部审计机构在履行审计职责时，明确具有“检查计算机系统有关电子数据和资料”的权限；由此可以看到针对卫生系统的相关审计具有明确要求。
此外，公安部国家电子政务等级保护、国家保密局BMB17-2006号文件中要求政府、涉密单位必须对与涉密敏感信息、业务系统相关的网络行为进行安全审计。
以防员工随意通过网络共享文件夹、文件上传下载、EMAIL等方式，发送重要敏感信息、业务数据，导致信息外泄事件发生。
同时，针对医疗行业的门户网站WEB业务这类给Internet可用性带来极大损害的攻击，必须在国家等级保护政策的指导下，采用专门的机制，综合采用各种技术手段对攻击进行有效检测，应按照《中华人民共和国计算机信息系统安全保护条例》（国务院令第147号）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《信息安全等级保护管理办法》（公通字[2007]43号）等文件要求，参考《计算机信息系统安全保护等级划分准则》（GB17859-1999）、《信息系统安全等级保护基本要求》（GB/T22239-2008）等等级保护相关标准，开展等级保护整改、测评工作，为医院内部和社会公众提供“一站式”的医疗公共服务目标提供有力保障。
在与医院多次安全沟通与交流的基础上，我们进一步明确了医院的准确需求，简单来说就是“安全访问，内外隔离，分期建设”三点，安全访问包含两方面，即从内网可以安全访问互联网，从互联网也能够安全访问内网；而在内外隔离上则是要保证内网数据与互联网之间保持逻辑或物理隔离；分期建设则是建设的思路，是根据医院的实际情况，分步骤从基础到深入，从满足最迫切的安全需求慢慢上升到管理安全上来！
以下此方案将针对这三点进行详细的需求描述与解决思路陈述。
一.1方案设计要求
根据实际调研与专家论证，本网络需要具有如下的安全特性：
●高可靠性：
在受到攻击的情况下，能够保证各类业务系统正常运行，能够保证数据的正常访问。
●高保密性：
网络数据/网络信息不被窃取。
●管理安全性：
完善的网络访问控制列表，包括不允许同级网络的非授权访问等。
●可审计性：
能够审计对数据中心服务器、网络设备等的各种操作信息。
●可扩充性：
依据现有网络流量设计的网络要留有一定扩充能力，随之的安全方案也必须具备可扩充性。
一.2方案设计原则
信息系统的建设是国家信息化的一个组成部分，在促进国民经济发展和社会稳定方面具有越来越重要的作用。
卫生行业作为涉及国计民生的重要行业，随着计算机应用的进一步普及和发展，计算机信息系统安全问题日益社会化、严重化，国家和行业监管机构有必要运用行政法律手段来进行有效的管理，维护社会的稳定和发展。
这些政策法规主要有：
《全国卫生信息化2003-2010年发展规划纲要》
《卫生系统内部审计工作规定（卫生部令51号）》
《基于健康档案的区域卫生信息平台建设指南（试行）》
《中华人民共和国保守国家秘密法》（1988年9月5日中华人民共和国主席令第6号公布）
《中华人民共和国保守国家秘密法实施办法》（国家保密局文件国保发[1990]1号）
《中华人民共和国国家安全法》（主席令68号，1993年2月22日第七届全国人民代表大会常务委员会第三十次会议通过）
《中华人民共和国计算机信息系统安全保护条例》（国务院令147号）
《计算机信息系统安全等级保护划分准则》（GB/T17859-1999）
《计算机信息系统安全等级保护网络技术要求》（GA/T387-2002）
《计算机信息系统安全等级保护操作系统技术要求》（GA/T388-2002）
《计算机信息系统安全等级保护数据库管理系统技术要求》（GA/T389-2002）
《计算机信息系统安全等级保护通用技术要求》（GA/T390-2002）
《计算机信息系统安全等级保护管理要求》（GA/T391-2002）
此次医院安全解决方案即在严格遵循上述国家法律法规以及行业的规范指南的基础之上编写而成的。
二.“威胁分析+风险分析”=需求分析
二.1威胁分析
当前医院具有HIS、PACS、LIS、EMRWINDOS等系统平台，这些平台服务在医院的各个业务流程上，从挂号，化验，病历管理等医院医务到计费，转账等财务工作，可以说信息系统的安全稳定运行对医院的管理具有极重要的作用，而在医院的数据管理上，医院具有Oracle，SQLServer等多种数据库，而随着当前卫生系统对“统方”的管理要求，数据库的访问、操作的安全性也需要加以关注。
医院网络结构较为复杂，具有多个互联出口，其中既有与电信、移动相连接的互联网出口，又有大量与银行，社保，新农保等单位的链接。
并且由于医院部署有面向internet的WEB站点，内网中存有大量重要的信息，运行着非常重要的业务系统，所以既要考虑来自互联网的黑客攻击，又要考虑来自下属医疗机构的非法访问，数据篡改等攻击行为。
综上所述，可从外部/内部两方面对威胁进行分析：
根据信息系统安全建设的思路，我们以医院的信息系统建模，这个模型即是包含医院的网络拓扑，业务系统，数据系统等多方面的信息的集合。
然后分析这个模型面临的威胁以及相关的风险，最后从这威胁与风险中，我们推断出真正的安全需求，然后将这个安全需求具体化，实体化，最后转变为相关的解决方案，即安全服务与安全产品的集合。
最后我们按照医院的实际情况，将这个方案按照需求进行分期描述，一期主要解决基础安全问题，二期集中在数据安全与安全服务工作，三期则上升至管理安全。
根据医院的信息系统模型，我们将从内外网两个角度寻找安全威胁：
二.1.1外部威胁
◆非授权访问
没有预先经过同意，就使用网络或计算机资源被看作非授权访问。
如有意避开系统访问控制机制，对网络设备及资源进行非正常使用，或擅自扩大权限，越权访问信息。
非授权访问主要有以下几种形式：
假冒、身份攻击、非法用户进入网络系统进行违法操作、合法用户以未授权方式进行操作等。
严格的访问权限控制会大大提升各区域的安全性。
◆黑客扫描和攻击
Internet网络的恶意入侵者可能因为商业的目的或者是随机的目的对网络和WEB服务发起恶意扫描和渗透式入侵，通过渗透或绕过防火墙，进入网络和数据库，获取、篡改甚至破坏敏感的数据，乃至破坏医院的正常业务，造成恶劣的社会影响和政治事件。
◆数据窃取
由于医院网络中存储有大量重要而敏感的信息，一旦发生数据泄密，将造成严重的社会影响，同时由于每天大量的诊疗信息通过信息网络流通，如果出现数据错误将会影响诊疗信息的准确性与及时性。
◆病毒或蠕虫侵袭
Internet网络上大量肆虐的网络蠕虫病毒具备渗透防火墙的传播能力，他们可以穿透防火墙进入网络；一旦遭受了病毒和蠕虫的侵袭，不仅会造成网络和系统处理性能的下降，同时也会对核心敏感的数据造成严重的威胁，甚至造成拥塞，导致系统的中断和服务的宕机；而医院由于与众多的外联单位互联，病毒与蠕虫的威胁也极其严峻。
二.1.2内部威胁
◆非法数据访问/修改等
由于医疗信息所具有的商业性，公共性，政治性等原因，需要对各类对医院网络/服务器/数据库进行记录与审核，否则，一旦出现数据泄密、非法访问等违规行为，不仅无法第一时间知晓、记录，而且后期也无法定位违规者、无法追溯事件源头，这就造成了管理上的漏洞与缺陷。
◆无意识的外部风险引入
此外，由于安全技能和安全意识存在差异，工作人员可能无意识的通过互联网将Internet上危险的、恶意的木马程序和恶意代码下载到内部网络执行，甚至将Internet上的蠕虫、网络病毒传播进入内部网络，这将对网络的安全带来严重威胁；
◆恶意应用消耗网络带宽
当前P2P等非关键应用的流量几乎占用了网络60－70％的带宽，使得关键性应用得不到保障。
同时P2P软件也逐渐成为计算机病毒和木马传播的主要途径。
有必要对用户或者某些特定应用进行流量的控制。
◆内部故意破坏
医院同时需要考虑内部的不满人员恶意破坏信息网络、系统和数据的可能；以及某些别有用心的人士从内部发起的恶意攻击。
二.2风险分析
当用户的信息资产面临威胁，而信息资产自身又被相应的脆弱性暴露出来的时候，威胁对信息资产就有产生影响的可能，信息资产的安全风险就产生了。
依据医院的网络现状和相关业务情况，我们主要从以下几个方面关注可能面临的安全风险：
二.2.1外部网络带来的安全风险
由于医院连接到互联网，且具有10多条外联链路，外部攻击者可以利用存在的漏洞进行破坏，可能引起数据破坏、业务中断甚至系统宕机，严重影响网络的正常运行。
在医院，我们设计防火墙作为安全保障体系的第一道防线，防御黑客攻击。
而在防火墙是无法检测或拦截嵌入到普通业务流量中的恶意攻击代码，如针对医院网站WEB服务的CodeRed蠕虫、SQL注入，跨站脚本攻击，网页篡改等。
采用网络入侵保护系统和Web应用防火墙对此类攻击进行防护。
二.2.2内部网络存在的风险
在医院的网络中，内部具有大量的信息节点，其中包括医生所使用的工作电脑、病房区病人所使用的电脑以及大量业务系统所采用的信息载体，如何保障信息安全意识薄弱的这些设备使用者能够不将病毒带入内部网络中，不将带有木马、蠕虫等恶意软件的移动设备加载到内部办公网络使用。
或者当这些恶意的文件被带入内部网络，如何控制其不对关键业务系统造成影响，甚至不对外部发起攻击。
二.2.3攻击快速传播引发的安全风险
目前利用漏洞传播的蠕虫、病毒、间谍软件、DDoS攻击、垃圾邮件等混合威胁越来越多，传播速度加快，留给人们响应的时间越来越短，使用户来不及对入侵做出响应。
入侵检测系统IDS虽然能检测出攻击行为，但无法有效阻断攻击。
另外，网络防病毒系统属于被动防护，对于新的未知蠕虫病毒，防病毒软件无法检测出。
因此如何保证医院网络在安装最新安全补丁之前，网络不会被蠕虫、病毒、黑客等攻击造成网络瘫痪，这是目前需关注的问题。
三、需求分析
根据对医院网络系统的风险分析，我们发现信息安全需求主要在以下方面：
●防御来自外部的威胁，阻止蠕虫、网络病毒、间谍软件和黑客攻击对网络造成的安全损失，防止针对Web服务的例如SQL注入，跨站脚本攻击，网页篡改等攻击，提高医院网络的整体抗攻击能力；
●防御来自内部的威胁，阻止蠕虫、网络病毒爆发对医院内部服务器和网络的破坏，保障业务系统的正常运行；
●监控网络的安全运行，全面把握安全状态，以便于及时的发现安全攻击，防止安全事件的发生。
●检测前置机群的操作系统、应用系统、网络设备存在的漏洞，以便第一时间修补系统与应用中的漏洞，提高系统的整体抗攻击能力。
●审计针对数据中心的各种网络操作与访问行为，满足系统审计的要求与取证的要求。
●互联网访问内网资源的防护，合理规划互联网访问内网资源的权限，保障内网数据与服务的安全可信。
●保障医生等医院内部职员能够通过VPN远程访问内部网络服务，查询其所需的内网资源，同时保障这条VPN通道的稳定可信。
●在解决基础安全的问题上，如何进一步提升业务管理水平，由粗放型管理到精细化管理，信息化管理，专业化管理，打造医院的专业信息化管理队伍，更快更好地为社会大众提供安全可信的医疗服务。
将上述需求进行分期规划，我们将医院的信息安全建设按照由浅入深的步骤分解为三个步骤：
一期建设专注于基础安全建设，二期建设专注与数据安全与安全服务，三期建设专注于安全管理体系的构建。
本次建设只专注基础安全建设。
3.1医院网络安全建设拓扑图
3.2网络安全设备投入列表
产品名称
产品功能
数量
下一代防火墙（NF）
访问控制、上网行为管理、出口网络防护
1台
网络入侵防护系统（IPS）
入侵攻击防护
1台
安全审计系统（SAS）
网络行为、数据库审计
1台
远程安全评估系统（RSAS）
漏洞扫描
1台
Web应用防火墙（WAF）
网站防护、防篡改
1台
安全审计堡垒机（SAS-H）
运维安全审计
1台
四、基础安全建设
基础安全建设专注于医院的信息系统的建设，主要包含访问控制，入侵防护，日志审计，漏洞管理等几个方面，访问控制能够保证互联网对内网资源的合理有效利用，入侵防护则能全面防护互联网对内网发起的攻击以及内网对互联网的攻击；在日志审计方面，根据卫生部对信息系统的要求，根据****省卫生厅关于“统方”治理的要求，我们考虑在核心系统上进行严格的日志审计工作；在漏洞管理上，由于大量的信息终端的存在，且当前利用漏洞进行攻击的案例比比皆是，故在一起管理上，我们将这四点作为基础信息安全建设来进行处理，并在每个环节上进行分章节详细描述。
4.1某下一代防火墙（访问控制）
4.1.1部署方式
在医院网络出口部署一台下一代防火墙，通过下一代防火墙可以对应用层攻击、病毒进行全面阻断，可实现基于源/目的IP地址、协议/端口、时间、用户、VLAN、VPN、安全区的访问控制，保证内部网络的安全。
设备管理通过安全管理区的安全管理服务器上安装安全中心对该设备进行全面的管理。
4.1.2系统特点
某下一代防火墙采用了全新的设计理念，专注应用安全的防护，具有如下功能：
◆具有智能协议识别（NIPR）智能内容识别（NICR）功能
智能协议识别技术——NsfocusIntelligentProtocolRecognition（NIPR）和智能内容识别技术——NsfocusIntelligentContentRecognition（NICR）是某自主研发的网络威胁识别技术，是某科技在网络攻防技术方面多年研究成果的结晶，也是某安全下一代防火墙的核心技术。
网络应用层防护的最大难度在于对复杂多变的应用协议、黑客复杂的攻击行为以及应用内容进行解析识别，从而进行针对性的防护。
NIPR和NICR识别技术，它利用五个安全库（应用协议特征库、协议行为特征库、恶意URL库、病毒库、攻击规则库），通过动态分析网络报文中包含的协议特征、行为特征以及非法内容，识别出非法信息，然后递交给相应的处理引擎进行防护。
具备了NIPR和NICR的下一代防火墙，不再受动态端口或攻击工具变化的影响。
对于P2P等运行在任意端口的应用层协议，或者绑定在任意端口的木马、后门，还有黑客的灵活多变的攻击方式，下一代防火墙都能在不需要管理员参与的情况下高速准确的判断出来，并根据网关策略予以阻断或限制。
◆高性能的防火墙
下一代防火墙采用内容状态检测的过滤技术，支持路由、透明、混合模式部署，可实现基于源/目的IP地址、协议/端口、时间、用户、VLAN、VPN、安全区的访问控制。
下一代防火墙支持支持基于策略的双向NAT、动态/静态NAT、端口PAT，支持DNS、DHCP、VLAN、SNMP等协议。
◆超强的网络攻击防护能力
下一代防火墙集成了某科技专业的IPS模块，可实现基于IP地址/网段、规则（组、集）、时间、动作等对象的虚拟IPS。
下一代防火墙采用虚拟补丁技术，可防护远程扫描、暴力破解、缓存区溢出、蠕虫病毒、木马后门、SQL注入、跨站脚本等各种攻击。
4.2某网络入侵防护系统
某入侵防护系统NIPS（NetworkIntrusionPreventionSystem）提供一种主动的、实时的防护，其设计旨在对常规网络流量中的恶意数据包进行检测，阻止入侵活动，预先对攻击性的流量进行自动拦截，使它们无法造成损失，而不是简单地在传送恶意流量的同时或之后发出警报。
NIPS是通过直接串联到网络链路中而实现这一功能的，即NIPS接收到外部数据流量时，如果检测到攻击企图，就会自动地将攻击包丢掉或采取措施将攻击源阻断，而不把攻击流量放进内部网络。
4.2.1某网络入侵防护系统的特点
某网络入侵防护系统是某科技自主知识产权的新一代安全产品，作为一种在线部署的产品，其设计目标旨在准确监测网络异常流量，自动对各类攻击性的流量，尤其是应用层的威胁进行实时阻断，而不是在监测到恶意流量的同时或之后才发出告警。
这类产品弥补了防火墙、入侵检测等产品的不足，提供动态的、深度的、主动的安全防御，为企业提供了一个全新的入侵保护解决方案。
某网络入侵防护系统采用先进的体系架构集成领先的入侵保护技术，包括以全面深入的协议分析技术为基础，协议识别、协议异常检测、关联分析为核心的新一代入侵保护引擎，能够协助客户：
●网络防护：
具有实时的、主动的网络防护功能，内置基于状态检测的防火墙，保护网络边界和内部网络，同时为网络设备的漏洞提供防护，具有流量管理功能，对于可能出现的异常流量，提供抗拒绝服务攻击功能。
●应用防护：
提供对应用层的防护功能，针对操作系统，应用软件以及数据库，提供深度的内容检测技术,过滤报文里的恶意流量和攻击行为，保护存在的漏洞，防止操作系统和应用程序损坏或宕机。
●内容管理：
对内部网络资源提供内容管理，可以有效检测并阻断间谍软件，包括木马后门、恶意程序和广告软件等，并可以对即时通讯、P2P下载、网络游戏、在线视频、网络流媒体等内容进行监控并阻断。
4.2.1.1体系架构
某科技网络入侵防护系统体系架构
某网络入侵防护系统的体系架构包括三个主要组件：
控制台、网络探测器、升级站点，方便各种网络环境的灵活部署和管理。
4.2.1.2关键特性
●深度融合的集成平台
某网络入侵防护系统作为自主知识产权的新一代安全产品，深度融合的防火墙/IPS/IDS集成平台开创了世界先河，独一无二的设计使某网络入侵防护系统为用户提供从链路层到应用层的深度安全防护，圆满解决了防火墙静态防御和IPS动态防御的融合难题，为用户提供全面的入侵保护解决方案。
某网络入侵防护系统集成强大的防火墙功能，采用基于状态检测的动态包过滤技术，实现静态防御；某网络入侵防护系统以全面深入的协议分析技术为基础，协议识别、协议异常检测、关联分析为核心，实现动态防御。
某网络入侵防护系统专门设计了安全、可靠、高效的硬件运行平台。
硬件平台采用严格的设计和工艺标准，保证了高可靠性；独特的硬件体系结构大大提升了处理能力、吞吐量；操作系统经过优化和安全性处理，保证系统的安全性和抗毁性。
●基于对象的虚拟系统
某网络入侵防护系统提供基于对象的虚拟系统（VIPS），针对不同的网络环境和安全需求，基于安全区、IP地址（组、段）、规则（组、集）、时间、动作等对象，制定不同的规则和响应方式，就像一台设备上虚拟出很多虚拟系统，每个虚拟系统分别执行不同的规则集，实现面向不同对象、实现不同策略的智能化入侵防护。
某网络入侵防护系统覆盖广泛的攻击规则库带有超过2000条由NSFocus安全小组精心提炼、经过仔细检测与时间考验的攻击特征，并通过国际最著名的安全漏洞库CVE严格的兼容性标准评审，获得最高级别的CVE兼容性认证（CVE Compatible）。
某科技每月平均提供2到3次升级更新，在紧急情况下可即时提供更新。
而且某科技具有领先的漏洞预警能力，是目前国内唯一一个向国外（美国）出口入侵检测规则库的公司。
●广泛精细的应用防护
某网络入侵防护系统提供“虚拟补丁”，主动防御已知和未知攻击，实时阻断各种黑客攻击，如缓冲区溢出、SQL注入、暴力猜测、拒绝服务、扫描探测、非授权访问、蠕虫病毒、木马后门、间谍软件等，而且针对僵尸网络提供主动防御，广泛精细的应用防护帮助用户避免安全损失。
●全面实用的内
升级会员 