ANCHIVA WAF系统加固医疗业信息化发展.docx

1、ANCHIVA WAF系统加固医疗业信息化发展ANCHIVA WAF系统加固医疗业信息化发展ANCHIVA WAF系统加固医疗业信息化发展1.医疗信息化医疗信息化即医疗服务的数字化、网络化、信息化，是指通过计算机科学和现代网络通信技术及数据库技术，为医院所属各部门提供病人信息和管理信息的收集、存储、处理、提取和数据交换，并满足所有授权用户的功能需求。在经济全球化、社会信息化的进程中，中国医院已进入了数字化和信息化时代，大型的数字化医疗设备在医院中使用，各种医院管理信息系统和医疗临床信息系统正在普及。医院信息化使医院工作流程发生了改变和创新，并使医院得到了全面发展。 医疗可以说是信息化建设比较复

2、杂的一个行业，其核心是病人信息的共享，包括医院各个科室之间、医院之间、医院与社区、医疗保险、卫生行政部门等的信息共享。2.医疗行业信息化建设现状及分析医疗信息化是行业信息化的重要组成部分。目前正是医疗信息化的大发展时期。从美国等发达国家来看，信息化投入占整个医疗卫生总花费的2-6，而我国还远远没达到这个比例。卫生部曾强调“国内三甲以上的医院都需要实行信息化管理”。据悉，目前中国有3万多家医院，其中有6000家是三甲以上的医院。未来几年中，我国将有超过70%的医院实现信息化管理。 医疗信息化大体上分为医疗行业管理信息化和医院（包括防疫站）信息化。在医疗行业管理信息化方面，目前卫生信息公用平台发挥

3、着重要作用，它的主体结构是依托公用信息平台而建的。 3.医院信息化发展及面临的问题医院能否为病人提供方便、快捷的优质服务？这不仅是百姓关心的问题，也是医院所重视的问题。医院对信息化的要求是很迫切的，对医院来说，信息化带来的不仅是便捷，更把医院管理带向现代化轨道。医疗信息化发展的需求及国家对医疗关注程度的提高，医疗业务目前还很少能参与到统一的信息化建设，使得各医院忙于信息化建设，各种系统/应用并没有考虑到安全问题，医院实现网上挂号的方式五花八门、性能不一。挂号难！挂专家号更难！挂大医院的专家号难上加难！的问题仍然存在， 卫生部近日频频下发文件，以推进医疗改革，自2009年10月起，所有三级医院都

4、要开展预约诊疗服务，并逐步向二级医院推进。目前的预约诊疗一般分为电话预约和网上预约。相对于只需几部电话和几名接线员的电话预约服务，已经远远满足不了人们的需求。4.医疗行业WEB攻击事件计算机国际互联网发展到今天取得了巨大成功。电子商务和电子政务等网络技术的应用和普及不仅给人们的生活带来了极大方便，而且正在创造着巨大的财富。但与此同时，提供互联网WEB服务的WEB服务器也越来越多的遭受着黑客、病毒等许多危害，数据被篡改和窃取、文件被破坏，人们在享受互联网带来便利的同时也 在遭受着各种各样的安全威胁，越来越多政府部门和企业单位开始采用各种网络安全工具来保护自己的WEB服务器。但是，网络安全问题不但

5、依然存在，而且更加 严重。全球每天有几十万台WEB服务器遭受攻击，上百万台计算机感染病毒，其中不乏采用了防火墙、入侵检测等网络安全产品的用户。医疗行业WEB攻击事件甲流疫苗引发医院网站遭挂马攻击。2009年4月7日“世界卫生日”当天共有300万人次的网民遭到木马攻击。网民关注健康、医院网站，导致黑客对此类网站集中挂马。一些门户网站的健康频道由于外包给了其它公司，安全措施防护不够，也导致被黑客植入木马。南通市中医院”网站服务器受到恶意代码攻击。最新的报告说，美国目前的电子病历系统虽然实现了病人医疗记录的数字化，但非常容易遭到黑客的攻击。5.医疗行业急需解决的问题目前，国内医院资源较为稀缺，门诊挂

6、号通常都要排长队，专家、名医门诊尤其如此，多在早上8点专家名医号就已经全部挂完。挂号浪费了病人较多的时间，也给病人就诊带来了很多不便。随着互联网的日益普及，人们对网络应用的需求也越来越多。对于医院来说，可以利用互联网实现远程医疗、预约挂号、查看化验结果等多种目的。医疗信息化建设规模的扩大，WEB2.0技术的成熟，在WEB给人们带来方便/快捷的同时，恶意攻击者/黑客在经济利益的驱动之下，木马，间谍软件等恶意软件已经成为某些人的赚钱工具，各类木马，间谍软件的自动生成机也已经出现，而为了逃避防毒软件的检测，恶意软件的更新周期越来越短，变种越来越多。各种攻击手段/方法也让传统的IPS/防火墙无能为力，

7、因此为保障网站不被攻击，不被传播病毒/木马等，就需要一款能够实时监控/扫描，发现遭受攻击及时报警的综合WEB安全防护产品，有效防止网络病毒和攻击对应用系统造成的危害。医院信息系统存储着医院大量重要的数据信息，一旦遭受恶意软件的攻击，将对医院造成严重的损失，在服务器群前部署了ANCHIVA WAF安全网关后，内网用户（如：医生、图片终端、收费处等）及外网用户（如：预约挂号、科室介绍、专家介绍、后台管理等）访问服务器数据等内容时，均通过WAF的扫描，有效避免了木马、病毒、间谍软件等恶意软件对服务器群的攻击。ANCHIVA为医院用户提供高性能Web应用安全解决方案（WAF），此解决方案以ANCHIV

8、A高性能专业级WAF安全网关为前置机，以此提供高效能的Web应用安全防护支持。目前，ANCHIVA WAF对经过的网络数据进行实时深度检测以鉴别病毒SQL注入，跨站攻击溢出攻击网站挂马及恶意软件的攻击等，准确率达100%。6.传统的防护技术由于医疗业信息的发展，事实上，很多医院已经部署了传统意义上的防火墙、IPS 及网页防篡改系统。但为何web 应用攻击事件仍然不断发生，且呈上升趋势？据Gartner 统计，近几年所发生的黑客攻击等恶意网络行为的75%以上为利用web 服务和内容的漏洞攻击，而现有的IPS、防火墙等安全产品对其未能做到有效的防御。传统网页防篡改系统：网页被纂改是web 应用系统

9、遭受攻击后所造成的后果，并非一种攻击手段。通常的网页被纂改是由于web 系统被通过SQL 注入或会话劫持以及命令行注入攻击渗透了，获得了网站的权限，从而被修改。目前很多网页防篡改产品只是一个装在web 服务器上的被动备份恢复系统。当发现网站内容被纂改则将备份的内容导入，并非一个安全防御产品，不能防御网站被攻击，只能做到事后的恢复，不能做到事前的防御，而且不能完全保证网页被篡改后的完全恢复，例如对于一些动态页面，就无法恢复。如此看来，绝大部分的网页防篡改产品无法保证网站不被攻击，也无法抵御攻击，不能从根本上解决网站被攻击的问题，而且仅仅是针对完全静态页面的恢复，仅适用于完全静态的web 站点。7

10、.新兴web 应用防火墙目前，web 应用安全问题本质上源于代码质量。但web 应用不同于其他的应用软件，例如Office 、Adobe 等，其往往具有某个企业机构独有的业务应用，而且需要频繁的变动以满足业务发展的需要。而通常人们认为web 开发很简单，缺乏经验的开发者也可开发出满足相关需求的web 应用，但很多情况下开发者只是照着葫芦画瓢，没有很好的理解web 业务流程，更没有考虑客户端与服务器端以及后台数据库端复杂的交互操作。于是对于这类具有定制化特点的web 应用，没有通用的补丁可用，整改代码因代价过大变得较难实施或者需要较长时间的整改期。针对上述web 应用现状，专业的针对web 应用

11、交互数据进行检测并提供防御的产品成为一种合理且很有必要的选择。Web 应用防火墙应需而生，提供一种安全运维防御手段，基于对HTTP/HTTPS 流量内容的双向检测分析，为web 应用提供实时的防护，而且与传统的防火墙、IPS、网页防篡改产品具有本质的技术差异，具体差异如下：具有识别检测HTTP/HTTPS 协议内容及具体数据的能力，支持各种web 编码，例如ASP、PHP 、JSP 等。具有检测变形攻击的能力，如检测SSL 加密流量中混杂的攻击。检测数据表单输入的有效性，为web 应用提供了一个外部输入的合规过滤机制，做到事前的检测过滤，安全性更为可靠。验证HTTP/HTTPS 协议会话的可靠

12、性，弥补HTTP 协议会话管理机制的缺陷，防御基于会话的攻击类型，如Cookie 篡改及会话劫持等攻击。8. 安启华web 应用防火墙解决方案安启华web 应用防火墙，通过对进出web 服务器的HTTP/HTTPS 流量相关内容的实时分析检测、过滤，来精确判定并阻止各种Web 应用入侵行为，阻断对web 服务器的恶意访问与非法操作，适应web2.0 时代的主动实时监测过滤风险技术，而不是被动的遭受攻击后的恢复，将恶意代码、非授权篡改、应用攻击等众多因素结合在一起进行综合防范，从而做到对web 服务器的多重保护，确保web 应用安全的最大化，防止网页内容被篡改，防止网站数据库内容泄露，防止口令被

13、突破，防止系统管理员权限被窃取，防止网站被挂马和植入病毒、恶意代码、间谍软件等，防止用户输入信息的泄露，防止账号失窃，防SQL 注入，防XSS 攻击等。下面将着重看一下Anchiva WAF 的产品特点、防护机制与典型部署。1)深度代码及内容级多重检测过滤对HTTP/HTTPS 协议进行深入的解析，精确的识别出协议中的各种要素，比如 Cookie、Get 参数、Post 表单等，并对这些数据进行必要的解码，以还原原始信息，根据这些解码后的原始信息，可以准确的检测其是否包含攻击内容，其检测流程如下图所示。传统IPS 产品正是因为做不到基于HTTP 协议的应用数据内容的分析，很难有效的检测针对we

14、b 应用的攻击。Anchiva WAF web 应用威胁检测流程图2)双向实时检测过滤Anchiva WAF 作为web 客户端与服务器端请求与响应的中间人，避免web 服务器直接暴露在互联网上，检测过滤HTTP/HTTPS 双向交互流量数据，对其中的恶意成分进行实时在线清洗过滤。3)网站挂马检测过滤与监控网页挂马是一种相对隐蔽的网页篡改方式，挂马后的页面从表面页面内容呈现上不易察觉，本质上却破坏了页面的完整性，其攻击目标为页面访问的最终用户，能够在访问者不知情的状态下，将木马植入访问主机，从而达到下一步获取用户机密信息，甚至达到发展botnet 傀儡机的目的。挂马网站作为木马的传播帮凶，严重

15、影响了站点的信誉度。Anchiva WAF 能够对用户输入或上传的内容进行检测过滤，一旦发现挂马企图，将及时阻断。在未部署web 应用防火墙之前，用户的web 页面可能已经被挂马，因此基于这样的现状需求，Anchiva WAF 不仅能对web 应用的交互行为进行行为分析，还能够对web 页面中的嵌入式内容进行检测过滤，一旦发现被挂马将及时通知管理员，并且提供客户可定制的替换页面，直到网页恢复正常。4)独有的恶意文件上传过滤功能Anchiva WAF 会对HTTP/HTTPS 应用交互中上传附件进行病毒检测匹配，并内置强大的病毒特征库，防止感染病毒的文件上传到web 服务器后造成大范围的病毒扩散

16、，致使服务器瘫痪，甚至网络中断等问题。5)防止Cookie 篡改、假冒与内容泄漏许多站点中使用Cookie 来保存用户信息，比如用户名和密码等信息。攻击者能够通过非法执行脚本或跨站攻击等手段，通过在表单提交或URL 参数中插入JavaScript 语句，这样可实现自动发送Cookie 到攻击者的服务器上，从而使攻击者有机会获得Cookie 内容、篡改Cookie 内容，而且还可能利用获得的Cookie 进行劫持假冒，从而达到金融欺诈、身份和数据盗窃等目的。Anchiva WAF 能够对web 应用交互中的Cookie 内容进行加密和校验，还能够针对客户端IP 进行Cookie 内容的校验，从而

17、做到有效预防Cookie 篡改、假冒和内容泄露。6)可有效应对零日未知攻击Anchiva WAF 能实时对HTTP/HTTPS 的请求进行异常检测，目的是为了检测是否是一个正常的HTTP 请求，检测请求中是否包含不合理内容、非法字符、未知请求、畸形构造等，这些都有可能造成攻击或危害，甚至是零日未知的攻击。7)敏感信息泄露屏蔽Anchiva WAF 能够识别屏蔽web 应用报错信息，识别并防止敏感数据的泄露，防止非法内容的上传发布，满足合规运营的要求，具体功能如下：自定义禁用词过滤，防止非法内容发布在web 站点上。隐藏屏蔽web 管理页面的入口URL 连接，针对特定的URL 连接提供访问控制列

18、表。网站隐身，过滤服务器端出错信息，如数据库或服务器错误类型、出现错误脚本的绝对路径、网页主目录绝对路径、出现错误的SQL 语句及参数、web 服务软件的版本、系统配置信息等，从而避免这些敏感信息为攻击者利用，达到下一轮攻击的目的。8)Web 程序源代码泄露检查正常情况下，用户向web 服务器请求一个脚本文件，例如.asp 或.jsp 时，web 服务器（ISS、Apache 等）会先编译执行这些脚本程序，然后将执行的结果返回给用户的浏览器。但是某些存在漏洞的web 服务器，攻击者通过在脚本中输入特殊字符后，这些脚本将不在web 服务器上执行，而是原样发送显示在攻击者的浏览器上，如此一来，攻击

19、者对web 服务程序就会了如指掌，从而可以轻松的进行下一步的攻击活动。9)用户可自定义安全访问规则用户还可以根据Web 站点的自身编码情况与应用服务特点，选择制定自己独特的安全访问规则，并且还能够对web 应用交互中的各种元素进行灵活定制，有效防御各类变形应用攻击。10)灵活的例外安全规则为了对web 服务中个别的URL 或者服务目录提供更严格的安全规则，比如管理员访问URL 或目录，Anchiva WAF 提供了灵活的例外配置规则，用户不仅可以单独启用更严格的安全检测规则，还可以单独配置访问的IP 黑白名单等。11)自动生成动态攻击黑名单Anchiva WAF 能将确认为攻击的源IP 自动加

20、入黑名单，并且提供自动解禁时间，不需要任何人工的操作，大大方便了管理员的维护与管理。12)丰富的报表、日志Anchiva WAF 提供丰富的web 服务器访问日志与报表，提供病毒检测日志与报表，web 攻击检测防御日志与报表，还提供设备运行情况和负载的统计图表，不仅方便管理员对web 服务器的运用维护，还方便管理员对WAF 本身的运维。13)高性能的产品平台具有专利技术、优化重写TCP 协议栈且支持多核的AnchivaOS ，是Anchiva WAF 高性能的技术保障，为客户提供高性能的产品平台奠定了基础，并且随着硬件配置的升级，性能呈近似线性增长。14)自主专业的应用安全实验室安启华具有全球

21、化的安全实验室及国际级的安全研究分析人员，能够及时跟踪、发现互联网上web 应用攻击类型及发展趋势。为安启华全球客户提供不间断的规则库与防护算法的更新，与用户一起应对各类web 应用攻击。9.防护机制：事前预防、事中拦截、事后监控诊断事前，Anchiva WAF 针对Web 应用架构中的各种敏感信息进行检测屏蔽，如服务器版本信息检测屏蔽、web 程序代码泄漏检查、web 站点目录内容泄漏检查、数据库错误信息检测屏蔽、HTTP 头异常检查过滤、HTTP 错误检测屏蔽等，并且对危险文件下载进行检查过滤，例如有些使用Access 作为数据库的web 站点，当浏览一个页面并选择另存为本地的时候，涉及到

22、的Access 数据表也同时保存了下来，这样就泄漏了数据库的信息，很可能使黑客获得采取下一步攻击的有利信息。事中，Anchiva WAF 检测Web 应用交互会话中是否存在SQL 注入攻击、跨站脚本攻击、缓冲区溢出攻击、命令行注入攻击、弱口令攻击等攻击行为，并及时阻断防护web 服务的安全。事后，针对当前的安全热点问题，例如网页挂马，提供监控诊断功能，并及时报警，降低安全风险，维护企业的信誉度。10.典型部署部署在web 服务器前端，为企业的web 业务系统提供专业的防护。Anchiva WAF 部署在企业Web 服务器的前端，做为客户端与服务器端请求与响应的中间人，实时过滤阻断或屏蔽恶意或不当内容，从而保护服务器的安全。如下图 所示。