吉大二院網(wǎng)絡(luò)安全(三級等保標準)建設(shè)技術(shù)建議書

二附屬醫(yī)院網(wǎng)絡(luò)安全建設(shè)項目PAGE1065頁錄、項申請理由及項主要內(nèi)容 4.醫(yī)療信息化基本概念和安全現(xiàn)狀 411 412 513 514 6.現(xiàn)代醫(yī)院網(wǎng)絡(luò)基本結(jié)構(gòu) 821 822 12221 13222 14.醫(yī)院網(wǎng)絡(luò)安全等級保護的安全需求 1631 1632 1733 17.醫(yī)院網(wǎng)絡(luò)安全等保設(shè)計原則和依據(jù) 1741 18411 18412 18413 1942 19421 19422 20.2051 2052 21521 21522 225221 235222 245223 255224 265225 275226 285227 295228 305229 型 32523 385231 405232 425233 425234 43、密和抗抵賴49數(shù)據(jù)及備恢復(fù) 50管理方面的建設(shè) 52互聯(lián)網(wǎng)接區(qū)域 55下一火墻（包括VPN功能） 55下一御系統(tǒng)-反高級逃避 56交付鏈路負載均衡 57上網(wǎng)行為管理 服務(wù)器區(qū)域 57下一火墻（包括反逃避功能） 57運維管理區(qū)域 58漏掃系統(tǒng) 58病毒系統(tǒng) 59網(wǎng)絡(luò)管理產(chǎn)品 59運維堡壘機 60業(yè)務(wù)網(wǎng)外聯(lián)區(qū)域 60與分院互聯(lián)區(qū)域 60與三方業(yè)務(wù)互聯(lián)接口 60二、項目總體目標，項目實施劃 61等級總體建設(shè)過程 61等級工程實施劃 63三、項目組實施條件 652009200—1被列四梁八柱柱。新明確立用享系統(tǒng)大力高共構(gòu)。11、醫(yī)院信息化的基本概念流程計算機而人享核包括各個科室之間之間行政等部門限度地人就護人員工作便各類人員決策。計算機軟件硬件購置包括規(guī)劃、維護運營人員培訓利等涉技術(shù)、科學工程需員參與程參與。系統(tǒng)lnymHIS按照美教授所給定義用計算機所屬各部門人診療(PatientCareInformation行政(AdministrationInformation收集存儲)處取v)數(shù)據(jù)交換u1.2、醫(yī)院信息系統(tǒng)的組成1、管理；2、臨床。管理包括門診掛號、門診收費、住登記、住務(wù)臨床包括門診生。13、醫(yī)院信息化發(fā)展現(xiàn)狀中國20多年發(fā)展歷程從早期單機單應(yīng)階段到門級和全級管理應(yīng)；從以財務(wù)、藥品和管理為中心，“高服質(zhì)量”方我處一個加期先進地要繼續(xù)邁進落后地領(lǐng)先看齊根據(jù)計今3765所現(xiàn)狀調(diào)查資料費網(wǎng)絡(luò)超過80%以簡。良。網(wǎng)4、醫(yī)院信息化過程中的信息安全問題過程當然需要強壯穩(wěn)定網(wǎng)絡(luò)需要高高能網(wǎng)絡(luò)高數(shù)字帶來高網(wǎng)絡(luò)風險腦毒數(shù)據(jù)信丟失崩潰等隱患困擾著作如果數(shù)據(jù)遭竊取、更改或破壞將涉及患者個隱私消資料完整真實甚至會引起法律糾紛如何防范網(wǎng)絡(luò)風險當今現(xiàn)代須解問題為此要一張方便安網(wǎng)絡(luò)：醫(yī)生？信息患者在就診過程中會形成一列關(guān)于個人健康資料的數(shù)字化檔案庫構(gòu)成病人的身份認、病歷記載、實驗室檢驗、影像診斷報告、處置、治、用藥等信息。同時，對于關(guān)鍵個人病歷信息（字段級、記錄級、文件級）進行加密存儲護，使患者的隱私得到更好的護，病案管理、醫(yī)計析、財務(wù)管理、人事管理的信息，避免患者個人隱私和單位重要信息的泄露？網(wǎng)絡(luò)，避免各種攻擊、病毒等對內(nèi)部網(wǎng)絡(luò)和服務(wù)器的危害，障網(wǎng)絡(luò)和各業(yè)務(wù)的穩(wěn)定可靠運行？.1、大中型醫(yī)院網(wǎng)絡(luò)分區(qū)架構(gòu)學影像檢查系統(tǒng)等不同要求，WLAN技術(shù)、IRF智能擴展技術(shù)、EAD端點準入、、存內(nèi)外分離概念就是將內(nèi)，等放在張單獨建立上來運行，而辦公，OA，郵件，WEB等放在另張上來運行，兩物理隔離，最限度保障內(nèi)及據(jù)安全13（DMZ、數(shù)災(zāi)備、骨干、專出口、互數(shù)各區(qū)域間通獨立防火墻備或者防火墻板卡安全隔。各域界限以及作用范圍如下：— 信息有應(yīng)用庫間件存儲備一切備集連接域整例如域HIS、LISSEMR域?！?（DMZ）存儲設(shè)備等一切業(yè)系統(tǒng)相關(guān)設(shè)備中心區(qū)是OA，WEB，MAIL等在區(qū)域?！獢?shù)據(jù)災(zāi)備區(qū)該區(qū)域是HIS、電子病歷、學影像系統(tǒng)，等數(shù)據(jù)中心子系統(tǒng)災(zāi)備區(qū)域，一般該區(qū)域為系統(tǒng)與災(zāi)備區(qū)域數(shù)據(jù)實時同步?！?骨干絡(luò)區(qū)主要負責數(shù)據(jù)中心區(qū)域內(nèi)各區(qū)之間主要功能為實現(xiàn)局域內(nèi)數(shù)據(jù)高性能路由VPN關(guān)HIS系統(tǒng)、LISEMR系統(tǒng)、絡(luò)安全管理系統(tǒng)等模塊主要通過萬兆及其以高性能三層交換機進行連接?！煂３隹趨^(qū)該區(qū)域主要功能為為療提供療專接入療專包含主要內(nèi)容包括：療行業(yè)級單位，疾控直報絡(luò)，公衛(wèi)生突發(fā)預(yù)警系統(tǒng)，公療衛(wèi)生療專出口為提供了與其他療及級主管機構(gòu)交互安全高效孤島，整合療絡(luò)出口線路?！?互聯(lián)出口區(qū)該區(qū)域是為下載學相關(guān)資料，獲取互聯(lián)海量而提供安全的出口，也是門戶站，對系統(tǒng)對公眾社會提供出口區(qū)部風險以是安全防護行為管理設(shè)備，站保護系統(tǒng)等組成。— 絡(luò)安全管理區(qū)數(shù)據(jù)中心內(nèi)保障整體安全管理運維系統(tǒng)絡(luò)管理等?！T診終端接入?yún)^(qū)該區(qū)域主要是將醫(yī)院門診部醫(yī)療相關(guān)的核心業(yè)務(wù)終端接入醫(yī)院基礎(chǔ)網(wǎng)絡(luò)—住院終端接入?yún)^(qū)該區(qū)域主要是將醫(yī)院住院部醫(yī)療相關(guān)的核心業(yè)務(wù)終端接入醫(yī)院基礎(chǔ)網(wǎng)絡(luò)—醫(yī)技終端接入?yún)^(qū)該區(qū)域主要是將醫(yī)院醫(yī)技終端接入醫(yī)院基礎(chǔ)網(wǎng)絡(luò)，主要包括醫(yī)學影像系統(tǒng)，醫(yī)療化驗系統(tǒng)，醫(yī)療監(jiān)護系統(tǒng)等。由于醫(yī)療檢測相關(guān)信息的私密性以及重要性，并且部分醫(yī)技子系統(tǒng)將產(chǎn)生大流量的數(shù)據(jù)文件，因此本區(qū)域需要保證醫(yī)技終端與數(shù)據(jù)中心相關(guān)服務(wù)器之間的高速數(shù)據(jù)交互?！獰o線終端接入?yún)^(qū)—行政終端接入?yún)^(qū)將醫(yī)院的非醫(yī)療事務(wù)的OA—其他終端接入?yún)^(qū)終端接入網(wǎng)絡(luò)的區(qū)域，這部分終端同時有互聯(lián)網(wǎng)醫(yī)學資料查詢需求等。內(nèi)外網(wǎng)融合與內(nèi)外網(wǎng)分離的網(wǎng)絡(luò)架構(gòu)，都該包上述功能區(qū)域。只是在定位上，VP內(nèi)22、大中型醫(yī)院網(wǎng)絡(luò)拓撲結(jié)構(gòu)、于業(yè)平臺這療信息化階段開信息平臺界如下：：：1265頁.2.1 VLAN優(yōu)點可以保護投資并且可以根據(jù)需要讓某部可以同時個域；缺點僅對攻擊可能引起隨著技術(shù)發(fā)展出現(xiàn)了些新技術(shù)例如VPN等可以使得雖在VPN技術(shù)安全域同級別用戶權(quán)限，信門檻運于各自同道中彼此之間讓主機在時動態(tài)選擇要安全域保證域內(nèi)安全；1365頁PAGE1665頁2.2.2 HISOWEB。近幾年隨著無線技術(shù)發(fā)展無線傳輸速率以穩(wěn)定性和可靠性都有了很提高網(wǎng)作為面移動療基礎(chǔ)支撐體系成為可能新輪療信息化背景下，更被提高到了個新高基于無線平臺設(shè)計既要證與現(xiàn)有有線和現(xiàn)有充融合又要證其性目前主要包含種無線種基于現(xiàn)有有線這種對有線設(shè)質(zhì)量以種無線新無線與有線之間通過核心交換機實現(xiàn)互聯(lián)互通。三種類型背景下通過有線與無線協(xié)調(diào)配合為醫(yī)D3.1、等級保護安全需求200743關(guān)于開展國重要系統(tǒng)定工作知2007861T。衛(wèi)生行業(yè)工作指導(dǎo)意見》衛(wèi)生系統(tǒng)進行自查，對未定、定不準,應(yīng)當按照技術(shù)系統(tǒng)安定指南開展定工作。指導(dǎo)意見系統(tǒng)原則上不低于三：衛(wèi)生統(tǒng)計直報系統(tǒng)、傳染性疾病報告系統(tǒng)、衛(wèi)生監(jiān)督報告系統(tǒng)、突發(fā)衛(wèi)生事件應(yīng)急指揮系統(tǒng)跨省國聯(lián)運行系統(tǒng)；國家、省、地市三衛(wèi)生平臺，新農(nóng)合、衛(wèi)生監(jiān)督、婦幼健等國家數(shù)據(jù)中心；三甲核心業(yè)務(wù)系統(tǒng)；衛(wèi)生部站系統(tǒng)；其他經(jīng)過技術(shù)專家委員會評定為三以上含三系統(tǒng)。技、技術(shù)系統(tǒng)3.2、三級等保后的防御能力“”的醫(yī)療網(wǎng)絡(luò)具有下防御能力：防免受來自外部有組織的團體(如商業(yè)情報組織或犯罪組織)，(包括人能力、算能力)的威脅源發(fā)起的惡意攻擊、較為的惡意威脅備較為嚴重的故障所造成的主資源損害。能夠及時發(fā)現(xiàn)漏洞和事件；在遭損害后能夠較快恢復(fù)絕大部分功能。3 國內(nèi)三甲醫(yī)院通過通過三級等保評測名單北京大學人民醫(yī)院海中ft海華ft醫(yī)院網(wǎng)絡(luò)原則和依據(jù)基于醫(yī)院平臺架構(gòu)參照需求為驅(qū)動結(jié)合平臺所承載的業(yè)務(wù)數(shù)據(jù)及服務(wù)情況在資。41醫(yī)院案設(shè)計過程中進行詳細分析充分利現(xiàn)4.1.1縱深立御要醫(yī)院設(shè)案包括兩部分本案針只針對區(qū)從外內(nèi)縱深御體統(tǒng)能力。4.1.2 進行集中目標就是過采取當控制密完可從確統(tǒng)內(nèi)生事故即使生也能有效控制事過設(shè)集中實現(xiàn)對資產(chǎn)事件風險、訪問行為等統(tǒng)分析監(jiān)過關(guān)聯(lián)分析使統(tǒng)人員能夠迅速發(fā)現(xiàn)問題定位問題有效對事件生。4.1.3 形認審計然后礎(chǔ)再根據(jù)個計算環(huán)境重要程進步高4.2 依據(jù)4.2.1 國家關(guān)文件17:《國家化領(lǐng)導(dǎo)小組關(guān)于我國電子政務(wù)指導(dǎo)意見》中辦[2003]27號文件《國家化領(lǐng)導(dǎo)小組關(guān)于加障工意見》四部委于2004年9月15[2004]66號《等工（公通字[2004]66號）四部委2007年06月17日發(fā)布（2007）公通字43號《等管理辦公2009年10月27日《關(guān)于開展等整改工指導(dǎo)意見》關(guān)于開展國重要等定工通知（公[2007]861號）等備細則（公[2007]1360號）關(guān)于開展等整改工(公[2009]1429號).2.2 GB17859-1999GB/T22239-2008GB/TXXXXX-XXXXGB/T22240-2008GB/T20271-2006GB/T20270-2006GB/T20272-2006GB/T20273-2006GB/T20282-2006GB/T21082-2007GB/T20988-2007GB/T25070—20105.1 方5.2 建設(shè)5.2.1 設(shè)備和介質(zhì)破壞僅通過下圖大致列出一個大概供大家參考。其余具體整改和建設(shè)細節(jié)請參考其他相關(guān)文檔。5.2.2 、邊界以及審計、邊界完整性檢查、入侵防范、惡意代碼防范、設(shè)備防護等七個控制點。5221 2.1“三能夠為正常運提供障且能夠滿足業(yè)務(wù)高峰網(wǎng)行段或VLAN控制點主從段（帶寬、能力）證先來5222 將一。分之間邊界；業(yè)務(wù)三（如社保衛(wèi)生等）之間邊界；業(yè)務(wù)間邊界；業(yè)務(wù)同安全域之間邊界。邊界數(shù)訪問控制以保信息資數(shù)包訪問防為同時以等為邊界訪問控制防火墻VLAN等多種現(xiàn)；信制信訪問則；信訪問控制時要期處聯(lián)網(wǎng)的情況，防火墻選型時最選功能的下一代防火墻，可以。5223全審計等動作。IDS/IPS）已成為網(wǎng)絡(luò)安全發(fā)展的必然趨勢。網(wǎng)絡(luò)行為監(jiān)控和系統(tǒng)將獨立的網(wǎng)絡(luò)傳感器硬件組件連接到網(wǎng)絡(luò)中的數(shù)網(wǎng)絡(luò)行為監(jiān)控和系統(tǒng)采用旁路技術(shù)，不用在目標主機中安裝任何組件。分析和檢測。5224完整性建議采用終端技術(shù)。終端一個重要功能模塊就是非法外制探測內(nèi)部非法上互主要解決發(fā)現(xiàn)和用戶非法建立通路連接非授權(quán)防止用戶訪問非信任資源并防止由于訪問非信任資源而引入風險或者導(dǎo)致信息泄密。終端非法外為發(fā)現(xiàn)終端試圖訪問非授權(quán)資源為如試圖沒有通過授權(quán)許可終端通信試圖通過撥號連接互等于發(fā)現(xiàn)非法外為日志并產(chǎn)生報警信息。終端非法外為禁止終端沒有通過授權(quán)許終端通信禁止撥號上為。5225 侵防范它只能分析內(nèi)部發(fā)生事件入侵檢測被認為防火墻之后二它主要監(jiān)視所段內(nèi)各種包每個數(shù)包或可疑包分析如果包與內(nèi)置吻合入侵檢測系統(tǒng)就會記錄事件各種信息并發(fā)報。于醫(yī)院系統(tǒng)不僅要能夠檢測常見攻擊發(fā)生且能及時攔截并發(fā)報IPS。在，。PSIPS“信息加密”等傳保方法之后新代保信息機密性完性可用性或試圖繞過機制IPS。將IPS 串接在火墻后面在火墻訪問控制保證了訪問合法性之后PS用于PS PS 產(chǎn)品需通過先硬件架構(gòu)軟件架構(gòu)處理引擎對處理力充分保證。5226代碼防范目前對惡意代碼范已方位概念根據(jù)對惡意代碼引源頭分析可以得出隨著互聯(lián)不斷展從上引到本地的惡意代碼占絕大數(shù)因此在邊界處對惡意代碼范個范工作點部署了相應(yīng)病毒產(chǎn)品后根據(jù)計，平均每個月300新病毒被現(xiàn)如果產(chǎn)品惡意代碼庫跟不上這速度其際率可會大大降低因此必須地自動更新產(chǎn)品惡意代碼定義這更新必須非常頻繁對用戶透明在邊界處范惡意代碼保持代碼庫更新。各惡意代碼尤其病毒木馬等對大危害病毒在爆將路由器三交換機火墻等關(guān)設(shè)備性急速下降占用個帶寬。針對病毒風險議將病毒消滅或封堵在終端源頭也從來講在邊界通過火墻基于通信端口帶寬連接數(shù)量過濾控制可以在定程度上避免蠕蟲病毒爆大流量沖當然，惡意代碼范也應(yīng)該在主機面開展本方案后面將會相關(guān)介紹。與主機服務(wù)器病毒軟件不同病毒過濾關(guān)運在區(qū)域邊界上分析不的制邊界處過濾了性從為創(chuàng)一個環(huán)境。與部署軟件配合形覆蓋面分層防護多級過濾系統(tǒng)本方案醫(yī)院信息平臺與互聯(lián)邊界處部署（注：SSMTPPOP3HTTP和FTP進和過濾通過特征過濾、木馬、以及移動處理區(qū)外。護策略：支持內(nèi)容檢可以用鍵字過濾等方式來阻非法入敏區(qū)里區(qū)效信息因遭受攻擊陷于癱瘓。庫升級策略：通過自動和手動兩種升級方式完庫及更新。能夠被日志審計系統(tǒng)收集。5227 備防護護除了結(jié)構(gòu)、邊界部署相應(yīng)措施外另外一個重要方面就是實現(xiàn)控制要求設(shè)備保護通過登錄設(shè)“三級等?！睒藴食嗽O(shè)備要求基本登錄鑒別措施最基本要求外還需要兩種以上鑒別技術(shù)組合來實現(xiàn)身份鑒別另外特權(quán)用戶與普通用戶要權(quán)至少要求一種鑒別技術(shù)不能被偽可以通過部署集中CA系統(tǒng)來實現(xiàn)將會類似述；3少8；失敗處功能失敗后采取結(jié)束會話、非法次數(shù)和當連接超時自動退出等措施；啟SSH等方式加密數(shù)據(jù)防止竊聽5228 在個醫(yī)院現(xiàn)環(huán)境中大多內(nèi)外獨立網(wǎng)防和防和中，定定醫(yī)院出。出醫(yī)院外連接：出和互聯(lián)出出為了避免于互聯(lián)外出攻擊出影響大度保證互聯(lián)互通性。出口出承擔流量如（包括但于）? 級門流量? 級門調(diào)相數(shù)據(jù)流量? 和數(shù)據(jù)出承擔功能? 出功能? 多功能? 接口? 轉(zhuǎn)換（應(yīng)選擇高性器或作為。?；ヂ?lián)出口設(shè)備互聯(lián)出口設(shè)主要承擔流如下? 各區(qū)對互聯(lián)資源的流量? VPN遠程辦公流量? 其他互聯(lián)流量? 外部對外WEB服務(wù)的流量互聯(lián)出口設(shè)主要承擔的功能如下? 出口功能? 多鏈選擇功能? 類型豐富廣接口? 地址轉(zhuǎn)換? 局廣分割功能? 功能? VPN功能? 流功能? 上為管理功能基于以上要素出口設(shè)含整合出口，為管理的單一設(shè)，或部分整合設(shè)出口設(shè)也可以使，，VPN內(nèi)終端對互聯(lián)的高速，同時為外內(nèi)WEB服務(wù)提供高速鏈路通道設(shè)作為局廣需支持類型豐富的策略設(shè)置VPN設(shè)SECVPN較，保證URL? ? ? ? ? DNS? //? VPN? ? ? ? ? IDS5229 4.1.1、一監(jiān)等種措施實現(xiàn)醫(yī)院信息平臺業(yè)應(yīng)性。同時把邊界火墻與結(jié)合起來（與防火墻與S火墻型：針7點素一個首先需部署（目已經(jīng)演變下一代火墻火墻在之執(zhí)火墻目護部資源不被外部非授權(quán)戶使止部受外部WEB2.0功能掉不服務(wù)、和控制特殊站點Internet和預(yù)警方便端點了新挑戰(zhàn)滿足市場新需求正逐步演進GartnerNet-Generationl，W測早期被客。由于前采于服務(wù)架構(gòu)與 使普及多通訊量都只是通少數(shù)幾口P與S及采限幾協(xié)議行也就端/關(guān)檢查入侵御系S根據(jù)知操系與漏失署補丁軟件進行檢不能不具體特性了。Gartner控制措施各受信級Gartner“”級務(wù)方務(wù)方發(fā)生改變。主特點該括三方功能；控制而不僅僅于端口控制；于控制而不僅僅是于 去數(shù)年中形式發(fā)生著巨大改變經(jīng)完客征多歸果形容百花齊放形勢管、、IPS控制關(guān)Gartner特礎(chǔ)上各家廠商也根據(jù)自己優(yōu)勢詮釋著自己NGFW理解。新形態(tài)都存市場接受程逐步升級程根據(jù)r預(yù)測2014年底35企業(yè)會采購設(shè)備候轉(zhuǎn)向一60W。注：考慮到與各個地市通過不同聯(lián)網(wǎng)情況選型時最好選擇具有多功能下一這樣可以節(jié)省投入下一反高級逃避部署僅僅有絕對不夠。通常來說只明確對那些數(shù)據(jù)流可以進來那些可以出去但對于允許進來數(shù)據(jù)并不會進行嚴格（即使有深度檢查一般也局限于少數(shù)。IDSIDSIPSSSIDS系統(tǒng)能夠阻止異常流。SSS也可以配置為混合模式。在混合模式中IDSIPS功能把二者合二為一。為了更好IDS/IPS角色這里我們不與相比： 可以阻止任何沒有被明確允許通過流IDS/IPS則只對阻斷非預(yù)期信息流而讓其它合法流全部通過。 SSTCPHTTP“打補丁”安全漏洞攻擊可以利用漏洞，行和即使防S。首先感絡(luò)量中任意異常然后感把這發(fā)送至分析分析處理這事件并加入分析自己發(fā)現(xiàn)，并與相事件相結(jié)合丟棄掉不必要事件此程中指紋匹配出已知攻擊與相應(yīng)認識相結(jié)合得到增強形成強攻擊指紋特征認與簡單指紋特當?shù)紿TTP時應(yīng)用HTTP攻擊但HTTP并不會被錯誤應(yīng)用于SMTPml。盡快基指紋特征可以精確出已知特征庫匹配攻擊但這種并不未知攻擊另種異常補充指紋庫匹配就分析和統(tǒng)計異常：分析可以鑒別絡(luò)中“違規(guī)”數(shù)據(jù)比非預(yù)期數(shù)據(jù)錯誤連接狀態(tài)多余無效特征這違反了數(shù)據(jù)包非常的必要因為好多攻擊針脆弱系統(tǒng)就故意違反觸發(fā)異常的操作響應(yīng)。異常統(tǒng)計收集統(tǒng)計比慢掃描異常連接數(shù)這PC“下代。Gartner“入侵”作為in-line控介測并實緩解不同信任等“下代味為應(yīng)演要性下代至少該具有下列性：標準代IPS功能 支持漏洞簽名簽名。以線速測阻斷、快速施部署簽名IPS引擎要性。感知協(xié)議棧視 層鑒別加強策略從。下文感知ISP外提高攔截判決改善攔截規(guī)則。目錄成、判決、身份漏洞、補丁狀態(tài)、理信息（來哪里從哪里來）做更有效攔截判斷包括信譽反饋黑、白名單容感知 分入站文及其他似文PDF微e文（已經(jīng)通過反病毒站情況似。以準實做通過、隔離丟棄判決。捷引擎 新信息資反饋針將來解決留有通道。年數(shù)據(jù)泄露調(diào)報告目前約20%“未知的高級逃避技術(shù)（有關(guān)逃避具體解釋請參閱附。系統(tǒng)網(wǎng)絡(luò)檢測。從ICSA實驗室測試了數(shù)十種網(wǎng)絡(luò)產(chǎn)品。在對高級逃避技術(shù)測試研究中，ICSA商用信息系統(tǒng)。逃避TCP/IP堆棧各層面，可以隱藏漏洞利用程序或攻擊。就體旦采用高級逃避技術(shù)，就可以成功避開有系統(tǒng)。Gartner布《DefiningNetworkIntrusionPrevention》文章中也明確提出了利用先進技術(shù)逃避網(wǎng)絡(luò)設(shè)備檢查越SbSspty2evasion(AET)4.15。AET該數(shù)流鏡像后行這樣才數(shù)流行因IPS定采具反功下代攔截目尚未公布工具過工具驗證。5.2.3主機《信息系統(tǒng)等保護基本求》主機主關(guān)注方包括：/工站等算機操系統(tǒng)及數(shù)庫系統(tǒng)層終端/工站帶式機筆記本算機服務(wù)器則包括、web、件通信等服務(wù)器主機系統(tǒng)構(gòu)成信息系統(tǒng)主其上承載著各種因主機系統(tǒng)保護信息系統(tǒng)堅力量。年87.5T。、剩余信息保護、入侵防范、惡意代碼防范和資源控制等七個控制點。不僅僅要對安事一要做到統(tǒng)一管理，二要綜合考慮網(wǎng)絡(luò)上的防范措施，做到兩者相互補充：5231份鑒別為確保系統(tǒng)的安相的的上要求兩上鑒別合身份鑒別。于一個中的醫(yī)中有的主機，用統(tǒng)一的CA心進行認證，從而兩上的合鑒別。的安上，用主PKI（PublicKeyInfrastructure，LCCertificateAuthorit——對關(guān)從而以對嚴格集中以確保不被非法或越防止信息泄漏。身份總體框架下圖所示：為提主機保障各種對主機：從而實/為嚴格/復(fù)雜度不格被拒絕其次置定期換求；陸失敗處功能陸失敗后束會話、非法自動退出遠程啟SSH密防止被竊聽。5232 在系統(tǒng)中實施訪問控制是為了保證系統(tǒng)資源（操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)）受控合法地使用。用戶只能根據(jù)自己的權(quán)限大小來訪問系統(tǒng)資源，不得越權(quán)訪問。對醫(yī)院的三級等保網(wǎng)而言，實現(xiàn)不同的系統(tǒng)用戶權(quán)限分離并不難，但要強調(diào)最小授權(quán)原則，使得登陸的用戶權(quán)限最小化，并對重要信息資源設(shè)置敏感標記。5233 全審計用情況等。對三級等保而言，還要形分析、。是Windowslinux醫(yī)院根據(jù)自己的主機數(shù)情況，合的。的是，對三級等保而言，主機的安全審計不服，醫(yī)院中的要進行安全審計。安全管理系統(tǒng)，啟用主機審計功能，或部署主機審計系統(tǒng)，實現(xiàn)對主機監(jiān)控、審計和系統(tǒng)管理等能。監(jiān)控功能包括服務(wù)監(jiān)控、進程監(jiān)控、硬操作監(jiān)控、系統(tǒng)監(jiān)控、打印機監(jiān)控、非法外聯(lián)監(jiān)控、計算機用戶賬號監(jiān)控等。功外掛備非外聯(lián)IP址更改審計、服務(wù)與程審計等。審計范圍覆蓋服務(wù)器每操作系統(tǒng)用戶和數(shù)據(jù)庫用戶；內(nèi)容包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全；審計記錄包括事期時間、型、主體識客體識結(jié)果等；保護審計記錄，避免未預(yù)期刪除、修改或覆蓋等。5234 余信息保護再前得到無；記前得到接5235 入侵防范前到網(wǎng)絡(luò)網(wǎng)網(wǎng)絡(luò)使進行無網(wǎng)絡(luò)。入侵檢測可說基于網(wǎng)絡(luò)入侵防范一種“補充補充檢測那現(xiàn)“”流遺漏流入侵行首先基本防范遵循最原則并及服務(wù)器及并入侵檢測夠采取措施程序整性檢測并恢復(fù)。醫(yī)院，本方案認由于近幾年（高持續(xù)攻擊）攻擊程逐年趨勢單從網(wǎng)絡(luò)到“”，到再IDS/IPS，樣通過IDS/IPS備可測到一部WEBWbwl代碼防范IP第然果進行蔓延直接后果內(nèi)感染所關(guān)并不“移動存儲設(shè)備接入也能該感染病毒后感染其他所這交叉發(fā)生必須在同時進行才能盡能保證安全。然安病毒同時進行。““的安全原則安全產(chǎn)品進行異構(gòu)互為補充情況原因很簡單：由不同產(chǎn)商產(chǎn)品在義升時上都所不同果產(chǎn)品出不同廠家二者相互補充，在水平上會同產(chǎn)品因此，能夠采取產(chǎn)品。前面 問題將病毒消滅或封堵在終端源頭在所終端服務(wù)器上病毒加終端病毒護能力并時升版本。門使用維護水平也不盡相同這特點均能夠供監(jiān)控夠監(jiān)控心下、自升將在感染在感染同時也利策略效實施。在安全心病毒服務(wù)器負責制終端病毒策略，量濾控制可以定程度上避免蠕蟲爆發(fā)時大流量沖擊同時系可以為安平臺提供關(guān)威脅和事件監(jiān)控、審計日志為護提供必要息主要執(zhí)以安策略：應(yīng)用上安裝版軟件可以捍衛(wèi)免、和程件進用提供護能；系對象實時保護策略：系對件系所需模塊析以阻止代碼執(zhí)為件件系提供實時保護具體包括：監(jiān)聽對件系訪問；使用反引擎對可疑對象和染對象探測；可和時執(zhí)：可疑對象；清除之前將保存?zhèn)浞輩^(qū)域；啟動反引擎以清除或刪除染對象；將可疑對象放置隔離區(qū)刪除； 程程用和關(guān)的事件；收集被檢查對象；可策略：系件可象為了使廠商對析該組件對代碼安全隔離件可以代碼安檢測和清除。隔離和備份組件執(zhí)以策略：保存按要求保存檢測可疑對象； 要可同時清除安法； 在接受防病毒廠商針對病毒的更新后，重新檢測存儲在隔離區(qū)的對象，用于確定對象的狀態(tài)及清除病毒的必要性；按要求恢復(fù)隔離區(qū)的對象。通過集中隔離工具，可將感染病毒檔案集中隔離到一臺服務(wù)器；通過病毒追蹤工具，當有病毒通過網(wǎng)絡(luò)共享擴散時，可偵測到感染病毒實現(xiàn)強大、完善的日志管理策略。5.2.4 應(yīng)用安全 基于網(wǎng)絡(luò)的應(yīng)用是形成其他應(yīng)用的基礎(chǔ)，包括消息發(fā)送、web瀏覽，可以是的應(yīng)用。業(yè)務(wù)應(yīng)用應(yīng)用的特定業(yè)務(wù)的要求，LIC、應(yīng)用最終是為業(yè)務(wù)應(yīng)用服務(wù)的，對應(yīng)用系統(tǒng)的安全護最終是護系統(tǒng)的業(yè)務(wù)應(yīng)用安全運行。“九個。根基要求羅列出一些安全的基要。5241 份鑒別PKI/CACA/38；啟陸失敗處功能陸失敗后取束會話、限制非法次數(shù)自動退出等若不則能開發(fā)使效果達到5242 在應(yīng)用系統(tǒng)中實施訪問控制是為了保證應(yīng)用系統(tǒng)受控合法地使用。用戶只能根據(jù)自己的權(quán)限大小來訪問應(yīng)用系統(tǒng)，不得越權(quán)訪問。對三級等保的醫(yī)療系統(tǒng)，除了細粒度控制策略，需強調(diào)最小授權(quán)原則。權(quán)訪問的信息資源，需實現(xiàn)以下功能：依據(jù)用戶的職權(quán)屬性和系統(tǒng)信息的安全屬性，制定授權(quán)策略；按照用戶身份信息，基于授權(quán)策略建立自主訪問控制列表；授權(quán)管理。按照分域控制、分類防護要求，按部門、按人員的職責確定其所訪問的范圍；應(yīng)支持部門進行分層次授權(quán)，避免集中授權(quán)復(fù)授權(quán)的確性；提供應(yīng)用系統(tǒng)模信息的；提供授權(quán)信息的；提供授權(quán)信息的在。5243 全審計行以方：用戶、系統(tǒng)功能行以系統(tǒng)資源使用等。對于“三級等保件等進行記，還要對形成的記能夠統(tǒng)、分、并生成報表。有操作記監(jiān)有操作處于可控和可狀態(tài)，應(yīng)實現(xiàn)以下功能：本記院平臺各審；基于網(wǎng)絡(luò)數(shù)據(jù)流的安全；支持自動轉(zhuǎn)儲和在；具備對醫(yī)院信息平臺內(nèi)部數(shù)據(jù)訪問行為的安全；5244 存儲空間將其清除之后才釋放或重新分配給其他方案不再贅述。5245 、密和抗抵賴性字化醫(yī)療包含大量患者一旦泄露將直接導(dǎo)致患者利益受損甚至。醫(yī)醫(yī)療數(shù)醫(yī)療。包括SL協(xié)議道以字封源。SSL協(xié)議道,SSLVPN硬件遠程也服務(wù)器書在醫(yī)配置單向SSL道；字封源PKI間件產(chǎn)品源簽名處從而醫(yī)關(guān)鍵。5246 軟件容錯醫(yī)療件一保在件配用方在資源件考慮程序錯誤（故障）檢測、處能力。5.2.5 ?！胺懒朔雷詈眉墑e中采異地適時有效防治災(zāi)難發(fā)生時能三級功能外完整能夠檢測出完整性受時能夠?qū)Ξ斎弧叭墶边€求完整性求增強范圍擴大求鑒別業(yè)過中其完整性本還求異地冗余拓撲。通過采取式形式發(fā)生破能夠樣也原因?qū)η卸ㄆ诓扇∽詣臃菹到y(tǒng)進行應(yīng)用數(shù)據(jù)份管理員應(yīng)復(fù)核自動份結(jié)果；在業(yè)環(huán)境變更或定期執(zhí)行份恢復(fù)測試；災(zāi)難恢復(fù)指基礎(chǔ)施在發(fā)生故障時彈性與恢復(fù)能力。災(zāi)難恢復(fù)DisasterRecovr在醫(yī)院信息平中應(yīng)用不：件故障件故障關(guān)鍵不可用）數(shù)據(jù)中理數(shù)據(jù)中正常）數(shù)據(jù)中數(shù)據(jù)中系統(tǒng)不能正常運）在災(zāi)難份方對業(yè)進行析根據(jù)不類業(yè)/業(yè)應(yīng)用系統(tǒng)運行進行統(tǒng)。、災(zāi)難恢復(fù)才能夠保證滿足等協(xié)議ServiceLevelAgreement,SLA。下表描述了醫(yī)院信息化內(nèi)件災(zāi)難恢復(fù)：.3 建設(shè)“三級等?！币蟮膬?nèi)容中，我們知道管理方面的建設(shè)包括5全管理制度、安全管理機構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理、系統(tǒng)運維管理。由于醫(yī)院信息網(wǎng)絡(luò)復(fù)雜，用戶多，技術(shù)人員水平不一；同時由于醫(yī)院的業(yè)務(wù)的出現(xiàn)，使網(wǎng)絡(luò)出現(xiàn)流量擁塞，運行速度緩慢的現(xiàn)象；同時也常常因為設(shè)備負荷過大導(dǎo)致業(yè)務(wù)處理速度慢；而且設(shè)備的故障也會影響網(wǎng)絡(luò)正常運營；的安全防護體系，符合等級保護的安全要和設(shè)計是安全體系的建設(shè)，安全設(shè)備安全務(wù)的安全管理大的要一信平臺安全故、安全故安全故時能時處理安全的。“等級保護”相關(guān)，信系統(tǒng)的安全管理也是一個非常重要的面，系統(tǒng)必須具相當?shù)陌踩\維力有效進行資產(chǎn)管理、介質(zhì)管理、網(wǎng)絡(luò)安全管理、系統(tǒng)安全管理惡意代碼管理等內(nèi)容從系統(tǒng)整體保護能力統(tǒng)一安全管理等。當然，5.2相呼候必須采用具(IPS/IDS)下討論統(tǒng)一的網(wǎng)絡(luò)安全管理：通過建立集中的安全監(jiān)控管理機制，實現(xiàn)對所保護的安全設(shè)備和系統(tǒng)對象狀態(tài)的統(tǒng)一配置管理，監(jiān)控安全設(shè)施系統(tǒng)資源變化，并變化情況和記錄，時調(diào)整安全策略，執(zhí)行有效的防控措施。實現(xiàn)下功能：安全設(shè)備集中管理通過在安全設(shè)備監(jiān)管平臺中錄安全設(shè)備信可實現(xiàn)對設(shè)備和系統(tǒng)對象的管理，同時，通過對安全，為管理、事同和等基礎(chǔ)。安全策略統(tǒng)一管理網(wǎng)絡(luò)安全的整體性要要有統(tǒng)一安全策略和基工作流程的網(wǎng)絡(luò)安全管理人員提供統(tǒng)一的安全策略，為網(wǎng)絡(luò)中安全策略的部署工作做指導(dǎo)，有利于在全網(wǎng)形成安全防范的合力，提高全網(wǎng)的整體安全防御能力，同時可以進一步完善整個網(wǎng)絡(luò)的安全策略體系建設(shè)，為指導(dǎo)各項安全工作的開展提供行動指南，有效解決目前因缺乏口令、認證、訪問控制等方面策略而帶來到安全風險問題。安全狀態(tài)統(tǒng)一監(jiān)測預(yù)警通過對防病毒控制臺、入侵檢測系統(tǒng)控制臺、身份認證服務(wù)器、防火墻等設(shè)備的事件搜集以及對這些事件的整合、分析，實現(xiàn)全網(wǎng)的安全事件集中監(jiān)測和處理。其次，安全預(yù)警是一種有效的預(yù)防措施，通過對資產(chǎn)以及合分析到網(wǎng)絡(luò)中資產(chǎn)的安全風險，而及時的安全和解決方督和指導(dǎo)安全分及時安全防范工作，防。.網(wǎng)絡(luò)安全的設(shè)備在實的系統(tǒng)中，的同一設(shè)備可以同時網(wǎng)絡(luò)、等面的些“身份、，一個設(shè)備就同時了網(wǎng)絡(luò)、、的身份鑒別和審計的。在設(shè)備網(wǎng)絡(luò)、理等全面從分為以：防護體系檢測體系審計體系體系體系6.1 互聯(lián)網(wǎng)接入?yún)^(qū)域下一代防火墻（包括 VPN功能） 一個安全的網(wǎng)絡(luò)系統(tǒng)首先需要部署防火墻（目前已經(jīng)演變?yōu)橄乱淮阑饓Α７阑饓κ窃诰W(wǎng)絡(luò)之間執(zhí)行控制策略的系統(tǒng)，設(shè)置防火墻的目的是保護內(nèi)部網(wǎng)絡(luò)資源不被外部非授權(quán)用戶使用，防止內(nèi)部受到外部非法用戶的攻擊?？梢哉f防火墻為內(nèi)部網(wǎng)絡(luò)建立安全邊界。安全這個領(lǐng)域是一個道高一尺魔高一丈的游戲，傳統(tǒng)的產(chǎn)品在WEB2.0時代沒有辦法達到安全保護的目的，要更加注重應(yīng)用層面對防護段的保護。傳統(tǒng)防火墻可以分為四種類型：包過濾、應(yīng)用級網(wǎng)關(guān)、代理服務(wù)器和狀態(tài)檢測?？傮w的功能是：過濾掉不安全服務(wù)、非法用戶和控制對特的、Internet安全和的。為應(yīng)對全的，的需，防火墻在演為 Gartner的下一代防火墻（Next-GenerationFirewall，為 NGFW）。網(wǎng)絡(luò)安全的演變，Gartner為應(yīng)對前一代的網(wǎng)絡(luò)安一級為“”例現(xiàn)已基本無探利僵尸作輸（參見“案例研究計算機早期探僵尸客”）由于采基于架構(gòu)Web2.0普及多通訊量都只通少數(shù)幾（如：HTTPHTTPS）及采用有限的幾個協(xié)議進行，這也就意味著基于端口/協(xié)議類安全策略的關(guān)聯(lián)性與效率都越來越低。深層數(shù)據(jù)包檢查入侵防御系統(tǒng)（IPS）可根據(jù)已知攻擊對操作系統(tǒng)與漏失部署補丁的軟件進行檢查，但卻不能有效的識別與阻止應(yīng)用程序的濫用，更不用說對于應(yīng)用程序中的具體特性的保護了。下一代防火墻除了具備傳統(tǒng)防火墻功能以外，一定要具備反高級逃避技術(shù)的功能，此外需要可以實現(xiàn)真正的集群。下一代入侵防御系統(tǒng)-反高級逃避 入侵防御/檢測系統(tǒng)（S）是用來深度感知和檢測的數(shù)據(jù)，對意進行已阻攻擊，對濫用進行以保護的一套系統(tǒng)。入侵防御系統(tǒng)應(yīng)包和傳感用作定及有傳感及。傳感用作進的行，根據(jù)的行應(yīng)行。對知的高級入侵行進行。具體功能應(yīng)具備了真正的安全防御技術(shù)，防御的高級逃避技術(shù)對基于 TLS/SSL加密的檢測和意防護不影響任何正常數(shù)據(jù)的情況下，抵御各種類型的 DoS/DDoS攻擊核硬件架構(gòu)，底層 安全專有操作系統(tǒng)，高吞吐，并且部署靈活。4b應(yīng)用防火墻（）應(yīng)用防火墻應(yīng)基于 定的 協(xié)議規(guī)范，對于提交的 HTTP請求進行預(yù)處，以驗證是否合法的非畸形的 HTTP。通過情況下，部攻擊(如蠕蟲或者緩存溢)發(fā)的不嚴格符合RFC規(guī)定的 HTTP協(xié)議規(guī)范。因此通進行 HTTP協(xié)議驗證，可預(yù)先防御很攻擊。可防御 SQL注入、跨腳本等攻擊。此外可以Method、請求件類型、上傳件類型及大小等。并且可以TCP卸載與SSL加速功能。6.1.5 6.1.6 Internet混亂內(nèi)戶訪問互聯(lián)樣化資源信息便易同時在發(fā)布損國家形企