醫(yī)院整體網絡建設方案

建設方案建議書目錄\l“_TOC_250044“系統(tǒng)概述 4系統(tǒng)功能概述 4進展趨勢 7系統(tǒng)構造 8\l“_TOC_250043“系統(tǒng)需求分析 11工程需求 11設計范圍 12\l“_TOC_250042“設計依據及原則 13設計依據 13設計原則 13\l“_TOC_250041“網絡系統(tǒng)設計 15網絡總體設計規(guī)劃 15網絡建設及設備選型說明 17\l“_TOC_250040“內網設備選型 17\l“_TOC_250039“外網設備選型 20\l“_TOC_250038“設備網 21關鍵技術點 22\l“_TOC_250037“萬兆網絡技術 22\l“_TOC_250036“虛擬化技術 24\l“_TOC_250035“網絡安全治理 24\l“_TOC_250034“等級保護建設技術體系設計 27物理安全設計 27\l“_TOC_250033“機房選址 27\l“_TOC_250032“機房治理 27\l“_TOC_250031“機房環(huán)境 27\l“_TOC_250030“設備與介質治理 28計算環(huán)境安全設計 28\l“_TOC_250029“身份鑒別 28\l“_TOC_250028“訪問掌握 29\l“_TOC_250027“系統(tǒng)安全審計 30\l“_TOC_250026“入侵防范 31\l“_TOC_250025“主機惡意代碼防范 32\l“_TOC_250024“軟件容錯 33\l“_TOC_250023“數據完整性與保密性 33\l“_TOC_250022“備份與恢復 34\l“_TOC_250021“資源掌握 35\l“_TOC_250020“客體安全重用 35\l“_TOC_250019“抗抵賴 36區(qū)域邊界安全設計 36\l“_TOC_250018“邊界訪問掌握 36\l“_TOC_250017“安全隔離 37\l“_TOC_250016“流量掌握 38\l“_TOC_250015“邊界完整性檢查 40\l“_TOC_250014“邊界入侵防范 40\l“_TOC_250013“邊界安全審計〔上網行為治理〕 41\l“_TOC_250012“網頁防篡改 42\l“_TOC_250011“邊界惡意代碼防范〔防毒墻〕 42通信網絡安全設計 43\l“_TOC_250010“網絡構造安全 43\l“_TOC_250009“網絡安全審計 44\l“_TOC_250008“網絡設備防護 44\l“_TOC_250007“通信完整性 45\l“_TOC_250006“通信保密性 45\l“_TOC_250005“網絡可信接入 45\l“_TOC_250004“安全治理中心設計 46\l“_TOC_250003“系統(tǒng)治理 46\l“_TOC_250002“審計治理 48\l“_TOC_250001“網絡運維及應用監(jiān)控治理系統(tǒng) 49\l“_TOC_250000“不同等級系統(tǒng)互聯(lián)互通 49等級保護配置說明 50設備清單和參數 錯誤!未定義書簽。設備參數 錯誤!未定義書簽。內網 錯誤!未定義書簽。外網 錯誤!未定義書簽。設備網 錯誤!未定義書簽。設備清單 錯誤!未定義書簽。1.系統(tǒng)概述1.1 1.1 系統(tǒng)功能概述著計算機信息技術的進展，醫(yī)療行業(yè)在病人就醫(yī)的過程中也融入了很多計算機信息化的技術，簡潔的如掛號、交費電子化，勞動和社會保障部門發(fā)行的中華人民共和國社會保障卡、病人就醫(yī)時的醫(yī)療信息卡等標識患者根本信息、患者病情信息、患者醫(yī)保信息、患者醫(yī)療費用具體信息等的信息化、智能化存儲產品進一步提高了醫(yī)療效率、促進了醫(yī)療信息公開、促進國家社會公共醫(yī)療衛(wèi)生保障事業(yè)進展。同時醫(yī)學水平的快速進展也使得醫(yī)療診斷從簡潔的化驗檢查進展到CT、E-CT、DSA、MRI和應用相應地對醫(yī)務工作者、醫(yī)療設備和支撐這些醫(yī)療設備、技術應用的網絡技術也提出了高標準的要求。息的有效共享，支撐各種高科技診療設備的高效協(xié)作分工以及各應用系統(tǒng)的簡潔治理。打造一個強健的醫(yī)院網絡系統(tǒng)平臺，是保障整個醫(yī)院信息系統(tǒng)的完善運作的前提，能夠保障XX向一流效勞、一流技術、一流質量、一流設備的現代化醫(yī)院邁進。醫(yī)院業(yè)務劃分：務系統(tǒng)是醫(yī)院都具有的：門診系統(tǒng)住院系統(tǒng)體檢系統(tǒng)PACS醫(yī)院治理經濟系統(tǒng)應用系統(tǒng)分類一、醫(yī)院治理系統(tǒng)門、急診掛號子系統(tǒng)門、急診病人治理及計價收費子系統(tǒng)住院病人治理子系統(tǒng)藥庫、藥房治理子系統(tǒng)病案治理子系統(tǒng)醫(yī)療統(tǒng)計子系統(tǒng)人事、工資治理子系統(tǒng)財務治理與醫(yī)院經濟核算子系統(tǒng)醫(yī)院后勤物資供給子系統(tǒng)固定資產、醫(yī)療設備治理子系統(tǒng)二、臨床醫(yī)療信息系統(tǒng)住院病人醫(yī)囑處理子系統(tǒng)護理信息系統(tǒng)門診醫(yī)生工作站系統(tǒng)臨床試驗室檢查報告子系統(tǒng)醫(yī)學影像診斷報告處理系統(tǒng)放射科信息治理系統(tǒng)手術室治理子系統(tǒng)功能檢查科室信息治理子系統(tǒng)病理卡片治理及病理科信息系統(tǒng)血庫治理子系統(tǒng)養(yǎng)分與膳食打算治理子系統(tǒng)臨床用藥詢問與掌握子系統(tǒng)醫(yī)院業(yè)務系統(tǒng)的需求門診系統(tǒng)〔包括焦急并發(fā)性、實時性和突發(fā)性強等特點。因此門診業(yè)務對網絡提出了高牢靠性、高帶寬和QoS的要求。住院系統(tǒng)系到重病患者的生命安全，具有以下幾個特點：住院業(yè)務的網絡上流淌著重癥病人生命數據和各種業(yè)務數據；住院業(yè)務保存有患者病案數據和住院費用數據；醫(yī)生移動查房；病人呼叫系統(tǒng)；網上視頻監(jiān)控系統(tǒng)；VoIP體檢系統(tǒng)體檢效勞器上體檢人員數據安全和網絡安全是醫(yī)院體檢系統(tǒng)解決方案所關注的。4〕PACS并在全院范圍內進展共享，由于是各種圖形圖像數據，因此具有存儲量大的特點，為了，PACS據快速存儲、數據容災、高帶寬。治理經濟系統(tǒng)因此它最大的需求是數據在效勞器端和網絡上的安全，保證這些數據不會泄露。1.2 1.2 進展趨勢總的來說有一下幾點：醫(yī)院信息系統(tǒng)建設狀況優(yōu)化、改進，使信息系統(tǒng)更加適合醫(yī)院工作需要和患者需求。醫(yī)院信息系統(tǒng)基于災難恢復的核心交換機通信，實現了雙機鏡像熱備、定期異地備份模式，各個模塊相互關聯(lián)、環(huán)環(huán)相扣，將傳統(tǒng)的事后掌握轉變?yōu)槭轮姓莆?。圖像和報告的實時共享、分析、存儲及遠程調取，為病人預約就診、分診供給便利快捷的效勞，削減等待時間，優(yōu)化就診流程，進一步標準了診療行為，使醫(yī)院的治理水平和效勞水平得到明顯提高。醫(yī)院電子病歷運行狀況及信息查閱繁瑣、共享不便的難題，提高了病歷書寫效率、標準了病歷樣式、提升了病歷質量，已成為全國醫(yī)院建設的模式。PACSHIS電子病歷系統(tǒng)的內容得到廣泛延長。區(qū)域平臺建設狀況高工作效率。和安康檔案調用安全，數據中心大數據量交互分析快捷，監(jiān)視治理等五項關鍵業(yè)務運行高效。農合系統(tǒng)應用狀況患者就診信息實時與國家衛(wèi)生部信息中心統(tǒng)一。HIS接，便利了患者就醫(yī)報銷、醫(yī)務人員安排轉診結算，衛(wèi)生局的統(tǒng)籌治理。系統(tǒng)已成為醫(yī)療效勞的重要支撐體系。醫(yī)院信息系統(tǒng)的安全性直接關系到醫(yī)院醫(yī)療工作的正常運行，一旦網絡癱瘓或數據喪失，將會給醫(yī)院和病人帶來巨大的災難和難以彌補的損失。同時，醫(yī)院信息系統(tǒng)涉及大量醫(yī)院經營和患者醫(yī)療等私密信息，信息的泄露和傳播將會給醫(yī)院、社會和患者帶來安全風險。等級保護工作的指導意見〉的通知》要求，XX市人民醫(yī)院樂觀開展等級測評工作。醫(yī)院信息系統(tǒng)是支撐醫(yī)院系統(tǒng)運作及各部門共同合作與營運的關鍵應用，承載著醫(yī)院主要的業(yè)務數據。通過信息系統(tǒng)等級保護定級和安全測評工作，提前覺察信息系統(tǒng)中存在的安全風險和漏洞，據此提出信息系統(tǒng)安全等級保護建設方案，避開安全大事對業(yè)務工作帶來損失；完善信息系統(tǒng)安全治理制度，提升信息系統(tǒng)安全治理水平。1.3 1.3 系統(tǒng)構造XX市人民醫(yī)院的網絡系統(tǒng)按功能和安全性要求分為三個局部：內網、外網和設備專網。三個網絡之間實行嚴格的物理隔離，分別承受不同的網絡及安全等硬件設備進展搭建。內，外整體網絡承受萬兆主干、千兆桌面。設備網絡承受千兆主干，千兆桌面。內網，外網和設備網科學的核心層、接入層二層架構和冗余組網的思想，保障系統(tǒng)的不連續(xù)穩(wěn)定和高效運行。內網，外網和設備網的二層架構網絡拓撲如下：醫(yī)院內網網絡架構如上圖醫(yī)院外網網絡架構如上圖系統(tǒng)需求分析

醫(yī)院設備網絡架構如上圖2.1 2.1 工程需求XX的便利性、重要性、擴容性，計算機網絡系統(tǒng)依據幾點原則進展設計及優(yōu)化：外網、內網承受核心、會聚、接入三層網絡構造，配線間交換機端口留有余量；設備網承受核心、接入二層網絡構造。放置在五層網絡中心機房。會聚和核心鏈路都承受雙備份模式；接入層交換機承受堆疊方式。置。大樓外網與內網互通的兩種方式：〔1〕局部互通；〔2〕全部互通。的網絡安全設備來保障網絡信息安全。方式網絡簡潔被攻擊，需要配置相應的網絡安全設備來保障網絡信息安全。從便于維護的角度配置網絡系統(tǒng)：便于網絡設備終端的治理。能快速的配置網絡交換機等設備、提交故障、取消配置等功能。便于對接入的網絡計算機、移動終端設備的掌握。確保身份認證的安全。2.2 2.2 設計范圍XX市人民醫(yī)院北區(qū)分院位于000、999國道交匯處，開發(fā)區(qū)加油站旁，占地面積68畝，包括XXXX〔XX、眼科、耳鼻咽喉〔XX市耳鼻喉醫(yī)院北院人性化規(guī)劃、全建設，院內環(huán)境美麗、病區(qū)設施齊全，交通便利，贛南醫(yī)學院第六臨床學院坐落該處，是一所集特色?？啤?chuàng)傷急救、科研教學為一體的綜合性醫(yī)療機構。絡系統(tǒng)。的認證系統(tǒng)建設及醫(yī)院效勞器的數據庫審計系統(tǒng)建設。設計依據及原則3.1 3.1 設計依據ISO9001國際標準CMM5國際標準ITUIEEE802.3〔CSMS/CD〕以太網標準Internet〔IP、TCP、UDP、ICMPARP、OSPF〕IEEE802.310BaseTIEEE802.3U100BaseTIEEE802.5IETFRFCISO/IEC11801-95《信息技術互聯(lián)國際標準》中華人民共和國計算機信息網絡國際互聯(lián)網治理暫行規(guī)定3.2 3.2 設計原則準、可擴大、可移動性的特征，而要求有肯定的技術超前性、較高的性價比，并適合用戶的需求。XX進展的要求，在醫(yī)院網絡設計構建中，應堅持以下建網原則：中選用高牢靠性網絡產品，合理設計網絡架構，制訂牢靠的網絡備份策略，保證網絡具有故障自愈的力量，最大限度地支持醫(yī)院各業(yè)務系統(tǒng)的正常運行。統(tǒng)的先進性。在網絡設計中要把先進的技術與現有的成熟技術和標準結合起來，充分考慮到醫(yī)院網絡目前的現狀以及將來技術和業(yè)務進展趨勢?！矓祿?、語音、圖像〕的高質量傳輸，才能使網絡不成為一切業(yè)務開展的瓶頸。標準開放性——支持國際上通用標準的網絡協(xié)議〔如IP、國際標準的大型的動態(tài)路由協(xié)議等開放協(xié)議，有利于保證與其它網絡(如公共數據網、金融網絡、醫(yī)保網絡、外聯(lián)機構其它網絡)之間的平滑連接互通，以及將來網絡的擴展。，最大程度的削減對網絡架構和現有設備的調整。的網絡治理平臺，具有對設備、端口等的治理、流量統(tǒng)計分析功能以及可供給故障自動報警。安全性——制訂統(tǒng)一的骨干網安全策略，整體考慮網絡平臺的安全性。必要的升級，用作骨干網外聯(lián)的接入設備。網絡系統(tǒng)設計4.1 4.1 網絡總體設計規(guī)劃此次方案設計，我們依據XX市人民醫(yī)院對網絡建設的要求，總體設計規(guī)劃如下：網絡架構方面，關于內網，外網和設備網我們此次設計承受二層架構。層設計原則如下：均要求冗余配置。同時在兩臺核心交換機之間啟用雙機虛擬化熱備機制，實現故障的自動切換，進一步提高系統(tǒng)的穩(wěn)定性和高牢靠性。兩臺核心交換機之間承受多端口聚合通道進展交互，加強業(yè)務處理力量和響應速度，為業(yè)務應用供給最優(yōu)的網絡環(huán)境。通過底層交換機的雙鏈路捆綁上聯(lián)增加設備的牢靠性。設備虛擬化MSTP+VRRP度，而且核心設備一旦不穩(wěn)定或鏈路中斷，則會導致VRRP隱患，也簡潔受到相關利用協(xié)議漏洞的攻擊。VSU1150ms不會對業(yè)務流暢運行產生任何影響。虛擬化技術可將多臺核心交換機虛擬化為一臺規(guī)律設備，并結合可將一臺交換機虛上為用戶實現網絡資源的按需安排。接入層設計擴展和維護，此次設計承受非堆疊架構組網。4.從便于維護的角度配置網絡系統(tǒng)建設：用戶認證的特別報警、無線接入安全等都需要考慮。由于傳統(tǒng)的網絡治理只能有線治理系統(tǒng)治理有線，無線治理系統(tǒng)治理無線，條塊分割，無法做到統(tǒng)一治理，給治理維護帶來很大的不便。醫(yī)院的有線和無線網絡建設承受統(tǒng)一的網絡治理平臺，實現有線、無線的一體化治理監(jiān)控。移動終端設備的掌握。身份真正安全：依據用戶需求承受802.1X及WebPortal認證，可依據用戶的身份實施主機完整性檢查、網絡授權等操作，實現對用戶身份、主機安康性以及網絡通信安全性等方面的治理。4.24.2網絡建設及設備選型說明內網設備選型內網網絡拓撲如下：內網核心選擇：流量掌握、網絡治理等功能。在網絡的中心節(jié)點，核心層的設備傳統(tǒng)上會使用高性能的交換機和高速路由器來進展其次層交換和第三層路由。在網絡核心層，網絡核心設備不僅要能保證其次層的交換和第三層的路由，還要供給完善的虛擬網劃分，多協(xié)議路由，QoS此次核心網絡建設涵蓋了檔案數據中心、PACSLIS中心。由于是XX市人民醫(yī)院是市內三甲醫(yī)院，應用范圍可能還涉及到XX市全民醫(yī)療保障體系的建設，前期規(guī)劃時我們要各個市級，各個縣級的醫(yī)院和醫(yī)療機構的數據接入，5-10冗余備份，且網絡端口模塊支持熱插拔，以及能做到雙機備份。這樣萬一設備消滅單點故障，也不影響整個網絡的正常運行。針對醫(yī)療行業(yè)特點和行業(yè)用戶需求，核心層設計為數據中心交換機：〔VSU〕多變一虛擬化，2141交換方式VEPACPU使用性能、讓網絡治理邊界清楚、網絡流量可監(jiān)管。2、數據中心交換機為每個連接到當前以太網接口的主機動態(tài)/FCoE正實現數據中心網絡架構的融合，又能充分保護既有投資。主、備機房海量數據傳輸實時，交換機供給單線卡支持2440G28840GPause術〔ETS，可以在多種以太網流量共存狀況下進展共享帶寬的處理，對以太網光纖通道〔FCoE〕的流量報文進展帶寬保障。內網核心設備選擇銳捷網絡的數據中心交換機RG-N18010RG-N18010交換機是業(yè)界首個同時支持云數據中心特性和云園區(qū)網特性，實現云架構網絡融合、虛擬化、敏捷部署的一代云架構網絡核心交換機。板與獨立的主控板，確保各端口間全線速無堵塞轉發(fā)，供給持續(xù)的帶寬升級力量和業(yè)務2Tbps4Tbps，40GE中對核心交換機的要求。數據中心虛擬化讓資源按需安排，其業(yè)界領先的VSU，可供給4：1設備虛擬化，虛備。此次單臺設備配置24端口千兆以太網電接口板(RJ45)+20端口千兆以太網光口(SFP+,LC)，48(SFP+,LC)。其中萬兆接口通過萬兆單模光纖下聯(lián)到樓層主接入交換機〔33VSU口板卡作為連接醫(yī)院內網效勞器，醫(yī)院內網出口和應用平臺供給接口。安全保障。內網接入選擇：的全部通信量，并供給到核心層的上行鏈路，主接入交換機極易形成網絡瓶頸，因此要保證交換機具備真正線速無堵塞。其主要性能參數應滿足：包轉發(fā)率理論應滿足：24*1.488Mbps+4*14.88M>95Mbps交換容量理論應滿足：24*1Gbps*24*10Gbps*2128Gbps發(fā)、路由快速會聚、負載均衡、流量掌握、網絡治理等功能。管交換機：CPUCPU傳播和網絡攻擊，掌握非法用戶接入和使用網絡，充分保證安全設備和網絡設備的聯(lián)動掌握。和遠程會診等多媒體業(yè)務的快速增長的需要。外網設備選型內網網絡拓撲如下：醫(yī)院外網作為全院上網的主干網絡，眾多醫(yī)院對外門戶網站，系統(tǒng)均對外開放，建設的第一點就是要保證整個網絡的牢靠運行。網絡核心層是全網數據傳輸的中心，不僅要保證7×24小時的穩(wěn)定運行，各種應用效勞器的數據能夠被穩(wěn)定牢靠的傳輸到終端系統(tǒng)，同時，還要協(xié)調全網的數據流量和訪問策略，在供給信息效勞的同時，保證網絡中心自身的安全。在網絡的牢靠性和穩(wěn)定性保障方面，網絡核心設計承受1臺十萬兆核心交換機,在核心交換機中承受關鍵模塊冗余設計〔如雙電源冗余等〕.萬兆鏈路連接，供給高速通道。IPIP處理和熱插拔，是醫(yī)院核心交換機的抱負選擇。同時配置有防火墻業(yè)務插卡和入侵檢測業(yè)務插卡，報障網絡運行的安全性。接入設備選擇由于也是承受千兆桌面，選擇標準如內網接入設備選擇說明。設備網設備網網絡拓撲：網絡中多個監(jiān)控點同時發(fā)起視頻信號和其他各種數據傳輸時，往往會對網絡帶寬帶來壓力，特別是大二層環(huán)境下的核心設備，所以此網絡對核心設備的要求極高。設備網核心設備選擇：與內網網核心設備選擇一樣，銳捷網絡的數據中心高性能高密度多業(yè)務IPv6RG-S86002構成一個環(huán)路架構，這樣即使其中一條鏈路斷線或一個主干交換機發(fā)生故障，都能在用戶覺察不到的極短的時間內啟用備份恢復數據傳遞，從而保證網絡系統(tǒng)的高牢靠性、穩(wěn)VSU，50200接入設備選擇：接入設備的選擇主要考慮視頻監(jiān)控傳輸的性能問題，此次設計也全部承受全千兆接CPUCPUCPU時的穩(wěn)定性。4.34.3關鍵技術點萬兆網絡技術10GTB100G40G和高速率及網絡擴展的要求。平面無堵塞交換架構，充分滿足醫(yī)院數據中心應用及將來進展需要。一的流量，典型的如搜尋引擎應用、hadoopTCP傳輸效率大幅降低。我們可以承受大容量的緩存，類似蓄水池的功能，緩存瞬時的突發(fā)TCP3G/6G分布式緩存能緩沖更大的突發(fā)業(yè)務流量，增加數據中心持續(xù)業(yè)務力量，吸附數據中心與核心網突發(fā)流量，尤其適應將來云計算網絡中的搜尋等各種突發(fā)性業(yè)務。虛擬化技術接凌亂，常常消滅冗余鏈路連接錯誤，使得網絡中消滅環(huán)路，不得不配置MSTPBPDU拓撲振蕩，影響網絡的正常運行；數據中心交換通常承受雙機熱備，但是故障恢復時間一般在秒級。如VRRP協(xié)議，狀態(tài)為master的交換機發(fā)生故障，處于backup狀態(tài)的交換3master，可是由于醫(yī)療數據傳輸具有很強的敏23LIS、電子病歷EMR〕等系統(tǒng)需要重登陸，使得正在操作數據喪失導致返工；和傳統(tǒng)網絡相比，虛擬化技術的優(yōu)勢有：簡化治理：兩臺交換機組成虛擬化以后，治理員可以對兩臺交換機統(tǒng)一治理，而不需要連接到兩臺交換機分別進展配置和治理。簡化網絡拓撲：虛擬化設備在網絡中相當于一臺交換機，通過聚合鏈路和外圍設機運行的，例如單播路由協(xié)議，VSU文的交互，縮短了路由收斂時間。故障恢復時間縮短到毫秒級：虛擬化和外圍設備通過聚合鏈路連接，假設其中一50200冗余備份：虛擬化和外圍設備通過聚合鏈路連接，既供給了冗余鏈路，又可以實現負載均衡，充分利用全部帶寬。網絡安全治理棄使用；為了掌握終端，買了桌面治理軟件，卻不能解決桌面治理軟件被卸載的問題；為了保證數據安全，買了數據庫審計設備，卻由于一臺電腦多人用，審計無法定位到人而功虧一簣……網絡安全建議：醫(yī)療網絡安全建設需要實現一下幾點：1、終端設備準入。依據終端設備的MACID的終端設備才能接入到網絡。支持異構網絡環(huán)境下的任何地點、任何方式下的接入安全準入掌握，如無線網絡、VPNUUUSB并口的開關狀態(tài)。3治理系統(tǒng)自動感知，并對客戶端發(fā)出警告，并可以選擇斷開該主機的網絡連接。而對于桌管軟件，假設被卸載或擔憂裝，同樣發(fā)出警告或斷開網絡連接。WindowsHIS機，掌握其鍵盤、鼠標，并監(jiān)視其顯示畫面，快速遠程處理故障，而不需要去現場，大大削減工作量。登錄到網絡。非法人員無法登錄網絡。而不是可以訪問任意整個網絡。支持內網訪問和外網訪問進展規(guī)律隔離的功能。8IDS〔如對該用戶進展安全掌握。9、數據庫審計掌握。真正做到事前威懾、事中監(jiān)管、事后定責的效果。等級保護建設技術體系設計5.1 5.1 物理安全設計機房選址建筑物的高層或地下室，以及用水設備的下層或隔壁。機房治理機房出入口安排專人值守，掌握、鑒別和記錄進入的人員；需進入機房的來訪人員須經過申請和審批流程，并限制和監(jiān)控其活動范圍。付或安裝等過渡區(qū)域；重要區(qū)域應配置電子門禁系統(tǒng)，掌握、鑒別和記錄進入的人員。機房環(huán)境使用阻燃材料，耐火等級符合國家相關標準規(guī)定。機房門大小應滿足系統(tǒng)設備安裝時運輸需要。機房墻壁及天花板應進展外表處理，防止塵埃脫落，機房應安裝防靜電活動地板。別安裝，且相隔肯定的距離；機房設置火災自動消防系統(tǒng)，能夠自動檢測火情、自動報警，并自動滅火；機房及相關的工作房間和關心房應承受具有耐火等級的建筑材料；機房應實行區(qū)域隔離防火措施，將重要設備與其他設備隔離開。配備空調系統(tǒng)，以保持房間恒濕、恒溫的工作環(huán)境；在機房供電線路上配置穩(wěn)壓器和過電壓防護設備；供給短期鋪設，避開相互干擾。對關鍵設備和磁介質實施電磁屏蔽。設備與介質治理和主機系統(tǒng)、破壞網絡中的數據的完整性和可用性，必需承受有效的區(qū)域監(jiān)控、防盜報警系統(tǒng)，阻擋非法用戶的各種接近攻擊。此外，必需制定嚴格的出入治理制度和環(huán)境監(jiān)掌握度，以保障區(qū)域監(jiān)控系統(tǒng)和環(huán)境監(jiān)控系統(tǒng)的有效運行。對介質進展分類標識，存儲在介質庫或檔案室中。利用光、電等技術設置機房防盜報警系統(tǒng)；對機房設置監(jiān)控報警系統(tǒng)。5.2 5.2 計算環(huán)境安全設計身份鑒別RG-SMP2.X安全：構造安全、訪問掌握、安全審計、邊界完整性檢查、網絡設備防護，其中還有主機安全：身份鑒別、訪問掌握、安全審計、資源掌握應用安全：身份鑒別、訪問掌握、安全審計、抗抵賴防范、安全大事處置主機身份鑒別固措施，包括：性。38位并定期更換；出等措施。遠程治理時應啟用SSH等治理方式，加密治理數據，防止被網絡竊聽。USBkey+密碼進展身份鑒別應用身份鑒別為提高應用系統(tǒng)系統(tǒng)安全性應用系統(tǒng)需要進展一系列的加固措施，包括：對登錄用戶進展身份標識和鑒別，且保證用戶名的唯一性。依據根本要求配置用戶名/口令，必需具備肯定的簡單度；口令必需具備承受38出等措施。用效果要到達以上要求。訪問掌握安全策略掌握范圍內，使用戶對自己創(chuàng)立的客體具有各種訪問操作權限，并能將這些權限的局部或全部授予其他用戶；自主訪問掌握主體的粒度應為用戶級，客體的粒度應為訪問掌握實現：在對安全治理員進展嚴格的身份鑒別和權限掌握根底上，由安全治理員通過特定操作界面對主、客體進展安全標記；應按安全標記和強制訪問掌握規(guī)章，對確定主體訪問客體的操作進展掌握；強制訪問掌握主體的粒度應為用戶級，客體的粒度應為文件或數據庫表級。的措施主要包括：啟用訪問掌握功能：制定嚴格的訪問掌握安全策略，依據策略掌握用戶對應用系件或數據庫表級。權限掌握：對于制定的訪問掌握規(guī)章要能清楚的掩蓋資源訪問相關的主體、客體避開授權范圍過大，并在它們之間形成相互制約的關系。賬號治理：嚴格限制默認賬戶的訪問權限，重命名默認賬戶，修改默認口令；及時刪除多余的、過期的賬戶，避開共享賬戶的存在。增加改造，且使用效果要到達以上要求。系統(tǒng)安全審計主機審計：審計和系統(tǒng)治理等功能。法外聯(lián)監(jiān)控、計算機用戶賬號監(jiān)控等。IP效勞與進程審計等。審計范圍掩蓋到效勞器上的每個操作系統(tǒng)用戶和數據庫用戶；內容包括重要用戶行為、系統(tǒng)資源的特別使用和重要系統(tǒng)命令的使用等系統(tǒng)內重要的安全相關大事；審計記錄包括大事的日期、時間、類型、主體標識、客體標識和結果等；保護審計記錄，避開受到未預期的刪除、修改或掩蓋等。同時，依據記錄的數據進展統(tǒng)計分析，生成具體的審計報表，代理升級治理、計算機注冊治理、實時報警、歷史信息查詢、統(tǒng)計與報表等。應用審計：能應與應用系統(tǒng)統(tǒng)一開發(fā)。結果等，并保護好審計結果，阻擋非法刪除、修改或掩蓋審計記錄。同時能夠對記錄數據進展統(tǒng)計、查詢、分析及生成審計報表。戶，從而把握數據庫系統(tǒng)的整體安全。用效果要到達以上要求。RG-DBS應用安全，包括安全審計、抗抵賴等功能。入侵防范此次入侵防范承受入侵防范檢測系統(tǒng)RG-IDP2023S，可實現主機安全，具體包括入侵防范、惡意代碼防范等。針對入侵防范主要表達在主機及網絡兩個層面。針對主機的入侵防范，可以從多個角度進展處理：入侵檢測系統(tǒng)可以起到防范針對主機的入侵行為；部署漏洞掃描進展系統(tǒng)安全性檢測；部署終端安全治理系統(tǒng)，開啟補丁分發(fā)功能模塊準時進展系統(tǒng)補丁升級；效勞等；另外依據系統(tǒng)類型進展其它安全配置的加固處理。有敏感數據需要保護的網絡上，通過實時偵聽網絡數據流，查找網絡違規(guī)模式和未授權在這些區(qū)域的交換機上部署入侵檢測系統(tǒng)，監(jiān)視并記錄網絡中的全部訪問行為和操作，有效防止非法操作和惡意攻擊。同時，入侵檢測系統(tǒng)還可以形象地重現操作的過程，可幫助安全治理員覺察網絡安全的隱患。測系統(tǒng)作為網絡安全體系的其次道防線，對在防火墻系統(tǒng)阻斷攻擊失敗時，可以最大限火墻、內網安全治理軟件等〕進展聯(lián)動。主機惡意代碼防范RG-WALL1600-XA護與隔離功能，協(xié)作銳捷應用安全域解決方案，能夠實現基于用戶的訪問掌握治理、安全大事聯(lián)動處理。使路由器、三層交換機、防火墻等網關設備性能急速下降，并且占用整個網絡帶寬。終端主機和效勞器上部署網絡防病毒系統(tǒng)，加強終端主機的病毒防護力量并準時升級惡意代碼軟件版本以及惡意代碼庫。XX防病毒策略，在XX級升級效勞器，由治理中心升級效勞器通過互聯(lián)網或手工方式獲得最的病毒特征庫，分發(fā)到數據中心節(jié)點的各個終端，并下發(fā)到各二級效勞器。在網絡邊界通過防火墻進展基于通信端口、帶寬、連接數量的過濾掌握，可以在肯定程度上避開蠕蟲病毒爆發(fā)時的大流量沖擊。同時，防毒系統(tǒng)可以為安全治理平臺供給關于病毒威逼和大事的監(jiān)控、審計日志，為全網的病毒防護治理供給必要的信息。軟件容錯軟件容錯的主要目的是供給足夠的冗余信息和算法程序,使系統(tǒng)在實際運行時能夠準時覺察程序設計錯誤,實行補救措施,以提高軟件牢靠性,保證整個計算機系統(tǒng)的正常運行。因此在應用系統(tǒng)軟件設計時要充分考慮軟件容錯設計，包括：長度符合系統(tǒng)設定要求；能夠進展恢復。數據完整性與保密性1600E-VX效勞，以及對應用系統(tǒng)訪問流量的數據加密防護。能夠協(xié)作銳捷應用安全域實現內外網用戶身份統(tǒng)一認證、權限統(tǒng)一下發(fā)。目前，XX市人民醫(yī)院信息系統(tǒng)中傳輸的信息主要是重要的業(yè)務數據和辦公文檔，對信息完整性校驗提出了肯定的需求，特別是通過公網遠程接入內網傳遞數據的私密性有IDPECVPN適用于不同的應用場景，可協(xié)作使用。SSLSecureSocketsLaye協(xié)議〔如、Telenet、NMTP和FTP等〕和TCP/IP協(xié)議之間供給數據安全性分層的機SSLIPSec無明顯差異。SSLVPNSSL/SWeb上都有，不用額外的軟件實現。使用SSLVPN，在移動用戶和內部資源之間的連接通過應用層的Web連接實現，而不是像IPSecVPNSSL對移動用戶是抱負的技術，由于：SSLSSLSSLSSLVPNSSLVPNIEIESSLVPN經過用戶認證后即可依據安排給該用戶的相應策略進展相關業(yè)務系統(tǒng)的訪問。備份與恢復設備、線路以及效勞器等硬件設備的冗余。味著不準確的事務處理。牢靠的系統(tǒng)要求能馬問準確信息。將綜合存儲戰(zhàn)略作為計算機信息系統(tǒng)根底設施的一局部實施不再是一種選擇，而已成為必定的趨勢。其中包括聯(lián)機備份應用系統(tǒng)和數據文件，先進的設備和介質治理，快速、順當的災難恢復以及對光纖通道存儲區(qū)域網〔SAN〕的支持等。本地完全數據備份至少每天一次，且備份介質需要場外存放。從網絡構造、硬件配置上滿足不連續(xù)系統(tǒng)運行的需要。資源掌握會消滅資源耗盡、效勞質量下降甚至效勞中斷等后果。通過對應用系統(tǒng)進展開發(fā)或配置來到達掌握的目標，包括：會話自動完畢：當應用系統(tǒng)的通信雙方中的一方在一段時間內未作任何響應，另一方應能夠準時檢測并自動完畢會話，釋放資源；會話限制：對應用系統(tǒng)的最大并發(fā)會話連接數進展限制，對一個時間段內可能的并發(fā)會話連接數進展限制，同時對單個帳戶的多重并發(fā)會話進展限制，設定相關閾值，保證系統(tǒng)可用性。登陸條件限制：通過設定終端接入方式、網絡地址范圍等條件限制終端登錄。超時鎖定：依據安全策略設置登錄終端的操作超時鎖定。用戶可用資源閾值：限制單個用戶對系統(tǒng)資源的最大或最小使用限度，保障正常合理的資源占用。對重要效勞器的資源進展監(jiān)視，包括CPU、硬盤、內存等。對系統(tǒng)的效勞水平降低到預先規(guī)定的最小值進展檢測和報警。供給效勞優(yōu)先級設定功能，并在安裝后依據安全策略設定訪問帳戶或懇求進程的優(yōu)先級，依據優(yōu)先級安排系統(tǒng)資源。用效果要到達以上要求。客體安全重用統(tǒng)進展安全加固配置，使得操作系統(tǒng)和數據庫系統(tǒng)具備準時去除剩余信息的功能，從而保證用戶的鑒別信息、文件、名目、數據庫記錄等敏感信息所在的存儲空間〔內存、硬盤〕被準時釋放或再安排給其他用戶前得到完全去除?？沟仲嚰夹g，可以推斷數據的發(fā)送方是真實存在的用戶。數字簽名是不對稱加密算法的典型應用。數字簽名的應用過程是，數據源發(fā)送方使用自己的私鑰對數據校驗和或其他與數據內容有關的變量進展加密處理，完成對數據的合法“簽名法性同時，通過對簽名的驗證，可以推斷數據在傳輸過程中是否被更改。從而，可以實現數據的發(fā)送方不能對發(fā)送的數據進展抵賴，發(fā)送的數據是完整的，實現系統(tǒng)的抗抵賴性和完整性需求。PKIPKI供給身份鑒別和訪問掌握。5.3 5.3 區(qū)域邊界安全設計邊界訪問掌握產品，可以對全部流經防火墻的數據包依據嚴格的安全規(guī)章進展過濾，將全部擔憂全的或不符合安全規(guī)章的數據包屏蔽，杜絕越權訪問，防止各類非法攻擊行為。同時可以和內網安全治理系統(tǒng)、網絡入侵檢測系統(tǒng)等進展安全聯(lián)動，為網絡制造全面縱深的安全防范體系。在各安全域邊界部署防火墻產品，部署效果如下：網絡安全的根底屏障：由于只有經過細心選擇的應用協(xié)議才能通過防火墻，所以網絡環(huán)境變得更安全。防火墻IPICMP定向路徑。防火墻可以拒絕全部以上類型攻擊的報文并通知防火墻治理員。強化網絡安全策略〔如口令、加密、身份認證、審計等〕配置在防火墻上。與將網絡安全問題分散到各個主機上相比，防火墻的集中安全治理更經濟。例如在網絡訪問時，一次一密口令系統(tǒng)和其它的身份認證系統(tǒng)完全可以不必分散在各個主機上，而集中在防火墻一身上。對網絡存取和訪問進展監(jiān)控審計并供給網絡是否受到監(jiān)測和攻擊的具體信息。另外，收集一個網絡的使用和誤用狀況也是格外重要的。首先的理由是可以清楚防火墻是否能夠抵抗攻擊者的探測和攻擊，并且清楚防火墻的掌握是否充分。而網絡使用統(tǒng)計對網絡需求分析和威逼分析等而言也是格外重要的。防止內部信息的外泄Finger，DNS準確流量治理通過部署防火墻設備，不僅可以實現精準訪問掌握與邊界隔離防護，還能實現阻擋P2P現全面的邊界防護，嚴格掌握節(jié)點之間的網絡數據流。安全隔離問行為，需要對數據交換、傳輸協(xié)議、傳輸內容、安全決策等進展嚴格的檢查，以防止有互聯(lián)網引入風險。數據中心內部劃分了特地的互聯(lián)網效勞器安全域，將對外供給效勞DMZ防火墻進展嚴格的訪問掌握的設定，確保訪問身份的合法性。到互聯(lián)網業(yè)務效勞器的數據庫。網對自己部門業(yè)務效勞器的訪問。通過這種方式，可以為訪問供給更高的安全性保障。安全隔離網閘兩側網絡之間所TCP/IP在另外一端的主機系統(tǒng)上通過自身建立的安全會話進展最終的數據通信，即實現“協(xié)議了強制內容檢測，從而實現最高級別的安全。流量掌握通過局部或完全占據網絡資源，使得正常的業(yè)務訪問延遲或中斷。可能發(fā)生在互聯(lián)網效勞區(qū)安全邊界的特別流量，依據產生緣由的不同，大致可以分為兩類：攻擊流量、病毒流量。攻擊流量：是以拒絕效勞式攻擊〔DDOS〕為代表，他們主要來自于互聯(lián)網，攻擊的目標是互聯(lián)網效勞區(qū)安全域中的效勞系統(tǒng)。病毒流量：病毒流量可能源自數據中心內部或互聯(lián)網，主要是由蠕蟲病毒所引發(fā)，一旦內部主機感染病毒，病毒會自動的在網絡中查找漏洞主機并感染。互聯(lián)網中的大量蠕蟲病毒，也可能通過安全邊界，進入到數據中心網絡中來。播。流量掌握系統(tǒng)必需具備智能的流量分析力量、特征識別力量，具備大流量入侵時足夠的性能處理力量，可以為XX市人民醫(yī)院網絡系統(tǒng)實現：全面識別網絡應用流量使用協(xié)議檢測、協(xié)議解碼、特征簽名、行為檢測四種技術準確識別網絡上的每個應1100協(xié)議或是否承受加密以及隱蔽機制無關。全面識別網絡攻擊流量準確識別7大類、1600種以上高風險網絡攻擊流量，包括DDoS/DoS、緩存區(qū)溢出、掃描、木馬后門、蠕蟲病毒、Web攻擊等。全面掌握網絡應用流量制非關鍵應用帶寬，改善和保障整體網絡應用的效勞質量。全面清洗網絡攻擊流量能夠實時阻擋網絡掃描、蠕蟲病毒、木馬后門、DDoS/DoS、Web給用戶專業(yè)級流量凈化設備的效果。假設不能夠將占用或消耗網絡帶寬的攻擊流量或者給應用流量帶來巨大安全威逼的惡意流量清洗掉，關鍵應用流量的治理就得不到有效的保障。在有多條廣域網鏈路存在的狀況下，可以對每條廣域網鏈路設置不同的流量凈化策略。全面治理網絡應用行為在應用行為治理上，可以依據不同的時間、用戶群組來對IM、P2P、網絡玩耍、股票證券、非法隧道等下達嚴格的治理策略，杜確定不良網站和危急資源的訪問，防止對Internet全面的流量監(jiān)控與報表具有強大的流量實時監(jiān)控與報表分析力量。不同策略下網絡應用流量的監(jiān)控與分析報表包括應用流量分布、內部主機流量分布、外部主機流量分布、帶寬負載分布、連接流量攻擊的發(fā)生時間、嚴峻程度、處理方式、攻擊種類、源IP、目的IP、源端口、目的端口、協(xié)議等；對網絡攻擊流量的分析報表包括來源、目的、種類、威逼程度等的具體分析。邊界完整性檢查標。于訪問非信任網絡資源而引入安全風險或者導致信息泄密。終端非法外聯(lián)行為監(jiān)控記錄日志并產生報警信息。終端非法外聯(lián)行為治理可以制止終端與沒有通過系統(tǒng)授權許可的終端進展通信，制止撥號上網行為。邊界入侵防范擅特長理應用層數據。安全域進展嚴格的訪問掌握。鑒于以上對防火墻核心作用的分析，需要其他具備檢測型的混合攻擊和防護的力量的設備和防火墻協(xié)作，共同防范來自應用層到網絡層的多種攻擊類型，建立一整套的安全防護體系，進展多層次、多手段的檢測和防護。入侵防護就是安全防護體系中重要的一環(huán)，它能夠準時識別網絡中發(fā)生的入侵行為并實時報警并且進展有效攔截防護。IDP監(jiān)視和分析過程，并且執(zhí)行阻斷的硬件產品。IDP和應用協(xié)議進展檢測、對內容進展深度的檢測。阻斷來自內部的數據攻擊以及垃圾數據流的泛濫。構和處理引擎對處理力量進展充分保證。邊界安全審計〔上網行為治理〕邊界安全設計，主要考慮用戶上網行為的治理，此次承受上網行為治理和審計產品RG-UAC6000-XI，其可以對用戶訪問的網絡資源實施治理掌握，對訪問網絡的行為進展審計，并能夠協(xié)作銳捷應用安全域解決方案供給基于用戶身份的行為審計日志。在網絡安全方面可以做到網絡安全，包含訪問掌握，應用安全，包含抗抵賴。系統(tǒng)運維治理包括監(jiān)控治理和安全治理中心、網絡安全治理〔重要效勞器區(qū)域、外部連接邊界〕需要設置必要的審計機制，進展數據監(jiān)視機審計、應用審計、網絡審計等一起構成完整的、多層次的審計系統(tǒng)。網頁防篡改3000護、事后審計與恢復的防護力量。供給主機安全，入侵防范，安全治理機構：審核與檢查，系統(tǒng)運維治理：系統(tǒng)安全治理等。在XX市人民醫(yī)院外網數據中心的互聯(lián)網效勞器區(qū)對外供給Web效勞，Web應用的普WebWeb在XXwebWEB實時監(jiān)控，確保網站信息安全。一旦覺察網站信息被篡改之后，馬上通知監(jiān)控中心并快速主動和準時通知治理人員，做到防范于未然。XX市人民醫(yī)院外網互聯(lián)網效勞器區(qū)Web部署的主頁防篡改系統(tǒng)可以保障主要的WEB頁面信息的安全和準確性。全面的監(jiān)測和保障XXWeb黑客對網頁進展惡意篡改。通過網絡掃描網站的網頁，監(jiān)測網頁是否被修改，當覺察網頁被修改后，系統(tǒng)能夠自動報警和恢復。邊界惡意代碼防范〔防毒墻〕解決方案，以抵擋來自黑客和病毒的威逼。XX發(fā)生源安全邊界處進展集中防護，對夾雜在網絡交換數據中的各類網絡病毒進展過濾，P2P病毒進展全面的攔截。阻擋病毒通過網絡的快速集中，將經網絡傳播的病毒阻擋在外，〔防毒墻截斷了病毒通過網絡傳播的途徑，凈化了網絡流量。部署的防病毒網關應特別留意設備性能，產品必需具備良好的體系架構保證性能，能夠敏捷的進展網絡部署。同時為使得到達最正確防毒效果，防病毒網關設備和桌面防病毒軟件應為不同的廠家產品，兩類病毒防護產品共同組成XX防護體系。環(huán)境，需實行手動下載升級包的方式進展手動升級。5.4 5.4 通信網絡安全設計網絡構造安全網絡構造的安全是網絡安全的前提和根底，對于XX時需要考慮業(yè)務處理力量的頂峰數據流量，要考慮冗余空間滿足業(yè)務頂峰期需要；網絡各個局部的帶寬要保證接入網絡和核心網絡滿足業(yè)務頂峰期需要；依據業(yè)務系統(tǒng)效勞的重要次序定義帶寬安排的優(yōu)先級，在網絡擁堵時優(yōu)先保障重要主機；合理規(guī)劃路由，業(yè)務終端與業(yè)務效勞器之間建立安全路徑；繪制與當前運行狀況相符的網絡拓撲構造圖；VLAN。保存有重要業(yè)務系統(tǒng)及數據的重要網段不能直接與外部系統(tǒng)連接，需要和其他網段隔離，單獨劃分區(qū)域。網絡安全審計。的流量監(jiān)測并進展相應安全審計，同時和其它網絡安全設備共同為集中安全治理供給監(jiān)控數據用于分析及檢測。侵檢測、信息復原等網絡審計功能，依據記錄生成具體的審計報表。中的安全治理效勞器，集中對網絡特別、攻擊和病毒進展分析和檢測。網絡設備防護一系列的加固措施，包括：對登錄網絡設備的用戶進展身份鑒別，用戶名必需唯一；對網絡設備的治理員登錄地址進展限制；38位，并定期更換；連接超時自動退出等措施；啟用SSH等治理方式，加密治理數據，防止被網絡竊聽。USBkey+密碼進展身份鑒別，保證對網絡設備進展治理維護的合法性。通信完整性信息的完整性設計包括信息傳輸的完整性校驗以及信息存儲的完整性校驗。密碼校驗函數、散列函數、數字簽名等。SSLVPN據傳輸的數據完整性。對于信息存儲的完整性校驗應由應用系統(tǒng)和數據庫系統(tǒng)完成。通信保密性利用密碼技術進展會話初始化驗證；并對通信過程中的敏感信息字段進展加密。SSLVPN據傳輸的數據機密性。網絡可信接入與阻斷，形成網絡可信接入，共同維護邊界完整性。通過部署終端安全治理系統(tǒng)可以實現這一目標。IPIP地址等不法行為，準時阻擋IPXX在線主機監(jiān)測是經過系統(tǒng)授權認證的信任主機。主機授權認證可以通過在線主機是否安裝客戶端代理程序，并結合客戶端代理報告的主機補丁安證的主機使用網絡資源。非法主機網絡阻斷機不對網絡產生影響，無法有意或無意的對網絡攻擊或者試圖竊密。網絡白名單策略治理來過濾合法主機列表，快速實現合法主機列表的生成。同時允許治理員設置白名單例外列表，允許例外列表的主機擔憂裝客戶端但是仍舊授予網絡使用權限，并依據需要授予可以和其他授權認證過的主機通信的權限或者允許和任意主機通信的權限。IPMACIPMACIPMACIPMAC安全治理中心設計XX統(tǒng)的運行狀態(tài)、設備的運行狀況，統(tǒng)一部署安全策略，應進展安全治理中心的設計，依據要求，應在系統(tǒng)治理、審計治理和安全治理幾個大方面進展建設。要保障，是實現業(yè)務穩(wěn)定運行、長治久安的根底。通過安全治理中心的建設，真正實現安全技術層面和治理層面的結合，全面提升用戶網絡的信息安全保障力量。系統(tǒng)治理通過系統(tǒng)治理員對系統(tǒng)的資源和運行進展配置、掌握和治理，包括：用戶身份治理：統(tǒng)一治理系統(tǒng)用戶身份，依據業(yè)務上分工的不同，合理地把相關人員劃分為不同的用戶、系統(tǒng)治理員、安全治理員、審計治理員等。系統(tǒng)資源配置與監(jiān)控：CPU庫的空間、數據庫日志空間、SWAP系統(tǒng)加載和啟動：進展系統(tǒng)啟動初始化治理，保障系統(tǒng)的正常加載和啟動。系統(tǒng)運行的特別監(jiān)控：攻擊。數據備份與恢復：惡意代碼防范治理：升級；定制統(tǒng)一客戶端策略并強制執(zhí)行；進展集中病毒報警等。系統(tǒng)補丁治理：過，并對重要文件進展備份后，方可實施系統(tǒng)補丁程序的安裝。系統(tǒng)治理員身份認證與審計：操作，并對這些操作進展審計。審計治理并只允許其通過特定的命令或界面進展安