2024大型醫(yī)院信息系統(tǒng)安全建設(shè)方案

PAGE大型醫(yī)院信息系統(tǒng)安全建設(shè)方案TIME\@"yyyy年M月"2024年4月第PAGEII頁/共181頁目錄1 方案概述 51.1 背景 51.2 方案設(shè)計目標 61.3 方案設(shè)計原則 71.3.1木桶原則 71.3.2整體性原則 71.3.3安全性評價與平衡原則 71.3.4標準化與一致性原則 71.3.4技術(shù)與管理相結(jié)合原則 81.3.5等級性原則 81.3.6統(tǒng)籌規(guī)劃，分布實施原則 81.3.7動態(tài)發(fā)展原則 81.3.8易操作性原則 81.4 方案設(shè)計依據(jù) 82 現(xiàn)狀分析 112.1 網(wǎng)絡(luò)架構(gòu)描述 112.2 核心信息系統(tǒng)情況 112.3 安全技術(shù)現(xiàn)狀 132.3.1物理安全現(xiàn)狀 132.3.2網(wǎng)絡(luò)安全現(xiàn)狀： 132.3.3主機安全現(xiàn)狀： 132.3.4應(yīng)用安全現(xiàn)狀： 132.3.5備份恢復(fù)現(xiàn)狀： 132.3.6安全管理現(xiàn)狀 133 安全需求分析 153.1 國家政策需求分析 153.2 安全指標與需求分析 154 安全建設(shè)規(guī)劃方案 174.1 總體部署說明 174.2 邊界訪問控制解決方案 194.2.1 需求分析 194.2.2 方案設(shè)計 204.2.3 方案效果 214.3 邊界入侵防御解決方案 234.3.1 需求分析 234.3.2 方案設(shè)計 244.3.3 方案效果 274.4 網(wǎng)絡(luò)安全審計解決方案 284.4.1 需求分析 284.4.2 方案設(shè)計 294.4.3 方案效果 344.5 WAF解決方案 384.5.1 需求分析 384.5.2 方案設(shè)計 394.5.3 方案效果 404.6 運維審計系統(tǒng) 424.6.1 需求分析 424.6.2 方案設(shè)計 424.6.3 方案效果 444.7 抗DDOS攻擊系統(tǒng) 484.7.1 需求分析 484.7.2 方案設(shè)計 494.7.3 方案效果 544.8 數(shù)據(jù)庫審計安全加固解決方案 554.8.1 需求分析 554.8.2 方案設(shè)計 554.8.3 方案效果 574.9 安全管理中心解決方案 584.9.1 需求分析 584.9.2 方案設(shè)計 594.9.3 方案效果 744.10 網(wǎng)關(guān)防病毒解決方案 764.10.1 需求分析 764.10.2 方案設(shè)計 774.10.3 方案效果 784.12 IP地址管理解決方案 784.12.1需求分析 784.12.2方案設(shè)計 794.12.3 方案效果 815 信息安全專業(yè)服務(wù) 815.1 等保測評 815.1.1等保測評概述 815.1.2測評標準依據(jù) 825.1.3項目實施原則 845.1.4等保測評工作內(nèi)容 855.1.5等級保護工作流程 855.1.6系統(tǒng)定級備案 86工作目標 86定級方法 86工作內(nèi)容 91關(guān)鍵交付成果 925.1.7等級保護差距分析 92工作目標 92工作內(nèi)容 93關(guān)鍵交付成果 945.1.8等級保護建設(shè)整改 945.1.9等級保護測評流程 945.2 信息安全風險評估 120評估流程 123評估準備階段 127資產(chǎn)識別與分析 129二次評估 160風險處置與應(yīng)對 1605.3 滲透測試實施服務(wù) 162測試路徑 167測試技術(shù) 168測試工具 170測試成果 172關(guān)鍵交付成果 1736 方案安全產(chǎn)品清單 1737 詳細產(chǎn)品參數(shù) 174方案概述背景醫(yī)院是一個信息和技術(shù)密集型的行業(yè)，其計算機網(wǎng)絡(luò)是一個完善的辦公網(wǎng)絡(luò)系統(tǒng)，作為一個現(xiàn)代化的醫(yī)療機構(gòu)網(wǎng)絡(luò),除了要滿足高效的內(nèi)部自動化辦公需求以外,還應(yīng)對外界的通訊保證暢通。結(jié)合醫(yī)院復(fù)雜的HIS、RIS、PACS等應(yīng)用系統(tǒng)，要求網(wǎng)絡(luò)必須能夠滿足數(shù)據(jù)、語音、圖像等綜合業(yè)務(wù)的傳輸要求，所以在這樣的網(wǎng)絡(luò)上應(yīng)運用多種高性能設(shè)備和先進技術(shù)來保證系統(tǒng)的正常運作和穩(wěn)定的效率。同時醫(yī)院的網(wǎng)絡(luò)系統(tǒng)連接著Internet、醫(yī)保網(wǎng)和高校等，訪問人員比較復(fù)雜，所以如何保證醫(yī)院網(wǎng)絡(luò)系統(tǒng)中的數(shù)據(jù)安全問題尤為重要。在日新月異的現(xiàn)代化社會進程中，計算機網(wǎng)絡(luò)幾乎延伸到了世界每一個角落，它不停的改變著我們的工作生活方式和思維方式，但是，計算機信息網(wǎng)絡(luò)安全的脆弱性和易受攻擊性是不容忽視的。由于網(wǎng)絡(luò)設(shè)備、計算機操作系統(tǒng)、網(wǎng)絡(luò)協(xié)議等安全技術(shù)上的漏洞和管理體制上的不嚴密，都會使計算機網(wǎng)絡(luò)受到威脅。我們可以想象一下，對于一個需要高速信息傳達的現(xiàn)代化醫(yī)院，如果遭到致命攻擊，會給社會造成多大的影響。為了保障我國關(guān)鍵基礎(chǔ)設(shè)施和信息的安全，結(jié)合我國的基本國情，制定了等級保護制度。并將等級保護制度作為國家信息安全保障工作的基本制度、基本國策，促進信息化、維護國家信息安全的根本保障。而針對醫(yī)療衛(wèi)生行業(yè)，衛(wèi)生部于2011年11月分別發(fā)布《衛(wèi)生部辦公廳關(guān)于全面開展衛(wèi)生行業(yè)信息安全等級保護工作的通知》（衛(wèi)辦綜函〔2011〕1126號），衛(wèi)生部關(guān)于印發(fā)《衛(wèi)生行業(yè)信息安全等級保護工作的指導(dǎo)意見》的通知（衛(wèi)辦發(fā)〔2011〕85號），85號文規(guī)定了主要工作內(nèi)容：1.定級備案（規(guī)定了定級范圍及級別）2.建設(shè)與整改（規(guī)定了二級（含）以上系統(tǒng)需進行差距分析與整改）3.等級測評（規(guī)定了三級（含）以上需進行等保測評）4.宣傳培訓(xùn)（規(guī)定了各類衛(wèi)生機構(gòu)需進行信息安全培訓(xùn)，提高安全意識）5.監(jiān)督檢查（規(guī)定了信息化工作領(lǐng)導(dǎo)小組對各醫(yī)療機構(gòu)等級保護工作進行督導(dǎo)）全面開展等級保護建設(shè)，對醫(yī)院特別是三級甲等醫(yī)院的信息化建設(shè)提出了更高的要求，其核心業(yè)務(wù)信息系統(tǒng)的建設(shè)應(yīng)按照不低于等級保護三級的標準進行。方案設(shè)計目標本次安全建設(shè)的主要目標是：按照等級保護要求，結(jié)合實際業(yè)務(wù)系統(tǒng)，對核心業(yè)務(wù)系統(tǒng)進行充分調(diào)研及詳細分析，將醫(yī)院核心業(yè)務(wù)系統(tǒng)系統(tǒng)建設(shè)成為一個及滿足業(yè)務(wù)需要，又符合等級保護三級系統(tǒng)要求的業(yè)務(wù)平臺。建設(shè)一套符合國家政策要求、覆蓋全面、重點突出、持續(xù)運行的信息安全保障體系，達到國內(nèi)一流的信息安全保障水平，支撐和保障信息系統(tǒng)和業(yè)務(wù)的安全穩(wěn)定運行。該體系覆蓋信息系統(tǒng)安全所要求的各項內(nèi)容，符合信息系統(tǒng)的業(yè)務(wù)特性和發(fā)展戰(zhàn)略，滿足信息安全要求。方案設(shè)計原則我公司在安全咨詢、安全規(guī)劃、總體信息安全和網(wǎng)絡(luò)安全規(guī)劃建設(shè)方面具有豐富的經(jīng)驗，曾多次設(shè)計過國家級、省級核心信息系統(tǒng)安全規(guī)劃方案，如中共中央辦公廳骨干網(wǎng)絡(luò)安全保障項目、國務(wù)院辦公廳信息安全防護整體解決方案，以及省級各個行業(yè)的總體安全解決方案。信息系統(tǒng)總體安全解決方案的設(shè)計原則，依據(jù)國際信息安全專家、網(wǎng)絡(luò)安全專家、中國科學院院士等人共同研討的9大原則進行設(shè)計：1.3.1木桶原則木桶的最大容積取決于最短的一塊木板攻擊者使用的“最易滲透原則”，必然在系統(tǒng)中最薄弱的地方進行攻擊要提高整個系統(tǒng)的“安全最低點”的安全性能1.3.2整體性原則在發(fā)生被攻擊、破壞事件的情況下，必須盡可能地快速恢復(fù)網(wǎng)絡(luò)信息中心的服務(wù)，減少損失。因此，信息安全系統(tǒng)應(yīng)包括安全防護機制、安全監(jiān)測機制和安全恢復(fù)機制，從整體性考慮信息安全保障問題。1.3.3安全性評價與平衡原則建立合理的實用安全性與用戶需求評價與平衡體系；正確處理需求、風險與代價的關(guān)系；評價信息是否安全，沒有絕對的評判標準和衡量指標，只能決定于系統(tǒng)的用戶需求和具體的應(yīng)用環(huán)境，具體取決于系統(tǒng)的規(guī)模和范圍，系統(tǒng)的性質(zhì)和信息的重要程度。1.3.4標準化與一致性原則安全規(guī)劃設(shè)計必須遵循一系列的標準，這樣才能確保各個分系統(tǒng)的一致性，使整個系統(tǒng)安全地互聯(lián)互通、信息共享。1.3.4技術(shù)與管理相結(jié)合原則安全體系是一個復(fù)雜的系統(tǒng)工程，涉及人、技術(shù)、操作等要素，單靠技術(shù)或單靠管理都不可能實現(xiàn)。因此，必須將各種安全技術(shù)與運行管理機制、人員思想教育與技術(shù)培訓(xùn)、安全規(guī)章制度建設(shè)相結(jié)合。1.3.5等級性原則等級性原則是指安全層次和安全級別；對網(wǎng)絡(luò)安全程度分級（安全子網(wǎng)和安全區(qū)域），對系統(tǒng)實現(xiàn)結(jié)構(gòu)的分級（應(yīng)用層、網(wǎng)絡(luò)層、鏈路層等），從而針對不同級別的安全對象，提供全面、可選的安全算法和安全體制，以滿足網(wǎng)絡(luò)中不同層次的各種實際需求。1.3.6統(tǒng)籌規(guī)劃，分布實施原則安全防護不可能一步到位；在一個比較全面的安全規(guī)劃下，根據(jù)網(wǎng)絡(luò)的實際需要，先建立基本的安全體系，保證基本的、必須的安全性。1.3.7動態(tài)發(fā)展原則要根據(jù)網(wǎng)絡(luò)安全的變化不斷調(diào)整安全措施，適應(yīng)新的網(wǎng)絡(luò)環(huán)境，滿足新的網(wǎng)絡(luò)安全需求；規(guī)劃網(wǎng)絡(luò)與信息安全的可擴展性，嘗試應(yīng)用新的安全技術(shù)。1.3.8易操作性原則首先，安全措施需要人為去完成，如果措施過于復(fù)雜，對人的要求過高，本身就降低了安全性。其次，措施的采用不能影響系統(tǒng)的正常運行。安全措施的采用要合理。方案設(shè)計依據(jù)本方案的設(shè)計主要依據(jù)以下等級保護政策：公安部、國家保密局、國際密碼管理局、國務(wù)院信息化工作辦公室聯(lián)合轉(zhuǎn)發(fā)的《關(guān)于信息安全等級保護工作的實施意見》（公通字〔2004〕66號）公安部、國家保密局、國家密碼管理局、國務(wù)院信息化工作辦公室制定的《信息安全等級保護管理辦法》（公通字〔2007〕43號）公安部頒發(fā)的《關(guān)于開展信息安全等級保護安全建設(shè)整改工作的指導(dǎo)意見》(公信安〔2009〕1429號)公安部《關(guān)于推動信息安全等級保護測評體系建設(shè)和開展等級測評工作的通知》（公信安〔2010〕303號）本方案的設(shè)計主要依據(jù)如下等級保護標準：《信息安全技術(shù)信息系統(tǒng)安全等級保護基本要求》（GB/T22239-2008）《信息安全技術(shù)信息系統(tǒng)等級保護安全設(shè)計技術(shù)要求》(GB/T25070-2010)本方案還參考了如下一些政策和標準：《信息安全技術(shù)信息系統(tǒng)安全等級保護定級指南》(GB/T22240-2008)《信息安全技術(shù)信息系統(tǒng)安全等級保護實施指南》《信息安全技術(shù)信息系統(tǒng)安全等級保護測評要求》《信息安全技術(shù)信息系統(tǒng)安全等級保護測評過程指南》《計算機信息系統(tǒng)安全保護等級劃分準則》（GB17859-1999）《信息安全技術(shù)信息系統(tǒng)通用安全技術(shù)要求》（GB/T20271-2006）《信息安全技術(shù)網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求》（GB/T20270-2006）《信息安全技術(shù)操作系統(tǒng)安全技術(shù)要求》（GB/T20272-2006）《信息安全技術(shù)數(shù)據(jù)庫管理系統(tǒng)安全技術(shù)要求》（GB/T20273-2006）《信息安全技術(shù)服務(wù)器技術(shù)要求》（GB/T21028-2007）《信息安全技術(shù)終端計算機系統(tǒng)安全等級技術(shù)要求》（GA/T671-2006）《信息安全技術(shù)信息系統(tǒng)安全管理要求》（GB/T20269-2006）《信息安全技術(shù)信息系統(tǒng)安全工程管理要求》（GB/T20282-2006）GB/T22080-2008/ISO/IEC27001:2005《信息技術(shù)安全技術(shù)信息安全管理體系要求》IATF《信息保障技術(shù)框架》

現(xiàn)狀分析網(wǎng)絡(luò)架構(gòu)描述網(wǎng)絡(luò)架構(gòu)主要由終端安全域、安全設(shè)備運維區(qū)、互聯(lián)網(wǎng)DMZ區(qū)、業(yè)務(wù)服務(wù)器區(qū)等安全域構(gòu)成。通過對醫(yī)院現(xiàn)有結(jié)構(gòu)進行了解和分析，可以看出醫(yī)院網(wǎng)絡(luò)大致可以分為業(yè)務(wù)內(nèi)網(wǎng)和辦公外網(wǎng)，業(yè)務(wù)網(wǎng)絡(luò)采用三層網(wǎng)絡(luò)結(jié)構(gòu)，通過核心交換機將醫(yī)院各科室進行互聯(lián)。并在業(yè)務(wù)網(wǎng)絡(luò)單獨設(shè)立和一個內(nèi)部核心業(yè)務(wù)應(yīng)用服務(wù)器區(qū)域，包含HIS系統(tǒng)、RIS系統(tǒng)、PACS系統(tǒng)和檔案管理系統(tǒng)等應(yīng)用服務(wù)器。外部辦公網(wǎng)絡(luò)大致可以劃分為辦公網(wǎng)和DMZ區(qū)域，在外部網(wǎng)絡(luò)的互聯(lián)網(wǎng)邊界通過防火墻進行邊界的隔離和劃分DMZ區(qū)域，通過在外網(wǎng)的防火墻上做NAT和PAT對外發(fā)布統(tǒng)計醫(yī)院DMZ區(qū)域的應(yīng)用。系統(tǒng)使用的安全產(chǎn)品清單：序號設(shè)備名稱品牌型號數(shù)量1防火墻山石1臺2上網(wǎng)行為管理深信服1臺3網(wǎng)絡(luò)版殺毒軟件360擎天版1套4終端安全管理系統(tǒng)北信源1套方案從保護用戶投資的角度考慮，對于用戶原有的安全產(chǎn)品能使用的繼續(xù)使用。核心信息系統(tǒng)情況核心業(yè)務(wù)系統(tǒng)是醫(yī)院信息系統(tǒng)（HospitalInformationSystem，HIS）和電子病歷系統(tǒng)(ElectronicMedicalRecord,EMR)。HIS系統(tǒng)是基于計算機網(wǎng)絡(luò)、按照一定的應(yīng)用目標和規(guī)則對醫(yī)院臨床及管理業(yè)務(wù)信息進行采集、加工、存儲、傳輸、檢索和服務(wù)的人機系統(tǒng)。整個網(wǎng)絡(luò)主干千兆，百兆到桌面，為兩層星型結(jié)構(gòu)。該系統(tǒng)承載著全院人、財、物的行政管理和有關(guān)門、急診病人及住院病人的醫(yī)療事務(wù)處理業(yè)務(wù)，主要包括門診掛號、電子醫(yī)囑和處方、計價收費、藥房藥庫管理、住院病人管理、檢驗檢查信息管理、病案管理、衛(wèi)生統(tǒng)計、物資和固定資產(chǎn)管理等二十幾個緊密耦合的子系統(tǒng)。各子系統(tǒng)必須協(xié)同運行，支持醫(yī)院臨床診療、科研教學、經(jīng)營決策等方方面面的日常業(yè)務(wù)與管理工作，是一體化的信息系統(tǒng)。電子病歷系統(tǒng)(ElectronicMedicalRecord,EMR)以服務(wù)臨床業(yè)務(wù)工作開展為核心，為全院醫(yī)務(wù)人員、業(yè)務(wù)管理人員、院級領(lǐng)導(dǎo)提供流程化、信息化、自動化、智能化的臨床業(yè)務(wù)綜合管理平臺。該系統(tǒng)基于.NET多層體系結(jié)構(gòu)開發(fā)平臺，采用集中式數(shù)據(jù)庫ORACLE10G、分布式數(shù)據(jù)庫ACCESS和XML技術(shù)相結(jié)合，完成臨床數(shù)據(jù)的錄入、傳輸、交換、存儲和處理。目前電子病歷系統(tǒng)的組織實施、管理維護、安全防護均由計算機中心管理。LIS系統(tǒng)（LaboratoryInformationManagementSystem），將實驗儀器與計算機相連，快速實現(xiàn)對病人樣品登錄、實驗數(shù)據(jù)存取、報告審核、打印分發(fā)等功能，實驗數(shù)據(jù)統(tǒng)計分析等繁雜的操作過程實現(xiàn)了智能化、自動化和規(guī)范化管理。有助于提高實驗室的整體管理水平，減少漏洞和誤操作，提高醫(yī)療檢驗質(zhì)量。該系統(tǒng)為醫(yī)療集團本部重要業(yè)務(wù)系統(tǒng)，具有最多的接入終端。PACS系統(tǒng)應(yīng)用在醫(yī)療集團本部影像科室的系統(tǒng)，把日常產(chǎn)生的各種醫(yī)學影像（包括核磁，CT，超聲，各種X光機，各種紅外儀、顯微儀等設(shè)備產(chǎn)生的圖像）通過各種接口（模擬，DICOM，網(wǎng)絡(luò)）以數(shù)字化的方式海量保存起來，當需要的時候在一定的授權(quán)下能夠很快的調(diào)回使用，同時增加一些輔助診斷管理功能，負責在各種影像設(shè)備間傳輸數(shù)據(jù)和組織存儲數(shù)據(jù)。該系統(tǒng)為醫(yī)療集團本部重要業(yè)務(wù)系統(tǒng)，需傳輸大量的影像視頻數(shù)據(jù)，對網(wǎng)絡(luò)帶寬有很高的要求。體檢系統(tǒng)以體檢信息為主線，健康指導(dǎo)為紐帶，通過規(guī)范體檢流程管理，合理安排體檢項目，通過網(wǎng)絡(luò)傳輸各種檢驗、檢查結(jié)果，減少中間環(huán)節(jié)，提高安全性和可靠性。體檢系統(tǒng)能夠提供規(guī)范的體檢結(jié)果報告，并能進行分析，使體檢報告更具科學性。體檢系統(tǒng)跟HIS系統(tǒng)、LIS系統(tǒng)、RIS系統(tǒng)做了接口連接保證了健康狀況資料連續(xù)性，能方便、快捷地進行逐年體檢情況追蹤，并體檢信息綜合分析，形成各項醫(yī)療統(tǒng)計報表，為體檢單位提供人員整體健康狀況分析。安全技術(shù)現(xiàn)狀2.3.1物理安全現(xiàn)狀的信息機房位于本部，機房建設(shè)時間較早，在建設(shè)初期，國家相關(guān)的法規(guī)和標準不夠健全，故在機房選址和基本的物理安全方面缺少對于相關(guān)安全要求的考慮，在機房選址、訪問控制、防盜防破壞、防火、防水和防潮、防靜電、溫濕度控制、電力供應(yīng)、電磁防護方面均有不同程度的安全隱患和防護建設(shè)需求。2.3.2網(wǎng)絡(luò)安全現(xiàn)狀：信息系統(tǒng)采用百兆到桌面，千兆到交換，萬兆到服務(wù)器的方式建立TCP/IP網(wǎng)絡(luò)架構(gòu)，在傳統(tǒng)的接入-匯聚-核心三層架構(gòu)上，將重要服務(wù)器以及HIS、LIS、PACS等應(yīng)用系統(tǒng)放置在服務(wù)器區(qū)，但全網(wǎng)安全設(shè)備缺乏，整個信息系統(tǒng)網(wǎng)絡(luò)架構(gòu)中僅部署了一臺防火墻，沒有其他安全防護措施，網(wǎng)絡(luò)訪問主要通過交換機ACL控制。2.3.3主機安全現(xiàn)狀：主機系統(tǒng)主要采用windows2003、windows2008、windows7的微軟操作系統(tǒng)和AIX操作系統(tǒng)，所有的操作系統(tǒng)的配置均使用默認的缺省配置，未進行危險配置項的規(guī)避操作和系統(tǒng)漏洞的升級和加固工作。2.3.4應(yīng)用安全現(xiàn)狀：應(yīng)用系統(tǒng)多為CS架構(gòu)，系統(tǒng)設(shè)計開發(fā)之初并未充分考慮系統(tǒng)的安全需求和相關(guān)的合規(guī)性要求，系統(tǒng)建設(shè)和開發(fā)主要以實現(xiàn)功能性需求為主導(dǎo)目標，各應(yīng)用系統(tǒng)的分角色分權(quán)限管理和強身份認證幾乎均為空白。2.3.5備份恢復(fù)現(xiàn)狀：所有的信息系統(tǒng)審計日志和運行日志均沒有備份機制，核心業(yè)務(wù)系統(tǒng)的數(shù)據(jù)庫可以做到同城異地備份，但對于數(shù)據(jù)的備份沒有校驗機制，對于已經(jīng)備份的數(shù)據(jù)沒有恢復(fù)測試機制。2.3.6安全管理現(xiàn)狀根據(jù)與醫(yī)院溝通和調(diào)查，醫(yī)療集團本部現(xiàn)有安全管理制度如下：序號文檔名稱主要內(nèi)容1機房管理制度機房出入登記，相關(guān)配置變更記錄，機房設(shè)備管理。2安全管理制度設(shè)備安全操作和流程規(guī)定，防盜竊、防破壞。3技術(shù)管理制度軟件更新升級，技術(shù)開發(fā)工作管理。4數(shù)據(jù)庫備份制度數(shù)據(jù)庫備份時間，備份方式及操作人員。5技術(shù)部崗位職責針對技術(shù)部所有崗位職責要求，主要為技術(shù)和管理人員約定職責范圍。6機房值班人員職責機房值班時間，人員安排。7介質(zhì)安全管理制度機房與辦公設(shè)備區(qū)的過期或者錯誤資料的介質(zhì)統(tǒng)一銷毀管理。8信息發(fā)布工作管理制度對內(nèi)對外的信息發(fā)布格式檢查，內(nèi)容校驗。9數(shù)據(jù)存儲和保管制度數(shù)據(jù)存儲器和服務(wù)器的管理制度。10服務(wù)器故障應(yīng)急處理規(guī)程服務(wù)器的熱備和冷備，以及故障時處理方案。11系統(tǒng)維護和應(yīng)急恢復(fù)制度服務(wù)器系統(tǒng)升級維護，以及服務(wù)器故障時的應(yīng)急方案。12客戶端系統(tǒng)安全管理制度客戶端操作系統(tǒng)安全維護，病毒庫升級。PAGE安全需求分析國家政策需求分析2007年公安部等四部委聯(lián)合出臺了《信息安全等級保護管理辦法》，該文件是在開展信息系統(tǒng)安全等級保護基礎(chǔ)調(diào)查工作和信息安全等級保護試點工作基礎(chǔ)上，由四部委共同會簽印發(fā)的重要管理規(guī)范，主要內(nèi)容包括信息安全等級保護制度的基本內(nèi)容、流程及工作要求，信息系統(tǒng)定級、備案、安全建設(shè)整改、等級測評的實施與管理，信息安全產(chǎn)品和測評機構(gòu)選擇等，為開展信息安全等級保護工作提供了規(guī)范保障。2009年，在全國信息系統(tǒng)安全等級保護定級工作基礎(chǔ)上，公安部又印發(fā)了《關(guān)于開展信息安全等級保護安全建設(shè)整改工作的指導(dǎo)意見》，開始部署開展信息系統(tǒng)等級保護安全建設(shè)整改工作。2009年下半年公安部組織各部委和各行業(yè)開展了信息安全等級保護安全建設(shè)整改工作的集中培訓(xùn)，明確了我國信息安全等級保護安全建設(shè)整改工作的工作目標、工作對象、工作內(nèi)容和要求，并對具體的工作流程和工作方法提出了指導(dǎo)意見。要求各行業(yè)利用三年時間，通過組織開展信息安全等級保護安全管理制度建設(shè)、技術(shù)措施建設(shè)和等級測評等三項重點工作，落實等級保護制度的各項要求。衛(wèi)生部于2011年11月分別發(fā)布《衛(wèi)生部辦公廳關(guān)于全面開展衛(wèi)生行業(yè)信息安全等級保護工作的通知》（衛(wèi)辦綜函〔2011〕1126號），衛(wèi)生部關(guān)于印發(fā)《衛(wèi)生行業(yè)信息安全等級保護工作的指導(dǎo)意見》的通知（衛(wèi)辦發(fā)〔2011〕85號）。要求醫(yī)療衛(wèi)生行業(yè)全面開展等級保護建設(shè)。安全指標與需求分析核心業(yè)務(wù)系統(tǒng)的安全建設(shè)核心需求即滿足等級保護的相關(guān)要求，因此將以滿足等級保護指標為目標。根據(jù)定級結(jié)果，整體按三級來管理和建設(shè)。那么，可以確定需要滿足的等級保護指標如下：單位級安全指標（三級）安全管理機構(gòu)人員安全管理安全管理制度數(shù)據(jù)安全

及備份恢復(fù)網(wǎng)絡(luò)安全物理安全系統(tǒng)運維管理系統(tǒng)建設(shè)管理控制點數(shù)量控制點數(shù)量控制點數(shù)量控制點數(shù)量控制點數(shù)量控制點數(shù)量控制點數(shù)量控制點數(shù)量崗位設(shè)置4安全意識教育和培訓(xùn)4管理制度4備份和恢復(fù)4安全審計4電磁防護3安全事件處置6安全方案設(shè)計5溝通和合作5人員考核3評審和修訂2數(shù)據(jù)保密性2邊界完整性檢查2電力供應(yīng)4備份與恢復(fù)管理5安全服務(wù)商選擇3人員配備3人員離崗3制定和發(fā)布5數(shù)據(jù)完整性2惡意代碼防范2防盜竊和防破壞6變更管理4測試驗收5審核和檢查4人員錄用4訪問控制8防火3惡意代碼防范管理4產(chǎn)品采購和使用4授權(quán)和審批4外部人員訪問管理2結(jié)構(gòu)安全7防靜電2環(huán)境管理4等級測評4入侵防范2防雷擊3監(jiān)控和安全管理中心3工程實施3防水和防潮4介質(zhì)管理6外包軟件開發(fā)4溫濕度控制1密碼管理1系統(tǒng)備案3物理訪問控制4設(shè)備管理5系統(tǒng)定級4物理位置的選擇2網(wǎng)絡(luò)安全管理8系統(tǒng)交付5系統(tǒng)安全管理7自行軟件開發(fā)(5)0應(yīng)急預(yù)案管理5資產(chǎn)管理4201611825326240總計214安全建設(shè)規(guī)劃方案總體部署說明根據(jù)前述的需求分析，結(jié)合項目要求，本次安全產(chǎn)品部署圖如下圖所示：網(wǎng)絡(luò)拓撲規(guī)劃圖原有安全設(shè)備除了防火墻、網(wǎng)絡(luò)版防病毒、北信源終端安全管理系統(tǒng)和上網(wǎng)行為管理設(shè)備外均需要采購新設(shè)備用于本次等保整改。新增部署產(chǎn)品如下：部署產(chǎn)品數(shù)量部署位置部署作用防火墻3安全管理運維區(qū)邊界；接社保網(wǎng)；網(wǎng)絡(luò)出口處控制進出各安全域的所有數(shù)據(jù)流量，阻止各類非法應(yīng)用，執(zhí)行既定安全策略；抗DD0S防火墻2互聯(lián)網(wǎng)出口邊界防止DOS攻擊，保護內(nèi)網(wǎng)安全IPS入侵防護2核心業(yè)務(wù)服務(wù)器區(qū)域邊界。實時監(jiān)控并阻斷針對數(shù)據(jù)中心核心HIS、EMR業(yè)務(wù)服務(wù)器的入侵行為。網(wǎng)關(guān)防病毒2核心出口區(qū)，出口防火墻后面網(wǎng)絡(luò)出口處惡意代碼防護漏洞掃描1安全管理運維區(qū)掃描漏洞，發(fā)現(xiàn)漏洞WAF網(wǎng)關(guān)（web防火墻）2互聯(lián)網(wǎng)DMZ區(qū)域邊界保護DMZ區(qū)的Web應(yīng)用，抵御SQL注入、XSS、跨站偽造（CSRF）、Cookie篡改以及應(yīng)用層DoS防護等。網(wǎng)絡(luò)審計系統(tǒng)（互聯(lián)網(wǎng)審計）1互聯(lián)網(wǎng)邊界對內(nèi)部人員上網(wǎng)行為的約束與審計網(wǎng)絡(luò)審計系統(tǒng)（數(shù)據(jù)庫審計）1旁路部署在業(yè)務(wù)服務(wù)器區(qū)對數(shù)據(jù)庫操作進行記錄、審計、授權(quán)、命令回放等。特別是在醫(yī)療行業(yè)防統(tǒng)方領(lǐng)域，數(shù)據(jù)庫審計起到關(guān)鍵作用。堡壘機1部署在網(wǎng)絡(luò)核心交換機旁邊，物理旁路，邏輯串聯(lián)。共享賬號管理、運維審計、訪問控制安全管理平臺1安全運維管理區(qū)管理所有安全設(shè)備及部分網(wǎng)絡(luò)設(shè)備；對安全設(shè)備和部分網(wǎng)絡(luò)設(shè)備進行統(tǒng)一管理、狀態(tài)監(jiān)控、策略下發(fā)、集中審計。DDI設(shè)備1部署在服務(wù)器區(qū)域提供可管理、可控制、可審計、可擴展的CNS網(wǎng)絡(luò)核心服務(wù)支撐平臺等級保護服務(wù)/安全服務(wù)進行等級保護建設(shè)全程服務(wù),包括：等保差距分析服務(wù)風險評估服務(wù)安全加固服務(wù)（操作系統(tǒng)、數(shù)據(jù)庫、設(shè)備等）滲透測試服務(wù)等級測評（第三方測評機構(gòu)）邊界訪問控制解決方案需求分析三級系統(tǒng)要求在主要邊界處進行訪問控制。作為網(wǎng)絡(luò)安全的基礎(chǔ)防護要求，具體需求如下：1）保護服務(wù)通過過濾不安全的服務(wù)，保證只可訪問到允許訪問的業(yè)務(wù)系統(tǒng)，其他訪問均被嚴格控制，可以極大地提高網(wǎng)絡(luò)安全和減少子網(wǎng)中主機的風險。如：可以禁止NIS、NFS服務(wù)通過，可以拒絕源路由和ICMP重定向封包等安全威脅。2）控制對系統(tǒng)的訪問提供對系統(tǒng)的訪問控制。如允許從外部訪問某些主機，同時禁止訪問另外的主機。例如，允許外部訪問特定的Web和FTP服務(wù)器。3）記錄和統(tǒng)計網(wǎng)絡(luò)日志記錄和統(tǒng)計通過邊界的網(wǎng)絡(luò)通訊，提供關(guān)于網(wǎng)絡(luò)使用的統(tǒng)計數(shù)據(jù)并對非法訪問作記錄日志，從設(shè)備或?qū)ｉT的日志服務(wù)器提供統(tǒng)計數(shù)據(jù)，來判斷可能的攻擊和探測，利用日志可以對入侵和非法訪問進行跟蹤以及事后分析。方案設(shè)計防火墻技術(shù)是目前網(wǎng)絡(luò)邊界保護最有效也是最常見的技術(shù)。采用防火墻技術(shù)，對重要節(jié)點和網(wǎng)段進行邊界保護，可以對所有流經(jīng)防火墻的數(shù)據(jù)包按照嚴格的安全規(guī)則進行過濾，將所有不安全的或不符合安全規(guī)則的數(shù)據(jù)包屏蔽，防范各類攻擊行為，杜絕越權(quán)訪問，防止非法攻擊，抵御可能的DOS和DDOS攻擊。通過合理布局，形成多級的縱深防御體系。設(shè)備分別部署在互聯(lián)網(wǎng)邊界、安全設(shè)備運維區(qū)邊界，進行系統(tǒng)內(nèi)外數(shù)據(jù)的訪問控制，保護系統(tǒng)整體的網(wǎng)絡(luò)安全；通過邊界防火墻將這兩個系統(tǒng)內(nèi)部區(qū)域與其他區(qū)域進行邏輯隔離，保護上述兩個內(nèi)部安全域，實現(xiàn)基于數(shù)據(jù)包的源地址、目的地址、通信協(xié)議、端口、流量、用戶、通信時間等信息，執(zhí)行嚴格的訪問控制。采用防火墻實現(xiàn)以下的安全策略：安全域隔離：各邊界防火墻邏輯上隔離了網(wǎng)絡(luò)各區(qū)域，對各個計算環(huán)境提供有效的保護；訪問控制策略：防火墻工作在不同安全區(qū)域之間，對各個安全區(qū)域之間流轉(zhuǎn)的數(shù)據(jù)進行深度分析，依據(jù)數(shù)據(jù)包的源地址、目的地址、通信協(xié)議、端口、流量、用戶、通信時間等信息，進行判斷，確定是否存在非法或違規(guī)的操作，并進行阻斷，從而有效保障了各個重要的計算環(huán)境；應(yīng)用控制策略：在防火墻/UTM上執(zhí)行內(nèi)容過濾策略，實現(xiàn)對應(yīng)用層HTTP、FTP、TELNET、SMTP、POP3等協(xié)議命令級的控制，從而提供給系統(tǒng)更精準的安全性；會話監(jiān)控策略：在防火墻/UTM配置會話監(jiān)控策略，當會話處于非活躍一定時間或會話結(jié)束后，防火墻自動將會話丟棄，訪問來源必須重新建立會話才能繼續(xù)訪問資源；會話限制策略：對于三級信息系統(tǒng)，從維護系統(tǒng)可用性的角度必須限制會話數(shù)，來保障服務(wù)的有效性，防火墻/UTM可對保護的應(yīng)用服務(wù)器采取會話限制策略，當服務(wù)器接受的連接數(shù)接近或達到閥值時，防火墻自動阻斷其他的訪問連接請求，避免服務(wù)器接到過多的訪問而崩潰；地址綁定策略：對于三級系統(tǒng)，必須采取IP+MAC地址綁定技術(shù)，從而有效防止地址欺騙攻擊，同時采取地址綁定策略后，還應(yīng)當在各個三級計算環(huán)境的交換機上綁定MAC，防止攻擊者私自將終端設(shè)備接入三級計算環(huán)境進行破壞；身份認證策略：配置防火墻/UTM用戶認證功能，對保護的應(yīng)用系統(tǒng)可采取身份認證的方式（包括用戶名/口令方式、S/KEY方式等），實現(xiàn)基于用戶的訪問控制；此外，防火墻還能夠和第三方認證技術(shù)結(jié)合起來，實現(xiàn)網(wǎng)絡(luò)層面的身份認證，進一步提升系統(tǒng)的安全性，同時也滿足三級系統(tǒng)對網(wǎng)絡(luò)訪問控制的要求；日志審計策略：防火墻/UTM詳細記錄了轉(zhuǎn)發(fā)的訪問數(shù)據(jù)包，可提供給網(wǎng)絡(luò)管理人員進行分析。這里應(yīng)當將防火墻記錄日志統(tǒng)一導(dǎo)入到集中的日志管理服務(wù)器。方案效果通過將防火墻部署在不同安全域之間。它是不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間信息的唯一出入口，能根據(jù)安全策略控制（允許、拒絕、監(jiān)測）出入網(wǎng)絡(luò)的信息流，且本身具有較強的抗攻擊能力。它是提供信息安全服務(wù)，實現(xiàn)網(wǎng)絡(luò)和信息安全的基礎(chǔ)設(shè)施。在網(wǎng)絡(luò)中部署防火墻后，可以保護內(nèi)部網(wǎng)絡(luò)免受非法訪問、攻擊和病毒的侵擾。把面向服務(wù)的主機放置在一個集中、受控的安全區(qū)環(huán)境下，通過防火墻監(jiān)控網(wǎng)絡(luò)流量、關(guān)閉不必要的服務(wù)，還可以通過防火墻嚴格限制進出網(wǎng)絡(luò)的流量。防火墻可以提供對系統(tǒng)的訪問控制。如允許從外部訪問某些主機，同時禁止訪問另外的主機。例如，防火墻允許外部訪問特定的Web和FTP服務(wù)器；防火墻可以保護脆弱的服務(wù)，如防火墻可以禁止NIS、NFS服務(wù)通過，防火墻同時可以拒絕源路由和ICMP重定向封包等安全威脅；防火墻可以對網(wǎng)絡(luò)系統(tǒng)實現(xiàn)集中的安全管理，在防火墻上定義的安全規(guī)則可以運用于整個網(wǎng)絡(luò)系統(tǒng)，而無須在網(wǎng)絡(luò)內(nèi)部每臺機器上分別設(shè)立安全策略，如在防火墻可以定義不同的用戶，而不需在每臺機器上分別定義；防火墻可以記錄和統(tǒng)計通過防火墻的網(wǎng)絡(luò)通訊，提供關(guān)于網(wǎng)絡(luò)使用的統(tǒng)計數(shù)據(jù)并對非法訪問作記錄日志，從防火墻或?qū)ｉT的日志服務(wù)器提供統(tǒng)計數(shù)據(jù)，來判斷可能的攻擊和探測，利用日志可以對入侵和非法訪問進行跟蹤以及事后分析等等。根據(jù)客戶的實際情況，部署防火墻的主要作用如下：網(wǎng)絡(luò)安全的基礎(chǔ)屏障：防火墻能極大地提高一個內(nèi)部網(wǎng)絡(luò)的安全性，并通過過濾不安全的服務(wù)而降低風險。由于只有經(jīng)過精心選擇的應(yīng)用協(xié)議才能通過防火墻，所以網(wǎng)絡(luò)環(huán)境變得更安全。如防火墻可以禁止諸如眾所周知的不安全的協(xié)議(如NFS)進出受保護網(wǎng)絡(luò)，這樣外部的攻擊者就不可能利用這些脆弱的協(xié)議來攻擊內(nèi)部網(wǎng)絡(luò)。防火墻同時可以保護網(wǎng)絡(luò)免受基于路由的攻擊，如IP選項中的源路由攻擊和ICMP重定向中的重定向路徑。防火墻可以拒絕所有以上類型攻擊的報文并通知防火墻管理員。對網(wǎng)絡(luò)存取和訪問進行監(jiān)控審計如果所有的訪問都經(jīng)過防火墻，防火墻就能記錄下這些訪問并作出日志記錄，同時也能提供網(wǎng)絡(luò)使用情況的統(tǒng)計數(shù)據(jù)。當發(fā)生可疑動作時，防火墻能進行適當?shù)膱缶⑻峁┚W(wǎng)絡(luò)是否受到監(jiān)測和攻擊的詳細信息。另外，收集一個網(wǎng)絡(luò)的使用和誤用情況也是非常重要的。首先的理由是可以清楚防火墻是否能夠抵擋攻擊者的探測和攻擊，并且清楚防火墻的控制是否充足。而網(wǎng)絡(luò)使用統(tǒng)計對網(wǎng)絡(luò)需求分析和威脅分析等而言也是非常重要的。防止內(nèi)部信息的外泄通過利用防火墻對內(nèi)部網(wǎng)絡(luò)的劃分，可實現(xiàn)內(nèi)部網(wǎng)重點網(wǎng)段的隔離，從而限制了局部重點或敏感網(wǎng)絡(luò)安全問題對全局網(wǎng)絡(luò)造成的影響。再者，隱私是內(nèi)部網(wǎng)絡(luò)非常關(guān)心的問題，一個內(nèi)部網(wǎng)絡(luò)中不引人注意的細節(jié)可能包含了有關(guān)安全的線索而引起外部攻擊者的興趣，甚至因此而曝露了內(nèi)部網(wǎng)絡(luò)的某些安全漏洞。使用防火墻就可以隱蔽那些能夠透漏內(nèi)部細節(jié)的服務(wù)，如Finger，DNS等服務(wù)。邊界入侵防御解決方案需求分析在區(qū)域邊界，防火墻起到了協(xié)議過濾的主要作用，根據(jù)安全策略在偏重在網(wǎng)絡(luò)層判斷數(shù)據(jù)包的合法流動。但面對越來越廣泛的基于應(yīng)用層內(nèi)容的攻擊行為，防火墻并不擅長處理應(yīng)用層數(shù)據(jù)。各種混合攻擊多借助病毒的傳播方式進行，成為黑客的攻擊和入侵手段。在本項目規(guī)劃中，各業(yè)務(wù)服務(wù)器區(qū)承載的HIS、EMR等核心應(yīng)用，承載著最為重要的業(yè)務(wù)系統(tǒng)和數(shù)據(jù)，由于保存有核心信息資產(chǎn)，是最容易成為入侵目標的部分，可能遇到來自于內(nèi)網(wǎng)的攻擊威脅。隨著移動式設(shè)備如電腦筆記本、PDA的普及，來自于內(nèi)網(wǎng)的攻擊威脅也隨之增加。對于提供重要數(shù)據(jù)服務(wù)的服務(wù)器群組仍有可能遭受到來自內(nèi)網(wǎng)的攻擊威脅，通常防火墻并不具備完整全面的內(nèi)容檢測能力，因此必須建立一套更完整的安全防護體系，進行多層次、多手段的檢測和防護。鑒于以上分析，需要其他具備檢測新型的混合攻擊和防護的能力的設(shè)備防御來自應(yīng)用層到網(wǎng)絡(luò)層的多種攻擊類型，進行多層次、多手段的檢測和防護。三級系統(tǒng)也對入侵防范提出了明確的要求。入侵防護是安全防護體系中重要的一環(huán)，它能夠及時識別網(wǎng)絡(luò)中發(fā)生的入侵行為并實時報警并且進行有效攔截防護。方案設(shè)計通過需求分析，我們建議在核心業(yè)務(wù)區(qū)域邊界部署IPS入侵防御系統(tǒng)設(shè)備，提供2-7層主動防御，保護內(nèi)部核心網(wǎng)絡(luò)資產(chǎn)。入侵防御系統(tǒng)是新一代安全保障技術(shù)。它監(jiān)視計算機系統(tǒng)或網(wǎng)絡(luò)中發(fā)生的事件，并對它們進行分析，以尋找危及信息的機密性、完整性、可用性或試圖繞過安全機制的入侵行為并進行有效攔截。IPS具備基于協(xié)議異常、會話狀態(tài)識別和七層應(yīng)用行為的攻擊識別功能，動態(tài)異常流量管理和七層應(yīng)用行為識別等功能，同時配合零時差更新的特征庫和自定義檢測特征功能，可檢測阻斷各種網(wǎng)絡(luò)攻擊行為，阻斷各類惡意代碼進行滲透。包括：病毒、蠕蟲、木馬、間諜軟件、廣告軟件、可疑代碼、端口掃描、非法連接等。IPS具備以下功能：訪問控制功能IPS支持基于網(wǎng)絡(luò)接口、IP地址、服務(wù)、時間等參數(shù)自定義訪問控制規(guī)則，以保證網(wǎng)絡(luò)資源不被非法使用和非法訪問。阻止蠕蟲擴散蠕蟲(worm)與一般的檔案型病毒(virus)不同之處，在于蠕蟲具備快速自我復(fù)制擴散的功能。而蠕蟲之所以能夠快速將自我擴散到其它系統(tǒng)，是因為蠕蟲具備自動利用系統(tǒng)漏洞而入侵的能力。每當計算機的系統(tǒng)漏洞被公布，在短時間內(nèi)便會有黑客組織在網(wǎng)絡(luò)上發(fā)布針對新漏洞的攻擊程序，接著便會有針對該漏洞的攻擊程序在網(wǎng)絡(luò)上流傳，此時蠕蟲作者便將這些已發(fā)布的攻擊程序納入其蠕蟲程序的主體中，然后再散布新的蠕蟲對外大量擴散。從漏洞公布到蠕蟲產(chǎn)生所需的時間已大幅縮減，這讓用戶無法有充裕的時間測試系統(tǒng)廠商所發(fā)布的補丁程序。蠕蟲由于是通過網(wǎng)絡(luò)自我擴散，因此又稱為網(wǎng)絡(luò)型病毒。IPS實現(xiàn)了阻止已知和未知蠕蟲的擴散。阻止已知蠕蟲擴散針對已知蠕蟲通過掃描存在漏洞的主機來進行擴散，IPS內(nèi)建完善的對ZotobWorm、MSSQLSlammerWorm等蠕蟲的控制攻擊特征識別碼，可以檢測蠕蟲企圖掃描漏洞主機的行為，并進而攔阻丟棄其惡意數(shù)據(jù)包。阻止未知蠕蟲擴散針對未知蠕蟲通過掃描存在漏洞的主機來進行擴散，在及時跟蹤著各種最新發(fā)布的漏洞，為相應(yīng)漏洞及時構(gòu)建攻擊識別碼，當發(fā)現(xiàn)蠕蟲嘗試利用這些漏洞來入侵時會立即攔阻丟棄嘗試入侵的數(shù)據(jù)包，阻止蠕蟲擴散。阻止漏洞攻擊在系統(tǒng)程序開發(fā)的過程中，常因為程序開發(fā)者疏于程序安全性，而導(dǎo)致開發(fā)出有系統(tǒng)漏洞的操作系統(tǒng)或應(yīng)用程序。這類系統(tǒng)的漏洞經(jīng)常是發(fā)生在程序沒有對外界輸入的參數(shù)長度進行檢查，而發(fā)生所謂的緩沖區(qū)溢出攻擊(bufferoverflowattack)。當緩沖溢出區(qū)攻擊發(fā)生時，輕則導(dǎo)致系統(tǒng)沒有響應(yīng)、死機，成功的緩沖區(qū)溢出攻擊還可以讓黑客獲得整個系統(tǒng)控制權(quán)！針對黑客入侵，IPS采用具備基于協(xié)議異常、會話狀態(tài)識別和七層應(yīng)用行為等攻擊識別功能。并且可針對Windows、Unix、Linux等操作系統(tǒng)漏洞的攻擊進行阻止，漏洞類型包括了StackandHeapBufferoverflow、Formatstringerror、Memoryaccesserror、Memorycorruption、AccesscontrolandDesignweakness等等。阻止木馬傳播IPS在阻止木馬傳播上有以下特點：可檢測基于ActiveX、XML、VML、MDAC等的漏洞，可阻止訪問者在瀏覽網(wǎng)站時被誘使植入木馬的攻擊；可檢測利用Dropper技術(shù)隱藏木馬的MicrosoftOffice文件，可阻止下載并啟動這些文檔；如Rootkit的木馬，它們被黑客植入系統(tǒng)后也會跟外界通訊或進行掃描等，IPS可以偵測這些特殊的行為，如TFN、Trin00、Stacheldraht、Phatbot、Netbus、Evilbot等跟外界通訊行為，以及TCP、UDPscan或ICMPprobing等行為；具有豐富的漏洞特征庫可以實現(xiàn)對木馬的精準攔截。阻止間諜軟件大部分間諜軟件由于是通過廣告、瀏覽器漏洞、自訂功能如ActiveX插件來誘使不夠小心謹慎的用戶安裝的。IPS內(nèi)置如Gator、180solutions、InternetOptimizerSpyware等相關(guān)的特征，通過檢測下載可執(zhí)行程序、ActiveX、Javaapplet等可疑的活動，實現(xiàn)阻止間諜軟件通過廣告、瀏覽器漏洞、自定義ActiveX插件等渠道實現(xiàn)安裝?？笵oS/DDoS傳統(tǒng)的網(wǎng)絡(luò)安全設(shè)備僅具有單純地設(shè)定單位時間內(nèi)訪問特定服務(wù)次數(shù)，來阻斷未知類型的DoS/DDoS攻擊。這種機制雖然可以將超過閾值的攻擊數(shù)據(jù)包丟棄，但同時也會將超過閾值的合法數(shù)據(jù)包丟棄，造成正常用戶不能使用網(wǎng)絡(luò)服務(wù)。IPS對于需要重點保護的Web、DNS等服務(wù)可選擇采取傳統(tǒng)的處理機制。另外，IPS提供獨特的DoS/DDoS檢測及預(yù)防機制，可以辨別合法數(shù)據(jù)包以及DoS/DDoS攻擊數(shù)據(jù)包，支持雙向阻斷TCP/UDP/IGMP/ICMP/IPFlooding、UDP/ICMPSmurfing等類型的DoS/DDoS攻擊，可檢測的DoS/DDoS攻擊軟件包括XDoS、SUPERDDoS、FATBOY等50種以上。方案效果通過IPS入侵防御系統(tǒng)的部署，能夠為核心業(yè)務(wù)系統(tǒng)提供全面的安全防護：緩沖區(qū)溢出攻擊的防范 緩沖區(qū)溢出漏洞主要來自系統(tǒng)和應(yīng)用軟件存在的bug，攻擊者利用這些漏洞可以獲得系統(tǒng)的管理權(quán)限，大部分蠕蟲病毒的傳播也主要利用了緩沖區(qū)溢出漏洞。當前網(wǎng)絡(luò)攻擊的一個非常大的特點是從漏洞信息發(fā)布到第一個攻擊工具出現(xiàn)的周期越來越短，而廠商發(fā)布補丁不及時，給攻擊者留下了充足的時間進行攻擊。針對這一問題，入侵防護系統(tǒng)可提供“虛擬補丁”技術(shù)，及時跟蹤網(wǎng)絡(luò)中各種系統(tǒng)、軟件存在的bug，并在第一時間提供檢測特征碼，為用戶網(wǎng)絡(luò)提供一個虛擬的安全補丁，防范大部分的0day攻擊。Web應(yīng)用攻擊的防范入侵防護系統(tǒng)提供了Web攻擊特征組，對Web應(yīng)用軟件、應(yīng)用系統(tǒng)存在的漏洞，如：IISUNICODE漏洞、二次解碼漏洞以及各種CGI、SQL注入、跨站腳本等攻擊進行有針對性的防護。SQL注入/XSS跨站腳本攻擊的防范SQL注入和XSS之所以會成為最流行的Web攻擊，是因為其攻擊的目標是用戶的應(yīng)用程序，所利用的漏洞來自用戶編碼而非操作系統(tǒng)或應(yīng)用平臺，因此它的位置和表現(xiàn)形式十分復(fù)雜，且能提取的特征信息往往很短，難以使用簡單的簽名匹配技術(shù)進行完整高效的檢測、防范。網(wǎng)絡(luò)安全審計解決方案需求分析信息系統(tǒng)的快速發(fā)展和網(wǎng)絡(luò)安全管理問題的矛盾日益凸現(xiàn)。如何有效監(jiān)控核心業(yè)務(wù)系統(tǒng)網(wǎng)絡(luò)資源的使用和敏感信息的傳播，準確掌握網(wǎng)絡(luò)系統(tǒng)的安全狀態(tài)，及時發(fā)現(xiàn)違反安全策略的事件并實時告警、記錄，同時進行安全事件定位分析，事后追查取證，滿足合規(guī)性審計要求，是本次建設(shè)迫切需要解決的問題。具體表現(xiàn)有以下幾種：等級保護：安全等級保護技術(shù)要求，在確立為第二級（指導(dǎo)保護級）以及以上級的信息系統(tǒng)中必須建立并保存各種訪問日志：網(wǎng)絡(luò)（網(wǎng)絡(luò)安全審計）【G2–G3–G4】ISO27001:2005（BS7799）：被普遍接受的安全管理業(yè)界標準：條款A(yù)15.1.3明確要求必須保護組織的運行記錄；條款A(yù)15.2.1則要求信息系統(tǒng)經(jīng)理必須確保所有負責的安全過程都在正確執(zhí)行，符合安全策略和標準的要求。薩班斯（SarbanesOxley）法案：2006年7月15日，美國著名的《薩班斯·奧克斯利法案》正式生效，在美國上市的公司都需要遵循的薩班斯（SarbanesOxley）法案，其合規(guī)性要求建立嚴肅的、完備的企業(yè)內(nèi)控體系，而信息系統(tǒng)的安全審計又是內(nèi)控體系的重中之重。公安部82號令：2005年11月23日，中國公安部頒布了第82號令《互聯(lián)網(wǎng)安全保護技術(shù)措施規(guī)定》要求：“記錄并留存用戶訪問的互聯(lián)網(wǎng)地址或域名”，“在公共信息服務(wù)中發(fā)現(xiàn)、停止傳輸違法信息，并保留相關(guān)記錄，能夠記錄并留存發(fā)布的信息內(nèi)容及發(fā)布時間”，“電子郵件或者短信息”，“應(yīng)當具有至少保存六十天記錄備份的功能”。因此如何有效監(jiān)控網(wǎng)絡(luò)資源的使用和敏感信息的傳播，準確掌握網(wǎng)絡(luò)系統(tǒng)的安全狀態(tài)，及時發(fā)現(xiàn)違反安全策略的事件并實時告警、記錄，同時進行安全事件定位分析，事后追查取證，滿足合規(guī)性審計要求，是本次建設(shè)迫切需要解決的問題。方案設(shè)計網(wǎng)絡(luò)安全審計系統(tǒng)主要用于監(jiān)視并記錄網(wǎng)絡(luò)中的各類操作，偵察系統(tǒng)中存在的現(xiàn)有和潛在的威脅，實時地綜合分析出網(wǎng)絡(luò)中發(fā)生的安全事件，包括各種外部事件和內(nèi)部事件。本次設(shè)計兩類審計，第一是互聯(lián)網(wǎng)行為審計，用于審計內(nèi)部用戶的上網(wǎng)行為；第二是數(shù)據(jù)庫審計，對所有數(shù)據(jù)庫的訪問操作行為進行審計，特別是在醫(yī)院的防統(tǒng)方領(lǐng)域，數(shù)據(jù)庫審計可用于網(wǎng)絡(luò)取證。網(wǎng)絡(luò)的數(shù)據(jù)采集有基于旁路監(jiān)聽、基于網(wǎng)關(guān)/網(wǎng)橋、或在被監(jiān)控機器中安裝AGENT三種方式。其中基于網(wǎng)關(guān)/網(wǎng)橋的設(shè)備需要改變原有網(wǎng)絡(luò)結(jié)構(gòu)，接入設(shè)備有可能會成為整個網(wǎng)絡(luò)的單點故障點。而在被監(jiān)控機器中安裝AGENT的方法也會增加被監(jiān)控主機的不穩(wěn)定性，并且會占用一定的機器資源，減慢被監(jiān)控機器的運行速度，同時布署升級等的維護工作量也很大。基于旁路監(jiān)聽的技術(shù)，安裝后完全不影響原有的網(wǎng)絡(luò)運行，也不會成為單點故障，而且布署極為方便，只要簡單地安裝在網(wǎng)絡(luò)口的交換機鏡象口或是共享HUB上。因此在網(wǎng)絡(luò)的核心交換機處并接部署網(wǎng)絡(luò)審計系統(tǒng)，部署方式類似入侵檢測系統(tǒng)（IDS），形成對全網(wǎng)網(wǎng)絡(luò)數(shù)據(jù)的流量監(jiān)測并進行相應(yīng)安全審計，同時和其它網(wǎng)絡(luò)安全設(shè)備共同為集中安全管理提供監(jiān)控數(shù)據(jù)用于分析及檢測。部署的審計系統(tǒng)實現(xiàn)以下策略：日志集中管理策略：收集信息系統(tǒng)中各種網(wǎng)絡(luò)設(shè)備、系統(tǒng)的日志信息，包括設(shè)備運行狀況、網(wǎng)絡(luò)流量、用戶行為等信息，進行統(tǒng)一集中存儲。審計分析集中展示策略：提供多樣、靈活的日志信息查詢，包括，事件的日期和時間、用戶、事件類型、事件結(jié)果等條件進行查詢，并把不同設(shè)備及平臺的事件關(guān)聯(lián)起來，幫助管理員實現(xiàn)更加全面、深入的分析事件。支持將事件進行詳盡的分析及統(tǒng)計的基礎(chǔ)上支持豐富的報表，實現(xiàn)分析結(jié)果的可視化。多種網(wǎng)絡(luò)設(shè)備的日志收集：系統(tǒng)全面支持安全設(shè)備（如防火墻，IDS、AV等）、網(wǎng)絡(luò)設(shè)備（如router、switch）等多種產(chǎn)品及系統(tǒng)的日志數(shù)據(jù)的采集和分析。自身安全策略：用戶分級管理，嚴格限制各級用戶的管理權(quán)限，同時對超級用戶數(shù)量進行限制，密碼采用強密碼機制，避免管理用戶的職權(quán)濫用。設(shè)置數(shù)據(jù)庫的備份策略，定期備份導(dǎo)出數(shù)據(jù)，并且進行數(shù)據(jù)庫上限及報警上限，避免數(shù)據(jù)庫信息的不預(yù)期刪除、覆蓋和修改。部署的網(wǎng)絡(luò)安全審計產(chǎn)品需具備以下功能：網(wǎng)絡(luò)行為審計網(wǎng)絡(luò)審計系統(tǒng)系統(tǒng)能夠全面詳實地記錄網(wǎng)絡(luò)內(nèi)流經(jīng)監(jiān)聽出口的各種網(wǎng)絡(luò)行為，并根據(jù)國家有關(guān)法規(guī)規(guī)定保存至少60天，以便進行事后的審計和分析。日志以加密的方式存放，只有管理者才能調(diào)閱讀取。網(wǎng)絡(luò)行為日志全面地記錄了包括使用者、分組、訪問時間、源IP地址、源端口、源MAC地址、目的IP地址、目的端口、訪問類型、訪問地址/標識等關(guān)鍵數(shù)據(jù)項。支持在三層交換網(wǎng)絡(luò)環(huán)境下獲取用戶計算機真實MAC地址功能；支持GRE(通用路由協(xié)議封裝）和MPLS（Multi-ProtocolLabelSwitching，多協(xié)議標簽交換）兩種協(xié)議及其應(yīng)用環(huán)境下的網(wǎng)絡(luò)數(shù)據(jù)審計還原。主要包括以下類型的協(xié)議和應(yīng)用：網(wǎng)絡(luò)內(nèi)容審計針對互聯(lián)網(wǎng)上流行的可還原協(xié)議，網(wǎng)絡(luò)審計系統(tǒng)系統(tǒng)能夠在記錄網(wǎng)絡(luò)內(nèi)流經(jīng)監(jiān)聽出口的各種網(wǎng)絡(luò)行為產(chǎn)生的具體內(nèi)容，包括正文、文件等信息，并根據(jù)國家有關(guān)法規(guī)規(guī)定保存至少60天，以便進行事后的審計和分析，我們稱這個范疇的審計功能為內(nèi)容審計。內(nèi)容審計既能夠無條件記錄，又能通過策略指定訪問者（IP地址/帳號/分組）、時間范圍、內(nèi)容關(guān)鍵字等條件下進行有條件的記錄管理用戶需要的訪問內(nèi)容。主要包括以下類型的協(xié)議和應(yīng)用：標準電子郵件標準電子郵件是指POP3/SMTP兩個使用最廣泛的收發(fā)郵件協(xié)議。系統(tǒng)將詳細記錄訪問者（IP地址/機器名/帳號）、目標IP地址、郵件時間、發(fā)件人、收件人、正文、附件等信息，并提供附件下載備份功能。網(wǎng)頁瀏覽網(wǎng)頁瀏覽是指基于HTTP協(xié)議的GET請求產(chǎn)生的查看網(wǎng)頁內(nèi)容。系統(tǒng)將詳細記錄訪問者（IP地址/機器名/帳號）、目標IP地址、訪問時間、網(wǎng)頁URL、網(wǎng)頁詳細內(nèi)容等信息，并提供模擬訪問的功能以達到還原后的仿真瀏覽。支持對google,baidu,sogou,soso等常見搜索引擎的搜索關(guān)鍵字記錄，并具備良好的擴展能力，支持用戶自定義其它搜索引擎。文件傳輸文件傳輸是指基于FTP協(xié)議的文件傳輸、下載及其命令操作。系統(tǒng)將詳細記錄訪問者（IP地址/機器名/帳號）、目標IP地址、訪問時間、FTP帳號、FTP交互命令和執(zhí)行回顯等信息，對FTP交互過程中發(fā)生的上傳和下載文件操作，系統(tǒng)也將涉及的文件全部還原并提供下載備份功能。即時聊天目前能夠捕獲還原詳細內(nèi)容的即時聊天工具包括MSN（WindowsLiveMessenger）、YahooMessenger、中國移動飛信等。系統(tǒng)將詳細記錄訪問者（IP地址/機器名/帳號）、目標IP地址、訪問時間、聊天帳號、詳細聊天內(nèi)容等數(shù)據(jù)，并將聊天內(nèi)容按次分組保存和展示。網(wǎng)頁外發(fā)數(shù)據(jù)網(wǎng)頁外發(fā)數(shù)據(jù)是指基于HTTP協(xié)議的POST請求向外部的互聯(lián)網(wǎng)站發(fā)布信息。由于HTTP的POST應(yīng)用非常靈活，往往被用來實現(xiàn)多種應(yīng)用，因此對網(wǎng)頁外發(fā)數(shù)據(jù)的處理有其特殊性。網(wǎng)絡(luò)審計系統(tǒng)系統(tǒng)使用了獨有的表單特征匹配技術(shù)框架，摒棄了傳統(tǒng)的逐個WEB網(wǎng)站分析方式，突破了逐個分析方式帶來的有效網(wǎng)站數(shù)量限制，可以準確分析出100%的POST外發(fā)信息和文件，對WEBMAIL、網(wǎng)頁論壇等應(yīng)用方式的識別率高達95%以上。系統(tǒng)針對應(yīng)用HTTP-POST最為廣泛的WEBMAIL、網(wǎng)頁論壇、網(wǎng)頁聊天、網(wǎng)頁登錄進行了應(yīng)用方式識別并將其分類展示，對不能識別的其它POST應(yīng)用則全部歸類到“網(wǎng)頁提交”中進行展示。系統(tǒng)記錄的主要數(shù)據(jù)包括訪問者（IP地址/機器名/帳號）、目標IP地址、URL地址、訪問時間、外發(fā)文本內(nèi)容、外發(fā)文件等數(shù)據(jù)，并提供外發(fā)文件的下載備份功能。網(wǎng)絡(luò)行為控制對于多數(shù)企事業(yè)單位而言，如何通過有效的技術(shù)手段實現(xiàn)對單位職員上網(wǎng)行為進行規(guī)范的管理和控制是一個非常有意義的課題。網(wǎng)絡(luò)審計系統(tǒng)系統(tǒng)提供了豐富的網(wǎng)絡(luò)行為控制功能，以協(xié)助管理者實現(xiàn)上述目標。全局控制策略對局域網(wǎng)內(nèi)的所有機器生效的互聯(lián)網(wǎng)訪問權(quán)限控制。可設(shè)置是否允許訪問包含色情、暴力、毒品等的不良站點；是否允許使用MSN、YahooMessenger、QQ、ICQ、網(wǎng)易泡泡、GoogleTalk、Skype等國內(nèi)外流行的十多種即時通信工具；是否可以進行QQ游戲、中游、聯(lián)眾、遠航、浩方、茶苑、CS、魔獸等國內(nèi)外流行的二十多種在線網(wǎng)絡(luò)游戲；是否允許使用P2P下載；是否可以使用Google、百度等常用搜索引擎搜索指定的關(guān)鍵字；是否允許使用指定的WEBMAIL；是否允許進行QQLive、PPLive等在線音視頻；對指定的郵件服務(wù)器（POP3/SMTP）實施只開放或只封堵的策略。局部分組控制策略對指定的局域網(wǎng)內(nèi)局部機器生效的互聯(lián)網(wǎng)訪問權(quán)限控制?？筛鶕?jù)人員帳號、機器、機器組對不同的時間段設(shè)置對各類標準應(yīng)用協(xié)議、各類網(wǎng)站、網(wǎng)絡(luò)在線游戲、即時通訊工具、P2P下載、指定流量限制、郵件、網(wǎng)頁文件下載等協(xié)議和應(yīng)用的控制。具體支持的協(xié)議種類如前所述。黑白名單機器黑白名單：對于被設(shè)為黑名單的機器，系統(tǒng)將無條件禁止其與互聯(lián)網(wǎng)的一切通訊。對于被設(shè)為白名單的機器，則其的網(wǎng)絡(luò)訪問不受全局或局部策略的影響，在任何條件下都不對其進行封堵，但其網(wǎng)絡(luò)日志仍將被記錄。站點黑白名單：對于被設(shè)為黑名單的站點，則互聯(lián)網(wǎng)內(nèi)的所有機器（白名單機器除外）都不能訪問此站點。對于被設(shè)為白名單的站點，則互聯(lián)網(wǎng)內(nèi)的所有機器（黑名單機器除外）都可以訪問此站點。日志白名單：對于被設(shè)為日志白名單的機器，其網(wǎng)絡(luò)訪問不受全局或局部策略的影響，在任何條件下都不對其進行封堵，并且不記錄網(wǎng)絡(luò)日志。并且支持客戶端使用免審計USBKEY實現(xiàn)特權(quán)人物的審計豁免。帳號黑白名單：在帳號控制模式下應(yīng)用，對于被設(shè)為黑名單的帳號，系統(tǒng)將無條件禁止其與互聯(lián)網(wǎng)的一切通訊。對于被設(shè)為白名單的帳號，則其的網(wǎng)絡(luò)訪問不受全局或局部策略的影響，在任何條件下都不對其進行封堵，但其網(wǎng)絡(luò)日志仍將被記錄。基于帳號的控制可有效避免動態(tài)IP地址環(huán)境或IP人為變更造成的網(wǎng)絡(luò)控制漏洞。數(shù)據(jù)庫審計支持對MS-SQLSERVER、ORACLE等主流關(guān)系型數(shù)據(jù)庫的遠程訪問和操作信息的審計記錄；可實現(xiàn)命令及過程級的審計：可審計數(shù)據(jù)庫用戶登錄事件，并記錄用戶帳號信息；可實現(xiàn)對數(shù)據(jù)庫的查詢、創(chuàng)建、插入、刪除、更新等常規(guī)數(shù)據(jù)庫操作過程的審計，可還原用戶操作過程；可實現(xiàn)數(shù)據(jù)庫特權(quán)操作(如權(quán)限更改、備份與恢復(fù)等)的審計，可還原操作過程。運維操作審計支持對Windows遠程桌面操作的審計，可記錄訪問者和被訪問者的IP/MAC地址，訪問時間等信息；支持Telnet遠程登錄操作的審計，可實現(xiàn)命令及過程級的審計，可記錄用戶名、密碼及整個操作過程。網(wǎng)絡(luò)流量分析網(wǎng)絡(luò)審計系統(tǒng)系統(tǒng)的網(wǎng)絡(luò)流量分析是在全面記錄網(wǎng)絡(luò)出口流量數(shù)據(jù)的基礎(chǔ)之上，以簡單、直觀、易理解的形式為用戶提供實時和歷史流量監(jiān)測和統(tǒng)計功能。主要包括：實時流量以折線圖展示全局、組、機器/帳號的實時流量趨勢；以動態(tài)柱狀圖展示指定范圍內(nèi)的實時流量排名；以數(shù)據(jù)表結(jié)合餅圖的形式展示指定對象的流量協(xié)議結(jié)構(gòu)。當日流量系統(tǒng)以圖表或表格的方式顯示當天所有機器的流入流量和流出流量，并按總量大小排序?？蛇x擇任意一個對象，并查看當天累計流量及各種協(xié)議端口（可自定義）的流量。歷史流量系統(tǒng)將記錄每天的流量統(tǒng)計數(shù)據(jù)，并可以日，周，月等進行排名，產(chǎn)生排名報表?？梢愿鶕?jù)歷史流量記錄，形成流量增長或減少的趨勢圖。可以根據(jù)歷史流量記錄，形成各協(xié)議的使用狀況圖。自定義協(xié)議針對一些特殊應(yīng)用，用戶可以自己定義協(xié)議名稱、類型和端口，系統(tǒng)將按照自定義協(xié)議參數(shù)進行統(tǒng)計與記錄。統(tǒng)計報表分析根據(jù)歷史上網(wǎng)日志數(shù)據(jù)統(tǒng)計產(chǎn)生豐富詳細的報表，包括分組上網(wǎng)排名、人員上網(wǎng)排名、網(wǎng)絡(luò)應(yīng)用統(tǒng)計、訪問資源統(tǒng)計、趨勢分析、自定義報表等。可按年度、月度或者指定時間范圍生成周期性報表。報表種類包括柱狀圖，餅圖，曲線圖，折線圖等。報表可以以EXCEL、PDF、WORD、HTML等形式導(dǎo)出保存。并支持自定義的周期性報表自動生成和訂閱。系統(tǒng)管理與配置為了保障系統(tǒng)正常、穩(wěn)定、有效、安全地運行，網(wǎng)絡(luò)審計系統(tǒng)系統(tǒng)本身的管理設(shè)置和附加功能必不可少。其主要作用在于為系統(tǒng)提供符合網(wǎng)絡(luò)環(huán)境要求的基礎(chǔ)性參數(shù)設(shè)置、為系統(tǒng)提供足夠的訪問管理權(quán)限安全保障、為一些故障判斷提供輔助工具等。包括但不限于：IP地址位置查詢、網(wǎng)絡(luò)診斷工具、自定義站點分類、角色與權(quán)限管理、連接管理中心參數(shù)設(shè)置、產(chǎn)品升級、遠程維護開關(guān)等。方案效果網(wǎng)絡(luò)審計系統(tǒng)將獨立的網(wǎng)絡(luò)傳感器硬件組件連接到網(wǎng)絡(luò)中的數(shù)據(jù)會聚點設(shè)備上，對網(wǎng)絡(luò)中的數(shù)據(jù)包進行分析、匹配、統(tǒng)計，通過特定的協(xié)議算法，從而實現(xiàn)入侵檢測、信息還原等網(wǎng)絡(luò)審計功能，根據(jù)記錄生成詳細的審計報表。網(wǎng)絡(luò)行為監(jiān)控和審計系統(tǒng)采用旁路技術(shù)，不用在目標主機中安裝任何組件。同時網(wǎng)絡(luò)審計系統(tǒng)可以與其它網(wǎng)絡(luò)安全設(shè)備進行聯(lián)動，將各自的監(jiān)控記錄送往安全管理安全域中的安全管理服務(wù)器，集中對網(wǎng)絡(luò)異常、攻擊和病毒進行分析和檢測。產(chǎn)品實施后可以做到：廣泛支持各種網(wǎng)絡(luò)應(yīng)用網(wǎng)絡(luò)審計系統(tǒng)支持全面的行為審計、內(nèi)容審計及行為控制功能，同時支持數(shù)據(jù)庫審計、運維操作審計功能，廣泛支持目前常見的各種網(wǎng)絡(luò)應(yīng)用：對于常用的HTTP協(xié)議，除支持網(wǎng)頁瀏覽（HTTPGET）審計外還全面支持各種網(wǎng)頁提交（HTTPPOST）類應(yīng)用的審計，其中POST應(yīng)用可細分為WEBMAIL、WEBBBS、WEBCHAT（聊天）、WEB登錄等上網(wǎng)行為，對基于HTTPS加密協(xié)議的網(wǎng)頁瀏覽行為也將記錄除域名地址之外的所有關(guān)鍵數(shù)據(jù)；除常用的網(wǎng)頁瀏覽和電子郵件應(yīng)用外全面支持當前常見網(wǎng)絡(luò)應(yīng)用的審計包括：文件傳輸、即時通訊、P2P下載、流媒體、在線游戲、財經(jīng)證券等應(yīng)用；在旁路部署模式下可實現(xiàn)較強的網(wǎng)絡(luò)行為控制功能，包括對網(wǎng)頁瀏覽、電子郵件服務(wù)器、即時通訊、P2P下載、流媒體、在線游戲等應(yīng)用的控制。深度細粒審計管理網(wǎng)絡(luò)審計產(chǎn)品能夠全面詳實地記錄網(wǎng)絡(luò)內(nèi)流經(jīng)監(jiān)聽出口的各種網(wǎng)絡(luò)行為，支持關(guān)于上網(wǎng)行為、內(nèi)容、時間、用戶等多種條件組合的信息審計策略和日志分析，全面監(jiān)測各種網(wǎng)絡(luò)行為，進行深度細粒審計。內(nèi)容審計既能進行無條件記錄，又能通過策略指定訪問者（IP地址/帳號/分組）、時間范圍、內(nèi)容關(guān)鍵字等有針對條件的記錄管理用戶需要的訪問內(nèi)容。不管是行為審計還是內(nèi)容審計，都具備高度的靈活性、專業(yè)性和準確性，能夠為管理機構(gòu)進行事后追查、取證分析提供有力技術(shù)支撐。靈活的黑白名單設(shè)置為了使審計策略更加靈活、精準，網(wǎng)絡(luò)審計系統(tǒng)采用了黑白名單的機制，大大降低了審計策略的復(fù)雜程度，同時也減輕了管理人員的工作量。系統(tǒng)支持的黑白名單包括：機器黑白名單：對于被設(shè)為黑名單的機器，系統(tǒng)將無條件禁止其與互聯(lián)網(wǎng)的一切通訊。對于被設(shè)為白名單的機器，則其的網(wǎng)絡(luò)訪問不受全局或局部策略的影響，在任何條件下都不對其進行封堵，但其網(wǎng)絡(luò)日志仍將被記錄。站點黑白名單：對于被設(shè)為黑名單的站點，則網(wǎng)內(nèi)的所有機器（白名單機器除外）都不能訪問此站點。對于被設(shè)為白名單的站點，則網(wǎng)內(nèi)的所有機器（黑名單機器除外）都可以訪問此站點。日志白名單：對于被設(shè)為日志白名單的機器，其網(wǎng)絡(luò)訪問不受全局或局部策略的影響，在任何條件下都不對其進行封堵，并且不記錄網(wǎng)絡(luò)日志。并且支持客戶端使用免審計USBKEY實現(xiàn)特權(quán)人物的審計豁免。帳號黑白名單：在帳號控制模式下應(yīng)用，對于被設(shè)為黑名單的帳號，系統(tǒng)將無條件禁止其與互聯(lián)網(wǎng)的一切通訊。對于被設(shè)為白名單的帳號，則其的網(wǎng)絡(luò)訪問不受全局或局部策略的影響，在任何條件下都不對其進行封堵，但其網(wǎng)絡(luò)日志仍將被記錄?；趲ぬ柕目刂瓶捎行П苊鈩討B(tài)IP地址環(huán)境或IP人為變更造成的網(wǎng)絡(luò)控制漏洞。豐富直觀的報表系統(tǒng)根據(jù)歷史審計日志數(shù)據(jù)進行統(tǒng)計可產(chǎn)生豐富詳細和直觀的報表，包括分組上網(wǎng)排名、人員上網(wǎng)排名、網(wǎng)絡(luò)應(yīng)用統(tǒng)計、訪問資源統(tǒng)計、趨勢分析、自定義報表等。能夠從上網(wǎng)對象、時間、分類、目標等多個維度對網(wǎng)絡(luò)活動進行查詢分析，并以柱狀圖，餅圖，曲線圖，折線圖等形式來體現(xiàn)排名、結(jié)構(gòu)、趨勢等上網(wǎng)概況，使管理者對所掌握的數(shù)據(jù)有清晰直觀的認識。報表可以以EXCEL、PDF、WORD、HTML等形式導(dǎo)出保存，并支持自定義的周期性報表自動生成和訂閱。先進的多路捕包技術(shù)，四路同時捕包網(wǎng)絡(luò)審計系統(tǒng)采用業(yè)界領(lǐng)先的多路并行捕包技術(shù)，單臺設(shè)備最多支持高達4路數(shù)據(jù)的并行捕獲與分析，為在復(fù)雜環(huán)境下的靈活部署提供先進的技術(shù)保障也提高了審計數(shù)據(jù)的準確度；并且系統(tǒng)還可以與其他安全設(shè)備進行集成，支持從其他安全設(shè)備直接獲取審計數(shù)據(jù)，增加了審計數(shù)據(jù)來源，使得部署更加靈活，而且進一步特好了審計結(jié)果的準確性。部署靈活，支持分布式部署網(wǎng)絡(luò)審計系統(tǒng)采用旁路部署方式，全面支持電口鏡像與分路、光口的鏡像與分光等多種線路部署方式，在復(fù)雜網(wǎng)絡(luò)環(huán)境下的部署游刃有余，運用自如。對于單臺設(shè)備無法處理的超大流量環(huán)境或含有分支機構(gòu)的分布式環(huán)境，系統(tǒng)支持高擴展性的多臺設(shè)備分布式部署方案，通過多臺設(shè)備對超大的流量或各分支機構(gòu)分而治之，又由統(tǒng)一的管理平臺實現(xiàn)對整個網(wǎng)絡(luò)的透明、統(tǒng)一的管理。多層面自身安全防護系統(tǒng)級安全防護在對操作系統(tǒng)內(nèi)核進行充分剖析的基礎(chǔ)上，在操作系統(tǒng)級對系統(tǒng)各支撐引擎進行了修改和全面優(yōu)化定制，全面防止攻擊與劫持，提升系統(tǒng)整體性能的同時保障自身系統(tǒng)級安全。操作級安全防護多權(quán)分離，針對各種不同性質(zhì)的功能模塊可靈活配置權(quán)限級別；管理員登陸時支持USBKEY+賬號/口令方式的雙因子認證功能，支持管理員登陸地址限制，并且管理員賬戶口令的認證支持基于Radius協(xié)議的集中身份認證。數(shù)據(jù)級安全防護采用自主的高效算法對關(guān)鍵審計數(shù)據(jù)的存儲和傳輸進行加密防護，數(shù)據(jù)存儲防篡改，數(shù)據(jù)傳輸防破解，多種加密防護措施保障自身數(shù)據(jù)級安全。網(wǎng)絡(luò)級安全防護旁路部署保障對網(wǎng)絡(luò)性能完全沒有影響，保證網(wǎng)絡(luò)無單點故障，優(yōu)先保障用戶網(wǎng)絡(luò)級安全，是上網(wǎng)機構(gòu)在內(nèi)網(wǎng)和互聯(lián)網(wǎng)安全監(jiān)管和保密資格測評過程中最可信賴的安全工具。WAF解決方案需求分析隨著B/S模式應(yīng)用開發(fā)的發(fā)展，Web平臺承載了越來越多的核心業(yè)務(wù)，Web的開放性給工作方式帶來了高效、方便的同時也使業(yè)務(wù)重要信息完全暴露在危險中。Web應(yīng)用的威脅主要來自于以下幾個部分：Web網(wǎng)站早期開發(fā)者安全意識薄弱Web應(yīng)用程序和服務(wù)的增長已超越了當初程序開發(fā)人員所接受的安全培訓(xùn)和安全意識的范圍，給攻擊者留下大量可乘之機。有些已運行的WEB應(yīng)用系統(tǒng)由于難以更改、或更改成本過高，或系統(tǒng)已加密、或版權(quán)問題等原因無法更改也是WEB安全問題的重要原因。第三方內(nèi)容成風險源第三方內(nèi)容是現(xiàn)在網(wǎng)站編程里面經(jīng)常采用的一個技術(shù)，網(wǎng)站的制作者會把本身網(wǎng)頁里面嵌入一些第三方網(wǎng)站內(nèi)容的“指針”。這些網(wǎng)頁被客戶端瀏覽器打開的時候，瀏覽器會根據(jù)這些指針去采第三方網(wǎng)站上面的內(nèi)容，包括圖片、文字、flash和一些動態(tài)腳本等等。攻擊者利用這些內(nèi)容源對目標進行攻擊篡改Web系統(tǒng)數(shù)據(jù)攻擊者通過SQL注入等門戶網(wǎng)站應(yīng)用程序漏洞獲得網(wǎng)站系統(tǒng)權(quán)限后，可以進行網(wǎng)頁掛馬、網(wǎng)頁篡改、修改數(shù)據(jù)等活動。黑客可以通過網(wǎng)頁掛馬，利用被攻擊的網(wǎng)站作為后續(xù)攻擊的工具，致使更多人受害；也可以通過網(wǎng)頁篡改，丑化門戶網(wǎng)站的聲譽甚至造成政治影響；還也可以通過修改網(wǎng)站系統(tǒng)敏感數(shù)據(jù)，直接達到獲取利益的目的。Cookie監(jiān)聽、Cookie投毒惡意用戶通過對Cookie監(jiān)聽破譯用戶證書，篡改從服務(wù)器傳送到瀏覽器的cookie數(shù)據(jù)。網(wǎng)站常常將一些包括用戶ID、口令、賬號等的cookie存儲到用戶系統(tǒng)上，通過改變這些值，惡意的用戶就可以訪問不屬于他們的賬戶。方案設(shè)計規(guī)劃了互聯(lián)網(wǎng)DMZ區(qū)域，承載在WWW、FTP等外部應(yīng)用，特別是web應(yīng)用面臨著上述一系列威脅，因此需要專業(yè)的WAF（web應(yīng)用防火墻）抵御針對WEB的各類攻擊行為。Web應(yīng)用安全防護WAF需要防護基于HTTP/HTTPS/FTP協(xié)議的蠕蟲攻擊、木馬后門、CGI掃描、間諜軟件、灰色軟件、網(wǎng)絡(luò)釣魚、漏洞掃描、SQL注入攻擊及XSS攻擊等常見的Web攻擊；應(yīng)用層DOS攻擊防護WAF需要防護帶寬及資源耗盡型拒絕服務(wù)攻擊。XMLDoS攻擊防護是對HTTP請求中的XML數(shù)據(jù)流進行合規(guī)檢查，防止非法用戶通過構(gòu)造異常的XML文檔對Web服務(wù)器進行DoS攻擊；Web虛擬服務(wù)通過部署WAF來管理多個獨立的Web應(yīng)用，各Web應(yīng)用可采用不同的安全策略，可在不修改用戶網(wǎng)絡(luò)架構(gòu)的情況下增加新的應(yīng)用，為多元化的Web業(yè)務(wù)運營機構(gòu)提供顯著的運營優(yōu)勢與便利條件；Web請求信息的安全過濾針對HTTP請求，WAF能夠針對請求信息中的請求頭長度、Cookie個數(shù)、HTTP協(xié)議參數(shù)個數(shù)、協(xié)議參數(shù)值長度、協(xié)議參數(shù)名長度等進行限制。對于檢測出的不合規(guī)請求，允許進行丟棄或返回錯誤頁面處理；Web敏感信息防泄露WAF應(yīng)內(nèi)置敏感信息泄露防護策略，可以靈活定義HTTP錯誤時返回的默認頁面，避免因為Web服務(wù)異常，而導(dǎo)致的敏感信息（如：Web服務(wù)器操作系統(tǒng)類型、Web服務(wù)器類型、Web錯誤頁面信息、銀行卡卡號等）的泄露；Cookie防篡改WAF產(chǎn)品能夠針對Cookie進行簽名保護，避免Cookie在明文傳輸過程中被篡改。用戶可指定需要重點保護的Cookie，對于檢測出的不符合簽名的請求，允許進行丟棄或刪除Cookie處理，同時記錄相應(yīng)日志；網(wǎng)頁防篡改WAF產(chǎn)品可按照網(wǎng)頁篡改事件發(fā)生的時序，事中，實時過濾HTTP請求中混雜的網(wǎng)頁篡改攻擊流量（如SQL注入、XSS攻擊等）；事后，自動監(jiān)控網(wǎng)站所有需保護頁面的完整性，檢測到網(wǎng)頁被篡改，第一時間對管理員進行告警，對外仍顯示篡改前的正常頁面，用戶可正常訪問網(wǎng)站；Web業(yè)務(wù)的連續(xù)性作為串行安全防護設(shè)備，WAF需要考慮了Web系統(tǒng)業(yè)務(wù)連續(xù)性保障措施，以有效避免單點故障；方案效果保障網(wǎng)絡(luò)的可用性：以降低網(wǎng)絡(luò)故障、網(wǎng)絡(luò)攻擊、不合規(guī)網(wǎng)絡(luò)協(xié)議傳輸對Web應(yīng)用的影響為目標，主要包含網(wǎng)絡(luò)訪問控制、代理模式部署、協(xié)議合規(guī)、應(yīng)用層DoS防護等功能。保障Web應(yīng)用的安全性：以Web安全防護為主要目標，主要包含HTTP/HTTPS應(yīng)用防護、Web請求信息限制、Web敏感信息防護、Cookie防篡改、網(wǎng)頁防篡改、Web應(yīng)用防護事件庫升級等功能。保障Web應(yīng)用的快速訪問：以Web應(yīng)用交付為主要目標，主要包含SSL卸載、多服務(wù)器負載均衡、Web服務(wù)器訪問質(zhì)量監(jiān)控等功能。

運維審計系統(tǒng)需求分析運維審計系統(tǒng)，扮演著看門者的職責，所有對網(wǎng)絡(luò)設(shè)備和服務(wù)器的請求都要從這扇大門經(jīng)過。網(wǎng)神運維審計系統(tǒng)能夠攔截非法訪問和惡意攻擊，對不合法命令進行阻斷、過濾掉所有對目標設(shè)備的非法訪問行為。方案設(shè)計運維審計系統(tǒng)平臺采用協(xié)議分析、基于數(shù)據(jù)包還原虛擬化技術(shù)，實現(xiàn)操作界面模擬，將所有的操作轉(zhuǎn)換為圖形化界面予以展現(xiàn)，實現(xiàn)100%審計信息不丟失：針對運維操作圖形化審計功能的展現(xiàn)外，同時還能對字符進行分析，包括命令行操作的命令以及回顯信息和非字符型操作時鍵盤、鼠標的敲擊信息。系統(tǒng)支持的審計協(xié)議以及工具包括：字符串操作：SSH/Telnet（工具：SecureCRT/Putty/Xshell）圖形操作：RDP/VNC/X11/pcAnywhere/DameWare等其他協(xié)議：FTP/SFTP/Http/Https等數(shù)據(jù)庫工具:Oracle/sqlserver/Mysql客戶端工具平臺對用戶的管理權(quán)限嚴格分明，各司其職，分為系統(tǒng)管理員、審計管理員、運維管理員、口令管理員四種管理員角色，平臺也支持管理員角色的自定義創(chuàng)建，對管理權(quán)限進行細粒度設(shè)置，保障了平臺的用戶安全管理，以滿足審計需求平臺集用戶管理、身份認證、資源授權(quán)、訪問控制、操作審計為一體，有效地實現(xiàn)了事前預(yù)防、事中控制和事后審計。采用模塊化設(shè)計，單模塊故障不影響其他模塊使用，從而提高了平臺的健壯性、穩(wěn)定性，運維人員登陸可支持Portal統(tǒng)一登錄，并兼容終端C/S客戶端連接設(shè)備；審計平臺的認證方式可以與第三方的認證設(shè)備進行定制兼容。提供基于B/S的單點登錄系統(tǒng)，用戶通過訪問WEB頁面一次登錄系統(tǒng)后，就可以無需認證的訪問被授權(quán)的多種基于B/S和C/S的應(yīng)用系統(tǒng)(如有需要，可實現(xiàn)C/S架構(gòu)系統(tǒng)的定制開發(fā))。單點登錄為具有多賬號的用戶提供了方便快捷的訪問途經(jīng)，使用戶無需記憶多種登錄用戶ID和口令。它通過向用戶和客戶提供對其個性化資源的快捷訪問提高工作效率。同時，由于系統(tǒng)自身是采用強認證的系統(tǒng)，從而提高了用戶認證環(huán)節(jié)的安全性。單點登錄可以實現(xiàn)與用戶授權(quán)管理的無縫鏈接，可以通過對用戶、角色、行為和資源的授權(quán)，增加對資源的保護和對用戶行為的監(jiān)控及審計。集中賬號管理包含對所有服務(wù)器、網(wǎng)絡(luò)設(shè)備賬號的集中管理。賬號和資源的集中管理是集中授權(quán)、認證和審計的基礎(chǔ)。集中賬號管理可以完成對賬號整個生命周期的監(jiān)控和管理，而且還降低了管理大量用戶賬號的難度和工作量。同時，通過統(tǒng)一的管理還能夠發(fā)現(xiàn)賬號中存在的安全隱患，并且制定統(tǒng)一的、標準的用戶賬號安全策略。通過建立集中賬號管理，單位可以實現(xiàn)將賬號與具體的自然人相關(guān)聯(lián)。通過這種關(guān)聯(lián)，可以實現(xiàn)多級的用戶管理和細粒度的用戶授權(quán)。而且，還可以實現(xiàn)針對自然人的行為審計，以滿足審計的需要。為用戶提供統(tǒng)一的認證接口。采用統(tǒng)一的認證接口不但便于對用戶認證的管理，而且能夠采用更加安全的認證模式，提高認證的安全性和可靠性。集中身份認證支持電子證書、WindowsAD域、WindowsKerberos、雙因素、動態(tài)口令和生物特征識別等多種認證方式，而且系統(tǒng)具有靈活的定制接口，可以方便的與第三方LDAP認證服務(wù)器對接。提供統(tǒng)一的界面，對用戶、角色及行為和資源進行授權(quán)，以達到對權(quán)限的細粒度控制，最大限度保護用戶資源的安全。通過集中訪問授權(quán)和訪問控制可以對用戶通過B/S、C/S對服務(wù)器主機、網(wǎng)絡(luò)設(shè)備的訪問進行審計和阻斷。在集中訪問授權(quán)里強調(diào)的“集中”是邏輯上的集中，而不是物理上的集中。即在各網(wǎng)絡(luò)設(shè)備、服務(wù)器主機系統(tǒng)中可能擁有各自的權(quán)限管理功能，管理員也由各自的歸口管理部門委派，但是這些管理員在運維審計系統(tǒng)上，可以對各自的管理對象進行授權(quán)，而不需要進入每一個被管理對象才能授權(quán)。授權(quán)的對象包括用戶、用戶角色、資源和用戶行為。系統(tǒng)不但能夠授權(quán)用戶可以通過什么角色訪問資源這樣基于應(yīng)用邊界的粗粒度授權(quán)，對某些應(yīng)用還可以限制用戶的操作，以及在什么時間進行操作等的細粒度授權(quán)。能夠提供細粒度的訪問控制，最大限度保護用戶資源的安全。細粒度的命令策略是命令的集合，可以是一組可執(zhí)行命令，也可以是一組非可執(zhí)行的命令，該命令集合用來分配給具體的用戶，來限制其系統(tǒng)行為，管理員會根據(jù)其自身的角色為其指定相應(yīng)的控制策略來限定用戶。訪問控制策略是保護系統(tǒng)安全性的重要環(huán)節(jié)，制定良好的訪問策略能夠更好的提高系統(tǒng)的安全性。基于細粒度的訪問控制下，做到：Who（誰）：控制什么用戶允許操作Where（什么地點）：控制來源于什么地址的用戶允許訪問什么資源When（什么時間）：控制在什么時間允許用戶操作What（做了什么）：控制用戶執(zhí)行的操作操作審計管理主要審計操作人員的賬號使用（登錄、資源訪問）情況、資源使用情況等。在各服務(wù)器主機、網(wǎng)絡(luò)設(shè)備的訪問日志記錄都采用統(tǒng)一的賬號、資源進行標識后，操作審計能更好地對賬號的完整使用過程進行追蹤。系統(tǒng)支持對如下協(xié)議進行審計：Telnet、FTP、SSH、RDP（WindowsTerminal）、Xwindows、VNC等。通過系統(tǒng)自身的用戶認證系統(tǒng)、用戶授權(quán)系統(tǒng)，以及訪問控制等詳細記錄整個會話過程中用戶的全部行為日志。還可以將產(chǎn)生的日志傳送給第三方。對于生成的日志支持豐富的查詢和操作：支持按服務(wù)器方式進行查詢。通過對特定服務(wù)器地址進行查詢，可以發(fā)現(xiàn)該服務(wù)器上發(fā)生的命令和行為。支持按用戶名方式進行查詢。通過對用戶名進行查詢，可以發(fā)現(xiàn)該用戶的所有行為。方案效果實現(xiàn)對用戶帳號的統(tǒng)一管理和維護在實現(xiàn)集中帳號管理前，每一個新上線系統(tǒng)均需要建立一套新的用戶帳號管理系統(tǒng)，并且分別由各自的管理員負責維護和管理。這種相對獨立的帳號管理系統(tǒng)不僅建設(shè)前期投入成本較高，而且后期管理維護成本也會成倍增加。而通過網(wǎng)絡(luò)審計系統(tǒng)的集中帳號管理，可實現(xiàn)對IT系統(tǒng)所需的帳號基礎(chǔ)信息（包括用戶身份信息、機構(gòu)部門信息、其他公司相關(guān)信息，以及生命周期信息等）進行標準化的管理，能夠為各IT系統(tǒng)提供基礎(chǔ)的用戶信息源。通過統(tǒng)一用戶信息維護入口，保證各系統(tǒng)的用戶帳號信息的唯一性和同步更新。解決用戶帳號共享問題主機、數(shù)據(jù)庫、網(wǎng)絡(luò)設(shè)備、應(yīng)用系統(tǒng)中存在大量的共享帳號，當發(fā)生安全事故時，難于確定帳號的實際使用者，通過部署網(wǎng)絡(luò)審計系統(tǒng)，可以解決共享帳號問題。解決帳號鎖定問題用戶登錄失敗五次，應(yīng)對帳號進行鎖定。網(wǎng)絡(luò)設(shè)備、主機、數(shù)據(jù)庫系統(tǒng)等大都不支持帳號鎖定功能。通過部署網(wǎng)絡(luò)審計系統(tǒng)，可以實現(xiàn)用戶帳號鎖定、一鍵刪除等功能。提供集中身份認證服務(wù)實現(xiàn)用戶訪問IT系統(tǒng)的認證入口集中化和統(tǒng)一化，并實現(xiàn)高強度的認證方式，使整個IT系統(tǒng)的登錄和認證行為可控制及可管理，從而提升業(yè)務(wù)連續(xù)性和系統(tǒng)安全性。實現(xiàn)用戶密碼管理，滿足SOX法案內(nèi)控管理的要求多數(shù)企業(yè)對主機、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫的訪問都是基于“用戶名+靜態(tài)密碼”訪問，密碼長期不更換，密碼重復(fù)嘗試的次數(shù)也沒有限制，這些都不能滿足SOX法案內(nèi)控管理的需求。僅通過制度要求用戶在密碼更換、密碼設(shè)定等方面滿足SOX相關(guān)要求，無法在具體執(zhí)行過程中對用戶進行有效監(jiān)督和檢查。網(wǎng)絡(luò)審計系統(tǒng)通過建設(shè)集中的認證系統(tǒng)，并結(jié)合集中帳號管理的相關(guān)功能，實現(xiàn)用戶密碼管理，密碼自動變更，提高系統(tǒng)