【正文】 害，必需在企業(yè)的安全管理策略中加強(qiáng)對補(bǔ)丁升級、系統(tǒng)安全配置的管理。 終端標(biāo)準(zhǔn)化運(yùn)維管理系統(tǒng)實(shí)現(xiàn)”零管理“ 設(shè)計(jì)思路與技術(shù)實(shí)現(xiàn)隨著XX省XX醫(yī)院的終端數(shù)量的不斷增長，而且目前XX省XX醫(yī)院的信息管理人員的缺乏，所使用的管理工具的復(fù)雜性，都要求有一套高效，統(tǒng)一的終端標(biāo)準(zhǔn)運(yùn)維管理系統(tǒng)，能在一個(gè)統(tǒng)一的管理平臺(tái)上實(shí)現(xiàn)大部分的終端運(yùn)維管理需求功能，比如軟件和補(bǔ)丁的分發(fā)，遠(yuǎn)程維護(hù)，系統(tǒng)的統(tǒng)一部署和恢復(fù)，所有終端軟硬件的資產(chǎn)信息收集管理和終端定位等。 資產(chǎn)信息自動(dòng)收集（如計(jì)算機(jī)硬件信息、安裝的軟件包、操作系統(tǒng)配置等）252。252。 支持快速部署多種設(shè)備：桌面PC、筆記本系統(tǒng)遷移以及部署252。 裸機(jī)部署支持B/S結(jié)構(gòu)，使用方便252。 簡化軟件安裝管理（完全控制臺(tái)遠(yuǎn)程操作）252。 支持低帶寬下的軟件分發(fā)，支持軟件分發(fā)帶寬管理，支持軟件分發(fā)的斷點(diǎn)續(xù)傳252。 可以生成軟件分發(fā)結(jié)果報(bào)告：讓系統(tǒng)管理員準(zhǔn)確了解分發(fā)結(jié)果。舉個(gè)例子，安裝新軟件或進(jìn)行應(yīng)用升級時(shí)，然后，既有可能引發(fā)應(yīng)用故障，也有可能導(dǎo)致已修復(fù)的安全漏洞的再次爆發(fā)。軟件虛擬化簡化了部署前的測試，加快了部署周期，削減了部署后的支持成本。252。r 終端補(bǔ)丁管理功能（全自動(dòng)化）終端補(bǔ)丁管理功能，可以實(shí)現(xiàn)：252。 補(bǔ)丁可用性測試，減少補(bǔ)丁對應(yīng)用的影響：一些補(bǔ)丁程序可能會(huì)導(dǎo)致系統(tǒng)或者應(yīng)用程序的不穩(wěn)定，所以管理員需要在安裝前進(jìn)行測試。 可實(shí)時(shí)查看用戶的進(jìn)程信息，結(jié)束非法的進(jìn)程（避免非法進(jìn)程）252。 可以實(shí)時(shí)查看內(nèi)存使用情況（獲知計(jì)算機(jī)的內(nèi)存使用是否出現(xiàn)高負(fù)載以及大量的資源空閑）252。 能夠支持Intel vPro（支持非windows狀態(tài)的管理）252。 可選用戶確認(rèn)登錄模式（避免最終用戶的抵觸）252。所有的運(yùn)維管理策略和操作通過控制臺(tái)根據(jù)設(shè)定的范圍統(tǒng)一下發(fā)到內(nèi)網(wǎng)終端上執(zhí)行。由于這類對HIS核心系統(tǒng)的醫(yī)療信息查詢是透過SQL語句查詢來完成，對這類SQL語句的監(jiān)控比較難以僅僅通過部署網(wǎng)絡(luò)位置上的網(wǎng)絡(luò)內(nèi)容偵聽的方式來完成，因?yàn)橐ㄟ^分析多條SQL語句的上下文內(nèi)容關(guān)聯(lián)才能準(zhǔn)確知道是否該查詢操作是一個(gè)違規(guī)的查詢請求。第二部：通過對不同系統(tǒng)的，網(wǎng)絡(luò)的日志信息的收取，然后和HIS系統(tǒng)產(chǎn)生的訪問日志進(jìn)行關(guān)聯(lián)分析，我們可更準(zhǔn)確的得知那個(gè)內(nèi)部用戶/IP,在什么時(shí)間，什么位置，試圖嘗試了對HIS系統(tǒng)內(nèi)部醫(yī)療機(jī)密信息的違規(guī)查詢行為，并生成告警事件和報(bào)告報(bào)表對違規(guī)用戶進(jìn)行進(jìn)一步的調(diào)查和違規(guī)教育，第三步：最后根據(jù)設(shè)定，完成事件的歸檔存儲(chǔ)，以便能在以后調(diào)出歸檔數(shù)據(jù)進(jìn)行進(jìn)一步的審計(jì)分析或作為事件調(diào)查的證據(jù)證明。終端行為審計(jì)監(jiān)控系統(tǒng)總體架構(gòu)分為四個(gè)層次：1. 信息收集層面該層面面向原始設(shè)備（如安全設(shè)備、主機(jī)設(shè)備），從這些原始設(shè)備中收集安全事件。 SNMP等216。該層面是 安全事件管理系統(tǒng)事件處理中樞。此處的數(shù)據(jù)過濾可通過兩種方式來進(jìn)行：一個(gè)是在原始設(shè)備處根據(jù)原始數(shù)據(jù)的ID和關(guān)鍵特征進(jìn)行前期的數(shù)據(jù)過濾；另外一種是在終端行為審計(jì)監(jiān)控系統(tǒng)的基礎(chǔ)平臺(tái)上通過界面配置的方式進(jìn)行事件過濾。4. 呈現(xiàn)界面終端行為審計(jì)監(jiān)控系統(tǒng)全部以Web方式展現(xiàn)，管理員可以在本地和遠(yuǎn)程通過 安全事件管理系統(tǒng) 門戶網(wǎng)站對 安全事件管理系統(tǒng)進(jìn)行管理。 配置管理216。 安全預(yù)警管理216。這么一系列的防護(hù)措施和安全策略我們都需要一個(gè)有效的機(jī)制保證這些防護(hù)策略和防護(hù)方案已經(jīng)完完全全的在終端上得到了有效的執(zhí)行，確保進(jìn)入XX省XX醫(yī)院的內(nèi)部網(wǎng)絡(luò)中的所有終端均已完全滿足了XX省XX醫(yī)院的所有安全安全防護(hù)策略要求才能進(jìn)入內(nèi)部網(wǎng)絡(luò)訪問內(nèi)部資源。這種方式下管理員不需要去定位交換機(jī)端口，并拔出網(wǎng)線。這種方式最易實(shí)現(xiàn)，不需要和網(wǎng)絡(luò)中其他強(qiáng)制服務(wù)器發(fā)生任何關(guān)系. 如果系統(tǒng)沒有通過主機(jī)完整性準(zhǔn)入檢測, 將自動(dòng)切換到一套隔離策略以阻斷網(wǎng)絡(luò)通訊然后開始執(zhí)行完整性恢復(fù)操作； ；當(dāng)用戶沒有安裝安全客戶端軟件或者雖然安裝了安全客戶端軟件但是主機(jī)安全檢查不合格時(shí)，局域網(wǎng)的網(wǎng)絡(luò)準(zhǔn)入控制系統(tǒng)可以通知交換機(jī)將該用戶連接的交換機(jī)端口關(guān)閉，或者通知交換機(jī)將該用戶的端口VLAN切換到修復(fù)VLAN，強(qiáng)迫用戶完成安全修復(fù)后才將用戶切換回正常VLAN，可以正常訪問XX省XX醫(yī)院的內(nèi)部網(wǎng)絡(luò)和資源。只有安全性達(dá)標(biāo)的用戶才能訪問強(qiáng)制網(wǎng)關(guān)后的局域網(wǎng)或者服務(wù)器資源；當(dāng)用戶透過強(qiáng)制網(wǎng)關(guān)設(shè)備進(jìn)行網(wǎng)絡(luò)互訪時(shí)，用戶的訪問方式（應(yīng)用，受訪資源等）也受到嚴(yán)格管理，非標(biāo)準(zhǔn)訪問方式被禁止使用；當(dāng)對用戶的安全檢查不合格時(shí)，強(qiáng)制網(wǎng)關(guān)對這些用戶進(jìn)行隔離操作，只容許訪問強(qiáng)制網(wǎng)關(guān)后的個(gè)別IP地址，用以提供對修復(fù)資源的下載訪問。 準(zhǔn)入控制策略設(shè)置與管理終端準(zhǔn)入控制系統(tǒng)與終端安全綜合防護(hù)系統(tǒng)需要在一個(gè)統(tǒng)一的控制臺(tái)下實(shí)現(xiàn)所有的策略和終端管理，并可實(shí)現(xiàn)分級分權(quán)限的管理，滿足不同部門和區(qū)域的準(zhǔn)入管理需求：216。216。 216。此外， Enforcer 網(wǎng)絡(luò)準(zhǔn)入控制器， SNAC LAN Enforcer的準(zhǔn)入控制聯(lián)動(dòng).第5章 系統(tǒng)及硬件配置 硬件配置項(xiàng)目名稱型號功能描述數(shù)量價(jià)格1數(shù)據(jù)庫服務(wù)器Windows Server 2003企業(yè)版16G 內(nèi)存以上， 4個(gè)雙核以上CPU，800G以上硬盤,用于部署終端安全綜合防護(hù)系統(tǒng)、準(zhǔn)入控制系統(tǒng)、標(biāo)準(zhǔn)化運(yùn)維管理系統(tǒng)的統(tǒng)一數(shù)據(jù)庫1臺(tái)2管理服務(wù)器Windows Server 2003/2008企業(yè)版，16G 內(nèi)存，4核服務(wù)器級別CPU，500G 硬盤以上用于部署終端安全綜合防護(hù)系統(tǒng)、準(zhǔn)入控制系統(tǒng)、標(biāo)準(zhǔn)化運(yùn)維管理系統(tǒng)的管理服務(wù)器端軟件1臺(tái)3終端行為審計(jì)監(jiān)控系統(tǒng)采集服務(wù)器建議16G內(nèi)存，4核服務(wù)區(qū)級別CPU，1TB以上硬盤硬件必須經(jīng)過認(rèn)證，能夠運(yùn)行 Red Hat Enterprise Linux 32 位。 部署方案，這種控制方式的控制力度和范圍能覆蓋所有內(nèi)網(wǎng)終端的訪問。216。216。對于那些連接到醫(yī)院網(wǎng)絡(luò)又沒有安裝Symantec客戶端軟件的用戶, 管理員可以使用Windows彈出消息通知他們需要安裝Symantec客戶端軟件；當(dāng)用戶試圖通過邊界網(wǎng)絡(luò)準(zhǔn)入控制系統(tǒng)的認(rèn)證時(shí)，如果邊界網(wǎng)絡(luò)準(zhǔn)入控制系統(tǒng)檢查出用戶端沒有安裝安全客戶端軟件或者是用戶端的主機(jī)完整性檢測不合格，會(huì)把用戶的訪問請求重定向到一個(gè)企業(yè)內(nèi)部指定的URL。能夠確保所有的通訊只可能發(fā)生在被醫(yī)院正常管理下的客戶端之間進(jìn)行，同時(shí)，這些客戶端必須符合醫(yī)院制定的每一項(xiàng)安全檢查策略。通過在終端準(zhǔn)入控制系統(tǒng)管理控制臺(tái)創(chuàng)建一個(gè)隔離組，然后為該組分配特定的隔離策略。保證了XX省XX醫(yī)院的安全建設(shè)效果，加強(qiáng)了XX省XX醫(yī)院的防護(hù)能力。 終端準(zhǔn)入控制系統(tǒng)強(qiáng)制隔離”非法終端“ 設(shè)計(jì)思路和技術(shù)實(shí)現(xiàn)如前所述，XX省XX醫(yī)院前期已經(jīng)部署了一定的終端安全防護(hù)措施，制定了較為嚴(yán)格的終端安全防護(hù)策略。 響應(yīng)管理216。 安全事件管理216。3. 綜合處理層面綜合處理層面一方面可以為協(xié)調(diào)分析層面提供數(shù)據(jù)來源（如資產(chǎn)信息，安全策略管理信息等），另一方面要協(xié)調(diào)各方進(jìn)行重要安全風(fēng)險(xiǎn)的發(fā)布和處理。此時(shí)，可能會(huì)形成海量數(shù)據(jù)進(jìn)入數(shù)據(jù)庫。 OPSEC同時(shí)，在事件收集層面提供“Universal Collector”（即“通用事件收集器”）為新增設(shè)備預(yù)留接口。 Syslog216。同時(shí)通過這套行為審計(jì)系統(tǒng)的部署，還能實(shí)現(xiàn)對XX省XX醫(yī)院整體安全能有一個(gè)全局性的監(jiān)控，我們掌握的安全報(bào)告和分析，不再僅僅是片面的某個(gè)系統(tǒng)的安全事件，而是結(jié)合多個(gè)系統(tǒng)的整體安全事件和分析報(bào)告。因此，通過部署終端行為審計(jì)監(jiān)控系統(tǒng)實(shí)現(xiàn)對不當(dāng)操作行為的審計(jì)：第一步：通過對HIS系統(tǒng)，網(wǎng)絡(luò)設(shè)備，終端HIS客戶端系統(tǒng)等不同系統(tǒng)所產(chǎn)生的日志來進(jìn)行收集。 終端行為審計(jì)監(jiān)控系統(tǒng)監(jiān)測”不當(dāng)操作行為“ 設(shè)計(jì)思路與技術(shù)實(shí)現(xiàn)