【文章內(nèi)容簡介】 的整體安全防御能力 及管理能力 。 H3C“全局安全管理平臺(tái)” 由策略管理、事件采集、分析決策、協(xié)同響應(yīng)四個(gè)組件構(gòu)成，與網(wǎng)絡(luò)中的安全 設(shè)備 、網(wǎng)絡(luò)設(shè)備、用戶終端等獨(dú)立功能部件通過各種信息交互接口形成一個(gè)完整的 協(xié)同防 御體系 全局安全管理平臺(tái) 旨在集中部署網(wǎng)絡(luò)安全 防護(hù) 策略，簡化對(duì)安全部件的管理，確保網(wǎng)絡(luò)安全策略的統(tǒng)一；廣泛采集與分析來自于計(jì)算機(jī)、網(wǎng)絡(luò)、存儲(chǔ)、安全等設(shè)施的告警事件，通過關(guān)聯(lián)來自于不同地點(diǎn)、不同層次、不同類型的安全事件，發(fā)現(xiàn)真正的安全風(fēng)險(xiǎn)，提高安全報(bào)警的信噪比；準(zhǔn)確的、實(shí)時(shí)的評(píng)估當(dāng)前的網(wǎng)絡(luò)安全態(tài)勢(shì)和風(fēng)險(xiǎn)，并根據(jù)預(yù)先制定的策略做出快速響應(yīng)。其基本功能包括： 組件的模塊化架構(gòu) 各功能部件以模塊化方式組成，架構(gòu)簡單明晰，易于擴(kuò)展，醫(yī)院系統(tǒng)網(wǎng)絡(luò)中可根據(jù)實(shí)際情況進(jìn)行組件的選配。 管理、分析、響應(yīng)一體化 當(dāng)安全事件發(fā)生時(shí)， H3C 安全管理中心能夠迅速察覺、準(zhǔn)確定位，更重要的是能夠及時(shí)制定合理的、一致的、完備的安全策略， 在現(xiàn)有安全設(shè)施的基礎(chǔ)上 形成了 一個(gè) 智能的 安全防御體系，大幅度提高 了 用戶網(wǎng)絡(luò)的整體安全防御能力。 智能報(bào)表自動(dòng)生成 網(wǎng)絡(luò)建設(shè)后實(shí)現(xiàn)多種控制，但我們需要對(duì)其進(jìn)行直觀的反映各方面工作，需要大量報(bào)表，智能報(bào)表系統(tǒng)將解決這一問題，生成符合實(shí)際應(yīng)用的職能化報(bào)表。 本次的智能管理系統(tǒng)建設(shè)中，我們選用 IMC 管理平臺(tái)來作為整網(wǎng)智能管理的支撐，在平臺(tái)之上，后期可添加 NTA 網(wǎng)流分析、 UBA 行為審計(jì)、 WSM 無線管理、IAR 智能報(bào)表等功能組 件，以實(shí)現(xiàn)全網(wǎng)智能管理的各功能。 無線網(wǎng)絡(luò) 設(shè)計(jì) 伴隨著臨床信息化，醫(yī)院正逐步地實(shí)現(xiàn)無紙化、無膠片化和無線化。無線局域網(wǎng)技術(shù)的不斷成熟和普及，使 WLAN 在全球醫(yī)療行業(yè)中的應(yīng)用已經(jīng)成為了一種趨勢(shì)。特別是具有靈活、方便性的無線局域網(wǎng)技術(shù)在安全、穩(wěn)定性得到很好保證的前提下，其在醫(yī)療領(lǐng)域的應(yīng)用就更加廣泛和有效了。作為醫(yī)院有線局域網(wǎng)的補(bǔ)充， WLAN 有效地克服了有線網(wǎng)絡(luò)的弊端，醫(yī)護(hù)人員利用 PDA、平板無線電腦和移動(dòng)手推車電腦隨時(shí)隨地進(jìn)行生命 體征數(shù)據(jù)采集、醫(yī)護(hù)數(shù)據(jù)的查詢與錄入、移動(dòng)查房、床邊護(hù)理、呼叫通信、護(hù)理監(jiān) 控、藥物配送、病人標(biāo)識(shí)碼識(shí)別，以及基于WLAN 的語音多媒體等應(yīng)用，充分發(fā)揮醫(yī)療信息系統(tǒng)的效能，突出數(shù)字化醫(yī)院的技術(shù)優(yōu)勢(shì)。 大樓無線網(wǎng)絡(luò)采用有線與無線相結(jié)合的方式布局 ,在每個(gè)樓層分別放置 2 個(gè)無線局域網(wǎng) AP 接入點(diǎn) , AP 接入點(diǎn)與樓層接入交換機(jī)連接，并從獲得工作電壓。實(shí)現(xiàn)樓層移動(dòng)用戶的接入 ,同時(shí)采用 VLAN 功能以確保局網(wǎng)絡(luò)安全。 本次 xx 中醫(yī)學(xué)院附屬針灸醫(yī)院 無線網(wǎng)絡(luò)暫考慮線纜敷設(shè)預(yù)留，無線設(shè)備暫不設(shè)計(jì)。 網(wǎng)絡(luò)安全 設(shè)計(jì) 網(wǎng)絡(luò)安全設(shè)計(jì)在前面內(nèi)、外網(wǎng)設(shè)計(jì)時(shí)也做了簡單描述，主要是針對(duì)我方此次選用的設(shè)備 在安全上進(jìn)行了闡述，下面就針灸醫(yī)院計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)影響網(wǎng)絡(luò)安全的各個(gè)因素以及防范措施進(jìn)行一個(gè)設(shè)計(jì)闡述： xx 中醫(yī)學(xué)院附屬針灸醫(yī)院 內(nèi) 、外 網(wǎng)網(wǎng)絡(luò)安全建設(shè)的內(nèi)容主要是防御各種網(wǎng)絡(luò)病毒如 ARP 欺騙、各種原因的異常流量對(duì)核心區(qū)的沖擊如線路老化短路或因員工不小心造成的網(wǎng)絡(luò)環(huán)路、來自互聯(lián)網(wǎng)的黑客入侵并被植入木馬成為傀儡機(jī)進(jìn)行重要信息的竊取等。需將用戶、終端、交換機(jī)、 IDS 等整合起來，全方位得制定安全策略，徹底保證 信息安全。 建立信息等級(jí)保護(hù)體系，分域分級(jí)保護(hù) 依照國家提出的信息等級(jí)保護(hù)條列， GSN 可根據(jù)網(wǎng)絡(luò)使 用者的任務(wù)和職務(wù)分工的不同，為其分配相應(yīng)的網(wǎng)絡(luò)信息使用權(quán)限，以保證使用普通員工的帳號(hào)不能訪問內(nèi)網(wǎng)核心業(yè)務(wù)系統(tǒng)和關(guān)鍵數(shù)據(jù)。 防止網(wǎng)絡(luò)數(shù)據(jù)竊聽 局域網(wǎng)內(nèi)部計(jì)算機(jī)和計(jì)算機(jī)之間以明文的形式傳遞數(shù)據(jù)，因此數(shù)據(jù)很容易遭 受到內(nèi)部用戶 或被黑客獲取控制權(quán)的電腦終端 的竊聽分析 。 GSN 通過嚴(yán)格限制用戶在終端電腦上安裝軟件（包括網(wǎng)絡(luò)偵聽軟件），以及與 IDS 入侵檢測(cè)系統(tǒng)聯(lián)動(dòng)，實(shí)時(shí)監(jiān)控內(nèi) 、外 網(wǎng)中的網(wǎng)絡(luò)行為，一旦發(fā)現(xiàn)非法的網(wǎng)絡(luò)行為， GSN 實(shí)時(shí)將竊聽者隔離出網(wǎng)絡(luò)，并同時(shí)發(fā)送警告信息和做日志記錄。 防止信息的外泄 網(wǎng)絡(luò)邊界存在多種威脅，這些威脅可以是基于網(wǎng)絡(luò)（撥號(hào)、 ADSL 和網(wǎng)絡(luò)代理等）的非法外聯(lián)和非法接入，也可以是基于終端計(jì)算機(jī)輸入輸出設(shè)備的信息泄漏 。 GSN 能夠完全禁止用戶非法外聯(lián)和非法接入，以及能夠禁止終端計(jì)算機(jī)使用外接端口（如 USB 接口、打印接口等）。一旦有用戶企圖使用非法外聯(lián)和非法接入， GSN 將立即隔離該終端用戶，禁止其使用網(wǎng)絡(luò)。同時(shí)發(fā)送警告信息和做日志記錄。 防止網(wǎng)絡(luò)終端濫用 網(wǎng)絡(luò)中的終端計(jì)算機(jī)被工作人員隨意用于其它用途，而且由于工作人員可隨意安裝軟件，容易造成信息的外泄以及計(jì)算機(jī) 系統(tǒng)的崩潰。 GSN 通過制定軟件的黑白名單，限制或允許工作人員安裝軟件，從而防止信息的外泄和系統(tǒng)的崩潰。 全方位自動(dòng)防御 ARP 欺騙 ARP 欺騙分為網(wǎng)關(guān)欺騙和主機(jī)欺騙兩種，如需徹底防范 ARP 欺騙的威脅，需同時(shí)在網(wǎng)關(guān)、接入交換機(jī)和終端電腦上綁定對(duì)應(yīng)的正確 ARP 信息。如手工開展三種綁定信息，工作量巨大，且日常維護(hù)非常困難。 GSN 能夠通過 RGSMP 安全管理平臺(tái)自動(dòng)向網(wǎng)關(guān)、接入交換機(jī)和認(rèn)證終端下發(fā)正確的對(duì)應(yīng) ARP 信息，同時(shí)并自動(dòng)綁定。從而自動(dòng)得徹底防御 ARP 欺騙。 設(shè)備選型 本次針灸醫(yī)院病 房綜合大樓 的 計(jì)算機(jī)網(wǎng)絡(luò) 系統(tǒng) 以及老樓計(jì)算機(jī)品牌，我方經(jīng)過認(rèn)真考慮， 選用高性價(jià)比的 杭州華三通信技術(shù)有限公司 系列產(chǎn)品。 設(shè)備廠家介紹 杭州華三通信技術(shù)有限公司（簡稱 H3C）， 致力于 IP 技術(shù)與產(chǎn)品的研究、開發(fā)、生產(chǎn)、銷售及服務(wù)。 2020 年 H3C 年銷售額 11 億美元，在國內(nèi) 30 個(gè)省市區(qū)設(shè)有分支機(jī)構(gòu)。目前公司有員工 4800 人，其中研發(fā)人員占 55％。 H3C 每年將銷售額的 15％以上用于研發(fā)投入，在中國的北京、杭州和深圳設(shè)有研發(fā)機(jī)構(gòu)，在北京和杭州設(shè)有可靠性試驗(yàn)室以及產(chǎn)品鑒定測(cè)試中心。截至 2020年 12 月， H3C 已 申請(qǐng)專利超過 3000 件，其中發(fā)明專利占 85％，在中國通信企業(yè)中位居前三。 H3C 已參與中國通信標(biāo)準(zhǔn)化協(xié)會(huì)及 IETF, SMTA, SPC,PCISIG, WiFi, USB, SNIA, VCCI 等國際標(biāo)準(zhǔn)組織。 H3C 始終聚焦 IP 技術(shù)領(lǐng)域創(chuàng)新進(jìn)步，以覆蓋 IP 網(wǎng)絡(luò)、 IP 安全、 IP 多媒體及 IP 存儲(chǔ)的全面的產(chǎn)品線為積累逐步形成下一代數(shù)據(jù)中心解決方案、基礎(chǔ)網(wǎng)絡(luò)解決方案和多媒體通信解決方案三大解決方案集群，并迅速得到廣泛應(yīng)用，占領(lǐng)了 IT 發(fā)展潮流的制高點(diǎn)。 2020 年， H3C 在數(shù)據(jù)中心、廣域骨干網(wǎng)等高端市場(chǎng)取得巨大 進(jìn)展，贏得眾多高端客戶的親睞，在運(yùn)營商數(shù)據(jù)中心和城域網(wǎng)取得突破，取得渠道和客戶的廣泛信賴與認(rèn)可。 根植中國， H3C 始終以 “ 為客戶創(chuàng)造價(jià)值 ” 作為公司發(fā)展的源動(dòng)力，不斷細(xì)分客戶需求。到 2020 年底， H3C 已服務(wù)于 70%以上的中央部委、 “ 十二金工程 ” 中的九個(gè)全國骨干網(wǎng)，四大國有商業(yè)銀行， 500 強(qiáng)企業(yè)中的 350 家，全部 “211” 高校和 “985” 高校，超過 180 個(gè)城市的平安工程，并規(guī)模服務(wù)于電信、移動(dòng)、聯(lián)通、廣電等運(yùn)營商市場(chǎng)。 在全球市場(chǎng)， H3C 研發(fā)和生產(chǎn)的產(chǎn)品服務(wù)近百個(gè)國家和地區(qū)，客戶包括惠普、夢(mèng)工廠、瑞士電信、 西班牙電信、英國沃達(dá)豐、巴西電信、法國國鐵、法國標(biāo)致雪鐵龍集團(tuán)、俄羅斯聯(lián)邦儲(chǔ)蓄銀行、澳大利亞昆士蘭政府、美國麻省理工學(xué)院、日本神戶大學(xué)、韓國三星電子等。 設(shè)備醫(yī)院案例 序號(hào) 醫(yī)院名稱 備注 H3C 交換機(jī) 系統(tǒng) 1 廣州市人民醫(yī)院 2 山東省立醫(yī)院 3 上海交通大學(xué)附屬第一人民醫(yī)院 4 同濟(jì)醫(yī)院 5 青島市立醫(yī)院 6 紹興市人民醫(yī)院 7 廣西壯族自治區(qū)人民醫(yī)院 主主 要要 設(shè)設(shè) 備備 技技 術(shù)術(shù) 參參 數(shù)數(shù) H3C S7500E 高高 端端 多多 業(yè)業(yè) 務(wù)務(wù) 核核 心心 交交 換換 機(jī)機(jī) （（ 內(nèi)內(nèi) 、 外外 網(wǎng)網(wǎng) ）） 產(chǎn)品概述 : H3C S7500E 系列產(chǎn)品是杭州華三通信技術(shù)有限公司（以下簡稱 H3C 公司）面向融合業(yè)務(wù)網(wǎng)絡(luò)的高端多業(yè)務(wù)路由交換機(jī)，該產(chǎn)品基于 H3C 自主知識(shí)產(chǎn)權(quán)的Comware V5 操作系統(tǒng)，以第二代智能彈性架構(gòu) (IRF,Intelligent Resilient Framework)為系統(tǒng)基石的虛擬化軟件系統(tǒng)，進(jìn)一步融合 MPLS VPN、 IPv網(wǎng)絡(luò)安全、無線、無源光網(wǎng)絡(luò)等多種網(wǎng)絡(luò)業(yè)務(wù)，提供不間斷轉(zhuǎn)發(fā)、不間斷升級(jí)、優(yōu)雅重啟、環(huán)網(wǎng)保護(hù)等多種高可靠技術(shù)，在提高用戶生產(chǎn)效率的同時(shí)，保證了網(wǎng) 絡(luò)最大正常運(yùn)行時(shí)間，從而降低了客戶的總擁有成本（ TCO）。 H3C S7500E 符合 “ 限制電子設(shè)備有害物質(zhì)標(biāo)準(zhǔn)（ RoHS） ” ，是綠色環(huán)保的路由交換機(jī)。 H3C S7500E 系列包括 S7510E（ 12 槽）、 S7506E（ 8 槽）、 S7506EV（垂直 8槽）、 H3C S7506ES（ 8 槽）、 S7503E（ 5 槽）、 7503ES（ 3 槽）和 S7502E(4 槽 )7款產(chǎn)品，除了 7503ES 所有產(chǎn)品均支持冗余主控。 H3C S7500E 可廣泛應(yīng)用于城域網(wǎng)、數(shù)據(jù)中心、園區(qū)網(wǎng)核心和匯聚等多種網(wǎng)絡(luò)環(huán)境，為用戶提供了有線無線一體 化、有源無源一體化的行業(yè)解決方案。 產(chǎn)品特點(diǎn) ： 基于 IRF2（第二代智能彈性架構(gòu)）技術(shù)的虛擬化架構(gòu) H3C S7500E 面向數(shù)據(jù)中心技術(shù)的演進(jìn)，推出了 IRF2 為代表的軟件虛擬化技術(shù)，提供多臺(tái)主機(jī)的協(xié)同工作、統(tǒng)一管理和不間斷維護(hù)功能； IRF2 不僅成為數(shù)據(jù)中心交換設(shè)備高性能、虛擬化的關(guān)鍵技術(shù)，而且對(duì)于傳統(tǒng)企業(yè)網(wǎng)應(yīng)用， IRF2所提供的高可靠性和無縫升級(jí)、擴(kuò)展能力，也成為 H3C 用戶增值服務(wù)的重要組成部分。 全面的 MPLS、 VPLS 業(yè)務(wù)能力 H3C S7500E 所有產(chǎn)品均支持 MultiVRF 特性，可以作為 MCE 設(shè)備 使用；支持三層的 MPLS VPN 和二層的 MPLS VPN（ Martini、 Kompella）；支持 MPLS OAM 特性，方便用戶的管理和維護(hù)；與 H3C MPLS VPN Manager 配合，實(shí)現(xiàn)圖形化的 MPLS部署與維護(hù)。 全面支持 VPLS， VLL，支持 1K VPLS 實(shí)例， 4K VLL，還支持分層 VPLS 以及QINQ+VPLS 接入方式，提供端到端 2 層 VPN 接入方案，支持 MPLS/VPLS 全線速轉(zhuǎn)發(fā)，滿足 VPLS 規(guī)模部署要求。 高性能 IPv4/IPv6 業(yè)務(wù)能力 H3C S7500E 支持 IPv4/IPv6 雙協(xié) 議棧 ,支持多種隧道技術(shù)，支持 IPv4/IPv6的組播技術(shù)，為用戶提供完善的 IPv4/IPv6 解決方案； H3C S7500E 采用分布式體系架構(gòu)，實(shí)現(xiàn) IPv4/IPv6 業(yè)務(wù)的線速無阻塞轉(zhuǎn)發(fā)； H3C S7500E 已經(jīng)通過了信息產(chǎn)業(yè)部的 IPv6 入網(wǎng)認(rèn)證和 IPv6 Ready 第二階段認(rèn)證，是成熟商用的 IPv6 產(chǎn)品。 有線無線一體化，有源無源一體化 H3C S7500E 集成的無線控制模塊提供豐富的業(yè)務(wù)能力，包括精細(xì)的用戶控制管理、完善的 RF 管理及安全機(jī)制、快速漫游、超強(qiáng)的 QoS 和對(duì) IPv6 的支持等；無線控制模塊通過與安 全策略服務(wù)器的聯(lián)動(dòng)，實(shí)現(xiàn)對(duì)無線接入用戶的端點(diǎn)準(zhǔn)入防御，提高了整網(wǎng)的安全性。 H3C S7500E 是業(yè)界最高密度的以太網(wǎng)無源光網(wǎng)絡(luò)（ EPON）設(shè)備，單臺(tái)最大可接入 10240 個(gè) FTTH 用戶； H3C S7500E 是高可靠的 EPON 系統(tǒng)，采用分布式體系結(jié)構(gòu)、模塊化設(shè)計(jì)，主控板冗余熱備份、無源背板、冗余電源支持雙路供電，具有電信級(jí)可靠性。 EAD 端點(diǎn)準(zhǔn)入防護(hù)技術(shù) H3C S7500E 支持大容量的 Portal 認(rèn)證功能，可以在數(shù)千用戶的局域網(wǎng)中做為 EAD 網(wǎng)關(guān)設(shè)備，為全網(wǎng)用戶提供 EAD 安全認(rèn)證功能；可以在大中型的校園網(wǎng)中擔(dān) 任匯聚 /核心設(shè)備的同時(shí)，為學(xué)生宿舍區(qū)的認(rèn)證計(jì)費(fèi)提供 Portal 認(rèn)證功能。 三平面安全保障機(jī)制 H3C S7500E 提供完善的安全防護(hù)機(jī)制，可從控制、管理、轉(zhuǎn)發(fā)三平面全面保障網(wǎng)絡(luò)的安全：在控制平面，內(nèi)置協(xié)議報(bào)文攻擊識(shí)別模塊，防止 TCN、 ARP 等協(xié) 議報(bào)文攻擊， OSPF/BGP/ISIS 路由協(xié)議采用 MD5 驗(yàn)證，防止非法路由更新報(bào)文導(dǎo)致的網(wǎng)絡(luò)癱瘓；在管理平面， SNMPv3網(wǎng)管協(xié)議， SSH V2，基于 、 AAA/Radius的用戶身份認(rèn)證以及分級(jí)的用戶權(quán)限管理保證了設(shè)備管理的安全性；在轉(zhuǎn)發(fā)平面，支持 IP、 VLAN 、 MAC 和端口等多種組合精細(xì)綁定；支持 uRPF 單播反向路徑轉(zhuǎn)發(fā)，防止非法流量訪問網(wǎng)絡(luò)，采用最長匹配逐包轉(zhuǎn)發(fā)機(jī)制，有效抵御病毒的攻擊。 H3C S7500E 還支持內(nèi)置的高性能防火墻、異常流量清洗等模塊，將專業(yè)的安全融入到交換機(jī)之中。 有線無線全面支持 EAD H3C S7500E 是 EAD 端點(diǎn)準(zhǔn)入防御解決方案的重要組成部分， S7500E 可以動(dòng)態(tài)的接收來自安全策略服務(wù)器的控制策略，根據(jù)終端的安全狀態(tài)給予下發(fā)相應(yīng)的訪問權(quán)限。 H3C S7500E 既支持有線終端用戶的 EAD，也支持無線終端用戶的 EAD，能夠做到終