【文章內容簡介】 通過聚合鏈路連接，既提供了冗余鏈路，又可以實現負載均衡，充分利用所有帶寬。 網絡安全管理目前，醫(yī)院為了防護主機，買了入侵檢測設備，卻因為每天大量的告警無法處理而放棄使用；為了控制終端，買了桌面管理軟件，卻不能解決桌面管理軟件被卸載的問題；為了保證數據安全，買了數據庫審計設備，卻因為一臺電腦多人用，審計無法定位到人而功虧一簣……網絡安全建議：醫(yī)療網絡安全建設需要實現一下幾點：終端設備準入。根據終端設備的MAC地址、硬盤ID號等信息進行驗證，只有許可的終端設備才能接入到網絡。支持異構網絡環(huán)境下的任何地點、任何方式下的接入安全準入控制，如無線網絡、VPN接入網絡等。USB接口控制?？稍试S打印機的使用，而對于U盤等存儲設備，可靈活控制，既可以禁止使用，也可以只允許通過認證的U盤在指定主機使用。可設置USB端口、串口、并口的開關狀態(tài)。應用程序控制。對工作時間不允許進行的程序，如游戲、炒股等，如果一旦運行，管理系統自動感知，并對客戶端發(fā)出警告，并可以選擇斷開該主機的網絡連接。而對于桌管軟件，如果被卸載或不安裝，同樣發(fā)出警告或斷開網絡連接。操作系統補丁和其他程序的自動下發(fā)?？山y一自動下發(fā)并自動安裝Windows系統補丁、HIS客戶端軟件等，大大減輕管理員的工作量。遠程桌面控制。網管人員在接到故障報修電話時，可遠程接管醫(yī)護人員的終端主機，控制其鍵盤、鼠標，并監(jiān)視其顯示畫面，快速遠程處理故障，而不需要去現場，大大減少工作量。用戶準入控制。用戶接入網絡時，需要輸入用戶名和密碼，只有驗證正確后才能登錄到網絡。非法人員無法登錄網絡。用戶訪問權限控制。用戶登錄到網絡后，只能按照事先設置的訪問權限進行訪問，而不是可以訪問任意整個網絡。支持內網訪問和外網訪問進行邏輯隔離的功能。入侵檢測無為而治。IDS對網絡中的應用數據進行安全檢測，當發(fā)現異常數據（如多次嘗試數據庫帳號等），將告警信息直接轉化為安全策略，下發(fā)至該用戶的接入交換機，對該用戶進行安全控制。數據庫審計控制。真正做到事前威懾、事中監(jiān)管、事后定責的效果。5. 等級保護建設技術體系設計 物理安全設計 機房選址機房和辦公場地選擇在具有防震、防風和防雨等能力的建筑內。機房場地應避免設在建筑物的高層或地下室，以及用水設備的下層或隔壁。 機房管理機房出入口安排專人值守，控制、鑒別和記錄進入的人員；需進入機房的來訪人員須經過申請和審批流程，并限制和監(jiān)控其活動范圍。對機房劃分區(qū)域進行管理，區(qū)域和區(qū)域之間設置物理隔離裝置，在重要區(qū)域前設置交付或安裝等過渡區(qū)域；重要區(qū)域應配置電子門禁系統，控制、鑒別和記錄進入的人員。 機房環(huán)境合理規(guī)劃設備安裝位置，應預留足夠的空間作安裝、維護及操作之用。房間裝修必需使用阻燃材料，耐火等級符合國家相關標準規(guī)定。機房門大小應滿足系統設備安裝時運輸需要。機房墻壁及天花板應進行表面處理，防止塵埃脫落，機房應安裝防靜電活動地板。機房安裝防雷和接地線，設置防雷保安器，防止感應雷，要求防雷接地和機房接地分別安裝，且相隔一定的距離；機房設置火災自動消防系統，能夠自動檢測火情、自動報警，并自動滅火；機房及相關的工作房間和輔助房應采用具有耐火等級的建筑材料；機房應采取區(qū)域隔離防火措施，將重要設備與其他設備隔離開。配備空調系統，以保持房間恒濕、恒溫的工作環(huán)境；在機房供電線路上配置穩(wěn)壓器和過電壓防護設備；提供短期的備用電力供應，滿足關鍵設備在斷電情況下的正常運行要求。設置冗余或并行的電力電纜線路為計算機系統供電；建立備用供電系統。鋪設線纜要求電源線和通信線纜隔離鋪設，避免互相干擾。對關鍵設備和磁介質實施電磁屏蔽。 設備與介質管理為了防止無關人員和不法分子非法接近網絡并使用網絡中的主機盜取信息、破壞網絡和主機系統、破壞網絡中的數據的完整性和可用性，必須采用有效的區(qū)域監(jiān)控、防盜報警系統，阻止非法用戶的各種臨近攻擊。此外，必須制定嚴格的出入管理制度和環(huán)境監(jiān)控制度，以保障區(qū)域監(jiān)控系統和環(huán)境監(jiān)控系統的有效運行。對介質進行分類標識，存儲在介質庫或檔案室中。利用光、電等技術設置機房防盜報警系統；對機房設置監(jiān)控報警系統。 計算環(huán)境安全設計 身份鑒別此次網絡登錄身份鑒別采用安全認證管理平臺RGSMP ，可實現包括網絡安全：結構安全、訪問控制、安全審計、邊界完整性檢查、網絡設備防護，其中還有主機安全：身份鑒別、訪問控制、安全審計、資源控制應用安全：身份鑒別、訪問控制、安全審計、抗抵賴系統運維管理：監(jiān)控管理和安全管理中心、網絡安全管理、系統安全管理、惡意代碼防范、安全事件處置身份鑒別可分為主機身份鑒別和應用身份鑒別兩個方面：主機身份鑒別為提高主機系統安全性，保障各種應用的正常運行，對主機系統需要進行一系列的加固措施，包括：? 對登錄操作系統和數據庫系統的用戶進行身份標識和鑒別，且保證用戶名的唯一性。? 根據基本要求配置用戶名/口令；口令必須具備采用3種以上字符、長度不少于8位并定期更換；? 啟用登陸失敗處理功能，登陸失敗后采取結束會話、限制非法登錄次數和自動退出等措施。? 遠程管理時應啟用SSH等管理方式，加密管理數據，防止被網絡竊聽。? 對主機管理員登錄進行雙因素認證方式，采用USB key+密碼進行身份鑒別應用身份鑒別? 為提高應用系統系統安全性應用系統需要進行一系列的加固措施，包括：? 對登錄用戶進行身份標識和鑒別，且保證用戶名的唯一性。? 根據基本要求配置用戶名/口令，必須具備一定的復雜度；口令必須具備采用3種以上字符、長度不少于8位并定期更換。? 啟用登陸失敗處理功能，登陸失敗后采取結束會話、限制非法登錄次數和自動退出等措施。應用系統如具備上述功能則需要開啟使用，若不具備則需進行相應的功能開發(fā)，且使用效果要達到以上要求。 訪問控制三級系統一個重要要求是實現自主訪問控制和強制訪問控制。自主訪問控制實現：在安全策略控制范圍內，使用戶對自己創(chuàng)建的客體具有各種訪問操作權限，并能將這些權限的部分或全部授予其他用戶；自主訪問控制主體的粒度應為用戶級，客體的粒度應為文件或數據庫表級；自主訪問操作應包括對客體的創(chuàng)建、讀、寫、修改和刪除等。 強制訪問控制實現：在對安全管理員進行嚴格的身份鑒別和權限控制基礎上，由安全管理員通過特定操作界面對主、客體進行安全標記；應按安全標記和強制訪問控制規(guī)則，對確定主體訪問客體的操作進行控制；強制訪問控制主體的粒度應為用戶級，客體的粒度應為文件或數據庫表級。由此主要控制的是對應用系統的文件、數據庫等資源的訪問，避免越權非法使用。采用的措施主要包括：l 啟用訪問控制功能：制定嚴格的訪問控制安全策略，根據策略控制用戶對應用系統的訪問，特別是文件操作、數據庫訪問等，控制粒度主體為用戶級、客體為文件或數據庫表級。l 權限控制：對于制定的訪問控制規(guī)則要能清楚的覆蓋資源訪問相關的主體、客體及它們之間的操作。對于不同的用戶授權原則是進行能夠完成工作的最小化授權，避免授權范圍過大，并在它們之間形成相互制約的關系。l 賬號管理：嚴格限制默認賬戶的訪問權限，重命名默認賬戶，修改默認口令；及時刪除多余的、過期的賬戶，避免共享賬戶的存在。l 訪問控制的實現主要采取兩種方式：采用安全操作系統，或對操作系統進行安全增強改造，且使用效果要達到以上要求。 系統安全審計系統審計包括主機審計和應用審計兩個層面：主機審計：部署終端安全管理系統，啟用主機審計功能，或部署主機審計系統，實現對主機監(jiān)控、審計和系統管理等功能。監(jiān)控功能包括服務監(jiān)控、進程監(jiān)控、硬件操作監(jiān)控、文件系統監(jiān)控、打印機監(jiān)控、非法外聯監(jiān)控、計算機用戶賬號監(jiān)控等。審計功能包括文件操作審計、外掛設備操作審計、非法外聯審計、IP地址更改審計、服務與進程審計等。審計范圍覆蓋到服務器上的每個操作系統用戶和數據庫用戶；內容包括重要用戶行為、系統資源的異常使用和重要系統命令的使用等系統內重要的安全相關事件；審計記錄包括事件的日期、時間、類型、主體標識、客體標識和結果等；保護審計記錄，避免受到未預期的刪除、修改或覆蓋等。同時，根據記錄的數據進行統計分析，生成詳細的審計報表，系統管理功能包括系統用戶管理、主機監(jiān)控代理狀態(tài)監(jiān)控、安全策略管理、主機監(jiān)控代理升級管理、計算機注冊管理、實時報警、歷史信息查詢、統計與報表等。應用審計：應用層安全審計是對業(yè)務應用系統行為的審計，需要與應用系統緊密結合，此審計功能應與應用系統統一開發(fā)。應用系統審計功能記錄系統重要安全事件的日期、時間、發(fā)起者信息、類型、描述和結果等，并保護好審計結果，阻止非法刪除、修改或覆蓋審計記錄。同時能夠對記錄數據進行統計、查詢、分析及生成審計報表。部署數據庫審計系統對用戶行為、用戶事件及系統狀態(tài)加以審計，范圍覆蓋到每個用戶，從而把握數據庫系統的整體安全。應用系統如具備上述功能則需要開啟使用，若不具備則需進行相應的功能開發(fā)，且使用效果要達到以上要求。此次數據庫審計采用數據庫審計系統RGDBS 2000，其可實現主機安全包括安全審計，應用安全，包括安全審計、抗抵賴等功能。 入侵防范此次入侵防御采用入侵防御檢測系統RGIDP 2000S，可實現主機安全，具體包括入侵防范、惡意代碼防范等。針對入侵防范主要體現在主機及網絡兩個層面。針對主機的入侵防范，可以從多個角度進行處理：216。 入侵檢測系統可以起到防范針對主機的入侵行為；216。 部署漏洞掃描進行系統安全性檢測；216。 部署終端安全管理系統，開啟補丁分發(fā)功能模塊及時進行系統補丁升級；216。 操作系統的安裝遵循最小安裝的原則，僅安裝需要的組件和應用程序，關閉多余服務等；216。 另外根據系統類型進行其它安全配置的加固處理。針對網絡入侵防范，可通過部署網絡入侵檢測系統來實現。將網絡入侵檢測系統位于有敏感數據需要保護的網絡上，通過實時偵聽網絡數據流，尋找網絡違規(guī)模式和未授權的網絡訪問嘗試。當發(fā)現網絡違規(guī)行為和未授權的網絡訪問時，網絡監(jiān)控系統能夠根據系統安全策略做出反應，包括實時報警、事件登錄，或執(zhí)行用戶自定義的安全策略等。入侵檢測系統可以部署在XX市人民醫(yī)院的核心處以及主要服務器區(qū)，這里我們建議在這些區(qū)域的交換機上部署入侵檢測系統，監(jiān)視并記錄網絡中的所有訪問行為和操作，有效防止非法操作和惡意攻擊。同時，入侵檢測系統還可以形象地重現操作的過程，可幫助安全管理員發(fā)現網絡安全的隱患。需要說明的是，IDP是對防火墻的非常有必要的附加而不僅僅是簡單的補充。入侵檢測系統作為網絡安全體系的第二道防線，對在防火墻系統阻斷攻擊失敗時，可以最大限度地減少相應的損失。因此，IDP應具備更多的檢測能力，能夠和其他安全產品（邊界防火墻、內網安全管理軟件等）進行聯動。 主機惡意代碼防范惡意代碼防范采用銳捷網絡防火墻RGWALL 1600XA系列，可提供網絡邊界的安全防護與隔離功能，配合銳捷應用安全域解決方案，能夠實現基于用戶的訪問控制管理、安全事件聯動處理。各類惡意代碼尤其是病毒、木馬等是對XX市人民醫(yī)院的重大危害，病毒在爆發(fā)時將使路由器、三層交換機、防火墻等網關設備性能急速下降，并且占用整個網絡帶寬。針對病毒的風險，我們建議重點是將病毒消滅或封堵在終端這個源頭上。比如，在所有終端主機和服務器上部署網絡防病毒系統，加強終端主機的病毒防護能力并及時升級惡意代碼軟件版本以及惡意代碼庫。在XX市人民醫(yī)院安全管理安全域中，可以部署防病毒服務器，負責制定和終端主機防病毒策略，在XX市人民醫(yī)院內網建立全網統一的一級升級服務器，在下級節(jié)點建立二級升級服務器，由管理中心升級服務器通過互聯網或手工方式獲得最新的病毒特征庫，分發(fā)到數據中心節(jié)點的各個終端，并下發(fā)到各二級服務器。在網絡邊界通過防火墻進行基于通信端口、帶寬、連接數量的過濾控制，可以在一定程度上避免蠕蟲病毒爆發(fā)時的大流量沖擊。同時，防毒系統可以為安全管理平臺提供關于病毒威脅和事件的監(jiān)控、審計日志，為全網的病毒防護管理提供必要的信息。 軟件容錯軟件容錯的主要目的是提供足夠的冗余信息和算法程序,使系統在實際運行時能夠及時發(fā)現程序設計錯誤,采取補救措施,以提高軟件可靠性,保證整個計算機系統的正常運行。因此在應用系統軟件設計時要充分考慮軟件容錯設計，包括：提供數據有效性檢驗功能，保證通過人機接口輸入或通過通信接口輸入的數據格式或長度符合系統設定要求；具備自保護功能，在故障發(fā)生時，應用系統應能夠自動保存當前所有狀態(tài)，確保系統能夠進行恢復。 數據完整性與保密性VPN網關系列采用銳捷網絡RGWALL 1600EVX系列，可為用戶提供加密的遠程訪問服務，以及對應用系統訪問流量的數據加密防護。能夠配合銳捷應用安全域實現內外網用戶身份統一認證、權限統一下發(fā)。目前，XX市人民醫(yī)院信息系統中傳輸的信息主要是重要的業(yè)務數據和辦公文檔，對信息完整性校驗提出了一定的需求，特別是通過公網遠程接入內網傳遞數據的私密性有很高的要求。而SSL VPN非常適用于遠程接入環(huán)境，例如：移動辦公接入。它和IDPEC VPN適用于不同的應用場景，可配合使用。SSL的英文全稱是“Secure Sockets Layer”，中文名為“安全套接層協議層”，它是網景（Netscape）公司提出的基于WEB應用的安全協議。SSL協議指定了一種在應用程序協議（如Http、Telenet、NMTP和FTP等）和TCP/IP協議之間提供數據安全性分層的機制，它為TCP/IP連接提供數據加密、服務器認證、消息完整性以及可選的客戶機認證。SSL與IPSec安全協議一樣，也可提供加密和身份驗證安全方法，因此安全性上二者無明顯差別。SSL VPN使用SSL/HTTPS技術作為安全傳輸機制。這種機制在所有的標準Web瀏覽器上都有，不用額外的軟件實現。使用SSL VPN，在移動用戶和內部資源之間的連接通過應用層的Web連接實現，而不是像IPSec VPN在網絡層開放的“通道”。SSL對移動用戶是理想的技術，因為：216。 SSL無需被加載到終端設備上216。 SSL無需終端用戶配置216。 SSL無需被限于固定終端，只要有標準瀏覽器即可使用產品部署方面，SSL VPN只需單臂旁路方式接入。單