搜索
XX医院终端整体安全解决方案终端整体安全解决方案I目录第1章概述..........................................................................................................11.1背景............................................................................................................................11.2安全威胁分析..............................................................................................................1第2章XX医院终端安全建设规划........................................................................52.1规划目标.....................................................................................................................52.2规划依据.....................................................................................................................52.3规划框架.....................................................................................................................7第3章XX医院终端安全建设内容........................................................................9第4章XX医院终端安全建设方案......................................................................124.1终端安全综合防护系统-实现“零病毒”“零威胁”...................................................124.1.1设计思路与技术实现.........................................................................................124.1.2部署方案............................................................................................................164.2终端标准化运维管理系统-实现”零管理“...............................................................164.2.1设计思路与技术实现.........................................................................................164.2.2部署方案............................................................................................................224.3终端行为审计监控系统-监测”不当操作行为“........................................................234.3.1设计思路与技术实现.........................................................................................234.3.2部署方案............................................................................................................26终端整体安全解决方案II4.4终端准入控制系统-强制隔离”非法终端“..................................................................264.4.1设计思路和技术实现.........................................................................................264.4.2部署方案............................................................................................................30第5章系统及硬件配置......................................................................................325.1硬件配置...................................................................................................................325.2第三方软件配置........................................................................................................325.3软件配置...................................................................................................................325.4实施服务...................................................................................................................33终端整体安全解决方案-1-第1章概述1.1背景XX省昆明XX医院的信息化经过十几年的发展，对业务的支撑作用已经表现得非常明显，医院业务的开展已经离不开信息系统的正常运转。随着XX省XX医院信息化的深化，XX医院的业务流程已经高度自动化、高效率，从而为病人提供更好的医疗健康服务。但另一方面，承载XX医院业务流程的信息系统基础架构的管理手段却仍然相对落后，在当前复杂多变的信息安全形势下，无论是外部黑客入侵、内部恶意使用，还是大多数情况下内部用户无意造成的漏洞，信息科（处）的安全管理手段都正在变得越来越不够用。而同时，“统方”信息泄露、媒体舆论炒作、医患关系紧张、上级领导问责、法律法规监管等等，都在无形中让医院的信息安全管理压力越来越大。1.2安全威胁分析恶意攻击数量快速增加，攻击手段不断丰富，最新的未知威胁防不胜防：如何防范未知威胁，抵御不同攻击手段和攻击途径带来的信息安全冲击?据权威机构统计，2011年互联网总共产生超过55亿次的恶意攻击，这个数量比2010年增加了81%。此外，特殊恶意软件变种数量增加至4.03亿个，超过75%的恶意代码攻击都是有针对性的，仅仅依靠基于特征码的单一终端防护终端整体安全解决方案-2-安全软件已经力不从心！有必要利用最新的国际上先进的基于云的文件信誉对比技术和基于程序行为判断的主动防御方式来防止大量的未知恶意威胁.高级、有针对性的高危持续性攻击APT已蔓延至各类规模企业：如何阻止不同的攻击手段？不仅仅是防病毒！需要终端多层次的防护，增加网络边界的威胁防范等技术综合考虑！APT攻击：“高危持续性风险”是2011年以来最有威胁的攻击手段，攻击者利用不同的针对性攻击手段做长时间的不同攻击尝试和潜伏。有针对性的攻击正在不断增加，截至2011年底，有针对性攻击的数量平均每日82个。有针对性的攻击利用社会工程学原理和定制化的恶意软件来非法访问敏感信息。这些高级的有针对性的攻击过去一直以公共部门和政府为首要目标。复杂混乱的应用与外接设备环境：如何确保应用和设备的准入控制？虽然很多医院信息科都根据自身的情况建立了完备的信息系统管理制度，但由于缺乏自动化、强制性的技术手段，这些管理制度往往变得流于形式——终端用户随意私自安装外来的应用程序，通过U盘等方式传播未经授权的资料，私自重新安装终端操作系统，未经授权将外来终端（笔记本电脑）接入医院业务网等等。所有这些行为都带来一个结果，就是让医院的业务应用环境变得复杂、混乱，难以管理。繁琐枯燥的系统维护和安全管理：如何更有效利用有限的信息人力资源？信息科的维护人员总是每天重复这样一些事情：重装系统、打补丁、修改配置、安装应用软件、配置网络、配置应用参数……，这些事情不仅大量浪费了维护人员的时间，让他们没有精力去做更加重要的事情，而且让整个信息科的运维终端整体安全解决方案-3-水平一直处于低层次重复的怪圈之中，无法有效提升信息系统管理运维能力。工具带来的新问题：如何保证安全策略的强制要求，统一管理和实施效果？为了解决前面几方面的挑战，部分医院用户采用了一些单点的工具型解决方案，但这些工具却带来了新的问题。如何确保新的工具的统一管理，拥有不同管理方式的工具将反而大大增加信息安全管理人员的复杂性和可操作性。部署不同的安全工具，我们如何了解这些工具的实施效果？如何让运维工作向标准化、流程化的更高阶段提升。终端接入不受控：如何确保终端满足制定的终端安全策略-终端准入控制传统的安全解决方案往往比较强调网关安全，所以很多医院购买了防火墙、入侵检测与防御（IDP）等产品。但当前更多的安全隐患来自终端——透过防御薄弱的终端，往往能够更加容易地接触到医院的核心内网，而终端使用者安全意识的缺乏为安全威胁打开了便利的大门。虽然很多医院都采用内外网隔离的方式进行基本的安全接入控制，但隔离策略往往因为内外网终端的随意接入而无法有效执行。而住院“无线查房”等方式不仅方便了医生，同时也方便了“不受欢迎的客人”的接入。网页式攻击(Web-basedAttack)已成为最主流的攻击手法：如何确保访问可靠网站？网页式攻击系当有漏洞的终端浏览内嵌恶意代码的网页时，即于该终端植入恶意代码。相较于传统的病毒扩散管道与攻击手法，网页式攻击不但更加隐密，且更难预测与防范。而僵尸网络(Botnet)仍持续盛行，已成为散播垃圾邮件、架设网络钓鱼网站及发动分布式拒绝服务攻击(DDoSAttack)的最佳途径。终端整体安全解决方案-4-内外部有意无意的信息泄露将严重影响企业的声誉和重大经济损失国内越来越多曝光的医疗数据，个人医疗信息泄露事件受到公众和监管部门的关注和重视。如何保证防止这类数据以及处方信息的泄露是XX医院在数据防泄密上的主要关注对象，这些数据的泄露将严重影响XX昆明XX医院的声誉，监管上的违规，经济利益上的重大损失。法律法规监管的加强-如何确保做进行的信息安全建设符合等保要求《中华人民共和国刑法修正案（七）》第253条、第285条等对医疗行业信息泄密的规定》；《侵权责任法》第36条、第61条、第62条等对医疗机构及人员要求妥善保管机密信息的规定；公安部“信息安全等级保护”对医