安全網絡建設方案

1.客戶需求

威海(hǎi)市(shì)某醫(yī)院✘∞©≈網絡分(fēn)為(wèi)外(wài)網、內(★₽∏nèi)網，屬于物(wù)理(lǐ)隔離(lí)，經過多  (duō)年(nián)的(de)信息化(huà)建設，已初具規模。随著(zh±✘π←e)醫(yī)院信息化(huà)程度的(de)不(bù)斷提↓∑高(gāo)，使對(duì)信息系統的(de)依賴≠÷ ®程度不(bù)斷增加，網上(shàng)信息價值不(bù)斷增大(dà)，信Ω 息安全問(wèn)題也(yě)日(rì)漸凸現(xiàn)。

1.1醫(yī)院信息化(huà)特點

系統複雜(zá)，穩定性要(yào)求高(gāo)

醫(yī)院信息系統多(duō)，包括如(rú)HIS、LIS、PACS、電(diàn)子(zǐ)病曆、OA系統等β♥₹，其重要(yào)程度也(yě)不(bù)盡相(xλφiàng)同。各因素導緻信息系統被攻擊、中斷、癱瘓都(dōu)可‌​÷(kě)能(néng)直接影(yǐng)響本身(shē≠→ ♥n)就(jiù)緊張的(de)醫(yī)患關系，并給醫(yī)院帶來(lδ♥β$ái)不(bù)可(kě)衡量的(de)損失。

敏感信息多(duō)，數(shù)據價值高(gāo♠↑‌)

醫(yī)院的(de)數(shù)據價值高(gāo)，相(xiàng)對(du​✔ì)敏感。如(rú)病曆信息：信息量大(dà)，潛在價值高(g₹÷≈āo)；用(yòng)藥信息：醫(yī)藥代表趨之若鹜；研究成果信息：創新★✘φ±乃競争之本；财務、醫(yī)保信息：個(gè)人(rén)利益直接相δ♣(xiàng)關；醫(yī)患信息：涉及隐私。

1.2安全挑戰

缺乏應對(duì)新形勢、新環境的(de)頂層設計(jì)規劃

醫(yī)院信息化(huà)經過多(duō)次技(jì)術(shù)洗禮，δ​'∏豐富了(le)信息系統內(nèi)容，提升了(le)醫(yī)患的(de✘& )滿意程度。信息化(huà)程度快(kuài)速提高(gāo)使得(de)大(d☆★à)量醫(yī)院缺乏中、長(cháng)期的(de)信息安全規劃：如(rú)≈€★★重要(yào)與非重要(yào)系統沒有(≠ ≥‌yǒu)區(qū)分(fēn)、內(nèi)外✔≤‌€(wài)網區(qū)分(fēn)不(bù)夠嚴格、安全技$∏(jì)術(shù)體(tǐ)系不(bù)夠完善、安全管理(lǐ)體('♥Ωtǐ)系跟不(bù)上(shàng)等問(wèn)題

《網絡安全法》的(de)實施和(hé)等保2.0時(shí)代的(de)來(lái)臨，醫(yī)院需→™要(yào)建立符合醫(yī)院實際 的(de)“一(yī)中心三防護”∑ €♥的(de)整體(tǐ)安全架構。

醫(yī)院安全事(shì)件(jiàn)頻(pín)發 ，現(xiàn)有(yǒu)安全技(jì)術(shù)保€​®障能(néng)力急待提高(gāo)

醫(yī)院信息安全事(shì)件(jiàn)爆發頻≥<★(pín)發，導緻醫(yī)患關系緊張、醫(yī)院蒙受巨大(d←£'φà)的(de)榮譽、經濟利益等損失，零散采購(g"₩♦♠òu)一(yī)些(xiē)安全設備和(h•€↕$é)“碎片化(huà)”的(de)安全防護已經不(bù)能(néng)滿足要(yà←×✘o)求，需要(yào)加大(dà)投入，更體(tǐ)系化(huà)的(de)建₩♣‍設安全 。

新形勢下(xià)要(yào)求，攻擊變得(de)複‍♦€雜(zá)，變得(de)更加隐蔽，手段更加高(gā≠₹©o)明(míng)，靜(jìng)态防禦‍×↓‍失效，防禦體(tǐ)系容易被繞過，持續的(de)安全檢£↓> 測能(néng)力需要(yào)提高(gā<£βo)。

發現(xiàn)威脅進行(xíng)及時(shí)響應的(de)‍↓≥能(néng)力不(bù)足，醫(yī)院面±ε☆φ臨安全人(rén)員(yuán)匮乏，專業σ☆(yè)性不(bù)夠的(de)問(wèn)題。出現(xiàn)事(shìε¶)故發現(xiàn)問(wèn)題，應急響應、解決問(w•><èn)題的(de)能(néng)力不(bù)足。同時(shí)對(duì)風 '×γ(fēng)險缺乏主動發現(xiàn)和(hé)預警的(de)能(néng)力≥​✔☆。

信息化(huà)人(rén)員(yuán)不(bù)足¶ε，安全管理(lǐ)不(bù)到(dào)位

随著(zhe)醫(yī)院信息化(huà)的(de)發展，業©‍∏(yè)務和(hé)資産增多(duō)，安全人(• rén)員(yuán)普遍不(bù)足的(de)情‍<況下(xià)，要(yào)承擔大(dà)量的(de)日​δ↓(rì)常安全管理(lǐ)工(gōng)作(zuò)，工(gōng)作(z♦<♥uò)壓力山(shān)大(dà)。

醫(yī)院信息化(huà)管理(lǐ)職能(néng)定位不(bù)♦'♠≠清，崗位角色混淆，安全運維工(gōng)作(zuò)不(bù)好(hǎo)開(™↔←☆kāi)展，安全管理(lǐ)責任難落實。

醫(yī)院信息化(huà)人(rén)員(yuáε​n)安全意識的(de)淡薄，管理(lǐ)制(zhì)度的(dε​ ×e)不(bù)完善，面臨著(zhe)來(lái)自(zì)內↑↑$(nèi)部的(de)人(rén)為(wèi)≠÷失誤或蓄意破壞、信息竊取。并且沒有(yǒu)完善λ‍$®的(de)技(jì)術(shù)措施輔助安全管理( ←✘εlǐ)的(de)落實執行(xíng)。

2.總體(tǐ)安全方案設計(jì)

安全系統拓撲圖：

   

安全域劃分(fēn)

安全域是(shì)指同一(yī)系統內(nèi)根據信息的(de)性質、≈‍™‍使用(yòng)主體(tǐ)、安全目标和(hé)策略等元素的(÷∞$de)不(bù)同來(lái)劃分(fēn)的(de)不(bù)同邏輯子(≈★•§zǐ)網或網絡，每一(yī)個(gè)邏輯區(qū)域有(yǒu)相≈δ÷¶(xiàng)同的(de)安全保護需求，具有(yǒ∑↔€↕u)相(xiàng)同的(de)安全訪問(wèn)控制(zhì)和(≤​hé)邊界控制(zhì)策略，區(qū)域間(jiān)具≈♦•有(yǒu)相(xiàng)互信任關系，而 εΩ且相(xiàng)同的(de)網絡安全域共享同樣的(de)安全★≈®♦策略。一(yī)個(gè)安全域內(nèi)可(kě)進一(y↑ ✔ī)步被劃分(fēn)為(wèi)安全子(∑ ¥zǐ)域，安全子(zǐ)域也(yě)可(kě)繼續依次細化(h σδuà)。根據醫(yī)院業(yè)務訪問(wèn)的(← §₽de)需要(yào)，結合信定級對(duì)象→±​♦分(fēn)等級保護的(de)思想，将醫(yī)院整體(tǐ)網‌<"絡分(fēn)為(wèi)互聯網接入區(qū)域、服務器(qì)區(qū)域、內(nèi)外(wài)網終端接入域、內(nèi)網接入區(qū)域、內(nèi)網運維管理(lǐ)域、核心業(yè)務域及其他(tā)業(yè)務εφ≥φ域等。安全域具體(tǐ)劃分(fēn)如(rú)上(shàng)圖所示。

安全防護設計(jì)

醫(yī)院全網安全防護設計(jì)方案将嚴格按$‍照(zhào)區(qū)域功能(néng)的(de)重要(yào)性和(hé)₩↕&網絡使用(yòng)的(de)邏輯特性劃分(fēn)安全域，并基于安全©δ♦域之間(jiān)的(de)邊界隔離(lí)及訪問(wèn)控制(zhì)要≠"(yào)求，各安全域出口推薦部署統一(yī)安全網關進行(xíng)2-7層訪問(wèn)控制(zhì)。各安全域需求及解決方案如(rú)下 φ§(xià)：

互聯網接入域，該區(qū)域說(shuō)明(mín‍>≤g)如(rú)下(xià)：在互聯網出口邊界部署統一(yī)安全網關、防病毒網關和(héλ←λ↕)入侵防禦系統，對(duì)外(wài)界威脅進行(xíng)隔離(lí)和(hé)訪問(wèn)控制(zε‌ hì)，保護內(nèi)部網絡，從(cóng)2-7層對(duì)攻擊進行(xíng)防護，實現(xiàn)對(duì>λ®)入侵事(shì)件(jiàn)的(de)監控、₩↔©阻斷，保護整體(tǐ)網絡各個(gè)安全域免受外(wài"♦∏☆)網常見(jiàn)惡意攻擊。 

業(yè)務內(nèi)網接入域（醫(yī)保網/合作(zuò)交換平台區(qū)域），該區(qū)域說(shuō)明(αשmíng)如(rú)下(xià)：與對(​&duì)端醫(yī)保專網/合作(zuò)交換平台數(s☆∏∏hù)據對(duì)接，部署統一(yī)安全網關，識别專網之間(jiān)流量中的(de)威脅，實現(xiàn)對(duìσ©)流量中入侵行(xíng)為(wèi)的(de)檢測與阻斷。

終端接入域，該區(qū)域說(shuō)明(míng)如(€λβrú)下(xià)：安全域內(nèi)的(de)終端上(shàng)→$± 部署主機(jī)防病毒産品，具備防惡意代碼的(de)能(néng)力。

服務器(qì)區(qū)域，該區(qū)域說(shuō)明(mí®§ng)如(rú)下(xià)：該安全域主要(yào)承載內(nèi★✘≠)網核心業(yè)務信息系統，通(tōng)過部署部署內(nèi)網服務器(qì)防火(huǒ)牆，為(wè₹• ¶i)業(yè)務信息系統提供2-7層安全威脅識别及阻斷攻擊行(xíng)為(wèi)的(de)能(néng↔£€)力，如(rú)SQL注入、XSS（跨站(zhàn)腳本攻擊↕<$）、CSRF（跨站(zhàn)請(qǐng)求僞造攻擊）、cookie篡改等∞↓；所有(yǒu)業(yè)務信息系統産生(shēng)的(d♦φπe)數(shù)據，通(tōng)過部署數(shù)據庫審計(jì)系統，對(duì)這(zhè)些(xiē)數(shù)據庫的(de)訪問(wèn‌π)權限進行(xíng)劃分(fēn)，并對(duì)數(shù)據庫 &φ↔的(de)相(xiàng)關操作(zuò)進行(xíng)審計(j♣↔↑φì)，防止醫(yī)療統方行(xíng)為(wèi)；對(duì)于威海(hǎi)市(shì)中心醫(yī)院來(lái)說(shu←♥ ō)，業(yè)務系統的(de)安全固然重要(yào)，但(dàn)是(¶★shì)最最重要(yào)的(de)還(•π≥hái)是(shì)業(yè)務數(shε™>βù)據，通(tōng)過在備份區(qū)域部署內(nèi)網數(shù)據ε‌©←連續保護系統，對(duì)HIS、虛拟化(huà)業(yè)務數(shù)據進行(xíng)實π≈λ₩時(shí)存儲備份。

運維管理(lǐ)區(qū)域，通(tōng)過部署堡壘機(jī)，由安全審計(jì☆<×÷)系統對(duì)核心系統中的(de)主體(tǐ)（用(yòn ₽g)戶、進程）及客體(tǐ)（文(wén)件(jiàn)、執行(x§♣♦✘íng)程序、外(wài)部設備等）進行(xíng)安全标識✔∏ Ω，根據客體(tǐ)類型的(de)不(bù)同，分(f→♥→₹ēn)别制(zhì)定了(le)不(bù)λε÷同的(de)訪問(wèn)控制(zhì)規則，從(cóng)而全方位¶Ω©地(dì)确保信息系統的(de)機(jī)密性。對(duì)核‌β心系統系統采用(yòng)自(zì)主訪問(wèn)控制(zh₽γβδì)模式來(lái)限制(zhì)用(yòng)戶權限，以達到(dào♦♦≥δ)保護系統資源安全的(de)目的(de)；通(tōng)過部署≈>₽內(nèi)網桌面安全管理(lǐ)系統，對(duì)于無線、路(lù)由、hub以及非可(kě)網管交換機(jī)的(de)拓撲環境下(xià)，可(→✘₩±kě)以對(duì)NAT穿透和(hé)局域網互訪>₽ →進行(xíng)訪問(wèn)控制(zhì)。豐富‌₽÷的(de)部署模式對(duì)于不(bù)同客戶的(de)各式網絡環境适應✔←性非常強，可(kě)以将準入控制(zhì)部署π α到(dào)網絡的(de)每一(yī)個(g↓σè)角落，徹底解決不(bù)可(kě)信終端接入網絡的(de)隐患₩©。

3. 方案價值優勢

1.1. 輔助決策簡化(huà)運維

通(tōng)過網絡安全系統建設能(néng)夠發現(xiàn)更多(duō)應用(yòn✔∏ε☆g)層風(fēng)險，更了(le)解到(dào)網絡中存 ©在的(de)問(wèn)題，針對(duì)每一(yī)類風(f ♥←ēng)險行(xíng)為(wèi)都(dōu)提供了(le)詳細的(π↔de)記錄和(hé)說(shuō)明(míng)。通(tōng)過網絡安全狀況直觀地(dì)呈 β現(xiàn)出來(lái)，實現(xià γn)更精準的(de)風(fēng)險分(fēn)析及判斷♠≥，更高(gāo)效的(de)安全運維和(hé)風(fēng)險處置。

建設完善的(de)網絡安全體(tǐ)系，幫助用(yòng)戶掌控攻擊态勢，業(y >è)務層面外(wài)聯和(hé)脆弱性的(de)可(kě)視(shì)，幫助 ¶★用(yòng)戶掌控業(yè)務安全狀态，快(kuài)&α÷速定位安全事(shì)件(jiàn)源頭，簡化(huà)運維工(gōng)作(zuò)量。

1.2. 動态持續檢測

我們基于業(yè)界領先信息安全理(lǐ)念，能(néng)夠及↔α‍¥時(shí)發現(xiàn)并采用(yòng)有(yǒu)效安全策略，↑& ∑從(cóng)而降低(dī)企業(yè)安全風(fēng)險。對(duì)內( ε¥nèi)部用(yòng)戶、業(yè)務資産的(de)異¶→常行(xíng)為(wèi)進行(xíng)持續的(de)檢測，發現(xiàn•εα)潛在風(fēng)險以降低(dī)可(kě)能(néng)的(de↔'✔♦)損失。

1.3. 保障數(shù)據安全

通(tōng)過對(duì)數(shù)據→♥α庫訪問(wèn)信息的(de)采集、分(fēn)→¶↔析、識别，實時(shí)監控數(shù)據庫的(de)所有(yǒu)訪問(∑≈↕wèn)操作(zuò)，同時(shí)支持自(zì)定義內(α•nèi)容關鍵字庫，實現(xiàn)數(shù‌≈☆)據庫操作(zuò)的(de)內(nèi)容監測識别，發現(x>‍∞iàn)各種違規數(shù)據庫操作(zuò≠©)行(xíng)為(wèi)，及時(shí)報(bào)警響應、全過程₽γ操作(zuò)還(hái)原，從(cóng)而實現(xià♣<£n)安全事(shì)件(jiàn)的(de)準确全程跟蹤★•¶定位，全面保障數(shù)據庫系統的(de)安全∞↓‍★。

數(shù)據連續保護為(wèi)整個(✔↕₩©gè)系統應用(yòng)環境中的(de)系統"<、數(shù)據庫、以及正在運行(xíng)關鍵業(yè×π¥)務的(de)服務器(qì)提供快(kuài)速、δ™ ™可(kě)靠和(hé)完全的(de)數(shù)據♦<₩×備份和(hé)恢複服務。

1.4. 協同防禦，多(duō)級聯動

方案涉及到(dào)的(de)立體(tǐ)保護能(néng∑£δ£)力，重點強調的(de)是(shì)建立起縱深的(de)防護'≠能(néng)力，實現(xiàn)業(yè)務端到(dào)端的(de$₹'≤)安全，形成協同防禦。

首先是(shì)業(yè)務的(de)邊界安全、終端、網絡接入安全，L2-L7層外(wài)部威脅防禦。

其次，構建業(yè)務承載環境的(de)安全，加強業(yè)務的(de)接入、認證和(hé)審計(jì)。

4. 類似案例

威海(hǎi)财政局網絡安全建設

威海(hǎi)海(hǎi)大(dà)醫(yī)院網絡安全建設

高(gāo)區(qū)管委辦門(mén)戶網站(zhàn)等級£>"保護安全整改