1、某医院网络安全加固拓扑分析医院网络安全加固拓扑分析基于信息安全等级保护基本要求优化设计2015/4/22第一部分、 信息安全加固拓扑总体分析本方案通过全景方式对某人民医院网络拓扑进行展现。基于等级保护测评的信息安全问题和安全测评工程师给出的信息安全加固方案,形成下图：医院内网医院内网主要承载了某人民医院内部重要的业务系统，相对于医院外网安全性要高，根据现状分析，当前具有两个网络出口，目前已经部署了防火墙进行安全防护。考虑医院主要的被测系统的等级保护要求我们建议部署数据库审计系统、堡垒机和入侵防御系统，进行必要的综合审计、运维与安全防护。数据库审计系统旁路端口镜像部署在三级系统核心或汇聚交换机上
2、，主要对三级业务系统的各种数据库操作进行实施审计和记录。堡垒机系统旁路部署在内网核心交换上，主要是针对全医院所有的网络设备、主机设备及安全设备进行运维审计，要是实现预期目标必须要和防火墙或 ACL 配合。在内网边界防火墙下部署入侵防御系统。数据交换区当前由于某人民医院内外网络之间需要进行数据通讯， 建立一个数据交换区域，数据交换区域通过防火墙进行两个区域之间的隔离和安全防护。从信息安全角度，我们不建议内外网络之间进行直接区域打通，如有必要应当实现物理隔离。个人建议采用数据交换应该通过 VPN 等方式实现，每个区域应当有自己的管理系统，内网防病毒系统应当离线病毒定义升级等措施。如果现状无法改变，
3、我们建议数据交换区应当提高信息安全防护级别，主要从单一访问控制延伸至应用层防护、入侵防御、恶意代码防护等综合安全措施。因此我们采用下一代安全网关或网闸这类安全设备，加强两大区域之间的安全防护。该防火墙要执行严格的安全策略。医院外网医院外网主要承载了医院办公互联网访问， 对外提供业务等服务。由于面向互联网，因此该区域面临较高的信息威胁和隐患，主要包括病毒恶意代码、网络攻击、黑客入侵、数据外泄等风险。现状是单一的防火墙进行安全防护，我们建议某人民医院首先应当对业务分级保护，重新规划 DMZ 区，主要放置对外的各业务 WEB 服务器。重点加强网络边界和 DMZ区域安全防护，如在和互联网边界透明/路由
4、部署抗 Ddos 系统，防火墙系统（路由模式）、入侵防御系统和防病毒。DMZ经过 WAF(应用层防火墙)进行过滤，保障对外业务的应用安全。第二部分、 需求分析与产品功能介绍2.1 抗 Ddos 系统 需求分析 拒绝服务攻击（ DoS, Denial of Service）是指利用各种服务请求耗尽被攻击网络的系统资源，从而使被攻击网络无法处理合法用户的请求。而随着僵尸网络的兴起，同时由于攻击方法简单、影响较大、难以追查等特点，又使得分布式拒绝服务攻击（ DDoS， Distributed Denial of Service）得到快速壮大和日益泛滥。 成千上万主机组成的僵尸网络为 DDoS 攻击提
5、供了所需的带宽和主机，形成了规模 巨大的攻击和网络流量，对医院出口网络造成了极大的危害。 主要危害：医院上网缓慢、网站或者挂号系统无法访问、出口设备宕机，网络停止服务。 产品功能 探针式流量检测： Detector 通过 DFI 分析的方式，发现网络中的异常流量并给出告警，支持主流的流量分析技术包括 Netflow、 cFlow、 sFlow、 NetStream 等。同时也支持镜像流量进行 Flow 转化，可以满足各种网络环境的流量分析需求。 手术式 DDoS 清洗：对漏洞型、流量型、应用型等各种 DDOS 攻击进行清洗，并将清洗完后的干净流量回注到网络。 强劲的处理性能：采用 MIPS 多
6、核处理平台，单机最大同时支持 64 个 vCPU 并行工作，清洗能力强，稳定性高。2.2 入侵防御系统 需求分析 随着网络的飞速发展，以蠕虫、病毒、木马、间谍软件、黑客攻击为代表的 应用层攻击层出不穷。传统的基于网络层的防护只能针对报文头进行检查和规则匹配，而大量应用层攻击都隐藏在正常报文中，甚至是跨越几个报文，因此仅仅分析单个报文头意义不大。由于业务需要，网络连接互联网，业务或办公数据在网络上传输，而网络设备、主机系统都不同程度存在一些安全漏洞，攻击者可以利用存在的漏洞进行破坏，可能引起数据破坏、业务中断甚至系统宕机，严重影响医院网络信息系统的正常运行。在医院网络中，防火墙作为安全保障体系的
7、第一道防线，防御黑客攻击。但作为工作在三层以下的访问控制设备，防火墙无法检测或拦截嵌入到普通流量中的恶意攻击代码，比如针对 WEB 服务的 Code Red 蠕虫等。而且有些主动或被动 的攻击行为是来自防火墙内部的，防火墙无法发现内部网络中的攻击行为。因此，如何识别医院网络中的攻击行为成为了当务之急。主要功能NIPS 是网络入侵防护系统产品内置先进的 Web 信誉机制，同时具备深度入侵防护、精细流量控制，以及全面用户上网行为监管等多项功能，能够为用户提 供深度攻击防御入侵防御系统可以对网络蠕虫、间谍软件、溢出攻击、数据库攻击等多种深层攻击行为进行主动阻断。并在漏洞库的基础上，集成了专业病毒库和
8、应用协议库，是针对系统漏洞、协议弱点、病毒蠕虫、黑客攻击、网页篡改、间谍软件、恶意攻击、流量异常等威胁的一体化应用层深度防御平台。部署简单、 即插即用，配合应用 Bypass 等高可靠性设计，可满足各种复杂网络环境对应用层安全防护的高性能、高可靠和易管理的需求，是应用层安全保障的最佳选择。2.3 WAF（应用层防护墙） 需求分析 WEB 应用安全问题本质上源于软件质量问题，但WEB 应用相较传统的软件，具有其独特性。WEB 应用往往是某个机构所独有的应用，对其存在的漏洞，已知的通用漏洞签名缺乏有效性；WEB需要频繁地变更以满足业务目标，从而使 得很难维持有序的开发周期；基于 Web 的应用日益
9、增多，SQL 注入、跨站脚本、网页挂马等各种攻击手段使得 Web 应用处于高风险的环境中，传统安全设备无法对 Web 应用提供细粒度的有效防护。主要功能Web 应用防火墙（简称 WAF），专注于保护 Web 应用和 Web 服务，并将 成熟的DDoS 攻击抵御机制整合在一起， WAF 提供针对 OWASP Top 10、LOIC、HOIC 的全面防御，为 Web 安全保驾护航。 降低数据泄露风险SQL注入防护、HTTP协议防护、Web 漏洞攻击防护、信息安全防护（状态码过滤/ 伪装）、Web 内容安全防护 支撑 Web 服务可用性HTTP Flood 防护、TCP Flood 防护 控制恶意访
10、问URL访问控制文件非法下载/上传防护盗链防护爬虫防护 保护 Web 客户端CSRF 防护 XSS 防护 Cookie 安全（加密/签名）2.4 堡垒机系统 需求分析随着信息化进程不断深入，医院的业务系统变得日益复杂，由员工或者外部维护人员违规操作导致的安全问题变得日益突出起来。防火墙、防病毒、入侵检系统等常规的安全产品可以解决一部分安全问题，但对于内部人员的违规操作 却无能为力。越来越多的会将非核心业务外包给设备商或者其他专业代维公司。如何有效地监控设备厂商和代维人员的操作行为,并进行严格的审计是医院面临的一个关键问题。主要功能堡垒机是针对业务环境下的用户运维操作进行控制和审计的合规性管控系
11、统。它通过对自然人身份以及资源、资源账号的集中管理建立“自然人资源 资源账号”对应关系，实现自然人对资源的统一授权，同时，对授权人员的运维操作进行记录、分析、展现，以帮助内控工作事前规划预防、事中实时监控、违规行为响应、事后合规报告、事故追踪回放，加强内部业务操作行为监管、避免核心资产（服务器、网络设备、安全设备等）损失、保障业务系统的正常运营。对单位的业务系统来说，真正重要的核心信息资产往往存放在少数几个关键 系统上，通过使用堡垒机，能够加强对这些关键系统的访问控制与审计，从而有效地减少核心信息资产的破坏和泄漏。能够对运维人员维护过程的全面跟踪、控制、记录、回放；支持细粒度配置运维人员的访问
12、权限，实时阻断违规、越权的 访问行为，同时提供维护人员操作的全过程的记录与报告；系统支持对加密与图形协议进行审计，消除了传统行为审计系统中的审计盲点，是IT系统内部控制最有力的支撑平台之一。2.5 数据库审计系统需求分析 数据库系统作为信息的聚集体，是计算机信息系统的核心部件，其安全性至关重要，关系到医院兴衰、成败。因此，如何有效地保证数据库系统的安全，实现数据的保密性、完整性和有效性，已经成为业界人士探索研究的重要课题之一。 对医院重要的业务应用系统或者网络基础设施，相应地具备如下需求中的部分或者全部：1、需要满足各种合规要求，比如等级保护、分级保护等要求； 2、需要对重要/关键数据的访问进
13、行审计；3、希望有效地控制数据库操作风险； 4、需要进行事后追查，但缺乏数据记录与追查方法。主要功能数据库安全审计系统主要用于监视并记录对数据库服务器的各类操作行为，通过对网络数据的分析，实时地、智能地解析对数据库服务器的各种操作，并记入审计数据库中以便日后进行查询、分析、过滤，实现对目标数据库系统的用户操作的监控和审计。数据库审计系统通结合各类法令法规（如等级保护、分级保护、 医院内控等）对数据库安全的要求，自主研发的业界首创细粒度审计、双向审计、全方位风险控制的数据库安全审计产品。可帮助医院带来如下价值点： 全面记录数据库访问行为，识别越权操作等违规行为，并完成追踪溯源 跟踪敏感数据访问行
14、为轨迹，建立访问行为模型，发现敏感数据泄漏 检测数据库配置弱点、发现 SQL 注入等漏洞、提供解决建议 为数据库安全管理与性能优化提供决策依据 提供符合法律法规的报告，满足等级保护、医院内控等审计要求；2.6 下一代安全网关主要面向数据交换区进行访问控制和综合安全防护。下一代防火墙可精确识别数千种网络应用，并提供详尽的应用风险分析和灵活的策略管控。结合用户识别、内容识别，下一代防火墙可为用户提供可视化及精细化的应用安全管理。同时，下一代防火墙内置了先进的威胁检测引擎及专业的WEB服务器防护功能，能够抵御包括病毒、木马、SQL 注入、XSS 跨站脚本、CC攻击在内的各种网络攻击，有效保护用户网络
15、健康及WEB服务器安全。基于全并行软硬件架构实现的“一次解包、并行检测”，下一代防火墙在具备全面安全防护的同时，更为用户提供高性能的应用安全防护。 优化的攻击识别算法。能够有效抵御如 SYN Flood、UDP Flood、HTTP Flood 等 DoS/DDoS 攻击，保障网络与应用系统的安全可用性。 专业 Web 攻击防护功能。支持 SQL 注入、跨站脚本、CC攻击等检测与过滤，避免 Web 服务器遭受攻击破坏； 支持外链检查和目录访问控制，防止 Web Shell 和敏感信息泄露，避免网页篡改与挂马，满足用户 Web 服务器深层次安全 防护需求。 高性能的病毒过滤。领先的基于流扫描技术
16、的检测引擎可实现低延时的 高性能过滤。支持对 HTTP、FTP 及各种邮件传输协议流量和压缩文件（ zip， gzip， rar 等）中病毒的查杀，提供近 100万条实时更新的病毒特征库。 超过 2000 万条分类库的 URL 过滤功能。可帮助网络管理员轻松实现网页 浏览访问控制，避免恶意 URL 带来的威胁渗入。基于多核硬件架构及“一次解包，并行检测”技术，下一代防火墙在开启多 种威胁防护功能时，仍可为用户提供业界领先综合安全性能。第三部分、安全服务与公司介绍 信息安全服务是信息安全工作重要补充，单纯的安全设备是无法解决企业面临的信息安全问题，山东新潮依靠专业的信息安全团队帮助企业设计好企业
17、网络安全架构、帮助企业加固信息安全产品，帮助企业发现潜在的信息安全隐患，在发生突发安全事件，第一时间提供技术支撑与应用响应。 3.1 重要业务系统或研发网络风险评估服务风险评估是从风险管理角度，运用科学的方法和手段，系统地分析网络与信息系统所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和整改措施。并为防范和化解信息安全风险，或者将风险控制在可接受的水平，从而最大限度地为保障网络和信息安全提供科学依据。风险评估流程将主要参考信息安全风险评估规范（ GB/T 20984-2007）， 通过现场调查、现场测试、交流访谈、分析研究等方式找出重要业
18、务系统或研发网络存在的脆弱性、面临的威胁，以及威胁发生的可能性、造成的影响，最终确定信息系统面临的风险，并给出安全加固建议。3.2 等级保护测评服务等级保护制度是一项国家信息安全基本制度。等级保护的开展主要包括定级、备案、整改、测评和检查五个步骤。等级保护测评工作的开展主要针对被测信息系统的技术和管理两个方面展开测评，技术部分包括物理安全、网络安全、主机 安全、数据安全、应用安全；管理方面包括安全管理机构、安全管理制度、系统建设管理、系统运维管理和人员安全管理五个方面。现场测评主要包括人员访谈、文档审查、策略配置检查、工具测试和实地察看等五个方面，并详细记录结果。信息安全等级保护建设就是要根据
19、国家标准和安全要求，逐步发现现有的信息系统存在的安全差距和风险隐患。把各种安全问题在爆发之前进行有效的加固与完善。从而在整体上提高企业信息系统的业务连续性。实施信息安全等级保护，能够有效地提高信息和信息系统安全建设的整体水平，有利于在信息化建设过程中同步建设信息安全设施，保障信息安全与信息化建设相协调有利于为信息系统安全建设和管理提供系统性、针对性、可行性的指导和服务，有效控制信息安全建设成本；有利于优化信息安全资源的配置，对信息系统分级实施保护，重点保障基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统的安全；有利于明确加强信息安全管理建设。3.3 信息安全意识或专题培训服务
20、信息安全培训是成本最低、最有效利用现有技术和资源的、效果最快最显著的信息安全管理措施。作为专业的信息安全咨询服务提供者，我们提供的信息安全培训是针对客户不同层次的安全需求而定制的，是全面融合了技术和管理要素的专业的培训服务。借助各项培训课程，我们的专业培训人员将向客户传授从一般性的安全意识、到具体的安全攻防操作、再到高级的信息安全管理在内的全方位的安全知识和技能，从而提升客户在信息安全实践当中“人”这个决定因素的关键作用，为有效的信息安全提供保障。我们主要为用户提供如下培训服务： 安全意识培训：面向组织的一般员工、非技术人员以及所有信息系统的用户，目的是提高整个组织普遍的安全意识和人员安全防护
21、能力，使组织员工充分了解既定的安全策略，并能够切实执行； 安全技术培训：面向组织的网络和系统管理员、安全专职人员、技术开发人员等，目的是让其掌握基本的安全攻防技术，提升其安全技术操作水平，培养解决安全问题和杜绝安全隐患的技能； 安全管理培训：面向组织的管理职能和信息系统、信息安全管理人员，目的是提升组织整体的信息安全管理水平和能力，帮助组织有效建立信息安全管 理体系； 资质认证培训：向客户提供国内外最顶尖信息安全相关认证考试的辅导培训，帮助客户顺利通过考试并获得各类信息安全资质认证； 安全职业教育：面向在信息安全领域寻求职业发展的人员，通过较为长期的系统化学习，帮助其具备信息安全从业所需的基本
22、知识和特定技能，以满足信息安全相关职位最普遍的要求。除此之外，我们还可以根据客户的特殊需求，制定符合客户自身特点的培训方案，定制培训内容，编写培训计划，提供相关教材，并最终考核培训效果。3.4 公司介绍山东新潮信息技术有限公司成立于 2000 年，注册资金 1100 万元。是国内最早提供信息安全服务的专业企业之一，山东新潮是一家信息安全生命周期企业，提供了与信息安全相关的所有服务，主要包括信息安全咨询与规划、信息系统等级保护测评服务、信息系统风险评估服务和信息安全培训等业务。作为一家技术型公司，技术研究和人才建设是企业发展的关键，山东新潮目前共有员工 100 人左右，高级工程师、项目经理、安全
23、工程师等技术人员占到 80%左右。公司拥有一批实力雄厚的技术人员，其中包括高级测评师 2 名、高级项目经理 2 名、项目经理 8 名、CISP（注册信息安全专业人员）6名、 OCP（ Oracle数据库认证专家） 2 名、 CISAW（信息安全保障从业人员）8名、CCNP（思科认证 网络高级工程师）、 ITIL（ IT 服务管理专业资格认证）、网络工程师、渗透工程师等数名。公司的业务遍布政府、烟草、金融、电信、电力、能源、大型国企、教育、卫生等领域。山东新潮目前是省内最早从事信息安全服务企业，目前是山东信息安全服务资质最全面的企业。信息安全服务主要为用户提供信息系统等级保护测评（鲁 -001）、信息安全风险评估、信息安全上线检查、信息安全建设规划咨询、 信息 安全资质咨询、IS027001 信息安全体系建设、信息安全应急响应、信息安全培训等。山东新潮是山东省首家获得等级保护测评资质的机构，目前拥有全省队伍最庞大的等级保护测评队伍。山东新潮信息技术有限公司是全国能够开展信息安全等级保护培训（ CIIPT）8 家培训机构之一，信息安全等级保护测评联盟副理事长单位，依托于一个国家认证“ 信息安全实验室” 和等级保护测评平台为全国重要业务系统提供等级保护测评服务。
