三甲医院信息安全建设方案.docx
《三甲医院信息安全建设方案.docx》由会员分享,可在线阅读,更多相关《三甲医院信息安全建设方案.docx(178页珍藏版)》请在得力文库 - 分享文档赚钱的网站上搜索。
1、三甲医院信息安全建设方案二.安全建设思路等级保护建设流程等级保护的设计与实施通过以下步骤进行:1 .系统识别与定级:通过分析系统所属类型、所属信息类别、服务范围以及 业务对系统的依赖程度确定系统的等级。通过此步骤充分了解系统状况, 包括系统业务流程和功能模块,以及确定系统的等级,为下一步安全域设 计、安全保障体系框架设计、安全要求选择以及安全措施选择提供依据。2 .安全域设计:根据第一步的结果,通过分析系统业务流程、功能模块,根 据安全域划分原则设计系统安全域架构。通过安全域设计将系统分解为多 个层次,为下一步安全保障体系框架设计提供基础框架。3 .安全保障体系框架设计:根据安全域框架,设计系
2、统各个层次的安全保障 体系框架(包括策略、组织、技术和运作),各层次的安全保障体系框架形 成系统整体的安全保障体系框架。4 .确定安全域安全要求:参照国家相关等级保护安全要求,设计等级安全指 标库。通过安全域适用安全等级选择方法确定系统各区域等级,明确各安 全域所需采用的安全指标。5 .评估现状:根据各等级的安全要求确定各等级的评估内容,根据国家相关 风险评估方法,对系统各层次安全域进行有针对性的等级风险评估。通过 等级风险评估,可以明确各层次安全域相应等级的安全差距,为下一步安 全技术解决方案设计和安全管理建设提供依据。6 .安全技术解决方案设计:针对安全要求,建立安全技术措施库。通过等级
3、风险评估结果,设计系统安全技术解决方案。7 .安全管理建设:针对安全要求,建立安全管理措施库。通过等级风险评估 结果,进行安全管理建设。题,管理者定期的统计数据表明,国内机构内防病毒软件的安装/运行率一般徘徊 在60%70%之间。因此,针对机构内防病毒软件的健康性保障系统是帮助管理者增 强防御水平,降低管理成本的有效手段。终端准入系统能够针对主流的十几类杀毒软件进行健康性保障,基于用户所规 划的边界,确保在终端设备接入边界时就自动提升杀毒软件的健康程度,从而在 终端设备最重要的安全配置上实施强制管理。系统补丁 (Patch)健康保障一一如果操作系统不及时更新补丁,那么任何漏 洞都会变成Oday
4、威胁,从而对设备、使用者甚至是机构造成巨大的威胁和损失。终端准入系统依托于Microsoft每月补丁更新,及自身专业补丁检测团队,为 用户提供更合适的补丁分级管理机制,确保检测过的补丁具有更高的稳定性和安 全针对性。由于终端准入系统自身集成了补丁服务器功能,因此不需要用户额外 搭建WSUS等补丁设施,从而有效降低了内网管理的TCO。行业特征规范医疗卫生一一类似于金融机构所拥有的消费及账号信息,医疗机构中存储的大 量医药、患者信息由于其重要性及涉及到的非法利益链,日益成为网络安全事件 的焦点所在,而在众多医疗机构纷纷加固服务器自身安全的同时,内网边界的模 糊、内网接入终端的缺乏管理、人员控制成为
5、了自身的另一块短板。终端准入系统在大量医疗机构中搭建了防御于服务器区域之前的坚强壁垒,通 过强大的控制系统,终端准入系统能够在内网接入层边界进行布防,利用设备识 别/用户认证/hub及NAT管理等手段进行严密的内网接入规范。终端准入系统提供的近30项安全要素规范库,能够充分满足企业机构对接入 终端设备多样性的安全配置及安全操作要求。另外在终端准入系统的规范系统中 还提供了行业内最全面的来宾管理模块,依据管理严格度从低到高可以分别配置 为:禁止访客非授权入网;对试图入网的访客进行有效审计;对部分访客进行审 核后允许入网;访客入网后权限受到控制;明确访客访问的内部员工对象,进行 一对一监管;访客入
6、网有时效限制,超过规定时间自动出网,如需入网则必须再 次向管理员申请等。8. 4. 8. 1.4操作行为管理出于对NAC理念全面理解的终端准入系统,除了在边界位置履行对人员和设备 控制的基本NAC职责外,更提供了延续到人员和设备入网后的行为、状态变更、 维护等综合管理。能够在用户及设备入网后,提供机构管理策略的延展性,可配 置的策略能够搭建用户/设备入网后的全面管理规范,包括: 对用户各种操作的监控和响应:ip更改违规软件使用必须安装软件随意卸载网络访问操作安全检查违规 计算机设备状态变更的监控和响应设备变更系统环境变更入/出网状态变更开/关机状态变更 计算机设备的统一维护管理类别管理设备信息
7、管理软件分发服务管理终端探测 违规外联管控(单独授权模块)终端外联行为检测终端外联行为阻断外联行为记录违规外联报警 U盘数据加密管控(单独授权模块)U盘强制加密U盘注册审核U盘使用权限控制非法U盘禁用资产管理(单独授权模块)终端硬件资产信息收集终端软件资产信息收集终端硬件资产变动收集终端软件资产变动收集终端资产变动排行任务管控终端软件安装包分发终端批处理脚本分发终端消息通知分发入网后,直至设备出网或下线的管理保证了接入控制的延续性,同时更符合机 构对各类规范/制度的连续性要求,确保网络管理与维护者的工作不存在盲点和漏 洞,准入控制也真正成为一个能够维系和把控内网各种流程安全的平台性方案。8.
8、4. 8. 1. 5视角报表管理终端准入系统中提供多种查看安全威胁点的方法和方式。系统使用人员可以从 自己关注的起始点出发逐级进行查看。所有安全状态均提供了丰富的报表输出。 基于网络管理的整体视图架设在用户网络中的终端准入系统能够对网络设备进行自动发现,同时能够利 用telnet、snmp、ssh等方式对机构的所有网络设备(switch、router firewall、 vpn等)进行更全面的统一管理,通过优化的算法,为用户快速生成全网的整体视 图。利用终端准入系统的整体网络视图,用户能够直观地获得所辖网络的基础设施 资产概况、物理分布、连接状况、地址分配、所有物理位置的接入设备状况利用报表系
9、统,终端准入系统能够帮助管理者统计出全网接入设备的数量;利 用网络整体视图,管理者则能够进一步明确接入设备的位置和分布状况。 基于端口的空间定位在整体视图的基础上,终端准入系统能够勾勒出所有网络设备的面板视图,并 展现出各个端口的运行状态,从而从物理位置/空间角度更形象地向用户传递所有 即时接入信息。利用递进式的展现页面,管理者更能够获取到从端口到下联设备、设备安全状 况直至设备详情的4层安全信息。 事件/时间交互定位在大部分的网络安全方案忽视/忽略时间维度的情况下,终端准入系统能够在 行业内提供领先的时间维度的安全定位。通过将所有事件(入网、出网、上线、下线、认证、评估、监测等)以时间维 度
10、进行串联,管理者能够获取到以时间段为中心轴的事件体系报告,从而能够对 时间进行事件定位;终端准入系统还支持通过查询事件得出对应的时间报表,并 得出事件的时间分布状况,以及同一类型的事件的归类视图。通过事件/时间的交互定位管理,管理者能够对网络中深层次的运维状况进行 具有连续性的统计和管理,将所有的接入网络/组成网络的终端进行归纳,形成一 个不断发展,不断治理的内网管理体系。8. 4.9日志审计建设8. 4. 9. 1建设方案防病毒管控中心安全态势感知平台智能管理 业务运维网络准入系统漏洞扫描系统堡垒机网络安全审计配置核查系统数据库审计系统运维管理区在运维管理区中旁路部署日志审计系统,针对大量分
11、散设备的异构日志进行综合日志审计集中采集、统一管理、存储、统计分析,满足等保合规要求、高效统一管理资产 日志并为安全事件的事后取证提供依据。8. 4. 9. 2产品介绍AH安全审计系统日志审计(ASFOS SASL)包含日志采集、日志管理、资产 管理、事件管理、告警管理、报表管理、系统管理以及用户管理等八大核心功能。通过内置的日志采集功能可实时采集不同厂商的安全设备、网络设备、主机、 操作系统以及各种应用系统产生的日志信息,然后经过统一的日志管理过程,如 日志范式化处理等,将采集来的海量的异构的日志信息进行集中化的解析和存储, 结合资产管理模块、事件告警模块的相关规则以及配置,形成事件告警信息
12、,用 户可基于这些进行原始日志、范式化日志以及事件、告警等信息的查询,并可通 过丰富灵活的日志报表功能进行可视化的查看,实现对日志的全生命周期管理。采用当前最为流行高效的大数据架构,支持高性能的多端口采集、高适应性 的日志采集,可基于主流协议实时采集不同厂商的安全设备、网络设备、主机、 操作系统以及各种应用系统产生的日志信息。经过高效的统一处理日志,结合基 于规则的事件分析以及交互式语义提供非常灵活的事件分析规则以及交互式查询 方式,提供内置的丰富报表模版、灵活自定义的报表模版功能、可按需配置的可 视化统计图表。此外,AH安全审计系统日志审计(ASFOS SASL)提供可灵活扩 展的存储方案,
13、可满足等保合规等法律法规规定的日志存储需要。全面集中的日志管理支持 SYSLOG、SNMP Trap、FTP、SFTP、JDBC、ODBC、Net flow 等多种日志采 集方式,支持但不限于网络设备,如交换机、路由器、网关等。安全设备,如防 火墙、入侵防护、网闸、防毒墙等。安全系统,如身份认证系统、授权管理系统等。应用系统,如邮件系统、0A系统、数据库系统、中间件系统等。业务系统, 如ERP系统、CRM系统等。AH安全审计系统日志审计(ASFOS SASL)可以支持有代理和无代理两种日 志采集方式和多种标准协议。通过数据采集、数据理解引擎、数据抽取和数据清 洗等操作,将各种应用系统和设备的日
14、志进行预处理,帮助管理员把海量日志进 行去噪,提取其中人们事先不知道,但潜在有用的信息和知识,进行事件关联分 析。网络设备 安全设备 主机设备 应用系统 数据库 中间件独家数据强化技术根据AH科技对攻防研究的长期积累,提供一套简洁有效的日志统一分类,使 用独有的技术将日志快速标准化,并基于安全分析需要进行数据的过滤和强化, 丢弃无法用的噪音信息,提升日志查询和分析效率。海量的日志处理能力使用大数据技术,在并发内存内处理机制方面能够带来数倍于其它采用磁盘 访问方式的解决方案,借助离线计算引擎在小时级别内,即可完成对海量日志的 处理。8. 4. 9. 3方案效益满足中华人民共和国网络安全法、信息系
15、统安全等级保护基本要求以及其他行业的合规性要求:中华人民共和国网络安全法中:第二十一条国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级 保护制度的要求,履行下列安全保护义务,保障网络免受干扰、破坏或者未经授 权的访问,防止网络数据泄露或者被窃取、篡改:(一)制定内部安全管理制度和操作规程,确定网络安全负责人,落实网络安全 保护责任;(二)采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措 施;1=11=1(三)采取监测、记录网络运行状态、网络安全事件的技术措施,并按照规定留 存相关的网络日志不少于六个月;(四)采取数据分类、重要数据备份和加密等措施;(五)法律、行政法
16、规规定的其他义务。信息系统安全等级保护基本要求:网络安全:安全审计(G2):应对网络系统中的网络设备运行状况、网络流量、用户行为等 进行日志记录;8.5安全服务 8. 5. 1安全漏洞扫描服务 8. 5. 1. 1服务范围安全漏洞扫描服务可以为客户提供包括网络设备、操作系统、数据库、常见 应用服务器以及WEB应用等范围的扫描。漏洞扫描的详细服务范围如下: 操作系统Windows,发行版 Linux、AIX、UNIX 通用、Solaris. FreeBSD. HP-UX. BSD 等主流操作系统。 数据库Oracle、MySQL、MSSQL、Sybase DB2、I 下一代防火墙 ormix 等
17、主流数据库。 常见应用服务Apache、HS、Tomcat. Weblogic 等主流应用服务,常见 FTP、EMAIL. DNS、 TELENT、POP3、SNMP、SMTP、Proxy. RPC 服务等。 Web应用程序ASP、PHP、JSP、.NET、Perl. Python. Shell 等语言编写的 WEB 应用程序。 网络设备常见的路由器、交换机等设备。8. 5. 1.2服务内容安全漏洞扫描会对信息系统内的网络设备、操作系统、应用软件、中间件和 服务等进行安全漏洞识别,详细内容如下:8. 网络层漏洞识别版本漏洞,包括但不限于I0S存在的漏洞,涉及包括所有在线网络设备及 安全设备。
18、开放服务,包括但不限于路由器开放的Web管理界面、其他管理方式等。 空弱口令,例如空/弱telnet 口令、snmp 口令等。 网络资源的访问控制:检测到无线访问点,域名系统:ISC BIND SIG资源记录无效过期时间拒绝服务攻击漏洞, Microsoft Windows DNS 拒绝服务攻击, 路由器:Cisco IOS Web配置接口安全认证可被绕过,Nortel交换机/路 由器缺省口令漏洞,华为网络设备没有设置口令, 8. 5. 1. 2. 2操作系统层漏洞识别 操作系统(包括 Windows、AIX 和 Linux、HPUX、Solaris、VMware 等)的 系统补丁、漏洞、病毒
19、等各类异常缺陷,空/弱口令系统帐户检测 例如:身份认证:通过telnet进行口令猜测,访问控制:注册表HKEY_LOCAL_MACHINE普通用户可写,远程主机允许匿 名FTP登录,ftp服务器存在匿名可写目录, 系统漏洞:System V系统Login远程缓冲区溢出漏洞,Microsoft Windows Locator服务远程缓冲区溢出漏洞,安全配置问题:部分SMB用户存在薄弱口令,试图使用rsh登录进入远程 系统,8. 5. 1. 2. 3应用层漏洞识别应用程序(包括但不限于数据库Oracle.DB2.MS SQL, Web服务,如Apache. WebSphere. Tomcat. H
20、S等,其他SSH、FTP等)缺失补丁或版本漏洞检 测, 空弱口令应用帐户检测。 数据库软件:Oracle tnslsnr 没有设置 口 令,Microsoft SQL Server 2000 Resolution服务多个安全漏洞,Web 服务器:Apache Mod_SSL/Apache-SSL 远程缓冲区溢出漏洞,Microsoft IIS 5. 0 . printer ISAPI 远程缓冲区溢出,Sun ONE/iPlanet Web 服务程 序分块编码传输漏洞, 电子邮件系统:Sendmai 1头处理远程溢出漏洞,Microsoft Windows 2000 SMTP服务认证错误漏洞,
21、防火墙及应用网管系统:Axent Raptor防火墙拒绝服务漏洞, 其它网络服务系统:Wingate POP3 USER命令远程溢出漏洞,Linux系统LPRng远程格式化串漏洞,2.2参考标准,计算机信息系统安全保护等级划分准则(GB17859-1999)/信息系统安全等级保护基本要求(GB/T 22239-2008)/信息系统安全保护等级定级指南(GB/T 22240-2008)/信息系统等级保护安全设计技术要求/信息安全等级保护实施指南(报批稿)/信息系统安全等级保护测评要求(送审稿) GA/T3872002计算机信息系统安全等级保护网络技术要求 GA/T388 2002计算机信息系统安
22、全等级保护操作系统技术要求/GA/T3892002计算机信息系统安全等级保护数据库管理系统技术要求 GA/T390 2002计算机信息系统安全等级保护通用技术要求 GA/T3912002计算机信息系统安全等级保护管理要求/GB/T18019T999信息技术一包过滤防火墙安全技术要求/ GB/T18020-1999信息技术一应用级防火墙安全技术要求/ IS027000/ IATF:信息保障技术框架IS0/IEC 15408 (CC)ISO/IEC 13335,第一部分:IT安全的概念和模型;/第二部分:IT安全的管理和计划制定;/第三部分:IT安全管理技术;/第四部分:安全措施的选择;/第五部分
23、:网络安全管理指南。服务流程整个安全漏洞扫描服务的流程分为三个阶段:准备阶段、扫描过程和报告汇 报。通过这三个阶段结合安全漏洞扫描内容和实际客户系统情况,完成安全漏洞 扫描服务。准备阶段准备阶段:前期技术交流包括相关安全扫描技术、扫描原理、扫描方式及扫 描条件进行交流和说明;同时商谈安全漏洞扫描服务的范围,主要是哪些主机, 网络设备,应用系统等;并结合实际业务情况需求,确定扫描范围,扫描实施的 时间,设备接入点,IP地址的预留,配合人员及其他相关的整体漏扫方案。扫描过程:依据前期准备阶段的漏扫方案,进行漏洞扫描、漏洞分析和漏洞 测试,扫描过程主要是进行范围内的漏洞信息数据收集,为下一步的报告撰
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 医院 信息 安全 建设 方案
限制150内