医疗终端安全管理系统解决方案 沈阳诺华软件公司

医疗终端安全管理系统解决方案沈阳诺华软件有限公司二零一一年八月十日第31页文件修改日期：2009-11-26版权声明诺华软件拥有“兰鲨lansam”产品及相关文档的全部版权。未经本公司书面许可，任何单位及个人不得以任何方式或理由对本产品及相关文档的任何部分进行复制、抄录、传播。特殊说明诺华软件公司保留对本文档的最终解释权，所列功能及引用图片仅供查阅，以提供实际产品版本为准。信息反馈感谢您对诺华软件公司的支持，如果您在使用过程中有任何意见或建议，请与我公司联系，您的意见和问题会得到我们的高度重视和妥善处理。电 话 真售热线：800-890-8595E-mail：WebSite：地 址：沈阳市浑南新区科幻路9号百科软件园3F目 录第一章用户需求分析4一、用户信息化应用环境概述4二、面临的安全风险及管理问题52.1面临的问题概述52.2终端安全风险62.3信息泄露带来的风险72.4病毒爆发带来的风险72.5系统漏洞带来的风险72.6外来计算机的非授权接入带来的风险82.7计算机维护效率82.8 计算机资产管理8第二章终端安全管理解决方案8一、针对性解决方案8二、产品选型及系统需求92.1产品选型92.2系统需求9三、方案应用价值9四、产品功能清单10五、产品技术优势115.1技术亮点115.2产品稳定性125.3 执行效率12第三章终端安全管理系统功能介绍123.1兰鲨lansam ESA终端安全认证管理系统概述123.2终端活动快速统计133.3结构视图143.4计算机设备管理143.5应用程序管理143.6移动存储介质管理143.7节能管理153.8IP资源管理153.9准入控制163.10发布平台163.11资产管理163.12补丁更新193.13软件自助服务203.14策略部署中心203.15管理配置20第四章兰鲨Lansam ESA安全认证客户端20第五章项目实施22第五章项目实施23第七章诺华公司简介31第一章用户需求分析一、用户信息化应用环境概述大连市友谊医院成立于二十世纪四十年代，前身是中苏医院， 1982 年被大连市政府正式定名为大连市友谊医院， 1994 年被卫生部授予三级甲等医院，是集医疗、科研、教学为一体的大型综合性三级甲等医院，也是市直第一所涉外医院、市三大急救中心之一和大连市唯一一所红十字医院，是大连地区医疗中心之一。长期以来，大连市友谊医院一直承担着广大市民的医疗服务工作和中央省市领导在连的医疗保障工作，同时还长期承担为重大的国内外会议和活动提供医疗保障服务。大连市友谊医院地处大连市经济金融、商务休闲中心区域，东临正在兴建的东港商务区，西接金融商务区，南面是棒棰岛国宾馆风景区，北眺风雨百年的大连老港，自然和历史给予了大连市友谊医院独具区位优势和良好的发展机遇。 大连市友谊医院现开放床位 1400 张，下设 50 余个临床科室，职工1100余人，主任医师及副主任医师229人，硕士生导师17人，博士14人，硕士180人，市一级重点专科6个，建筑面积3.5万平方米。 1997 年以来，在大连地区率先开展了肾移植、肝移植、肝肾联合移植手术，目前是大连地区唯一获批能开展肾移植的医院。肝胆外科、微创外科、泌尿外科、消化内科、超声诊断、介入放射、神经内科、耳鼻喉颌面头颈外科、老年病、心内科、妇科等专业已具独特专科技术优势和特色，拥有丰富专业技术和学术的积累，在大连地区享有一定声誉。 如今的大连市友谊医院正处于快速发展的关键时期，即将建设 6 万平方米的现代化门急诊大楼。特别是在新医改的历史机遇期，大连市友谊医院在上级党委和政府的大力支持下，将不断的整合、扩大、充实和提升，获得进一步的发展，以更优质的医疗服务回报于社会和广大人民群众。 大连友谊医院信息化现状分析 经建立起HIS系统，PASS等系统，但缺乏有效的维护手段 实现与医保的联网结算，外来的安全风险加剧 有些不允许接入互联网的计算机用户私自更改设置上互联网 ，带来安全隐患 只重视系统应用的建设，忽视了网络安全的重要性 即使布署了边界的安全设备、防毒系统，但“泄密门”事件仍在发生 对于没有采取安全措施的内部计算机和外来计算机私自接入网络无法控制 计算机资产无法相信准确统计和变更报警，特别是无法对显示器、打印机等资产的详细信息和变更无法全面了解 信息中心技术人员无有效的远程维护计算机的手段，都需要现场解决问题，不仅效率不高，而且无法从繁琐重复的维护工作解脱出来 有些计算机由于工作需要上互联网，但部分医护人员工作时间从事游戏、网络聊天等非工作计算机应用无法控制二、面临的安全风险及管理问题2.1面临的问题概述跟据对大连友谊医院的网络结构、终端管理、安全措施等应用情况的深入研究，结合目前主流的攻击手段的措施，发现以下管理问题需要解决。 如何对医疗信息进行有效的保护以防止外泄 如何防止外来计算机的非授权接入 如何对600余台网络终端进行高效维护 如何杜绝非工作性程序应用提高工作效率和对外窗口形象 如何全面掌握全网计算机资产（主机资产、显示器、打印机等）以及资产变更情况 如何限制医护人员私接互联网2.2终端安全风险由于网络攻击手段层出不穷、终端用户安全意识薄弱、安全防护措施不到位、内部管控不严等原因，计算机终端已成为信息安全的薄弱环节，失窃密事件时有发生，政府信息安全面临严峻挑战。根据FBI和CSI曾对发生过机密信息泄露事件的企业进行调查。调查显示，97%的企事业使用了防火墙；93%的企事业安装防病毒软件；72%的企事业使用了入侵探测系统；70%的公企事业使用了基于服务器的访问控制；68%的公司在数据传输过程中应用了加密技术。 事例1安全公司F-Secure统计从2009年1月19日起仅4天时间，受到“Downadup”蠕虫（是通过微软在2008年10月修复的一个安全漏洞传播的。）感染的计算机数量在飞速增加。在过去的四天里，受感染的计算机数量已经从预计的240万台增加到了890多万台，美国和欧洲是受感染最少的，因为IT管理员定期进行更新。中国、巴西和俄罗斯是受影响最严重的。 事例2近年来内部人员泄密事件泄密事件“力拓间谍案”“可口可乐泄密案”、“凯恩纸业泄密案”、“韩浦项钢铁集团泄密案”、“长虹技术泄密案” 。这些不同性质泄密事件的发生，共同暴露出了企业内部监管手段的薄弱以及安全管理体系的缺乏，据2008年的最新调查结果显示，由于内部人员泄密，每年使美国商业损失超过2500亿美元。 事例32009年09月份以来，专家呼吁全球用户警惕一种名为Kido(又叫 Conficker 或 Downadup)的蠕虫病毒。该蠕虫病毒具有极强的破坏能力，不仅能够创建十分强大的僵尸网络，还可以通过本地网络和可移动存储介质进行传播。经统计，世界上因为被Kido感染而沦为“肉鸡”的计算机数量已经达到了500万至600万之多。可以确定的是，Kido利用微软的MS08-067漏洞对计算机进行感染。虽然微软已经在2008年10月发布了相应的补丁，但是根据专业统计数据表明， 直到2009年1月Kido蠕虫大规模爆发时，仍有大量的计算机未打补丁。为了保障您的信息和财产安全，除了尽快安装安全微软漏洞MS08-067, MS08-068 和MS09-001 的相应补丁外，还可以尝试通过下载Kido蠕虫专杀工具的方式检查或清除威胁。但是如果要从根本上杜绝恶意程序的感染，您需要安装一个功能全面的安全软件，并开启反病毒数据库的自动更新功能，进行及时更新，以获得时时保护。 事例4目前多数企业重视安全，轻视管理，缺乏在管理上的有效技术手段。据国家病毒监测中心不完全统计，2008年被调查的已经采取传统安全防护手段而没有应用终端安全管理的单位中有62.7%发生过网络安全事件，感染计算机病毒、蠕虫和木马程序的情况最为突出，其次是网络攻击、端口扫描、垃圾邮件和网页篡改。去年全国被篡改的网站数量为5.4万个，政府网站占绝大多数。2.3信息泄露带来的风险 患者隐私的泄露可能导致法律风险 医疗科研数据的泄露可能导致竞争力下降 处方数据的泄露可能产生更大的负面影响2.4病毒爆发带来的风险 权威机构统计，目前全球的病毒威胁数量在1100万左右，只靠防毒系统，已捉襟见肘 有很多病毒杀不掉，大部分跟系统漏洞有关 病毒爆发，导致办公系统无法正常工作 基本无法快速定位病毒源，工作负担重 系统恢复期较长通常需要2-3天2.5系统漏洞带来的风险 高风险的系统漏洞代表该漏洞使攻击者可以获得最高权限 中风险漏洞代表该漏洞可以帮助攻击者获得主机信息，有助于攻击者进一步攻击或存在潜在的致命漏洞 低风险漏洞代表该漏洞间接影响系统服务的正常运行 微软公司发布的系统漏洞已达3250个，仅2009年10月份就发布215个漏洞信息，其中高风险漏洞就有109个占50%以上，都涉及到通过该漏洞可以获得对系统的控制权 评估发现，很多存在漏洞的主机都是一些常见的配置错误或已发布的系统漏洞，而且针对这些漏洞的攻击工具很容易被攻击者获取2.6外来计算机的非授权接入带来的风险 可能导致木马病毒的植入，给网络带来潜伏性的安全威胁且难于察觉 医疗数据可能被窃取 医疗数据可能被篡改 可能带来其他网络攻击风险2.7计算机维护效率 由于硬件故障问题，占用维护时间的20% 由于操作系统问题，占用维护时间的30% 由于软件配置问题，占用维护时间的15% 由于网络故障问题，占用维护时间的20% 由于病毒处理问题，占用维护时间的15%2.8 计算机资产管理 无法统计网络内计算机-主机准确数量 无法统计网络内计算机-显示器的准确数量、型号、尺寸、序列号，宿主计算机等重要信息 无法统计网络内打印机的准确数量、型号、宿主计算机等重要信息 无法对网络中计算机主机重要部件、显示器、打印机等变更报警 第二章终端安全管理解决方案一、针对性解决方案我们根据大连友谊医院的网络管理的问题，有针对性地提出集桌面管理与安全管理为一体的网络桌面管理解决方案。通过该方案的实施可以解决用户的以上网络计算机管理的难题。提高网络的运营效率，降低网络管理人员的工作负荷。针对上述问题的解决方案 对USB存储设备等移动存储介质的管理 光驱、软驱等计算机设备管理的统一管理 统一的IP设备接入管理，对外来主机和院网脱管的计算机接入进行控制 防止私改IP和非法接入互联网进行控制 行之有效的应用程序管理与网络应用管理 全面相信的资产信息汇总和变更提示二、产品选型及系统需求2.1产品选型兰鲨lansam ESA（兰鲨终端安全认证管理系统）600点。2.2系统需求 服务端系统需求硬件配置:CPU:Pentium IV以上内存：2G以上磁盘剩余空间：30G以上 客户端系统需求硬件配置:CPU:Pentium 300以上内存：256M以上磁盘剩余空间：100M以上操作系统:WINDOWS XP系列 / WINDOWS 2000系列 / WINDOWS 2003/VISTA系列/WIN7系列三、方案应用价值 医院HIS、PACS、PASS系统维护效率得到大幅提高 私自接入互联网现象彻底杜绝，网络安全性显著提高 非工作的计算机应用（炒股、游戏。聊天、看电影、互联网下载等）完全被禁止，网络通畅。 远程维护极大地降低了对桌面系统的维护成本 有效的避免由于系统漏洞导致的病毒爆发风险 提高了医务人员工作的效率，树立了医院良好的工作形象 增强了信息的保密措施，有效提高网络安全性 使网管人员有更多时间研究系统化建设问题 对全院的计算机资产全面掌握和详细了解，为硬件和软件系统的升级改造提供可靠的依据，并且可以掌握各个科室计算机配比，使计算机以及打印机得到合理调配。四、产品功能清单管理范畴功能描述结构视图 终端活动快速统计 操作系统结构视图 部门分组结构视图 自定义结构视图准入控制 基于MAC的准入控制 基于802.1x的准入控制补丁更新 补丁部署 客户机补丁报表 补丁部署查询应用管理 进程监视 黑白名单 进程类库 节能管理 IP资源管理 软件分发安全管理 移动存储介质登记 介质使用策略管理 计算机设备管理资产管理 主机概览 主机资产明细 显示器资产管理 使用率分析图表 打印机 软件资产汇总及查询 其他类资产管理 变更提示发布平台 新闻及公告 消息通知 软件自助策略部署中心 策略部署清单 已部署策略管理配置 服务器引擎配置 客户端安装程序配置 登录安全配置 管理员权限配置 注册与激活日志 系统日志 报警日志 日志维护五、产品技术优势5.1技术亮点Lansam ESA系统完全符合业界开放标准协议TCP/IP、RPC、CMIP/CMIS、DHCP、DMI、CIM、WMI、WMD等标准网络传输、加密和网管协议； 业界第一款完全web service构架及SOAP协议的终端安全认证管理产品 业界第一款可跨互联网运行的终端安全认证管理产品 业界第一款软件缺陷率在十万分之一以下的终端安全认证管理产品 业界第一款Flash UI的终端安全认证管理产品 业界第一款服务端跨平台支持 业界第一款首页标识支持定制功能的终端安全认证管理产品5.2产品稳定性由于采用业界标准协议与API接口进行设计与研发，所以在底层技术上为产品的稳定性提供了可靠保证；诺华引进了IBM RationalRose测试工具及Rational Clear Quest缺陷数据管理服务平台，通过Rational Clear Quest的整合应用，在业内首家引入了软件故障率管理体系。通过这些系统化的管理，使得诺华的产品测试流程及产品质量管理达到了业界领先水平从而保证了产品的故障率控制在0.001%以下,平均无故障运行时间在5万小时以上。5.3 执行效率各个功能模块采用非关联性设计，功能的触发性启用技术的应用，代码级别的深层优化机制，使得客户端资源占用明显低于同类产品。客户端CPU占用率0-2%，内存使用率8M。第三章终端安全管理系统功能介绍3.1兰鲨lansam ESA终端安全认证管理系统概述以安全+认证+服务+管理为理念，以完全web service 架构为基础，以安全认证为核心，通过准入控制、安全评估、策略遵从性审计等技术手段实现对终端的应用、安全、网络行为等方面的统一的、跨互联网的、完整的管理。完整解决方案由lansam7 ESA终端安全认证系统、lansam7 RG 认证网关组成。兰鲨lansam7 终端安全认证管理解决方案价值主张3.2终端活动快速统计 许可数 客户端峰值数量 脱管数量 当前客户端数量 未注册数量 使用者信息等进行汇总3.3结构视图 具有按部门、操作系统、引擎、VLAN、自定义等分组结构视图 客户端基本信息、使用者信息、策略信息等详实的信息内容 客户端策略执行/暂停快捷操作3.4计算机设备管理 支持对USB、蓝牙、红外、1394、LTP/COM、人体工程学设备、图形设备、调制解调器（包括3G上网卡）、便携设备(包括智能手机、PDA)等设备的使用控制3.5应用程序管理 进程监视 黑白名单 进程信息与进程类库自动关联，方便管理员对进程进行管理 TOP6策略遵从性 策略遵从曲线3.6移动存储介质管理 移动存储介质登记、授权、使用期限设置 支持U盘、移动硬盘、XD卡、SD卡、MSD卡、手机存储器、数码相机/摄像机等 基于使用策略的安全应用管理 TOP6策略遵从性 策略遵从曲线3.7节能管理 基于策略的节能控制，中度节能、深度节能、最佳节能 节能时间统计图表3.8IP资源管理 实时统计IP地址占用情况、使用者信息等 支持ICMP禁用环境 采用智能动态代理技术3.9准入控制 基于MAC认证的准入控制，支持DHCP环境。 基于802.1x准入控制 对认证账户及密码使用策略进行管理 自带Radius服务器 非授权接入统计3.10发布平台 管内新闻，支持二次设定部门、操作权限 消息通知，支持二次设定部门、操作权限3.11资产管理 主机概览 主机资产明细 显示器资产管理 使用率分析图表 打印机 软件资产汇总及查询 其他类资产管理 变更提示 主机资产概览 资产明细 显示器 打印机 软件汇总3.12补丁更新 OS、IE、office、SQL、Media Player等细粒化补丁分类 具有补丁风险等级、兼容性、自动安装等多重补丁属性过滤条件 客户机漏洞指数 补丁自动化测试流程 补丁更新报表 TOP6补丁数量 TOP6补丁比例 独立的补丁下载器，支持内外网隔离环境应用3.13软件自助服务 软件类库管理，软件分类、上传、描述 客户端自助下载、安装3.14策略部署中心 策略信息查看、删除 策略部署数量统计 结构视图化部署操作风格 支持多级级联管理 支持策略锁定3.15管理配置 引擎权限设置 功能权限设置 读写权限设置第四章兰鲨Lansam ESA安全认证客户端Lansam ESA客户端具有以下功能 补丁更新 软件自助 认证 新闻公告 消息通知消息通知及时方便的将院内的会议、医务等消息推送到每个客户端。补丁更新操作系统漏洞是操作系统本身存在的技术缺陷，往往会被黑客利用侵入计算机，及时更新补丁将是一个繁重而关键的任务。软件自助从互联网上下载软件极有可能被挂上木马程序，而且占用了很大的互联网出口带宽，如果能够提供从局域网下载各种软件，就会避免很多安全问题。第五章项目实施 Lansam7 ESA大连友谊医院实施计划书大连友谊医院医院网络环境概述;海城中心医院已建立覆盖全院（XX分部XX分部XX分部）的局域网络，网络拥有600多个终端，并且已应用医疗信息管理系统为核心应用软件，同时建立了医生、护士、门诊、病房等工作站，计算机及网络技术的应用给医院带来明显的效益提高使得医院的医疗活动已离不开计算机的应用。但是，随着网络和应用范围的不断扩大给网络管理特别是安全管理带来了极大压力，根据海城中心医院的实际情况，整体部署方案计划如下；第一章：服务引擎安装计划1、服务器情况：序号计算机名IP地址子网掩码操作系统服务器所在位置1、外网2、内网2、统计客户机分组信息：根据客户单位行政部门进行划分，共划分了X个组XX子组，明细如下：组名子组对应部门 3、VLAN分组信息 4、引擎ID记录 5、Tomcat端口号记录 6、My SQL端口号记录 第二章：Lansam7客户端部署：一、Lansam7客户端部署要求及实施步骤现场部署需要我方安装部署施工人员1人，友谊医院院方配合安装1人，初步部署需要30点以上客户端测试，测试时间为一个上午或一个下午，测试通过后开始全院客户端的部署。 （一）实施前的准备工作 诺华软件公司的工程师需确定：服务端程序是否安装正确并配置，客户端是否正确导出为了保证快速并稳健实施 ，应培训信息中心人员1如何通过浏览器输入下载客户端地址（http:/服务端IP/端口号/lansam/data/clientinstall.exe）。2、如何正确填写客户端安装信息（使用者、部门、职务等等）（二）安装客户端程序， 1、检查计算机的IP地址、网关、DNS，将网关去掉，输入一个错误的DNS。2、开始下载客户端程序3、开始安装客户单程序（三）检查客户端程序是否安装正确1、安装结束后，在任务栏的右边是否出现客户端程序和远程协助的两个托盘，并且将鼠标滑至远程协助托盘上，则显示该机器的IP。2、 等待短时间后，lansam客户端有气泡弹出（安装客户端前，按引擎级别发送消息通知），点击托盘，弹出客户端UI，点击收到的新闻，能够正常浏览到内容。并且点击后字体颜色改变。3、 尝试修改IP，看是否绑定生效，应以ipconfig命令判断（在安装客户端前，实施引擎级别的IP绑定策略）。二、客户端部署计划以友谊医院的物理位置，以整楼分楼层部署的方式，由院方配合人员牵头通知楼层每个需要部署客户端的房间使用者，我方部署人员开始实施客户端的安装，具体部署方案与院方协商最后确定友谊医院客户端的具体部署方式。三、基本信息：项目名称大连友谊医院Lansam ESA终端安全管理系统用户方大连友谊医院地址 联系人电话实施方地址联系人王恒峰电户方配合人员职务职责实施方人员职务职责王恒峰技术支持工程师负责产品安装部署四、施工情况统计表：施工人员：施工人员姓名职务电话手机用户方实施方五、未安装计算机统计：序号部门台数未安装原因12345678910 11 12合计 台第三章：策略实施一、 为了保障医院信息网对外来笔记本电脑以及其它移动设备（如U盘、移动硬盘等）的随意接入控制，防止医疗信息的外泄，第一步实施Lansam7 ESA移动存储介质的授权管理，需要统计全院那些存储介质可以使用，这些存储介质的使用范围，在客户端部署结束后，第一时间做存储介质的授权服务。（时间：建议通过Lansam7发布平台消息通知全院所有部门，2天完成所有存储介质授权） 实施该策略时安装部门分组视图进行。不要按照引擎视图部署，如基于引擎视图实施，就不能停止单个计算机的策略，而是全部计算机的该策略都要停止。 二、 为了加强医院的计算机使用者随意安装使用程序，加强医院医疗系统的应用安全，防止有安全隐患的进程传播，根据院领导的指示特别实施应用程序黑白名单。此项目部署需要经过一周的进程监视，得到所有windows操作系统进程与院内应用程序进程。计：XXXX个合法进程，XXXX个存在安全隐患进程，经过进程判别过滤安全隐患进程全部导入应用程序黑白名单。（时间：进程监视需要一周，判别进程需要准确的核实需要一天时间，5天以后开始实施黑白名单的策略部署）该策略是为监视计算机运行程序情况，也为实施白名单提供依据，要每个部门分别建立进程监视策略，因为各个部门在工作上需要运行的程序是不同的，实施的白名单内容也 不相同，同时监视的时间要不小于5天，因为有些工作上应用的程序在进程监视期间没有运行的话，就监视不出该程序的进程 ，以此监视的结果导入白名单，就会发生正常的应用无法 正常工作。监视出来的进程部分会有进程描述，这是因为厂家会提供操作系统等进程类库，对于未知进程最好要逐个查实，查实方法包括在互联网上搜索，或者在进程监视策略中通过进程查询，来确定该进程的代表IP，到该IP所在的计算机上去核实。核实清楚后，再到服务端去编辑该进程名称并归纳到相应的类库中。三、 实施外联设备如无线蓝牙设备、拨号设备、移动存储设备、光驱、软驱等进行策略性的管理。（时间：部署完客户端，根据院领导的管理要求，即可可以部署） 实施时也要按照部门分组视图进行，请需要和信息中心人员沟通确认是否存在某些科室需要进程光盘刻录的工作，如有这类计算机，在按照部门分组部署时，就不要勾选该计算机。四、 为了防止工作人员随意修改IP地址带来的安全隐患与管理难点，计划此管理功能基于引擎策略部署，此部署方案可以确保只要安装客户端的计算机随即IP地址可被绑定。在安装客户端程序钱一定要建立基于引擎的IP绑定策略，检查终端计算机的IP地址、网关、DNS，将网关去掉，输入一个错误的DNS。然后再安装客户端程序，如不做此操作