三级医院信息安全平台设计

1、三级医院信息安全平台设计设计基于等级保护要求的三级医院信息安全平台，确保医院信息系统(HIS)安全防护，做好医院医疗数据安全存储和容灾备份。方法：通过部署态势感知系统、数据库审计、边界防火墙、安全沙箱等软件和硬件设备，对医院全网进行分区分域安全设计，结合物理区域监控、防盗报警系统，阻止非法用户的各种临近攻击。结果：医院信息安全平台能够检测、监控来自内部操作性攻击、外部黑客的恶意攻击和系统漏洞侦查，保障HIS免受各种威胁。结论：三级医院信息安全平台的建立，能够有效防控患者医疗信息泄露，并在威胁造成损害后，安全平台能够迅速使医院业务系统恢复正常运行。关键词三级医院；三级等级保护；信息安全平台；安全

2、策略近年来，全国三百余家医院和院校遭到了勒索病毒(永恒之蓝、熊猫烧香)攻击和感染，给电脑用户和医疗机构造成巨大损失。三级医院集成了各类信息系统和复杂技术，其安全保障事关重大。以往有效应对勒索病毒的攻击和感染，大都针对性的更新Windows系统补丁和关闭445文件共享端口，但医院安全问题仍然得不到彻底解决，而关闭相应的端口影响部分业务系统的开展，且新的计算机病毒可能会寻找新的漏洞进行攻击，如Office漏洞、网络文件共享协议(servermessageblock，SMB)漏洞等1-2。医院信息系统(hospitalinformationsystem，HIS)包含放射学信息系统(radiology

3、informationsystem，RIS)、影像归档及传输系统(picturearchivingandcommunicationsystems，PACS)以及检验信息系统(laboratoryinformationsystem，LIS)等临床使用各系统，网络系统必须能够满足数据、语音、图像等综合业务的传输需求。因此，HIS网络应运用双活数据中心、态势感知系统及数据库审计等多种高性能设备和先进技术来保证系统的正常运作、稳定的效率和网络安全。各大医疗机构连接的互联网、各类医保网和卫生专网等访问人员众多，故在医院业务正常开展的情况下确保医疗数据安全极其重要3-4。基于此，本研究为加强三级医院信息系

4、统安全防护，按照国家最新等级保护要求，做好医疗数据安全存储和容灾备份，设计基于等级保护要求的三级医院信息安全平台。1医院信息安全平台设计1.1网络安全方案设计原则(1)可扩展性：设计方案应从底层着手，搭建相对完善，且所选择的安全产品应具有良好的可扩展性，以便未来做性能扩充和升级9-12。(2)高稳定性：设计中所选用的安全产品应具有高可靠性和高稳定性，在近3年国内使用中未出现过重大现网安全事故。(3)灵活性：方案的设计遵循灵活性的原则，能够确保在网络链路发生中断或者出现其他故障时能自动切换，减少人工维护13-15。(4)符合三级等级保护要求：按照三级等级保护要求，结合医院自身网络情况进行建设，并

5、符合相关法律法规。1.2安全平台整体网络架构设计对医院全网进行分区分域安全设计，按照国家三级等级保护要求，并在现网已有的数据中心基础之上，增加测试区，为新的应用系统等进行测试使用，以免直接部署出现一系列不确定因素。根据设计原则，结合医院自身网络情况的安全平台整体网络架构设计方案见图1。医院信息安全平台功能：分布式拒绝服务图1安全平台网络架构设计拓扑图(distributeddenialofservice，DDoS)异常流量检测与清洗设备，对来自Internet的各种DDoS攻击进行清洗；边界防火墙，边界防护和访问控制，并具备入侵防御系统(intrusionpreventionsystem，IP

6、S)、音频和视频(audiovideo，AV)接口设备、安全套接字层(securesocketlayer，SSL)、虚拟专用网(virtualprivatenetwork，VPN)及探针等功能，更深层次进行安全防护；IPS，检测入侵行为；安全沙箱，新型网络攻击行为的分析、记录攻击源IP类型和时间并遭受攻击时告警；数据库审计，对数据库操作和行为进行审计和管理，解决数据完整性要求；漏洞扫描系统，以智能便利规则库(本地漏洞库、ActiveX库、网页木马库、网页代码审计规则库等)为基础，采用深度主机服务探测、Web智能化爬虫、结构化查询语言(structuredquerylanguage，SQL)注入

7、状态检测、主机配置检查以及弱口令检查等方式相结合的技术，实现Web漏洞扫描、系统漏洞扫描、数据库漏洞扫描、基线安全检查与口令猜解的功能；态势感知系统，通过对流量、日志等数据的采集和分析，发现已知和未知网络威胁，呈现攻击渗透和扩散路径，并完成攻击取证和溯源；为了保证高可靠性，关键路径安全设备使用双机热备方式部署。2医院信息安全平台物理与环境安全设计物理环境安全策略的目的是保护计算机通信有一个良好的电磁兼容工作环境，并防止非法用户进入计算机控制室和各种偷窃、破坏活动的发生。2.1机房选址与管理(1)机房选址：和办公场地选择在具有防震、防风和防雨等的建筑内。机房场地应避免设在建筑物的高层或地下室，以

8、及用水设备的下层或隔壁。(2)机房管理：机房出入口应配置电子门禁系统，控制、鉴别和记录进入的人员。2.2机房环境机房装修必需使用阻燃材料，耐火等级符合国家相关标准规定。机房应安装防静电活动地板，机房安装防雷和接地线，设置防雷保安器，防止感应雷，要求防雷接地和机房接地分别安装，且相隔一定的距离。机房设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火；机房配备空调系统，以保持房间恒湿、恒温的工作环境。在机房供电线路上配置稳压器和过电压防护设备。3医院信息安全平台网络与通信安全设计3.1防火墙设计防火墙是部署在不同网络安全域之间的一系列部件的组合，是信息的唯一出入口，能根据安全政策控制(允

9、许、拒绝、监测)出入网络的信息流，且本身具有较强的抗攻击能力。防火墙实现网与网之间的访问隔离，以保护整个网络抵御来自其他网络的入侵者。防火墙能够对应用层安全性进行检测，能以高性能提供防病毒、IPS、行为监管以及反垃圾邮件功能，支持深度状态检测、外部攻击防范、应用层过滤等功能，能够有效的保证网络的安全。通过对全网网络拓扑结构进行分析，在网络边界位置使用防火墙等边界访问控制系统，解决边界安全问题，实现各个安全域间的网络访问控制。本设计在核心交换机与数据中心接入交换机处部署高性能防火墙，对进出网络流量实施安全策略控制。沙箱部署在防火墙一侧，防火墙通过网络接口向沙箱提交待检测文件，待沙箱完成检测后，防

10、火墙通过接口查询检测结果，同时根据沙箱检测提供的特征库进行未知威胁防护。管理员可以直接登录WebUI手工提交待检测文件，并即时查询检测报告。3.2入侵防范设计本设计在数据中心布署入侵检测系统(intrusiondetectionsystem，IDS)，实时监视端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、互连网协议(internetprotocol，IP)碎片攻击和网络蠕虫攻击等行为对互联网及其他不可信区域进行安全隔离。3.3审计设计网络行为审计可对数据进行深度识别、管控和审计数百种即时通讯(instantmessaging，IM)软件、炒股软件、网络游戏应用、流媒体在线视频

11、、移动应用、网络存储等常见应用，同时具备上网行为日志审计功能，形成多种多样的数据报表。本设计在互联网区域部署上网行为审计设备进行人员上网行为审计。3.4Web业务安全防护设计全球广域网(worldwideweb，Web)安全防护主要包括网站应用防护系统、Web应用程序防火墙(webapplicationfirewall，WAF)、网站监控预警平台以及网站防篡改系统三大安全组件，提供全方位的网站安全防护。(1)Web应用防护系统：通过对进出Web服务器的超文本传输协议(hypertexttransferprotocol，HTTP)/超文本传输安全协议(hypertexttransferproto

12、colsecure，HTTPS)流量相关内容的实时分析检测、过滤，精确判定并阻止各种Web应用入侵行为，阻断对Web服务器的恶意访问与非法操作。(2)网站监控预警平台：主要以各种技术手段对网站的可用性、完整性及安全性进行安全监控，帮助客户主动发现和处理问题。(3)网页防篡改系统：针对网站篡改攻击的防护，通过文件底层驱动技术对Web站点目录提供全方位的保护，防止黑客、病毒等对目录中的网页、电子文档、图片及数据库等任意类型的文件进行非法篡改和破坏。3.5安全运维中心设计部署安全态势感知平台作为中心分析节点，使用单独的日志采集组件及流量探针组件对网络日志事件及流量进行收集及分析，将安全状态、大数据安

13、全分析后的核心问题实现统一监控、分级处理。安全态势感知系统部署在运维管理区，在网络出口通过部署物理探针设备，或者通过华为人工智能防火墙设备作为探针，通过收集网络中的流量、日志等信息发送给安全态势感知系统进行大数据威胁分析，发现网络中的如分散区警报(dispersedgroundalert，DGA)、隐蔽通道传输等高级威胁，并将威胁状态进行态势呈现。通过流量探针与大数据安全态势感知平台相结合，网络流量探针采用零拷贝、全程无锁化技术处理网络流量数据包，且充分利用CPU向量化指令对各类模式进行识别或匹配，故即使在超大流量情况下，系统整体处理无延时。3.6病毒检测及清除设计本设计在内网真实主机周围伪装

14、大量虚拟主机，并开放所有端口，虚拟主机IP动态随机变换;，在攻击者或中毒终端发起探测或攻击时，如端口扫描、IP探测、泛洪攻击以及地址解析协议(addressresolutionprotocol，ARP)欺骗(病毒)等，只要触碰到虚拟主机或虚设的端口，动态防御系统可以直接报警甚至阻断，能够全面有效地抵御、识别和定位包括高级持续性威胁(advancedpersistentthreat，APT)攻击、木马、蠕虫和病毒在内的已知和未知攻击行为，防止攻击在全网蔓延。针对杀毒软件不能清除的顽固病毒，进行手工查杀。4医院信息安全平台应用效果根据实际业务需求，通过部署信息安全平台，医院总体网络架构已实现链路冗余，核心、汇聚等设备通过集群技术实现了冗余部署，医院新医技楼数据中心和科技办公楼数据中心实现了双活数据中心。现网已部署防火墙和网闸进行安全防御、访问控制，能够满足对恶意代码、未知威胁、身份鉴别及行为审计等方面的安全防范，且整体安全策略配置严密，区域划分清晰，设置安全边界防护，全网满足安全威胁态势实时感知。安全平台能够保障医院各信息系统免受来自内部操作性攻击、外部