医院信息化安全建设项目整改建议

1、医院信息化安全建设项目整改建议1.1物理安全类别问题描述解决措施物理安全物 理 访 问 控 制1.没有登记进出机房的人员， 机房重要设备没有划区域隔 离。建议安排专人值守机房出入口。2.暂无相关申请和审批流程。需要经过申请和 审批流程，且有 专人陪同。防 盗 窃 与 防 破 坏大部分设备都已固定在机柜 中，但部分设备放至在机柜上 方，仍有大部分通信线缆未整 理和固定；部分设备和线缆有 标签注意每个设备和线路的用 途，部分设备和线缆无此设置。建议所有设备和 通信线缆均固定 在机柜中，且所 有设备和线缆设 置标签，说明用 途和去向。未部署红外监控等光、电等技术的防盗报警系统建议部署红外报警系统防

2、水 和精密空调出水位置布置漏水检 测点，对漏水情况自动报警， 但检测范围未覆盖所有易漏水建议部署完整的漏水检测防潮的位置。电 磁 防 护对关键设备和磁介质实施电磁 屏蔽。建议对关键设备和磁介质实施电磁屏蔽1.2网络安全类别问题描述解决措施网络安全结构 安 全无按照对业务服务的 重要次序来指定带宽 分配优先级别，保证在 网络发生拥堵的时候 优先保护重要主机。采用高性能下一代防火 墙，按照业务的业务服 务的重要次序来指定带 宽分配优先级别，保证 在网络发生拥堵的时候 优先保护重要主机和业 务。边 界 宀兀 整 性 检未能够对非授权设备 私自联到内部网络的 行为进行检查，准确疋 出位置，并对其进行有

3、效阻 断；建议部署网络准入系统，对非授权设备私自 联到内部网络的行为进 行检查。查未能够对内部网络用 户私自联到外部网络 的行为进行检查，准确 定出位置，并对其进行 有效阻断。建议部署上网行为管理 系统，对内部用户的上 网行为进行管理。入侵 防 范无相关入侵检测设备 实现在网络边界处监 视以下攻击行为：端口 扫描、强力攻击、木马 后门攻击、拒绝服务攻 击、缓冲区溢出攻击、 IP碎片攻击和网络蠕 虫攻击等； 当检测到攻击行为时， 记录攻击源IP、攻击类 型、攻击目的、攻击时 间，在发生严重入侵事 件时无法提供报警。建议部署IPS实现入侵 防范功能，在网络边界 监视并防护网络攻击行 为。恶意 代

4、码无相关恶意代码检测 设备在网络边界处对 恶意代码进行检测和 清除，并升级和检测系建议部署防毒网关实现 恶意代码防范功能，在 网络边界监视恶意代码 攻击行为。防范统的更新。访 问 控 制未能根据会话状态信 息为数据流提供明确 的允许/拒绝访问的能 力，控制粒度为端口级建议采用下一代防火墙，根据IP和端口设置 安全策略，只有符合策 略的数据包才能通过。未根据进出网络的信息内容进行过滤。建议采用下一代防火墙，对进出网络的信息 内容进行过滤，实现对应用层HTTR FTP、 TELNET SMTP POP3等协议命令级的控制。未限制网络最大流量数及网络连接数；建议采用下一代防火 墙，限制网络最大流量

5、数及网络连接数。重要网段未米取技术手段防止地址欺骗；建议启用下一代防火墙的ARP防欺骗功能网络设备防未对网络设备的管理 员登录地址进行限制；建议通过堡垒机和 ACL 策略设置限制网络设备 的登录地址，如信息技 术部的网段或若干个管 理IP。护主要网络设备目前只 使用一种身份鉴别方 式。建议通过堡垒机使用U-KEY或者域认证的方式实现双因子认证。密码长8位，由小与子母和数字组成。不定期更改一次口令。建议通过堡垒机设定密 码复杂度规则，并通过 改密计划，自动定期进 行改密目前只有一个超级管理员。建议通过堡垒机设置审 计员、操作员等角色， 实现权限分离。未能够根据记录数据 进行分析，并生成审计 报表

6、；建议通过日志分析系统根据记录数据进行分析，并生成审计报表通过telnet 和http方式访问设备，未采取必 要措施防止鉴别信息 在网络传输过程中被 窃听。建议通过堡垒机，使用 ssh协议登录设备。1.3主机安全业务系统主机类别问题描述解决措施身份鉴别密码未符合复杂性要求建议通过堡垒机设置密码复杂度 要求，并通过改密计划定期自动改 密：密码长度最小值：8个字符；密码最短使用期限：2天；密码最长使用期限：90天；强制密码历史：24未启用登录失败处 理功能，可采取结 束会话、限制非法 登录次数和自动退 出等措施；建议通过堡垒机设置登录失败处理功能建议帐户锁定策略如下：帐户锁定 时间：15分钟；帐户

7、锁定阀值：5 次无效登录；重围帐户锁定计数器：15分钟之后。目前只使用用户名和密码登录建议通过堡垒机使用 U-KEY或者域认证的方式实现双因子认证。访问已启用磁盘默认共建议关闭磁盘默认共享功能控制享功能操作系统用户可直 接对数据库系统进 行操作，权限未分 离。建议禁用 Windows身份登录方式。已禁用Guest用户， 已设置管理员密 码，但未重命名Administrator 用 户。建议重命名 Administrator 用户。安全所有审核策略均设建议采用日志审计系统对系统中审计置为无审核。的登陆日志、操作日志进行审计。剩余信息保护交互式登录：不显示最后的用户名：已禁用。用可还原的加密来储存

8、密码：已禁用。建议设置：交互式登录：不显示最后的用户名：已启用关机：清除虚拟内 存页面文件：已禁 用。建议设置关机：清除虚拟内存页面 文件：已启用。入侵防范未启用Windows自带的防火墙建议启用windows自带的防火墙未能够对重要程序 的完整性进行检 测，并在检测到完 整性受到破坏后具 有恢复的措施；建议部署防篡改软件对重要程序的完整性检测操作系统存在不需 要的服务组件和应 用程序，系统补丁 未及时得到更新。建议通过漏洞扫描系统，定期对系 统进行扫描，并及时更新系统补 丁，建议通过配置检查系统， 按照 等级保护要求进行基线检查，及时 关闭不需要的服务和应用程序恶意代码防范未安装杀毒软件建议

9、安装杀毒软件，通过统一管理 平台进行统一升级和维护，保证病 毒特征库得到及时的更新资源控制未限制管理网络地 址范围。建议设立设备管理区，仅限制几台 管理终端可以登录管理服务器 建议通过堡垒机和 ACL策略设置 限制设备的登录地址，如信息技术 部的网段或若干个管理IP。未启用带密码保护的屏幕保护程序。建议启用带密码保护的屏幕保护 程序。未能够对系统的服务水平降低到预先建议米取技术措施监控 cpu内 存，硬盘等资源的使用率，并设置规定的最小值进行检测和报警。报警阈值。数据库主机类别问题描述解决措施身份鉴别sa用户的密码长最 低8位，由数字、 小写字母组成，不 定期修改。存在7个口令为空 的用户建议禁用口令为空的用户。未启用登录失败处 理功能。建议通过堡垒机设置登录失败处