L0010XXXX市第X人民医院网络安全技术建议书

精选优质文档-----倾情为你奉上精选优质文档-----倾情为你奉上专心---专注---专业专心---专注---专业精选优质文档-----倾情为你奉上专心---专注---专业XXXX市第X人民医院网络安全技术建议书网御神州科技有限公司TIME\@"yyyy年M月"2009年8月

目录

网络安全方案摘要用户网络结构描述目前XXXX市第X人民医院核心采用两台cisco4503作为整个网络的核心交换机，两台交换机做互为备份使用，汇聚层采用了5台cisco的3550交换机，接入层采用了cisco的2918交换机作为用户接入交换机，从整个网络拓扑情况看，XXXX市第X人民医院具有合理的架构设计，完善的网络层次。同时，XXXX市第X人民医院将服务器区独立出来，通过一台交换机将所有的服务器与用户的网络进行隔离，确保了数据集中部署、管理的优势。从客户端层面，目前XXXX市第X人民医院大约有600多客户端，其中可上网用户大约有100多，内网用户大约有400-500左右，但这些客户端由于没有进行内网用户和外网用户的划分，所以存在了一些安全的隐患。XXXX市第X人民医院目前网络拓扑结构图服务器资源目前XXXX市第X人民医院内部有HIS、LIS、PACS、EMR、防病毒服务器、病理服务器等多台服务器。网络资源核心采用两台cisco4503作为整个网络的核心交换机，两台交换机做互为备份使用，汇聚层采用了5台cisco的3550交换机，接入层采用了cisco的2918交换机作为用户接入交换机。安全措施目前XXXX市第X人民医院内部的安全措施主要有：卡巴斯基网络防病毒系统、终端USB移动设备等监控系统。网络安全方案描述众所周知，网络为人们提供了极大的便利。但由于构成Internet的TCP/IP协议本身缺乏安全性，提供一种开放式的环境，网络安全成为一个在开放式环境中必要的技术，成为必须面对的一个实际问题。而由于目前网络应用的自由性、广泛性以及黑客的“流行”，网络面临着各种安全威胁，存在着各种类型的机密泄漏和攻击方式，包括：窃听报文——攻击者使用报文获取设备，从传输的数据流中获取数据并进行分析，以获取用户名/口令或者是敏感的数据信息。通过Internet的数据传输，存在时间上的延迟，更存在地理位置上的跨越，要避免数据彻底不受窃听，基本是不可能的。IP地址欺骗——攻击者通过改变自己的IP地址来伪装成内部网用户或可信任的外部网络用户，发送特定的报文以扰乱正常的网络数据传输，或者是伪造一些可接受的路由报文（如发送ICMP的特定报文）来更改路由信息，以窃取信息。源路由攻击——报文发送方通过在IP报文的Option域中指定该报文的路由，使报文有可能被发往一些受保护的网络。端口扫描—通过探测UTM安全网关在侦听的端口，来发现系统的漏洞；或者事先知道路由器软件的某个版本存在漏洞，通过查询特定端口，判断是否存在该漏洞。然后利用这些漏洞对路由器进行攻击，使得路由器整个DOWN掉或无法正常运行。拒绝服务攻击——攻击者的目的是阻止合法用户对资源的访问。比如通过发送大量报文使得网络带宽资源被消耗。Mellisa宏病毒所达到的效果就是拒绝服务攻击。最近拒绝服务攻击又有了新的发展，出现了分布式拒绝服务攻击，DistributedDenialOfService，简称DDOS。许多大型网站都曾被黑客用DDOS方式攻击而造成很大的损失。应用层攻击——有多种形式，包括探测应用软件的漏洞、“特洛依木马”等等。另外，网络本身的可靠性与线路安全也是值得关注的问题。随着网络应用的日益普及，尤其是在一些敏感场合（如电子商务、政府机关等）的应用，网络安全成为日益迫切的重要需求。网络安全包括两层内容：其一是网络资源的安全性，其二是数据交换的安全性。网络设备作为网络资源和数据通讯的关键设备，有必要提供充分的安全保护功能，交换机、路由器、UTM安全网关、网闸、管理平台等产品提供了多种网络安全机制，为网络资源和数据交换提供了有力的安全保护。本文将对其技术与实现作详细的介绍。为了便于分析网络安全和设计网络安全解决方案，我们采取对网络分层的方法，并且在每个层面上进行细致的分析，根据风险分析的结果设计出符合具体实际的、可行的网络安全整体解决方案。从网络、系统和应用出发，网络的安全因素可以划分到如下的五个安全层中，即物理层、网络层、系统层、应用层和安全管理。物理层安全－网络的物理安全主要指网络周边环境和物理特性引起的网络设备和线路的不可用,而造成网络系统的不可用。它是整个网络系统安全的前提。在网络安全考虑时，首先要考虑物理安全。例如：设备被盗、被毁坏；设备老化、意外故障；计算机系统通过无线电辐射泄露秘密信息等。除此之外，在一些特殊重要的网络应用中，可利用“网络隔离和信息交换”技术，将两个网络从物理上隔断而保证应用上连通实现的“信息摆渡”。网络层安全－网络层安全主要分为两个方面：网络传送安全和网络服务安全。网络传送安全主要需要注意的有重要业务数据泄漏和重要业务数据破坏。重要业务数据泄漏：由于在同级局域网和上下级网络数据传输线路之间存在被窃听的威胁，同时局域网络内部也存在着内部攻击行为，其中包括登录通行字和一些敏感信息，可能被侵袭者搭线窃取和篡改，造成泄密。重要数据被破坏：是指不法分子针对网上传输数据做出伪造、删除、窃取、窜改等攻击。存储数据对于网络系统来说极为重要，如果由于通信线路的质量原因或者人为的恶意篡改，都将导致难以想象的后果，这也是网络犯罪的最大特征。网络服务安全是指：入侵者通过Sniffer等嗅探程序来探测扫描网络及操作系统存在的安全漏洞；入侵者通过网络监听等先进手段获得内部网用户的用户名、口令等信息，进而假冒内部合法身份进行非法登录，窃取内部网的重要信息；入侵者通过发送大量PING包对内部网中重要服务器进行攻击，使得服务器超负荷工作以至拒绝服务甚至系统瘫痪。网络安全不仅来自外部网络，同样存在于内部网，而且来自内部的攻击更严重、更难防范。如果办公系统与业务系统没有采取相应安全措施，同样是内部网用户的个别员工可能访问到他本不该访问的信息。还可能通过可以访问的条件制造一些其它不安全因素（伪造、篡改数据等）。或者在别的用户关机后，盗用其IP进行非法操作，来隐瞒自已的身份。应用层安全－网络应用系统中主要存在以下安全风险：业务网之间的非法访问；中间业务的安全；用户提交的业务信息被监听或修改；用户对成功提交的业务进行事后抵赖。同时还有：与INTERNET连接带来的安全隐患；身份认证漏洞；高速局域网服务器群安全；内部管理服务平台的安全。系统层安全－系统级的安全风险分析主要针对专用网络采用的操作系统、数据库、及相关商用产品的安全漏洞和病毒威胁进行分析。专用网络通常采用的操作系统(主要为UNIX)本身在安全方面有一定考虑，但服务器、数据库的安全级别较低，存在一些安全隐患。管理层安全－再安全的网络设备离不开人的管理，再好的安全策略最终要靠人来实现，因此管理是整个网络安全中最为重要的一环，尤其是对于一个比较庞大和复杂的网络，更是如此。因此我们有必要认真的分析管理所带来的安全风险，并采取相应的安全措施。当网络出现攻击行为或网络受到其它一些安全威胁时（如内部人员的违规操作等），必须实时的检测、监控、报告与预警。同时，当事故发生后，必须提供黑客攻击行为的追踪线索及破案依据，即网络应该有可控性与可审查性。这就要求我们必须对站点的访问活动进行多层次的记录，及时发现非法入侵行为。建立全新网络安全机制，必须深刻理解网络并能提供直接的解决方案。因此，最可行的做法是管理制度和管理解决方案的结合。网络安全解决思路网络的安全覆盖系统的各个层面，由“物理级安全、网络级安全、应用级安全、系统级安全和管理级安全”五个层次组成。在物理层次的安全主要依靠物理线路的可靠保障、维护等措施防护，对于不同安全级别网络区域，可以采用网闸设备实现信息摆渡，同样网闸设备也可以攻击者通过系统漏洞攻击受保护的服务器。系统级层次的安全主要依靠操作系统的可靠性、漏洞补救、病毒防护等措施保障，该层次的安全性可以结合网络层、应用层和管理层的措施共同防护。所以网络的安全解决方案应该主要从三个层次解决：网络层、应用层和管理层。包括网络传送、网络服务、应用安全、安全识别、安全防御、安全监控、审计分析、集中管理等多个方面。这需要依靠技术方面的安全保护和管理方面的安全管理进行全面防护。其中在技术方面主要由数据安全识别、防御、传送、监控四个部分支撑；在管理方面需要进行实时的安全保护、审计、分析、智能管理。此外，仅仅依靠安全技术和安全的管理是无法彻底解决安全问题的，解决安全问题是个循序的过程，还需要对紧急事件进行及时的处理响应并完善更新策略规则，增强整个系统安全性。安全解决方案层次结构安全识别技术包括用户接入身份认证、用户访问权限区分、管理员权限识别与限制、业务使用访问控制、网络服务使用控制、管理员视图控制、访问策略服务等等。安全防御是通过UTM安全网关来进行安全访问控制，UTM安全网关是在内部可信任设施和外部非信任网络之间的屏障，UTM安全网关的设计的原则是：只信任内部网络，对一切来自外部/去网外部的流量进行监控。安全传送包括采用IPsec、SSL等技术，采用VPN隧道对传输数据进行加密。安全监控一般采用安全网关和入侵防御系统配合的方式，UTM安全网关是处于网络边界的设备，自身可能被攻破，需要在内部进行监控，采用入侵防御设备识别网络行为的可信任性，判断是否是内部系统网络或数据资源的可疑行为，并对这些行为做出处理响应；入侵防御是对防御技术的重要补充，入侵防御设备的能效既针对外部网络，也针对内部网络。网络安全问题解决建议安全方案阐述：在XXXX市第X人民医院内网和外部安全域之间部署UTM安全网关，用于对进出XXXX市第X人民医院网络的数据包进行过滤和有效控制，并对病毒等有害信息进行过滤；在内网服务器区部署入侵防御设备，用于监测访问服务器区数据包行为，一旦发现有可疑数据包，则对该数据包作相应处理；在网络中旁路部署日志审计系统，用于对安全设备、网络设备、重要服务器进行相应的日志审计，及时发现安全问题，并根据公安部门的要求对日志保存60天以上。在客户端安装桌面管理系统，对终端进行相应管理和控制，确保终端的访问在安全合理的范围内进行，并对操作系统等进行相关的补丁分发等工作。网络安全详细技术建议书网络架构分析应用系统架构接入与表示层该层的主要作用是访问应用逻辑层提供的各种应用系统功能，并将应用逻辑层返回的结果通过各种技术手段展现给用户，使用户能通过不同的界面和通讯方式连入应用系统。 应用系统主要有以下几类用户：院内工作人员、人民群众、兄弟单位，一般都是互联网直接连接和院内应用系统进行通讯。应用逻辑层应用逻辑层是整个应用系统架构的核心，主要的业务逻辑都是由应用逻辑层中的应用系统实现的。此外，应用逻辑层的另一个主要作用是与数据层交换数据。数据层数据层存储的主要是业务数据，包括文件级数据和机密级数据。应用系统平台硬件平台XXXX市第X人民医院运行数据库系统的有小型机，多为PC服务器、办公终端是PC机。操作系统平台UNIX/LINUXWindowsNT/2000SERVER/2003SERVERWindows2000/XP数据库系统平台OracleSQLSever中间件系统平台BEAWebLogicIntegrationIBMMQSeries办公自动化系统平台LotusDomino/Notes。网站系统平台IIS4.0/5.0Apache系统风险分析网络架构风险分析从网络架构的角度，我们认为存在的安全隐患主要来自于以下几个方面，包括XXXX市第X人民医院网络的基础-TCP/IP自身的弱点，网络设备存在的安全隐患、网络服务器存在的安全风险、网络访问的合理性和数据传输的安全性。具体描述如下：TCP/IP协议的弱点由于TCP/IP协议作为事实上的工业标准，以其IPOverEverything的思想，简化了网络构建的复杂性，并随着技术的发展，并最终实现EverythingOverIP的网络融合，这种网络发展的趋势是不可逆转的，是由IP技术的竞争优势确定的。具有非常好的扩展性，适合于构造大型的计算机网络。因此已经成为全国XXXX市第X人民医院系统组建网络系统的基础协议。但同时我们也看到，由于TCP/IP协议在产生之处，还没有全面考虑安全方面的因素，就使得该协议组自身便存在一些先天的安全问题，而对于XXXX市第X人民医院系统来讲，由于大量的应用程序都是以TCP作为数据的传输层协议，因此TCP/IP协议的安全性会给XXXX市第X人民医院网络带来严重的后果。典型利用TCP/IP协议的弱点，发起攻击行为的就是“拒绝服务攻击”，比如“SYNFLOOD”攻击，它就是利用了TCP协议中，建立可靠连接所必须经过的三次握手行为，攻击者只向攻击目标发送带“SYN”表示的数据包，导致攻击目标一味地等待发起连接请求的源地址再次发送确认信息，而导致系统处于长期等待状态，直至系统的资源耗尽，而无法正常处理其他合法的连接请求。还有就是IP欺骗攻击，IP欺骗由若干步骤组成，首先，目标主机已经选定。其次，信任模式已被发现，并找到了一个被目标主机信任的主机。黑客为了进行IP欺骗，进行以下工作：使得被信任的主机丧失工作能力，同时采样目标主机发出的TCP序列号，猜测出它的数据序列号。然后，伪装成被信任的主机，同时建立起与目标主机基于地址验证的应用连接。如果成功，黑客可以使用一种简单的命令放置一个系统后门，以进行非授权操作。使被信任主机丧失工作能力。攻击者将要代替真正的被信任主机。对于XXXX市第X人民医院系统，由于TCP/IP协议的弱点，有可能造成以下的破坏。攻击者对服务器群进行拒绝服务攻击，而使服务器无法正常工作，使XXXX市第X人民医院遭到经济上的损失；攻击者利用地址欺骗，获得更多的访问权限，有可能会渗透到XXXX市第X人民医院系统内部，造成更大的损失；内部不满员工利用办公用机散播蠕虫病毒，使核心交换机负载加重，导致整体网络运行故障；网络设备的风险在网络中的重要的安全设备如路由器交换机等有可能存在着以下的安全风险：（以最常用的路由器为例）路由器缺省情况下只使用简单的口令验证用户的身份，并且远程TELNET登录时以明文传输口令。一旦口令泄密路由器将失去所有的保护能力。路由器口令的弱点是没有计数器功能的，所有每个人都可以不限次数地尝试登录口令，在口令字典等工具的帮助下很容易破解登录口令。每个管理员都可能使用相同的口令，因此，虽然访问日志可以详细记录管理员对路由器进行登录、修改操作，但无法区分是哪位管理员进行的操作。路由器实现的动态路由协议存在着一定的安全漏洞，有可能被恶意的攻击者利用来破坏网络的路由设置，达到破坏网络或为攻击做准备。针对路由器的拒绝服务攻击或分布式拒绝服务攻击。比如ICMP重定向攻击、源路由攻击等。。。发布假路由，路由欺骗，导致整个网络的路由混乱。网络服务器的风险针对XXXX市第X人民医院系统来讲，运行在专网上的各种网络服务器构成了最重要的信息资产，如何确保这些重要的网络服务器能够稳定、可靠、安全地运行，是保证XXXX市第X人民医院系统各项业务正常开展的基础。一般来讲，网络服务器所面临的安全问题包括：维护存储在服务器上信息的机密性。这要求保证：1）只有授权用户才可以访问服务和信息；2）授权用户只能访问那些他们被授权访问的服务；3）信息的公开要与策略一致；维护存储在服务器上信息的完整性，以免信息被破坏或被损坏，并使系统像期望的那样运行。这意味着要能对完整性的破坏进行识别和响应；维护服务和信息的可用性。这要求保证：1）即使硬件或软件出故障，或进行系统的日常维护时对信息和服务的访问也不中断；2）能及时识别并响应安全事件；确保用户名副其实，网络服务器主机也名副其实，这叫做“相互验证”。网络访问的合理性网络的访问策略是不是合理，访问是不是有序，访问的目标资源是否受控等问题，都会直接影响到XXXX市第X人民医院系统的稳定与安全。如果存在网络内访问混乱，外来人员也很容易接入网络，地址被随意使用等问题，将导致网络难以管理，网络工作效率下将，无法部署安全设备、对攻击者也无法进行追踪审计。这就要求系统能够对网络中发生的各种访问，乃至网络中传递的数据包进行很好的监控，特别是针对XXXX市第X人民医院专网，由于其既存在对内提供服务的设备，也存在对外提供服务的设备，这些服务器在安装的过程中有可能没有关闭掉一些毫无用处的服务，或者即使关闭了这些服务，也因为操作系统自身存在的漏洞而给攻击者可乘之机，特别是对互联网提供服务的设备，很容易成为XXXX市第X人民医院专网的“安全短板”，被来自互联网的攻击者利用，从而发起对内网的攻击。数据传输的安全性从网络结构的分析上，我们看到，对于某些省份，由于其主干网络采取政务网（第三方不可信任网络），那么当数据以明文的方式在这种不可信任网络中进行传递和交换时，就给数据的安全性、保密性带来极大的挑战，具体来讲对数据传输安全造成威胁的主要行为有：窃听、破译传输信息：XXXX市第X人民医院网络主要用于进行重要数据和报文的传递，具有一定的敏感性。由于使用地方政务网这样的第三方不可信任网络，攻击者能够通过线路侦听等方式，获取传输的信息内容，造成信息泄露；或通过开放环境中的路由或交换设备，非法截取通信信息；篡改、删减传输信息：攻击者在得到报文内容后，即可对报文内容进行修改，造成收信者的错误理解。即使没有破译传输的信息，也可以通过删减信息内容等方式，造成对信息的破坏，比如将一份报文的后半部分去掉，造成时间、地点等重要内容的缺失，导致信息的严重失真；重放攻击：即使攻击者无法破译报文内容，也无法对报文进行篡改或删减，但也可以通过重新发送收到的数据包的方式，进行重放攻击。对于一些业务系统，特别是数据库系统，这种重放攻击会造成数据失真以及数据错误；伪装成合法用户：利用伪造用户标识，通过电子邮件、实时报文或请求文件传输得以进入通信信道，实现恶意目的。例如，伪装成一个合法用户，参与正常的通信过程，造成数据泄密。应用系统风险分析XXXX市第X人民医院应用系统包括：HIS、LIS、PACS、EMR、办公自动化系统、档案文件管理与内容管理系统等。这些应用建立在硬件平台、操作系统平台、数据库系统平台、中间件系统平台、办公自动化系统平台和XXXX市第X人民医院网站系统平台之上。因此，对应用系统安全风险的分析也就是对各种系统平台的安全风险分析。硬件平台风险分析硬件平台的安全风险包括硬件平台的安全威胁和脆弱性，它的某些安全威胁和脆弱性也影响着软件资产和数据资产。具体而言，软件是安装在服务器、工作站等硬件之上的，所以软件资产的安全威胁和脆弱性也就必然要包括这些硬件所受的技术故障、人员错误以及物理和环境的威胁和脆弱性。而数据是依赖于软件而存在的，也就是说数据资产也间接地依赖于某些硬件，因此数据资产的安全威胁和脆弱性也显然包括了服务器、工作站等硬件所受的技术故障、人员错误以及物理和环境的威胁和脆弱性。硬件平台的安全风险主要表现在：火灾水灾鼠害地震、雷电等意外的天灾偷窃，是指非法用户盗窃财政机构硬件资产和数据资产的可能性，它包括内部人员的偷窃和外部人员的偷窃。人员故意损害，是由于用户心存不满、意在报复而采取的破坏行为和引起系统或维护环境上的物理、软件和数据损坏发生的可能性，它包括内部人员故意损害、外部人员故意损害和恐怖主义。操作系统平台风险分析操作系统平台的安全风险主要来自为针对操作系统漏洞的攻击。安全漏洞是指任意的允许非法用户未经授权许可获得访问或提高其访问层次的硬件或软件特征。安全漏洞就是某种形式的脆弱性。UNIX操作系统安全漏洞UNIX类服务器和工作站由于其出色的稳定性和高性能而成为大型网络系统常采用的操作系统，当前承担着XXXX市第X人民医院应用的关键任务。缺省安装的UNIX操作系统（以HPUNIX为例）会存在以下安全漏洞：FINGER（泄露系统信息）各类RPC（存在大量的远程缓冲区溢出、泄露系统信息）SENDMAIL（许多安全漏洞、垃圾邮件转发等）NAMED（远程缓冲区溢出、拒绝服务攻击等）SNMP（泄露系统信息）操作系统内核中的网络参数存在许多安全隐患（IP转发、堆栈参数等）存在各种缓冲区溢出漏洞存在其它方面的安全漏洞微软操作系统安全漏洞Windows操作系统由于其简单明了的图形化操作界面，以及逐渐提高的系统稳定性等因素，正逐步成为主要的网络操作系统，并且在XXXX市第X人民医院网络中占有重要地位。Windows系统的安全水平取决于管理员在安装过程、补丁安装过程、应用服务配置过程中的安全修养和实际考虑。缺省安装的WINDOWS操作系统的安全问题非常严重，它们通常会出现下述安全漏洞：没有安装最新的ServicePack.没有关闭不必要的系统服务最新的SERVICEPACK没有解决的安全漏洞缺省安装的服务程序带来的各种安全漏洞系统注册表属性安全漏洞文件系统属性安全漏洞缺省帐号安全漏洞文件共享方面的安全漏洞其它方面的各种安全漏洞数据库系统平台风险分析数据库系统一般可以理解成两部分：一部分是数据库，按一定的方式存取数据；另一部分是数据库管理系统（DBMS），为用户及应用程序提供数据访问，并具有对数据库进行管理、维护等多种功能。随着计算机在社会各个领域的广泛应用，信息系统中的数据库管理系统担负着集中处理大量信息的使命，但是数据库通常没有像操作系统和网络那样在安全性上受到重视。数据完整性和合法存取会受到很多方面的安全威胁，包括对数据库中信息的窃取、篡改和破坏，计算机病毒、特洛伊木马等对数据库系统的渗透、攻击，系统后门以及本身的安全缺陷等。数据库系统平台是应用系统的基础，其面临的安全风险包括：偶然的、无意的侵犯/或破坏。自然的或意外的事故。例如地震，水灾和火灾等导致的硬件损坏，进而导致数据的损坏和丢失。硬件或软件的故障/错误导致的数据丢失。硬件或软件的故障/错误导致可能导致系统内部的安全机制的失效，也可导致非法访问数据或系统拒绝提供数据服务。人为的失误。操作人员或系统的直接用户的错误输入、应用系统的不正确的使用。蓄意的侵犯或敌意的攻击。授权用户可能滥用他们的权限，蓄意窃取或破坏信息。病毒。病毒可以自我复制，永久的或通常是不可恢复的破坏自我复制的现场，到达破坏信息系统、取得信息甚至使系统瘫痪。特洛伊木马。一些隐藏在公开的程序内部收集环境的信息，可能是由授权用户安装（不经意的）的，利用用户的合法权限窃取数据。隐通道。是隐藏在合法程序内部的一段代码，在特定的条件下启动，从而许可此时的攻击可以跳过系统设置的安全稽核机制进入系统，以达到窃取数据的目的。信息的非正常的扩散——泄密。对信息的非正常的修改，包括破坏数据一致性的非法修改以及删除。绕过DBMS直接对数据进行读写。中间件系统平台风险分析对于中间件的安全风险主要是在网络互连及数据通信过程中来自不速之客的非法性动作，主要有非法截取阅读或修改数据、假冒他人身份进行欺骗、未授权用户访问网络资源等。办公自动化系统平台风险分析硬件/软件故障造成系统瘫痪计算机病毒的入侵特洛伊木马的恶意程序造成失密邮件系统故障办公终端非法连接互联网XXXX市第X人民医院网站系统平台风险分析拒绝服务攻击端口扫描篡改网站主页非授权用户访问冒充合法用户的访问Web服务器主机的详细信息被泄漏Web服务器私人信息和保密信息被窃利用Bug对Web站点进行破坏互联网上传输信息被非法截获，纳税人信息和申报数据被非法篡改安全风险分析汇总安全风险类别安全风险描述安全需求网络架构网络访问的合理性来自外接专网的越权访问访问控制(UTM实现)来自外接专网的恶意攻击入侵检测（入侵防御实现）来自外接专网的病毒入侵病毒防护(UTM实现)来自政务网系统同级、上级和下级节点的越权访问访问控制(UTM实现)来自政务网系统同级、上级和下级节点的恶意攻击入侵检测（入侵防御实现）来自政务网系统同级、上级和下级节点的病毒入侵病毒防护(UTM实现)TCP/IP的弱点利用TCP/IP弱点进行拒绝服务攻击边界隔离(UTM实现)利用TCP/IP弱点进行IP欺骗攻击边界隔离(UTM实现)蠕虫病毒攻击系统加固（后期安全项目解决）网络设备的风险路由器弱口令的风险漏洞扫描（后期安全项目解决）口令明文传递的风险加密传输（后期安全项目解决）假路由、路由欺骗攻击漏洞扫描（后期安全项目解决）敏感信息在广域网中传输的安全隐患文件查询系统在传输过程中被窃取、篡改、删除通讯信道加密（后期安全项目解决）网络及系统漏洞的安全隐患黑客利用已知的漏洞对网络或系统进行恶意攻击漏洞扫描（后期安全项目解决）应用系统关键业务主机出现故障和系统漏洞的安全隐患不能实时监控关键业务主机硬件系统的运行情况集中安全管理（主机性能监控）（后期安全项目解决）不能实时报告关键业务主机系统故障集中安全管理（主机稳定性监控）（后期安全项目解决）操作系统的安全级别低，缺乏对使用关键业务主机操作系统用户权限的严格控制、文件系统的保护等访问控制（主机安全防护）(UTM实现)数据库系统的安全隐患不能实时监控数据库系统的运行情况包括：数据库文件存储空间、系统资源的使用率、配置情况、数据库当前的各种死锁资源情况、数据库进程的状态、进程所占内存空间等。集中安全管理（数据库稳定性监控）(日志审计系统解决)

安全需求分析根据上面所分析的内容，可以看到，XXXX市第X人民医院系统目前存在着较多的安全隐患，作为部门，XXXX市第X人民医院系统各项业务的开展直接影响到医院事务，这种职能使XXXX市第X人民医院系统受到更多的关注，遭遇攻击威胁的可能性很高，综合上面的描述，下面从网络安全、应用安全、管理安全的角度出发，归纳出XXXX市第X人民医院网络主要存在的安全需求为：边界防护需求、入侵防御需求、日志审计需求、桌面管理需求。边界防护的需求边界防护的设计是将组织的网络，根据其信息性质、使用主体、安全目标和策略的不同来划分为不同的安全域（从纵向上我们将XXXX市第X人民医院网络划分内网和外网两个层面，从横向上又分为服务器群和办公内网三个组成部分，从而形成多个安全域），不同的安全域之间形成了网络边界，通过边界保护，严格规范XXXX市第X人民医院网络系统内部的访问，防范不同网络区域之间的非法访问和攻击，从而确保XXXX市第X人民医院网络各个区域的有序访问。一般来说边界防护采用的主要技术是UTM安全网关技术。根据XXXX市第X人民医院的具体情况，并结合用户的需求，在本技术方案中，我们将在互联网和XXXX市第X人民医院网络之间采取逻辑隔离技术，即使用UTM安全网关系统；而在XXXX市第X人民医院内网和数据中心之间采用入侵防御技术来实现XXXX市第X人民医院网络和XXXX市第X人民医院数据中心之间的安全数据交换。UTM安全网关UTM安全网关是指设置在不同网络（如可信任的组织内部网和不可信任的公共网）或网络安全域之间的一系列部件组合。UTM安全网关通常位于不同网络或网络安全域之间信息的唯一连接处，根据组织的业务特点、行业背景、管理制度所制定的安全策略，运用包过滤、病毒过滤、代理网关、NAT转换、IP+MAC地址绑定等技术，实现对出入网络的信息流进行全面的控制（允许通过、拒绝通过、过程监测），控制类别包括IP地址、TCP/UDP端口、协议、服务、连接状态等网络信息的各个方面。UTM安全网关本身必需具有很强的抗攻击能力，以确保其自身的安全性。UTM安全网关可实现以下的基本功能。监控并限制访问针对黑客攻击的不安全因素，UTM安全网关采取控制进出内外网的数据包的方法，实时监控网络上数据包的状态，并对这些状态加以分析和处理，及时发现存在的异常行为；同时，根据不同情况采取相应的防范措施，从而提高系统的抗攻击能力。控制协议和服务针对网络协议设计的先天缺陷，UTM安全网关采取控制协议和服务的方法，使得只有授权的协议和服务才可以通过UTM安全网关，从而大大降低了因某种服务、协议的漏洞而引起灾难性安全事故的可能性。保护网络内部针对软件及系统的漏洞或“后门”，UTM安全网关采用了与受保护网络的操作系统、应用软件无关的体系结构，其自身建立在安全操作系统之上；同时，针对受保护的内部网络，UTM安全网关能够及时发现系统中存在的漏洞，进行访问上的限制；UTM安全网关还可以屏蔽受保护网络的相关信息，使黑客无从下手。病毒过滤UTM安全网关内部具有病毒过滤功能，利用病毒过滤的功能，可以有效的防范针对内部网络的病毒防范问题，确保安全高效的访问互联网。日志记录与审计当UTM安全网关系统被配置为工作在不同安全域之间的关键节点时，UTM安全网关系统就能够对不同安全域之间的访问请求做出日志记录。日志是对一些可能的攻击行为进行分析和防范的十分重要的情报。另外,UTM安全网关系统也能够对正常的网络使用情况做出统计。这样网络管理员通过对统计结果进行分析，掌握网络的运行状态，继而更加有效的管理整个网络。针对XXXX市第X人民医院系统的具体情况，我们得到对UTM安全网关的需求包括以下几个方面：访问控制UTM安全网关必须能够实现网络边界的隔离，具有基于状态检测的包过滤功能，能够实现针对源地址、目的地址、网络协议、服务、时间、带宽等的访问控制，能够实现邮件内容过滤，支持网络地址转换等功能。高效率由于UTM安全网关被部署在XXXX市第X人民医院系统不同安全域之间的关键节点上，因此从某种意义上讲，UTM安全网关的工作效率就决定了XXXX市第X人民医院网络的工作效率，所以采用的UTM安全网关设备必须有较高的工作效率，确保网络原有的吞吐率、延迟等重要的指标尽量不受到UTM安全网关的干扰。高可靠性由于UTM安全网关是网络中的重要设备，意外的宕机都会造成网络的瘫痪，因此UTM安全网关必须是运行稳定，故障率低的系统，并且要求能够实现双机热备，最好能够实现UTM安全网关集群技术，以保证不间断的网络服务。病毒过滤UTM安全网关内部具有病毒过滤功能，利用病毒过滤的功能，可以有效的防范针对内部网络的病毒防范问题，确保安全高效的访问互联网。日志和审计要求UTM安全网关能够对重要关键资源的使用情况应进行有效的监控，UTM安全网关系统应有较强的日志处理能力和日志分析能力，能够实现日志的分级管理、自动报表、自动报警功能，同时希望支持第三方的日志软件，实现功能的定制。高安全性作为安全设备，UTM安全网关本身必须具有高安全性，本身没有安全漏洞，不开放服务，可以抵抗各种类型的攻击。可以有效抵抗拒绝服务攻击的能力，防范攻击者利用TCP/IP协议自身弱点发起对XXXX市第X人民医院专网系统的攻击。可以扩展系统的建设必须考虑到未来发展的需要，系统必须具有良好的可扩展性和良好的可升级性。易于管理系统的安装、配置与管理尽可能的简洁，安装便捷、配置灵活、操作简单。支持VPN加密传输针对XXXX市第X人民医院系统数据明文传输的风险，要求UTM安全网关必须支持VPN加密模块，在XXXX市第X人民医院系统利用互联网进行数据传输的过程中，将数据进行加密，使数据以密文的方式被传递，防范数据被政务网内攻击者窃取的风险，同时VPN模块还支持数据完整性校验和抗重放攻击的能力，进一步加强数据传输的安全性。入侵防御系统利用UTM安全网关技术，经过仔细的配置，通常能够在内外网之间提供安全的网络保护，降低了网络安全风险，但是入侵者可寻找UTM安全网关背后可能敞开的后门，或者入侵者也可能就在UTM安全网关内。网络入侵防御系统位于有敏感数据需要保护的网络上，通过实时侦听网络数据流，寻找网络违规模式和未授权的网络访问尝试。当发现网络违规行为和未授权的网络访问时，网络监控系统能够根据系统安全策略做出反应，包括切断访问、实时报警、事件登录，或执行用户自定义的安全策略等。入侵防御系统部署在网络中的服务器区，这里我们建议在XXXX市第X人民医院网络中引入入侵防御系统，监视并记录网络中的所有反问行为和操作，有效防止非法操作和恶意攻击。同时，入侵检测系统还可以形象地重现操作的过程，可帮助安全管理员发现网络安全的隐患。UTM安全网关系统是基于策略的对网络边界实施静态安全防范的技术，根据系统的策略(IPAddress/port/…)只允许通过策略所允许的数据包，但不能切断隐藏在正常数据包中的黑客攻击试图。而且，对于不通过UTM安全网关的数据包（内部的相互访问数据或者是通过其他手段绕过UTM安全网关的数据），UTM安全网关也不能对其进行检测。UTM安全网关在进行边界防护方面，其局限性主要体现在以下几个方面：UTM安全网关无法探测及完全防御流行的拒绝服务攻击(DoS/DDoS)及尼姆达(Nimda)病毒等的攻击。UTM安全网关仅对数据包头进行分析并依据策略进行判断，而不对数据包的负载或内容进行深层次的分析，对规则中允许的端口和服务一直视为正常的用户，不执行保安功能。在遭到黑客攻击后，因UTM安全网关不保留数据包内容的日志，所以事后无法把日志作为监查日志，而入侵检测系统把数据包内容完整的作为日志保留，可用于事后的审计。UTM安全网关对内部用户的误用、滥用及内部用户的攻击行为无能为力。因此，入侵防御系统作为网络服务器系统的安全防线，对在UTM安全网关系统阻断攻击失败时，最大限度地减少相应的损失。也可以与UTM安全网关等安全产品进行联动，实现动态的安全维护。针对XXXX市第X人民医院系统的具体情况和行业特点，我们得到的入侵防御的需求包括以下几个方面：入侵检测要求能够对攻击行为进行检测，是对入侵检测设备的核心需求，要求可以检测的种类包括：异常行为检测（包括针对各种服务器的攻击等）、可移动存储设备检测、拨号上网检测等等。自身安全性要求作为网络安全设备，入侵检测系统必须具有很高的安全性，配置文件需要加密保存，管理台和探测器之间的通讯必须采用加密的方式，探测器要可以去除协议栈，并且能够抵抗各种攻击。日志审计要求系统能对入侵警报信息分类过滤、进行统计或生成报表。对客户端、服务器端的不同地址和不同服务协议的流量分析。可以选择不同的时间间隔生成报表，反映用户在一定时期内受到的攻击类型、严重程度、发生频率、攻击来源等信息，使管理员随时对网络安全状况有正确的了解。可以根据管理员的选择，定制不同形式的报表。实时响应要求当入侵防御报警系统发现网络入侵和内部的违规操作时，将针对预先设置的规则，对事件进行实时应急响应。根据不同级别的入侵行为能做出不同方式告警，用以提醒管理人员及时发现问题，并采取有效措施，控制事态发展。报警信息要分为不同的级别：对有入侵动机的行为向用户显示提示信息、对严重的违规现象实行警告通知、对极其危险的攻击可进行及时阻断、以及向安全管理中心报告。另外，必须在基于规则和相应的报警条件下，对不恰当的网络流量进行拦截。服务要求入侵防御系统必须提供全面的服务，入侵特征库的升级必须要及时，并且要提供对入侵检测报表的分析帮助。日志集中审计安全需求在XXXX市第X人民医院信息安全保障体系使用了多种安全子系统后，为了充分发挥各子系统的功能，建立有效的信息安全保障体系，本方案提出以下安全需求：实现安全设备和安全软件网络化集中管理、实施全面实时监控、保障安全设备和系统正常运转的中心实现安全日志、网络日志、服务器日志等信息收集、信息相关性分析全方位安全管理的中心；实现系统动态反应和应急处理的中心制订和实施安全设备和系统运行策略、确保安全设备和系统的高效运转、实现组织安全目标的中心各种安全资源，包括了软件、硬件、人员、规章等要素的集中管理的中心因此，在XXXX市第X人民医院信息安全保障体系中必须建立日志集中审计体系。桌面管理系统需求在XXXX市第X人民医院信息网络中，整体网络分为了内部网络和外部网络，但由于网络目前的状况等原因，导致目前内外网没有进行明确的划分，随着用户的网络更加开放，往往需要支持包括访问互联网、访问特定网站、内部用户使用移动介质等多种应用，而内部用户又需要访问不同级别的重要而敏感的内部信息。这使得网络的边界在不断向外延伸，也变的越来越模糊。于是，对于网络中的端点、尤其是终端，经常处于一种高风险的状态，安全防护尤显重要。一方面，只要网络的一个终端被入侵，整个网络都将处于危险之中。而随着边界的模糊化，终端遭受入侵的可能性大大增加。另一方面，由于缺乏安全意识，缺少管理和监督，网络边界内部的终端合法用户时常发生有意无意的违规行为，这些都可能导致整个网络安全的保密性、完整性和可用性面临挑战。根据FBI和CSI对484家公司进行的网络安全专项调查结果显示：超过85%的安全威胁来自公司内部，在损失金额上，由于内部人员泄密导致了6056.5万美元的损失，是黑客造成损失的16倍，是病毒造成损失的12倍。另据中国国家信息安全测评认证中心调查，信息安全的现实威胁也主要为内部信息泄露和内部人员犯罪，而非病毒和外来黑客引起。除了来自外部和内部针对终端的威胁，国家、行业主管机构、企业和组织自身越来越强调的内控和风险管理也要求用户对边界内部的终端运行及其用户行为进行合规性审计。在国家信息系统等级保护、国家保密局BMB17/20、银行证券系统的内控指引、ISO27000等各种相关的文件规范中都涉及到了移动存储介质管理、终端设备网络接入控制、操作系统和应用软件安全漏洞修补、终端用户操作审计、计算机违规外联监测等一系列内容。这些都对终端安全提出了要求。针对上述挑战，桌面安全管理系统就可以为用户提供包括终端接入控制、终端安全加固、终端合规审计、终端数据保护在内的全面终端安全管理解决方案。桌面安全管理系统能够保证网络中用户和设备（例如U盘）的可信性，确保只有受信用户才能使用网络资源，只有受信的设备才允许在网络中使用，只有符合安全准入标准的终端才能接入网络。桌面安全管理系统能够对终端的操作系统脆弱性进行检查，及时分发补丁和加固系统，最大限度地提升终端的安全强度。桌面安全管理系统能够对操作终端的用户行为进行监控和合规审计，防止终端用户滥用网络资源导致的工作效率以及网络可用性的下降，阻止终端用户的各种违规企图（例如非法外联，非法通过邮件发送涉密信息，等等）。桌面安全管理系统能够对终端上的重要数据资产进行保护，防止重要数据从网络中任何渠道泄漏到外部，最大限度地保护企业和组织的重要资产。如果我们将网络边界之内的网络称为内网，那么终端安全管理的主要目的就是终端安全。

系统安全建议本方案通过对XXXX市第X人民医院系统对外服务的网络和应用现状的细致风险分析和安全需求理解，并与XXXX市第X人民医院的技术人员进行了广泛的沟通，有针对性的部署了以下具有针对性的安全策略，其中采用的安全技术有：UTM安全网关技术、入侵防御技术、日志审计技术、桌面管理技术。需要提出的是有了较完善产品部署只是对抗安全风险的一部分，更重要的是建立完善的安全管理制度、明确安全管理职责、重视日常安全运维、树立安全意识，这样才能保证安全产品真正有效地发挥作用，从多方面、多层次构建一个深度防御体系。下图是系统的整体部署示意图：设备整体部署示意图UTM安全网关子系统规划控制大型网络的安全的一种方法就是把网络化分成单独的逻辑网域，如组织内部的网络域，和外部网络域，每一个网域有所定义的安全边界来保护。这种边界的实施可通过在相连的两个网络之间安全网关来控制其间访问和信息流。网关要经过配置，以过滤两个区域之间的通信量和根据组织的访问控制方针来堵塞未授权访问。这种网关的一个例子就是通常所说的UTM安全网关。本方案中UTM安全网关主要用于XXXX市第X人民医院外部网络和互联网的逻辑隔离。UTM安全网关是一个或一组系统，它在网络之间执行访问控制策略。实现UTM安全网关的实际方式各不相同，但是在原则上，UTM安全网关可以被认为是这样一对机制：一种机制是拦阻传输流通行，另一种机制是允许传输流通过。一些UTM安全网关偏重拦阻传输流的通行，而另一些UTM安全网关则偏重允许传输流通过。了解有关UTM安全网关的最重要的概念可能就是它实现了一种访问控制策略。边界保护机制的需求对源地址、目的地址和服务做出限制，并阻断危险的协议，比如ICMP协议。进出边界的通信都需要进行控制；限制可执行代码的服务和下载能力；使用访问控制列表；使用身份验证机制；使用网络地址转换隐藏内部网络（地址和拓扑结构）防止潜在攻击者；记录和分析源路径和其他信息包，并对攻击做出反应和进行限制；操作者能够方便正确的配置边界保护机制，如采取友好图形用户界面；监控并且有产生告警的能力。加强互联网出口病毒防护需求。UTM安全网关安全解决方案安全域划分的原则XXXX市第X人民医院网络安全系统安全域的设计主要遵循以下设计原则：（1）明确网络资源事实上我们不能确定谁会来攻击系统，所以在制订安全策略和框架之初应当充分了解部门的内部构架，了解要保护什么，需要什么样的访问，以及如何协调所有的网络资源和访问。（2）确定网络访问点网络管理员应当了解潜在的入侵者会从哪里进入系统。通常是通过网络连接、拨号访问以及配置不当的主机入侵系统。（3）限制用户访问的范围应当在网络中构筑多道屏障，使得非法闯入系统者不能自动进入整个系统，尤其要注意网络中关键敏感地区的防范。（4）明确安全设想每个安全系统都有一定的假设。一定要认真检查和确认安全假设，否则隐藏的问题就会成为系统潜在的安全漏洞。（5）充分考虑人的因素在构建安全体系时，人的因素是非常重要的。即便制定了非常完善的安全制度，如果操作员不认真执行，也无疑会为不法入侵者大开方便之门。（6）实现深层次的安全对系统的任何改动都可能会影响安全，因此系统管理员、程序员和用户需要充分考虑变动将会造成的附带影响。构建安全体系的目标之一是使系统具有良好的可伸缩性，而且不易影响系统的安全性。UTM安全网关部署方案根据前文描述，XXXX市第X人民医院网络可以划分为Internet边界和数据中心网络边界，内部网络边界、服务器区边界，按照安全对策分析，需要分别在Internet边界部署高性能UTM安全网关，通过UTM安全网关的访问控制策略严格限制Internet对内部网络系统的访问。通过对以上部署示意图的分析，在本方案中充分考虑了设备的高可用性，因此在Internet与XXXX市第X人民医院外网之间部署了一台UTM安全网关。考虑到XXXX市第X人民医院外网的应用较多，为了确保每个应用系统独立运行的安全，我们采用UTM安全网关将该区域进行了逻辑划分，共分为3个逻辑区域，分别为：办公内网区、服务器区、数据中心区，各个区域之间的访问必须符合UTM安全网关的控制策略，因此也就确保了每个应用系统的相对独立性，从而避免了网络风险的扩大化。UTM安全网关基本安全策略：UTM安全网关以路由方式接入；UTM安全网关通过NAT地址转换隐藏XXXX市第X人民医院网络拓扑结构；Internet网络用户只允许访问XXXX市第X人民医院网络的网上查询服务器的受理端口；只允许查询受理服务器访问数据中心区的数据服务器的特定端口；公共服务区的计算机只允许访问Internet;在UTM安全网关上开启病毒过滤功能；入侵防御子系统规划设计目标入侵防御系统是控制黑客最有效的手段之一，包括监测、预警、控制三大功能，它也是对UTM安全网关功能的合理补充，是防范网络攻击的又一道防线。入侵防御系统帮助系统对付网络攻击，扩展了系统管理员的安全管理能力(包括安全审计、监视、进攻识别和响应)，提高了信息安全基础结构的完整性。入侵防御系统应能实时监测外部黑客入侵、内部用户越权访问和误用，并能对攻击作出反应，以及提供补救措施。其主要功能如下：实时网络数据流跟踪，分析网络通信会话轨迹；网络攻击模式识别；网络安全违规活动捕获；网络安全事件的自动响应；提供智能化网络安全审计方案；支持用户自定义网络安全策略和网络安全事件；具有生成分析报告的能力；自动或人工方式更新知识库；能相互监视和控制程序的运行，确保系统的健壮性；配置入侵防御系统，主要完成以下工作：1、能提供安全审计、监视、攻击识别和反攻击等多项功能，对内部攻击、外部攻击和误操作进行实时监控。2、通过入侵防御探测器和安全服务中心对网络内流动的数据包进行获取和分析处理，发现网络攻击行为或者符合用户自定义策略的操作，及时报警。配置方案根据网络系统和应用系统的要求,我们建议在内网的核心交换机与服务器之间配置入侵防御引擎。入侵防御安全服务中心安装在内部网管理区的一台主机上，对入侵防御探测器进行控制和管理。技术要求1、具有对网络访问数据监控的功能；2、能够采用模式匹配、协议分析、异常探测、安全规则匹配等多种方法进行检测，误报率与漏报率低；3、支持自身文件的完整性检查和系统备份，提供对控制台系统的自身安全的保护；4、支持基于数据包/字节的流量统计，提供详细的细节查询；5、支持对基于网络对象的定时数据检测，简化报警信息；6、支持快速的系统/入侵日志检索；7、支持实时网络数据流跟踪，网络攻击模式识别；8、支持网络安全事件的自动响应。即能够自动响应网络安全事件，包括控制台报警；记录网络安全事件的详细信息，并提示系统安全管理员采取一定的安全措施；实时阻断连接；9、支持多对多的控制台与探测器连接方式；10、支持手动在线、离线升级、自定义自动升级等升级方式；11、检测速率不小于1000M；日志审计子系统规划在信息化的建设过程中，为了保证政府网络与信息的安全，国家相关部门明确要求各单位信息化建设中要加强日志审计的工作，确保在网络系统中，能保存至少60天的日志，包括网络日志、系统日志、安全日志等。因此，省第X人民医院迫切需要一个全面的、面向企业和组织IT计算环境的、集中的安全审计平台及其系统，这个系统能够收集来自企业和组织计算环境中各种设备和应用的安全日志，并进行存储、监控、分析、报警、响应和报告。日志安全审计系统作为一个统一日志监控与审计平台，能够实时不间断地将企业和组织中来自不同厂商的安全设备、网络设备、主机、操作系统、用户业务系统的日志、警报等信息汇集到审计中心，实现全网综合安全审计。日志安全审计系统能够实时地对采集到的不同类型的信息进行归并和实时分析，通过统一的控制台界面进行实时、可视化的呈现，协助安全管理人员迅速准确地识别安全事故，消除了管理员在多个控制台之间来回切换的烦恼，同时提高工作效率。日志安全审计系统能够实时采集NetFlow数据流，对一段时间内的网络流量或者网络连接数进行统计，并描绘趋势曲线。通过对某个IP地址的流量趋势分析获悉该IP地址的访问流量模型，进而对异常流量和行为进行审计。日志安全审计系统能够自动地或者在管理员人工干预的情况下对审计告警进行各种响应，并与包括各种类型的交换机、路由器、防火墙、IDS、主机系统等在内的众多第三方设备和系统进行预定义的策略联动，实现安全审计的管理闭环。日志审计系统解决方案统一日志监控日志审计系统将医院内的IT计算环境中部署的各类网络或安全设备、安全系统、主机操作系统、数据库以及各种应用系统的日志、事件、告警全部汇集起来，使得用户通过单一的管理控制台对IT计算环境的安全信息（日志）进行统一监控。借助日志审计系统的统一日志监控，用户不必时常在多个控制台软件之间来回切换、浪费宝贵的时间。与此同时，由于用户的所有安全信息都汇聚到一起，使得用户可以全面掌控IT计算环境的安全状况，对安全威胁做出更加准确的判断。全面日志审计日志审计系统能够对用户内部的IT计算环境中各类网络设备、安全设备、安全系统、主机操作系统、数据库以及各种应用系统的日志、事件、告警等安全信息进行全面的审计。符合等级保护要求的日志审计在信息系统等级保护的基本技术要求中，从第二级开始，针对网络安全、主机安全、应用安全都有明确的安全审计控制点。在信息系统等级保护的管理要求中，“安全事件处置”控制点从第二级开始要求对日志和告警事件进行存储；从第三级开始提出了“监控管理与安全管理中心”的控制点要求。日志审计系统提供了与上述要求相一致的实时审计场景，以及各种面向等级保护的统计报表模板。日志归并和实时分析日志审计系统收集网络中的所有安全日志和告警信息，在归并后通过智能日志分析引擎，帮助安全管理员实时进行日志分析，迅速识别安全事故，从而及时做出响应。日志审计系统为安全管理员提供了一套强大的实时分析工具。用户可以定义不同的实时分析场景，从不同的观察角度对来自企业和组织各个角落的安全日志进行准实时分析，通过分析引擎对安全日志进行实时分析、统计和趋势分析。日志审计系统为用户内置了大量的实时分析场景，从设备类型、操作系统类型、应用类型、日志等级、性能、协议等不同角度为用户提供了全面监视IT网络安全的工具。日志审计系统实时分析为用户提供了一套进行深入的日志审计与追踪的工具——事件调查工具。借助网御神州独有的启发式事件搜索技术（HeuristicEventSearchingTechnology），管理员通过事件调查工具可以对某条感兴趣的日志中的源IP地址、目的IP地址、或者目的端口进行相关性日志检索。集中日志存储日志审计系统可以将采集来的所有日志、事件和告警信息统一存储起来，建立一个企业和组织的集中日志存储系统，实现了国家标准和法律法规中对于日志存储的强制性要求，降低了日志分散存储的管理成本，提高了日志管理的可靠性，消除了本地日志存储情况下可能被抹掉的危险，也为日后出现安全事故的时候增加了一个追查取证的信息来源和依据。日志审计系统具有海量日志接收和存储的能力。在优化的硬件配置下，单个日志审计系统系统能够以每秒30000条的规模接收日志，以每秒15000条的规模处理和分析日志，并能够在线存储多达10亿条日志记录，相当于管理约800G的数据量。加上系统的数据归档与离线存储功能，日志审计系统能够存储的数据量大小仅取决于服务器磁盘存储空间的大小。借助日志审计系统分布式部署的方案，日志存储性能还能提升。日志审计系统在进行数据管理的时候，对数据存储算法进行了充分优化，使得使用小型数据库的情况下就达到了上述性能。此外，用户在使用本系统的时候，无需购买额外的数据库管理系统和许可，也不必花费专门的精力去维护数据库，这些都大大降低了用户的总拥有成本。日志审计系统提供多种日志存储策略，能够方便地进行日志备份和恢复。趋势分析日志审计系统能够进行日志流量的趋势分析。通过采集NetFlow数据流或者防火墙的网络流量日志，对最近一段时间的网络流量或者网络连接数进行统计，并描绘趋势曲线。通过某个IP地址的流量趋势分析获悉该IP地址的访问流量模型，并发现异常流量和行为。日志审计系统允许用户定义不同的趋势分析场景，从不同的观察角度对来自企业和组织中的各类IP地址进行流量比较和分析。趋势分析场景的客户价值就在于每个场景都可以反复调用，省却了用户反复指定查询条件麻烦。快速响应日志审计系统在识别出安全事故后，能够自动或者用户手工的对威胁进行响应，采取安全对策，从而形成安全审计的闭环。日志审计系统由于可以综合分析来自防火墙、IDS、系统日志、网络等等一系列的信息，因而能够更为精确地定位安全威胁，使得实时自动阻止攻击变得更加可行。在发生告警后，日志审计系统可以通过电子邮件、SNMPTrap等方式对外发出通告；能够执行预定义命令行程序，并将事件属性作为参数传递给该命令行程序。日志审计系统可通过与网络设备或安全设备共同协作来关闭威胁通信，以阻止正在进行的攻击。日志审计系统可以与众多第三方网络设备、安全设备进行联动。例如，在发现攻击后，阻断网络交换机的端口，或者更改防火墙和入侵检测系统的安全规则，阻止攻击的扩散和恶化。SecFox-LAS支持与市场上大部分安全设备和网络设备之间的策略联动。此外，通过日志审计系统与安全管理产品的综合使用，可以实现完整的从安全风险监控、分析到决策的安全管理流程的闭环。事后分析日志审计系统收集并存储了来自企业和组织的所有安全日志，并为管理员提供了强大的事后分析工具，使得管理员能够最大限度地对这些日志进行深度挖掘，寻找潜在的安全威胁。事后分析和实时分析相对。实时分析强调安全事件的事中处理，针对较短的一段时间内的日志进行审计；而事后分析则注重对大规模历史日志的审计。一方面，事后分析可以帮助安全管理员找到造成安全事故的原因，获得检测和预防同类事故再犯的手段和措施，作为下一轮安全防御的预警；另一方面，通过对海量安全日志的数据挖掘，尤其是基于较长时间段的数据分析，可以帮助管理员发现IT计算环境中存在的安全隐患，例如入侵者为发起后续攻击而事先在网络中种植的木马和僵尸，或者慢攻击行为。此外，日志审计系统的事后分析功能可以协助管理员进行计算机取证分析，收集外部入侵或者内部违规的证据。报表报告日志审计系统具有以下统计分析和报表报告功能：能从多种角度多种维度对数据进行分析；能提供实时分析、历史分析等分析手段；能对比统计的结果，分析数据的发展趋势；能将结果以图形方式（直方图、饼图等）显示、打印或转存为html或Excel报表方式输出。日志审计系统的报表报告生成系统灵活易用。它提供大量预定义的报表模板，用户可使用预定义的报表模板生成报表。日志审计系统生成的报表图文并茂，报表可以按组管理，可以对报表生成进行日程规划，提供打印、导出以及邮件送达等服务，并根据计划归档报告，归档之后发送邮件通知。报告可用PDF、HTML、Excel、CSV或RTF等格式存档。桌面安全管理规划针对XXXX市第X人民医院内外网用户合并在一起的特点，我们在终端桌面安全管理方面提出了以下几个方案建议。终端计算机防泄密终端计算机的防泄密解决措施包括两方面：一是对计算机终端进行安全审计，如网络接入、网络外联、文件操作、共享访问、设备使用、进程活动、终端性能等，通过安全审计可以实时掌握用户的计算机使用行为。这类措施主要是应对恶意用户的主动泄密行为；二是对终端计算机进行安全加固。通过对终端计算机的安全加固，如补丁管理、防病毒软件监测、主机防火墙等可增强终端计算机的安全性和健壮性。这类措施主要是应对合法用户由于疏忽导致的被动泄密行为。终端安全审计计算机终端的安全审计包括了事前控制、事中监控和事后审计在内的一系列安全管理策略。通过安全审计，可以有效的控制、监视和追踪计算机终端用户的行为，一旦用户有违保密规定的行为发生，管理员能够快速得到报警信息。对受控终端进行审计是通过规则进行的。审计规则设置的是对服务器规则控制下的行为的记录和统计。在服务器设置相应的审计规则后，如果客户端所在的设备有符合规则的行为发生，则在服务器的日志中会有相应记录。可以根据需要配置受控终端的文件操作、进程、网络访问等事件的规则。系统根据规则自动记录安全审计日志并存入系统日志信息库，这些信息是事后了解和判断网络安全事故的宝贵资料。安全审计应包括如下几个方面：涉密审计：涉密文件被操作使用、存储和传输审计功能；入网审计：非法设备接入审计功能；资产审计：自动登记受控终端的硬件配置（包括CPU、内存、硬盘、显示卡、网卡等等），当受控终端的硬件发生变动时能自动向安全管理核心系统发出报警信息；系统审计：自动记录受控终端操作系统配置的用户、工作组、逻辑驱动器，当其发生变化时，自动向安全管理核心系统发出报警信息；加载服务审计：对受控终端安装的系统服务进行审计，自动记录系统服务的启动和停止；安装和卸载审计：自动记录受控终端上应用程序的安装与卸载情况；文件审计：对文件操作进行审计，记录用户对规则指定文件进行的各种操作；网络访问审计：对网络访问进行审计，记录用户对规则指定网址进行的访问操作；打印机操作审计：对本地打印机使用情况进行审计；移动存储设备审计：对受控终端的可移动存储设备的使用情况进行审计；非法外联审计：对拨号、无线网卡、手机红外等访问情况进行审计。进程监控：通过对终端计算机运行的进程进行监控，可以发现用户正在运行的程序。可以通过进程黑名单的方式限制用户运行某些程序，例如游戏、攻击工具、视频播放器、MP3播放器等。限制用户利用计算机进行与工作无关的操作。时间审计：用户可以根据对终端审计的需要，灵活的创建时间策略模板，设定策略生效的时间段，该时间策略可以应用于所有的安全审计策略。性能审计：对终端上的性能进行审计，可以对CPU使用率、可用物理内存使用情况、流量控制和可用磁盘空间进行监控。带宽审计：对终端进行带宽限制，主要是限制安装代理终端对目标主机的输出流量，给用户提供一个良好的网络办公环境。地址绑定审计：对代理主机的地址进行绑定，可以绑定IP地址、MAC地址、网络掩码、网关地址或者主机名。终端系统加固补丁管理：通过补丁管理，能够对内网终端计算机缺失补丁进行定期检测和自动安装与更新，保证系统与软件缺陷一经发现便可及时修补。通过补丁分发管理，大大减少了操作系统和应用软件漏洞被利用所造成的安全隐患和经济损失。同时，管理人员还可以实时统计当前各终端计算机的补丁缺失情况、补丁安装情况以及补丁安装的进度等，得到全网的终端计算机补丁安装快照。方便了对补丁分发过程的监控。防病毒软件监测：通过防病毒软件监测，可以判断终端计算机是否安装了防病毒软件、防病毒软件运行是否正常以及病毒库是否保持最新等情况。如果以上几条不满足设定的策略要求，监测系统可以向管理人员发送报警信息。另外，监测系统还可阻断终端计算机的内网接入和内网访问，确保易被感染的终端计算机无法使用内网。通过以上加固措施，使得终端计算机的安全强度和抵抗安全风险能力大大提高。更进一步，还可以对未及时更新补丁、未安装防病毒软件的计算机进行网络访问控制和隔离，使其形成内网中的“孤岛”。避免该终端计算机对内网其它主机造成安全威胁。移动存储介质管理可信移动介质解决方案，主要是实现如下目标：通过移动介质交换的数据必须是密文，保证数据离开应用环境后不可用；数据交换前必须通过正确的身份认证，包括密码认证或USBKEY等授权硬件的身份认证；记录数据交换过程的工作日志，便于以后进行跟踪审计；未经授权的移动介质，在工作环境中不可用，只有经过政府部门授权的移动介质才能进入到政府部门的办公环境；工作配发的移动介质带出办公环境后变为不可用。可信移动介质管理综合利用