|
行业概述 随着科技的发展，作为医疗行业信息化的重要推动力，医院信息系统（HIS）经过近二十年的发展，已经初具规模。目前，我国大部分医院网络系统分为两个部分——用于日常医疗信息交换的业务网以及实时获取Internet信息资源的办公网。其中的医院业务网是医院业务开展的平台，为了保障安全，业务网与办公网之间进行了物理隔离。然而，随着业务网应用的深入，业务网内网存在的一些不安全因素成为影响其正常运行的重大隐患，例如人员的非法接入、因员工滥用移动存储导致的信息泄漏，违规使用BT等P2P软件造成的带宽滥用等。为了保障内网安全，深化医疗信息化的发展，医院迫切需要一套有效的内网安全管理系统。 需求分析 作为医疗行业的计算机终端安全管理而言，需要解决如下问题： 1、网络管理 在医疗行业的网络环境中，由于单位规模、单位办公的需要，存在很多的工作区域，甚至在外地也有自己的分院、社区医院或者远程诊断系统，为了便于医院内部的信息共享，一般采用专线或其他网络互联技术，使之与内部网络连接，便于单位内部的数据管理和办公管理。但是大规模的网络环境、复杂的分支机构，给网络管理带来了极大的困难，设备的分布不明确；流量管理没有依据；对于静态IP地址环境地址混乱、冲突也是很棘手的问题。 2、流量控制 借助物理网络拓扑图上设备的物理连接关系，通过可网管交换机端口的流量控制，能够对交换机下连的设备进行端口控制，关闭端口或是打开端口。但是内部网络环境中不可能所有的交换机全部都是可网管的，而且管理员不可能天天进行端口的打开、闭合操作，除非是出现异常的网络攻击和拥塞时，才会采取如此非常手段。因此对于日常的控制来说，最有效的方法是通过控制每个终端的流量，如果能将设备的流量控制在一定的范围内，既保证了终端的正常工作使用，又可以防范在非法使用P2P下载软件抢占带宽和病毒爆发时给网络速度带来的拥塞，这对于管理来说才是实用的管理手段。 3、IP地址管理 为了便于管理，出现问题能够及时追查，网络建设时管理员通常使用静态IP地址，这对于管理来说确实是一个有效可行的措施。但是由于员工的计算机操作水平不同，很可能造成随意修改IP地址带来的内网地址冲突，这给内网管理带来很繁琐的问题。虽然通过在核心或二层交换机上，可以通过命令来绑定IP/MAC地址从而消除上述问题，但是工作量庞大，因此彻底屏蔽IP地址冲突的问题是网络管理必须要做的。 4、桌面管理方面 单位内网进行办公所运行的各种服务都是应用在终端设备的基础上，一旦终端设备的安全性出现问题，那么所有其承载的服务将无法运行，严重影响单位的工作效率，给单位的生产造成损失。因此必须保证机器的健壮性。 5、进程控制 由于当前大量病毒以及恶意程序的存在，而这些程序对于普通用户而言并不知情，甚至有些恶意程序通过技术手段使得用户无法通过任务管理器看到其工作进程；另一方面，有些用户可能有意或无意地运行一些可能会影响他人或自己工作的软件(如网络嗅探器)。 单位的机器目的是提高员工的生产效率，充分利用上班时间为单位创造更多效益，但是某些娱乐性软件严重影响了员工的工作效率，某些下载软件造成网络速度减慢，影响了内网的正常办公。因此通过制定策略，实现 对非法进程的监控并阻止，能够大大减少由内部引起的网络安全事件，提高我们的工作效率。 6、接口管理 随着计算机外设的增多，各种各样的输出设备（软驱、刻录机、打印机、绘图仪、移动存储设备、红外、蓝牙、无线网络设备）为信息处理和传输提供极大便利的同时，也为机密信息的扩散和泄露带来了可能。尤其是USB接口的计算机周边设备的丰富，使得计算机与其他外部设备，如U盘，USB打印机等连接十分方便，并能轻而易举地通过USB设备将外部数据导入或者内部数据导出，为重要数据的保护带来了巨大的安全隐患。因此，对终端物理端口的控制是必不可少的。 7、移动存储介质的管理 移动存储介质已经得到普及应用，移动存储介质使用灵活、方便，使它在各个单位的信息化过程中迅速得到普及，越来越多的敏感信息、秘密数据和档案资料被存贮在移动存储介质里，大量的秘密文件和资料变为磁性介质、光学介质，存贮在无保护的移动存储介质中，这给医院涉及设计、研发信息资源带来相当大的安全隐患。存储介质作为医院核心商业机密和敏感信息的载体，实现对它们安全、有效的管理是保证医院信息安全的重要手段。 8、网络接入控制 若不对接入网络的计算机设备进行认证，则每一台外来的计算机设备只要通过涉密网内的任何一个端口连接，则整个网络都将向其开放，这显然对于内部网络安全而言是巨大的安全隐患。因此，需要对计算机终端的接入进行有效的监视和控制。通过提取接入计算机的物理特征，可以判断该计算机是否为医院内网上授权接入的计算机，如果为非授权计算机，则视为非法主机。对非法主机需要采取必要的方式进行阻断和隔离，从而保证该计算机无法访问内网的相关资源。 解决方案 1、针对人员非法接入的问题 对非授权用户接入网络需要身份认证，在用户身份认证时，可绑定用户接入IP、MAC、接入设备IP、端口等信息，进行强身份认证，防止帐号盗用、限定帐号所使用的终端，确保接入用户的身份安全。对于安全状态评估不合格的用户，可以限制其访问权限，被隔离到神盾网络隔离区，待危险终端到达安全级别后方可入网。可以限制接入网络的用户必须安装、运行或禁止安装、运行其中某些软件。对于不符合安全策略的用户可以记录日 志、提醒或隔离。对于外来计算机由于业务需要接入内网或者访问Internet时，针对对方IP、MAC等端口做授信暂时放行；可以限制用户只能在允许的时间和网络IP段内（接入设备和端口）使用网络。 2、针对由于业务网与互联网物理隔离导致的操作系统补丁无法及时更新，安全漏洞无法及时解决等问题： 神盾基于补丁分发管理功能，可自动实现终端主机的系统补丁更新。降低终端主机感染病毒的机会，增强安全性。 3、针对因医院员工滥用移动存储设备造成的信息泄露和病毒泛滥： 神盾可在在线和离线的情况下，对终端主机硬件外设接口进行有选择性的禁用管理； 4、针对内部人员滥用P2P软件，造成网络带宽被占用，工作效率下降的问题： 神盾基于程序黑白名单等技术，对终端行为进行约束，终端只能运行被允许的特定应用程序。通过设定终端主机流量来控制终端主机的访问流量； 5、针对终端主机硬件信息统计困难的问题： 神盾可随时统计终端主机的硬件配置和软件程序，并形成报表。 由于医院员工计算机知识欠缺，管理员常需要到现场解决问题，神盾基于远程协助技术，让管理员可远程对任意终端主机进行接管及操作； 6、针对移动存储介质的管理问题 神盾支持管理员能够集中对其所能够使用的计算机范围和用户范围进行设定，具体的接入控制可以细分为三种： A. 未授权用户使用该介质，或者内部人员在未授权的机器上使用该介质，系统将自动对其进行阻断，防止涉密数据的流失； B. 只有合法的用户在合法的机器上接入，该移动存储介质才能正常使用； C. 管理员能够方便对存储介质进行挂失，一旦挂失，相关存储介质也将无法接入内部网络。 |
