医院网络安全防护体系的构建.pdf

1486医院网络安全防护体系的构建 医院网络安全防护体系的构建 栾松兰 刘继庆 北京回龙观医院计算机中心，100096，北京昌平区回龙观镇 关键词 关键词 医院 网络安全 防护体系 摘 要 摘 要 我院网络信息系统经过多年的建设，已经具备了一定的网络规模，但随着业务系统的逐步扩展应用，网络黑客、网络恶意软件的出现和泛滥，给网络管理带来更多的复杂性，同时给医院信息系统造成了一定的潜在威胁。为了有效的保证医院信息化网络和医疗业务信息系统的安全，建立一个统一的立体安全防护体系，以达到更加完善的网络系统安全。网络安全是一项动态的系统工程，它需要集中多种安全手段，相辅相成。我院信息与网络系统经过多年的建设，已经具备了一定的网络规模，包括医院 HIS系统及远程门诊的互联等都具备了一定的基础。随着信息化系统的建设，医院在网络信息化方面投入了很大的精力，并且在网络及应用基础架构方面具备了一定的基础。但随着业务系统的逐步扩展应用，给网络管理带来更多的复杂性，加之网络恶意软件技术的逐步发展，给医院信息系统造成了一定的潜在威胁。如何保障医院信息化网络系统正常运行，已经成为当前信息化健康发展所要考虑的重要事情之一。一个完整的安全体系由四个方面构成：安全策略、保护、检测和响应。安全策略包括信息安全管理策略、信息安全策略、信息安全审计考核。保护是采用安全技术即方法来实现的，主要有防火墙、加密、认证等。检测是强制落实信息安全策略的有力工具。响应是在检测到安全漏洞和安全事件之后必须及时做出正确的响应，从而把系统调整到安全状态。信息安全的保护、检测和响应是一个相互紧密整合的整体。因此，参照国家相关法律法规和行业标准对信息化安全的要求，我们着重从风险的角度来分析我院的网络安全需求。1 网络层安全风险 1 网络层安全风险 1487我们知道，基于 Internet 公网的开放性、国际性与自由性，网络系统面临的安全威胁主要来自黑客攻击、病毒、蠕虫、恶意代码、垃圾邮件等各种各样的攻击。由于我院的医疗信息系统与互联网系统均在同一网络之中，自然存在着被黑客攻击的可能。同时，通过 Internet 传播的病毒、蠕虫等也会给我院的网络带来相当大的安全风险。在网络内部，没有部署专业的入侵检测与防御设备，而我院的诸多业务是通过 Internet 提供服务的（如远程拨号 VPN）。一旦在网络边界处出现安全问题，包括黑客攻击、病毒及蠕虫的破坏导致的系统不可用，将会给网络带来重大影响。2 统层安全风险 2 统层安全风险 系统层安全通常是指网络操作系统的安全。对一个网络系统而言操作系统或应用系统存在不安全因素，将是黑客攻击得手的关键因素。我们都知道就目前的操作系统或应用系统，无论是微软的 Windows 系统，还是其它任何商用 UNIX 操作系统以及其它厂商开发的应用系统都存在着各种各样的漏洞，而这些漏洞都将存在重大安全隐患。我院的关键业务系统采用的操作系统都是 Windows，因此不可避免地存在着各种安全漏洞，并且漏洞被发现与漏洞被利用之间的时间差越来越小，这就使得操作系统本身的安全性给整个信息系统安全带来巨大的风险。3 应用层安全风险 3 应用层安全风险 对于我院的应用系统的安全涉及很多方面。应用系统是动态的、不断变化的。应用的安全性也是动态的。这就需要我们对不同的应用，检测安全漏洞，采取相应的安全措施，降低应用的安全风险。目前针对应用系统存在的安全风险主要有以下几个方面：用户身份假冒，非法用户假冒合法用户的身份访问应用资源；授权访问，非法用户或者合法用户访问在其权限之外的系统资源。4 管理层安全风险 4 管理层安全风险 信息系统离不开人的管理，再好的安全策略最终要靠人来制定和执行，因此管理既是安全保障体系的核心，又是安全保障体系可靠运行的基石。责权不明，1488管理混乱、安全管理制度不健全以及缺乏可操作性等都可能给信息系统的安全带来风险。当网络中出现攻击行为或网络受到安全威胁时（如内部人员的违规操作等），无法进行有效的检测、监控，及时报告与预警。当事故发生后，也无法提供攻击行为的追踪线索及破案依据。因此，缺乏对网络控制和审查的管理手段，缺乏必要的安全管理制度和安全管理解决方案，将会给系统带来很严重的安全隐患。5 防御体系 5 防御体系 基于我院面临的种种网络安全风险，为了更为有效的保证我院信息化网络和医疗业务信息系统的安全，我们应用了比较先进的信息安全建设理念，建立一个统一的立体安全防护体系，并通过对安全体系的建设来达到更加完善的安全。5.1 制定安全防护策略，建立健全网络安全防护管理体系 5.1 制定安全防护策略，建立健全网络安全防护管理体系 一个完整的安全防护体系应包括安全策略、组织管理、技术防范体系等几个方面。其中，安全策略是从整个网络安全角度出发编写的管理性项目文件。安全策略由人和系统行为的规范和要求组成，它的意义在于执行后所产生的效果。在整体的安全策略的控制和指导下，综合运用防护工具（如防火墙、身份认证、防病毒程序等）的同时，利用如扫描、入侵检测等检测工具了解和评估系统的安全状态，通过适当的安全响应将系统调整到“最安全”和“风险最低”的状态。组织管理体系依据或遵照一定的法规和标准（法规标准体系），通过技术手段（技术防护体系），保证安全策略的正确实施。同时，伴随网络攻防的技术和网络应用的发展，应不断改进技术防护手段，完善法规标准，合理调整组织机构和职责分工，保证计算机网络安全防护体系的可持续发展。我们知道，网络安全建设有“三分技术，七分管理”的说法。从这个角度上讲，计算机网络安全不仅是技术问题，更主要是管理问题，技术是网络安全的保证，管理是网络安全的核心，技术只能起到增强网络安全防范能力的作用，只有管理到位，才能保障技术措施充分发挥作用。5.2 加强网络边界系统综合防护能力（对外网以及内部网之间）通过访问控制权限，实现安全集中管理 5.2 加强网络边界系统综合防护能力（对外网以及内部网之间）通过访问控制权限，实现安全集中管理 改进和升级现有的网络防护措施，加强网络安全域的 1489划分与安全域边界的访问控制，隔离来自于互联网及外部网络的安全威胁与安全风险，保障医院网络系统与业务系统的安全；防火墙技术是重要的网络安全技术，是确保安全的一道坚固的屏障，其主要作用是在网络入口处检查网络通讯数据，根据网络管理员的设定的安全规则，在保护内部网络安全的前提下，保障内外网络的正常通信。所有来自外部网络的访问请求都有通过防火墙的检查，内部网络的安全有了很大的提高，具体讲，防火墙可以完成以下任务：通过源地址过滤，拒绝外部非法 IP 地址，有效的避免外部网络上与业务主机的越权访问；防火墙可以只保留所需要的服务，将不需要的服务关闭，这样可以将系统受攻击的可能性降低到最低，使攻击者无机可乘；防火墙可以制定访问策略，只有被授权的外部主机可以访问内部网络的有限 IP 地址，保证外部网络只能访问内部网络中的被指定的信息资源，与无关的操作将被拒绝；防火墙可以全面监视外部网络对内部网络的访问活动，并进行详细的记录，通过分析可以得出可疑的攻击行为；防火墙可以集中管理网络安全策略，攻击者无法通过更改某一主机的安全策略来达到获得其他资源访问权限的目的，而直接攻击防火墙几乎是不可能的；防火墙可以进行地址转换工作，使外部网络用户不能看到内部的结构，使攻击者失去目标。5.3 应用安全扫描技术，主动探测网络安全漏洞，进行网络安全评估与安全加固 5.3 应用安全扫描技术，主动探测网络安全漏洞，进行网络安全评估与安全加固 安全扫描时一种重要的网络安全技术，它利用网络安全性评估分析工具，用实践性的方法扫描分析网络系统，检查报告系统存在的弱点和漏洞，建议补救措施，以确保系统和网络的安全。安全扫描技术与防火墙、入侵检测系统互相配合，能够更加有效地提高网络的安全性。通过对网络的扫描，网络管理员可以了解网络的安全配置和运行服务，及时发现安全漏洞，客观评价网络风险等级。网络管理员可以根据扫描的结果更正网络安全漏洞和系统中的错误配置，在入侵者攻击前进行防范。相对于防火墙和网络监控系统这种被动的防御手段，安全扫描是一种主动防范措施，可以有效避免 1490黑客攻击行为，做到防患于未然。网络安全分析评估系统是一种用于网络安全扫描的软件工具。首先，它提供了综合的审计功能，能够及时发现网络环境中安全漏洞，保证网络安全的完整性，并能有效评估内部网络、服务器、防火墙、路由器中可被黑客利用的网络薄弱环节。其次，它能够准确全面报告网络存在的弱点和漏洞，报告被扫描对象的相关信息和所提供的服务，以及详细地描述对象的安全性，发现存在的弱点和漏洞，并提出修补的建议和应采取的措施。5.4 应用入侵检测系统，保护网络与主机资源，防止内外网攻击 5.4 应用入侵检测系统，保护网络与主机资源，防止内外网攻击 应用防火墙技术，通常能够降低网络的安全风险。但是仅仅使用防火墙，还不足以确保网络安全。这是因为：入侵者可能寻找到防火墙背后敞开的后门；入侵者可能就在防火墙内；由于性能的限制，防火墙通常不能提供实时的入侵检测能力。入侵检测技术是近年来出现的新型安全技术，目的是提供实时的入侵检测及采取相应的防护手段。入侵检测系统能够实时监测网络上的所有通信数据流，捕捉可疑的网络活动，及时发现网络中存在的安全问题，并作出及时的反应和报警，同时提供详细的网络安全审计报告。网络入侵检测系统一般具有以下特点：可精确判断入侵事件。网络入侵检测系统具备完整的黑客攻击信息库，其中存放着各种攻击行为的特征数据。每当用户在网络上操作时，网络入侵检测系统就将用户的操作与信息库中的数据进行匹配，一旦发现吻合，就会认为此项操作做为攻击行为，继而立即阻断连接并报警。攻击信息库的内容会不断升级，可以保证新的攻击行为也能被发现。可判断应用层的入侵事件。与防火墙不同，网络入侵检测系统是通过分析数据包的内容来识别黑客入侵行为的，因此，网络入侵检测系统可以判断出应用层的入侵事件。这样就极大的提高了判别黑客攻击行为的准确程度。提供实时的攻击检测保护。一旦发现黑客攻击或可疑行为，网络入侵检测系统可以做出响应。相应的方式有多种形式，其中包括：报警、停止服务直至阻断链路通信。同时，网络入侵检测系统会对攻击的过程进行详细记录，为以后的调查取证工作提供线索。全方位的监控与保护。防火墙只能隔离来自本网段以外的攻击行为，而网络入侵检测系统监控的是所有网络的操作，因此它可以识别来自本网段内、其他 1491网段以外外部网络的全部攻击行为或可疑行为。这样就有效的缓解了来自防火墙后由于用户误操作或内部人员恶意攻击所带来的安全威胁。网络安装了入侵检测系统后，有效的解决了来自网络安全四个层面上的非法攻击问题，既可以避免来自外部网络的恶意攻击，同时也可以加强内部网络的安全管理，既保证主机不会受来自内部网络的安全威胁，同时也可以防范因防火墙规则设置的缺陷而可能产生的安全漏洞。5.5 应用防病毒技术，建立全面的网络防病毒体系 5.5 应用防病毒技术，建立全面的网络防病毒体系 面对病毒迅速的发展趋势，复杂的网络环境给了病毒更多的生存空间，想要维持一个“干净”的网络环境越来越难。通过网络防病毒体系在网络内客户端和服务器上建立反病毒系统，并且可以实现防病毒体系的统一、集中管理，实时掌握、了解当前网络内计算机病毒事件，并实现对网络内的所有计算机远程反病毒策略设置和安全操作。此外，可以自动生成各种形式的攻击统计报表，形式包括日报表，月报表，年报表等，通过来源分析，目标分析，类别分析等多种分析方式，以直观、清晰的方式从总体上分析网络上发生的各种事件，有助于管理人员提高网络的安全管理。5.6 应用主机安全监控系统，实现对用户上网行为的实时监控 5.6 应用主机安全监控系统，实现对用户上网行为的实时监控 在日常工作中，网络发挥着越来越重要的作用，成为人们重要的资料的信息来源的渠道，但在网络为人们提供种种便利的同时，网络同时也提供与工作无关甚至影响工作的内容，降低了工作的效率，在一定程度上也为恶意破坏者的非法入侵提供了通道。这种现实就要求网管人员利用主机安