启明星辰医疗卫生行业安全实践

　　作为国内领先的信息安全厂商，启明星辰拥有完备的安全产品线，能够提供从安全防护、威胁检测、网络审计到终端防护的全系列自主知识产权的安全产品。上述产品在国家卫生部、一些省市的卫生厅以及众多的医院都得到了广泛的应用。

▲

　　图1 启明星辰多条产品线全面覆盖医疗卫生行业的信息安全需求

　　针对医疗卫生行业的安全建设需求，启明星辰提出了医疗卫生行业的安全解决方案：

　　1、 区域边界的一体化防护：在安全域边界，如合作单位的接入区域，互联网接入边界部署天清汉马USG一体化安全网关。基于多核硬件架构的天清汉马USG一体化安全网关具有高性能、低延迟、高稳定性的特点，能够提供状态检测防火墙的所有功能，更具有网络入侵防御(默认超过2100条攻击特征库)功能和网络防病毒(默认超过15万条基础病毒库)功能，能够检测并阻断木马连接、蠕虫病毒、网络扫描等各种威胁，同时一体化的部署大大简化了管理员的配置和管理工作。

　　2、 加强Web业务的保护：医院的门户网站和网上诊疗业务是典型的基于Web应用，面临的主要风险是来自互联网的SQL注入攻击、跨站脚本攻击等应用层攻击，这些攻击能够穿越防火墙对Web业务造成毁灭性的破坏。天清IPS是启明星辰完全自主研发的入侵防御类产品，该产品采用专利技术(VISD技术)实现基于入侵原理的攻击识别，可以精确识别SQL注入攻击并予以阻断，是目前最优秀的防SQL注入攻击产品。天清IPS还能够对目标网站进行安全检查，及时发现网页挂马以及Web程序漏洞，并通过电子邮件的方式来通知网站管理员。

　　3、 分析核心网络入侵行为：在核心交换机的位置旁路部署天阗IDS，用来监视网络中的安全事件和流量变化情况，包括端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击、网络蠕虫攻击等各种入侵事件，以及P2P下载等流量信息。当检测到入侵和流量事件时，能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警。

　　4、 安全审计消除业务风险：在HIS、PACS等核心业务系统之前部署天玥网络安全审计系统，对业务数据进行记录和审计。天玥网络安全审计采用旁路部署的形式，对医院的业务不会造成任何影响，仅需在交换机上作简单的配置即可实现对数据的采集和还原，在这种情况下无论是通过HIS系统访问数据库，还是通过客户端对数据库直接访问，特别是对数据库关键表(处方表、医师表)的联合查询都能够进行记录和审计。

　　5、 终端准入确保内网合规：在《医疗机构信息系统安全等级保护基本要求》中规定，系统应具备记录、允许或拒绝终端PC接入医院网络的能力，应对医院内接入信息系统的终端的设备接口(如光驱、软驱、USB口等)进行管理和控制。通过在医院的合法终端部署天珣终端安全产品既能够防止非法终端私自接入网络，又能够确保合法终端的安全状态都是合乎医院的管理规定的：比如必须安装杀毒软件、注册表状态正常、不能安装P2P应用程序、不能非法使用USB接口等。

　　6、 定期的漏洞和脆弱性评估：在网络中部署天镜脆弱性扫描和风险评估系统，对网络主机、数据库和应用系统定期进行漏洞扫描，对发现的网络、系统安全漏洞进行及时的修补。应定期安装系统的最新补丁程序，并根据厂家提供的可能危害计算机的漏洞进行及时修补，并在安装系统补丁前对现有的重要文件进行备份。

　　在进行了上述的安全部署之后，医院已经建立起比较完善的信息安全防护体系，能够对内部、外部的安全风险进行控制和管理。在此基础之上，还可以考虑部署启明星辰的泰合信息安全运营中心进行全局的风险管理，将不同位置、不同资产(主机、网络设备和安全设备等)中分散且海量的安全信息进行范式化、汇总、过滤和关联分析，形成基于资产/域的统一等级的威胁与风险管理，并依托安全知识库和工作流程驱动对威胁与风险进行响应和处理，提供了网络架构的安全统一视点。

　　在进行了上述的安全部署之后，也有助于医院的信息系统通过等级保护的各级要求。等级保护的关键技术要求同安全措施的对应关系如下表所示：