智恒联盟医疗行业SAS运维安全解决专项方案.doc

医疗行业运维安全处理方案一、 概述伴随医疗行业业务和需求快速发展，各大医院在原有 HIS 应用基础上逐步增加了 PACS 系统、远程医疗系统等新业务和应用，在辅助医院提升工作效率和服务病人同时无疑这些新应用对网络性能、可靠性、安全性、运维能力等提出了更高要求，首先在进行网络性能升级同时也面临着应用提升对网络运维压力，其次各大医院全部期望能更含有竞争力并提升效率，这就必需对信息做出立即有力响应，这么才能深入提升效率进而推进未来增加。 伴随网络应用深入和医院业务对网络依靠性增加，网络安全成为影响网络深入应用一个重大障碍。各医院在重视网络安全建设同时首先引入了大量新技术、新产品，无可置疑这些新技术、新设备在保障医院网络安全可靠运行同时也对我们传统网络系统管理和运维方法提出了新挑战。 1 、医院 IT 管理技术手段多停留在设备层面管理，缺乏复杂系统多样化管理能力； 2 、医院现有网络管理维护方法不适应复杂业务应用开展，技术原因不能处理全部安全问题，需要对传统运维方法变更； 3 、复杂网络故障快速定位、立即处理迫切需求； 4 、缺乏一个含有对医院整体应用系统全方面维护能力服务机构，因为客观存在原因软件企业不负责系统维护，系统集成企业不负责软件应用维护现实状况将长久存在，是变更还是守旧？其次系统运维是个系统工程，要考虑很多原因，只偏重技术手段而忽略管理手段和方法完善是不足，正是在这种背景下我们推出了医院信息系统运维服务中心理论，经过它改变医院传统系统维护服务方法，重视风险管理时效性标准同时，强调服务能力建设。 正如中国著名计算机教授沈昌祥院士指出：信息安全保障能力是二十一世纪综合国力、经济竞争实力和生存能力关键组成部份，是世纪之交世界各国在奋力攀登制高点。智恒联盟作为中国专业信息安全厂商，长久以来一直专注于中国医疗、金融、政府及其它企机关信息安建设，智恒安全团体依据各行业安全现实状况提出了很多安全理念及全方面有效网络信息安全处理方案。经过多年对医疗行业建设研究，智恒专门针对医疗行业提出了一套在目前安全形势下行之有效全方面安全处理方案。能够有效保障医疗系统及关键数据安全。二、 医疗行业业务系统现实状况及需求分析2.1 医疗行业业务系统现实状况伴随网络快速发展，医疗机构业务系统日益复杂化，面对庞大医疗系统，提升系统运维效率成为现在一大难题。伴随应用不停增加，运维系统安全风险也会不停暴露出来。因为设备和服务器众多，系统管理员压力太大等原因，越权访问、误操作、滥用、恶意破坏等情况时有发生，这严重影响业务运行效能，并对医院声誉造成重大影响。另外黑客恶意访问也有可能获取系统权限，闯进部门或医院内部网络，造成不可估量损失。医疗机构支撑系统中有大量网络设备、主机系统和应用系统，分别属于不一样部门和不一样业务系统。各应用系统全部有一套独立帐号体系，用户为了方便登陆，常常出现多人共用帐号情况。多人同时使用一个系统帐号在带来方便性同时，造成用户身份唯一性无法确定。假如其中任何一个人离职或将帐号告诉其它无关人员，会使这个帐号安全无法确保。因为共享帐号是多人共同使用，发生问题后，无法正确定位恶意操作或误操作责任人。更改密码需要通知到每一个需要使用此帐号人员，带来了密码管理复杂化。 怎样提升系统运维管理水平，跟踪服务器上用户操作行为，预防黑客入侵和破坏，提供控制和审计依据，降低运维成本，满足相关标准要求，越来越成为企机关关心问题。2.2 医疗行业运维安全风险分析2.2.1 传统运维模式中人员和账号管理带来安全隐患医院支撑系统中有大量网络设备、主机系统和应用系统，分别属于不一样部门和不一样业务系统。各应用系统全部有一套独立帐号体系，用户为了方便登陆，常常出现多人共用帐号情况。 多人同时使用一个系统帐号在带来方便性同时，造成用户身份唯一性无法确定。假如其中任何一个人离职或将帐号告诉其它无关人员，会使这个帐号安全无法确保。 因为共享帐号是多人共同使用，发生问题后，无法正确定位恶意操作或误操作责任人。更改密码需要通知到每一个需要使用此帐号人员，带来了密码管理复杂化。 以下图1.1所表示，账号共享或一人使用多个账号会造成整个运维管理过程复杂混乱。因为整个运维过程不定原因太多，使得整个运维过程不可控。不仅仅给运维人员带来了巨大麻烦，而且让管理人员也无法正确定位责任人，假如企业长久在这种传统运维模式下运维，将会给企业带来巨大损失，甚至还无法追究责任，所以我们要建立新运维模式和运维理念。，2.2.2 授权不清楚引发问题再优异管理者也不可能做完全部事情，所以，一个优异管理者必需学会授权，而且要避免因授权不妥而带来管理混乱。领导者怎样进行授权，是医院管理一个深刻命题。做过管理人全部应该知道，授权在医院管理中是很关键。不过，很多医院管理者在授权时，要么顾虑重重，对谁也不放心；要么授权不妥，缺乏监督制度，造成医院管理混乱。 这在IT运维中也存在着类似问题，所以让每个运维人员在自己责任范围内正确安全使用自己每一个权限十分关键。而往往在传统运维模式中，授权是不清楚，比如:运维人员登录某台服务器或某个关键交换机等关键性设备时候，她将拥有很大或是超越自己权限范围权限，同时她也能够做部分越权操作，比如是重启或是其它敏感操作。可能她操作是恶意或是无意，不过全部将引发不可估量或无法挽回后果。面对以上传统运维模式中授权不清楚引发问题，我们要足够重视，在一个理想运维模式中，我们需要对运维人员权限或是访问权限进行正确定位。2.2.3 运维人员操作过程审计各系统独立运行、维护和管理，所以各系统审计也是相互独立。每个网络设备，每个主机系统分别进行审计，安全事故发生后需要排查各系统日志，不过往往日志找到了，也不能最终定位到行为人。另外各系统日志统计能力各不相同，比如对于 Unix 系统来说，日志统计就存在以下问题：Unix系统中，用户在服务器上操作有一个历史命令统计文件，不过root用户不仅仅能够修改自己历史统计，还能够修改她人历史统计，系统本身历史统计文件已经变不可信； 无法统计操作人员、操作时间、操作结果等。 2.2.4 缺乏身份认证及识别机制很多医疗卫生组织为了保护关键系统安全，实施了双人分段管理密码、操作系统和数据库管理人员权限分离、严禁混岗等策略，但实际工作中难免有工作或账户使用交叉情况出现，存在着无法对自然人身份强制识别和认证风险。2.2.5 传统网络安全审计系统无法满足运维审计和管理要求传统运维审计系统缺点：无法审计运维加密协议、远程桌面内容；为了加强信息系统风险内控管理，部分医院已布署网络安全审计系统，期望达成对运维人员操作行为监控目标。因为传统网络安全审计技术实现方法和系统架构（关键经过旁路镜像或分光方法，分析网络数据包进行审计）,造成该系统只能对部分非加密运维操作协议进行审计,如telnet；却无法对维护人员常常使用SSH、RDP等加密协议、远程桌面等进行内容审计， 无法有效处理对运维人员操作行为监管问题；基于IP审计，难以正确定位责任人；大多数网络安全审计系统，只能审计到IP地址，难以将IP和具体人员身份正确关联，造成发生安全事故后，怎样追查责任人，反而又成为新难题。2.2.6 国家针对相关组织运维模式制订了相关法规和标准公安部-信息系统等级保护 GB/T 22239- 信息安全技术 信息系统安全等级保护基础要求及信息系统等级保护安全设计技术要求财政部-企业内部控制基础规范，该规范关键点是怎样把IT内控和企业内控管理统一起来，信息安全审计则成为企业IT内控、安全风险管理不可或缺技术手段。 银监会商业银行内部控制指导、商业银行操作风险管理指导（该指导明确要求商业银行应根据指导要求，建立操作风险管理体系，有效地识别、评定、监测和控制/缓释操作风险”。)上交所上海证券交易所上市企业内部控制指导巴塞尔新资本协议 深交所信息安全评定准则 中国电信CTG-MBOSS安全规范中国移动集团内控手册中国电信内控手册 美国上市企业须遵照萨班斯（Sarbance Oxley）法案 2.3 医疗行业运维安全需求分析外网安全只是安全一个层面，要保障整个医疗信息系统安全，光有外网安全是不够，依据资料统计，在对单位造成严重损害案例中，有 70是组织里内部人员所为。医疗行业网络环境全部比较复杂，网络设备、安全设备、服务器和各类应用众多，同时，管理维护这些设备和应用人员也很多，而且关系复杂，有单位内部人员，外部人员，第三方运维人员，临时介入应用管理员等。要方便有效统一管理这些设备和用户，就需要有一个强大运维审计平台，智恒SAS运维安全审计系统就能有效处理运维安全管理问题。三、 医疗行业信息系统运维安全处理方案33.1 方案设计标准3.1.1 优异性和成熟性采取代表目前计算机发展趋势优异技术和成熟产品，确保该信息系统在2年内不落后，确保平台在技术上领先、成熟、稳定和可靠。3.1.2 可靠性标准整个网络系统必需含有高度稳定性和可靠性，提供充足可靠性服务。网络系统运行稳定、故障率低、容错性强，实现7*二十四小时正常工作。3.1.3 最小影响标准在方案设计及实施时，遵照对信息系统影响最小标准，尽可能地采取对网络、系统、应用影响最小技术手段，对现有系统不产生干扰，保护现有系统。3.1.4 安全性标准在计划设计和维护管理过程中要充足考虑网络建设和信息安全相结合标准，从技术、管理等方面制订严格方案，形成多层次、全方位安全保密防线，确保系统安全性。3.2 产品概述智恒SAS运维安全审计系统(以下简称“SAS”)是新一代运维审计系统，它采取软硬件一体化设计，经过B/S方法(https)进行管理，其关键功效为：能够将网络中设备和数据库等实施统一认证；含有和身份认证系统无缝结合接口；实现对操作网络中设备和数据库等过程全程监控和审计，支持账户开通申请和审批步骤管理，和对违规操作行为实时阻断。该产品采取优异设计理念，支持对多个远程维护方法支持，如字符终端方法(SSH、Telnet)、图形方法（RDP）、文件传输（FTP、SFTP）和多个主流数据库访问操作, 完整审计汇报，可针对多种不一样日志信息生成不一样审计汇报，还可对关联日志信息生成关联审计汇报，综合有效利用日志信息为网管提供IT网络整体运行现实状况。完全可满足电信、医疗、金融、政府、电力等行业用户审计要求。3.3 布署示意图运维安全审计系统系统支持多个布署方法，能够充足满足不一样网络对审计系统需求。运维安全审计系统布署支持Active-Active双机模式，避免产生单点故障而影响正常维护通道。SAS布署应和网络访问控制列表、医院管理制度相结合，方便取得愈加好审计效果。3.4 产品关键功效3.4.1 单点登录SAS提供了基于 B/S 单点登录系统，用户经过一次登录系统后，就能够无需认证访问被授权多个基于 B/S 和 C/S 应用系统。单点登录为含有多帐号用户提供了方便快捷访问途经，使用户无需记忆多个登录用户 ID和口令。它经过向用户和用户提供对其个性化资源快捷访问提升工作效率。同时，因为系统本身是采取强认证系统，从而提升了用户认证步骤安全性。单点登录能够实现和用户授权管理无缝链接，能够经过对用户、角色、行为和资源授权，增加对资源保护和对用户行为监控及审计。3.4.2 集中账号管理集中帐号管理包含对全部服务器、网络设备帐号集中管理。帐号和资源集中管理是集中授权、认证和审计基础。集中帐号管理能够完成对帐号整个生命周期监控和管理，而且还降低了管理大量用户帐号难度和工作量。同时，经过统一管理还能够发觉帐号中存在安全隐患，而且制订统一、标准用户帐号安全策略。 经过建立集中帐号管理，医院能够实现将帐号和具体自然人相关联。经过这种关联，能够实现多级用户管理和细粒度用户授权。而且，还能够实现针对自然人行为审计，以满足审计需要。3.4.3 身份认证SAS为用户提供统一认证接口。采取统一认证接口不仅便于对用户认证管理，而且能够采取愈加安全认证模式，提升认证安全性和可靠性。 集中身份认证提供静态密码、Windows NT域、Windows Kerberos、双原因、一次性口令和生物特征等多个认证方法，而且系统含有灵活定制接口，能够方便和第三方认证服务器对接。3.4.4 资质授权SAS提供统一界面，对用户、角色及行为和资源进行授权，以达成对权限细粒度控制，最大程度保护用户资源安全。经过集中访问授权和访问控制能够对用户经过B/S、C/S对服务器主机、网络设备访问进行审计和阻断。 在集中访问授权里强调“集中”是逻辑上集中，而不是物理上集中。即在各网络设备、服务器主机系统中可能拥有各自权限管理功效，管理员也由各自归口管理部门委派，不过这些管理员在SAS上，能够对各自管理对象进行授权，而不需要进入每一个被管理对象才能授权。授权对象包含用户、用户角色、资源和用户行为。系统不仅能够授权用户能够经过什么角色访问资源这么基于应用边界粗粒度授权，对一些应用还能够限制用户操作，和在什么时间进行操作等细粒度授权。3.4.5 访问控制SAS能够提供细粒度访问控制，最大程度保护用户资源安全。细粒度命令策略是命令集合，能够是一组可实施命令，也能够是一组非可实施命令，该命令集适用来分配给具体用户，来限制其系统行为，管理员会依据其本身角色为其指定对应控制策略来限定用户。 访问控制策略是保护系统安全性关键步骤，制订良好访问策略能够愈加好提升系统安全性。3.4.6 操作审计操作审计管理关键审计操作人员帐号使用（登录、资源访问）情况、资源使用情况等。在各服务器主机、网络设备访问日志统计全部采取统一帐号、资源进行标识后，操作审计能愈加好地对帐号完整使用过程进行追踪。 系统支持对以下协议进行审计： Telnet、 FTP、 SSH、 RDP （Windows Terminal）、Xwindows、VNC等。内控堡垒主机系统经过系统本身用户认证系统、用户授权系统，和访问控制等具体统计整个会话过程中用户全部行为日志。还能够将产生日志传送给第三方。对于生成日志支持丰富查询和操作：l 支持按服务器方法进行查询 经过对特定服务器地址进行查询，能够发觉该服务器上发生命令和行为。 l 支持按用户名方法进行查询 经过对用户名进行查询，能够发觉该用户全部行为。 l 支持按登录地址方法进行查询 经过对特定 IP 地址进行查询，能够发觉该地址对应主机及其用户在服务器上进行全部操作。 l 支持根据登录时间进行查询 经过对登录时间进行查询，能够发觉特定时间内登录服务器用户及其进行过全部操作。 l 支持对命令发生时间进行查询 能够经过对命令发生时间进行查询，能够查询到特定时间段服务器上发过全部行为。 l 支持对命令名称进行查询 经过查询特定命令如 ls，能够查询到使用过该命令全部用户及其使用时间等。 l 支持上述六个查询条件任意组合查询 如，能够查询“谁（用户名） ” “什么时间登录（登录时间） ”服务器并在“什么时间（命令发生时间）”在“服务器（目标服务器）”上实施过“什么操作（命令）”。 l 支持对日志备份操作处理 l 支持对日志删除处理3