《XX医院终端安全管理系统方案》由会员分享，可在线阅读，更多相关《XX医院终端安全管理系统方案（14页珍藏版）》请在金锄头文库上搜索。
1、XX医院终端安全管理系统方案成都中软计算机技术工程有限公司二零一二年五月地址：成都市一环路南一段1号邮政编码：电话：（028）传真：（028）文档说明首先非常感谢XX医院给予成都中软计算机技术工程有限公司机会参与此次项目，并希望本文档所提供的内容能在本次项目和今后的建设中发挥应有的作用。特别提示：本文档所涉及到的文字、数据、图表等，仅供成都中软计算机技术工程有限公司机和XX医院内部使用，未经成都中软计算机技术工程有限公司书面许可，请勿泄露第三方！目 录1.项目背景42.现状分析43.项目目标64.方案设计64.1运行环境74.1.1系统配置要求74.1.2系统部署方式84.2主机注册94.3客
2、户机管理94.4资产管理104.5补丁管理104.6接入控制104.7策略管理114.7.1非法外联114.7.2外设控制114.7.3安全检测策略124.7.4账户密码策略124.7.5上网控制策略124.7.6软件安装控制124.7.7软件运行控制134.7.8系统监控134.7.9操作行为审计134.7.10文件分发和消息分发134.8日志管理134.9系统配置131.项目背景信息网络化对全球政治、经济、军事、科技、文化、社会等各个方面都产生了前所未有的影响。信息网络化使信息公开化、信息利用自由化，其结果是信息资源的共享和互动，任何人都可以在网上发布信息和获取信息。信息网络从局部走向全球
3、产生的国际信息网络，更是一个开放的世界，甚至被说成是无管制的世界。在这样的背景下，信息与网络安全问题成为危害信息网络发展的核心问题。 据ISCA统计全球每年仅仅由于信息安全问题导致的损失高达数百亿美元，其中来至于内部的威胁高达60，来自内部的威胁已经成为企业首要的安全问题。目前，比较流行或者说应用比较广泛的一些网络安全系统主要有：防火墙、杀病毒、入侵检测、身份认证、漏洞扫描等等，但这些网络安全系统基本都是专门针对某一类型网络安全威胁的工具，主要定位在防范来自外部网络的安全威胁，并不能够解决大部分内部网络安全问题：防火墙关注的是边界安全，对于内部的各种非法滥用和攻击行为无能为力；杀病毒的定位更为
4、清晰和专业，就是针对病毒等恶意代码的攻击，而不能管理内部网络行为和设备的应用。他们都不是专业的内网安全管理工具，不能解决综合性的、与网络使用者的行为密切相关的、与管理措施密切相关的、尤其关注内部泄密和网络效率的这样一款系统工具。2. 现状分析本着为用户负责的态度，成都中软计算机技术工程有限公司的技术人员对XX医院现有的网络环境做了认真、细致的分析，并和XX医院相关技术专家进行了深入的交流，针对XX医院的信息安全防范与管理现状，得出了以下一些结论：随着XX医院HIS系统的建设和防火墙等安全设备的接入，目前信息安全防范处于一种“外硬内软”的状态，即与Internet联接的边界网络处的安全防范措施做
5、得比较出色，而内部安全则较为薄弱，一旦被找到了突破口，就会呈“决堤”之势，所有内部漏洞都会暴露在攻击者面前。或者从另一个角度来说，面对来自熟悉该网络结构的内部人员或准内部人员的攻击，整个系统将显得非常脆弱。目前XX医院待解决的问题主要表现为：1) 内部人员或设备的主动或者被动泄密 泄密问题一直是内部网络的一个头疼问题，尤其是对于医院生存和发展的核心秘密，如医疗行业和医治方案信息、管理数据及病案信息等，都不可避免的需要在内部计算机和网络中产生、传输、存储、修改和应用，涉及到的人员、设备也比较多，因此泄密的危险性也比较大。泄密的途径主要有两个；一是人员，二是机器设备。从主观上来看，一种是无心的过失
6、泄密，另一种则是蓄意的主动泄密行为。无论是什么形式的泄密行为，都将会给医院带来不可忍受的损失和利益。因此，我们需要对内部人员的计算机和网络操作行为进行规范，对网络内部的各种设备进行统一管理、授权。2) 内部人员主动或被动的制造传播病毒等恶意代码 在医院内部，总会有一些对网络技术非常感兴趣的人员，这些人也许是有着某种目的，或者纯粹为了好奇，而制造、传播一些有病毒、后门等特征的恶意代码，这些代码如果不进行及时的处理，有可能会引起网络的混乱，导致部分甚至全部的网络资源不能使用，从而影响医院的管理和运作。还有些人员或设备，在没有防备的情况下，中了内部或者外部“恶性病毒”的“招”，成为病毒攻击内部网络的
7、“桥”，从主观上来讲，这些设备和人员是被动的，他们不知道已经被利用，然而他们的这些无意识行为也给网络运行造成了不良影响。3) 非授权使用或者授权滥用 XX医院制定的管理制度来规范网络资源的使用，详细规定了某人或某机器在什么时间、什么地点做什么类型的事情。也就是说，区分了授权和非授权操作。但事实上实际情况往往不是这么简单。例如某员工无权访问单位的业务数据库，他通过攻击、欺骗等手段，获得了访问数据库的机会；有权上网的员工，没有利用互联网去开展业务，而是在下载电影、玩游戏等等，非工作需要拷贝、修改医院的关键数据等等。大部分医院都想通过相应的制度来控制这些情况，然而实际效果却并不理想。非授权使用或授权
8、滥用依旧是我们最头疼的。4) 内部人员或者设备的主动或者被动攻击 从网络诞生的那一天开始，黑客就存在，发展到今天已经到了无孔不入的地步，而且还在进一步蔓延，许多黑客攻击行为已经不需要太多的网络攻击知识，只需简单的攻击程序和设置就可以实现。在医院内部人员和设备中，也不乏这样的角色，他们本身不具有很高超的攻击水平，而只是应用现成的攻击程序来实现“黑客”目的，主动或者干脆被一些真正的黑客利用被动的去攻击内部网络的一些目标。5) 因安全管理不善，引发的IT资源不可用或者资源损失 这里的管理不善，主要是指没有一套科学的内部网络资源使用管理制度，或者制度执行不力。比如，我们规定在某一台工作计算机上，不能安
9、装运行某些软件，可是还是有人安装了；对内部网络的IP/MAC地址，做了统一的部署，可是还是有人任意的修改；任意的将非本网络的设备接入内部网络；任意添加或删除各种硬件设备、修改网络属性等等，这些行为都应该得到彻底的规范。6) 客户机自身存在安全缺陷，导致网络内部安全隐患 网络当中的客户机很多，终端的存在安全隐患容易导致网络安全事件。如客户机存在安全漏洞，可能会引发蠕虫病毒等威胁。如果配置不完善，则容易导致信息泄露甚至黑客攻击事件的发生。因此，维护每台客户机自身的系统安全性，也是应该予以考虑的。3. 项目目标 本方案根据XX医院存在的安全问题，通过终端安全管理，实现桌面终端安全管理在全院层面的实施
10、，在全院范围内部署终端安全管理平台，实现对全院桌面终端安全的集中监控及管理；包括桌面软硬件资产管理；远程维护；网络接入控制；外部设备管理；软件安装情况；硬件配置；桌面安全及审计；桌面管理及运维；补丁分发管理；外设与接口管理；安全准入管理；非法外联监控；防病毒等的监控管理。达到提高员工的安全观念，提高系统管理人员的工作效率，增强终端主机的安全性，从而对关键信息资产进行保护，保证医院HIS系统的稳定运行。4.方案设计LCMS桌面与网络安全管理系统是一套主要针对内网主机进行管理、监控和审计的内网安全管理系统。LCMS桌面管理系统由三个不同的模块组成：代理模块（Agent）、服务器模块（Server）
11、、WEB管理与控制平台模块。代理模块安装在每一台需要被监视的计算机上。服务器模块用来存储和管理所有安装有代理模块的计算机，用于管理监视所产生的资料。WEB控制管理中心是管理员进行策略配置、系统配置、下发命令、监控工作站点，即可以单独使用一台PC，也可以和其他系统共用。应用服务器桌面管理Server是系统的核心，在后台常驻运行，负责执行管理员提交的策略配置、系统配置、指令等，完成和数据库的交互，将管理员的指令下达到被管终端的桌面管理Agent。4.1 运行环境4.1.1 系统配置要求 服务器端：l 操作系统：Windows 2000 Server(Service Pack 4)、Windows
12、xp Professional、Windows 2003 SP2l 推荐配置： Intel Pentium4 1.7G及以上/1GB内存以上/10G硬盘空间及以上/分辨率1024768以上，表示色256色以上/网卡/光驱（安装使用）l 端口资源：LCMS服务器软件运行需要使用以下几个端口：n TCP 80：管理Web服务器端口，操作员在管理控制台（浏览器）通过与此端口通讯来对系统进行管理操作；客户端代理插件通过此端口来获取派发的文件。n TCP 66046605：管理服务器使用端口，为系统内部通讯使用。n TCP 6606：内置数据库系统使用端口。n TCP 6610：应用服务器端口，此端口对
13、LCMS客户机代理软件开放，代理软件通过此端口与服务器进行通讯。注意：如果服务器安装防火墙，需手动放开TCP80、TCP6610端口，具体方法可在防火墙例外处放开此端口。客户端：l 操作系统：Windows 2000/ Windows XP/Windows 2003/Vista/Windows 7Windows XP Embedded（XPE）l 推荐配置：Pentium 300 MHz及以上/64MB内存以上/512M硬盘空间及以上/分辨率800600以上，表示色256色以上/网卡/光驱（安装使用）l 端口资源：LCMS代理软件运行需要使用以下两个端口：n 6611：此端口对LCMS 服务器
14、开放，LCMS服务器通过此端口来对代理进行管理。l 网络要求：LCM S代理软件要求将要安装代理软件的主机的网络必须能与LCMS服务器连通，这样服务器才能对代理主机进行管理。控制台：l 操作系统：WindowsXP/Windows2000Server/Windows 2003Server/ Windows XP Embedded（XPE）l 浏览器：建议使用Microsoft Internet Explorer 6.0及以上版本，分辨率1024*768 4.1.2 系统部署方式根据用户使用环境的不同，LCMS系统主要有基本部署方式及分级部署方式两种，基本部署方式适合被监管的主机较少，网络结构单
15、一的情况。分级部署方式适合组织结构庞大，网络分布较广，或者具有分支机构的情况。在基本部署方式下，需要部署一套LCMS服务器，并根据需要部署相应的客户端代理，所有的客户端代理均由唯一的LCMS服务器进行管理。在分级部署方式下需要安装一套以上的LCMS服务器软件，此时，LCMS服务器分为上级服务器及下级服务器。在部署时需要现部署上级服务器，再部署下级服务器。上级服务器和下级服务器可以分别注册对应的被管理客户端。下级服务器可以再部署更下一级的服务器，服务器部署的层次没有限制。一种最典型的分级部署方式是分为两级部署。上级服务器与下级服务器之间的关系如下：（1） 各下级服务器只能管理相应的终端计算机，下级终端计算机在下级服务器中注册，注册信息通过下级服务器自动上传到上级服务器中；（2） 下级服务器定期上报下级终端产生的各种日志及事件到上级服务器中，具体需要上传的信息可通过上级服务器的配置完成；（3） 下级服务器的安全策略继承上级服务器下发的安全策略；（4） 上级服务器可以对下级的终端计算机进行安全策略的制定，但不允许在线控制下级
