《(医疗行业管理)LanSecS内网安全管理系统解决方案医疗行业)》由会员分享，可在线阅读，更多相关《(医疗行业管理)LanSecS内网安全管理系统解决方案医疗行业)（53页珍藏版）》请在金锄头文库上搜索。
1、 教育行业解决方案医疗行业内网安全管理系统解决方案保密事宜本文档包含北京圣博润高新技术有限公司的专有商业信息和保密信息。接受方同意维护本文档所提供信息的保密性，承诺不对其进行复制，或向评估小组以外、非直接相关的人员公开此信息。对于以下三种信息，接受方不向圣博润承担保密责任：1、 接受方在接收该文档前，已经掌握的信息。2、 可以通过与接受方无关的其他渠道公开获得的信息。3、 可以从第三方无附加保密方式获得的信息。适用范围此文档是圣博润为医疗行业XXX医院提供的LanSecS内网安全管理系统解决方案。文档信息文档名称 内网安全管理系统解决方案保密级别商密文档版本号V1.0制作人制作日期审批人审批日
2、期扩散范围XXX医院、北京圣博润高新技术有限公司目 录1.计算机终端安全管理需求分析11.1.网络管理21.1.1.物理网络拓扑图21.1.2.流量控制21.1.3.IP地址管理31.1.4.故障定位31.2.终端安全防护31.2.1.补丁安装防护31.2.2.防病毒防护41.2.3.进程防护41.2.4.网页过滤41.2.5.非法外联防护51.3.终端涉密信息防护51.3.1.终端登录安全认证61.3.2.I/O接口管理61.3.3.桌面文件安全管理71.3.4.文件安全共享管理71.3.5.网络外联控制71.4.移动存储介质的管理81.5.网络接入控制91.6.计算机终端管理与维护91.7
3、.分级分权管理102.计算机终端安全防护解决方案112.1.方案目标112.2.遵循标准112.3.方案内容132.3.1.网络管理132.3.1.1.物理网络拓扑图132.3.1.2.流量控制142.3.1.3.IP地址绑定142.3.1.4.故障定位142.3.2.终端安全控制142.3.2.1.补丁管理152.3.2.2.防病毒控制152.3.2.3.进程监控152.3.2.4.网页过滤控制152.3.2.5.非法外联控制162.3.3.终端安全审计162.3.4.移动存储介质管理172.3.4.1.注册授权192.3.4.2.访问控制192.3.4.3.数据保护192.3.4.4.自我
4、保护202.3.4.5.操作记录202.3.5.计算机终端接入控制212.3.5.1.非法主机的定义212.3.5.2.非法接入控制策略212.3.5.3.非法接入阻断技术实现原理222.3.6.计算机终端管理与维护232.3.6.1.主机信息收集232.3.6.2.网络参数配置242.3.6.3.远程协助242.3.6.4.预警平台243.系统设计253.1.产品设计思路253.2.产品的设计原则253.3.产品标准符合性设计263.3.1.BMB17-2006符合性263.3.2.ISO 27001符合性273.4.LanSecS系统简介293.5.LanSecS系统架构设计313.6.L
5、anSecS系统功能设计333.6.1.安全审计333.6.2.安全加固343.6.3.安全服务343.6.4.安全网管343.6.5.资产管理353.7.LanSecS系统安全性设计363.7.1.控制中心安全性363.7.2.主机代理安全性373.7.3.数据库安全性373.7.4.策略分发与存储安全性383.7.5.主机代理与控制中心通讯安全性384.系统特色与系统部署404.1.LanSecS系统特色404.2.LanSecS典型部署424.2.1.简单内网环境424.2.2.本地多内网环境434.2.3.分级部署环境445.技术服务445.1.售后技术服务445.2.系统二次开发扩展
6、支持456.产品配置要求46 版权所有 圣博润 第XXXI页1. 计算机终端安全管理需求分析随着科技的发展，计算机和网络作为现代医院重要的工具，在日常办公过程中发挥着越来越重要的角色。计算机和计算机网络已经成为医疗机构、医院和其它各种远程就诊等领域的重要信息载体和传输渠道。很明显，计算机、计算机网络和其所带来的信息数字化大幅度提供了工作效率，也使得海量的信息存储和处理成为了现实。但是，在享受到计算机以及计算机网络所带来的方便性的同时，也出现了目前受到广泛关注的对内网设备如何进行有效管理的问题，以及由此带来的网络信息安全问题。目前随着医疗行业单位规模不断增大，IT硬件成本降低、更新换代速度比较快
7、，单位为了提高工作效率，不断的增加新的设备；因此机器数量和网络规模也随之增多、增大。员工办公感觉是越来越方便了，但是给网络管理员带来的内网管理问题却越来越重了。首先是网络的管理，IP混乱、网络拥塞、出现故障无法及时定位进行解决；其次是资产的管理，越来越多的设备使资产管理处于混乱，管理员疲于资产的统计。在内网信息安全管理方面，尤其是设备自身的健壮性，如何保证设备硬件所承载的系统能够正常运行；另一方面对于单位内部的设计部门，由于数字信息本身具有易于复制的特性，利用这个特性，信息更易于受到难以控制和追溯的盗取威胁，网络使信息更容易受到破坏、更改和盗取。很明显，能否最大限度确保医院内部数字信息的安全性
8、已经关系到了计算机和计算机网络能否真正成为有实质意义大规模应用的关键因素。如何提高安全性保证机器的正常办公、如何将非法入侵者拒之门外、如何防止内部信息外泄，如何更好的保证网络快速高效运行，这些都是医疗行业目前在进行网络化过程中必须解决的问题。目前各行业内部网络所采取的安全措施基本上是采用防火墙、入侵检测等安全产品放置于内部网络和外网连接处保证网络层的安全，并采用操作系统或应用系统所带的身份验证机制，或通过安装物理隔离卡将内部局域网划分成内网与外网两个组成部分。内部网络上大多数的应用对医疗行业单位是至关重要的，甚至是严格保密的。一旦出现病毒传播、破坏的事件，将产生严重后果。这些都使得内网安全问题
9、变得越来越重要和突出。而内网安全存在许多问题，为了防范各种各样的安全风险，必须在内网建立可靠的网络管理、安全监控和审计控制，以保证内部系统的顺利运行。为了确保医疗行业单位内部的IT系统的平稳运行，一个健壮的内网安全管理体系是十分重要的。作为医疗行业的计算机终端安全管理方案而言，需要解决如下问题：1.1. 网络管理在医疗行业的网络环境中，由于单位规模、单位办公的需要，存在很多的工作区域，甚至在外地也有自己的分院、社区医院或者远程诊断系统，为了便于医院内部的信息共享，一般采用专线或其他网络互联技术，使之与内部网络连接，便于单位内部的数据管理和办公管理。但是大规模的网络环境、复杂的分支机构，给网络管
10、理带来了极大的困难，设备的分布不明确；流量管理没有依据；对于静态IP地址环境地址混乱、冲突也是很棘手的问题。针对网络管理方面主要包括一下几个方面：1.1.1. 物理网络拓扑图 单位的内部网络是由网络设备共同作用，协同工作建立起来的，主要设备有：路由器、交换机、HUB，而在局域网中对数据交互起核心作用的是交换机。目前的网管软件可以对逻辑拓扑图进行绘制，对交换机的面板信息进行提取和控制，但是无法看到终端设备和交换机端口的物理连接关系，无法从拓扑图上看到下连设备的信息。如何建立起交换机端口和设备的连接关系是至关重要的，因为端口的流量信息其实就是设备的流量信息；想要掌控设备，只要对交换机端口进行控制就
11、可以了。因此物理拓扑图显示设备与端口的物理连接关系会给管理带来极大的方便。1.1.2. 流量控制 借助物理网络拓扑图上设备的物理连接关系，通过可网管交换机端口的流量控制，能够对交换机下连的设备进行端口控制，关闭端口或是打开端口。但是内部网络环境中不可能所有的交换机全部都是可网管的，而且管理员不可能天天进行端口的打开、闭合操作，除非是出现异常的网络攻击和拥塞时，才会采取如此非常手段。因此对于日常的控制来说，最有效的方法是通过控制每个终端设备的网卡流量，如果能将设备的流量控制在一定的范围内，既保证了设备的正常工作使用，又可以防范在非法使用P2P下载软件抢占带宽和病毒爆发时给网络速度带来的拥塞，这对
12、于管理来说才是实用的管理手段。1.1.3. IP地址管理为了便于管理，出现问题能够及时追查，网络建设时管理员通常使用静态IP地址，这对于管理来说确实是一个有效可行的措施。但是由于员工的计算机操作水平不同，很可能造成随意修改IP地址带来的内网地址冲突，这给内网管理带来很繁琐的问题。虽然通过在核心或二层交换机上，可以通过命令来绑定IP/MAC地址从而消除上述问题，但是工作量庞大，因此彻底屏蔽IP地址冲突的问题是网络管理必须要做的。1.1.4. 故障定位很多医疗行业内部网络庞大，分支繁多，一旦终端机器或网络链路出现问题，很难迅速定义问题点，如果从链路着手解决问题，除非管理员此前做了详尽的网络链路备份
13、信息表（每次增加机器都需要逐台进行记录），否则从众多网络排线中找出问题链路将是一件十分费时、费力的事情。1.2. 终端安全防护单位内网进行办公所运行的各种服务都是应用在终端设备的基础上，一旦终端设备的安全性出现问题，那么所有其承载的服务将无法运行，严重影响单位的工作效率，给单位的生产造成损失。因此必须保证机器的健壮性，为了保证机器的正常运行包括以下几个方面：1.2.1. 补丁安装防护目前在医疗行业的单位中，承载各种应用的操作系统90%以上的端终用户使用的都是windows2000,XP或以上的操作系统，但是这几种操作系统的安全漏洞非常多，很容易收到攻击。微软公司会通过定期发布安全补丁的方式来弥
14、补这些漏洞，但由于某些员工用户缺乏相关知识，或者处于研发部门的设计网是和单位局域网物理隔离的网络，从而导致补丁安装的不完全，不及时，这就会严重影响终端计算机的安全，一旦发生针对微软操作系统漏洞的攻击，就会导致整个网络受到威胁。1.2.2. 防病毒防护员工由于防范病毒意识较淡薄，没有安装防病毒软件；或者由于个人对防病毒品牌的倾向性，从而发生没有安装防病毒软件，甚至意外卸载，或防病毒软件没有运行，这样不仅使单台PC机受到病毒侵害，而且一旦感染病毒，可能回向内网的其他机器传播，导致整个内网病毒泛滥，甚至网络拥塞。因此一定要保证防病毒软件的安装、正常运行、及时升级。1.2.3. 进程防护由于当前大量病毒以及恶意程序的存在，而这些程序对于普通用户而言并不知情，甚至有些恶意程序通过技术手段使得用户无法通过任务管理器看到其工作进程；另一方面，有些用户可能有意或无意地运行一些可能会影响他人或自己工作的软件(如网络嗅探器)。单位的机器目的是提高员工的生产效率，充分利用上班时间为单位创造更多效益，但是某些娱乐性软件严重影响了员工的工作效率，某些下载软件造成网络速度减慢，影响了内网
