医院终端整体安全解决方案

**省**医院终端安全整体解决方案

赛门铁克软件（北京）有限公司

2014-02-25

保密声明与用途

本文档包含“保密信息”（如下定义）。本文档旨在提供赛门铁克提交本文之时可提供的产品和（或）服务的概要信息。本文档专向**省**医院（以下简称“您”或“您的”）提供，因为赛门铁克认为“您”有意向与赛门铁克公司（以下简称“赛门铁克”）达成交易。此“保密信息”的唯一用途是帮助“您”决定是否就本文档中所述产品或服务与赛门铁克签订合同协议。赛门铁克努力确保本文档中包含的信息正确无误，对于此类信息中的任何错误或疏漏，赛门铁克不承担任何责任，并在此就任何准确性或其他方面的暗示保证明确提出免责。“您”接受本文档并不代表“您”与赛门铁克之间达成约束性协议，仅表明“您”有义务保护此处标识的任何“保密信息”。赛门铁克有权就任意及所有客户协议的条款与条件进行协商。

“您”与赛门铁克之间没有书面保密协议，但“您”阅读赛门铁克建议书即表明，在因本文档而交换和接收的赛门铁克保密信息和专有信息的范围内，包括但不限于报价、方法、知识、数据、工作文件、技术和其他商业信息，无论书面还是口头形式（以下简称“保密信息”），“您”同意依照“您”在申请函中所述用途仅在内部阅读本“保密信息”。“您”同意不泄露、销售、许可、分发或以任何其他方式向他人提供“保密信息”，除非因需知晓该信息而必须提供，但必须遵守此类“保密信息”使用的管理条款与条件，而且该条款与条件的限制性必须至少相当于“您”用于保护自有同类信息所用的条款与条件，且在任何情况下绝不低于合理的商业保护。

本文档及已提供的任何其他赛门铁克相关信息仍归赛门铁克独自所有，未经赛门铁克事先书面许可，不得拷贝、复制或分发。赛门铁克提供本文档，但并不负责为“您”提供任何产品或任何服务。本文档阐述赛门铁克就本文所述主题而言的一般意图，赛门铁克的任何行为均取决于双方签订的正式书面协议。

除非“您”已经获得赛门铁克的事先书面许可，否则赛门铁克谨请“您”不要联系本文档中可能提及的任何赛门铁克客户。

一经请求即可提供此处所述产品使用和（或）服务交付所适用的赛门铁克条款与条件的副本以供查阅和审议。条款与条件可在签订合同时进行协商。

? 2011 Symantec Corporation. ? 2011年 Symantec Corporation 版权所有。All Rights Reserved. 保留所有权利。

版本变更记录

1.0 2012-07-15 Eric Wang

目录

第1章概述 (1)

1.1背景 (1)

1.2挑战 (1)

第2章**医院信息安全建设思路 (5)

2.1规划目标 (5)

2.2规划依据 (5)

2.3规划框架 (7)

第3章**医院信息安全整体建设方案 (9)

3.1综述 (9)

3.1.1方案效果 (10)

3.2终端安全综合防护系统-实现“零病毒”“零威胁” (12)

3.2.1设计思路 (12)

3.2.2技术实现 (15)

3.2.3部署方案 (27)

3.3终端标准化运维管理系统-实现”零管理“ (28)

3.3.1设计思路 (28)

3.3.2技术实现 (30)

3.3.3部署方案 (42)

3.4终端行为审计监控系统-监测”不当操作行为“ (43)

3.4.1设计思路 (43)

3.4.2技术实现 (44)

3.4.3部署方案 (55)

3.5终端业务内容监控系统-监控”不当内容复制“ (56)

3.5.1设计思路 (56)

3.5.2技术实现 (59)

3.5.3部署方案 (62)

3.6终端准入控制系统-强制隔离”非法终端“ (63)

3.6.1设计思路 (63)

3.6.2技术实现 (64)

3.6.3部署方案 (72)

第4章系统及硬件配置 (73)

4.1硬件配置 (73)

4.2第三方软件配置 (74)

4.3软件配置 (74)

第1章概述

1.1 背景

**省****医院的信息化经过十几年的发展，对业务的支撑作用已经表现得非常明显，医院业务的开展已经离不开信息系统的正常运转。随着**省**医院信息化的深化，**医院的业务流程已经高度自动化、高效率，从而为病人提供更好的医疗健康服务。

但另一方面，承载**医院业务流程的信息系统基础架构的管理手段却仍然相对落后，在当前复杂多变的信息安全形势下，无论是外部黑客入侵、内部恶意使用，还是大多数情况下内部用户无意造成的漏洞，信息科（处）的安全管理手段都正在变得越来越不够用。而同时，“统方”信息泄露、媒体舆论炒作、医患关系紧张、上级领导问责、法律法规监管等等，都在无形中让医院的信息安全管理压力越来越大。

1.2 挑战

恶意攻击数量快速增加，攻击手段不断丰富，最新的未知威胁防不胜防：如何防范未知威胁，抵御不同攻击手段和攻击途径带来的信息安全冲击?

2011年，赛门铁克阻止了超过55亿次的恶意攻击，这个数量比2010年增加了81%。此外，特殊恶意软件变种数量增加至4.03亿个，超过75%的恶意代码攻击都是有针对性的，仅仅依靠基于特征码的单一终端防护安全软件已经力不

从心！有必要利用最新的国际上先进的基于云的文件信誉对比技术和基于程序行为判断的主动防御方式来防止大量的未知恶意威胁.

●高级、有针对性的高危持续性攻击APT已蔓延至各类规模企业：如何阻止不

同的攻击手段？不仅仅是防病毒！需要终端多层次的防护，增加网络边界的威胁防范，电子邮件保护都需要综合考虑！

APT攻击：“高危持续性风险”是2011年以来最有威胁的攻击手段，攻击者利用不同的针对性攻击手段做长时间的不同攻击尝试和潜伏。有针对性的攻击正在不断增加，截至2011年底，有针对性攻击的数量从每日77个增加至82个。有针对性的攻击利用社会工程学原理和定制化的恶意软件来非法访问敏感信息。这些高级的有针对性的攻击过去一直以公共部门和政府为首要目标

●复杂混乱的应用与外接设备环境：如何确保应用和设备的准入控制？

虽然很多医院信息科都根据自身的情况建立了完备的信息系统管理制度，但由于缺乏自动化、强制性的技术手段，这些管理制度往往变得流于形式——终端用户随意私自安装外来的应用程序，通过U盘等方式传播未经授权的资料，私自重新安装终端操作系统，未经授权将外来终端（笔记本电脑）接入医院业务网等等。所有这些行为都带来一个结果，就是让医院的业务应用环境变得复杂、混乱，难以管理。

●繁琐枯燥的系统维护和安全管理：如何更有效利用有限的信息人力资源？

信息科的维护人员总是每天重复这样一些事情：重装系统、打补丁、修改配置、安装应用软件、配置网络、配置应用参数……，这些事情不仅大量浪费了维护人员的时间，让他们没有精力去做更加重要的事情，而且让整个信息科的运维

水平一直处于低层次重复的怪圈之中，无法有效提升信息系统管理运维能力。

●工具带来的新问题：如何保证安全策略的强制要求，统一管理和实施效果？

为了解决前面几方面的挑战，部分医院用户采用了一些单点的工具型解决方案，但这些工具却带来了新的问题。如何确保新的工具的统一管理，拥有不同管理方式的工具将反而大大增加信息安全管理人员的复杂性和可操作性。部署不同的安全工具，我们如何了解这些工具的实施效果？如何让运维工作向标准化、流程化的更高阶段提升。

●终端接入不受控：如何确保终端满足制定的终端安全策略-终端准入控制

传统的安全解决方案往往比较强调网关安全，所以很多医院购买了防火墙、入侵检测与防御（IDP）等产品。但当前更多的安全隐患来自终端——透过防御薄弱的终端，往往能够更加容易地接触到医院的核心内网，而终端使用者安全意识的缺乏为安全威胁打开了便利的大门。

虽然很多医院都采用内外网隔离的方式进行基本的安全接入控制，但隔离策略往往因为内外网终端的随意接入而无法有效执行。而住院“无线查房”等方式不仅方便了医生，同时也方便了“不受欢迎的客人”的接入。

●网页式攻击(Web-based Attack)已成为最主流的攻击手法：如何确保访问可

靠网站？

网页式攻击系当有漏洞的终端浏览内嵌恶意代码的网页时，即于该终端植入恶意代码。相较于传统的病毒扩散管道与攻击手法，网页式攻击不但更加隐密，且更难预测与防范。而僵尸网络(Botnet)仍持续盛行，已成为散播垃圾邮件、架设网络钓鱼网站及发动分布式拒绝服务攻击(DDoS Attack)的最佳途径。

●内外部有意无意的信息泄露将严重影响企业的声誉和重大经济损失

国内越来越多曝光的医疗数据，个人医疗信息泄露事件受到公众和监管部门的关注和重视。如何保证防止这类数据以及处方信息的泄露是**医院在数据防泄密上的主要关注对象，这些数据的泄露将严重影响******医院的声誉，监管上的违规，经济利益上的重大损失。

●法律法规监管的加强-如何确保做进行的信息安全建设符合等保要求

《中华人民共和国刑法修正案（七）》第253条、第285条等对医疗行业信息泄密的规定》；

《侵权责任法》第36条、第61条、第62条等对医疗机构及人员要求妥善保管机密信息的规定；

公安部“信息安全等级保护”对医院信息系统的信息安全保护要求；

。。。。。。。

随着国家各种相关法律法规对医疗行为信息安全的规范逐步加强，医院信息科（处）在医院管理方面的重要性正在变得越来越高，但同时由于缺乏灵活、自动化的安全管理手段导致的被动境地也正在变得越来越明显。

如何更加主动地应对法律法规的监管，是信息部门今后工作重点之一。

第2章**医院信息安全建设思路医疗行业中的信息终端作为IT资产中数量庞大、种类繁多、分布广泛、管理难度大、管理成本高的一个分类，其带给企业的安全风险已经越来越不容忽视，企业在终端安全方面加大投入的同时，也更加期待其带来的效果。因此，结合企业的建设状况，日益变化的安全威胁，整体规划和和统盘考虑企业在终端安全上的建设思路、建设步骤，才能达到良好的效果。

2.1 规划目标

信息安全的建设，应当达到以下目标：

1. 要实现终端层面的“防入侵”、“防外泄”、“防不良访问”及“防沉迷”四

大安全防护目标。

2. 在技术上，立足现有建设成果，建立终端“主动防御”技术体系。以完

善当前端点策略遵从为目标，逐步转向IT法规遵从为目标。

3. 在管理上，通过技术手段的支撑，逐步建立终端集中化、标准化、自动

化、流程化的管理模式。

2.2 规划依据

作为终端安全的整体规划应当考虑和关注的内容，Gartner提出了作为端点防护平台（EPP）的架构和内容，如下图所示：

终端防护平台，主要通过当前提供防恶意代码技术，数据保护技术，PC生命周期管理以及未来技术（包括：认证、云技术、备份恢复等），借助统一的网络访问控制，为高层提供管理和报告的支撑。其中：

1. 防恶意代码技术：主要通过防毒、终端防护、上网行为管控、网页

访问管控等手段。

2. 数据防护技术：主要通过终端防护、数据防泄漏、数据加密等手段。

3. PC生命周期管理：可以通过专业的IT资产生命周期管理产品或者

建立这样一个平台，配合企业的采购、使用、维护、退服等资产管

理各环节的操作流程，进行标准化、流程化和自动化的管理。

4. 未来技术：通过身份认证、云计算技术、备份恢复等技术手段加强

终端安全的管理。

5. 网络访问控制：主要是通过终端的网络准入机制进行策略遵从和强

制策略执行，并实施网络接入的控制。在工行目前已经初步实现。

6. 管理和报告问题：通常需要建立一个安全管理平台将上述技术手段、

产品相关的事件、日志等进行集中收集和分析，形成综合性的管理

性报告，满足企业各管理阶层的管理需要。

2.3 规划框架

任何一个安全工作的落实，都依赖于组织（人）、技术、流程作为支撑，终端安全的建设也不例外，最终是要落实企业上述终端建设目标。分解上述******医院的终端安全建设的目标。依据gartner的建议，结合国内的实际情况，我们为******医院提出了从网络、系统、数据，终端的行为，乃至终端整体管理几个方面的全方位终端安全总体建设框架（如下图所示），并提出了相应的规划内容。

图1：终端安全建设总体框架

就上述终端整体解决方案中的建设内容来看，分为两个大层次，5个方面。

第一层：安全专业防护层：从终端个体在信息系统中的可能发生的各种行为，以及相应的各种威胁角度，提供对应的安全技术手段。技术手段又分为4个方面：

端点安全保护：这是终端安全的基础，保持终端自身的良好环境，防止各种途径的外部入侵和攻击，是降低企业整体风险的一个基本条件。

终端准入控制：在终端自身系统保护条件基础上，对各类受控和不受控终端入网进行网络层面的准入控制是有效防范病毒、蠕虫传播，防止风险进一步扩大，同时也是企业进一步落实终端安全策略的一个重要的手段。

信息防止外泄：终端在自身环境和网络层面的管控得以保障后，进一步的在终端进行操作、存储的各类数据信息层面需要具备相应的安全手段加强防护，以保证企业最关心的信息数据不被非法的访问和窃取。

终端行为管控：终端自身系统的保护并不能解决来自对互联网应用的安全威胁，这个威胁包括了来自不良网页访问给终端带来的各类威胁，还包括了内部员工浏览不当网页，影响生产力，滥用网络资源进行非法下载等威胁，加强终端用户的行为管理和访问内容的管理，是进一步增强终端安全的一个重要内容。

第二层：安全集中管理层：实现终端标准化管理和法规遵从，需要通过相应的技术支撑升段，才能达到高效的管理，最为主要的是集中管控和合规审计的手段。

集中管控：在专业防护基础上通过提供安全管理、维护管理、备份管理等功能，实现终端的集中安全管控。

合规审计：在端点专业安全防护的各项功能中已经基本实现了终端的安全策略的执行，可以通过集中的日志和安全事件管理，包括终端违规日志、操作日志、上网行为日志等，形成集中的收集和综合分析，形成终端合规管理的报告。

第3章**医院信息安全整体建设方案

3.1 综述

Symantec整合了多年医疗行业信息安全建设的经验，为****医院用户带来完整的信息安全解决方案架构。

附图1.SYMANTEC医院整体安全解决方案架构

如上图所示，终端标准化、身份管理和关键系统保护是整个信息安全的基础。

通过终端标准化实现对接入医院业务系统的端点的标准化管理，从而减少系统的安全漏洞、降低管理负担，即对接入设备进行有效的安全管理；

通过身份管理实现计算机系统与真实人的身份对接，确保计算机系统中信息的输入、流转和输出是由真实的、受信任的人所进行的操作。特别是将来医院的电子病历系统（EMR）真正实现电子签名之后，确保其授权不被仿冒将关系到

病人的生命安全及医院的法律责任，意义重大；

通过关键系统保护实现对后台维护操作的实时监控和对违规操作的阻断，确保关键的内部业务终端不被恶意或无意的操作破坏；

在有了终端标准化、身份管理和关键系统保护等基础之后，以信息为中心的安全管理建设就成为最关键的安全核心。而信息防泄密就是基于内容的信息安全管理。通过信息防泄密的建设，将为医院带来更加主动、能见度更高的信息管理，特别是针对“统方”等问题就有了更加直接的管理手段。

通过收集所有安全事件，并进行集中的智能化关联分析，找到其中最具威胁性的安全事件，数据泄露事故，不当网络行为，不适内容发布，从而让安全管理人员可以更加主动和有针对性地制定安全策略。而安全策略管理平台则可以有机的结合安全事件与法规遵从，更加有效、灵活和准确地制定安全策略，确保法规遵从的实现。

3.1.1 方案效果

“零”病毒的内外网终端安全

在Symantec医院终端标准化中，用户得到的不仅仅是终端防病毒、防火墙、IPS等安全防范功能，而且通过终端应用程序控制的白名单机制，可以防止任何已知或未知病毒在业务网内传播。利用Symantec特有的网关准入控制和“点对点”强制方式可以严格保证接入业务网的终端完全符合医院预定义的安全规范，杜绝未经授权的终端和不符合医院安全策略的终端接入业务网，导致业务内网出现安全漏洞。（请参考建设方案三部曲之“终端标准化”）

●终端“零”管理

采用业界领先的资产生命周期管理运维工具，维护人员可以在完全无需人工值守的情况下对一台或多台终端设备进行日常的终端维护，维护人员可以在一个集中管理平台上进行实时的终端资产管理、软件分发、补丁管理，远程维护等操作，而所有这些管理任务，包括安全管理任务都已经统一在一个图形化管理界面之内。

●“医疗机密信息”的访问行为可监控，可审计

最近医疗行业出现的“统方”事件从技术角度来说，是一种典型的信息泄密事件，在Symantec的整体安全解决方案中，可以从“事前预防、事中控制和事后审计”三个方面来看。

通过终端标准化、身份管理和关键系统保护等基础建设，将可能发生统方泄露的路径缩小到一定范围之内，预防“统方”信息在没有任何控制手段的情况下泄露出去；

通过安全事件管理对所有系统安全日志进行记录，监控HIS系统的访问日志，访问行为事件，关联分析HIS系统日志和其他安全设备，网络设备日志确保不当行为的事件记录。即使事中控制环节没有及时进行阻止，事后审计也对所有事件进行了记录，这又反过来提高了涉密人员的防泄密安全意识。

●终端基于内容的数据防泄漏

通过DLP（信息防泄密）系统的建设对所有可疑的泄密行为进行实时监控，对比较明显的泄密行为进行实时阻断，并配合实时告警、定时报告与行政干预等方式对泄密行为进行事中控制。

3.2 终端安全综合防护系统-实现“零病毒”“零威胁”

3.2.1 设计思路

●内网业务终端安全综合防护系统

在****医院的网络架构中分为内部网络和外部网络。其中内部网络终端承载了**医院最重要的业务信息系统，包括了医疗信息终端，业务收费终端，医护人员终端等等。因此对于内部网络终端我们需要对其做最严格的终端信息安全防护。通过进一步对内部终端的调研发现，处于内部网络的业务终端有如下的几个特征： 业务固定

使用人员和角色固定

使用时间固定

使用应用系统固定

网络访问固定

终端硬件配置一致

通过内部终端的这些使用属性，建议对内部终端的保护采用Symantec的关键业务保护系统SCSP进行系统和业务应用程序的锁定，白名单设置和资源使用权限设定等配置，利用Symantec的终端防护系统SEP12.1进行对已知威胁，入侵攻击和设备控制的管理。

建议对**医院内部网络的业务终端和医护人员使用的信息终端利用Symantec的技术进行如下的配置，通过SCSP和SEP这两个系统的部署，实

现对内部业务终端的安全统一策略配置和管理，实现“零病毒”，“零威胁”的内网终端信息安全防护的最终目标，确保内网终端始终处于安全的信息工作环境。

通过Symantec提供的核心操作系统服务策略配置选项，配置核心操作系统服务单独的行为控制，并作为操作系统的一部分安装核心操作

系统服务。

通过使用Symantec提供的最严格限制防护策略，进行终端的系统锁定和白名单应用的设置。限定可以使用的业务应用程序，限定进行系

统升级的系统应用程序，其他任何未授权的应用程序和进程都无法启

动和安装。

通过Symantec提供的资源访问控制，限定可以使用的操作系统服务，确定业务应用程序对资源的访问控制权限。资源包含文件，文件夹，

注册表，设备和网络。任何未授权的资源访问都将被阻断，只有受信

任的管理账号和应用，进程通过相应的配置后才可以对资源进行修改

或配置。

通过Symantec提供的网络访问控制策略配置，限定可以使用的白名单应用程序或进程的网络访问端口。

通过Symantec提供的威胁注入防护，实现对已知或未知威胁的行为控制，内存注入防护，阻止缓冲溢出攻击的发生。

通过Symantec提供的关键系统和应用配置实现对核心系统配置文件，应用配置文件的监控和审计，防止这类文件的有意或无意的篡改

造成的配置漏洞或系统弱点。

利用Symantec提供的系统防护功能，锁定内部终端上的系统管理员账号的权限，防止通过泄露的管理员账号而产生的安全威胁事件。

利用Symantec成熟可靠的扫描引擎防护已知病毒入侵

利用Symantec最新的基于云的文件信誉对比技术Insight，解决未知威胁的攻击。

对所有外接设备进行严格管理。

对存在未知恶意威胁行为的进程在启动前进行阻断。

●外网办公终端综合防护系统

在**省**医院的系统中，对于可以在外部网络中可使用的移动终端，比如笔记本电脑和非核心业务办公终端，在安全防护和使用的便捷需求上和内网终端是不一样的，因此在防护等级上要做到安全防护和使用便利性的平衡，同时由于外网终端可以连接互联网，因此对网络攻击的防护是外网终端防护的必要要求。根据我们的最佳实践，我们建议采用Symantec的SEP满足对外部网络终端的安全防护需求及目标：

对爆发的未知威胁和多种新的威胁攻击方式的防护。

对各种基于WEB方式攻击和偷渡式下载的威胁防护。

提可以基于协议，应用程序，网卡进行设定的防火墙网络防护

可以利用更先进，更具有前瞻性的主动威胁防御，解决零日威胁和APT 攻击风险。

可以利用新一代的启发式威胁防护能力，阻断未知恶意行为程序的运行。

可以进行应用程序和外接设备的控制。

随着外网终端可能的应用增长，终端防护系统有高效的扫描性能保障机制 面对将来可能的虚拟化建设，需要提供高效，高性能的虚拟化环境下的防护。

3.2.2 技术实现

3.2.2.1Symantec关键业务终端保护系统-

Symantec Critical System Protection-SCSP 5.2

赛门铁克针对终端安全防护与监控审计的的产品为Symantec Critical System Protection，以下简称SCSP。该产品是居目前业界领导地位的的主机安全保护的解决方案，同时集成了主机入侵检测、主机入侵防御、主机防火墙、主机安全审计，关键配置文件监控等多项功能。SCSP通过在关键业务终端上强制实施基于行为的安全策略，针对每个操作系统和应用程序进程都创建基于行为的“虚拟”Shell，监控对内核的系统调用并根据用户定义的策略允许或拒绝对系统资源的访问。可以抵御“零日攻击”(day zero attack)、强化系统并有助于确保遵从安全策略。集中式管理控制台使管理员能够在跨越多种异构操作系统来配置、部署和维护安全策略、管理用户和角色、查看警报以及运行报告。这种基于行为的控制针对每个操作系统功能和应用程序创建了操作的安全区，从而使企业IT 管理员能够细致控制主机安全性，而不必采用“救火”模式不断竞相应用补丁程序。

针对关键业务服务器能提供如下几个大类的防护特色功能：

●零日攻击防护:

阻止恶意程序利用零日漏洞对关键业务终端进行攻击; 阻止恶意程序通过零日漏洞进行传播。

●系统加固和访问控制:

锁定操作系统，应用程序，数据库, 阻止未授权的程序运行，针对每个操作系统和应用程序进程都创建基于行为的“虚拟”Shell，监控对内核的系统调用并根据用户定义的策略允许或拒绝对系统资源的访问。

通过设定访问控制列表(ACL),规定什么用户可以从什么地址来访问主机上的什么进行。

能实时监控用户对主机上文件和应用的访问及程序运行，并这些主机资源对照用户的身份和权限要求进行控制，针对各个进程设定ACL，可以限定允许访问的网络地址，开放访问的时间以及访问权限等。

Symantec Critical System Protection 可以限制系统配置设置、文件系统以及对服务的访问。可以利用该功能逐一锁定服务器，并确保对面向公众和关键任务终端执行了适当的更改控制。

SCSP可以监控系统关键业务服务的配置改变。

●文件完整性监控：

可以监控主机上的关键系统配置或关键应用的配置文件变动情况，以及变动的内容，实施变动的用户等。