医院终端整体安全解决方案

**省**医院终端安全整体解决方案赛门铁克软件（北京）有限公司2022-04-25保密声明与用途本文档包含“保密信息”（如下定义）。

本文档旨在提供赛门铁克提交本文之时可提供的产品和（或）服务的概要信息。

本文档专向**省**医院（以下简称“您”或“您的”）提供，因为赛门铁克认为“您”有意向与赛门铁克公司（以下简称“赛门铁克”）达成交易。

此“保密信息”的唯一用途是帮助“您”决定是否就本文档中所述产品或服务与赛门铁克签订合同协议。

赛门铁克努力确保本文档中包含的信息正确无误，对于此类信息中的任何错误或疏漏，赛门铁克不承担任何责任，并在此就任何准确性或其他方面的暗示保证明确提出免责。

“您”接受本文档并不代表“您”与赛门铁克之间达成约束性协议，仅表明“您”有义务保护此处标识的任何“保密信息”。

赛门铁克有权就任意及所有客户协议的条款与条件进行协商。

“您”与赛门铁克之间没有书面保密协议，但“您”阅读赛门铁克建议书即表明，在因本文档而交换和接收的赛门铁克保密信息和专有信息的范围内，包括但不限于报价、方法、知识、数据、工作文件、技术和其他商业信息，无论书面还是口头形式（以下简称“保密信息”），“您”同意依照“您”在申请函中所述用途仅在内部阅读本“保密信息”。

“您”同意不泄露、销售、许可、分发或以任何其他方式向他人提供“保密信息”，除非因需知晓该信息而必须提供，但必须遵守此类“保密信息”使用的管理条款与条件，而且该条款与条件的限制性必须至少相当于“您”用于保护自有同类信息所用的条款与条件，且在任何情况下绝不低于合理的商业保护。

本文档及已提供的任何其他赛门铁克相关信息仍归赛门铁克独自所有，未经赛门铁克事先书面许可，不得拷贝、复制或分发。

赛门铁克提供本文档，但并不负责为“您”提供任何产品或任何服务。

本文档阐述赛门铁克就本文所述主题而言的一般意图，赛门铁克的任何行为均取决于双方签订的正式书面协议。

除非“您”已经获得赛门铁克的事先书面许可，否则赛门铁克谨请“您”不要联系本文档中可能提及的任何赛门铁克客户。

一经请求即可提供此处所述产品使用和（或）服务交付所适用的赛门铁克条款与条件的副本以供查阅和审议。

条款与条件可在签订合同时进行协商。

© 2011 Symantec Corporation. © 2011 年 Symantec Corporation 版权所有。

All Rights Reserved. 保留所有权利。

版本变更记录版本修订日期修订人描述1.0 2012-07-15 Eric Wang目录第1章概述 (1)1.1背景 (1)1.2挑战 (1)第2章**医院信息安全建设思路 (5)2.1规划目标 (5)2.2规划依据 (5)2.3规划框架 (7)第3章**医院信息安全整体建设方案 (9)3.1综述 (9)3.1.1方案效果 (10)3.2终端安全综合防护系统-实现“零病毒”“零威胁” (12)3.2.1设计思路 (12)3.2.2技术实现 (15)3.2.3部署方案 (27)3.3终端标准化运维管理系统-实现”零管理“ (28)3.3.1设计思路 (28)3.3.2技术实现 (30)3.3.3部署方案 (42)3.4终端行为审计监控系统-监测”不当操作行为“ (43)3.4.1设计思路 (43)3.4.2技术实现 (44)3.4.3部署方案 (55)3.5终端业务内容监控系统-监控”不当内容复制“ (56)3.5.1设计思路 (56)3.5.2技术实现 (59)3.5.3部署方案 (62)3.6终端准入控制系统-强制隔离”非法终端“ (63)3.6.1设计思路 (63)3.6.2技术实现 (64)3.6.3部署方案 (72)第4章系统及硬件配置 (73)4.1硬件配置 (73)4.2第三方软件配置 (74)4.3软件配置 (74)第1章概述1.1 背景**省****医院的信息化经过十几年的发展，对业务的支撑作用已经表现得非常明显，医院业务的开展已经离不开信息系统的正常运转。

随着**省**医院信息化的深化，**医院的业务流程已经高度自动化、高效率，从而为病人提供更好的医疗健康服务。

但另一方面，承载**医院业务流程的信息系统基础架构的管理手段却仍然相对落后，在当前复杂多变的信息安全形势下，无论是外部黑客入侵、内部恶意使用，还是大多数情况下内部用户无意造成的漏洞，信息科（处）的安全管理手段都正在变得越来越不够用。

而同时，“统方”信息泄露、媒体舆论炒作、医患关系紧张、上级领导问责、法律法规监管等等，都在无形中让医院的信息安全管理压力越来越大。

1.2 挑战恶意攻击数量快速增加，攻击手段不断丰富，最新的未知威胁防不胜防：如何防范未知威胁，抵御不同攻击手段和攻击途径带来的信息安全冲击?2011年，赛门铁克阻止了超过55亿次的恶意攻击，这个数量比2010年增加了81%。

此外，特殊恶意软件变种数量增加至4.03亿个，超过75%的恶意代码攻击都是有针对性的，仅仅依靠基于特征码的单一终端防护安全软件已经力不从心！有必要利用最新的国际上先进的基于云的文件信誉对比技术和基于程序行为判断的主动防御方式来防止大量的未知恶意威胁.●高级、有针对性的高危持续性攻击APT已蔓延至各类规模企业：如何阻止不同的攻击手段？不仅仅是防病毒！需要终端多层次的防护，增加网络边界的威胁防范，电子邮件保护都需要综合考虑！APT攻击：“高危持续性风险”是2011年以来最有威胁的攻击手段，攻击者利用不同的针对性攻击手段做长时间的不同攻击尝试和潜伏。

有针对性的攻击正在不断增加，截至2011年底，有针对性攻击的数量从每日77个增加至82个。

有针对性的攻击利用社会工程学原理和定制化的恶意软件来非法访问敏感信息。

这些高级的有针对性的攻击过去一直以公共部门和政府为首要目标●复杂混乱的应用与外接设备环境：如何确保应用和设备的准入控制？虽然很多医院信息科都根据自身的情况建立了完备的信息系统管理制度，但由于缺乏自动化、强制性的技术手段，这些管理制度往往变得流于形式——终端用户随意私自安装外来的应用程序，通过U盘等方式传播未经授权的资料，私自重新安装终端操作系统，未经授权将外来终端（笔记本电脑）接入医院业务网等等。

所有这些行为都带来一个结果，就是让医院的业务应用环境变得复杂、混乱，难以管理。

●繁琐枯燥的系统维护和安全管理：如何更有效利用有限的信息人力资源？信息科的维护人员总是每天重复这样一些事情：重装系统、打补丁、修改配置、安装应用软件、配置网络、配置应用参数……，这些事情不仅大量浪费了维护人员的时间，让他们没有精力去做更加重要的事情，而且让整个信息科的运维水平一直处于低层次重复的怪圈之中，无法有效提升信息系统管理运维能力。

●工具带来的新问题：如何保证安全策略的强制要求，统一管理和实施效果？为了解决前面几方面的挑战，部分医院用户采用了一些单点的工具型解决方案，但这些工具却带来了新的问题。

如何确保新的工具的统一管理，拥有不同管理方式的工具将反而大大增加信息安全管理人员的复杂性和可操作性。

部署不同的安全工具，我们如何了解这些工具的实施效果？如何让运维工作向标准化、流程化的更高阶段提升。

●终端接入不受控：如何确保终端满足制定的终端安全策略-终端准入控制传统的安全解决方案往往比较强调网关安全，所以很多医院购买了防火墙、入侵检测与防御（IDP）等产品。

但当前更多的安全隐患来自终端——透过防御薄弱的终端，往往能够更加容易地接触到医院的核心内网，而终端使用者安全意识的缺乏为安全威胁打开了便利的大门。

虽然很多医院都采用内外网隔离的方式进行基本的安全接入控制，但隔离策略往往因为内外网终端的随意接入而无法有效执行。

而住院“无线查房”等方式不仅方便了医生，同时也方便了“不受欢迎的客人”的接入。

●网页式攻击(Web-based Attack) 已成为最主流的攻击手法：如何确保访问可靠网站？网页式攻击系当有漏洞的终端浏览内嵌恶意代码的网页时，即于该终端植入恶意代码。

相较于传统的病毒扩散管道与攻击手法，网页式攻击不但更加隐密，且更难预测与防范。

而僵尸网络(Botnet)仍持续盛行，已成为散播垃圾邮件、架设网络钓鱼网站及发动分布式拒绝服务攻击(DDoS Attack)的最佳途径。

●内外部有意无意的信息泄露将严重影响企业的声誉和重大经济损失国内越来越多曝光的医疗数据，个人医疗信息泄露事件受到公众和监管部门的关注和重视。

如何保证防止这类数据以及处方信息的泄露是**医院在数据防泄密上的主要关注对象，这些数据的泄露将严重影响******医院的声誉，监管上的违规，经济利益上的重大损失。

●法律法规监管的加强-如何确保做进行的信息安全建设符合等保要求《中华人民共和国刑法修正案（七）》第253条、第285条等对医疗行业信息泄密的规定》；《侵权责任法》第36条、第61条、第62条等对医疗机构及人员要求妥善保管机密信息的规定；公安部“信息安全等级保护”对医院信息系统的信息安全保护要求；。

随着国家各种相关法律法规对医疗行为信息安全的规范逐步加强，医院信息科（处）在医院管理方面的重要性正在变得越来越高，但同时由于缺乏灵活、自动化的安全管理手段导致的被动境地也正在变得越来越明显。

如何更加主动地应对法律法规的监管，是信息部门今后工作重点之一。

第2章**医院信息安全建设思路医疗行业中的信息终端作为IT资产中数量庞大、种类繁多、分布广泛、管理难度大、管理成本高的一个分类，其带给企业的安全风险已经越来越不容忽视，企业在终端安全方面加大投入的同时，也更加期待其带来的效果。

因此，结合企业的建设状况，日益变化的安全威胁，整体规划和和统盘考虑企业在终端安全上的建设思路、建设步骤，才能达到良好的效果。

2.1 规划目标信息安全的建设，应当达到以下目标：1. 要实现终端层面的“防入侵”、“防外泄”、“防不良访问”及“防沉迷”四大安全防护目标。

2. 在技术上，立足现有建设成果，建立终端“主动防御”技术体系。

以完善当前端点策略遵从为目标，逐步转向IT法规遵从为目标。

3. 在管理上，通过技术手段的支撑，逐步建立终端集中化、标准化、自动化、流程化的管理模式。

2.2 规划依据作为终端安全的整体规划应当考虑和关注的内容，Gartner提出了作为端点防护平台（EPP）的架构和内容，如下图所示：终端防护平台，主要通过当前提供防恶意代码技术，数据保护技术，PC生命周期管理以及未来技术（包括：认证、云技术、备份恢复等），借助统一的网络访问控制，为高层提供管理和报告的支撑。

其中：1. 防恶意代码技术：主要通过防毒、终端防护、上网行为管控、网页访问管控等手段。

2. 数据防护技术：主要通过终端防护、数据防泄漏、数据加密等手段。