關于我們 / ABOUT US

行業概述   

    随著(zhe)科技的(de)發展，作爲醫療行業信息化(huà)的(de)重要推動力，醫院信息系統（HIS）經過近二十年的(de)發展，已經初具規模。目前，我國大(dà)部分(fēn)醫院網絡系統分(fēn)爲兩個(gè)部分(fēn)——用(yòng)于日常醫療信息交換的(de)業務網以及實時(shí)獲取Internet信息資源的(de)辦公網。其中的(de)醫院業務網是醫院業務開展的(de)平台，爲了(le)保障安全，業務網與辦公網之間進行了(le)物(wù)理(lǐ)隔離。然而，随著(zhe)業務網應用(yòng)的(de)深入，業務網内網存在的(de)一些不安全因素成爲影(yǐng)響其正常運行的(de)重大(dà)隐患，例如人(rén)員(yuán)的(de)非法接入、因員(yuán)工濫用(yòng)移動存儲導緻的(de)信息洩漏，違規使用(yòng)BT等P2P軟件造成的(de)帶寬濫用(yòng)等。爲了(le)保障内網安全，深化(huà)醫療信息化(huà)的(de)發展，醫院迫切需要一套有效的(de)内網安全管理(lǐ)系統。

需求分(fēn)析
作爲醫療行業的(de)計算(suàn)機終端安全管理(lǐ)而言，需要解決如下(xià)問題：
1、網絡管理(lǐ)
    在醫療行業的(de)網絡環境中，由于單位規模、單位辦公的(de)需要，存在很多(duō)的(de)工作區(qū)域，甚至在外地也(yě)有自己的(de)分(fēn)院、社區(qū)醫院或者遠(yuǎn)程診斷系統，爲了(le)便于醫院内部的(de)信息共享，一般采用(yòng)專線或其他(tā)網絡互聯技術，使之與内部網絡連接，便于單位内部的(de)數據管理(lǐ)和(hé)辦公管理(lǐ)。但是大(dà)規模的(de)網絡環境、複雜(zá)的(de)分(fēn)支機構，給網絡管理(lǐ)帶來(lái)了(le)極大(dà)的(de)困難，設備的(de)分(fēn)布不明(míng)确；流量管理(lǐ)沒有依據；對(duì)于靜态IP地址環境地址混亂、沖突也(yě)是很棘手的(de)問題。
2、流量控制
    借助物(wù)理(lǐ)網絡拓撲圖上設備的(de)物(wù)理(lǐ)連接關系，通(tōng)過可(kě)網管交換機端口的(de)流量控制，能夠對(duì)交換機下(xià)連的(de)設備進行端口控制，關閉端口或是打開端口。但是内部網絡環境中不可(kě)能所有的(de)交換機全部都是可(kě)網管的(de)，而且管理(lǐ)員(yuán)不可(kě)能天天進行端口的(de)打開、閉合操作，除非是出現異常的(de)網絡攻擊和(hé)擁塞時(shí)，才會采取如此非常手段。因此對(duì)于日常的(de)控制來(lái)說，最有效的(de)方法是通(tōng)過控制每個(gè)終端的(de)流量，如果能将設備的(de)流量控制在一定的(de)範圍内，既保證了(le)終端的(de)正常工作使用(yòng)，又可(kě)以防範在非法使用(yòng)P2P下(xià)載軟件搶占帶寬和(hé)病毒爆發時(shí)給網絡速度帶來(lái)的(de)擁塞，這(zhè)對(duì)于管理(lǐ)來(lái)說才是實用(yòng)的(de)管理(lǐ)手段。
3、IP地址管理(lǐ)
    爲了(le)便于管理(lǐ)，出現問題能夠及時(shí)追查，網絡建設時(shí)管理(lǐ)員(yuán)通(tōng)常使用(yòng)靜态IP地址，這(zhè)對(duì)于管理(lǐ)來(lái)說确實是一個(gè)有效可(kě)行的(de)措施。但是由于員(yuán)工的(de)計算(suàn)機操作水(shuǐ)平不同，很可(kě)能造成随意修改IP地址帶來(lái)的(de)内網地址沖突，這(zhè)給内網管理(lǐ)帶來(lái)很繁瑣的(de)問題。雖然通(tōng)過在核心或二層交換機上，可(kě)以通(tōng)過命令來(lái)綁定IP/MAC地址從而消除上述問題，但是工作量龐大(dà)，因此徹底屏蔽IP地址沖突的(de)問題是網絡管理(lǐ)必須要做(zuò)的(de)。
4、桌面管理(lǐ)方面
    單位内網進行辦公所運行的(de)各種服務都是應用(yòng)在終端設備的(de)基礎上，一旦終端設備的(de)安全性出現問題，那麽所有其承載的(de)服務将無法運行，嚴重影(yǐng)響單位的(de)工作效率，給單位的(de)生産造成損失。因此必須保證機器的(de)健壯性。
5、進程控制
    由于當前大(dà)量病毒以及惡意程序的(de)存在，而這(zhè)些程序對(duì)于普通(tōng)用(yòng)戶而言并不知情，甚至有些惡意程序通(tōng)過技術手段使得(de)用(yòng)戶無法通(tōng)過任務管理(lǐ)器看到其工作進程；另一方面，有些用(yòng)戶可(kě)能有意或無意地運行一些可(kě)能會影(yǐng)響他(tā)人(rén)或自己工作的(de)軟件(如網絡嗅探器)。
    單位的(de)機器目的(de)是提高(gāo)員(yuán)工的(de)生産效率，充分(fēn)利用(yòng)上班時(shí)間爲單位創造更多(duō)效益，但是某些娛樂(yuè)性軟件嚴重影(yǐng)響了(le)員(yuán)工的(de)工作效率，某些下(xià)載軟件造成網絡速度減慢(màn)，影(yǐng)響了(le)内網的(de)正常辦公。因此通(tōng)過制定策略，實現 對(duì)非法進程的(de)監控并阻止，能夠大(dà)大(dà)減少由内部引起的(de)網絡安全事件，提高(gāo)我們的(de)工作效率。
6、接口管理(lǐ)
    随著(zhe)計算(suàn)機外設的(de)增多(duō)，各種各樣的(de)輸出設備（軟驅、刻錄機、打印機、繪圖儀、移動存儲設備、紅外、藍牙、無線網絡設備）爲信息處理(lǐ)和(hé)傳輸提供極大(dà)便利的(de)同時(shí)，也(yě)爲機密信息的(de)擴散和(hé)洩露帶來(lái)了(le)可(kě)能。尤其是USB接口的(de)計算(suàn)機周邊設備的(de)豐富，使得(de)計算(suàn)機與其他(tā)外部設備，如U盤，USB打印機等連接十分(fēn)方便，并能輕而易舉地通(tōng)過USB設備将外部數據導入或者内部數據導出，爲重要數據的(de)保護帶來(lái)了(le)巨大(dà)的(de)安全隐患。因此，對(duì)終端物(wù)理(lǐ)端口的(de)控制是必不可(kě)少的(de)。
7、移動存儲介質的(de)管理(lǐ)
    移動存儲介質已經得(de)到普及應用(yòng)，移動存儲介質使用(yòng)靈活、方便，使它在各個(gè)單位的(de)信息化(huà)過程中迅速得(de)到普及，越來(lái)越多(duō)的(de)敏感信息、秘密數據和(hé)檔案資料被存貯在移動存儲介質裏，大(dà)量的(de)秘密文件和(hé)資料變爲磁性介質、光(guāng)學介質，存貯在無保護的(de)移動存儲介質中，這(zhè)給醫院涉及設計、研發信息資源帶來(lái)相當大(dà)的(de)安全隐患。存儲介質作爲醫院核心商業機密和(hé)敏感信息的(de)載體，實現對(duì)它們安全、有效的(de)管理(lǐ)是保證醫院信息安全的(de)重要手段。
8、網絡接入控制
    若不對(duì)接入網絡的(de)計算(suàn)機設備進行認證，則每一台外來(lái)的(de)計算(suàn)機設備隻要通(tōng)過涉密網内的(de)任何一個(gè)端口連接，則整個(gè)網絡都将向其開放，這(zhè)顯然對(duì)于内部網絡安全而言是巨大(dà)的(de)安全隐患。因此，需要對(duì)計算(suàn)機終端的(de)接入進行有效的(de)監視和(hé)控制。通(tōng)過提取接入計算(suàn)機的(de)物(wù)理(lǐ)特征，可(kě)以判斷該計算(suàn)機是否爲醫院内網上授權接入的(de)計算(suàn)機，如果爲非授權計算(suàn)機，則視爲非法主機。對(duì)非法主機需要采取必要的(de)方式進行阻斷和(hé)隔離，從而保證該計算(suàn)機無法訪問内網的(de)相關資源。


解決方案
1、針對(duì)人(rén)員(yuán)非法接入的(de)問題
    對(duì)非授權用(yòng)戶接入網絡需要身份認證，在用(yòng)戶身份認證時(shí)，可(kě)綁定用(yòng)戶接入IP、MAC、接入設備IP、端口等信息，進行強身份認證，防止帳号盜用(yòng)、限定帳号所使用(yòng)的(de)終端，确保接入用(yòng)戶的(de)身份安全。對(duì)于安全狀态評估不合格的(de)用(yòng)戶，可(kě)以限制其訪問權限，被隔離到神盾網絡隔離區(qū)，待危險終端到達安全級别後方可(kě)入網。可(kě)以限制接入網絡的(de)用(yòng)戶必須安裝、運行或禁止安裝、運行其中某些軟件。對(duì)于不符合安全策略的(de)用(yòng)戶可(kě)以記錄日 志、提醒或隔離。對(duì)于外來(lái)計算(suàn)機由于業務需要接入内網或者訪問Internet時(shí)，針對(duì)對(duì)方IP、MAC等端口做(zuò)授信暫時(shí)放行；可(kě)以限制用(yòng)戶隻能在允許的(de)時(shí)間和(hé)網絡IP段内（接入設備和(hé)端口）使用(yòng)網絡。
2、針對(duì)由于業務網與互聯網物(wù)理(lǐ)隔離導緻的(de)操作系統補丁無法及時(shí)更新，安全漏洞無法及時(shí)解決等問題：
    神盾基于補丁分(fēn)發管理(lǐ)功能，可(kě)自動實現終端主機的(de)系統補丁更新。降低終端主機感染病毒的(de)機會，增強安全性。
3、針對(duì)因醫院員(yuán)工濫用(yòng)移動存儲設備造成的(de)信息洩露和(hé)病毒泛濫：
    神盾可(kě)在在線和(hé)離線的(de)情況下(xià)，對(duì)終端主機硬件外設接口進行有選擇性的(de)禁用(yòng)管理(lǐ)；
4、針對(duì)内部人(rén)員(yuán)濫用(yòng)P2P軟件，造成網絡帶寬被占用(yòng)，工作效率下(xià)降的(de)問題：
    神盾基于程序黑(hēi)白名單等技術，對(duì)終端行爲進行約束，終端隻能運行被允許的(de)特定應用(yòng)程序。通(tōng)過設定終端主機流量來(lái)控制終端主機的(de)訪問流量；
5、針對(duì)終端主機硬件信息統計困難的(de)問題：
    神盾可(kě)随時(shí)統計終端主機的(de)硬件配置和(hé)軟件程序，并形成報表。
    由于醫院員(yuán)工計算(suàn)機知識欠缺，管理(lǐ)員(yuán)常需要到現場(chǎng)解決問題，神盾基于遠(yuǎn)程協助技術，讓管理(lǐ)員(yuán)可(kě)遠(yuǎn)程對(duì)任意終端主機進行接管及操作；
6、針對(duì)移動存儲介質的(de)管理(lǐ)問題
    神盾支持管理(lǐ)員(yuán)能夠集中對(duì)其所能夠使用(yòng)的(de)計算(suàn)機範圍和(hé)用(yòng)戶範圍進行設定，具體的(de)接入控制可(kě)以細分(fēn)爲三種：
    A. 未授權用(yòng)戶使用(yòng)該介質，或者内部人(rén)員(yuán)在未授權的(de)機器上使用(yòng)該介質，系統将自動對(duì)其進行阻斷，防止涉密數據的(de)流失；
    B. 隻有合法的(de)用(yòng)戶在合法的(de)機器上接入，該移動存儲介質才能正常使用(yòng)；
    C. 管理(lǐ)員(yuán)能夠方便對(duì)存儲介質進行挂失，一旦挂失，相關存儲介質也(yě)将無法接入内部網絡。