关于我们 / ABOUT US

行业概述   

    随着科(kē)技的发展，作為(wèi)医疗行业信息化的重要推动力，医院信息系统（HIS）经过近二十年的发展，已经初具规模。目前，我國(guó)大部分(fēn)医院网络系统分(fēn)為(wèi)两个部分(fēn)——用(yòng)于日常医疗信息交换的业務(wù)网以及实时获取Internet信息资源的办公网。其中的医院业務(wù)网是医院业務(wù)开展的平台，為(wèi)了保障安全，业務(wù)网与办公网之间进行了物(wù)理(lǐ)隔离。然而，随着业務(wù)网应用(yòng)的深入，业務(wù)网内网存在的一些不安全因素成為(wèi)影响其正常运行的重大隐患，例如人员的非法接入、因员工滥用(yòng)移动存储导致的信息泄漏，违规使用(yòng)BT等P2P软件造成的带宽滥用(yòng)等。為(wèi)了保障内网安全，深化医疗信息化的发展，医院迫切需要一套有(yǒu)效的内网安全管理(lǐ)系统。

需求分(fēn)析
作為(wèi)医疗行业的计算机终端安全管理(lǐ)而言，需要解决如下问题：
1、网络管理(lǐ)
    在医疗行业的网络环境中，由于单位规模、单位办公的需要，存在很(hěn)多(duō)的工作區(qū)域，甚至在外地也有(yǒu)自己的分(fēn)院、社區(qū)医院或者遠(yuǎn)程诊断系统，為(wèi)了便于医院内部的信息共享，一般采用(yòng)专線(xiàn)或其他(tā)网络互联技术，使之与内部网络连接，便于单位内部的数据管理(lǐ)和办公管理(lǐ)。但是大规模的网络环境、复杂的分(fēn)支机构，给网络管理(lǐ)带来了极大的困难，设备的分(fēn)布不明确；流量管理(lǐ)没有(yǒu)依据；对于静态IP地址环境地址混乱、冲突也是很(hěn)棘手的问题。
2、流量控制
    借助物(wù)理(lǐ)网络拓扑图上设备的物(wù)理(lǐ)连接关系，通过可(kě)网管交换机端口的流量控制，能(néng)够对交换机下连的设备进行端口控制，关闭端口或是打开端口。但是内部网络环境中不可(kě)能(néng)所有(yǒu)的交换机全部都是可(kě)网管的，而且管理(lǐ)员不可(kě)能(néng)天天进行端口的打开、闭合操作，除非是出现异常的网络攻击和拥塞时，才会采取如此非常手段。因此对于日常的控制来说，最有(yǒu)效的方法是通过控制每个终端的流量，如果能(néng)将设备的流量控制在一定的范围内，既保证了终端的正常工作使用(yòng)，又(yòu)可(kě)以防范在非法使用(yòng)P2P下载软件抢占带宽和病毒爆发时给网络速度带来的拥塞，这对于管理(lǐ)来说才是实用(yòng)的管理(lǐ)手段。
3、IP地址管理(lǐ)
    為(wèi)了便于管理(lǐ)，出现问题能(néng)够及时追查，网络建设时管理(lǐ)员通常使用(yòng)静态IP地址，这对于管理(lǐ)来说确实是一个有(yǒu)效可(kě)行的措施。但是由于员工的计算机操作水平不同，很(hěn)可(kě)能(néng)造成随意修改IP地址带来的内网地址冲突，这给内网管理(lǐ)带来很(hěn)繁琐的问题。虽然通过在核心或二层交换机上，可(kě)以通过命令来绑定IP/MAC地址从而消除上述问题，但是工作量庞大，因此彻底屏蔽IP地址冲突的问题是网络管理(lǐ)必须要做的。
4、桌面管理(lǐ)方面
    单位内网进行办公所运行的各种服務(wù)都是应用(yòng)在终端设备的基础上，一旦终端设备的安全性出现问题，那么所有(yǒu)其承载的服務(wù)将无法运行，严重影响单位的工作效率，给单位的生产造成损失。因此必须保证机器的健壮性。
5、进程控制
    由于当前大量病毒以及恶意程序的存在，而这些程序对于普通用(yòng)户而言并不知情，甚至有(yǒu)些恶意程序通过技术手段使得用(yòng)户无法通过任務(wù)管理(lǐ)器看到其工作进程；另一方面，有(yǒu)些用(yòng)户可(kě)能(néng)有(yǒu)意或无意地运行一些可(kě)能(néng)会影响他(tā)人或自己工作的软件(如网络嗅探器)。
    单位的机器目的是提高员工的生产效率，充分(fēn)利用(yòng)上班时间為(wèi)单位创造更多(duō)效益，但是某些娱乐性软件严重影响了员工的工作效率，某些下载软件造成网络速度减慢，影响了内网的正常办公。因此通过制定策略，实现 对非法进程的监控并阻止，能(néng)够大大减少由内部引起的网络安全事件，提高我们的工作效率。
6、接口管理(lǐ)
    随着计算机外设的增多(duō)，各种各样的输出设备（软驱、刻录机、打印机、绘图仪、移动存储设备、红外、蓝牙、无線(xiàn)网络设备）為(wèi)信息处理(lǐ)和传输提供极大便利的同时，也為(wèi)机密信息的扩散和泄露带来了可(kě)能(néng)。尤其是USB接口的计算机周边设备的丰富，使得计算机与其他(tā)外部设备，如U盘，USB打印机等连接十分(fēn)方便，并能(néng)轻而易举地通过USB设备将外部数据导入或者内部数据导出，為(wèi)重要数据的保护带来了巨大的安全隐患。因此，对终端物(wù)理(lǐ)端口的控制是必不可(kě)少的。
7、移动存储介质的管理(lǐ)
    移动存储介质已经得到普及应用(yòng)，移动存储介质使用(yòng)灵活、方便，使它在各个单位的信息化过程中迅速得到普及，越来越多(duō)的敏感信息、秘密数据和档案资料被存贮在移动存储介质里，大量的秘密文(wén)件和资料变為(wèi)磁性介质、光學(xué)介质，存贮在无保护的移动存储介质中，这给医院涉及设计、研发信息资源带来相当大的安全隐患。存储介质作為(wèi)医院核心商(shāng)业机密和敏感信息的载體(tǐ)，实现对它们安全、有(yǒu)效的管理(lǐ)是保证医院信息安全的重要手段。
8、网络接入控制
    若不对接入网络的计算机设备进行认证，则每一台外来的计算机设备只要通过涉密网内的任何一个端口连接，则整个网络都将向其开放，这显然对于内部网络安全而言是巨大的安全隐患。因此，需要对计算机终端的接入进行有(yǒu)效的监视和控制。通过提取接入计算机的物(wù)理(lǐ)特征，可(kě)以判断该计算机是否為(wèi)医院内网上授权接入的计算机，如果為(wèi)非授权计算机，则视為(wèi)非法主机。对非法主机需要采取必要的方式进行阻断和隔离，从而保证该计算机无法访问内网的相关资源。


解决方案
1、针对人员非法接入的问题
    对非授权用(yòng)户接入网络需要身份认证，在用(yòng)户身份认证时，可(kě)绑定用(yòng)户接入IP、MAC、接入设备IP、端口等信息，进行强身份认证，防止帐号盗用(yòng)、限定帐号所使用(yòng)的终端，确保接入用(yòng)户的身份安全。对于安全状态评估不合格的用(yòng)户，可(kě)以限制其访问权限，被隔离到神盾网络隔离區(qū)，待危险终端到达安全级别后方可(kě)入网。可(kě)以限制接入网络的用(yòng)户必须安装、运行或禁止安装、运行其中某些软件。对于不符合安全策略的用(yòng)户可(kě)以记录日 志(zhì)、提醒或隔离。对于外来计算机由于业務(wù)需要接入内网或者访问Internet时，针对对方IP、MAC等端口做授信暂时放行；可(kě)以限制用(yòng)户只能(néng)在允许的时间和网络IP段内（接入设备和端口）使用(yòng)网络。
2、针对由于业務(wù)网与互联网物(wù)理(lǐ)隔离导致的操作系统补丁无法及时更新(xīn)，安全漏洞无法及时解决等问题：
    神盾基于补丁分(fēn)发管理(lǐ)功能(néng)，可(kě)自动实现终端主机的系统补丁更新(xīn)。降低终端主机感染病毒的机会，增强安全性。
3、针对因医院员工滥用(yòng)移动存储设备造成的信息泄露和病毒泛滥：
    神盾可(kě)在在線(xiàn)和离線(xiàn)的情况下，对终端主机硬件外设接口进行有(yǒu)选择性的禁用(yòng)管理(lǐ)；
4、针对内部人员滥用(yòng)P2P软件，造成网络带宽被占用(yòng)，工作效率下降的问题：
    神盾基于程序黑白名单等技术，对终端行為(wèi)进行约束，终端只能(néng)运行被允许的特定应用(yòng)程序。通过设定终端主机流量来控制终端主机的访问流量；
5、针对终端主机硬件信息统计困难的问题：
    神盾可(kě)随时统计终端主机的硬件配置和软件程序，并形成报表。
    由于医院员工计算机知识欠缺，管理(lǐ)员常需要到现场解决问题，神盾基于遠(yuǎn)程协助技术，让管理(lǐ)员可(kě)遠(yuǎn)程对任意终端主机进行接管及操作；
6、针对移动存储介质的管理(lǐ)问题
    神盾支持管理(lǐ)员能(néng)够集中对其所能(néng)够使用(yòng)的计算机范围和用(yòng)户范围进行设定，具體(tǐ)的接入控制可(kě)以细分(fēn)為(wèi)三种：
    A. 未授权用(yòng)户使用(yòng)该介质，或者内部人员在未授权的机器上使用(yòng)该介质，系统将自动对其进行阻断，防止涉密数据的流失；
    B. 只有(yǒu)合法的用(yòng)户在合法的机器上接入，该移动存储介质才能(néng)正常使用(yòng)；
    C. 管理(lǐ)员能(néng)够方便对存储介质进行挂失，一旦挂失，相关存储介质也将无法接入内部网络。