医院信息安全产品的选型原则

1. 1.医院信息安全产品的选型原则

医院的网上业务模式如下医院网络安全系统是一个要求高可靠性和安全性的网络系统。医院的网络总体上采用的Client/Server模式。门诊管理信息（挂号、收费、划价）、药品管理信息（门诊药方、住院药方、急诊药方、中草药房、药库）、住院管理分系统、后勤总务管理分系统、医生管理系统等数据需要从客户端发送到数据服务器中集中管理调用。因此如果数据库服务器中的数据被恶意修改、删除或者服务器因为某种原因瘫痪将给医院的正常工作带来严重的后果。

医 保服务器院长查询药品管理病案统计门诊管理住院管理

医院网络安全系统网络安全系统方案必须遵循如下原则：

? ? 全局原则：安全威胁来自最薄弱的环节，必须从全局出发规划安全系统。医院网络安全系统安全体系，遵循中心统一规划，。

? ? 综合性原则：网络安全不单靠技术措施，必须结合管理，当

前我国发生的网络安全问题中，管理问题占相当大的比例，因此需要医院网络安全系统必须建立相应的制度和管理体系。

? ? 均衡性原则：安全措施的实施必须以根据安全级别和经费限度统一考虑。网络中相同安全级别的保密强度要一致。

? ? 节约性原则：整体方案的设计应该尽可能的不改变原来网络的设备和环境，以免资源的浪费和重复投资。

在为各安全产品选型时，我们要保证所选产品的先进性及可靠性，同时要考

虑将来的系统扩展性。

2. 2.网络与信息安全平台的任务

网络与信息安全平台的任务就是创建一个完善的安全防护体系，对所有非法网络行为，如越权访问、病毒传播、恶意破坏等等，做到事前预防、事中报警并阻止，事后能有效的将系统恢复。

我们可以看出，网络上任何一个安全漏洞都会给黑客以可乘之机。著名的木桶原理（木桶的容量由其最短的木板决定）在网络安全里尤其适用。所以，我们的方案必须是一个完整的网络安全解决方案，对网络安全的每一个环节，都要有仔细的考虑。

2.1. 2.1. 网络安全解决方案的组成

为了更为有效的保证网络安全，三星计算机安全提出了两个理念：立体安全防护体系和安全服务支持。首先网络的安全应该是分层的保护体系，不仅要考虑到网络传输安全，还要考虑到数据的安全。网络的传输安全可通过防火墙作为第一道安全屏障，同时可以考虑数据备份冗余系统作为灾难数据恢复，可作为第二道防线。此外还可以考虑漏洞评估系统来体系组成强大的安全防护体系；其次真正的网络安全一定要配备完善的高质量的安全维护服务，以使安全产品充分发挥出其真正的安全效力。

一个好的网络安全解决方案应该由如下几个部分组成：

2.1.1. 2.1.1. 防火墙

防火墙是在两个网络之间执行控制策略的系统包括硬件和软件目的是不被非法用户侵入，本质上它遵循的是一种允许或禁止业务来往的网络通信安全机制，也就是提供可控的过滤网络通讯只允许授权的通讯。

基于Internet 体系应用有两大部分：Intranet 和Extranet。 Intranet是借助Internet 的技术和设备在Internet 上面构造出企业WWW 网，可放入企业全部信息；而Extranet 是在电子商务互相合作的需求下，用Intranet 间的通道，可获得其它体系中部分信息，按照一个企业的安全体系可以在以下位置部署防火墙

2.2. 2.2. 防火墙的类型

作为内部网络与外部公共网络之间的一道屏障，防火墙是最先受到人们重视的网络安全产品。虽然从理论上看，防火墙处于网络安全的最底层，负责网络间的安全管理与信息传输，但随着网络安全技术的整体发展和网络应用的不断变化，现代防火墙技术已经逐步走向网络层之外的其他安全层次，不仅要完成传统防火墙的包过滤和代理任务，同时还应能为各种网络应用提供相应的安全服务。

根据防火墙所采用的技术不同，我们可以将它分为四种基本类型：包过滤型防火墙、代理型防火墙、状态检测型防火墙和综合型防火墙。

2.2.1. 2.2.1. 包过滤型防火墙

包过滤型产品是防火墙的初级产品，其技术依据是网络中的分包传输技术。网络上的数据都是以“包”为单位进行传输的，数据被分割成为一定大小的数据包，每一个数据包中都会包含一些特定信息，如数据的源地址、目标地址、TCP/UDP源端口和目标端口等。防火墙通过读取数据包中这些信息，可以获得其基本情况，并经分析后对其做出相应的处理，比如通过读取地址信息，防火墙可以判断一个“包” 是否来自可信任的安全站点，一旦发现来自危险站点的数据包，防火墙便会将这些数据拒之门外。系统管理员也可以根据实际情况灵活制订判断规则。

包过滤技术的优点是简单实用，实现成本较低，同时处理效率高。在应用环境比较简单的情况下，能够以较小的代价在一定程度上保证系统的安全，并且保证网络具有比较高的数据吞吐能力。

包过滤技术的缺陷也很明显。包过滤技术是一种完全基于网络层的安全技术，只能根据数据包的源地址、目的地址和端口等基本网络信息进行判断，无法

识别基于应用层的恶意侵入，如恶意的Java小程序以及电子邮件中附带的病毒。有经验的黑客很容易伪造IP地址，骗过包过滤型防火墙。

2.2.2. 2.2.2. 代理型防火墙

代理型防火墙以代理服务器的模式工作，在应用层工作，它的安全性要高于包过滤型产品。代理服务器位于客户机与服务器之间，完全阻挡了二者间的数据交流。从客户机来看，代理服务器相当于一台真正的服务器；而从服务器来看，代理服务器又是一台真正的客户机。当客户机需要使用服务器上的数据时，首先将数据请求发给代理服务器，代理服务器再根据这一请求向服务器索取数据，然后再由代理服务器将数据传输给客户机。由于外部系统与内部服务器之间没有直接的数据通道，外部的恶意攻击也就很难触及到企业内部网络系统。

代理型防火墙的优点是安全性较高，可以针对应用层进行侦测和扫描，对付基于应用层的恶意入侵和病毒都十分有效。

代理型防火墙的缺点是对系统的整体性能有较大的影响，系统的处理效率会有所下降，因为需要将数据包的内容层层展开并重组后，才能够完成整个的数据处理流程，数据包的吞吐能力要明显低于包过滤防火墙；同时，代理服务器必须针对客户机可能产生的所有应用类型逐一进行设置，大大增加了系统管理的复杂性。

2.2.3. 2.2.3. 状态检测型防火墙

状态检测型防火墙检测每一个有效连接的状态，并根据这些信息决定网络数据包是否能够通过防火墙。由于一般不对数据包的上层协议封装内容进行处理，故状态检测型防火墙的包处理效率要比代理型防火墙要高；同时，必要时可以对数据包的应用层信息进行提取，故状态检测型防火墙又具有了代理型防火墙的安全性特征。

由上可知，状态检测型防火墙提供了比代理型防火墙更强的网络吞吐能力和比包过滤型防火墙更高的安全性，在网络的安全性和数据处理效率这两个相互矛

盾的因素之间进行了非常好的协调，但它并不能根据用户策略主动地控制数据包的流动，随着用户对通讯速度的进一步要求，状态检测技术需进一步改善。

2.2.4. 2.2.4. 综合型防火墙

新一代综合型防火墙在融合了上述几种防火墙的技术特点之外，还综合了加密技术、入侵检测技术、病毒检测技术、内容过滤技术等一系列安全措施，全方位地解决网络传输所面临的安全威胁。

综合性防火墙应用于网络边际安全的防范领域。针对影响网络边际安全的病毒破坏、黑客入侵、黄色站点、非法邮件、数据窃听等不安全因素，提供集成入侵检测、内容过滤功能，已经远远超越了最初定义的防火墙的功能范畴，形成动态的、全方位的网络边界安全解决方案。

近几年来，一些有实力的大公司投入巨资研发综合型防火墙，以替代前三类功能单一的产品。目前，综合型防火墙已成为信息安全市场上的主导产品。三星secuiWALL防火墙就是综合型防火墙产品的典型代表。

防火墙是保证网络安全的重要屏障。防火墙根据网络流的来源和访问的目标，对网络流进行限制，允许合法网络流，并禁止非法网络流。防火墙最大的意义在网络边界处提供统一的安全策略，有效的将复杂的网络安全问题简化，大大降低管理成本和潜在风险。在应用防火墙技术时，正确的划分网络边界和制定完善的安全策略是至关重要的。

发展到今天，好的防火墙往往集成了其他一些安全功能。比如三星

secuiWALL防火墙在很好的实现了防火墙功能的同时，也实现了下面所说的入侵检测功能；

2.3. 2.3. 数据备份系统

对于医院信息系统安全而言，安全性需求就更加的高，属于超高安全要求下的网络保护范围，因此需要在这些地方使用2台防火墙进行双机热备，以保证数据稳定传输。

2.3.1. 2.3.1. 数据备份

网络安全界的一个玩笑就是：要想安全，就不要插上网线。这是一个简单的原理：如果网络是隔离开的，那么网络攻击就失去了其存在的介质，皮之不存，毛将焉附。

但对于需要和外界沟通的实际应用系统来说，完全的物理隔离是行不通的。

3. 3.安全架构分析与设计

网络整体结构

医院网络业务应用模式典型拓扑示意图如下。网络模式虽然简单，但是医院信息管理系统的各个模块的数据通过客户端/服务器模式从客户端采集发送到SQL-SERVER数据库服务器集中管理。所涉及到的数据有门诊业务管理数据、住院管理数据、药品管理数据、病案统计管理数据、以及医保相关数据等等。因此数据库服务器中的数据的安全性将直接影响到整个医院的业务的进行。因此我们考虑在客户端与服务器之间架设防火墙来有效地保护数据库服务器本身的安全。同时在数据库服务器上设置数据备份系统，以保证当系统瘫痪时对数据进行有效及时地恢复。这样一来，通过防火墙和数据备份系统为医院信息管理系统及数据的安全提供了强大的保障。

医 保服务器防火墙院长查询数据备份药品管理病案统计门诊管理住院管理

网络结构示意图

4. 4.产品选型

4.1. 4.1. 防火墙的选型

我们采用三星secuiWALL防火墙。三星secuiWALL防火墙是一个很优秀的防火墙，同时它集成强大的入侵检测功能。其强大的功能和卓越的性能可适应各种复杂的网络。

4.1.1. 4.1.1. 产品概述

三星secuiWALL防火墙是三星计算机安全公司公司的主要安全产品之一。由于它采用最前沿的防火墙技术，因此从功能和性能上可以满足各种不同行业用户需求。

4.1.2. 4.1.2. 产品特点

略

4.2. 4.2. 主要功能简介

略

4.3. 4.3. 漏洞评估产品选型

4.3.1. 4.3.1. 漏洞评估产品的需求

安全漏洞在近年数量递增的速度以及信息系统安全的脆弱性,黑客技术的发展等使我们处于极度的安全危机中。漏洞评估就是依据黑客攻击的思想开发的漏洞扫描产品，用以在黑客发起攻击前先堵住他可能利用的途径。

一般黒客的攻击过程： 1. 1. 系统漏洞搜集； 2. 2. 登录系统并为所欲为； 3. 3. 安装后门程序； 4. 4. 删除所有留下的痕迹； 5. 5. 退出。

使用漏洞评估，将系统与设备漏洞预先报告给您，并提出相应解决建议，可以协助您断掉黒客攻击的前提与基础。

4.3.2. 4.3.2. secuiSCAN高效、全面、透明的漏洞评估

解决方案

4.3.2.1. 4.3.2.1. secuiSCAN 漏洞评估解决方案简述

随着网络安全产业的逐步发展，漏洞评估工具逐渐成为不可替代的事前安全分析工具。三星计算机安全公司推出的漏洞评估解决方案：SECUISCAN是一种基于网络的综合漏洞评估工具。它具有网络漏洞评估工具的功能之外，还具有强大的基于主机的漏洞评估工具和数据库扫描工具的功能，是一种基于网络的综合型的漏洞评估解决方案。

从目前市场上的漏洞扫描工具来说，可以分为三类。第一种是基于网络的漏洞扫描工具；第二种是基于主机的漏洞扫描工具；第三种是应用漏洞扫描工具（主要为数据库漏洞扫描工具）。对于基于主机和应用的漏洞扫描工具来说，需要将扫描引擎安装在需要扫描的目标主机中。从安装来说，目标系统的种类繁多，其配置方法也各不相同。因此给安装和维护带来不便，同时也可能会给系统带来额外的负荷。而一般的基于网络的漏洞扫描工具对特定应用和系统的扫描功能不够强大。因此三星计算机安全公司推出了集成基于主机的漏洞扫描工具和应用漏洞扫描工具功能的基于主机的综合型漏洞评估解决方案。

通过三星计算机安全公司扫描工具可以从远程扫描目标系统，而无需将扫描引擎安装在目标系统中。此外由于它集成了基于主机和应用的漏洞扫描工具的功能，因此可以解决其所具有的弊端。

4.3.2.2. 4.3.2.2. secuiSCAN 高效、全面、透明的漏洞评估解

决方案主要特点

? ?

综合诊断网络安全漏洞

? ? 一般UNIX、Windows系列操作系统的安全漏洞

? ? 路由器等网络设备，防火墙和入侵检测系统（IDS）等安全设备的安全漏洞

? ? 安装简便，使用方便，结构简单

? ? 执行Setup.exe就可完成安装，无需重启，并且单键点击就可完成诊断功能

? ? 在WINDOWS 2000/NT上独立安装使用

? ? 扫描DBMS系统无需安装另外的Component（SQL*NET）

? ? 区域单位管理

? ? 自定义IP地址范围区域，对区域进行所有操作及再使用（打开、保存、加载）

? ? 提供智能、快速的扫描引擎

? 扫描结果跟扫描模块互参照的方式运行本身的数据仓库，以便相互连接扫描模块

? 扫描结果跟扫描模块互参照的方式? 运行本身的数据仓库，以便相互连接扫描模块

? ? 互相参照扫描结果来找出已知漏洞的连接而产生的新的漏洞 ? 检查 Oracle DBMS 时自动获取 SID 并连接到数据库进行检查自动检测操作系统并进行精细的端口扫描自动检测操作系统并按系统采取对应的扫描方式 提供包含多种秘密扫描TCP 端口扫描 以多线程方式并列检查多种系统

? ? 最多同时检查100个(选项)

? ? 自动更新漏洞检查模块

? ? 含有自动更新程序，可跟踪当前最新漏洞 ? ? 利用SECUi.COM自行开发的文件收发信协议 ? ? 检查模块以插件形式更新

? ? 时间计划（Schedule）操作 ? ? 预约检查方式及自动提供报告

? ? 在GUI预约菜单中制定计划（DOS作业窗口中利用AT Command, Scheduling完成）

? ? 可将扫描结果以邮件方式传送给指定地址

? ? 漏洞检查结果有多种报告形式 ? ? 8种HTML报告格式及精美的打印功能 ? ? 推理分析特定时间段的漏洞 ? ? 为用户提供自定义扫描选项

? ? 可选择性地检查网络服务的功能 (全部项目为默认方式)

? ? Telnet : 定义用户默认 ID/密码检查项目 ? ? SNMP : 定义要检查的 Community Name 用户 ? ? FTP : 用户不是匿名时, 可以定义ID/密码检查 ? ? Web : 除80以外, 均能设置用户所定义的端口

? ? Timeout : 对于Telnet, SNMP, SMTP, FTP 等网络服务,均可设置限制连接的时间

? ? 提供检测其他当前流行数据库、路由器漏洞的选项

4.3.2.3. 4.3.2.3. secuiSCAN产品说明 4.3.2.3.1. 4.3.2.3.1. 产品特点

略

4.3.2.3.2. 4.3.2.3.2. secuiSCAN产品分类

略

4.3.2.3.3. 4.3.2.3.3. secuiSCAN性能指标

略

4.4. 4.4. 整体方案优势

方案总体功能上能达到： ? ? ? ? ? ?

? 立体的、全方位的、多层次防护体系 ? 卓越的网络性能 ? 丰富的应用拓展能力 ? 完善的安全保护措施 ? 全面的可靠性 ? 灵活的互连能力

? ? ?

? 可扩充能力

? 开放性及安全性有机结合 ? 跨平台的网络管理方式

卓越的网络性能

在医院网络中，卓越的网络性能是网上开展各种应用的必要保证，三星计算机安全提供的全面网安全解决方案全部采用业界最新一代防火墙――第三类防火墙。第三类防火墙集合软、硬防火墙的优劣，

具有专有操作系统，通过先进的分类算法技术、内核处理、多线程代理及特定的硬件平台实现防火墙的全线速处理，从而保证不产生网络延时。同时采用的入侵检测产品也是属于旁路监听方式，因此不会影响正常的网络性能。

丰富的应用拓展能力

三星secuiWALL防火墙产品不但能够线速地处理流量，而且能够支持多种复杂的协议和应用，从而使各种应用不受防火墙的限制。 三星secuiWALL产品可支持SUN RPC 、SQL* NET、FTP (Passive/Active)、PPTP、H.323、IPSec、TFTP等多种应用程序及相关调用，并且可对这些程序进行策略控制。

另外，三星secuiWALL产品具有丰富的代理内容，包括HTTP、SMTP、DNS等。并且可针对这些代理定制丰富的应用内容和进行策略编辑。

立体的、多层的全面保护体系

本医院安全系统采用防火墙、数据备份系统、漏洞扫描来组成综合安全保护体系。首先由防火墙在数据库的网络入口处进行第一次的身份验证与异常行为的过滤，使大部分的入侵攻击无法进入网络内部，只打开与医院信息管理系统相关的端口，这样可以有效地阻断各种攻击之外，还能过滤通过邮件、WWW等传播的病毒。此外在数据库服务器上设置数据备份系统，这样可以避免因数据丢失而带来的医院正常网上业务的进行。此外，我们还根据用户具体环境与需求，提供漏洞扫描评估产品作为整个安全系统的事前评估，从而可以事先弥补

各种安全漏洞。

全面的可靠性

在网络结构上支持高可靠性的HA结构，而且支持无需第4层交换设备的Active-Active方式。在冗余切换时，仍能稳定维持有效的会话通讯。

在操作系统开发上，secuiWALL基于Unix平台并将所选定的Unix平台予以精简。因为Unix是目前最稳定的平台，也是可扩展性最好的平台，在此平台上的开发无论是考虑产品稳定性还是可扩展性方面都是最优的选择。

这样从整体到局部，三星secuiWALL为整个网络系统提供足够的可靠性保证。

灵活的互连能力

由于医院网络资源的需求可能会随着应用的变化而发生变化，因此安全产品在互联方面应具有一定的灵活性。为满足各种不同需求而作灵活的系统配置和资源的再分配，三星secuiWALL可灵活配置到各种不同的网络环境中去。三星secuiWAll支持：

? ? 单一物理端口的多IP配置 ? ? 动态OSPF路由通讯协议

? ? NAT配置（PAT、动态NAT、静态NAT、LSNAT） ? ? 透明模式 ? ? 路由模式 ? ? VLAN Trunk

另外，灵活性也表现在策略的制定和规划上。 同时还支持集中管理、SNMP等各种具体的管理方式。

本文来源：https://www.bwwdw.com/article/owct.html