XXX市医院网络安全防护技术方案

《XXX市医院网络安全防护技术方案》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、网管网络安全防护项目技术方案1.1网络安全方案1.1.1.网络现状及安全需求网络现状分析由于XXX市医院网络安全防护等级低，存在病毒、非法外联、越权访问、被植入木马等各种安全问题。网络安全需求分析通过前述的网络系统现状和安全风险分析，目前在网络安全所面临着几大问题主要集中在如下几点：l来自互连网的黑客攻击l来自互联网的恶意软件攻击和恶意扫描l来自互联网的病毒攻击l来自内部网络的P2P下载占用带宽问题l来自内部应用服务器压力和物理故障问题、l来自内部网络整理设备监控管理问题l来自数据存储保护的压力和数据安全管理

2、问题l来自内部数据库高级信息如何监控审计问题l来自内部客户端桌面行为混乱无法有效管理带来的安全问题l来自机房物理设备性能无法有效监控导致物理设备安全的问题－6－网管网络安全防护项目技术方案1.1.1.总体安全策略分析为确保XXX市医院网络系统信息安全，降低系统和外界对内网数据的安全威胁，根据需求分析结果针对性制定总体安全策略：l在网关处部署防火墙来保证网关的安全，抵御黑客攻击l在网络主干链路上部署IPS来保证内部网络安全，分析和控制来自互连网的恶意入侵和扫描攻击行为。l在网络主干链路上部署防毒墙来过滤来自互联

3、网的病毒、木马等威胁l在网络主干链路上部署上网行为管理设备来控制内部计算机上网行为，规范P2P下载等一些上网行为。l在应用区域部署负载均衡设备来解决服务器压力和单台物理故障问题l在网络内部部署网络运维产品，对网络上所有设备进行有效的监控和管理。l在服务器前面部署网闸隔离设备，保证访问服务器数据流的安全性l在服务器区域部署存储设备，提供数据保护能力以及安全存储和管理能力l部署容灾网关，提供应用系统和数据系统容灾解决办法，抵御灾难事件带来的应用宕机风险。l部署数据库审计系统，实时监测数据库操作和访问信息，做到实时

4、监控。l部署内网安全管理软件系统，对客户端进行有效的安全管理l部署机房监控系统，对机房整体物理性能做到实时监控，及时了解和排除物理性能的安全隐患。1.1.2.1.安全拓扑－6－网管网络安全防护项目技术方案1.1.2.1.防火墙访问控制Internet与服务器区域存在网络连接，必须明确边界，实施边界防护控制。而部署防火墙产品是实施边界防护控制最为简洁而又有效的方式。由于服务器区域的安全等级高于Internet网络，因此Internet网络与服务器区域之间的安全防护设备应部署在服务器区域一侧。lInternet网

5、络作为防火墙的不可信网络、服务器安全域放到防火墙DMZ区、网医院内部网络作为可信任网络；l严格限定Internet网络对DMZ区所开放的服务访问的源、目的地址和服务类型；l严格限定DMZ区对网管网的访问的源、目的地址和服务类型；l严格控制Internet网络对医院内网的直接访问。1.1.2.2.病毒防护－6－网管网络安全防护项目技术方案针对防病毒危害性极大并且传播极为迅速，必须配备从服务器到单机的整套防病毒软件，防止病毒入侵主机并扩散到全网，实现全网的病毒安全防护。并且由于新病毒的出现比较快，所以要求防病毒系

6、统的病毒代码库的更新周期必须比较短。针对信息系统的具体情况，我们建议在Internet网络与医院内网之间安装防病毒网关防范病毒，检查所有通过的网络数据包，防范通过SMTP、FTP、HTTP、POP3、IMAP、NNTP等多种协议传播的病毒。对于主机，则采用统一管理，分组部署的管理模式。1.1.2.1.入侵检测系统在许多人看来，有了防火墙，网络就安全了，就可以高枕无忧了。其实，这是一种错误的认识，防火墙是实现网络安全最基本、最经济、最有效的措施之一。防火墙可以对所有的访问进行严格控制（允许、禁止、报警）。但它是

7、静态的，而网络安全是动态的、整体的，黑客的攻击方法有无数，防火墙不是万能的，不可能完全防止这些有意或无意的攻击。必须配备入侵检测系统，对透过防火墙的攻击进行检测并做相应反应（记录、报警、阻断）。入侵检测系统和防火墙配合使用，这样可以实现多重防护，构成一个整体的、完善的网络安全保护系统。1.1.2.2.上网行为管理按照一定的安全策略，利用记录、系统活动和用户活动等信息，检查、审查和检验操作事件的环境及活动，帮助用户更好地驾驭和使用互联网。全面细致地帮助用户实现上网行为管理、内容安全管理、带宽分配管理、网络应用管

8、理、外发信息管理，有效解决互联网带来的管理、安全、效率、资源、法律等问题。－6－网管网络安全防护项目技术方案整体安全解决方案通过对XXX医院整体网络结构深入、全面的分析，提出XXX医院网络安全优化方案。1.1.3.1.防火墙部署防火墙部署描述如下：l防火墙选择四个网络端口；l一个Untrust口连接Internet网络；l一个Trust口连接医院内网络；l一个DMZ口连接开放服务域；l一个口备用；l