XX市中心网络安全解决方案

访问控制 安全审计 完整性检查 入侵防范 恶意代码防范 入侵防范 主机安全 安全审计 恶意代码防范 身份鉴别 安全审计 备份和恢复 数据安全与备份恢复 硬件冗余 异地备份 网络边界部署防火墙 网络日志审计、网络运维管理安全审计 采用WEB应用防火墙保证应用协议的完整性，采用基于URL地址、IP地址和黑白名单等进行的完整性检查和阻断 部署入侵防御系统/入侵检测系统、WEB应用防火墙 部署防病毒网关、WEB应用防火墙 采用服务器安全加固 采用综合安全审计 防病毒软件 通过WEB应用防火墙实现第三方认证方式对网站运维人员进行识别认证 日志审计、数据库安全审计系统 网页防篡改 关键网络设备、线路和服务器硬件冗余 异地数据备份 应用安全 3.2.2 公安部82号令合规性建设

公安部82号令中第七条规定互联网服务提供者和联网使用单位应当落实以下互联网安全保护技术措施：

（一）防范计算机病毒、网络入侵和攻击破坏等危害网络安全事项或者行为的技术措施；

（二）重要数据库和系统主要设备的冗灾备份措施

（三）记录并留存用户登录和退出时间、主叫号码、账号、互联网地址或域名、系统维护日志的技术措施；

（四）法律、法规和规章规定应当落实的其他安全保护技术措施。 公安部82号令第九条提供互联网信息服务的单位除落实本规定第七条规定的互联网安全保护技术措施外，还应当落实具有以下功能的安全保护技术措施：

（三）开办门户网站、新闻网站、电子商务网站的，能够防范网站、网页被篡改，被篡改后能够自动恢复；

第 9 页 共 23 页

XX市中心网络安全解决方案

四. 解决方案设计

4.1 安全体系设计

依据国家信息系统安全等级保护基本要求和公安部82号令的相关法规，结合对XX市中心医院网络安全分析的结果，建议从内部办公网安全防护、互联网接入安全防护两方面，采用边界安全防护技术、边界病毒防护技术、入侵防护技术、Web安全防护技术、安全审计技术和安全传输技术来实施XX市中心医院网络安全的整体防护。

图4-1：XX市中心医院网络安全防护体系

4.2 安全域划分

安全域是指同一系统内根据信息的性质、使用主体、安全目标和策略等元素的不同来划分的不同逻辑子网或网络，每一个逻辑区域有相同的安全保护需求，具有相同的安全访问控制和边界控制策略，区域间具有相互信任关系，而且相同的网络安全域共享同样的安全策略。一个安全域内可进一步被划分为安全子域，安全子域也可继续依次细化。

第 10 页 共 23 页

XX市中心网络安全解决方案

根据XX市中心医院业务访问的需要，结合信息系统分级保护的思想，将XX市中心医院网络信息系统分为核心服务器区、办公接入区、业务外联接入区、隔离防护区、网站群服务器区、互联网接入区。安全域具体划分如下图所示：

图4-2：XX市中心医院网络系统安全域划分

4.3 边界安全防护

4.3.1 产品部署

1、医院办公网接入区和隔离防护区之间部署2台网闸，双机热备，保证关键节点高可靠，并实现内外网之间的安全隔离与数据交换，避免办公网直接暴露在互联网而遭受攻击。网闸设备通过安全隔离芯片采用专有的传输协议，模拟人工考盘的方式实现内外网的有效安全物理隔离。

2、隔离防护区和互联网接入区之间部署防火墙，实现互联网用户接入的访问控制。允许互联网用户访问网站服务器、前置机服务器的特定服务端口，允许移动办公用户访问安全网关设备的特定服务端口，其他访问全部禁止。

3、核心服务器区、医院办公网接入区和业务外联接入区之间部署2台防火

第 11 页 共 23 页

XX市中心网络安全解决方案

墙，双机热备，实现内部用户及外部用户对核心服务器的访问控制。允许网站服务器、前置机服务器、安全网关设备访问核心服务器的特定服务端口，允许核心服务器访问前置机服务器，其他访问全部禁止。

产品部署如下图所示：

图4-3：XX市中心医院边界安全防护设备部署示意图

4.3.2 产品选型

1、网闸选型：

硬件多核架构，系统吞吐≥900M，千兆接口≥12个，冗余电源； 支持数据库同步、文件交换模块、数据库访问模块、FTP访问模块、邮件访问模块、安全浏览模块、TCP/UDP定制模块等功能模块；

隔离交换模块采用基于专用安全芯片设计，全硬件交换，使用PCI-E接口，采用PCI-E x4通道设计，单向最高带宽大约是10Gbps，从可信网到非可信网的数据流与从非可信网到可信网的数据流采用不同的数据通道，对通道的分离控制保证各通道的传输方向可控；

数据库同步由网闸主动发起并完成，无需在内外网数据库服务器上安装任何

第 12 页 共 23 页