X医院网络安全解决方案目录一、背景描述 (3)二、问题分析 (3)三、安全规划 (4)3.1安全建议： (4)3.2安全拓扑： (5)四、产品建议 (5)4.1防火墙产品 (5)4.2入侵防护IPS (6)4.3防病毒墙 (6)4.4网闸隔离设备 (7)4.5上网行为管理设备 (8)4.6内网安全管理系统 (9)4.7存储设备 (12)4.8容灾网关 (13)4.9机房监控系统 (15)五、产品表单 (16)一、背景描述随着IT技术发展，医疗领域的IT应用系统孕育而生。

HIS一统天下的格局终将被打破，也正在被打破。

继PACS(医疗影像信息系统)快速发展后，USIS(超声信息系统)、PIS(病理信息系统)、CMS(成本核算系统)、PEIS(体检信息系统)等也在发展，未来在电子病历、社区医疗以及更大范围的健康管理方面，还会催生更多的应用。

然而随着IT技术不断发展，网络出现的问题也越来越多，例如，黑客、病毒、木马、蠕虫、间谍软件等等，为了保证医院各类医疗应用系统和办公应用系统的安全，需要对网络进行有效的安全建设和防护。

二、问题分析目前在网络安全所面临着几大问题主要集中在如下几点：●来自互连网的黑客攻击●来自互联网的恶意软件攻击和恶意扫描●来自互联网的病毒攻击●来自内部网络的P2P下载占用带宽问题●来自内部应用服务器压力和物理故障问题、●来自内部网络整理设备监控管理问题●来自数据存储保护的压力和数据安全管理问题●来自内部数据库高级信息如何监控审计问题●来自内部客户端桌面行为混乱无法有效管理带来的安全问题●来自机房物理设备性能无法有效监控导致物理设备安全的问题三、安全规划3.1安全建议：结合上述问题分析和医疗行业特性，我们建议如下：●建议在网关处部署防火墙来保证网关的安全，抵御黑客攻击●建议在网络主干链路上部署IPS来保证内部网络安全，分析和控制来自互连网的恶意入侵和扫描攻击行为。

●建议在网络主干链路上部署防毒墙来过滤来自互联网的病毒、木马等威胁●建议在网络主干链路上部署上网行为管理设备来控制内部计算机上网行为，规范P2P下载等一些上网行为。

●建议在应用区域部署负载均衡设备来解决服务器压力和单台物理故障问题●建议在网络内部部署网络运维产品，对网络上所有设备进行有效的监控和管理。

●建议在服务器前面部署网闸隔离设备，保证访问服务器数据流的安全性●建议在服务器区域部署存储设备，提供数据保护能力以及安全存储和管理能力●建议部署容灾网关，提供应用系统和数据系统容灾解决办法，抵御灾难事件带来的应用宕机风险。

●建议部署数据库审计系统，实时监测数据库操作和访问信息，做到实时监控。

●建议部署内网安全管理软件系统，对客户端进行有效的安全管理●建议部署机房监控系统，对机房整体物理性能做到实时监控，及时了解和排除物理性能的安全隐患。

3.2安全拓扑：四、产品建议4.1防火墙产品我们建议部署上海华堂HT-NW-AG04千兆防火墙，HT-NW-AG04系列是华堂网络安全防御系统千兆产品，定位于千兆级的中高端应用，是基于华堂专用操作系统（HTOS），集成了防火墙、防病毒、防垃圾邮件等众多功能在内的一体化安全网关，为大型企业、行业数据中心机构、省级政府部门等大型用户提供了一个可靠的网络安全解决方案。

产品特性：卓越的网络适应性HT-NW-AG04系列性能稳定可靠，功能丰富，技术成熟，是一款高稳定、高可靠的安全网关产品。

●主动防御技术HT-NW-AG04突破传统技术的局限，采用以协议识别、数据侦听、异常检测、关联分析等核心技术为基础的华堂主动防御技术，能从川流不息的网络流量中及时、准确地发现潜在威胁，并在其造成危害之前就将其消灭，无需任何手动干预。

●网络准入控制HT-NW-AG04采用最新的网络准入控制技术，构筑以可信代理、策略引擎、端点管理等为核心的可信网络安全体系，拒绝不符合安全策略的设备接入，保护整个网络免受病毒、蠕虫和恶意软件的威胁。

●一体化安全网关HT-NW-AG04集成了状态检测包过滤、DoS/DDoS攻击防范、扫描攻击和蠕虫攻击防范、地址欺骗攻击防范等众多安全功能，有效地保障了用户网络安全4.2入侵防护IPS4.3防病毒墙我们建议部署国际防病毒安全厂商Panda（以下简称熊猫安全）安全网关产品GDP9000，熊猫安全是一个全球领先的IT安全解决方案提供商与数百万客户，1990成立于西班牙的毕尔巴鄂，在超过200个国家和23种语言的产品。

我们的使命是开发和供应的全球安全解决方案，以防止病毒，入侵和其他网络威胁造成尽可能以最低的总拥有成本的损害我们客户的IT资源的安全。

熊猫安全提出了新的安全模式，专门设计的，坚决打击网络犯罪的新类型。

这将导致在技术及产品检测和更大的比市场平均效率得分，提供给使用者的安全水平。

熊猫安全网关Performa是可灵活扩展并完全可信赖的边界专属安全防护设备，在网关处提供最大程度的内容级威胁保护。

它能够在各类恶意软件、垃圾邮件、非法内容和其他互联网威胁进入到企业网络之前就进行阻断.它简单易用(“即插既忘”)而又能够达到全面保护，集成了恶意软件防护、反垃圾邮件、非法内容过滤等，使得熊猫安全网关Performa成为具有更高效率的安全解决方案.通过内置具有自动/手动模式的负载均衡技术都能够很好的满足各种各样的网络环境需求。

产品特性●恶意软件过滤恶意软件保护模块能够侦测并阻挡所有类型的安全威胁，并在他们进入到企业网络之前就进行拦截，例如：病毒,蠕虫,特洛伊木马,间谍软件,拨号器,玩笑程序,网络钓鱼,黑客工具,安全风险和通过其启发式引擎的发现的未知威胁.●内容过滤内容过滤功能可让您自定义类型对文件和邮件进行过滤。

它支持的过滤内容包括：最大文件大小,最大数量的压缩文件,密码保护，它还会扫描嵌套邮件以及邮件附件。

同样，它可以按照正文内容、主题、类型等进行过滤.●垃圾邮件保护熊猫安全网关Performa 能够检查企业邮件系统，减少垃圾邮件对客户工作效率的影响.●网页内容过滤选择希望禁止访问的页面类别就可以限制进出入网络的非法网页与非业务相关站点的访问，优化资源使用，提高用户的工作.●P2P和即时通讯工具阻断熊猫安全网关Performa中可以阻止存在重要安全隐患的应用程序,例如:即时消息(IM)和点对点(P2P)程序,使用这两种类型的程序都可以加以限制.4.4网闸隔离设备推荐部署珠海伟思科技网闸隔离系统，珠海伟思科技自1993年成立以来，一直立足于高新技术产业，是我国专业从事网络信息安全产品研发、生产、销售的骨干企业之一，是国家认定的双软企业、高新技术企业、生产科技型企业。

迄今为止，伟思已经自主开发了五大系列四十多款具有国际领先技术的信息安全产品，是一家具有自主研发能力、专业的信息安全产品生产企业。

经过多年不懈的努力，伟思已成为我国在信息安全领域的知名民族品牌之一。

伟思具有一支敬业、积极进取的团队，其中包括以信息安全技术专家为学科带头人和具有丰富实践经验的工程技术人员组成的科研开发团队，不仅具备自主研发网络信息安全技术及产品的能力，而且具备承担国家科研攻关项目的能力，曾多次承担并出色完成国家863课题。

同时，伟思也积极与国外著名网络安全企业及研究机构广泛交流合作，以保证公司研发能力能和国际先进水平同步，建立起完整的、具有自主知识产权和国际先进水平的信息安全技术平台。

伟思科技网闸隔离系统是一款面向大型网络的安全隔离系统，为各类党政部门、军事单位、金融电信、科研院校及企事业单位等关键部门的内部网络或服务器提供网络隔离环境下的实时隔离保护，并在可控状态下实现内部网络或服务器与外界的实时（适度）信息交换。

采用独特的“2+1”安全体系架构，由内网系统端，中间隔离部件，外网系统端三部分组成；通过基于ASIC芯片技术设计的专用物理隔离部件，实现用户关键网络及服务系统与外界的物理隔断，实现链路层与网络层的彻底断开。

采用独特的协议剥离与重组技术，有效阻断来自网络层及服务器OS层的各类已知/未知攻击，并通过摆渡机制在可控环境下实现内外网间应用层数据交换。

广泛支持各类通用应用协议，支持数据库访问同步、文件访问同步、视频会议、流媒体以及VPN等特殊应用代理以及用户定制协议，无需再进行二次开发或单独购买模块。

智能化攻击识别与过滤，采用先进的应用层协议分析技术智能识别并过滤大量应用层攻击行为，提供市场上最丰富的协议分析模块，全面防护各类应用系统安全风险，包括：HTTP、FTP、SMTP、POP3、IMAP、DNS等数十种协议分析功能。

媒体增强功能提供媒体文件格式的特征检查，实现基于应用程序绑定的认证功能，采用私有协议实现应用系统与网闸间的通讯，内置加密安全隧道，支持所有通讯加密传输。

4.5上网行为管理设备上网行为管理设备我们推荐部署北京网康科技上网行为管理产品，北京网康科技有限公司（NetentSec, Inc.）是全球内容安全领域的领先者，提供创新的上网行为管理产品与服务，帮助用户更好地驾驭和使用互联网。

网康的产品全面细致地帮助用户实现上网行为管理、内容安全管理、带宽分配管理、网络应用管理、外发信息管理，有效解决互联网带来的管理、安全、效率、资源、法律、青少年网瘾等问题。

作为国内上网行为管理行业的领导者，网康科技不断探索最前沿的互联网控制管理技术，坚持走自主创新和自主研发之路，凭借创新的产品理念、领先的技术优势以及本地化的服务优势，经过不懈努力，网康科技实现了跨越式的发展，不仅在中国市场居于领先地位，还成功打开日本市场，成为信息安全市场成长最快的厂商之一。

目前，全球越来越多的用户正在体验网康科技带来的更易管理、更加安全、更加文明的互联网空间。

网康互联网控制网关（NetentSec Internet Control Gageway，简称NS ICG）是北京网康科技有限公司推出的一款专业的上网行为管理产品，是面向企业用户的软硬件一体化的控制管理网关。

它提供强大的网页过滤功能，屏蔽员工对非法网站的访问；提供基于时间、用户、应用的精细管理控制策略，管理员工在上班时间玩网络游戏、炒股、观看在线视频，以及无节制地网络聊天，从而保障工作效率；提供对通过电子邮件、即时通讯、论坛发帖等途径的外发信息进行监控审计，避免企业机密信息泄露；此外，网康ICG还提供应用层的带宽管理功能，有效阻止、限制P2P等严重消耗带宽的应用，确保企业的核心业务带宽得以保障。

4.6内网安全管理系统内网安全管理系统建议部署智能网全™网络终端管理平台，智能网全™网络终端管理平台是一个具有多级管理能力的分布式系统平台，该系统平台提供了全面的多级管理，多管理点、权限分配和数据共享的能力，适用于不同规模和不同复杂程度的局域网管理需求，为网管人员提供一个可以同时面向终端用户、应用系统和计算机网络本身三个层面，依据管理、安全和维护三位一体设计思想的网络终端管理平台。