《【XX医院】信息安全建设方案-XXXX-01-15.docx》由会员分享，可在线阅读，更多相关《【XX医院】信息安全建设方案-XXXX-01-15.docx（62页珍藏版）》请在三一办公上搜索。
1、XXXX医院信息安全建设方案二 一 六 年 一 月 第1页目 录一. 概述1(一) 项目背景1(二) 建设目标1(三) 依据标准规范2(四) 建设原则31. 全方位提升网络和系统实体的安全性、抗攻击性32. 信息系统的可用可靠性、安全性和保密性33. 强调系统运行状态的可控性34. 安全系统的可管理性35. 需求、风险、代价平衡的原则36. 先进性原则47. 可扩展性原则48. 多重保护原则49. 标准性原则410. 易操作性原则4二. 医院网络现状及需求分析5(一) 网络结构描述5(二) 应用系统描述5(三) 医院网络安全现状5(四) 医院网络的安全需求6三. IT流程规范化改进咨询服务7(
2、一) 关于IT流程改进咨询7(二) 提供IT流程知识管理及任务管理系统及服务7(三) IT流程改进目标7(四) IT流程改进原则7(五) IT流程改进服务需求说明81. 建立IT流程体系规划和持续改进机制82. 建立信息中心部门基本制度83. 建立医院信息化管理制度94. 建立完善系统维护流程95. 建立信息安全管理制度106. 建立应急预案与演练机制107. 建立项目管理制度118. 建立统计工作制度119. 编制详细作业指导书SOP11四. 安全建设方案12(一) MPDRR安全模型12(二) 信息安全拓扑图13(三) 网络防火墙系统141. 产品概述142. 产品特点14(四) WEB安
3、全防护系统171. 产品概述172. 产品特点18(五) 运维审计系统231. 产品功能23(六) 上网行为管理系统291. 产品功能292. 产品的技术优势34(七) 数据库审计系统（防统方系统）361. 产品概述362. 特色与优势36(八) 终端安全管理系统391. 主要功能特点392. 详细功能描述40五. 信息安全专业服务43(一) 安全规划服务431. 总体架构432. 安全建设规划46(二) 安全评估服务481. 服务描述482. 安全扫描工具48(三) 安全加固服务491. 服务描述492. 服务内容50(四) 安全巡检服务51(五) 应急响应服务511. 服务承诺512. 安
4、全事件预警513. 应急响应规范534. 应急响应流程54(六) 安全信息服务55(七) 安全培训服务55(八) 信息化安全服务清单55六. 信息安全建设方案清单57一. 概述(一) 项目背景医院是一个信息和技术密集型的行业，一般其计算机网络划分为业务网络和办公网络，作为一个现代化的医疗机构的计算机网络,除了要满足高效的内部自动化办公需求以外,还需要对外界的通讯保证畅通。结合医院复杂的HIS、RIS、PACS等应用系统，需要网络必须能够满足数据、语音、图像等综合业务的传输要求，所以需要在网络上应运用多种高性能设备和先进技术来保证系统的正常运作和稳定的效率。同时医院的网络系统连接着Interne
5、t、医保专网等网络，访问人员和物理上的网路边界比较复杂，所以如何保证医院网络系统中的数据及应用的安全显得尤为重要。在日新月异的现代化社会进程中，计算机网络几乎延伸到了世界每一个角落，它不停的改变着我们的工作生活方式和思维方式，但是，计算机信息网络安全的脆弱性和易受攻击性是不容忽视的。由于网络设备、计算机操作系统、网络协议等安全技术上的漏洞和管理体制上的不严密，都会使计算机网络受到威胁。我们可以想象一下，对于一个需要高速信息传达的现代化医院，如果遭到致命攻击，会给社会造成多大的影响。在医院行业的信息化建设过程中，信息安全的建设虽然只是一个很小的部分，但其重要性不容忽视。便捷、开放的网络环境，是医
6、院信息化建设的基础，在数据传递和共享的过程当中，业务数据的安全性要切实地得到保障，才能保障医院信息化业务系统的正常运行。然而，如果我们的数据面临着越来越多的安全风险，将对业务的正常运行带来威胁。所以，在医院的信息化建设过程中，我们应当正视网络及系统可能面临的各种安全风险，对网络威胁给予充分的重视。为了医院信息网络的安全稳定运行，确保医院信息系统建设项目的顺利实施，结合具体的网络和应用系统现状，根据医院目前的计算机信息网网络特点及安全需求，本着切合实际、保护资产、着眼未来医疗信息化动态发展的原则，提出本安全建设方案。(二) 建设目标医院将通过本次网络系统及网络安全规划与建设，将医院的网络建设成为
7、一个具有现代化、多功能、结构化、智能化的综合性网络系统。医院网络系统是为医院内部提供网络信息系统应用的IT基础平台，包括PACS/RIS系统、HIS/OA信息系统、管理、科研和多业务的综合信息服务网络系统。首先，通过网络系统安全进行全面的升级改造，建立可为医院内部医疗信息管理、科研提供一个技术先进、高安全性的信息化网络环境。同时院内的医疗信息管理（PACS/RIS/HIS系统）、多媒体系统、远程会诊系统、网上挂号、数据库管理系统等，都可以通过医院信息网络平台安全、高效的网络来运行和工作。满足医院内外网的通讯要求。包括Internet服务远程移动办公服务、远程医疗协助、网上挂号等数据信息下载及视
8、频会议等。在适应网络发展趋势和医院的实际网络需求基础上，既要能满足同济医院的信息网络系统使用需求，并兼顾今后网络系统易扩充性和可管理性。通过对网络系统络进行统一的整体设计、规划，为医院网络系统打造一个长期、稳定、高效、安全的运行环境，以及医院未来的发展和建设打下良好的网络平台基础。并将重点放在系统的稳定性、开放性、可扩展能力上，使系统持续稳定运行，既可满足现有的医疗信息系统的应用需要，又可方便满足今后系统的升级及应用需求，避免重复投资。(三) 依据标准规范l GB17859-1999 计算机信息系统安全保护等级划分准则l GB/T 22240-2008 信息安全技术 信息系统安全等级保护定级指
9、南l GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求l 信息系统安全等级保护实施指南 （征求意见稿）l 信息系统安全等级保护评估准则 （征求意见稿）l GB/T 20008-2005 信息安全技术 操作系统安全评估准则l GB/T 20009-2005 信息安全技术 数据库管理系统安全评估准则l GB/T 20010-2005 信息安全技术 包过滤防火墙评估准则l GB/T 20011-2005 信息安全技术 路由器安全评估准则l GB/T 21052-2007 信息安全技术 信息系统物理安全技术要求l GB/T 19715.2-2005 信息技术 信息技术安全管理
10、指南 第2部分：管理和规划信息技术安全l GB/T 20984-2007信息安全技术 信息安全风险评估规范l GB/T 19716-2005信息技术 信息安全管理实用规则(四) 建设原则1. 全方位提升网络和系统实体的安全性、抗攻击性安全性设计从全方位、多层次加以考虑，即通过物理层、链路层、网络层、系统层、应用层等的安全技术措施以及安全管理来确实保证系统的整体安全。保证各种相关的网络和系统具有相当的抗攻击性，能够检测并及时对各种攻击行为做出响应。2. 信息系统的可用可靠性、安全性和保密性首先关注系统的可用性和可靠性，在可用可靠性基础上，进一步强调安全性和保密性问题，即信息在存储或传输过程中保持
11、不被修改、不被破坏和不丢失。对信息的使用进行相关的授权。信息的传输和传播的过程进行相关的控制、监视和跟踪。3. 强调系统运行状态的可控性强调对全网上各种资源的度量和监管，对整个网络和系统的相关状况进行实时监控，对应用服务、数据和资源的使用进行监控。对网络故障、操作错误、应用程序错误、硬件故障、系统软件错误及计算机病毒所产生的潜在威胁加以控制。4. 安全系统的可管理性采用“技术管理”并重的模式，强调系统的可管理性，通过管理措施、机制和技术相结合，做到事先防范，事后补救；从人的角度考虑，通过安全教育与培训，提高工作人员安全方面的意识和技术素质；通过建立各种安全管理制度，提高员工的安全意识，规范员工
12、的行为，主动自觉地利用各种工具去加强安全性；通过各种技术手段，建立所有相关安全产品的管理体系。5. 需求、风险、代价平衡的原则对任一网络，绝对安全难以达到，也不一定是必要的。对一个网络进行实际研究（包括任务、性能、结构、可靠性、可维护性等），并对网络面临的威胁及可能承担的风险进行定性与定量相结合的分析，然后制定规范和措施，确定本系统的安全策略。6. 先进性原则医院的安全有一个先进水平的安全。具体的技术和技术方案应保证整个系统在当前具有的技术先进性。7. 可扩展性原则医院的信息化安全建设方案设计是针对其自身设计的安全方案,适应整个医院网络系统的现状以及需求,所采取的措施随着网络性能及安全需求的变
13、化而变化,容易升级,具有良好的扩展性。8. 多重保护原则任何安全措施都不是绝对安全的，都可能被攻破。但是建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的安全。9. 标准性原则设计医院的信息化安全,要根据国家相关的法律法规、技术规范和标准，同时也符合国家卫生厅相关信息化建设标准。10. 易操作性原则大部分的安全措施需要人为去完成，如果措施过于复杂，对人员的要求过高，本身就降低了安全性。其次，措施的采用不能影响系统的正常运行。二. 医院网络现状及需求分析(一) 网络结构描述通过对医院现有结构进行了解和分析，可以看出医院网络大致可以分为业务内网和办公外网，业务网络
14、采用三层网络结构，通过核心交换机将医院各科室进行互联。并在业务网络单独设立和一个内部核心业务应用服务器区域，包含HIS系统、RIS系统、PACS系统和档案管理系统等应用服务器。同时为了满足内部应用服务器与办公网DMZ区域服务器进行数据交换需求，在业务网络和办公网络边界部署了一台防火墙设备进行两个网络之间的隔离，并在防火墙划分了一个内部网络的DMZ区域进行与外部DMZ区域进行数据交换的中转站。外部办公网络大致可以划分为办公网和DMZ区域，在外部网络的互联网边界通过核心交换机的防火墙板卡进行边界的隔离和划分DMZ区域，通过在外网的核心交换机上做NAT和PAT对外发布统计医院DMZ区域的应用。(二)
15、 应用系统描述在医院业务网络中主要有HIS系统、PACS系统、RIS系统和档案管理系统等服务器,这些重要的应用服务器构成医院业务网络的核心。在应用系统的部署架构上，目前应用系统、中间件和数据库系统采用一体化部署方式，及数据库和应用系统都部署在一台服务器上，各应用系统架构大多采用了B/S、C/S架构。在应用服务器操作系统上，大多采用WINDOS操作系统。(三) 医院网络安全现状从医院目前的网络结构上来看，在外部办公网络的互联网边界主要采用了防火墙系统，但是由于DMZ区域应用的安全主要依靠防火墙的地址映射和访问控制进行保护，由于应用系统本身可能存在一些安全漏洞或者软件设计上的缺陷，外网非法访者可直
16、接通过防火墙允许的端口对DMZ区域的应用服务器进行注入、跨站、拒绝服务、缓冲溢出攻击。给医院网络造成极大的威胁。在外部办公网络和业务网络的边界上，采用网闸做网络边界的隔离设备，但是由于设备采购时间较长，设备比较老旧，且是百兆级别的设备，无法满足现有的网络核心骨干千兆乃至扩展到万兆的网络环境的需求。(四) 医院网络的安全需求信息安全涉及到信息的保密性(Confidentiality)、完整性(Integrity)、可用性(Availability)。基于以上的需求分析，我们认为网络系统可以实现以下安全目标： 保护网络系统的可用性 保护网络系统服务的连续性 防范网络资源的非法访问及非授权访问 防范
17、入侵者的恶意攻击与破坏 保护信息通过网上传输过程中的机密性、完整性 防范病毒的侵害 实现网络的安全管理三. IT流程规范化改进咨询服务近几年来医院的信息化的发展，为提供医院在医务服务质量上、医务事务处理效率上进一步的提高，随着医院各类医务信息系统的上线、升级和改造，因各类信息系统的增加，随之而来的是在IT部门工作量上大大的增大，为进一步保障全院医务系统热持续运作，全面提升和优化医院信息化业务运维管理水平，提高IT部门业务服务质量，保障医疗应用安全运行。(一) 关于IT流程改进咨询咨询服务的IT流程范围涵盖建立IT流程规划和持续改进机制、建立信息中心部门基本制度、建立医院信息化管理制度、建立完善
18、系统维护流程、建立信息安全管理制度、建立应急预案与演练机制、建立项目管理制度、建立统计工作制度、编制（预算、采购、财产管理）详细作业指导书以及指导实施。管理咨询主要集中流程体系规划、流程和模板的编制或修改完善，对信息中心按照流程规范开展的流程实施工作提要的答疑或抽查辅导，辅助建立长效的流程改进机制。(二) 提供IT流程知识管理及任务管理系统及服务提供此软件及相应的安装、调试和运行维护服务。软件功能主要涵盖流程知识管理和流程改进配套的任务管理。流程管理软件所管理的流程范围限于信息中心范围内的IT流程、模板及质量记录；任务管理软件限于信息中心流程改进的任务管理。(三) IT流程改进目标l 对照IT
19、流程有关规范，评估信息中心现有IT流程规范的欠缺或差距,制定流程计划并加以落实。l 引入流程规范和行业先进流程经验，补充编制新的流程制度、模板或完善现有流程制度，使信息中心IT流程体系升级以达到完整化、规范化。l 指导流程规范的落实和持续改进，使信息中心IT建设与运行维护流程进入不断改进的良性循环。(四) IT流程改进原则l 流程改进咨询活动需要采用规范化、科学化方法，符合流程管理改进咨询有关规范。l 本项目范围所属的流程制度的编制及实施应遵循IT流程规范的相关标准或要求，例如ISO9001、三甲IT信息化管理要求等。l IT流程应容易实施，切合实际需求，解决实际问题。l 既重视编制或完善工作
20、流程，更重视建立持续改进的机制。l 利用流程知识和流程改进任务管理系统,以科学手段提高流程改进的执行力和效率,管理系统需要具备易操作、适应性好的特性。(五) IT流程改进服务需求说明1. 建立IT流程体系规划和持续改进机制任务类别任务内容备注对流程体系现状水平进行评估通过访谈、检查，对照ISO9001和三甲医院信息化管理要求等规范评估现有IT流程制度的缺漏或差异规划新流程体系架构规划流程体系目标、方针；规划流程体系各流程之间的输入输出或变更互动关系确定流程改进的职责分工编制或修改IT流程改进的职责分工和岗位设置说明定义好流程有关的角色一览表PDCA阶段管理方法论和制度编制或修改完善流程改进的计
21、划管理和报告制度（年度、月度度目标计划与总结,按PDCA方法）IT流程水平评估方法论和制度编制或修改完善一套针对IT流程规范化水平的检查评估办法，用于评估IT流程规范所处的水平(对比有关规范的流程覆盖率或完整性、执行情况和执行效果)对信息中心的具体执行过程提供答疑辅导2. 建立信息中心部门基本制度任务类别任务内容备注信息中心组织结构编制或修改信息中心组织结构说明编制或修改完善岗位一览表编制或修改完善岗位说明模板对部门按新模板填写的各岗位说明书提供修改指导对信息中心按新模板编制的岗位说明提供修改辅导信息中心计划/总结编制或修改完善信息中心内部计划与报告制度、模板部门绩效管理编制或修改完善信息中心
22、职员绩效管理制度(包含目标设定、绩效计划、绩效沟通、绩效分解、绩效评估的总体要求)对信息中心按照新制度、模板开展的绩效指标定义和管理具体方案提供答疑辅导。信息中心培训编制或修改完善信息中心培训发展制度其它有关制度编制或修改值班制度编制或完善考勤休假制度编制或修改会议管理制度3. 建立医院信息化管理制度任务类别任务内容备注协助制定策略方法协助分析医院信息化管理的挑战和策略方法（总体原则、方法、措施）设立院级领导机构编制或修改完善院级组织机构说明信息化沟通机制编制或修改完善院级信息化沟通制度、模板制定中长期计划编制或修改完善中长期计划制度和模板IT信息化绩效管理确定IT信息化主要宏观指标定义(简单
23、实用KPI)编制或修改完善IT绩效评估的流程制度制定绩效的公示展示办法对信息中心主持的有关活动提供答疑辅导项目需求与立项审批编制或修改完善信息化项目立项审批制度（各单位需求申报，项目估算，立项审批等）4. 建立完善系统维护流程任务类别任务内容备注日常缺陷维护制度编制或完善软硬件缺陷报告与维护管理制度(故障级别定义;维修工单报告与处理跟踪;事件跟踪与升级管理,含厂商)软件变更安装编制或完善软件版本更新制度（测试验证、风险分析及应急恢复、安装控制、装后验证）系统安装、变更编制或完善系统安装与配置变更流程(方案评估、风险分析、审批、记录)值班制度编制或修改完善信息值班、交接班制度，有完整的日常运维记
24、录和值班记录，及时处置安全隐患系统监视巡查编制或修改完善系统巡查监视制度和记录要求基础架构信息管理编制或修改完善基础架构信息的建立与更新制度，以便能从技术架构信息中了解系统网络架构与软件硬件资源布局对信息中心主持的有关管理活动记录提供检查辅导机房管理制度编制或修改完善机房管理制度，便于促进机房安全和作业管理5. 建立信息安全管理制度任务类别任务内容备注权限管理制度编制或修改完善权限管理制度(权限分配、授予与回收制度;权限状态一览表查询)病毒防范编制或修改完善病毒防范管理制度病人隐私信息保护编制或修改完善病人隐私信息保护制度编制或修改完善病人隐私信息保护情况检查评估制度定期安全评估编制或修改完善
25、定期进行系统安全评估的制度(权限管理执行情况的检查、系统安全漏洞检查、安全监视措施的检查、监视记录)提供制度框架，对信息中心主持的有关活动记录，提供评价指导6. 建立应急预案与演练机制任务类别任务内容备注应急预案编制制度编制或修改完善应急管理制度( 预案覆盖范围、预案一览表清单编制要求、预案编制要求、预案审批、预案变更要求、持续改进要求 ) (涵盖整个主机、数据库、存储系统、网络瘫痪应急恢复措施等)提供制度框架，对信息中心主持编写的具体应急预案，提供评价指导应急预案演练验证制度编制或修改完善预案演练制度(演练的周期、演练记录、演练结果审定)提供制度框架，对信息中心主持编写的具体应急演练结果，提
26、供评价指导数据备份检查制度编制或修改完善数据备份有效性检查制度,以保证数据备份的可用性持续改进机制编制应急预案编制、演练等措施的持续改进要求7. 建立项目管理制度任务类别任务内容备注项目立项审批制度编制或修改完善信息化项目立项审批制度（各单位需求申报，项目估算，立项审批等）8. 建立统计工作制度任务类别任务内容备注系统缺陷统计编制或修改完善应用报告的系统缺陷统计制度与办法IT工作统计编制或修改完善IT工作（含绩效）评估与统计办法(本期选择若干宏观指标统计试点)9. 编制详细作业指导书SOP任务类别任务内容备注预算管理编制或修改完善预算管理标准作业程序（SOP）采购管理编制或修改完善采购管理标准
27、作业程序（SOP）财产管理编制或修改完善财产管理标准作业程序（SOP）四. 安全建设方案(一) MPDRR安全模型PADIMEE模型包含以下几个主要部分：Policy（安全策略）、Assessment（安全评估）、Design（设计/方案）、Implementation（实施/实现）、Management/Monitor（管理/监控）、Emergency Response（紧急响应）和Education（安全教育）。根据PADIMEE模型，网络安全需求主要在以下几个方面得以体现：（1）制订网络安全策略反映了组织的总体网络安全需求；（2）通过网络安全评估，提出网络安全需求，从而更加合理、有效地组
28、织网络安全工作；（3）在新系统、新项目的设计和实现中，应该充分地分析可能引致的网络安全需求、并采取相应的措施，在这一阶段开始网络安全工作，往往能够收到“事半功倍”的效果；（4）管理/监控也是网络安全实现的重要环节。其中既包括了P2DR安全模型和APPDRR安全模型中的动态检测内容，也涵盖了安全管理的要素。通过管理/监控环节，并辅以必要的静态安全防护措施，可以满足特定的网络安全需求，从而使既定的网络安全目标得以实现；（5）紧急响应是网络安全的最后一道防线。由于网络安全的相对性，采取的所有安全措施实际上都是将安全工作的收益（以可能导致的损失来计量）和采取安全措施的成本相配比进行选择、决策的结果。基
29、于这样的考虑，在网络安全工程实现模型中设置一道这样的最后防线有着极为重要的意义。通过合理地选择紧急响应措施，可以做到以最小的代价换取最大的收益，从而减弱乃至消除安全事件的不利影响，有助于实现信息组织的网络安全目标。(二) 信息安全拓扑图(三) 网络防火墙系统1. 产品概述下一代防火墙保留了状态检测防火墙的优点，具有性能的同时具备内容过滤、入侵防御、流量管理、用户认证等多种应用层过滤技术于一身，弥补了状态检测防火墙的不足。为用户提供了更全面的深度过滤功能，有效识别来自应用层的威胁。通过全新的AMP+多核架构和设计理念，实现了高性能极速转发、智能定位与管控、应用精细识别、多种应用层过滤技术、虚拟防
30、火墙定制化安全及立体可视化监控等一系列特有功能；应用层和网络层安全模块的并行调度，提升了应用层处理性能；系统引擎与安全引擎的用户态设计，避免了在大流量下数据报文分析对防火墙性能的影响，有效提高了整机运行速度；友好的扁平化风格界面，配合直观的功能模块设计，更加方便的进行网络管理。2. 产品特点（1）. 独立的管理口实现与业务口分离专门提供了管理口，让用户的管理数据与业务数据分离，在业务数据量过大的情况下，不会影响对防火墙的正常管理。同时，单独的管理口使用户可以严格限制连入管理防火墙的方式，保障更加安全的管理防火墙。（2）. 管理员权限三权分立针对管理员的角色建立三权分立的管理员帐号机制，将超级用
31、户特权集进行划分,分别授予配置管理员、安全管理员和审计管理员。实现配置管理、安全管理和审计管理功能的同时,也保证管理员权限的隔离。防止因为管理员权限过大所引起的安全风险，也保证已经配置完成的访问控制策略不会出现未授权的修改，及出现未授权修改时可以保留相关审计信息。（3）. 安全隔离的虚拟系统支持通过虚拟系统功能，将下一代防火墙虚拟成多个相互隔离并独立运行的虚拟防火墙系统，每一个虚拟系统都可以为用户提供定制化的安全防护功能，并可配备独立的管理员账号。在用户网络不断扩展时，通过虚拟系统功能不仅能有效降低用户网络的复杂度，还能提高网络的灵活性。当这些相互隔离并独立运行的虚拟防火墙系统需要通讯时，可以
32、通过下一代防火墙提供的虚拟接口实现，而不需要通过物理链路将它们进行连接。（4）. 地理位置识别下一代防火墙增加了地理位置识别功能，可以将地理位置作为配置安全策略的一个属性。通过地址位置识别用户可以了解到不同地区当前的网络使用情况，查看基于地理位置的流量趋势等，从而针对不同的地理位置来调整防火墙策略，为用户的安全策略管理提供一个新的控制角度。（5）. 基于安全域的攻击防护功能通过基于安全域的Flood防护和扫描欺骗防护、IP地址扫描攻击、端口扫描以及异常包攻击等防护手段的攻击防护模块，将包括SYN Flood，ICMP Flood，UDP Food，IP Food， ping of death，
33、Teardrop，IP选项，TCP异常，Smurf，Fraggle，Land，Winnuke等常见的攻击行为检测集成在模块中，使得用户通过启用并配置攻击防护模块，有效的过滤并采取相应的措施阻止非正常报文流入用户内网。同时针对洪攻击和扫描攻击，攻击防护模块允许用户通过限制报文的阈值，从而达到保护内部网络免受恶意洪攻击的威胁，保证内部网络及内部服务器正常运行。攻击防护模块能及时向用户输出安全告警，并在系统状态中实时显示当前排行前十位的攻击行为，让管理员能够快速了解并定位网络攻击，并且能快速做出响应保证网络正常。（6）. 更加灵活、精准的入侵防御功能依托先进的多核全并行处理技术，大幅提高了IPS的处
34、理性能，能够轻松应对多样的混合型攻击，超过3000种的特征库可以检测并防范针对HTTP、FTP、SMTP、IMAP、POP3、TELNET、DNS、RPC、MSSQL、ORACLE、NNTP、NETBOIS、TFTP等多种协议的攻击，以保障网络的安全。完善的日志系统及监控系统提供了基于不同维度的入侵事件记录分析，方便管理员掌握当前网络中的攻击信息，及时做出正确的管理决策。同时，通过专业的特征库，常用基础软件的漏洞，以及常用应用系统的漏洞利用机理，保证IPS在防范已知漏洞的基础上，也能对新出现的漏洞进行防范，确保了入侵防御功能的有效性。IPS功能中针对每种攻击特征设定的精细执行动作，极大的提高了
35、入侵防御策略的自由度和灵活性，并且最大程度的降低了误识别率。（7）. 支持自定义新建、并发的连接限制功能连接限制是网神下一代极速防火墙NSG系列基于安全域来限制并发及新建连接数的功能。目前最常见的两个应用场景为：1)限制P2P流量的并发连接数。通过限制单个IP的连接数上限，让使用P2P下载的用户在达到阈值时也不会对其它用户造成影响。2)限制来自外网或者内网的高新建高并发的攻击行为，保护连接表不被DoS攻击填满。（8）. 多种形式建立IPSec VPN隧道IPSec VPN支持“手工隧道”、“快速隧道”形式下的隧道建立方式，并支持“网关到网关”、“客户端到网关”两种应用场景。同时VPN实施支持基
36、于安全策略指定VPN隧道策略方式。（9）. 深度的网络行为关联分析基于网络用户行为、用户身份、用户地域识别、用户访问应用类型的实时分析及动态实时防护而设计的整套安全防御体系。可通过“云计算”中心自动收集安全威胁信息并快速寻找解决方案，及时更新攻击防护规则库并以动态的方式实时部署到各用户防火墙中，保证用户的安全防护策略得到及时、准确的动态更新。防范以多种形态出现的新恶意软件和攻击行为、APT攻击、0-day攻击等日益增长的威胁。（10）. 全方位状态信息展示提供全面的实时的状态信息展示，包括网络接口状态、接口信息状态、系统信息状态、资源状态、并发连接数、入侵防御状态、应用流量排行榜。第一时间为管
37、理员修改防火墙配置策略，了解防火墙运行状态，掌握网络当前态势提供实时报告。更加人性化和智能化的状态展示同时大大提供了状态信息的易用性。(四) WEB安全防护系统1. 产品概述伴随着防护技术的不断发展，WEB应用系统的防护技术经历了网关型防护手段和操作系统防护手段。如含有应用层过滤功能的网络防火墙、IPS等网关型硬件产品，基于特征匹配进行防护；网页防篡改软件则是基于文件监控原理，对指定路径的文件进行监控和写保护。传统的网络安全设备和网页防篡改软件只能解决WEB应用安全的一个方面，而WEB应用系统的安全保障需要一个全面的安全防护和性能保障措施才能使之安全、高效、持续地对外提供服务。WEB应用系统的
38、安全是一个系统的问题，包括三个方面，即可用性、完整性和机密性。实现这些原则所需的安全等级因WEB系统的属性、WEB应用的价值不同而异。如对机密性要求较高的应用系统应当保障数据的访问、传输过程的安全，同时需要对访问者进行认证、授权、审计；对于一个面向客户群的应用系统既要考虑其应用交互的可用性，同时也需要对其完整性进行有效的保障。而面向大众的门户类网站则需要充分考虑其抗攻击能力、高可用性和完整性，提供7X24小时不中断服务，确保提供的数据是真实的、有效的。综上所述WEB应用系统的安全保障需要充分考虑其高可用性、完整性和机密机才能达到安全有效的防护目的。专业的WEB安全网关则是专用于防护及优化WEB
39、应用系统的最佳选择，有效解决传统网络防火墙及网页防篡改软件在WEB应用防护方面的局限性，在重视应用系统的高可用性的前提下进行安全优化从而达到WEB防护的最佳目标。集WEB防护、WEB加速、网页保护、负载均衡、应用交付于一体的WEB整体安全防护设备。通过WEB安全防护模块、应用审计模块实现应用的安全防护，解决用户面临的严重入侵威胁；通过WEB加速技术解决用户在高可用性、性能提升上因为需要大量资金投入的烦恼；通过访问控制模块轻松解决了WEB应用系统细粒度访问控制等特定的需求问题。v 事前主动防御，智能分析应用缺陷、屏蔽恶意请求、防范网页篡改、阻断应用攻击，全方位保护WEB应用。v 事中智能响应，快
40、速P2DR建模、模糊归纳和定位攻击，阻止风险扩散，消除“安全事故”于萌芽之中。v 事后行为审计，深度挖掘访问行为、分析攻击数据、提升应用价值，为评估安全状况提供详尽报表。v 面向客户的应用加速，提升系统性能，改善WEB访问体验。v 面向过程的应用控制，细化访问行为，强化应用服务能力。v 面向服务的负载均衡，扩展服务能力，适应业务规模的快速壮大。2. 产品特点（1）. 安全防护功能1) 策略的覆盖完整度WEB安全网关提供对应用系统全方位的防护，强化数据有效性防护即常见的跨站脚本攻击、SQL注入攻击、跨站请求伪造、网页挂马、盗链等威胁的防护，提供WEB应用或网站的基本安全保障。使用虚拟服务器补丁技
41、术用于缓解WEB服务器漏洞的零日攻击和不安全配置带来的安全隐患。集成的会话签名鉴别技术和分级授权模块专用于防护WEB应用系统面临的认证威胁，如失效的会话管理缺陷、不安全的会话密钥管理缺陷等均可通过WEB安全网关进行快速修复。提供防止应用DOS攻击和暴力口令破解技术，解决大规模异常访问导致应用系统面临的性能问题，甚至系统崩溃、服务中断等恶性事件的发生。2) 策略适应性优秀的安全策略不仅需要有广泛的应用系统覆盖面、还需要有细的匹配粒度和良好的应用系统适应性。天泰安全网关的策略基于URI、时间、访问者、访问状态、访问工具、访问内容等对象定制安全规则，每条规则在发布前均通过严格的适应性测试，特别针对国
42、内数百家WEB应用系统进行测试，确保规则安全稳定、无误判。3) 学习引擎与白名单模式、主动防御时代的益处安全防护技术可以分和黑名单防护技术和白名单防护技术，黑名单技术目前被大量应用，基于黑名单的防护技术可以防护已知的攻击行为，但对于未知的或已知规则的变种则无法防护。白名单技术可以有效的防护黑名单无法解决的问题，然而由于WEB应用系统的复杂多样，所以白名单技术在实施过程中通常十分复杂并可能导致误判。TSAdaptive自适应引擎让白名单防护技术在Web安全Positive模式下，识别攻击行为不再依赖于已知的攻击特征，而是基于用户应用系统的正常请求特征和签名列表。自适应引擎生成的推荐规则专用于特定
43、的应用系统，最大限度的降低了黑名单技术带来的误判、漏判、零日攻击等无法解决的技术难题。4) 基于状态的分析WEB应用防火墙技术在开发初期是完全基于规则匹配的响应机制，表现为无状态特性。随着防护技术的不断提高及面临日益严重的零日攻击威胁，WEB安全网关开创性的采用了应用防火墙状态防护技术，对会话管理、请求伪造、盗链等行为进行识别和防护；对攻击者的入侵扫描、探测、渗透过程进行状态识别和跟踪，快速定位威胁，及时告警或阻止。5) 与网络层联动的防御技术WEB应用受到攻击，WEB安全网关应当采取行之有效的防护措施。WEB安全网关在检测到有攻击流量时会跟据不同的安全级别做出对应的响应，如阻断并给出伪装或告
44、警信息。当检测到有持继的攻击流量时，WEB安全网关将会采取一系列的安全联动措施，如基于状态的威胁识别和限时锁定措施将入侵者进行延时锁定，或者及时将可疑攻击通过邮件、短信、SNMP、Syslog通知安全管理员，及时采取安全措施，降低攻击带来的损失。（2）. 日志审计与管理日志分析与管理模块作为安全产品与安全管理人员交互最为重要的接口，其日志审计贮存的形式、内容和可提供的建议对安全管理员保持应用系统长期安全运行起到重要作用。1) 安全日志日志不仅为管理员提供威胁管理的平台，同时也是安全取证和策略调整的依据。因此要求日志记录的尽可能详细和精确，并可根据审计的要求对特定数据进行筛选和审计。WEB安全网
45、关可提供定时报表和即时分析功能，通过分析有助于安全管理人员把握应用系统安全现状，及时调整安全策略，并针对威胁等级较高的攻击进行提醒，提出建议性解决办法。2) 访问日志WEB安全网关详尽纪录和有效统计用户对Web应用资源的访问，包括页面点击率、客户端地址、客户端类型、访问流量、访问时间、搜索引擎关键字等信息，实现有效的用户行为跟踪和访问统计分析。生成基于地区区域的访问统计，便于识别WEB应用的访问群体是否符合预期，为应用优化提供指导。（3）. 性能优化方案应用系统的可用性是构成系统安全的重要组成部分，应用系统访问延时、堵塞、服务中断、性能急剧下降等都会导致系统可用性下降。对于公众开放的应用系统的
46、可用性的安全等级通常放在首位。如何经济高效的保障应用系统的可用性是管理人员在进行安全规划时的首要问题。性能优化方面，提供多种性能优化方案供用户选择。1) 站点集群技术在应用系统设计开发阶段融入Web安全的WEB应用集群功能可以提高软件开发的效率、取代由软件实现站点集群的性能瓶颈和繁琐的技术细节，提升整个应用系统的性能。通过站点集群技术您可以实现站点网页文件、图片、媒体文件的分离与整合，也可以方便实现不同应子系统的拆分。利用WEB安全网关还可以实现站点文本、图片文件域名分离，从而提缩短用户下载网页的时间，提高用户体验。图 WEB安全网关的集群服务2) 负载均衡WEB安全网关提供高可用性、负载均衡以及基于HTTP应用的代理，作为快速并且高可靠的一种负载均衡产品，WEB安全网关特别适用于那些负载特大的WEB站点，这些站点通常又需要会话保持或七层处理。图 WEB安全网关的负载均衡服务WEB安全网关提供成熟的负载均衡解决方案，支持的负载均衡模式有：
