信息网络与网络安全方案

　3.2、信息网络与网络安全 3.2.1xxxxx 医院需求分析及设计原则 目前，xxxxx 医院要求在新建的网络上应用医院的 HIS、pacs 等系统，很多传统业务都逐渐迁移到网络上，对网络的性能、安全和稳定提出了很高的要求，主要体现在以下几个方面：

　1）可靠迅速的响应以提供更好的医疗服务 由于 xxxxx 医院每天都保持几千人的门诊量， HIS 系统每天对后台数据库的调用非常频繁，会产生比较大的数据流量，如果这种访问流量出了问题而导致无法正常进行收费和医疗诊断，会产生严重的社会后果，因此医院对网络的访问性能有很高的要求。

　2）安全的业务数据保证医院正常对外服务 在医院的业务系统中保存着大量患者的健康信息和过程费用信息，这些数据无论对患者还是医院都非常关键，需要严格保密，因此如何保护这些数据，对医院有着重大的意义。

　3）高效的管理推动系统的稳定，提高维护的效果 如何管好整个医院的业务系统，包括用户、服务器、数据库、存储设备和网络等，提高医院管理效率，保证医院网络的正常运转已经成为医院急需解决的大问题。

　4）医院数据的安全存储 医院需要存储包括病人信息、病案信息、费用信息和影像等数据，对数据存储的安全性和扩展性要求非常高。

　5）区域医疗的建设 为了在区域范围内实现远程会诊、网上学术研讨等业务，迫切需要医院之间的资源共享。

　3.2.1.1医院网络建设总体需求 xxxxx 医院核心网络系统用于开展日常医疗业务（HIS、LIS、PACS、财务、体检系统等）的内部局域网，系统应稳定、实用和安全，具有高宽带、大容量和高速率等特点，并具备将来扩容和带宽升级的条件；提供合理、流畅的医院网络安全管理软件平台。建设完成后的系统满足 xxxxx 医院的运行要求，并且三到五年内技术不落后。

　► 网络设计要求：

　1、实现骨干万兆，桌面 1000M 接入的网络结构。

　2、骨干设备具有高性能、高可靠特性，关键部件需要冗余配置。

　3、配备的网管软件应提供可视的形象化的图形界面，对整个网络中网络产品的全部设备和端口进行监视和管理。

　4、交换机互连采用链路冗余连接。

　5、由于医疗行业的特殊性，医护人员和病患者之间需要频繁地在院内移动、同时处理大量的信息，要求网络具备可移动性、传输速率高等特点。同时考虑到医院业务量的增加，网络需要留出足够余地扩容而不影响医院正常的工作。

　3.2.1.2内网需求 内网是医院核心网络系统，用于开展日常医疗业务（HIS、LIS、PACS、财务、体检系统等）的内部局域网，系统应稳定、实用和安全，具有高宽带、大容量和高速率等特点，并具备将来扩容和带宽升级的条件。

　 网络设计要求：

　1、实现万兆主干，千兆接入到桌面； 2、配备的网管软件应提供可视的形象化的图形界面，对整个网络中网络产品的全部端口进行监视和管理；

　3、交换机互连采用多条链路捆绑，防止链路瓶颈，并提供链路冗余。

　4、部分设备节点实现热备、冗余，保证业务正常运行。

　由于医疗行业的特殊性，医护人员和病患者之间需要频繁地在院内移动、同时处理大量的信息，要求网络具备可移动性、传输速率高等特点。同时考虑到医院业务量的增加，网络需要留出足够余地扩容而不影响医院正常的工作。

　 网络应用设计要求：

　1、院内核心网络系统 HIS、PACS 和 LIS、体检系统等应用分别单独组网。以子网的形式组成医院的整体网络。各网络功能独立应用，信息互通，资源共享；当任何一个子网出现故障，都不会影响到其他子网的使用。

　2、住院病区考虑到无线查房的需要，需要部署无线网络。

　3、医院网络边界部署安全防御设备。

　3、传输动态图像的部门有：放射影像科、PET/CT、核磁共振 MRI、介入放射科 DSA、B 超室、心超室、脑超室、心电图室、肌电图室、胃肠镜室、内窥镜室、重症监护室（ICU、CCU 等）、手术室、麻醉科、视频示教室和会议室等。

　4、医保(包括省医保、市医保、区医保以及市公费医疗)是专线接入。须配置医院内网与专线网的接口。

　5、为了更好地服务于医疗科研工作，需要将各类监护治疗仪器上的各项生命体征等信息以数字化手段采集并且保存下来，在需要时，可随时还原。因此，须考虑将医院所有的监护仪器和大型设备都联网。

　3.2.1.3外网需求 外网原则上是指除医院内网之外的所有网络系统，包括 INTERNET、银联系统、医院图书馆知识管理平台、和市卫生局联网的应急系统、办公自动化系统、电视监控信号传输、BA、安防监控、视频会议系统、公共区域无线上网等。

　1、应急系统也是卫生局专线接入，通过外网接口和院内视频会议系统连接。

　2、银联系统是用各 POS 机终端通过外网接口与原银联系统连接。

　3、Internet 网提供远程医疗、远程教育、局办公自动化服务、医疗设备远程维护等。

　4、医院内部职工文献检索及知识管理平台集中在电子图书馆，但须在所有办公场所、住院楼病房、宿舍等地方预留 Internet 网接口。

　6、院内电视监控系统采集的信号需要从医院外网系统上传输，需预留外网接口。

　7、可以实现手术示教。

　3.2.1.4网络安全需求 为了应对现在层出不穷的网络安全问题，在设计整个网络系统的过程中要充分考虑到利用防火墙等设备以及杀毒软件的配合使用，解决医院目前现有系统及新建系统的网络安全问题。基本要做到：故障排除、灾难恢复、查找攻击源、实时检索日志文件、即时查杀病毒、即时网络监控等。

　1、故障排除：要求做到一旦网络出现异常，如无法访问网络，网络访问异常等，要能提供及时、有效的服务，在短的时间内恢复网络应用。

　2、灾难恢复：要求做到设备遇到物理损害网络应用异常时通过备品备件，快速恢复网络硬件环境;通过备份文件的复原，尽快恢复网络的电子资源;在最短的时间内恢复整个网络应用。

　3、查找攻击源：要求做到发现网络遭到攻击，需要通过日志文件等信息，确定攻击的来源，为进一步采取措施提供依据。

　4、实时检索日志文件：要求做到能实时查看当时存在的针对本网络的攻击并查找出攻击源。如果攻击强度超出网络能够承受的范围，可采取进一步措施进行防范。

　5、即时查杀病毒：要求做到网络中出现病毒，通过及时有效的技术支持，在最短的

　时间内查处感染病毒的主机并即时查杀病毒，恢复网络应用。

　6、即时网络监控：要求通过网络监控，尽可能发现网络中存在的前期网络故障，在故障扩大化以前及时进行防治。

　3.2.1.5网络设计原则 基于xxxxx医院目前网络现状和未来业务发展的要求，在xxxxx医院网络设计构建中，应始终坚持以下建网原则：

　1、实用性：整个网络系统具有较高的实用性； 2、时效性：网络应保证各类业务数据流的及时传输，网络时效性要强，网络延时要小，确保业务的实时高效； 3、可靠性：网络系统的稳定可靠是应用系统正常运行的关键保证，在网络设计中选用高可靠性网络产品，合理设计网络架构，制订可靠的网络备份策略，保证网络具有故障自愈的能力，最大限度地支持医院各业务系统的正常运行。必须满足 7×24×365 小时连续运行的要求。在故障发生时，网络设备可以快速自动地切换到备份设备上； 4、完整性：网络系统应实现端到端的、能整合数据、语音和图像的多业务应用，满足全网范围统一的实施安全策略、QoS 策略、流量管理策略和系统管理策略的完整的一体化网络； 5、技术先进性和实用性--保证满足医院应用系统业务的同时，又要体现出网络系统的先进性。在网络设计中要把先进的技术与现有的成熟技术和标准结合起来，充分考虑到医院网络目前的现状以及未来技术和业务发展趋势。

　6、高性能—医院网络性能是医院整个网络良好运行的基础，设计中必须保障网络及设备的高吞吐能力，保证各种信息（数据、语音、图像）的高质量传输，才能使网络不成为一眼业务开展的瓶颈。

　7、标准开放性--支持国际上通用标准的网络协议（如 IP）、国际标准的大型的动态路由协议等开放协议，有利于以保证与其它网络(如公共数据网、金融网络、外联机构其它

　网络)之间的平滑连接互通，以及将来网络的扩展。

　8、灵活性及可扩展性--根据未来业务的增长和变化，网络可以平滑地扩充和升级，减少最大程度的减少对网络架构和现有设备的调整。网络要具有面向未来的良好的伸缩性能，既能满足当前的需求，又能支持未来业务网点、业务量、业务种类的扩展和与其它机构或部门的连接等对网络的扩充性要求。

　9、可管理性--对网络实行集中监测、分权管理，并统一分配带宽资源。选用先进的网络管理平台，具有对设备、端口等的管理、流量统计分析功能以及可提供故障自动报警。

　10、安全性--制订统一的骨干网安全策略，整体考虑网络平台的安全性。能有效防止网络的非法访问，保护关键数据不被非法窃取、篡改或泄漏，使数据具有极高的安全性； 11、保护现有投资--在保证网络整体性能的前提下，充分利用现有的网络设备或做必要的升级，用作骨干网外联的接入设备，网络的投资应随着网络的伸缩能够持续发挥作用，保护现有网络的投资，充分发挥网络投资的最大效益。

　3.2.1.5.1核心层需求分析 xxxxx 医院网络核心设备担负着连接接入层、服务器群和办公大楼网络的工作，通过核心设备的互联，形成一套完整的网络。由于核心层设备担负着整个网络的流量，在网络核心层的流量是非常巨大的，所有的服务器均在网络的核心层提供相关的服务。对网络核心层的压力非常巨大。同时网络对安全性、稳定性的要求极高，由于网络也基本是一个金字塔的形状，那么最需要稳定的就是金字塔的顶端，即网络的核心层。

　网络核心层同时需要对网络的接入层提供不同的网络层的路由规划和信息转发的功能，同时还需要保证不同级别的网络 QoS，对于服务器的关键业务通过链路级和网络级的协议实现严格的控制和优先级的保证。对于网络级的保护通常时间是非常长的，那么对一些关键业务，我们就必须通过结合二层快速收敛的协议一起来完成对网络安全性的提升和网络的自愈能力。设备必须支持对不同部门的规划，如实现全网统一 VLAN 的规划等。对每个系统分配不同的 VLAN 并且针对不同 VLAN 实现不同的安全和控制的策

　略等。

　3.2.1.5.2接入层需求分析 网络的接入是对用户直接进行数据透传的层次，但是由于网络的特殊性，本次的接入层主要是对一个局域网进行接入。对接入层概念就有了更新的解释。

　对本次的接入层的主要需求的分析如下：

　（1）、接入层用户数量的大直接产生大量的数据报文，造成碰撞域和冲突域，使网络瓶颈产生于网络的低层，直接影响接入质量。

　（2）、接入层用户数量大，而所应用的数据种类繁多，多种网络业务流量的产生，包括组播业务的产生，对所接入的网络设备要求很高，使整个接入层产生了一个业务接入瓶颈。

　（3）、网络的访问终结于共享数据的特定位置，因为接入层用户需要通过网络最终访问位于网络另一端的共享服务器，而多个用户同时访问远端的同一台服务器或者存在访问网络的其他节点的服务器，就需要这几个用户争抢网络带宽，使接入层瓶颈提升到核心层，造成核心层资源的浪费。并且根据网络流量的分析得出用户的访问方向是不规则的，网络一定会出现闲置的带宽的现象，如何规划将非常重要。

　（4）、网络流量和网络流向是宽带网络的一个新瓶颈。

　对于宽带网络接入，接入层网络的通常是以新 2/8 原则来划分的，其中有 20%的流量是在接入层交换机的内部进行交换的，而 80%的网络流量是通过上联出口访问其他的网络设备。这里，就涉及到网络产生流量后，网络流向的问题，网络流向直接造成网络对于流量和流向所产生的网络瓶颈。

　（5）、网络用户是局域网用户，实际接入的用户就是一个网络，那么对于不同网络之间的互访的安全性控制更是由为重要，同时各个不同的机关对本机关内部流通的部分文件是要求要有绝对的安全性的，对其他部门的用户的访问是分为很多的不同的级别的。

　3.2.1.5.3链路层需求分析 对于 xxxxx 医院这样的网络来说，各项业务的需求，对于网络的稳定性的需求就不言而喻。网络核心层的采用星型的设计思路，通过以太网的方式同样需要保证毫秒级的链路保护功能。对于链路级的保护能够实现对一些基本的链路进行备份起到冗余的特性，以便保证在某个物理链路断掉的时候还能保证用户的数据的传输功能，同时能够针对用户的关键的链路放置一条专有的链路实现备份功能，保证关键业务的不间断的连接。

　通过针对网络级的保护需要针对不同的网络设备采用不同的网络级的保护协议来实现，针对整体的网络架构提供保护，将网络的稳定性和安全性提供更高的安全性。对于网络级的保护主要是通过网络的协议来实现的。并且网络的冗余技术有很多不同的实现方式，对于网络核心层的影响也不尽相同。

　同时网络的稳定结构同样也需要网络设备自身的稳定性和自身的冗余的特性来保证，例如实现网络设备电源的冗余、网络控制板的冗余、无源背板、业务板件热拔插等。这样可以让设备出现问题的时候不至于会造成网络设备的瘫痪，可以通过在线更换背板、更换电源以及更换主控网板等方式来实现业务的不中断运行。同时可以通过网络主控板件和业务板件的业务热切换功能实现网络设备不停机。

　3.2.1.6医院业务应用分析 3.2.1.6.1医院业务划分 医院的业务系统有很多，而且不同的专科医院业务系统也有很大区别，但以下一些业务系统是医院都具有的：

　 门诊系统  住院系统  体检系统  PACS 系统  医院管理经济系统  区域医疗系统

　3.2.1.6.2应用系统分类 医院信息系统主要分成以下两类：

　 医院管理系统  门、急诊挂号子系统  门、急诊病人管理及计价收费子系统  住院病人管理子系统  药库、药房管理子系统  病案管理子系统  医疗统计子系统  人事、工资管理子系统  财务管理与医院经济核算子系统  医院后勤物资供应子系统  固定资产、医疗设备管理子系统  院长办公综合查询与辅助决策支持系统  临床医疗信息系统  住院病人医嘱处理子系统  护理信息系统  门诊医生工作站系统  临床实验室检查报告子系统  医学影像诊断报告处理系统  放射科信息管理系统  手术室管理子系统  功能检查科室信息管理子系统  病理卡片管理及病理科信息系统  血库管理子系统  营养与膳食计划管理子系统  临床用药咨询与控制子系统

　3.2.1.6.3医院业务系统的需求 1 ）门诊系统 门诊业务作为医院直接面对患者的窗口具有非常重要的地位和自己的特点（包括焦急的病人无法忍受长时间的等待、门诊业务主要集中在上午等），门诊业务具有可靠性高、并发性、实时性和突发性强等特点。因此门诊业务对网络提出了高可靠性、高带宽和 QoS的要求。

　2 ）住院系统 住院业务是医院的另一个主要组成部分，是医院经济收入的主要来源，同时还直接关系到重病患者的生命安全，具有以下几个特点：

　住院业务的网络上流动着重症病人生命数据和各种新业务数据； 住院业务保存有患者病案数据和住院费用数据； 医生移动查房； 病人呼叫系统； 网上视频监控系统； 针对住院业务的以上特点，住院业务对网络提出了高可靠性、安全存储、QoS 和无线局域网、VoIP 和视频会议系统的需求。

　3 ）体检系统 现在很多医院建立专门的体检大楼，以满足民众不断扩大的体检需求。从业务角度上讲体检系统非常简单，它对网络的需求主要体现在安全性上，如何保护体检服务器上体检人员数据安全和体检大楼网络安全是医院体检系统解决方案所关注的。

　4 ）PACS 系统

　医院的 PACS 系统主要是完成对患者的各种影像数据进行采集、存储、传输和处理，并在全院范围内进行共享，由于是各种图形图像数据，因此具有存储量大的特点，为了更好的服务于医院业务，PACS 业务对支撑系统提出以下要求：存储量大、扩展性强、数据快速存储、数据容灾、高带宽 5 ）管理经济系统 医院管理经济系统主要是人、财、物的管理，包括人事、财务管理、药品药库管理等，因此它最大的需求是数据在服务器端和网络上的安全，保证这些数据不会泄露。

　6 ）区域医疗系统 一方面为了发挥中心医院的辐射和覆盖作用，另一方面充分利用各家医院的特色科室的力量，区域医疗把这些资源进行共享和整合，这需要稳定的广域网连接。

　根据初步的需求，我们按照内外网分离的原则，建成后的南扩大楼的新机房将成为以后医院的核心，原有机房成为备份冗余机房。

　3.2.2xxxxx 医院网络规划设计 3.2.2.1网络总体设计 设计全新的基于纯 IP 技术的网络平台来满足 xxxxx 医院新区网络的需求变化。面向网络资源的有效、高效利用，从网络架构方面提供优化方案，使得核心网、接入网具有更高的可靠性和可控性，同时使得网络结构与布局在结合实际业务分布的前提下更加合理。数字园区的发展必然离不开两个方向，其一是安全性，其二是移动性。这是 IP 通信技术发展的方向，满足这个发展，首要前提就是让网络平台能够具备相关技术支撑能力，不论是对信息网络的优化还是对业务的横向拓展，都是基于网络本身是安全有序的，需要从纵向三个维度对所有影响网络安全的隐患、非法行为进行渗透防御与控制。

　在网络整体设计中，采用分层、模块化的网络设计结构，并严格定义各层功能模型，不同层次关注不同的特性配置，将网络的可靠性、安全性、先进性、易维护性、可扩展

　性发挥到最好，从而最终实现建设完善和先进的数字化医院为目的。xxxxx 医院采用分层网络设计模型，将网络分为以下几个层次：

　► 核心层——核心层网络属于高速主干网络，其职责是以最快的速度交换数据包，对网络的连通性至关重要，需要提供高等级的可用性，并快速适应网络变动。

　► 接入层——用户通过接入层可以访问网络设备。在园区网中，工作站与服务器之间通过接入层网络来共享或交换传输介质/设备端口；在 WAN 环境中，用户站点可以利用 WAN 技术，通过接入层网络访问医院资源。

　当流量通过层次化结构中的收敛点，沿着接入层--核心层传输时，流量数量及其相关的带宽要求都随之增加。层次化设计每一层的功能都很分明，无需全部网络节点互联的全网状网络。

　层次化网络模式由两个有效的转发核心节点组成，当一个节点发生故障时，另一节点可以提供足够的带宽和容量来为整个网络服务。

　3.2.2. 2内网规划设计 内网是整个医院的核心网络，开展医院日常重要的医疗业务，对网络的可靠性、稳定性要求非常高，本次设计的网络按照万兆交换平台、万兆骨干网络、千兆到桌面设计，内网核心交换机双机冗余、负载分担，并将安全设备以及无线控制器以插卡形式部署在核心交换机上，实现网络安全一体化。

　在接入层千兆逐渐延伸到桌面已经成为最迫切的需要之一，在诸如医疗行业的会诊、医疗影像、医疗科研协作等，应用在消耗大量带宽的同时，也在追求终端用户的满意度，基于铜缆的千兆以太网可以将更多的应用从低速链路中解放出来，并且为医务工作者创新提供了一个崭新高效能工作平台。

　在终端 PC 上部署 EAD 端点准入防御解决方案，从网络源头切断病毒攻击的来源，大大提升了医院的安全管理水平。

　医院网络同时承载多种业务，所有交易业务都要经过核心交换机处理，建议核心交换机以万兆核心交换机为业务系统核心交换机，满足大容量、高性能、高可靠、高安全及

　网络扩展的要求。核心交换机与接入交换机之间的链路双归属形成冗余连接，2 条物理链路间可以实现互为备份。2 台核心之间使用 10GE 高速链路互联，之间运行 IRF2，两台可虚拟为一台设备，增加带宽，提高网络可用率，实现网络高可靠性。保障核心节点的高可靠性。数据大集中后整个系统将承载多个业务系统，不同的业务对网络的带宽、时延等要求也不同，这就要求核心交换设备业务与性能并重。

　系列交换机产品是杭州华三通信技术有限公司面向下一代园区网核心和城域网汇聚和数据中心业务汇聚而专门设计开发的核心交换产品。采用先进的 CLOS 多级多平面交换架构，可以提供持续的带宽升级能力，支持 40GE 和 100GE 以太网标准，从而为用户提供有保障的业务特性的同时保障数据报文的线速转发。

　在网络出口，配置一台防火墙，如果省医保、市医保需要通过防火墙接入医院的内网，根据以上规划设计，内网拓扑如下：

　3.2.2. 3外网规划设计 由于外网主要用于医院 OA 办公、图书馆信息查询、楼内视频监控、视频会议，外网相对于内网来说可靠性要求相对级别次低一级，对带宽的要求也比较高。外网建议采用二层网络架构：

　在接入层，选用千兆二层交换机，系统采用创新的 IRF 技术，在安全可靠、多业务融合、易管理和维护等方面为用户提供全新的技术特性和解决方案，是理想接入交换机。

　在核心层，选用作为外网的核心交换机，作为高端多业务路由交换机，融合了 MPLS、IPv6、网络安全、无线、无源光网络等多种业务，提供不间断转发、优雅重启、环网保护等多种高可靠技术，在提高用户生产效率的同时，保证了网络最大正常运行时间，从而降低了客户的总拥有成本（TCO）。

　防火墙集成防火墙、VPN、内容过滤和 NAT 地址转换等功能，提升了网络设备的安全业务能力，为用户提供全面的安全防护。能提供外部攻击防范、内网安全、流量监控、URL 过滤、应用层过滤等功能，有效的保证网络的安全。采用 ASPF（Application Specific Packet Filter）应用状态检测技术。提供邮件告警、攻击日志、流日志和网络管理监控等功能，协助用户进行网络管理。根据以上规划设计，外网拓扑如下：

　3.2.2. 4网络安全设计 参与了大量网络安全建设实践后认为：除了在信息传输流程中实施安全解决方案之外，还需要进行全局安全管理，这种管理涉及到网络上的设备、使用者以及业务，只有对这 3 者实现闭环管理，才能对网络安全状况了如指掌。因此，xxxxx 医院建设一个“全局安全管理平台”是必要的。

　以往，在总台的网络安全管理中遇到的问题包括：

　► 对实时安全信息不了解，无法及时发出预警报告。

　► 各种安全设备是孤立的，无法相互关联，信息共享。

　► 安全事件发生以后，无法及时诊断网络故障的原因，恢复困难。

　► 网络安全专家匮乏，没有足够的人员去监控、分析、解决问题。

　根据在医院网络的经验得出，医院网络安全十分重要，所以一定要从开始就对医院网络做周全、完善的防护措施。

　安全统一管理中心 心 为了保证部署的硬件设备和安全软件能够统一的为网络安全服务，必须要求对全网设备，包括主机和数据交互设备进行统一的日志收集和日志分析。这样就要求必须在网络当中部署安全管理中心来完成统一的策略规划和分析。

　收集& & 分析数据 知识SyslogNetStream二进制日志WMI 、 APIH3C SecCenter从分布式系统中集中收集、监控& & 分析数据，并把原始数据转换为安全有效信息。安全事件网络事件系统事件应用事件Netflow网络安全本质上是管理问题。主要功能可管理近 100 家 主流厂家的安全与网络产品1000+ 种 报表的自动或手工生成流量与攻击的实时监控海量事件关联和威胁分析安全审计分析与追踪溯源主要功能可管理近 100 家 主流厂家的安全与网络产品1000+ 种 报表的自动或手工生成流量与攻击的实时监控海量事件关联和威胁分析安全审计分析与追踪溯源 安全管理中心并不是一个威胁抵御的直接发起者，而是一个系统规划的首脑。所以要求安全管理中心可以提供以下功能：

　旁路部署模式，不影响正常业务和造成瓶颈； 具有广泛的日志采集功能，要求可以对网络当中的所有设备（防火墙、IPS、交换机、路由器、PC、Server 等）进行日志分析； ► 采用先进的关联算法，能够对日志数据按照不同的关联组合进行分析； ► 对安全威胁的实时监控功能； ► 对网络流量的实时监控功能；

　► 可支持多家厂商的设备日志采集； ► 提供拓扑发现功能，并能够准确迅速的根据日志定为网络故障； ► 对网络故障提供多种迅速的告警机制； ► 具有完善的安全审计功能； ► 对历史数据进行压缩并可提供高效的查询机制； ► 根据需要提供多种报表； ► 根据需求可分步实施的灵活部署方式； 根据以上需求，这里采用一台安全管理中心作为整个网络的安全管理中心，对全网设备进行日志分析，帮助定制安全策略。仅仅需要路由可达即可完成上述功能，部署位置相对灵活，建议可以和网络管理软件服务器部署在一起，以方便硬件的管理。

　医院网络内网安全 统计表明，在所有的安全事件中，有超过 70%是发生在内网上的，并且随着网络的庞大化和复杂化，这一比例仍有增长的趋势。因此内网安全一直是网络安全建设关注的重点，但是由于内网以纯二层交换环境为主、节点数量多、分布复杂、终端用户安全应用水平参差不齐等原因，一直以来也都是安全建设的难点，这一点对于 xxxxx 医院也是适合的。

　内网安全的重要性不言而喻，我们建议在 xxxxx 医院所有的计算机上部署 EAD（端点防御客户端），EAD 结合 IMC 智能管理中心平台能完整的保护内网安全，使访问医院各系统的用户必须通过四道关卡：身份认证，安全检查，权限划分，日志审计。也就是我们常说的“你是谁？你安全吗？你可以做什么？，你做了什么？”。通过层层过滤保证访问医院个系统的用户是合法，安全的，也保证了医院的安全。

　EAD 将防病毒、补丁修复等终端安全措施与网络接入控制、访问权限控制等网络安全措施整合为一个联动的安全体系，通过对 xxxxx 医院网络接入终端的检查、隔离、修复、管理和监控，使整个网络变被动防御为主动防御、变单点防御为全面防御、变分散管理为集中策略管理，提升了 xxxxx 医院网络对病毒、蠕虫等新兴安全威胁的整体防御能力。

　EAD 通过安全客户端、安全策略服务器、接入设备以及病毒库服务器、补丁服务器的相互配合，可以将不符合 xxxxx 医院网络安全要求的终端限制在“隔离区” 内，防止“危险”终端对网络安全的损害，避免“易感”终端受病毒、蠕虫的攻击。其主要功能包括：

　a) 检查 ——检查用户终端的安全状态，配合不同方式的身份验证技术（802.1x、VPN、Portal 等），可以确保接入终端的合法与安全。

　b) 隔离 ——隔离违规终端。不符合企业安全策略的终端，将被限制访问权限，只能访问“隔离区”内的病毒库/补丁服务器等用于系统修复的网络资源。

　c) 修复 ——与第三方服务器中的补丁服务器、病毒服务器等形成联动。强制终端安装系统补丁、升级防病毒软件，直到满足安全策略要求。

　d) 管理与监控 ——EAD 提供了集接入策略、安全策略、服务策略、安全事件监控于一体的用户管理平台，可以帮助网络管理员定制基于用户身份的、个性化的网络安全策略。同时 EAD 可以通过安全策略服务器与安全客户端的配合，强制实施终端安全配置（如是否实时检查邮件、注册表、是否限制代理、是否限制双网卡等），监控用户终端的安全事件（如查杀病毒、修改安全设置等）。

　EAD 除了上述功能保证内网安全外，还可以对医院计算机做管理和控制，比如 监控的 计算机的 USB 接口、计算机黑白软件控制等，完全满足 xxxxx 医院内网安全要求。

　3.2.3、xxxxx 医院网络管理-----智能管理中心 随着网络的发展，其作用已经不仅是简单的互连互通，通信、计算、应用、存储、监控等各类业务应用和网络的融合，促使网络成为承载企业核心业务的平台。随着网络应用越来越复杂，网络安全控制、性能优化、运营管理等问题成为困扰客户的难题，并直接决定了企业核心业务能否顺利开展。在这种情况下，依靠单纯的硬件数据交换已经不能满足用户的需求，因此灵活的软件控制和高速的硬件数据交换进行有机融合的整体解决方案成为整个行业的发展趋势。

　为了系统地解决目前网络安全控制、性能优化、运营管理中存在的问题，凭借对 IT

　应用的深刻理解，推出了新一代的管理系统：开放智能管理中枢（ Intelligent Management Center，以下简称 iMC），作为 IToIP 整体解决方案的重要组成部分， iMC 采用面向服务架构（SOA）的设计思想，融合并统一管理业务、资源和用户这三大 IT 组成要素，通过按需装配功能组件与相应的硬件设备配合，形成直接面向客户应用需求的一系列整体解决方案，从而成为 IToIP 整体解决方案的开放智能管理中枢。

　3.2.3.1面向安全控制、性能优化和运营管理的系列解决方案 网络的安全控制、性能优化和运营管理是网络应用管理面临的核心问题，除基本的网络支撑管理外， iMC 通过软件灵活的控制，与相应的硬件设备配合，更为客户提供了一系列的整体解决方案，成为客户 IT 环境中的安全控制中心、性能优化中心和运营管理中心。

　iMC 面向安全控制、性能优化和运营管理的系列解决方案 安全控制中心系列解决方案 ► 端点准入解决方案(EAD)概述

　 iMC 端点准入功能组件与业界主流交换机、路由器、VPN 设备、无线控制设备、专业网关等硬件进行配合，实现了局域网、广域网、VPN 和无线等多种接入终端安全准入控制。

　端点准入解决方案(EAD)在身份接入基础上，支持安全状态评估、网络安全威胁定位、安全事件感知及保护措施执行等，预防因未打补丁、病毒泛滥、ARP 攻击、异常流量、非法软件安装和运行等因素可能带来的安全威胁，并可根据终端的安全状态实现终端VIP、Guest、隔离、下线等多种控制策略。从端点接入上保证每一个接入网络的终端的安全，从而保证网络安全。

　► 安全联动解决方案(SCC) 概述 随着安全威胁日益严重，企业对网络安全防御体系的投入和复杂度都在不断增加，彼此割裂的安全资源和海量的安全信息成为困扰网络管理员的管理难题。

　安全联动解决方案(SCC) 主要由事件管理中心设备（ SecCenter）和响应管理控制中心软件（ iMC）组成，事件管理中心主要完成对全网安全事件的采集、分析、关联、汇聚、报表报告展示，响应控制中心实现了安全事件与网管系统、用户管理系统的结合，对需要响应的重要事件可灵活进行短信通知、Email 通知、交换机端口关闭、用户下线、加入黑名单、在线提醒等响应操作。

　基础管理支撑 ► 基础网络管理解决方案(NMS) 概述 基础网络管理解决方案(NMS)，实现了全网资源的统一部署、管理和调配中心，支持的设备包括路由器、交换机、安全、无线、语音、存储、服务器、PC、UPS 等类型，实现了故障、性能、拓扑、配置等管理内容。

　3.2.3.2系统安全管理 系统安全管理功能主要有包括：操作日志管理、操作员管理、分组分级与权限管理、操作员登录管理等。

　 登录安全策略 分组分级权限管理记录所有操作系统管理员实时监控在线操作员定期修改密码 ► 操作员登录管理 管理员通过制定登录安全策略约束操作员的登录鉴权，实现操作员登录的安全性，通过访问控制模板约束操作员可以登录的终端机器的 IP 地址范围，避免恶意尝试另人密码进行登录的行为存在，通过密码控制策略，约束操作员密码组成要求，包括密码长度、密码复杂性要求、密码有效期等，以约束操作员定期修改密码，并对密码复杂性按要求设置。

　► 操作员密码管理 管理员为操作员制定密码控制策略，操作员仅能按照指定的策略定期修改密码，以保证访问 iMC 系统的安全性。

　► 分组分级权限管理 管理员通过设备分组、用户分组的设置，可以为操作员指定可以管理的指定设备分组和用户分组，并指定其管理权限和角色，包括管理员、维护员和查看员，实现按角色、分权限、分资源（设备和用户）的多层权限控制；同时通过设置下级网络管理权限，可以通过限制登录下级网络管理系统的操作员和密码，保证访问下级网络管理系统的安全性。

　► 操作日志管理

　对于操作员的所有操作，包括登录、注销的时间、登录 IP 地址以及登录期间进行的任何可能修改系统数据的操作，都会记录详细的日志。提供丰富的查询条件，管理员可以审计任何操作员的历史操作记录，界定网络操作错误的责任范围。

　► 操作员在线监控和管理 系统管理员通过“在线操作员”可以实时监控当前在线联机登录的操作员信息，包括登录的主机 IP 地址、登录时间等，同时，系统管理员可以将在线操作员强制注销、禁用/取消禁用当前 IP 地址等控制操作。

　3.2.3.3资源管理 iMC 资源管理与拓扑管理作为整体共同为用户提供网络资源的管理。通过资源管理可以：

　► 网络自动发现 可以通过设置种子的简易方式、路由方式、ARP 方式、IPSec VPN、网段方式等五种自动发现方式自学习网络资源及网络拓扑，自动识别包括：路由器、交换机、安全网关、存储设备、监控设备、无线设备、语音设备、打印机、UPS、服务器、PC 在内的多种类型网络设备；

　多种自动发现方式

　 自动识别多种设备类型 ► 网络手工管理 可以手工添加、删除网络设备，可以批量导入、导出网络设备，批量配置 Telnet、SNMP参数，以及批量校验 Telnet 参数等辅助功能； ► 网络视图管理 支持 IP 视图、设备视图、自定义视图、下级网络管理视图等多种管理视图，用户可以从不同角度实现整个网络的管理； ► 网络设备的管理 从任何一种网络视图入口，都可以实现对网络设备的管理，包括：支持对设备的管理/去管理、接口的管理/去管理、设备的详细信息显示和接口详细信息显示、设备和接口实时告警状态、设备和接口的实时性能状态、实时检测存在故障的设备等，用户可以方便的实现所有设备的管理； ► 设备及业务管理系统的集成管理 支持对、Cisco、3Com 等主要厂家设备的管理，支持手工添加设备厂商、设备系列及设备型号；支持设备面板管理的动态注册机制，实现与各厂家设备管理系统的有效集成；支持拓扑定位、ACL、VLAN、QoS 等业务管理系统的集成，实现设备资源的统一管理； ► 设备分组权限管理 支持设备分组功能，通过对设备资源进行分组管理，系统管理员方便的分配其他管理员的管理权限，便于职责分离；

　3.2.3.4拓扑管理 iMC 拓扑管理从网络拓扑的解决直观的提供给用户对整个网络及网络设备资源的管理。拓扑管理包括：

　► 拓扑自动发现

　 iMC 可以自动发现网络拓扑结构，支持全网设备的统一拓扑视图，通过视图导航树提供视图间的快速导航。通过自动发现可以发现网络中的所有设备及网络结构（具体参见资源管理），并且可以将非 SNMP 设备发现出来，只要设备可以 ping 通即可。这样就可以将所有网络设备都列入其管理范围（只要设备 IP 可达）。同时支持自动的拓扑图呈现和自定义拓扑。自动拓扑可以自动将网络中的逻辑连接关系显示出来，同时可以保存为自定义拓扑图并可根据具体情况进行修改以便于网管员对整个网络设备的监控。

　支持对全网设备和连接定时轮询和状态刷新，实时了解整个网络的运行情况，并且刷新周期是可定制（刷新周期：60～7200 秒），同时也支持对多个设备的刷新周期进行批量配置的功能。

　 ► 支持自定义拓扑 传统的网络管理软件大多支持自动发现网络拓扑的功能，但是自动发现后的网络拓扑往往是很多设备图标的简单排放，不能突出重点设备和网络层次，使网络管理人员感觉无从下手。

　针对这种情况， iMC 的拓扑功能支持灵活的自定义功能，管理人员可以根据网络的实际组网情况和设备重要性的不同灵活定制网络拓扑，可对拓扑图进行增、删、改等编辑操作，使网络拓扑能够清晰地呈现整个企业的网络结构以及 IT 资源分布。

　iMC 支持灵活定制拓扑图，使网络拓扑更有重点和层次感。管理员可以按照关注设备不同，管理角度不同定义多种拓扑，并可以针对拓扑不同选择不同的背景图；管理员可以根据网络设备的重要性不同，链路速率不同采用合适的图标显示。

　 ► 自动识别各种网络设备和主机的类型

　iMC 可以自动识别、华为、Cisco、3com 等厂商的设备、Windows、Solaris 的 PC 和工作站、其他 SNMP 设备和 ping 设备，并且以树形方式组织，以不同的图标显示区分。在拓扑图上更可进一步对设备的类型进行区分，如区分路由器、交换机、安全网关、存储设备、监控设备、无线设备、语音设备、打印机、UPS、服务器、PC 等等。

　 ►

　设备状态、连接状态、告警状态等信息在拓扑图上的直观显示

　iMC 的拓扑功能与故障管理和性能管理紧密融合，使拓扑图能够清晰地看到企业 IT资源的状态，包括运行是否正常、网络带宽、接口连通、配置变化都能一目了然。多种颜色区分不同级别故障，根据节点图标颜色反映设备状态。

　 实时设备状态实时链路状态实时告警和性能监控状态状态 ► 拓扑能提供设备管理便捷入口

　iMC 拓扑能够提供对设备管理的便捷入口，管理员只需通过右键点击拓扑图中的设备图标即可启动设备管理各项功能，实现对设备的面板管理等各项功能配置。

　 3.2.3.5故障（告警/事件）管理 故障管理，即告警/事件管理，是 iMC 的核心模块，是 iMC 智能管理平台及其他业务组件统一的告警中心。如下图所示，以故障管理流程为引导，介绍 iMC 强大的故障管理能力：

　 S网络资源、存储资源、计算资源、业务系统告警上报 定时轮询网管与告警中心实时告警分类、声光告警板，按故障类别及等级实时告警系统快照，实时报告网络、下级网络及设备的状态通过拓扑实现报告网络及设备状态实时告警浏览和确认实时远程告警：手机短信及EMail告警解决故障固化经验实时告警关联分析与统计实现网络管理透明化S S网络资源、存储资源、计算资源、业务系统告警上报 定时轮询网管与告警中心实时告警分类、声光告警板，按故障类别及等级实时告警系统快照，实时报告网络、下级网络及设备的状态通过拓扑实现报告网络及设备状态实时告警浏览和确认实时远程告警：手机短信及EMail告警分类、声光告警板，按故障类别及等级实时告警系统快照，实时报告网络、下级网络及设备的状态通过拓扑实现报告网络及设备状态实时告警浏览和确认实时远程告警：手机短信及EMail告警解决故障固化经验实时告警关联分析与统计实现网络管理透明化 ► 告警发现和上报 iMC 告警中心可以按收各种告警源的告警事件，包括设备告警、本级网管站及下级网管站告警、网络性能监视告警、网络配置监视告警、网络流量异常监视告警、终端安全异常告警等；同时通过支持对设备定时轮询，实现通断告警、响应时间告警等，以告警事件的方式上报给 iMC 告警中心；  设备告警包括电源电压、设备温度、风扇等告警事件，设备冷启动、热启动、接口 linkdown 等重要告警事件，路由信息事件（OSPF，BGP）变化，热备份路由（HSRP）状态变化等告警事件，支持对、CISCO、华为、3COM 等多厂商设备告警的识别和解析；  网管站告警指包括本级 iMC 系统集群服务器的异常告警，包括 CPU 利用率、内存使用率、iMC 服务程序运行状态等以及下级 iMC 系统上报的告警事件；  网络性能监视包括 CPU 利用率，内存使用率，以及 RMON 告警的故障管理。

　 网络配置监视告警包括设备软件版本、配置信息变更等告警事件，并通过 iMC智能配置中心组件（iMC iCC）实现配置文件定期检查，实现配置变更告警事件。

　 网络流量异常监视告警通过 iMC 网络流量分析组件（iMC NTA）实现网络

　中异常流量告警，包括对设备及接口异常流量、主机 IP 地址异常流量和应用异常流量的告警，支持二级阈值告警定义；  终端安全异常告警通过 iMC 端点准入防御组件（iMC EAD）实现对终端用户安全异常的告警，包括 ARP 攻击告警、终端异常流量告警及其他终端不安全告警；  iMC 定期轮询告警指通过 iMC 的资源管理模块对设备接口信息定时进行轮循，并及时上报通断告警、响应时间告警等告警事件。

　► 告警深度关联分析与统计 iMC 告警中心根据告警脚本中的告警事件定义，接收并解析上报的告警事件；

　iMC 对接收到的告警事件进行深度关联分析，系统缺省支持重复事件阈值告警、闪断事件阈值告警、未知事件阈值告警、未管理设备告警阈值告警，并能在故障恢复时自动确认相关告警；同时用户可以根据自己的需要确定事件的告警规则，以适应网络管理需要。

　 重复事件阈值告警：屏蔽重复接收到的相同事件，并可在达到阈值条件时产生新告警通知用户。

　 闪断事件阈值告警：分析接收到的闪断事件，并可在达到阈值条件时产生新告警通知用户。

　 未知事件阈值告警：屏蔽接收到的未知事件，并可在达到阈值条件时产生新告警通知用户。

　 未管理设备告警阈值告警：屏蔽接收到的未管理设备事件，并可在达到阈值条件时产生新告警通知用户。

　 自定义事件过滤规则：用户自定义的事件过滤规则，用户可指定在什么时间范围内、对什么样的告警进行过滤。

　iMC 系统预定义缺省支持各类深度分析后告警事件关联升级为告警的生成规则，同时，管理员可以自定义由告警事件升级为告警的规则，可从事件、事件关键字、事件源、时间范围四个方面进行规则定义，一旦定义事件升级为告警规则后，iMC 告警中心会根据定义的规则关联分析后生成不同级别的告警（告警共分成紧急、重要、次要、警告、事件 5 个级别；在浏览数据窗口，分别以红色、橙色、黄色、蓝色、灰色五种颜色进行

　显示），将管理员从繁多的告警事件中解脱出来，避免产生告警风暴，让管理员能专心关注告警的根源。

　► 实时告警

　iMC 提供多种方式将告警通知给管理员，包括：

　 实时远程告警：通过手机短信或 Email 邮件的方式，将告警及时通知管理员，实现远程网络的监控和管理；  分类、声光告警板，按故障类别及等级实时告警，让管理员通过告警板不但及时知道告警产生，同时可以了解产生的告警的类别和等级：

　  实时告警浏览和确认，通过告警首页对目前故障未排除的告警实时刷新并提供故障排除确认的入口：

　  提供系统快照，实时报告网络、下级网络及设备的状态

　 通过视图操作直观展示状态自定义网络实时状态下级网络实时状态各类设备实时状态存在故障的设备一目了然  通过拓扑实现报告网络及设备状态

　 直观、实时体现网络状态图标状态实时体现设备状态注：不可达 ► 故障解决

　iMC 对各种故障警均提供“修复建议”，管理员可以参考修复建议对故障进行处理。在故障得到解决后，通过对告警的确认完成故障的恢复确认。

　► 固化经验

　iMC 提供告警知识库。告警知识是用户在维护过程中的经验总结，将这些经验输入系统，下次再出现同样的故障时，可以作为参考。用户选中一条告警记录，系统根据用户选中的告警记录，从告警知识库中查询出该条告警记录的维护经验，供用户进行告警处理进行参考。用户将自己的日常处理经验以及业务信息及时写入数据库、更新告警知识库对以后的故障诊断与排除非常有益。

　 对系统自带修复建议的有效补充，为后续维护提供便利 3.2.3.6性能管理

　iMC 网管系统提供丰富的性能管理功能，同时以直观的方式显示给用户。例如：可以提供折线图、方图、饼图等多种显示方式并能生成相应的报表。通过性能任务的配置，可自动获得网络的各种当前性能数据，并支持设置性能的阈值，当性能超过阈值时，网络以告警的方式通知告警中心: ► 支持 At a Glance、TopN 功能，用户能够对 CPU 利用率、流量等关键指标一目了然；

　 ► 提供各类常用性能指标的缺省采集模板； ► 支持实时性能监视，支持二级阈值告警设置,当链路或端口的流量超过阈值，系统将会发送性能告警，使网络管理人员可以能够及时了解网络中的隐患，及时消除隐患。同时为故障定位提供手段； ► 提供基于历史数据的分析，为用户扩容网络、及早发现网络隐患提供保障；

　 ► 支持饼图、折线图、曲线图等多种图形方式，直观地反映性能指标的变化趋势；提供灵活的组合条件统计和查询；性能报表支持导出 Html、Txt、Excel、Pdf 格式文件：

　3.2.3.7设备管理组件 现有的企业网络中，由于缺乏有效的设备管理软件，网络管理人员往往只能通过“徒手”进行设备管理。管理人员往往只能通过远程登录查看设备工作状态，了解设备运行情况。

　iMC 提供的设备管理功...

推荐访问:网络安全 信息网络 方案