医疗行业信息安全管理整体解决方案

医疗行业信息安全管理整体解决方案闫海波资深系统工程师医疗用户需要整体安全方案•所有医院都已经有防病毒软件、防火墙、入侵检测等基本设施–安全事件仍然时有发生，特别在办公网内–整体安全状况无人能够描述•业务网同办公网隔离•高端用户开始部署全院覆盖的无线网络–以支持各种移动手持设备或工作站–作为有线网络的补充–业务网不再是密不透风了安全规划与建设思路的转变防护重点安全治理观念高效安全管理需求以边界、安全域为主的“传统防护思路”被动的、防御型的技术手段应对型的安全建设模式通过工具化、自动化的安全手段，应对不断扩张的IT资产的管理，有效落实安全管理要求逐渐转向针对：•数据内容•应用•用户身份•行为的安全防护。1.加强主动防御的合规管理工作。2.加强安全监控综合分析；3.通过安全指标为衡量手段，推进安全治理、衡量安全建设绩效。传统的思路和模式信息的安全合规管理自动化高效的安全管理关键字安全建设建议流程事后审计证明有效性并判定趋势查询报告收集记录关联分析加固安全状态防止问题发生•Anti-malware•Firewall•HIPS•App.Ctrl.•DeviceCtrlLAN准入网关准入自我强制P2P控制DHCP准入桌面虚拟化应用程序虚拟化终端安全网络准入虚拟化事先防范管理控制并解决问题零日攻击违规操作入侵防护…数据防泄密事中控制安全性防护•监控•预防•发现•保护端点控制信息中心信息管理终端控制终端安全建设的困境•终端类型多样化–固定PC–移动PC–智能终端•终端用途多样化–公私混用（公用/私用）–多业务混用（办公/业务）•终端环境多样化–操作系统（windows系列）–硬件配置（CPU/Mem/外设）–应用（QQ、MSN……)•策略设置管理复杂•安全性和易用性的权衡•防护产品的环境适应性•安全策略上的妥协•安全产品形同虚设•安全产品不好用–更换产品•抱怨终端用户•默认终端现状终端环境：建设困境结果终端建设历程分析病毒防病毒产品企业的终端安全管理防病毒产品五花八门，防毒水平参差不齐企业统一防病毒体系全面终端安全防护终端感染病毒的渠道越来越多，带来其他的威胁防护软件删了怎么办？外来终端怎么办？大量终端1个管理员怎么管？统一化管理要求、考核要求、运维要求配套解决病毒转向解决人的问题减少感染机会•解决管理策略问题•管理力度问题•运维自动化问题•技术与管理配合问题为何终端权限控制•使用者私自修改IP地址•使用者私自安装软件，威胁到整个网络安全•使用者随意添加硬件•使用者随意关闭或卸载安全防护软件•使用者使用迅雷等下载工具，阻碍网络的正常工作。•……如何进行终端权限限制10为何需要终端防护防病毒/防间谍软件入侵防护(主机)防火墙设备控制主侵防护(网络)应用程序控制终端防护•Symantec防病毒与先进的威胁防护技术结合起来•单一的解决方案提供终端安全防护•单代理、单控制台结果:降低了成本、复杂度，减少了风险的暴露增强了保护、控制和管理性防病毒防间谍软件防火墙(主机)入侵防护设备控制应用控制(网络)入侵防护避免事后处理屏蔽不安全接入规范接入行为铲除威胁源头从纸面的管理口号到技术上的策略遵从传统的方法通告红头文件邮件电话通知管理规章制度罚款通报批评策略制定策略执行身份认证安全认证准许接入终端接入失败修复周期检查拒绝或隔离Symantec的方法检测终端接入第2步针对策略检查配置的遵从性第3步✗持续监控，遵守当前的策略第5步基于策略检查的结果采取措施第4步定义策略第1步准入控制能干什么•谁可以进入服务器网•访问哪台服务器•访问什么端口(应用)•桌面运行什么程序访问特定端口•不能获取什么数据19准入控制御“毒”于网络之外第1关外设控制监管所有I/O端口第2关双向防火墙监管所有网络通讯第3关NIPS和HIPS发现并阻止入侵行为第4关主动防御技术发现各种未知的安全风险第5关传统实时防护检测并清除恶意程序第6关系统加固修补漏洞提高安全性第7关紧急事件响应迅速应对减少损失第8关资产合约部署配置补丁软件升级帮助台分析监视事件问题变更发布远程维护报告备份恢复标识迁移服务等级ITLifeCycleManagement过渡和迁移远程帮助和故障排除监控和跟踪业务连续性保障补丁程序管理映像制作部署和配置应用程序打包和质量保证软件管理和虚拟化客户端查询和清单支持不同种类的平台资产管理客户端和移动用户管理Network资产部署NetworkDevicesSite监控Windows资产部署补丁管理软件分发打包工具应用软件管理远程控制Windows网管服务器监控备份与修复UNIX/Linux资产部署补丁管理2软件分发Windows网管3服务器监控备份与修复2Macintosh资产补丁管理2软件分发2Windows资产部署补丁管理软件分发打包工具应用软件管理远程控制Windows网管个性化迁移应用测量备份与修复Handheld资产部署软件分发2打包工具服务器管理资产应用软件固定资产条形码合同管理TCO管理帮助台数据中心控制如何阻截已经射出的子弹？SymantecCriticalSystemProtection•维持系统的策略依从•加固系统•入侵检测•入侵防护•减少管理复杂程度•提升产品的管理能力•防止零日攻击•加固日志系统,日志转发,和日志监控•对无法立即安装补丁程序或锁定的系统提供防护•企业级的报表功能•通过简单，集中的策略创建管理系统降低企业用于资产保护的成本目的提供•怀有恶意的内部用户攻击系统•未知攻击针对:•内存•文件系统•注册表•操作系统•应用•终端用户违背企业安全策略预防核心HIS、LIS服务器安全加固医院HIS、LIS服务器安全极为重要，一旦HIS、LIS有安全风险，造成的后果不仅仅是数据丢失，而且会造成医院业务可用性故障。1.加固HIS、LIS等核心服务器的安全，避免服务器受到恶意内部或者外部人员的攻击。避免由于攻击行为而造成数据的泄露和服务器的停顿。2.考虑到医院内有很多的维护供应商，包括软件的和硬件以及业务维护人员。这些人员经常会进入到机房甚至操作服务器。这些人员无意思的操作风险或者有意识的渗透都会造成数据泄密和服务器停顿的风险。需要监控这些人员在服务器上的操作，并在他们执行危险操作时阻止他们SCSP关键系统多重防护功能NetworkProtection(HostIPS)ExploitPrevention(HostIPS)SystemControls(HostIPS)Auditing&Alerting(HostIDS)SymantecCriticalSystemProtection•限制应用和操作系统的行为•阻止缓冲区溢出攻击•检测零日攻击•减少系统宕机时间•操作系统加固•监控日志和安全事件•归并并转发日志到SSIM平台•智能事件响应•阻止后门•限制应用程序的网络连接•限制进出流量•主机防火墙功能•默认策略即可有效保护系统•锁定系统配置和设定•注册表保护•文件系统保护•强制遵从安全策略•限制用户的权限•限制移动存储设备行为监控内容•未授权的系统配置更改•未授权的管理权限更改及滥用•用户登录、退出，和失败登录•操作命令和参数•重要文件未授权访问、更改•变更内容•注册表的更改（针对Windows平台)•……31信息控制32信息泄露的状况：产生-传输-使用的全过程信息泄漏环境信息外发和活动监控存储发现和信息整理邮件外发、上网第三方数据库交流移动媒体端点监控木马文件服务器信息防泄漏从3方面来考虑信息泄露风险，保障企业核心信息安全1.由于统方信息大多情况是通过个人的终端传递出去，我们首先需要考虑的问题是，监测存放在终端上的医院敏感信息的复制、打印、刻录、邮件等行为，通过警讯提醒医务人员风险操作。并在需要的情况下实时阻止这些泄密行为2.考虑到医院内部通过网络的通信途径比较多，在网络层监测信息使用者敏感信息传递过程协议监控，包括email,web,IM,FTP,PTP等。避免通过网络将信息传递出去3.所有的统方数据都通过HIS服务器获得，通过DLP监控医务人员对于HIS服务器的数据查询，及时发现统方查询和数据获得情况。并建立事件及时报警和审计。建议通过SymnatecDLP解决方案来达到目标35医疗行业信息防泄漏需求•针对HIS系统服务器上的数据查询分级审计进行数据泄密的监控•针对IT系统中所有导出的数据进行数据防泄密的监控•针对一些关键性excel报表进行数据防泄密的监控•对以上监控数据客户端要求阻断功能36DLP项目总体目标•通过DLP产品重塑企业内部审计流程，符合医疗行业CFO、内审、IT基础架构对信息防泄漏体系的要求•通过医疗DLP项目提升医疗系统IT信息化建设信息安全等级，提升企业形象。•通过医疗DLP项目，站在更高的角度上审视医疗行业信息安全，完善信息安全基础架构，为业务系统提供更安全的保障37以保护“信息”为核心最佳实践•定义敏感信息•监视这些数据如何被使用•建立防泄漏的管理机制和流程–提升整个企业对信息安全管理的参与度–将信息安全管理上升到业务风险管理的高度38把业务部门引入安全管理的最佳“切入点”：信息泄漏风险管理解决方案CD/DVD笔记本电脑电子邮件及时消息数据库File服务器USB设备防泄漏策略监控&预防发现&保护Web邮件Web/ftp服务器•由下属部门的主管组成•负责制定战略方向，扩大覆盖范围，设定风险防范机制目标，监测标准。确保优先权正确，资源充足，业务单位正在进行数据监测。•CISO,CIO应当带领指导委员会，推动业务部门参加数据指标的监控，对事件进行补救，并增减政策规定。统筹管理委员会风险管理部门IT部门业务部门•负责DLP系统的管理–负责维护系统功能和性能，配置和管理策略、响应规则、用户、角色、工作流–系统优调和扩展，监测运行指标•负责部门内的事件管理–一般风险由部门自己管理–高危风险需上报总部风险管理部门–定期提交所属部门风险统计数据•负责上报事件和统计数据的管理–风险管理部门给出明确的风险等级定义–明确哪个等级的事件必须上报–管理上报事件，进行调查和取证–定期按统计数据进行排名，排名结果记入KPI指标–必要时，启动紧急响应流程。联系公关部门，外部法律机构减小或消除负面影响理念方案方法论结合实际的最佳实践Symantec可以帮助您…如何来防止数据泄漏？发现监控阻止数据在网络中如何流动？敏感信息在什么位置?DATALOSSPREVENTION(DLP)DLP工作原理PresentationIdentifierGoesHere40管理管理发现•识别扫描目标•运行扫描以发现网络及端点上的敏感数据•启用或自定义策略模板•补救并报告风险降低监控123保护45•检查发送的数据•外设检测•监控网络与端点事件•禁止、删除或加密•隔离或复制文件•外设控制•通知员工及其经理DLP可完成的工作CD/DVDLaptopsEmailInstantMessageFTPSharePoint/LotusNotes/ExchangeDatabasesFileServersU盘DLPPolicyMonitoring&PreventionDiscovery&ProtectionWebmailWebservers本地硬盘OutlookLotus打印/传真HTTP/SExcel表格识别(正则表达式方式识别)•统方统计表识别•序号\s{1,10}科室编号\s{1,10}医生代码\s{1,10}药物名称\s{1,10}药物用量\s{1,10}单价\s{1,10}总价•通过对统方表格的识别，达到统方审计问题。43泄密事件追溯44安全管理和审计诸多安全管理软件会产生大量的安全日志，如果不进行管理分析这些安全解决方案的作用就被消弱。针对于可能发生的“统方”事件以及其他对医院影响较大的安全事件。必须能够及时发现、定位、报警以及事后审计。1.及时发现“统方”事件和所有其他严重安全事件2.定位“统方”事件的发生源、时间、人员以及影响范围3.对于重要时间及时报警通知管理员采取措施4.所有安全事件可以被事后审计、分析、评估。并能够提供分析报表。日志的引入•日志–原始凭证、记账凭证：记录