医院等级保护建设网络安全建设-解决方案(7)

墙联动的延迟和兼容性问题，这里推荐部署入侵保护产品，实现在入侵检测的基础上对攻击行为进行阻断，实现对入侵行为实时有效的防范。入侵检测/保护产品部署于外联区防火墙之后，是数据中心继防火墙边界访问控制后的第二道防线。

5.2.5 边界恶意代码防范

根据数据中心业务风险分析和等级保护三级对边界恶意代码防范的要求，需要在互联网边界部署防病毒产品。防病毒产品应具备针对HTTP、FTP、SMTP、POP3、IMAP以及MSN协议的内容检查、清除病毒的能力。支持查杀引导区病毒、文件型病毒、宏病毒、蠕虫病毒、特洛伊木马、后门程序、恶意脚本等各种恶意代码。并定期提供对病毒库版本的升级。

5.2.6 网络设备保护

对于网络中关键的交换机、路由器设备，也需要采用一定的安全设置及安全保障手段来实现网络层的控制。主要是根据等级保护基本要求配置网络设备自身的身份鉴别与权限控制，包括：登录地址、标识符、口令复杂度、失败处理、传输加密、特权用户权限分配等方面对网络设备进行安全加固。

由于不同网络设备安全配置的不同、配置维护工作繁杂，且信息安全是动态变化的，因此这里推荐通过自动化的配置核查设备，对网络层面和主机层的安全配置进行定期扫描核查，及时发现不满足基线要求的相关配置，并根据等级保护的安全配置要求提供相对应的安全配置加固指导。

5.2.7 主机层安全

主机层安全主要从身份鉴别、访问控制、安全审计、剩余信息保护、入侵防范、恶意代码防范、资源控制等方面来进行防护。

5.2.8 身份鉴别

为提高主机系统安全性，保障各种应用的正常运行，对主机系统需要进行一系列的加固措施，包括：

? 对登录操作系统和数据库系统的用户进行身份标识和鉴别，且保障用户名的唯一

性。卫生信息平台所有用户应当具备独一无二的标识符以便跟踪后续行为，从而可以将责任对应到人。用户ID不得表示用户的权限级别，比如经理或主管等等。 ? 根据基本要求配置用户名/口令，口令必须具备采用3中以上字符、长度不少于8

位并定期更换。

? 启用登录失败处理功能，登录失败后采取结束会话、限制非法登录次数和自动退

出等措施，重要的主机系统应对与之相连的服务器或终端设备进行身份标识和鉴别。

? 远程管理时应启用SSH等管理方式，加密管理数据，防止被网络窃听。 ? 对主机管理员登录采取双因素认证方式，采用USBkey+密码进行身份鉴别。

5.2.9 强制访问控制

应在主机层启用强制访问控制功能，依据安全策略控制用户对资源的访问，对重要信息资源设置敏感标记，安全策略严格控制用户对有敏感标记重要信息资源的操作。

强制访问控制主要是对核心数据区的文件、数据库等资源的访问进行控制，避免越权非法使用。采用的措施主要包括以下几个方面。

? 启用访问控制功能：制定严格的访问控制安全策略，根据策略控制用户对应用系

统的访问，特别是文件操作、数据访问等，控制粒度主体为用户级，客体为文件或者数据库表级别。

? 权限控制：对于制定的访问控制规则要能清楚的覆盖资源访问相关的主题、客体

及它们之间的操作。对于不同的用户授权原则是进行能够完成工作的最小化授权，避免授权范围过大，并在它们之间形成互相支援的关系。

? 账号管理：严格限制默认账户的访问权限，重命名默认账户，修改默认口令，及

时删除多余的、过期的账户，避免共享账户的存在。