下面是小编为大家整理的L0010XX市第X人民医院网络安全技术建议书（完整文档）,供大家参考。
L0010XX 市第 X 人民医院网络安全技术建议书 X XXXX 市第 X X 人民医院 网络安全技术 建议书 网御神州科技有限公司 2 2022 年 年 1 11 月 目 录 1 网络安全方案摘要 ............................................................................................................................................. 3 1.1 用户网络结构描述 .............................................................................................................................................. 3 1.2 网络安全方案描述 .............................................................................................................................................. 4 1.3 网络安全解决思路 .............................................................................................................................................. 6 1.4 网络安全问题解决建议 ...................................................................................................................................... 7 2 网络安全全面技术建议书 ................................................................................................................................. 8 2.1 网络架构分析 ...................................................................................................................................................... 8 2.1.1 应用系统架构 ............................................................................................................................................. 8 2.1.2 应用系统平台 ............................................................................................................................................. 8 2.2 系统风险分析 ...................................................................................................................................................... 9 2.2.1 网络架构风险分析 ..................................................................................................................................... 9 2.2.2 应用系统风险分析 ................................................................................................................................... 13 2.2.3 安全风险分析汇总 ................................................................................................................................... 17 2.3 安全需求分析 .................................................................................................................................................... 19 2.3.1 边界防护的需求 ....................................................................................................................................... 19 2.3.2 入侵防御系统 ........................................................................................................................................... 22 2.3.3 日志集中审计安全需求 ........................................................................................................................... 24 2.3.4 桌面管理系统需求 ................................................................................................................................... 24 2.4 系统安全建议 .................................................................................................................................................... 26 2.4.1 UTM 安全网关子系统规划 .......................................................................................................................... 26 2.4.2 入侵防御子系统规划 ............................................................................................................................... 29 2.4.3 日志审计子系统规划 ............................................................................................................................... 31 2.4.4 桌面安全管理规划 ................................................................................................................................... 35 2.4.5 方案产品选型及预算 ............................................................................................................................... 41 2.4.6 方案总结 ................................................................................................................................................... 41 2.5 附件：各产品技术资料，请参考产品白皮书 ................................................................................................ 42 1 网络 安全方案摘要 1.1 用户网络结构描述 目前 XXXX 市第 X 人民医院核心使用两台 cisco 4503 作为整个网络的核心交换机，两台交换机做互为备份使用，汇聚层使用了 5 台 cisco 的 3550 交换机，接入层使用了 cisco 的 2918交换机作为用户接入交换机，从整个网络拓扑情况看，XXXX 市第 X 人民医院具有合理的架构设计，完善的网络层次。
同时，XXXX 市第 X 人民医院将服务器区独立出来，通过一台交换机将所有的服务器与用户的网络进行隔离，确保了数据集中部署、管理的优势。
从客户端层面，目前 XXXX 市第 X 人民医院大约有 600 多客户端，其中可上网用户大约有100 多，内网用户大约有 400-500 左右，但这些客户端由于没有进行内网用户与外网用户的划分，因此存在了一些安全的隐患。
XXXX 市第 X 人民医院目前网络拓扑结构图 1 、 服务器资源 目前 XXXX 市第 X 人民医院内部有 HIS、LIS、PACS、EMR、防病毒服务器、病理服务器等多台服务器。
2 、 网络资源 核心使用两台 cisco 4503 作为整个网络的核心交换机，两台交换机做互为备份使用，汇聚层使用了 5 台 cisco 的 3550 交换机，接入层使用了 cisco 的 2918 交换机作为用户接入交换机。
3 、 安全措施 目前 XXXX 市第 X 人民医院内部的安全措施要紧有：卡巴斯基网络防病毒系统、终端 USB移动设备等监控系统。
1.2 网络安全 方案 描述 众所周知，网络为人们提供了极大的便利。但由于构成 Internet 的 TCP/IP 协议本身缺乏安全性，提供一种开放式的环境，网络安全成为一个在开放式环境中必要的技术，成为务必面对的一个实际问题。而由于目前网络应用的自由性、广泛性与黑客的“流行”，网络面临着各类安全威胁，存在着各类类型的机密泄漏与攻击方式，包含：
窃听报文 —— 攻击者使用报文获取设备，从传输的数据流中获取数据并进行分析，以获取用户名/口令或者者是敏感的数据信息。通过 Internet 的数据传输，存在时间上的延迟，更存在地理位置上的跨越，要避免数据完全不受窃听，基本是不可能的。
IP地址欺骗 —— 攻击者通过改变自己的IP地址来伪装成内部网用户或者可信任的外部网络用户，发送特定的报文以扰乱正常的网络数据传输，或者者是伪造一些可同意的路由报文（如发送 ICMP 的特定报文）来更换路由信息，以窃取信息。
源路由攻击 —— 报文发送方通过在 IP 报文的 Option 域中指定该报文的路由，使报文有可能被发往一些受保护的网络。
端口扫描 — 通过探测 UTM 安全网关在侦听的端口，来发现系统的漏洞；或者者事先明白路由器软件的某个版本存在漏洞，通过查询特定端口，推断是否存在该漏洞。然后利用这些漏洞对路由器进行攻击，使得路由器整个 DOWN 掉或者无法正常运行。
拒绝服务攻击 —— 攻击者的目的是阻止合法用户对资源的访问。比如通过发送大量报文使得网络带宽资源被消耗。Mellisa 宏病毒所达到的效果就是拒绝服务攻击。最近拒绝服务攻击又有了新的进展，出现了分布式拒绝服务攻击，Distributed Denial Of Service，简称 DDOS。 许多大型网站都曾被黑客用 DDOS 方式攻击而造成很大的缺失。
应用层攻击 —— 有多种形式，包含探测应用软件的漏洞、“特洛依木马”等等。
另外，网络本身的可靠性与线路安全也是值得关注的问题。
随着网络应用的日益普及，特别是在一些敏感场合（如电子商务、政府机关等）的应用，网络安全成为日益迫切的重要需求。网络安全包含两层内容：其一是网络资源的安全性，其二是数据交换的安全性。网络设备作为网络资源与数据通讯的关键设备，有必要提供充分的安全保护功能，交换机、路由器、UTM 安全网关、网闸、管理平台等产品提供了多种网络安全机制，为网络资源与数据交换提供了有力的安全保护。本文将对其技术与实现作全面的介绍。
为了便于分析网络安全与设计网络安全解决方案，我们采取对网络分层的方法，同时在每个层面上进行细致的分析，根据风险分析的结果设计出符合具体实际的、可行的网络安全整体解决方案。
从网络、系统与应用出发，网络的安全因素能够划分到如下的五个安全层中，即物理层、网络层、系统层、应用层与安全管理。
物理 层安全－网络的物理安全要紧指网络周边环境与物理特性引起的网络设备与线路的不可用,而造成网络系统的不可用。它是整个网络系统安全的前提。在网络安全考虑时，首先要考虑物理安全。比如：设备被盗、被毁坏；设备老化、意外故障；计算机系统通过无线电辐射泄露秘密信息等。除此之外，在一些特殊重要的网络应用中，可利用“网络隔离与信息交换”技术，将两个网络从物理上隔断而保证应用上连通实现的“信息摆渡”。
网络层安全－网络层安全要紧分为两个方面：网络传送安全与网络服务安全。网络传送安全要紧需要注意的有重要业务数据泄漏与重要业务数据破坏。
重要业务数据泄漏：由于在同级局域网与上下级网络数据传输线路之间存在被窃听的威胁，同时局域网络内部也存在着内部攻击行为，其中包含登录通行字与一些敏感信息，可能被侵袭者搭线窃取与篡改，造成泄密。
重要数据被破坏：是指不法分子针对网上传输数据做出伪造、删除、窃取、窜改等攻击。存储数据关于网络系统来说极为重要，假如由于通信线路的质量原因或者者人为的恶意篡改，都将导致难以想象的后果，这也是网络犯罪的最大特征。
网络服务安全是指：入侵者通过 Sniffer 等嗅探程序来探测扫描网络及操作系统存在的安全漏洞；入侵者通过网络监听等先进手段获得内部网用户的用户名、口令等信息，继而假冒内部合法身份进行非法登录，窃取内部网的重要信息；入侵者通过发送大量 PING 包对内部网中重要服务器进行攻击，使得服务器超负荷工作以至拒绝服务甚至系统瘫痪。
网络安全不仅来自外部网络，同样存在于内部网，而且来自内部的攻击更严重、更难防范。 假如办公系统与业务系统没有采取相应安全措施，同样是内部网用户的个别员工可能访问到他本不该访问的信息。还可能通过能够访问的条件制造一些其它不安全因素（伪造、篡改数据等）。或者者在别的用户关机后，盗用其 IP 进行非法操作，来隐瞒自已的身份。
应用层安全－网络应用系统中要紧存在下列安全风险：业务网之间的非法访问；中间业务的安全；用户提交的业务信息被监听或者修改；用户对成功提交的业务进行事后抵赖。同时还有：与 INTERNET 连接带来的安全隐患；身份认证漏洞；高速局域网服务器群安全；内部管理服务平台的安全。
系统层安全－系统级的安全风险分析要紧针对专用网络使用的操作系统、数据库、及有关商用产品的安全漏洞与病毒威胁进行分析。专用网络通常使用的操作系统(要紧为 UNIX)本身在安全方面有一定考虑，但服务器、数据库的安全级别较低，存在一些安全隐患。
管理层安全－再安全的网络设备离不开人的管理，再好的安全策略最终要靠人来实现，因此管理是整个网络安全中最为重要的一环，特别是关于一个比较庞大与复杂的网络，更是如此。因此我们有必要认确实分析管理所带来的安全风险，并采取相应的安全措施。
当网络出现攻击行为或者网络受到其它一些安全威胁时（如内部人员的违规操作等），务必实时的检测、监控、报告与预警。同时，当事故发生后，务必提供黑客攻击行为的追踪线索及破案根据，即网络应该有可控性与可审查性。这就要求我们务必对站点的访问活动进行多层次的记录，及时发现非法入侵行为。建立全新网络安全机制，务必深刻懂得网络并能提供直接的解决方案。因此，最可行的做法是管理制度与管懂得决方案的结合。
1.3 网络安全解决思路 网络的安全覆盖系统的各个层面，由“物理级安全、网络级安全、应用级安全、系统级安全与管理级安全”五...