【内网安全】堡垒机防统方方案

第一篇：【内网安全】堡垒机防统方方案

堡垒机“防统方”方案

方案综述

极地数据内控堡垒机，是国内知名的内网安全厂商极地安全，针对医药行业“防统方”现实需求，基于当前国际上最前沿主流的内网信息系统后台高端保护技术——堡垒机技术，而研发的全面“防统方”解决方案。

该方案立足于智能主动、全程管控的“防统方”理念，通过事前的堡垒机集中账号和访问通道管控，事中的单点登录、统一授权和访问控制，事后的数据走向与行为审计等功能，具备在服务器及后台数据库的核心设备层面的数据保护、智能拦截和行为审计，实现了真正意义上的智能管控和深度审计“防统方”的目的。

通过极地数据内控堡垒机“防统方”解决方案（以下简称：“防统方”堡垒机），能够有效地防止和精确审计医院系统内外的各种有权限访问内部各个核心系统的人员的统方操作，包括：医院HIS系统使用者管理者、医院信息设备管理者、外部技术维护人员，以及外部黑客等。

极地“防统方”堡垒机的核心价值在于：(1)治本：从根源解决“防统方”难题。(2)全程：融预警变事后追查为主动防御。(3)高效：产品便捷操作，智能防御和深度审计。

(4)整体：产品方案高屋建瓴，不光针对防统方问题，同时对整个医院内网信息系统核心数据设备，构建了高效率运维支撑和高强度安全保障的信息安全体系。

医院面临的“防统方”困境

困境一：“统方”途径多，堵漏难度大

目前，卫生行业信息系统均采用专网互联，并采用了防火墙、杀毒软件等基本的安全防护软件，但仍然存在众多安全威胁和监管漏洞，导致非法“统方”行为的发生。一般而言，现在医院统方途径主要有四大方面，简单分析如下：

非法“统方”。

第四，黑客入侵医疗系统非法“统方”。在高额利益的驱使下，当前黑客窃取“统方”数据的问题已不容忽视。总结黑客的手段无外乎以下三种：1）利用HIS等医疗系统的Web漏洞入侵数据库；2）利用数据库漏洞直接入侵数据库；3）入侵数据库服务器主机直接窃取数据库文件、备份文件等。

综上所述，以上四大途径，除了HIS系统途径相对容易防范，且技术管理架构清晰之外，其他三个途径，都是需要从根本体系上进行信息安全保障建设才能彻底堵住漏洞，自然，目前应用较广泛的数据库审计软件等手段，难以起到根本的作用。

困境二：政策“防统方”缺乏技术手段支撑

2010年6月21日颁发的《卫生部关于进一步深化治理医药购销领域商业贿赂工作的通知》中明确指出，“要对医院各个部门通过计算机网络查询医院信息的权限实行分级管理，对医院信息系统中有关药品、高值耗材使用等信息实行专人负责、加密管理，严格统方权限和审批程序，未经批准不得统方，严禁为商业目的统方。”

福建省卫生厅近日发出《关于加强医院信息系统管理的通知》，凡是有可能涉及对药品、医用耗材用量按医生进行查询统计的模块或软件应予以卸除，并且要对信息系统中的药品相关信息查询功能模块进行清理，删除一般科室功能模块中药品信息查询统计程序。不得授权其他科室和个人查询医生用药情况。

但在以上国家政策和地方政策颁布下，由于缺乏具体的技术手段作支撑，现实中的统方事件仍然不断发生：

2005-2008年海宁某医院信息科信息管理员王力，通过医生用药数据库中的药品及医疗设备的采购资料、医生用药量等信息资料，向药品经销商沈某、方某等人出售“统方”信息，共获得14万元。

2008-2010年1月杭州某医院计算机网络中心副主任金某与职员林某，向药品销售商李某等人出售“统方”信息，共获得13万元。

2011年9月，黑客多次潜入福州多家三甲医院，接入内网窃取医院的用药信息，然后高价卖出，累计获利上百万元。

„„

困境三：单纯审计手段无法防止非法“统方”

当前部分省市医院采用审计软件“防统方”，却面临3大致命缺陷：

概念

极地安全的数据内控堡垒机是一种被加固的可以防御进攻的计算机，具备坚强的安全防护能力。极地安全数据内控堡垒机扮演着看门者的职责，所有对网络设备和服务器的请求都要从这扇大门经过。因此极地安全数据内控堡垒机能够拦截非法访问和恶意攻击，对不合法命令进行阻断、过滤掉所有对目标设备的非法访问行为。

极地安全数据内控堡垒机具备强大的输入输出审计功能，不仅能够详细记录用户操作的每一条指令，而且能够将所有的输出信息全部记录下来；具备审计回放功能，能够模拟用户的在线操作过程，丰富和完善了网络的内控审计功能。极地安全数据内控堡垒机能够在自身记录审计信息的同时在外部某台计算机上做存储备份，可以极大增强审计信息的安全性，保证审计人员有据可查。

极地安全数据内控堡垒机还具备图形终端操作的审计功能，能够对多平台的多种图形终端操作做审计，例如Windows平台的RDP方式图形终端操作，Linux/Unix平台的X11方式图形终端操作。

为了给系统管理员查看审计信息提供方便性，极地安全数据内控堡垒机提供了审计查看检索功能。系统管理员可以通过多种查询条件查看审计信息。

总之，极地安全数据内控堡垒机能够极大的保护单位内部网络设备及服务器资源的安全性，确保各种服务器数据的安全保密、管理控制和操作审计，最终确保数据安全，全面而彻底地解决了目前医院防统方的难题和困境（详见上文）。

（二）极地数据内控堡垒机1）高成熟性和安全性。

极地安全数据内控堡垒机脱胎于国内最早的4A项目：黑龙江移动运维支撑平台集中身份和认证管理系统。并在中国移动的全国范围做了多年的部署实施，对于内网系统和数据安全的实际需求满足充分。在运营商行业有长达6年的使用实践，最多管理省级运维网络高达3000多台设备，性能卓越。

堡垒机代为记忆了账号和密码，还可以大提高操作人员的工作效率，并能证明操作人员的合规操作，所以也受到操作人员的欢迎。系统的开发研制中，我们尽量采用成熟的先进技术，对系统的关键技术在前期的工作中进行了大量实验和攻关及原型建立，在已开发并经广泛测试的产品中，上述的关键技术问题已解决。而且，选取的硬件平台和软件平台，是具有良好的技术支持和发展前途的成熟产品。

系统运用了先进的加密、过滤、备份、数字签名与身份认证、权限管理等安全手段，建立健全的系统安全机制，保证了用户的合法性和数据不被非法盗取，从而保证产品的安全性。

2）良好的可扩展性。

极地安全数据内控堡垒机产品从4A解决方案中抽象出来，提供最便捷的4A项目集成方案。在程序结构上充分考虑到4A项目和非4A项目的使用场景，以先进的体系结构，清晰合理的模块划分实现多种用户场景的适用性。在4A项目中，极地安全数据内控堡垒机放弃账号、认证、授权的集中管理，只提供执行单元，完成访问控制和操作审计功能；在非4A项目中极地安全将4A的一些理念融合到数据内控堡垒机产品中，除提供基础的访问控制和操作审计功能外，还提供精简的账号、认证、授权集中管理功能。

3）全面的信息系统和数据监控及访问控制功能。

极地数据内控堡垒机除了对服务器和数据库的监控，还能控制和管理交换换机、路由器，防止假冒网络地址的窃取行为。在日常运行中，堡垒机能够提供细粒度的智能访问控制，最大限度保护用户资源的安全。细粒度的命令策略是命令的集合，可以是一组可执行命令，也可以是一组非可执行的命令，该命令集合用来分配给具体的用户，来限制其系统行为，管理员会根据其自身的角色为其指定相应的控制策略来限定用户。

4）智能而强大的审计功能。

极地数据内控堡垒机监控的都是人工操作，也就是所以非正常操作都被监控，不会有冗余的无效日志（数据库审计的冗余日志多大每天几万条）。同时，极地数据内控堡垒机精确记录用户操作时间。审计结果支持多种展现方式，让操作得以完整还原。审计结果可以录像回放，支持调节播放速度，并且回放过程中支持前后拖拽，方便快速定位问题操作。方便的审计查询功能，能够一次查询多条指令。

2）引入4A管理理念

极地数据内控堡垒机采用4A的管理理念，圆满地解决用户现在面临的种种运维问题。

如图，IT运维管理由账号管理、认证管理、授权管理、操作管理组成：

帐号管理，需要在各系统上为新用户建立帐号、为已有用户修改帐号、为离职用户删除帐号。

认证管理，要保证各系统不被越权访问，那么就必须做好认证管理，为系统帐号定义密码、定期要求帐号密码修改、控制密码强度等等。

授权管理，授权过程其实就是把各系统上建立的帐号分配给操作人员的过程，管理员要定义帐号的权限，然后做帐号分配，根据用户置位调整做相应的帐号权限修改。

操作审计，管理员要定期做服务器的巡检，分析各系统上的日志，查看是否有越权访问，查看是否有误操作，如果有事故还需要根据日志进行故障排查和事故追踪。

以上也就是4A管理，极地数据内控堡垒机融合统一用户账号管理、统一认证管理、统一授权管理和统一安全审计四要素，并且涵盖单点登录（SSO）等安全功能，既能够为客户提供功能完善的、高安全级别的4A管理，也能够为用户提供符合萨班斯法案（SOX）要求的内控报表。

3）SSO单点登录

极地安全数据内控堡垒机提供了基于B/S的单点登录系统，用户通过访问WEB页面一次登录系统后，就可以无需认证的访问被授权的多种基于B/S和C/S的应用系统。单点登录为具有多账号的用户提供了方便快捷的访问途经，使用户无需记忆多种登录用户ID和口令。它通过向用户和客户提供对其个性化资源的快捷访问提高工作效率。同时，由于系统自身是采用强认证的系统，从而提高了用户认证环节的安全性。

5）集中身份认证

用户提供统一的认证接口。采用统一的认证接口不但便于对用户认证的管理，而且能够采用更加安全的认证模式，提高认证的安全性和可靠性。

集中身份认证支持电子证书、Windows AD域、Windows Kerberos、双因素、动态口令和生物特征识别等多种认证方式，而且系统具有灵活的定制接口，可以方便的与第三方LDAP认证服务器对接。

6）统一资源授权

极地数据内控堡垒机提供统一的界面，对用户、角色及行为和资源进行授权，以达到对权限的细粒度控制，最大限度保护用户资源的安全。通过集中访问授权和访问控制可以对用户通过B/S、C/S对服务器主机、网络设备的访问进行审计和阻断。

在集中访问授权里强调的“集中”是逻辑上的集中，而不是物理上的集中。即在各网络设备、服务器主机系统中可能拥有各自的权限管理功能，运维人员也由各自的归口管理部门委派，这些运维人员可以通过数据内控堡垒机对各自的管理对象进行授权，而不需要进入每一个被管理对象才能授权。授权的对象包括用户、用户角色、资源和用户行为。系统不但能够实现授权用户可以通过什么角色访问资源这样基于应用边界的粗粒度授权，对某些应用还可以实现限制用户的操作，以及在什么时间、什么地点进行操作等的细粒度授权。

7）细粒度访问控制

够提供细粒度的访问控制，最大限度保护用户资源的安全。细粒度的命令策略是命令的集

支持对命令发生时间进行查询。

可以通过对命令发生的时间进行查询，可以查询到特定时间段服务器上发生过的所有行为。支持对命令名称进行查询

通过查询特定命令如ls，可以查询到使用过该命令的所有用户及其使用的时间等。支持上述六个查询条件的任意组合查询。如，可以查询“谁（用户名）”“什么时间登录（登录时间）”服务器并在“什么时间（命令发生时间）”在“服务器（目标服务器）”上执行过“什么操作（命令）”。

支持对日志的备份操作处理。支持对日志的删除处理。

极地数据内控堡垒机应用与案例（此处略，根据实际情况填写）

第二篇：统方管理制度

大庆市中西医结合医院

统 方 管 理 制 度 为进一步深化治理医药购销领域商业贿赂工作，进一步规范医疗服务行为，维护患者和医疗机构及其工作人员的合法权益，避免为不正当商业目的统计医生个人和临床科室有关药品、耗材用量信息，建立防控医药购销领域商业贿赂长效机制，结合我院实际，特制订药品、耗材统方管理规定。

一、“统方”是医院对医生用药信息量的统计。所谓为商业目的“统方”，是指医院中个人或部门为医药营销人员提供医生或部门一定时期内临床用药量、医用耗材用量等信息，供其发放回扣的行为。

二、严格按照卫生部要求，我院对各个科室信息查询权限实行分级管理。根据不同科室的职能，限定各个科室通过计算机网络查询有关信息的权限。各岗位根据岗位工作需要设定权限，通过用户名和密码登录使用。

三、严禁医院工作人员为不正当商业目的统方。医院工作人员不得利用工作之便为医药购销人员牵线搭桥，为其提供相关信息，干扰正常医疗秩序。

四、建立审批权限。所有对药品、高值耗材进行相关统计和查询，必须在信息中心建立名册，工作人员只能在授权范围内查询本职责范围的相关信息，同时医院信息中心设置重要（敏感）信息查询留痕功能，要以有效地控制药品、高值耗材信息的传播范围。

五、加强风险岗位廉洁监督。对有条件统方的岗位，建立监督机制。加强对工作人员的教育，相关工作人员签订信息保密承诺书，对违反规定进行商业目的统方人员，应立即组织处理，除追究当事人责任外，还要追究当事人所在科室负责人的责任。

六、强化信息监督管理。对因工作需要的相关模块，由信息科加强监管，并建立查询日志，进行登记(包括计算机编号、操作者代号、操作时间等)，定期监管分析，保障药品、高值耗材信息的安全。

七、实行医院、企业规范药品、高值耗材购销双向承诺制和不良行为记录制度。推行医院与医药生产、经营企业建立医药购销廉洁自律承诺书。将禁止违规统方列为《承诺书》的内容之一；实行医药购销不良行为记录制度，对从事违规统方的医务人员按规定严肃处理，对从事统方的医药代表和医药生产及经营企业建立“黑名单”，按要求给予取消其供货资格，并在两年内不准其参与招标的处罚。

八、本制度自下发日起执行。

行风办

第三篇：防统方制度(2013)

防止违规统方制度

为进一步加强医院行风建设，维护医院及广大医务工作者的良好形象，促进临床合理用药，降低医药费用，切实减轻患者负担，防止医药购销活动中不正之风的发生，特制订本制度。根据卫生部《关于进一步深化治理医药购销领域商业贿赂工作的通知》（卫办发

[2010]59号）的有关工作要求，结合我院工作实际，制订本制度。

一、“统方”是医院对医生用药信息的统计。所谓为商业目的“统方”，是指医院中个人或部门为医药经销企业或医药营销人员提供医生或科室一定时期内临床用药量、医用耗材用量等信息，供其发放回扣的行为。

二、医院严格按照卫生部要求，对医院各个部门通过计算机网络查询医院信息的权限实行分级管理。根据不同科室的职能，设置各科室、各岗位通过计算机网络查询信息的权限。户名密码必须专人使用，不能泄露给他人。

三、严禁医院工作人员利用工作之便为医药经销企业或医药购销人员直接提供统方信息，或牵线搭桥，从医院其他工作人员取得统方信息，干扰正常医疗秩序。

四、建立所有对药品、高值耗材进行相关统计和查询权限，建立统计权限名册，建立查询统计审批制度和程序，工作人员只能在授权范围内查询本职责范围的相关信息，有效地控制药品、高值耗材信息的传播范围。

五、建立信息管理制度，对涉及到“统方”的相关模块，由网络信息科加强监管，并建立查询日志，进行登记(包括计算机编号、操作者代号、操作时间等)，定期检查分析，发现异常统方及时向阳光用药监管领导小组汇报，保障药品、高值耗材使用的信息的安全。

六、建立教育监督制度，以防为主，对相关工作人员进行纪律教育，签订信息保密承诺书，对有条件统方的部门、岗位进行层层把关，层层监督。

七、建立药品、高值耗材购销双向承诺制和不良行为记录制度。医院与医药生产、经营单位签订《廉洁购销承诺书》，禁止违规统方行为。对从事违规统方的医院工作人员按规定严肃处理，对要求进行统方的医药代表和医药生产及经营单位列入“黑名单”，停止采购该单位药物，两年内不准其单位药物进入医院。

八、本制度自下发日起执行。

第四篇：电子政务内网安全

电子政务内网网络安全设计方案

方案部署说明：

一、在网络出口处部署1台路由器，通过专线与国办网络连接。

二、在路由器的后端，部署1台密码机，对出入政务内网的所有数据进行加解密处理。

三、部署1台入侵检测系统，对各安全域进行监控，及时发现网络入侵行为，并向控制台传送报警信息和事件过程记录，做到事后有据可查。

四、通过1台高性能防火墙将网络划分成“应用服务区”、“安全支撑区”和“用户终端区”。首先在防火墙上配置终端用户区域全部禁止访问服务器区域，然后，根据用户区域需要访问的服务器区域应用系统，打开的端口和协议进行特定访问权限配置，包括：登录域需要使用的TCP/UDP端口，访问的目的地址集和源地址集等，病毒服务器的策略分发、升级、远程安装需要使用的TCP端口等。配置防火墙访问控制日志保存策略，配置防火墙安全管理员、用户管理员、审计管理员的用户权限和相应的密码。

五、“安全支撑区”主要部署防病毒系统（金山毒霸网络版）、域控制器、终端审计系统（中软）、违规外联监控系统（山谷）、内网安全管理系统（锐捷）、终端及服务器安全登录系统（北信源）和USB移动存储介质使用管理系统（国迈），该区域主要为整个涉密信息系统提供安全及管理的功能支撑。

六、“应用服务区”主要部署网站、电子邮件、文档和DNS等应用系统，为整个涉密信息系统提供应用支撑。

七、在每台涉密计算机上安装中软主机监控与审计系统客户端，对终端行为进行监控。它充分利用透明加解密、身份认证、访问控制和审计跟踪等技术手段，对涉密信息的存储、传播和处理过程，实施安全保护；最大限度地防止敏感信息泄漏、被破坏和违规外传，并完整记录涉及敏感信息的操作日志，以便日后审计或追究相关的泄密责任。

八、部署1套国迈USB移动存储介质使用管理系统，对USB移动介质进行统一认证，实现信息保密、访问控制、审计等功能。用技术的手段，实现移动存储设备信息安全的“五不”原则，即：进不来、拿不走、读不懂、改不了、走不脱。

九、在系统中部署1套山谷违规外联监控系统，防止涉密网计算机接入互联网，造成涉密信息泄露。

十、在系统中部署1套北信源终端服务器安全登录系统，能够实现对用户的身份鉴别，确保只有经过合法验证的终端用户才能使用服务器，具体采用USBKeyClient和USBKey相结合的方式。

十一、另外，配备启明星辰天镜脆弱性扫描与管理系统和金路标计算机终端保密检查工具各1套，定期对涉密信息系统内服务器和计算机终端进行安全隐患检查。

十二、新增50台天津光电聚能RBI-1型电磁泄漏防护插座和10台万里红WLH-2型视频干扰器，对不符合电磁泄漏发射防护要求的计算机及服务器进行安全防护。

第五篇：什么是安全堡垒

什么是安全堡垒？

宝宝会自动将主要照顾者当成一个堡垒，因此当他想要去探索环境，需要情绪支持时，他会确定他依赖的对象是否在身边。如有安全依附的宝宝安安跟着母亲去邻居家时，只要他回头时看到母亲坐在沙发上，他就会很放心地到客厅偏远的角落去玩耍了；但是当母亲因到洗手间去了而消失在他的视线里时，安安就会担心并且不愿意继续玩耍了，到处找妈妈。

宝宝都会有分离焦虑吗？

依据学者Bowlby依附理论的观点，一般宝宝都会有分离焦虑，只是程度轻重不一。正确的引导能帮宝宝走出这种情绪，而引导不好或宝宝的分离焦虑过分严重的话，会对宝宝的身心产生一些不好的影响。

每个宝宝的分离焦虑及因分离焦虑而产生的抗议行为，会因宝宝个人的特质或气质而有差异。如有些宝宝在面对新的人和事物时，接受度比较高；有些宝宝则比较退缩，只愿意信任特定的对象，对比较退缩的宝宝而言，他的分离焦虑就会强一些。反应强度较大的宝宝，除了哭闹的抗议行为会比较强烈，可能会在饮食、睡眠等方面出现一些异常，甚至会生病。

分离焦虑带来的不良后果

分离焦虑是心理活动引起的，对宝宝心理发展的影响也非常大。美国一位心理学家研究发现，如果宝宝的分离焦虑比较严重，会影响宝宝的活动；如果宝宝无法走出这种情绪，对他适应力的发展也有负面作用；分离焦虑还对宝宝日后健全人格的发展有非常重大的影响。

PART 2 宝宝好粘，怎么办？

一般来说，宝宝会在出现分离焦虑是比较短暂、可以改变的，所以，家长不用太过于着急。不过，有两种情况下主要照顾者会感受到宝宝的分离焦虑情绪很浓，一种是没有时间需要请保姆照顾宝宝的情形，另一种是宝宝进入幼儿园的阶段。针对上述2种情况，专家建议有一些方法可以降低宝宝的分离焦虑。

陪伴宝宝走过分离焦虑

如果太忙需要让长辈或保姆照顾宝宝，一定要确信他们是否有足够的能力和精力照顾好宝宝，不可以掉以轻心。然而，最好不要在宝宝6～8个月、18～24个月这两个时间段让他们接手宝宝。这段期间，宝宝正在克服分离焦虑，如果家长正好此时把宝宝送给长辈或保姆照顾的话，只会让宝宝产生双重焦虑，增加他不安全的感觉。

给宝宝时间适应新环境

宝宝第一次上幼儿园的时候，不要突然把宝宝带入一个完全陌生的环境，家长可以事先带着宝宝去熟悉环境，让宝宝对陌生的环境有一些印象，以降低他的焦虑感。

和宝宝做好事前的约定

宝宝第一次进入幼儿园的时候，主要照顾者千万不要因为害怕宝宝不愿意分开而偷偷溜走，这样只会让宝宝更焦虑，因为宝宝无法预期主要照顾者什么会时候不见了、什么时候会回来。家长应该坚定地告诉宝宝：“我现在要先离开，但是我4：30会回来接你回家。”让宝宝清楚地知道你的安排，不管宝宝愿不愿意，他都会在无形之中形成一种预期性，预期主要照顾者什么时候会回来。理所当然地，大人应该说到做到，以建立宝宝的信赖感。