對網絡安全等級保護中服務器整改的探討

盧方建 盧方玉 關益香 彭觀平 陽江市婦幼保健院

一、改造前的概況

1.密碼設置

所謂核心系統，具體分為醫囑系統、電子病歷系統、LIS 系統和PACS 系統。系統上線初期，由于安裝服務器是服務器廠家提供的技術人員，所以有些服務器的初始密碼比較簡單，后期安裝系統時也沒有足夠的安全意識把密碼復雜度設置符合等保要求，這對于服務器的安全是個隱患。

2.賬號單一

服務器操作系統的默認賬號基本都是啟用administrator，這個賬號很容易被入侵者利用，而且賬號權限過大，沒做到賬號分組分權管理，增加了被入侵者破解的風險。

3.端口和服務

服務器安裝系統后，開啟了服務器所有默認的端口和服務，一些高危端口，成為入侵者入侵服務器的重要途徑，一些用不到的服務，卻在后臺默認開啟，也成為入侵者入侵的工具。

4.殺毒軟件

有些服務器因為只對內部網絡的終端開放，而未安裝殺毒軟件，這樣容易造成病毒從內網終端傳播至服務器，導致服務器異常，從而影響醫院業務正常運作。

二、整改實用操作

1.關于windows 系統密碼復雜度策略設置

通過win+R 組合鍵調出“運行”窗口，輸入gpedit.msc 打開“本地組策略編輯器”依次選擇計算機配置—windows 設置—安全設置—賬戶策略—密碼策略：“密碼必須符合復雜性要求”選擇“已啟用”；“密碼長度最小值”選擇“8 個字符”；“密碼最短使用期限”選擇“1 天”；“密碼最長使用期限”選擇“90 天”；“強制密碼歷史”選擇“24 個記住的密碼”；“用可還原的加密來儲存密碼”選擇“已禁用”。

當然，在設置上述參數前，必須手動把服務器的密碼改為符合該要求的密碼，否則，設置后服務器將無法登陸。

2.關于windows 系統賬戶鎖定策略設置

打開“本地組策略編輯器”，依次選擇計算機配置—windows 設置—安全設置—賬戶策略—賬戶鎖定策略：“賬戶鎖定時間”設置為“30 分鐘”；“賬戶鎖定閾值”設置為“5 次無效登陸”；“重置賬戶鎖定計時器”設置為“30 分鐘之后”。

3.開啟服務器審計策略

（1）首先開啟服務器的審核內容，打開“本地組策略編輯器”，依次選擇 計算機配置—windows 設置—安全設置—本地策略—審核策略：把“審核策略更改”“審核登錄事件”“審核對象訪問”“審核進程跟蹤”“審核目錄服務訪問”“審核特權使用”“審核系統事件”“審核賬戶登錄事件”“審核賬戶管理”等策略的安全設置都改為“成功，失敗”，從而監控審核內容。

（2）接下來設置widows 應用程序、安全、系統等日志的，日志存儲最大大小，大于50M，并配置日志滿時將其存儲，不覆蓋事件，配置方法：進入“事件查看器”，選擇“windows 日志”，下一級選“應用程序”，鼠標右鍵選“日志屬性”，把日志大大小調整為51200KB，達到事件日志最大大小時，選“日志滿時將其存檔，不覆蓋事件”；針對“安全”和“系統”這兩個方面也做同樣的設置操作。

4.登錄連接超時及自動退出策略

（1）打開“本地組策略編輯器”，依次選擇計算機配置—windows 設置—安全設置—本地策略—安全選項：暫停會話前所需的空閑事件數量，把終端連接如果空閑時間設置為超過15 分鐘自動斷開。

（2）打開“本地組策略編輯器”，依次選擇計算機配置—管理模板—windows 組件—遠程桌面服務—遠程桌面會話主機—會話時間限制，把策略“設置活動但空閑的遠程桌面服務會話的時間限制”選“已啟用”，空閑會話限制設置為“15 分鐘”。

（3）開啟屏幕保護程序，在桌面右鍵個性化，進入屏幕保護程序，保護程序選空白，等待時間選5 分鐘，并勾上“在恢復時顯示登錄屏幕”。

5.對特權用戶進行權限分離

進入：計算機管理—系統工具—本地用戶和組—用戶；禁用：administrator 等超級管理員用戶，新建：數據庫管理員、系統管理員、審計管理員、安全管理員—注意各管理員的所在的組，每一個賬號的密碼都要符合設置的密碼復雜度策略要求。

6.禁用系統不必要的端口、服務

（1）禁用不必要的系統服務，方法：依次打開：計算機管理—系統工具—服務和應用程序—服務，建議禁用如print spooler 等服務器用不到的服務。

（2）禁用不必要的端口，Win+R 輸入cmd，在命令行輸入"netstat-an”，查看列表中的監聽端口，按實際使用情況，如無用到即可禁用，建議禁用TCP 135、139、45、593、1025 端口，UDP 135、137、138、445端口，和一些流行病毒的后門端口，如TCP 2745、3127、6129 端口。

7.每臺服務器都務必安裝殺毒軟件，建議使用具有操作后臺、支持統一管理的正規殺毒軟件。

三、結語

服務器整改方案操作簡單，效果明顯，把服務器的主要隱患通過上述方案整改，就能明顯提升服務器的安全水平，這對于醫院業務工作可持續進行發揮了重要的作用。