對網絡安全等級保護中設備身份鑒別方面整改的探討

盧方建 陽江市婦幼保健院

一、項目背景

我院作為三級市婦幼保健院，在信息系統的發展上緊跟時代的步伐，醫療主要的系統包括HIS、LIS、PACS、EMR、信息集成平臺以及自助機、微信預約掛號等，為了更好地保證醫療業務的安全持續運作，我院對核心系統和相關設備進行網絡安全等級保護三級評審。通過對網絡設備和安全設備進行整改，能有效提升信息系統的安全水平，接下來結合我院實際情況，對網絡設備和安全設備整改方案進行探討。

二、對照與措施

網絡設備和安全設備要處理好身份鑒別方面的設置，這是有效防止網絡攻擊的重點，下面從四個評測項進行對照和采取相應措施：

1.應對登錄的用戶進行身份標識和鑒別，身份標識具有唯一性，身份鑒別信息具有復雜度要求并定期更換；對照設置，發現問題如下：

（1）設備未對所有登錄模式啟用身份鑒別，缺乏Console認證、缺乏VTY認證和缺乏Web認證。

（2）設備對登錄管理的用戶僅進行密碼認證。

（3）設備未能確保其相關標識的唯一性，包括設備名標識未具有唯一性和登錄用戶設置的身份標識未具有唯一性。

（4）設備存在明文口令用戶。

（5）設備未配置合規的密碼長度策略，包括：未配置密碼復雜度、密碼復雜度要求不滿足、未配置密碼有效期和密碼有效期長度要求不滿足。

上述問題的存在，使惡意用戶能夠較為容易的訪問系統并實施惡意操作，對相關系統的正常運行造成影響，存在系統被未授權訪問、操作的可能性。因此我們需要針對性進行整改，整改方案如下：

（6）建議設備對各登錄模式均啟用身份鑒別。包括：Console、VTY、Web。

（7）設備對登錄管理的用戶進行身份鑒別。至少采用：用戶名、用戶密碼。

（8）設備登錄不應出現共用賬戶登錄。

（9）設備各用戶配置規范具備復雜度要求的密碼，并定期更換。

（10）設備配置合規的密碼策略。包括：設備更新系統版本、配置復雜度要求和配置密碼有效期要求。

2.應具有登錄失敗處理功能，應配置并啟用結束會話、限制非法登錄次數和當登錄連接超時自動退出等相關措施；對照設置，發現問題如下：

（1）設備未配置合規的登錄失敗處理策略。包括：設備版本較低無登錄失敗處理策略、未啟用登錄失敗策略、失敗次配置不合規和鎖定時間配置不合規。

（2）設備未配置合規的操作超時退出措施。包括Console配置不合規、VTY配置不合規和WEB配置不合規。

上述問題的存在，登錄驗證可能被惡意用戶猜測獲得，合法用戶身份被仿冒，導致系統被非授權訪問。因此我們需要針對性進行整改，整改方案如下：

（3）設備配置合適的登錄失敗處理策略。配置參考以下措施：啟用登錄失敗策略、配置失敗5次和配置鎖定15分鐘。

（4）設備配置合適的操作超時退出策略。配置參考以下措施：Console配置超時15分鐘、VTY配置超時15分鐘和WEB配置超時15分鐘。

3.當進行遠程管理時，應采取必要措施防止鑒別信息在網絡傳輸過程中被竊聽；對照設置，發現問題如下：

（1）設備配置不合規的遠程管理模式：啟用TELNET、FTP和HTTP。

（2）未部署其他第三方設備統一管理。

（3）設備未禁用遠程登錄管理。

上述問題的存在，帳號、口令等重要數據可能被嗅探并盜用，導致系統被非授權訪問。因此我們需要針對性進行整改，整改方案如下：

（4）設備進行遠程管理（禁用TELNET、FTP、HTTP），采用SSH\HTTPS遠程管理。

（5）部署其他第三方設備（如堡壘機、VPN）且采用不易被竊聽的管理方式統一管理。

（6）設備禁用所有遠程登錄管理。

4.應采用口令、密碼技術、生物技術等兩種或兩種以上組合的鑒別技術對用戶進行身份鑒別，且其中一種鑒別技術至少應使用密碼技術來實現。對照設置，發現問題如下：

（1）設備僅采用用戶+口令的方式進行身份鑒別，未能提供其他雙因子鑒別技術。

（2）采用的身份鑒別技術中缺少使用密碼技術。

上述問題的存在，存在口令被惡意用戶猜測獲得，合法用戶身份被仿冒，一旦該鑒別信息被非授權人員獲取，可能對設備造成較大威脅，導致設備被非授權訪問的可能性。因此我們需要針對性進行整改，整改方案如下：

（3）設備使用兩種組合的認證方式，其中一種鑒別技術至少應使用密碼技術來實現。如：用戶名密碼+密碼技術（采用智能令牌（動態口令或數字證書載體）、USBKEY或智能卡）。

（4）部署其他第三方設備統一管理實現包括密碼技術的兩種組合的認證方式。

（5）采用的多種鑒別技術中，其中一種鑒別技術需使用密碼技術來實現。

三、結語

網絡設備和安全設備的整改必要性高，效果明顯，通過上述方法針對性進行整改，就能明顯提升信息系統的安全水平，這對于醫院業務工作可持續進行發揮了重要的作用。