對網(wǎng)絡(luò)安全等級保護(hù)中高風(fēng)險問題整改的探討

盧方建 陽江市婦幼保健院

一、項目背景

陽江市婦幼保健院作為三級市婦幼保健院，在信息系統(tǒng)的發(fā)展上緊跟時代的步伐，醫(yī)療主要的系統(tǒng)包括HIS、LIS、PACS、EMR、信息集成平臺以及自助機(jī)、微信預(yù)約掛號等，為了更好地保證醫(yī)療業(yè)務(wù)的安全持續(xù)運(yùn)作，陽江市婦幼保健院申請對核心系統(tǒng)和微信預(yù)約掛號系統(tǒng)進(jìn)行網(wǎng)絡(luò)安全等級保護(hù)三級評審。通過對高風(fēng)險問題進(jìn)行整改，能有效提升信息系統(tǒng)的安全水平，接下來結(jié)合陽江市婦幼保健院實際情況，對高風(fēng)險問題整改方案進(jìn)行探討。

二、具體的高風(fēng)險問題和建議整改方法

（一）針對專線區(qū)域邊界方面

網(wǎng)絡(luò)層未采取違規(guī)外聯(lián)行為監(jiān)控和阻斷措施，且管理控制不滿足安全要求，整改方法：

1.網(wǎng)絡(luò)、服務(wù)器設(shè)備人為封閉不必要的設(shè)備插口（如：pci 插卡、usb 接口）；

2.能夠發(fā)現(xiàn)內(nèi)部網(wǎng)絡(luò)用戶私自使用電話撥號、adsl 撥號、手機(jī)、pda、無線網(wǎng)卡等連接方式將內(nèi)網(wǎng)設(shè)備連接到外部網(wǎng)絡(luò)；

3.監(jiān)控設(shè)備連接異常情況，一旦連接變更，產(chǎn)生報警記錄；

4.物理的訪問控制，包括設(shè)備連接方面變更的嚴(yán)格審批制度；

5.要定期檢查網(wǎng)絡(luò)連接日志；

6.采用域控方式，禁止改變IP；

7.定期對網(wǎng)絡(luò)層流量開展行為審計；

8.拒絕除允許的所有通信的情況，需要更改配置的設(shè)備包括網(wǎng)閘、防火墻、WAF、路由器和交換機(jī)。

（二）針對服務(wù)器的口令和身份方面

服務(wù)器操作系統(tǒng)用戶的身份鑒別和登錄口令不滿足安全要求：

1.對登錄操作系統(tǒng)的用戶進(jìn)行身份鑒別。

2.配置勾選“要使用本機(jī)，用戶必須輸入用戶名和密碼”。

3.操作系統(tǒng)身份標(biāo)識具有唯一性，不同用戶采用不同賬號登錄系統(tǒng)。

4.操作系統(tǒng)口令策略配置具備復(fù)雜度并定期更換，要求如下：

①密碼必須符合復(fù)雜性要求-＞啟用

②密碼長度最小值-＞8

③密碼最長使用期限-＞180 天

④密碼最短使用期限-＞1 天

⑤強(qiáng)制密碼歷史-＞5 次。

5.用戶屬性策略不勾選“密碼永不過期”。

6.HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionPoliciesNetworkHideSharePwds 的DWORD 值為1。

7.加密存儲口令，系統(tǒng)口令不得以明文方式貼在易見的地方。

（三）針對服務(wù)器數(shù)據(jù)庫系統(tǒng)的身份鑒別方面

服務(wù)器操作數(shù)據(jù)庫系統(tǒng)的用戶的身份鑒別和登錄口令不滿足安全要求：

1.建議對登錄數(shù)據(jù)庫系統(tǒng)的用戶進(jìn)行身份鑒別。

2.建議數(shù)據(jù)庫啟用密碼復(fù)雜度檢測，如配置alter profile default limit password_verify_function verify_function。

3.建議數(shù)據(jù)庫配置合適的口令可被重用的最大次數(shù)PASSWORD_REUSE_MAX 值可參考設(shè)為5。

4.建議數(shù)據(jù)庫配置合適的密碼有效周期PASSWORD_LIFE_TIME值（具體有效期視業(yè)務(wù)需求定，一般情況可參考設(shè)為90-180 天）。

5.加密存儲口令，系統(tǒng)口令不得以明文方式貼在易見的地方。

入之愈深，其進(jìn)愈難。新時代的改革開放，少不了溝溝坎坎，少不了風(fēng)風(fēng)雨雨。迎難而進(jìn)，需要更多共識的凝聚，需要更加堅定的改革自覺。

數(shù)據(jù)庫系統(tǒng)的遠(yuǎn)程管理模式方面也不滿足安全要求。

6.建議數(shù)據(jù)庫系統(tǒng)采用安全的方式登錄到數(shù)據(jù)庫進(jìn)行管理，配置sqlnet.encryption的值為true。

7.采用sqlplus 連接數(shù)據(jù)庫，確保客戶端與服務(wù)器端之間的通信加密。

8.宿主操作系統(tǒng)，啟用了安全的（RDP2.5 以上或SSH）遠(yuǎn)程桌面進(jìn)行管理，確保只能通過本地對數(shù)據(jù)庫進(jìn)行管理。

9.部署其他第三方設(shè)備（如堡壘機(jī)、VPN）且采用不易被竊聽的管理方式統(tǒng)一管理。

10.數(shù)據(jù)庫系統(tǒng)禁用遠(yuǎn)程登錄管理。

（四）針對網(wǎng)絡(luò)安全訪問方面

服務(wù)器的通過網(wǎng)絡(luò)要做到安全訪問很重要：

2.部署其他第三方設(shè)備（如堡壘機(jī)、VPN）且采用不易被竊聽的管理方式統(tǒng)一管理。

3.操作系統(tǒng)禁用遠(yuǎn)程登錄管理。

更深一層地說，就是整個遠(yuǎn)程管理過程中，只能使用加密傳輸通道進(jìn)行鑒別信息傳輸。通過其他技術(shù)管控手段（如準(zhǔn)入控制、桌面管理、行為管理等），降低數(shù)據(jù)竊聽隱患，可降低風(fēng)險等級。在有管控措施的情況下，開啟非加密管理方式，但默認(rèn)采用加密進(jìn)行管理，其風(fēng)險等級可降低。采用多因素身份認(rèn)證、訪問地址限定、僅允許內(nèi)部可控網(wǎng)絡(luò)進(jìn)行訪問的措施時，竊聽到口令而無法直接進(jìn)行遠(yuǎn)程登錄。

（五）針對內(nèi)外核心交換機(jī)方面存在配置不合理，部署不到位等問題，整改方法如下

1.設(shè)備進(jìn)行遠(yuǎn)程管理（禁用TELNET、FTP、HTTP），采用SSHHTTPS 遠(yuǎn)程管理

①undo telnet server enable

② undo ftp server

③undo web-manager enable

④ web-manager security enable

⑤ stelnet server enable

⑥ sftp server enable。

2.部署其他第三方設(shè)備（如堡壘機(jī)、VPN）且采用不易被竊聽的管理方式統(tǒng)一管理。

3.設(shè)備禁用所有遠(yuǎn)程登錄管理，語句：1undo protocol inbound。

三、結(jié)語

高風(fēng)險問題的整改必要性高，效果明顯，通過上述方法針對性進(jìn)行整改，就能明顯提升信息系統(tǒng)的安全水平，這對于醫(yī)院業(yè)務(wù)工作可持續(xù)進(jìn)行發(fā)揮了重要的作用。