医院信息安全建设方案样本.doc

XXXX医院信息安全建设方案二 一 六 年 一 月目 录一. 概述1(一) 项目背景1(二) 建设目标1(三) 依据标准规范2(四) 建设标准31. 全方位提升网络和系统实体安全性、抗攻击性32. 信息系统可用可靠性、安全性和保密性33. 强调系统运行状态可控性34. 安全系统可管理性35. 需求、风险、代价平衡标准36. 优异性标准47. 可扩展性标准48. 多重保护标准49. 标准性标准410. 易操作性标准4二. 医院网络现实状况及需求分析5(一) 网络结构描述5(二) 应用系统描述5(三) 医院网络安全现实状况5(四) 医院网络安全需求6三. IT步骤规范化改善咨询服务7(一) 相关IT步骤改善咨询7(二) 提供IT步骤知识管理及任务管理系统及服务7(三) IT步骤改善目标7(四) IT步骤改善标准7(五) IT步骤改善服务需求说明81. 建立IT步骤体系计划和连续改善机制82. 建立信息中心部门基础制度83. 建立医院信息化管理制度94. 建立完善系统维护步骤95. 建立信息安全管理制度106. 建立应急预案和演练机制107. 建立项目管理制度118. 建立统计工作制度119. 编制具体作业指导书SOP11四. 安全建设方案12(一) MPDRR安全模型12(二) 信息安全拓扑图13(三) 网络防火墙系统141. 产品概述142. 产品特点14(四) WEB安全防护系统171. 产品概述172. 产品特点18(五) 运维审计系统231. 产品功效23(六) 上网行为管理系统291. 产品功效292. 产品技术优势34(七) 数据库审计系统（防统方系统）361. 产品概述362. 特色和优势36(八) 终端安全管理系统391. 关键功效特点392. 具体功效描述40五. 信息安全专业服务43(一) 安全计划服务431. 总体架构432. 安全建设计划46(二) 安全评定服务481. 服务描述482. 安全扫描工具48(三) 安全加固服务491. 服务描述492. 服务内容50(四) 安全巡检服务51(五) 应急响应服务511. 服务承诺512. 安全事件预警513. 应急响应规范534. 应急响应步骤54(六) 安全信息服务55(七) 安全培训服务55(八) 信息化安全服务清单55六. 信息安全建设方案清单57一. 概述(一) 项目背景医院是一个信息和技术密集型行业，通常其计算机网络划分为业务网络和办公网络，作为一个现代化医疗机构计算机网络,除了要满足高效内部自动化办公需求以外,还需要对外界通讯确保通畅。结合医院复杂HIS、RIS、PACS等应用系统，需要网络必需能够满足数据、语音、图像等综合业务传输要求，所以需要在网络上应利用多个高性能设备和优异技术来确保系统正常运作和稳定效率。同时医院网络系统连接着Internet、医保专网等网络，访问人员和物理上网路边界比较复杂，所以怎样确保医院网络系统中数据及应用安全显得尤为关键。在日新月异现代化社会进程中，计算机网络几乎延伸到了世界每一个角落，它不停改变着我们工作生活方法和思维方法，不过，计算机信息网络安全脆弱性和易受攻击性是不容忽略。因为网络设备、计算机操作系统、网络协议等安全技术上漏洞和管理体制上不严密，全部会使计算机网络受到威胁。我们能够想象一下，对于一个需要高速信息传达现代化医院，假如遭到致命攻击，会给社会造成多大影响。在医院行业信息化建设过程中，信息安全建设即使只是一个很小部分，但其关键性不容忽略。便捷、开放网络环境，是医院信息化建设基础，在数据传输和共享过程当中，业务数据安全性要切实地得到保障，才能保障医院信息化业务系统正常运行。然而，假如我们数据面临着越来越多安全风险，将对业务正常运行带来威胁。所以，在医院信息化建设过程中，我们应该正视网络及系统可能面临多种安全风险，对网络威胁给充足重视。为了医院信息网络安全稳定运行，确保医院信息系统建设项目标顺利实施，结合具体网络和应用系统现实状况，依据医院现在计算机信息网网络特点及安全需求，本着切合实际、保护资产、着眼未来医疗信息化动态发展标准，提出本安全建设方案。(二) 建设目标医院将经过此次网络系统及网络安全计划和建设，将医院网络建设成为一个含有现代化、多功效、结构化、智能化综合性网络系统。医院网络系统是为医院内部提供网络信息系统应用IT基础平台，包含PACS/RIS系统、HIS/OA信息系统、管理、科研和多业务综合信息服务网络系统。首先，经过网络系统安全进行全方面升级改造，建立可为医院内部医疗信息管理、科研提供一个技术优异、高安全性信息化网络环境。同时院内医疗信息管理（PACS/RIS/HIS系统）、多媒体系统、远程会诊系统、网上挂号、数据库管理系统等，全部能够经过医院信息网络平台安全、高效网络来运行和工作。满足医院内外网通讯要求。包含Internet服务远程移动办公服务、远程医疗帮助、网上挂号等数据信息下载及视频会议等。在适应网络发展趋势和医院实际网络需求基础上，既要能满足同济医院信息网络系统使用需求，并兼顾以后网络系统易扩充性和可管理性。经过对网络系统络进行统一整体设计、计划，为医院网络系统打造一个长久、稳定、高效、安全运行环境，和医院未来发展和建设打下良好网络平台基础。并将关键放在系统稳定性、开放性、可扩展能力上，使系统连续稳定运行，既可满足现有医疗信息系统应用需要，又可方便满足以后系统升级及应用需求，避免反复投资。(三) 依据标准规范l GB17859-1999 计算机信息系统安全保护等级划分准则l GB/T 22240- 信息安全技术 信息系统安全等级保护定级指南l GB/T 22239- 信息安全技术 信息系统安全等级保护基础要求l 信息系统安全等级保护实施指南 （征求意见稿）l 信息系统安全等级保护评定准则 （征求意见稿）l GB/T 8- 信息安全技术 操作系统安全评定准则l GB/T 9- 信息安全技术 数据库管理系统安全评定准则l GB/T 0- 信息安全技术 包过滤防火墙评定准则l GB/T 1- 信息安全技术 路由器安全评定准则l GB/T 21052- 信息安全技术 信息系统物理安全技术要求l GB/T 19715.2- 信息技术 信息技术安全管理指南 第2部分：管理和计划信息技术安全l GB/T 20984-信息安全技术 信息安全风险评定规范l GB/T 19716-信息技术 信息安全管理实用规则(四) 建设标准1. 全方位提升网络和系统实体安全性、抗攻击性安全性设计从全方位、多层次加以考虑，即经过物理层、链路层、网络层、系统层、应用层等安全技术方法和安全管理来确实确保系统整体安全。确保多种相关网络和系统含有相当抗攻击性，能够检测并立即对多种攻击行为做出响应。2. 信息系统可用可靠性、安全性和保密性首先关注系统可用性和可靠性，在可用可靠性基础上，深入强调安全性和保密性问题，即信息在存放或传输过程中保持不被修改、不被破坏和不丢失。对信息使用进行相关授权。信息传输和传输过程进行相关控制、监视和跟踪。3. 强调系统运行状态可控性强调对全网上多种资源度量和监管，对整个网络和系统相关情况进行实时监控，对应用服务、数据和资源使用进行监控。对网络故障、操作错误、应用程序错误、硬件故障、系统软件错误及计算机病毒所产生潜在威胁加以控制。4. 安全系统可管理性采取“技术管理”并重模式，强调系统可管理性，经过管理方法、机制和技术相结合，做到事先防范，事后补救；从人角度考虑，经过安全教育和培训，提升工作人员安全方面意识和技术素质；经过建立多种安全管理制度，提升职员安全意识，规范职员行为，主动自觉地利用多种工具去加强安全性；经过多种技术手段，建立全部相关安全产品管理体系。5. 需求、风险、代价平衡标准对任一网络，绝对安全难以达成，也不一定是必需。对一个网络进行实际研究（包含任务、性能、结构、可靠性、可维护性等），并对网络面临威胁及可能负担风险进行定性和定量相结合分析，然后制订规范和方法，确定本系统安全策略。6. 优异性标准医院安全有一个优异水平安全。具体技术和技术方案应确保整个系统在目前含有技术优异性。7. 可扩展性标准医院信息化安全建设方案设计是针对其本身设计安全方案,适应整个医院网络系统现实状况和需求,所采取方法伴随网络性能及安全需求改变而改变,轻易升级,含有良好扩展性。8. 多重保护标准任何安全方法全部不是绝对安全，全部可能被攻破。不过建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息安全。9. 标准性标准设计医院信息化安全,要依据国家相关法律法规、技术规范和标准，同时也符合国家卫生厅相关信息化建设标准。10. 易操作性标准大部分安全方法需要人为去完成，假如方法过于复杂，对人员要求过高，本身就降低了安全性。其次，方法采取不能影响系统正常运行。二. 医院网络现实状况及需求分析(一) 网络结构描述经过对医院现有结构进行了解和分析，能够看出医院网络大致能够分为业务内网和办公外网，业务网络采取三层网络结构，经过关键交换机将医院各科室进行互联。并在业务网络单独设置和一个内部关键业务应用服务器区域，包含HIS系统、RIS系统、PACS系统和档案管理系统等应用服务器。同时为了满足内部应用服务器和办公网DMZ区域服务器进行数据交换需求，在业务网络和办公网络边界布署了一台防火墙设备进行两个网络之间隔离，并在防火墙划分了一个内部网络DMZ区域进行和外部DMZ区域进行数据交换中转站。外部办公网络大致能够划分为办公网和DMZ区域，在外部网络互联网边界经过关键交换机防火墙板卡进行边界隔离和划分DMZ区域，经过在外网关键交换机上做NAT和PAT对外公布统计医院DMZ区域应用。(二) 应用系统描述在医院业务网络中关键有HIS系统、PACS系统、RIS系统和档案管理系统等服务器,这些关键应用服务器组成医院业务网络关键。在应用系统布署架构上，现在应用系统、中间件和数据库系统采取一体化布署方法，及数据库和应用系统全部布署在一台服务器上，各应用系统架构大多采取了B/S、C/S架构。在应用服务器操作系统上，大多采取WINDOS操作系统。(三) 医院网络安全现实状况从医院现在网络结构上来看，在外部办公网络互联网边界关键采取了防火墙系统，不过因为DMZ区域应用安全关键依靠防火墙地址映射和访问控制进行保护，因为应用系统本身可能存在部分安全漏洞或软件设计上缺点，外网非法访者可直接经过防火墙许可端口对DMZ区域应用服务器进行注入、跨站、拒绝服务、缓冲溢出攻击。给医院网络造成极大威胁。在外部办公网络和业务网络边界上，采取网闸做网络边界隔离设备，不过因为设备采购时间较长，设备比较破旧，且是百兆等级设备，无法满足现有网络关键骨干千兆乃至扩展到万兆网络环境需求。(四) 医院网络安全需求信息安全包含到信息保密性(Confidentiality)、完整性(Integrity)、可用性(Availability)。基于以上需求分析，我们认为网络系统能够实现以下安全目标： 保护网络系统可用性 保护网络系统服务连续性 防范网络资源非法访问及非授权访问 防范入侵者恶意攻击和破坏 保护信息经过网上传输过程中机密性、完整性 防范病毒侵害 实现网络安全管理三. IT步骤规范化改善咨询服务近几年来医院信息化发展，为提供医院在医务服务质量上、医务事务处理效率上深入提升，伴随医院各类医务信息系统上线、升级和改造，因各类信息系统增加，随之而来是在IT部门工作量上大大增大，为深入保障全院医务系统热连续运作，全方面提升和优化医院信息化业务运维管理水平，提升IT部门业务服务质量，保障医疗应用安全运行。(一) 相关IT步骤改善咨询咨询服务IT步骤范围涵盖建立IT步骤计划和连续改善机制、建立信息中心部门基础制度、建立医院信息化管理制度、建立完善系统维护步骤、建立信息安全管理制度、建立应急预案和演练机制、建立项目管理制度、建立统计工作制度、编制（预算、采购、财产管理）具体作业指导书和指导实施。管理咨询关键集中步骤体系计划、步骤和模板编制或修改完善，对信息中心根据步骤规范开展步骤实施工作提要答疑或抽查教导，辅助建立长久有效步骤改善机制。(二) 提供IT步骤知识管理及任务管理系统及服务提供此软件及对应安装、调试和运行维护服务。软件功效关键涵盖步骤知识管理和步骤改善配套任务管理。步骤管理软件所管理步骤范围限于信息中心范围内IT步骤、模板及质量统计；任务管理软件限于信息中心步骤改善任务管理。(三) IT步骤改善目标l 对照IT步骤相关规范，评定信息中心现有IT步骤规范欠缺或差距,制订步骤计划并加以落实。l 引入步骤规范和行业优异步骤经验，补充编制新步骤制度、模板或完善现有步骤制度，使信息中心IT步骤体系升级以达成完整化、规范化。l 指导步骤规范落实和连续改善，使信息中心IT建设和运行维护步骤进入不停改善良性循环。(四) IT步骤改善标准l 步骤改善咨询活动需要采取规范化、科学化方法，符合步骤管理改善咨询相关规范。l 本项目范围所属步骤制度编制及实施应遵照IT步骤规范相关标准或要求，比如ISO9001、三甲IT信息化管理要求等。l IT步骤应轻易实施，切合实际需求，处理实际问题。l 既重视编制或完善工作步骤，更重视建立连续改善机制。l 利用步骤知识和步骤改善任务管理系统,以科学手段提升步骤改善实施力和效率,管理系统需要含有易操作、适应性好特征。(五) IT步骤改善服务需求说明1. 建立IT步骤体系计划和连续改善机制任务类别任务内容备注对步骤体系现实状况水平进行评定经过访谈、检验，对照ISO9001和三甲医院信息化管理要求等规范评定现有IT步骤制度缺漏或差异计划新步骤体系架构计划步骤体系目标、方针；计划步骤体系各步骤之间输入输出或变更互动关系确定步骤改善职责分工编制或修改IT步骤改善职责分工和岗位设置说明定义好步骤相关角色一览表PDCA阶段管理方法论和制度编制或修改完善步骤改善计划管理和汇报制度（年度、月度度目标计划和总结,按PDCA方法）IT步骤水平评定方法论和制度编制或修改完善一套针对IT步骤规范化水平检验评定措施，用于评定IT步骤规范所处水平(对比相关规范步骤覆盖率或完整性、实施情况和实施效果)对信息中心具体实施过程提供答疑教导2. 建立信息中心部门基础制度任务类别任务内容备注信息中心组织结构编制或修改信息中心组织结构说明编制或修改完善岗位一览表编制或修改完善岗位说明模板对部门按新模板填写各岗位说明书提供修改指导对信息中心按新模板编制岗位说明提供修改教导信息中心计划/总结编制或修改完善信息中心内部计划和汇报制度、模板部门绩效管理编制或修改完善信息中心职员绩效管理制度(包含目标设定、绩效计划、绩效沟通、绩效分解、绩效评定总体要求)对信息中心根据新制度、模板开展绩效指标定义和管理具体方案提供答疑教导。信息中心培训编制或修改完善信息中心培训发展制度其它相关制度编制或修改值班制度编制或完善考勤休假制度编制或修改会议管理制度3. 建立医院信息化管理制度任务类别任务内容备注帮助制订策略方法帮助分析医院信息化管理挑战和策略方法（总体标准、方法、方法）设置院级领导机构编制或修改完善院级组织机构说明信息化沟通机制编制或修改完善院级信息化沟通制度、模板制订中长久计划编制或修改完善中长久计划制度和模板IT信息化绩效管理确定IT信息化关键宏观指标定义(简单实用KPI)编制或修改完善IT绩效评定步骤制度制订绩效公告展示措施对信息中心主持相关活动提供答疑教导项目需求和立项审批编制或修改完善信息化项目立项审批制度（各单位需求申报，项目估算，立项审批等）4. 建立完善系统维护步骤任务类别任务内容备注日常缺点维护制度编制或完善软硬件缺点汇报和维护管理制度(故障等级定义;维修工单汇报和处理跟踪;事件跟踪和升级管理,含厂商)软件变更安装编制或完善软件版本更新制度（测试验证、风险分析及应急恢复、安装控制、装后验证）系统安装、变更编制或完善系统安装和配置变更步骤(方案评定、风险分析、审批、统计)值班制度编制或修改完善信息值班、交接班制度，有完整日常运维统计和值班统计，立即处理安全隐患系统监视巡查编制或修改完善系统巡查监视制度和统计要求基础架构信息管理编制或修改完善基础架构信息建立和更新制度，方便能从技术架构信息中了解系统网络架构和软件硬件资源布局对信息中心主持相关管理活动统计提供检验教导机房管理制度编制或修改完善机房管理制度，便于促进机房安全和作业管理5. 建立信息安全管理制度任务类别任务内容备注权限管理制度编制或修改完善权限管理制度(权限分配、授予和回收制度;权限状态一览表查询)病毒防范编制或修改完善病毒防范管理制度病人隐私信息保护编制或修改完善病人隐私信息保护制度编制或修改完善病人隐私信息保护情况检验评定制度定时安全评定编制或修改完善定时进行系统安全评定制度(权限管理实施情况检验、系统安全漏洞检验、安全监视方法检验、监视统计)提供制度框架，对信息中心主持相关活动统计，提供评价指导6. 建立应急预案和演练机制任务类别任务内容备注应急预案编制制度编制或修改完善应急管理制度( 预案覆盖范围、预案一览表清单编制要求、预案编制要求、预案审批、预案变更要求、连续改善要求 ) (涵盖整个主机、数据库、存放系统、网络瘫痪应急恢复方法等)提供制度框架，对信息中心主持编写具体应急预案，提供评价指导应急预案演练验证制度编制或修改完善预案演练制度(演练周期、演练统计、演练结果审定)提供制度框架，对信息中心主持编写具体应急演练结果，提供评价指导数据备份检验制度编制或修改完善数据备份有效性检验制度,以确保数据备份可用性连续改善机制编制应急预案编制、演练等方法连续改善要求7. 建立项目管理制度任务类别任务内容备注项目立项审批制度编制或修改完善信息化项目立项审批制度（各单位需求申报，项目估算，立项审批等）8. 建立统计工作制度任务类别任务内容备注系统缺点统计编制或修改完善应用汇报系统缺点统计制度和措施IT工作统计编制或修改完善IT工作（含绩效）评定和统计措施(本期选择若干宏观指标统计试点)9. 编制具体作业指导书SOP任务类别任务内容备注预算管理编制或修改完善预算管理标准作业程序（SOP）采购管理编制或修改完善采购管理标准作业程序（SOP）财产管理编制或修改完善财产管理标准作业程序（SOP）四. 安全建设方案(一) MPDRR安全模型PADIMEE模型包含以下多个关键部分：Policy（安全策略）、Assessment（安全评定）、Design（设计/方案）、Implementation（实施/实现）、Management/Monitor（管理/监控）、Emergency Response（紧急响应）和Education（安全教育）。依据PADIMEE模型，网络安全需求关键在以下多个方面得以表现：（1）制订网络安全策略反应了组织总体网络安全需求；（2）经过网络安全评定，提出网络安全需求，从而愈加合理、有效地组织网络安全工作；（3）在新系统、新项目标设计和实现中，应该充足地分析可能引致网络安全需求、并采取对应方法，在这一阶段开始网络安全工作，往往能够收到“事半功倍”效果；（4）管理/监控也是网络安全实现关键步骤。其中既包含了P2DR安全模型和APPDRR安全模型中动态检测内容，也涵盖了安全管理要素。经过管理/监控步骤，并辅以必需静态安全防护方法，能够满足特定网络安全需求，从而使既定网络安全目标得以实现；（5）紧急响应是网络安全最终一道防线。因为网络安全相对性，采取全部安全方法实际上全部是将安全工作收益（以可能造成损失来计量）和采取安全方法成本相配比进行选择、决议结果。基于这么考虑，在网络安全工程实现模型中设置一道这么最终防线有着极为关键意义。经过合理地选择紧急响应方法，能够做到以最小代价换取最大收益，从而减弱乃至消除安全事件不利影响，有利于实现信息组织网络安全目标。(二) 信息安全拓扑图(三) 网络防火墙系统1. 产品概述下一代防火墙保留了状态检测防火墙优点，含有性能同时含有内容过滤、入侵防御、流量管理、用户认证等多个应用层过滤技术于一身，填补了状态检测防火墙不足。为用户提供了更全方面深度过滤功效，有效识别来自应用层威胁。经过全新AMP+多核架构和设计理念，实现了高性能极速转发、智能定位和管控、应用精细识别、多个应用层过滤技术、虚拟防火墙定制化安全及立体可视化监控等一系列特有功效；应用层和网络层安全模块并行调度，提升了应用层处理性能；系统引擎和安全引擎用户态设计，避免了在大流量下数据报文分析对防火墙性能影响，有效提升了整机运行速度；友好扁平化风格界面，配合直观功效模块设计，愈加方便进行网络管理。2. 产品特点（1）. 独立管理口实现和业务口分离专门提供了管理口，让用户管理数据和业务数据分离，在业务数据量过大情况下，不会影响对防火墙正常管理。同时，单独管理口使用户能够严格限制连入管理防火墙方法，保障愈加安全管理防火墙。（2）. 管理员权限三权分立针对管理员角色建立三权分立管理员帐号机制，将超级用户特权集进行划分,分别授予配置管理员、安全管理员和审计管理员。实现配置管理、安全管理和审计管理功效同时,也确保管理员权限隔离。预防因为管理员权限过大所引发安全风险，也确保已经配置完成访问控制策略不会出现未授权修改，及出现未授权修改时能够保留相关审计信息。（3）. 安全隔离虚拟系统支持经过虚拟系统功效，将下一代防火墙虚拟成多个相互隔离并独立运行虚拟防火墙系统，每一个虚拟系统全部能够为用户提供定制化安全防护功效，并可配置独立管理员账号。在用户网络不停扩展时，经过虚拟系统功效不仅能有效降低用户网络复杂度，还能提升网络灵活性。当这些相互隔离并独立运行虚拟防火墙系统需要通讯时，能够经过下一代防火墙提供虚拟接口实现，而不需要经过物理链路将它们进行连接。（4）. 地理位置识别下一代防火墙增加了地理位置识别功效，能够将地理位置作为配置安全策略一个属性。经过地址位置识别用户能够了解到不一样地域目前网络使用情况，查看基于地理位置流量趋势等，从而针对不一样地理位置来调整防火墙策略，为用户安全策略管理提供一个新控制角度。（5）. 基于安全域攻击防护功效经过基于安全域Flood防护和扫描欺骗防护、IP地址扫描攻击、端口扫描和异常包攻击等防护手段攻击防护模块，将包含SYN Flood，ICMP Flood，UDP Food，IP Food， ping of death，Teardrop，IP选项，TCP异常，Smurf，Fraggle，Land，Winnuke等常见攻击行为检测集成在模块中，使得用户经过启用并配置攻击防护模块，有效过滤并采取对应方法阻止非正常报文流入用户内网。同时针对洪攻击和扫描攻击，攻击防护模块许可用户经过限制报文阈值，从而达成保护内部网络免受恶意洪攻击威胁，确保内部网络及内部服务器正常运行。攻击防护模块能立即向用户输出安全告警，并在系统状态中实时显示目前排行前十位攻击行为，让管理员能够快速了解并定位网络攻击，而且能快速做出响应确保网络正常。（6）. 愈加灵活、正确入侵防御功效依靠优异多核全并行处理技术，大幅提升了IPS处理性能，能够轻松应对多样混合型攻击，超出3000种特征库能够检测并防范针对HTTP、FTP、SMTP、IMAP、POP3、TELNET、DNS、RPC、MSSQL、ORACLE、NNTP、NETBOIS、TFTP等多个协议攻击，以保障网络安全。完善日志系统及监控系统提供了基于不一样维度入侵事件统计分析，方便管理员掌握目前网络中攻击信息，立即做出正确管理决议。同时，经过专业特征库，常见基础软件漏洞，和常见应用系统漏洞利用机理，确保IPS在防范已知漏洞基础上，也能对新出现漏洞进行防范，确保了入侵防御功效有效性。IPS功效中针对每种攻击特征设定精细实施动作，极大提升了入侵防御策略自由度和灵活性，而且最大程度降低了误识别率。（7）. 支持自定义新建、并发连接限制功效连接限制是网神下一代极速防火墙NSG系列基于安全域来限制并发及新建连接数功效。现在最常见两个应用场景为：1)限制P2P流量并发连接数。经过限制单个IP连接数上限，让使用P2P下载用户在达成阈值时也不会对其它用户造成影响。2)限制来自外网或内网高新建高并发攻击行为，保护连接表不被DoS攻击填满。（8）. 多个形式建立IPSec VPN隧道IPSec VPN支持“手工隧道”、“快速隧道”形式下隧道建立方法，并支持“网关到网关”、“用户端到网关”两种应用场景。同时VPN实施支持基于安全策略指定VPN隧道策略方法。（9）. 深度网络行为关联分析基于网络用户行为、用户身份、用户地域识别、用户访问应用类型实时分析及动态实时防护而设计整套安全防御体系。可经过“云计算”中心自动搜集安全威胁信息并快速寻求处理方案，立即更新攻击防护规则库并以动态方法实时布署到各用户防火墙中，确保用户安全防护策略得到立即、正确动态更新。防范以多个形态出现新恶意软件和攻击行为、APT攻击、0-day攻击等日益增加威胁。（10）. 全方位状态信息展示提供全方面实时状态信息展示，包含网络接口状态、接口信息状态、系统信息状态、资源状态、并发连接数、入侵防御状态、应用流量排行榜。第一时间为管理员修改防火墙配置策略，了解防火墙运行状态，掌握网络目前态势提供实时汇报。愈加人性化和智能化状态展示同时大大提供了状态信息易用性。(四) WEB安全防护系统1. 产品概述伴伴随防护技术不停发展，WEB应用系统防护技术经历了网关型防护手段和操作系统防护手段。如含有应用层过滤功效网络防火墙、IPS等网关型硬件产品，基于特征匹配进行防护；网页防篡改软件则是基于文件监控原理，对指定路径文件进行监控和写保护。传统网络安全设备和网页防篡改软件只能处理WEB应用安全一个方面，而WEB应用系统安全保障需要一个全方面安全防护和性能保障方法才能使之安全、高效、连续地对外提供服务。WEB应用系统安全是一个系统问题，包含三个方面，即可用性、完整性和机密性。实现这些标准所需安全等级因WEB系统属性、WEB应用价值不一样而异。如对机密性要求较高应用系统应该保障数据访问、传输过程安全，同时需要对访问者进行认证、授权、审计；对于一个面向用户群应用系统既要考虑其应用交互可用性，同时也需要对其完整性进行有效保障。而面向大众门户类网站则需要充足考虑其抗攻击能力、高可用性和完整性，提供7X二十四小时不中止服务，确保提供数据是真实、有效。总而言之WEB应用系统安全保障需要充足考虑其高可用性、完整性和机密机才能达成安全有效防护目标。专业WEB安全网关则是专用于防护及优化WEB应用系统最好选择，有效处理传统网络防火墙及网页防篡改软件在WEB应用防护方面不足，在重视应用系统高可用性前提下进行安全优化从而达成WEB防护最好目标。集WEB防护、WEB加速、网页保护、负载均衡、应用交付于一体WEB整体安全防护设备。经过WEB安全防护模块、应用审计模块实现应用安全防护，处理用户面临严重入侵威胁；经过WEB加速技术处理用户在高可用性、性能提升上因为需要大量资金投入烦恼；经过访问控制模块轻松处理了WEB应用系统细粒度访问控制等特定需求问题。v 事前主动防御，智能分析应用缺点、屏蔽恶意请求、防范网页篡改、阻断应用攻击，全方位保护WEB应用。v 事中智能响应，快速P2DR建模、模糊归纳和定位攻击，阻止风险扩散，消除“安全事故”于萌芽之中。v 事后行为审计，深度挖掘访问行为、分析攻击数据、提升应用价值，为评定安全情况提供详尽报表。v 面向用户应用加速，提升系统性能，改善WEB访问体验。v 面向过程应用控制，细化访问行为，强化应用服务能力。v 面向服务负载均衡，扩展服务能力，适应业务规模快速壮大。2. 产品特点（1）. 安全防护功效1) 策略覆盖完整度WEB安全网关提供对应用系统全方位防护，强化数据有效性防护即常见跨站脚本攻击、SQL注入攻击、跨站请求伪造、网页挂马、盗链等威胁防护，提供WEB应用或网站基础安全保障。使用虚拟服务器补丁技术用于缓解WEB服务器漏洞零日攻击和不安全配置带来安全隐患。集成会话署名判别技术和分级授权模块专用于防护WEB应用系统面临认证威胁，如失效会话管理缺点、不安全会话密钥管理缺点等均可经过WEB安全网关进行快速修复。提供预防应用DOS攻击和暴力口令破解技术，处理大规模异常访问造成应用系统面临性能问题，甚至系统瓦解、服务中止等恶性事件发生。2) 策略适应性优异安全策略不仅需要有广泛应用系统覆盖面、还需要有细匹配粒度和良好应用系统适应性。天泰安全网关策略基于URI、时间、访问者、访问状态、访问工具、访问内容等对象定制安全规则，每条规则在公布前均经过严格适应性测试，尤其针对中国数百家WEB应用系统进行测试，确保规则安全稳定、无误判。3) 学习引擎和白名单模式、主动防御时代益处安全防护技术能够分和黑名单防护技术和白名单防护技术，黑名单技术现在被大量应用，基于黑名单防护技术能够防护已知攻击行为，但对于未知或已知规则变种则无法防护。白名单技术能够有效防护黑名单无法处理问题，然而因为WEB应用系统复杂多样，所以白名单技术在实施过程中通常十分复杂并可能造成误判。TSAdaptive自适应引擎让白名单防护技术在Web安全Positive模式下，识别攻击行为不再依靠于已知攻击特征，而是基于用户应用系统正常请求特征和署名列表。自适应引擎生成推荐规则专用于特定应用系统，最大程度降低了黑名单技术带来误判、漏判、零日攻击等无法处理技术难题。4) 基于状态分析WEB应用防火墙技术在开发早期是完全基于规则匹配响应机制，表现为无状态特征。伴随防护技术不停提升及面临日益严重零日攻击威胁，WEB安全网关开创性采取了应用防火墙状态防护技术，对会话管理、请求伪造、盗链等行为进行识别和防护；对攻击者入侵扫描、探测、渗透过程进行状态识别和跟踪，快速定位威胁，立即告警或阻止。5) 和网络层联动防御技术WEB应用受到攻击，WEB安全网关应该采取行之有效防护方法。WEB安全网关在检测到有攻击流量时会跟据不一样安全等级做出对应响应，如阻断并给出伪装或告警信息。当检测到有持继攻击流量时，WEB安全网关将会采取一系列安全联动方法，如基于状态威胁识别和限时锁定方法将入侵者进行延时锁定，或立即将可疑攻击经过邮件、短信、SNMP、Syslog通知安全管理员，立即采取安全方法，降低攻击带来损失。（2）. 日志审计和管理日志分析和管理模块作为安全产品和安全管理人员交互最为关键接口，其日志审计贮存形式、内容和可提供提议对安全管理员保持应用系统长久安全运行起到关键作用。1) 安全日志日志不仅为管理员提供威胁管理平台，同时也是安全取证和策略调整依据。所以要求日志统计尽可能具体和正确，并可依据审计要求对特定数据进行筛选和审计。WEB安全网关可提供定时报表和即时分析功效，经过分析有利于安全管理人员把握应用系统安全现实状况，立即调整安全策略，并针对威胁等级较高攻击进行提醒，提出提议性处理措施。2) 访问日志WEB安全网关详尽纪录和有效统计用户对Web应用资源访问，包含页面点击率、用户端地址、用户端类型、访问流量、访问时间、搜索引擎关键字等信息，实现有效用户行为跟踪和访问统计分析。生成基于地域区域访问统计，便于识别WEB应用访问群体是否符合预期，为应用优化提供指导。（3）. 性能优化方案应用系统可用性是组成系统安全关键组成部分，应用系统访问延时、堵塞、服务中止、性能急剧下降等全部会造成系统可用性下降。对于公众开放应用系统可用性安全等级通常放在首位。怎样经济高效保障应用系统可用性是管理人员在进行安全计划时首要问题。性能优化方面，提供多个性能优化方案供用户选择。1) 站点集群技术在应用系统设计开发阶段融入Web安全WEB应用集群功效能够提升软件开发效率、替换由软件实现站点集群性能瓶颈和繁琐技术细节，提升整个应用系统性能。经过站点集群技术您能够实现站点网页文件、图片、媒体文件分离和整合，也能够方便实现不一样应子系统拆分。利用WEB安全网关还能够实现站点文本、图片文件域名分离，从而提缩短用户下载网页时间，提升用户体验。图 WEB安全网关集群服务2) 负载均衡WEB安全网关提供高可用性、负载均衡和基于HTTP应用代理，作为快速而且高可靠一个负载均衡产品，WEB安全网关尤其适适用于那些负载特大WEB站点，这些站点通常又需要会话保持或七层处理。图 WEB安全网关负载均衡服务WEB安全网关提供成熟负载均衡处理方案，支持负载均衡模式有：平均分发、压力分发、请求路径分发、请求参数分发，并支持WEB应用系统会话保持功效、服务状态监测和故障切换功效。3) WEB加速基于现有环境WEB加速功效可使用户不改变现有环境情况下提升访问WEB应用速度；WebCompress引擎对Web应用数据进行实时智能压缩，改善终端用户性能，降低带宽消耗。WebCache引擎对静态应用内容高速缓存，显著降低服务器负载。双向TCP连接池和高效复用算法将上千短连接优化为少许持久服务器连接，减轻服务器压力，改善服务器性能，提升应用响应速度，降低服务延迟。图 WEB安全网关加速功效（4）. 访问控制和SSL加速假如应用系统需要对访问者身份进行识别和授权，从而保障数据机密性，此时能够使用WEB安全网关访问控制功效和SSL加功效。该功效尤其适适用于已经交付使用应用系统，不需要修改程序代码，经过WEB安全网关实现访问控制和SSL加速。如WEB站点管理后台通常直接暴露在外网，仅依靠于口令强度和简易验证码进行访问控制，类似这种应用能够经过WEB安全网关访问控制功效实现身份识别和访问控制以提升应用系统安全性。WEB安全网关集成了SSL加密功效，应用内容在传输过程中全部受加密保护，经过转移服务器复杂加/解密任务