3.2、信息網絡與網絡安全 3.2.1xxxxx 醫院需求分析及設計原則 目前，xxxxx 醫院要求在新建的網絡上應用醫院的 HIS、pacs 等系統，很多傳統業務都逐漸遷移到網絡上，對網絡的性能、安全和穩定提出了很高的要求，主要體現在以下幾個方面：

　1）可靠迅速的響應以提供更好的醫療服務 由于 xxxxx 醫院每天都保持幾千人的門診量， HIS 系統每天對后臺數據庫的調用非常頻繁，會產生比較大的數據流量，如果這種訪問流量出了問題而導致無法正常進行收費和醫療診斷，會產生嚴重的社會后果，因此醫院對網絡的訪問性能有很高的要求。

　2）安全的業務數據保證醫院正常對外服務 在醫院的業務系統中保存著大量患者的健康信息和過程費用信息，這些數據無論對患者還是醫院都非常關鍵，需要嚴格保密，因此如何保護這些數據，對醫院有著重大的意義。

　3）高效的管理推動系統的穩定，提高維護的效果 如何管好整個醫院的業務系統，包括用戶、服務器、數據庫、存儲設備和網絡等，提高醫院管理效率，保證醫院網絡的正常運轉已經成為醫院急需解決的大問題。

　4）醫院數據的安全存儲 醫院需要存儲包括病人信息、病案信息、費用信息和影像等數據，對數據存儲的安全性和擴展性要求非常高。

　5）區域醫療的建設 為了在區域范圍內實現遠程會診、網上學術研討等業務，迫切需要醫院之間的資源共享。

　3.2.1.1醫院網絡建設總體需求 xxxxx 醫院核心網絡系統用于開展日常醫療業務（HIS、LIS、PACS、財務、體檢系統等）的內部局域網，系統應穩定、實用和安全，具有高寬帶、大容量和高速率等特點，并具備將來擴容和帶寬升級的條件；提供合理、流暢的醫院網絡安全管理軟件平臺。建設完成后的系統滿足 xxxxx 醫院的運行要求，并且三到五年內技術不落后。

　? 網絡設計要求：

　1、實現骨干萬兆，桌面 1000M 接入的網絡結構。

　2、骨干設備具有高性能、高可靠特性，關鍵部件需要冗余配置。

　3、配備的網管軟件應提供可視的形象化的圖形界面，對整個網絡中網絡產品的全部設備和端口進行監視和管理。

　4、交換機互連采用鏈路冗余連接。

　5、由于醫療行業的特殊性，醫護人員和病患者之間需要頻繁地在院內移動、同時處理大量的信息，要求網絡具備可移動性、傳輸速率高等特點。同時考慮到醫院業務量的增加，網絡需要留出足夠余地擴容而不影響醫院正常的工作。

　3.2.1.2內網需求 內網是醫院核心網絡系統，用于開展日常醫療業務（HIS、LIS、PACS、財務、體檢系統等）的內部局域網，系統應穩定、實用和安全，具有高寬帶、大容量和高速率等特點，并具備將來擴容和帶寬升級的條件。

　? 網絡設計要求：

　1、實現萬兆主干，千兆接入到桌面； 2、配備的網管軟件應提供可視的形象化的圖形界面，對整個網絡中網絡產品的全部端口進行監視和管理；

　3、交換機互連采用多條鏈路捆綁，防止鏈路瓶頸，并提供鏈路冗余。

　4、部分設備節點實現熱備、冗余，保證業務正常運行。

　由于醫療行業的特殊性，醫護人員和病患者之間需要頻繁地在院內移動、同時處理大量的信息，要求網絡具備可移動性、傳輸速率高等特點。同時考慮到醫院業務量的增加，網絡需要留出足夠余地擴容而不影響醫院正常的工作。

　? 網絡應用設計要求：

　1、院內核心網絡系統 HIS、PACS 和 LIS、體檢系統等應用分別單獨組網。以子網的形式組成醫院的整體網絡。各網絡功能獨立應用，信息互通，資源共享；當任何一個子網出現故障，都不會影響到其他子網的使用。

　2、住院病區考慮到無線查房的需要，需要部署無線網絡。

　3、醫院網絡邊界部署安全防御設備。

　3、傳輸動態圖像的部門有：放射影像科、PET/CT、核磁共振 MRI、介入放射科 DSA、B 超室、心超室、腦超室、心電圖室、肌電圖室、胃腸鏡室、內窺鏡室、重癥監護室（ICU、CCU 等）、手術室、麻醉科、視頻示教室和會議室等。

　4、醫保(包括省醫保、市醫保、區醫保以及市公費醫療)是專線接入。須配置醫院內網與專線網的接口。

　5、為了更好地服務于醫療科研工作，需要將各類監護治療儀器上的各項生命體征等信息以數字化手段采集并且保存下來，在需要時，可隨時還原。因此，須考慮將醫院所有的監護儀器和大型設備都聯網。

　3.2.1.3外網需求 外網原則上是指除醫院內網之外的所有網絡系統，包括 INTERNET、銀聯系統、醫院圖書館知識管理平臺、和市衛生局聯網的應急系統、辦公自動化系統、電視監控信號傳輸、BA、安防監控、視頻會議系統、公共區域無線上網等。

　1、應急系統也是衛生局專線接入，通過外網接口和院內視頻會議系統連接。

　2、銀聯系統是用各 POS 機終端通過外網接口與原銀聯系統連接。

　3、Internet 網提供遠程醫療、遠程教育、局辦公自動化服務、醫療設備遠程維護等。

　4、醫院內部職工文獻檢索及知識管理平臺集中在電子圖書館，但須在所有辦公場所、住院樓病房、宿舍等地方預留 Internet 網接口。

　6、院內電視監控系統采集的信號需要從醫院外網系統上傳輸，需預留外網接口。

　7、可以實現手術示教。

　3.2.1.4網絡安全需求 為了應對現在層出不窮的網絡安全問題，在設計整個網絡系統的過程中要充分考慮到利用防火墻等設備以及殺毒軟件的配合使用，解決醫院目前現有系統及新建系統的網絡安全問題。基本要做到：故障排除、災難恢復、查找攻擊源、實時檢索日志文件、即時查殺病毒、即時網絡監控等。

　1、故障排除：要求做到一旦網絡出現異常，如無法訪問網絡，網絡訪問異常等，要能提供及時、有效的服務，在短的時間內恢復網絡應用。

　2、災難恢復：要求做到設備遇到物理損害網絡應用異常時通過備品備件，快速恢復網絡硬件環境;通過備份文件的復原，盡快恢復網絡的電子資源;在最短的時間內恢復整個網絡應用。

　3、查找攻擊源：要求做到發現網絡遭到攻擊，需要通過日志文件等信息，確定攻擊的來源，為進一步采取措施提供依據。

　4、實時檢索日志文件：要求做到能實時查看當時存在的針對本網絡的攻擊并查找出攻擊源。如果攻擊強度超出網絡能夠承受的范圍，可采取進一步措施進行防范。

　5、即時查殺病毒：要求做到網絡中出現病毒，通過及時有效的技術支持，在最短的

　時間內查處感染病毒的主機并即時查殺病毒，恢復網絡應用。

　6、即時網絡監控：要求通過網絡監控，盡可能發現網絡中存在的前期網絡故障，在故障擴大化以前及時進行防治。

　3.2.1.5網絡設計原則 基于xxxxx醫院目前網絡現狀和未來業務發展的要求，在xxxxx醫院網絡設計構建中，應始終堅持以下建網原則：

　1、實用性：整個網絡系統具有較高的實用性； 2、時效性：網絡應保證各類業務數據流的及時傳輸，網絡時效性要強，網絡延時要小，確保業務的實時高效； 3、可靠性：網絡系統的穩定可靠是應用系統正常運行的關鍵保證，在網絡設計中選用高可靠性網絡產品，合理設計網絡架構，制訂可靠的網絡備份策略，保證網絡具有故障自愈的能力，最大限度地支持醫院各業務系統的正常運行。必須滿足 7×24×365 小時連續運行的要求。在故障發生時，網絡設備可以快速自動地切換到備份設備上； 4、完整性：網絡系統應實現端到端的、能整合數據、語音和圖像的多業務應用，滿足全網范圍統一的實施安全策略、QoS 策略、流量管理策略和系統管理策略的完整的一體化網絡； 5、技術先進性和實用性--保證滿足醫院應用系統業務的同時，又要體現出網絡系統的先進性。在網絡設計中要把先進的技術與現有的成熟技術和標準結合起來，充分考慮到醫院網絡目前的現狀以及未來技術和業務發展趨勢。

　6、高性能—醫院網絡性能是醫院整個網絡良好運行的基礎，設計中必須保障網絡及設備的高吞吐能力，保證各種信息（數據、語音、圖像）的高質量傳輸，才能使網絡不成為一眼業務開展的瓶頸。

　7、標準開放性--支持國際上通用標準的網絡協議（如 IP）、國際標準的大型的動態路由協議等開放協議，有利于以保證與其它網絡(如公共數據網、金融網絡、外聯機構其它

　網絡)之間的平滑連接互通，以及將來網絡的擴展。

　8、靈活性及可擴展性--根據未來業務的增長和變化，網絡可以平滑地擴充和升級，減少最大程度的減少對網絡架構和現有設備的調整。網絡要具有面向未來的良好的伸縮性能，既能滿足當前的需求，又能支持未來業務網點、業務量、業務種類的擴展和與其它機構或部門的連接等對網絡的擴充性要求。

　9、可管理性--對網絡實行集中監測、分權管理，并統一分配帶寬資源。選用先進的網絡管理平臺，具有對設備、端口等的管理、流量統計分析功能以及可提供故障自動報警。

　10、安全性--制訂統一的骨干網安全策略，整體考慮網絡平臺的安全性。能有效防止網絡的非法訪問，保護關鍵數據不被非法竊取、篡改或泄漏，使數據具有極高的安全性； 11、保護現有投資--在保證網絡整體性能的前提下，充分利用現有的網絡設備或做必要的升級，用作骨干網外聯的接入設備，網絡的投資應隨著網絡的伸縮能夠持續發揮作用，保護現有網絡的投資，充分發揮網絡投資的最大效益。

　3.2.1.5.1核心層需求分析 xxxxx 醫院網絡核心設備擔負著連接接入層、服務器群和辦公大樓網絡的工作，通過核心設備的互聯，形成一套完整的網絡。由于核心層設備擔負著整個網絡的流量，在網絡核心層的流量是非常巨大的，所有的服務器均在網絡的核心層提供相關的服務。對網絡核心層的壓力非常巨大。同時網絡對安全性、穩定性的要求極高，由于網絡也基本是一個金字塔的形狀，那么最需要穩定的就是金字塔的頂端，即網絡的核心層。

　網絡核心層同時需要對網絡的接入層提供不同的網絡層的路由規劃和信息轉發的功能，同時還需要保證不同級別的網絡 QoS，對于服務器的關鍵業務通過鏈路級和網絡級的協議實現嚴格的控制和優先級的保證。對于網絡級的保護通常時間是非常長的，那么對一些關鍵業務，我們就必須通過結合二層快速收斂的協議一起來完成對網絡安全性的提升和網絡的自愈能力。設備必須支持對不同部門的規劃，如實現全網統一 VLAN 的規劃等。對每個系統分配不同的 VLAN 并且針對不同 VLAN 實現不同的安全和控制的策

　略等。

　3.2.1.5.2接入層需求分析 網絡的接入是對用戶直接進行數據透傳的層次，但是由于網絡的特殊性，本次的接入層主要是對一個局域網進行接入。對接入層概念就有了更新的解釋。

　對本次的接入層的主要需求的分析如下：

　（1）、接入層用戶數量的大直接產生大量的數據報文，造成碰撞域和沖突域，使網絡瓶頸產生于網絡的低層，直接影響接入質量。

　（2）、接入層用戶數量大，而所應用的數據種類繁多，多種網絡業務流量的產生，包括組播業務的產生，對所接入的網絡設備要求很高，使整個接入層產生了一個業務接入瓶頸。

　（3）、網絡的訪問終結于共享數據的特定位置，因為接入層用戶需要通過網絡最終訪問位于網絡另一端的共享服務器，而多個用戶同時訪問遠端的同一臺服務器或者存在訪問網絡的其他節點的服務器，就需要這幾個用戶爭搶網絡帶寬，使接入層瓶頸提升到核心層，造成核心層資源的浪費。并且根據網絡流量的分析得出用戶的訪問方向是不規則的，網絡一定會出現閑置的帶寬的現象，如何規劃將非常重要。

　（4）、網絡流量和網絡流向是寬帶網絡的一個新瓶頸。

　對于寬帶網絡接入，接入層網絡的通常是以新 2/8 原則來劃分的，其中有 20%的流量是在接入層交換機的內部進行交換的，而 80%的網絡流量是通過上聯出口訪問其他的網絡設備。這里，就涉及到網絡產生流量后，網絡流向的問題，網絡流向直接造成網絡對于流量和流向所產生的網絡瓶頸。

　（5）、網絡用戶是局域網用戶，實際接入的用戶就是一個網絡，那么對于不同網絡之間的互訪的安全性控制更是由為重要，同時各個不同的機關對本機關內部流通的部分文件是要求要有絕對的安全性的，對其他部門的用戶的訪問是分為很多的不同的級別的。

　3.2.1.5.3鏈路層需求分析 對于 xxxxx 醫院這樣的網絡來說，各項業務的需求，對于網絡的穩定性的需求就不言而喻。網絡核心層的采用星型的設計思路，通過以太網的方式同樣需要保證毫秒級的鏈路保護功能。對于鏈路級的保護能夠實現對一些基本的鏈路進行備份起到冗余的特性，以便保證在某個物理鏈路斷掉的時候還能保證用戶的數據的傳輸功能，同時能夠針對用戶的關鍵的鏈路放置一條專有的鏈路實現備份功能，保證關鍵業務的不間斷的連接。

　通過針對網絡級的保護需要針對不同的網絡設備采用不同的網絡級的保護協議來實現，針對整體的網絡架構提供保護，將網絡的穩定性和安全性提供更高的安全性。對于網絡級的保護主要是通過網絡的協議來實現的。并且網絡的冗余技術有很多不同的實現方式，對于網絡核心層的影響也不盡相同。

　同時網絡的穩定結構同樣也需要網絡設備自身的穩定性和自身的冗余的特性來保證，例如實現網絡設備電源的冗余、網絡控制板的冗余、無源背板、業務板件熱拔插等。這樣可以讓設備出現問題的時候不至于會造成網絡設備的癱瘓，可以通過在線更換背板、更換電源以及更換主控網板等方式來實現業務的不中斷運行。同時可以通過網絡主控板件和業務板件的業務熱切換功能實現網絡設備不停機。

　3.2.1.6醫院業務應用分析 3.2.1.6.1醫院業務劃分 醫院的業務系統有很多，而且不同的專科醫院業務系統也有很大區別，但以下一些業務系統是醫院都具有的：

　? 門診系統 ? 住院系統 ? 體檢系統 ? PACS 系統 ? 醫院管理經濟系統 ? 區域醫療系統

　3.2.1.6.2應用系統分類 醫院信息系統主要分成以下兩類：

　? 醫院管理系統 ? 門、急診掛號子系統 ? 門、急診病人管理及計價收費子系統 ? 住院病人管理子系統 ? 藥庫、藥房管理子系統 ? 病案管理子系統 ? 醫療統計子系統 ? 人事、工資管理子系統 ? 財務管理與醫院經濟核算子系統 ? 醫院后勤物資供應子系統 ? 固定資產、醫療設備管理子系統 ? 院長辦公綜合查詢與輔助決策支持系統 ? 臨床醫療信息系統 ? 住院病人醫囑處理子系統 ? 護理信息系統 ? 門診醫生工作站系統 ? 臨床實驗室檢查報告子系統 ? 醫學影像診斷報告處理系統 ? 放射科信息管理系統 ? 手術室管理子系統 ? 功能檢查科室信息管理子系統 ? 病理卡片管理及病理科信息系統 ? 血庫管理子系統 ? 營養與膳食計劃管理子系統 ? 臨床用藥咨詢與控制子系統

　3.2.1.6.3醫院業務系統的需求 1 ）門診系統 門診業務作為醫院直接面對患者的窗口具有非常重要的地位和自己的特點（包括焦急的病人無法忍受長時間的等待、門診業務主要集中在上午等），門診業務具有可靠性高、并發性、實時性和突發性強等特點。因此門診業務對網絡提出了高可靠性、高帶寬和 QoS的要求。

　2 ）住院系統 住院業務是醫院的另一個主要組成部分，是醫院經濟收入的主要來源，同時還直接關系到重病患者的生命安全，具有以下幾個特點：

　住院業務的網絡上流動著重癥病人生命數據和各種新業務數據； 住院業務保存有患者病案數據和住院費用數據； 醫生移動查房； 病人呼叫系統； 網上視頻監控系統； 針對住院業務的以上特點，住院業務對網絡提出了高可靠性、安全存儲、QoS 和無線局域網、VoIP 和視頻會議系統的需求。

　3 ）體檢系統 現在很多醫院建立專門的體檢大樓，以滿足民眾不斷擴大的體檢需求。從業務角度上講體檢系統非常簡單，它對網絡的需求主要體現在安全性上，如何保護體檢服務器上體檢人員數據安全和體檢大樓網絡安全是醫院體檢系統解決方案所關注的。

　4 ）PACS 系統

　醫院的 PACS 系統主要是完成對患者的各種影像數據進行采集、存儲、傳輸和處理，并在全院范圍內進行共享，由于是各種圖形圖像數據，因此具有存儲量大的特點，為了更好的服務于醫院業務，PACS 業務對支撐系統提出以下要求：存儲量大、擴展性強、數據快速存儲、數據容災、高帶寬 5 ）管理經濟系統 醫院管理經濟系統主要是人、財、物的管理，包括人事、財務管理、藥品藥庫管理等，因此它最大的需求是數據在服務器端和網絡上的安全，保證這些數據不會泄露。

　6 ）區域醫療系統 一方面為了發揮中心醫院的輻射和覆蓋作用，另一方面充分利用各家醫院的特色科室的力量，區域醫療把這些資源進行共享和整合，這需要穩定的廣域網連接。

　根據初步的需求，我們按照內外網分離的原則，建成后的南擴大樓的新機房將成為以后醫院的核心，原有機房成為備份冗余機房。

　3.2.2xxxxx 醫院網絡規劃設計 3.2.2.1網絡總體設計 設計全新的基于純 IP 技術的網絡平臺來滿足 xxxxx 醫院新區網絡的需求變化。面向網絡資源的有效、高效利用，從網絡架構方面提供優化方案，使得核心網、接入網具有更高的可靠性和可控性，同時使得網絡結構與布局在結合實際業務分布的前提下更加合理。數字園區的發展必然離不開兩個方向，其一是安全性，其二是移動性。這是 IP 通信技術發展的方向，滿足這個發展，首要前提就是讓網絡平臺能夠具備相關技術支撐能力，不論是對信息網絡的優化還是對業務的橫向拓展，都是基于網絡本身是安全有序的，需要從縱向三個維度對所有影響網絡安全的隱患、非法行為進行滲透防御與控制。

　在網絡整體設計中，采用分層、模塊化的網絡設計結構，并嚴格定義各層功能模型，不同層次關注不同的特性配置，將網絡的可靠性、安全性、先進性、易維護性、可擴展

　性發揮到最好，從而最終實現建設完善和先進的數字化醫院為目的。xxxxx 醫院采用分層網絡設計模型，將網絡分為以下幾個層次：

　? 核心層——核心層網絡屬于高速主干網絡，其職責是以最快的速度交換數據包，對網絡的連通性至關重要，需要提供高等級的可用性，并快速適應網絡變動。

　? 接入層——用戶通過接入層可以訪問網絡設備。在園區網中，工作站與服務器之間通過接入層網絡來共享或交換傳輸介質/設備端口；在 WAN 環境中，用戶站點可以利用 WAN 技術，通過接入層網絡訪問醫院資源。

　當流量通過層次化結構中的收斂點，沿著接入層--核心層傳輸時，流量數量及其相關的帶寬要求都隨之增加。層次化設計每一層的功能都很分明，無需全部網絡節點互聯的全網狀網絡。

　層次化網絡模式由兩個有效的轉發核心節點組成，當一個節點發生故障時，另一節點可以提供足夠的帶寬和容量來為整個網絡服務。

　3.2.2. 2內網規劃設計 內網是整個醫院的核心網絡，開展醫院日常重要的醫療業務，對網絡的可靠性、穩定性要求非常高，本次設計的網絡按照萬兆交換平臺、萬兆骨干網絡、千兆到桌面設計，內網核心交換機雙機冗余、負載分擔，并將安全設備以及無線控制器以插卡形式部署在核心交換機上，實現網絡安全一體化。

　在接入層千兆逐漸延伸到桌面已經成為最迫切的需要之一，在諸如醫療行業的會診、醫療影像、醫療科研協作等，應用在消耗大量帶寬的同時，也在追求終端用戶的滿意度，基于銅纜的千兆以太網可以將更多的應用從低速鏈路中解放出來，并且為醫務工作者創新提供了一個嶄新高效能工作平臺。

　在終端 PC 上部署 EAD 端點準入防御解決方案，從網絡源頭切斷病毒攻擊的來源，大大提升了醫院的安全管理水平。

　醫院網絡同時承載多種業務，所有交易業務都要經過核心交換機處理，建議核心交換機以萬兆核心交換機為業務系統核心交換機，滿足大容量、高性能、高可靠、高安全及

　網絡擴展的要求。核心交換機與接入交換機之間的鏈路雙歸屬形成冗余連接，2 條物理鏈路間可以實現互為備份。2 臺核心之間使用 10GE 高速鏈路互聯，之間運行 IRF2，兩臺可虛擬為一臺設備，增加帶寬，提高網絡可用率，實現網絡高可靠性。保障核心節點的高可靠性。數據大集中后整個系統將承載多個業務系統，不同的業務對網絡的帶寬、時延等要求也不同，這就要求核心交換設備業務與性能并重。

　系列交換機產品是杭州華三通信技術有限公司面向下一代園區網核心和城域網匯聚和數據中心業務匯聚而專門設計開發的核心交換產品。采用先進的 CLOS 多級多平面交換架構，可以提供持續的帶寬升級能力，支持 40GE 和 100GE 以太網標準，從而為用戶提供有保障的業務特性的同時保障數據報文的線速轉發。

　在網絡出口，配置一臺防火墻，如果省醫保、市醫保需要通過防火墻接入醫院的內網，根據以上規劃設計，內網拓撲如下：

　3.2.2. 3外網規劃設計 由于外網主要用于醫院 OA 辦公、圖書館信息查詢、樓內視頻監控、視頻會議，外網相對于內網來說可靠性要求相對級別次低一級，對帶寬的要求也比較高。外網建議采用二層網絡架構：

　在接入層，選用千兆二層交換機，系統采用創新的 IRF 技術，在安全可靠、多業務融合、易管理和維護等方面為用戶提供全新的技術特性和解決方案，是理想接入交換機。

　在核心層，選用作為外網的核心交換機，作為高端多業務路由交換機，融合了 MPLS、IPv6、網絡安全、無線、無源光網絡等多種業務，提供不間斷轉發、優雅重啟、環網保護等多種高可靠技術，在提高用戶生產效率的同時，保證了網絡最大正常運行時間，從而降低了客戶的總擁有成本（TCO）。

　防火墻集成防火墻、VPN、內容過濾和 NAT 地址轉換等功能，提升了網絡設備的安全業務能力，為用戶提供全面的安全防護。能提供外部攻擊防范、內網安全、流量監控、URL 過濾、應用層過濾等功能，有效的保證網絡的安全。采用 ASPF（Application Specific Packet Filter）應用狀態檢測技術。提供郵件告警、攻擊日志、流日志和網絡管理監控等功能，協助用戶進行網絡管理。根據以上規劃設計，外網拓撲如下：

　3.2.2. 4網絡安全設計 參與了大量網絡安全建設實踐后認為：除了在信息傳輸流程中實施安全解決方案之外，還需要進行全局安全管理，這種管理涉及到網絡上的設備、使用者以及業務，只有對這 3 者實現閉環管理，才能對網絡安全狀況了如指掌。因此，xxxxx 醫院建設一個“全局安全管理平臺”是必要的。

　以往，在總臺的網絡安全管理中遇到的問題包括：

　? 對實時安全信息不了解，無法及時發出預警報告。

　? 各種安全設備是孤立的，無法相互關聯，信息共享。

　? 安全事件發生以后，無法及時診斷網絡故障的原因，恢復困難。

　? 網絡安全專家匱乏，沒有足夠的人員去監控、分析、解決問題。

　根據在醫院網絡的經驗得出，醫院網絡安全十分重要，所以一定要從開始就對醫院網絡做周全、完善的防護措施。

　安全統一管理中心 心 為了保證部署的硬件設備和安全軟件能夠統一的為網絡安全服務，必須要求對全網設備，包括主機和數據交互設備進行統一的日志收集和日志分析。這樣就要求必須在網絡當中部署安全管理中心來完成統一的策略規劃和分析。

　收集& & 分析數據 知識SyslogNetStream二進制日志WMI 、 APIH3C SecCenter從分布式系統中集中收集、監控& & 分析數據，并把原始數據轉換為安全有效信息。安全事件網絡事件系統事件應用事件Netflow網絡安全本質上是管理問題。主要功能可管理近 100 家 主流廠家的安全與網絡產品1000+ 種 報表的自動或手工生成流量與攻擊的實時監控海量事件關聯和威脅分析安全審計分析與追蹤溯源主要功能可管理近 100 家 主流廠家的安全與網絡產品1000+ 種 報表的自動或手工生成流量與攻擊的實時監控海量事件關聯和威脅分析安全審計分析與追蹤溯源 安全管理中心并不是一個威脅抵御的直接發起者，而是一個系統規劃的首腦。所以要求安全管理中心可以提供以下功能：

　旁路部署模式，不影響正常業務和造成瓶頸； 具有廣泛的日志采集功能，要求可以對網絡當中的所有設備（防火墻、IPS、交換機、路由器、PC、Server 等）進行日志分析； ? 采用先進的關聯算法，能夠對日志數據按照不同的關聯組合進行分析； ? 對安全威脅的實時監控功能； ? 對網絡流量的實時監控功能；

　? 可支持多家廠商的設備日志采集； ? 提供拓撲發現功能，并能夠準確迅速的根據日志定為網絡故障； ? 對網絡故障提供多種迅速的告警機制； ? 具有完善的安全審計功能； ? 對歷史數據進行壓縮并可提供高效的查詢機制； ? 根據需要提供多種報表； ? 根據需求可分步實施的靈活部署方式； 根據以上需求，這里采用一臺安全管理中心作為整個網絡的安全管理中心，對全網設備進行日志分析，幫助定制安全策略。僅僅需要路由可達即可完成上述功能，部署位置相對靈活，建議可以和網絡管理軟件服務器部署在一起，以方便硬件的管理。

　醫院網絡內網安全 統計表明，在所有的安全事件中，有超過 70%是發生在內網上的，并且隨著網絡的龐大化和復雜化，這一比例仍有增長的趨勢。因此內網安全一直是網絡安全建設關注的重點，但是由于內網以純二層交換環境為主、節點數量多、分布復雜、終端用戶安全應用水平參差不齊等原因，一直以來也都是安全建設的難點，這一點對于 xxxxx 醫院也是適合的。

　內網安全的重要性不言而喻，我們建議在 xxxxx 醫院所有的計算機上部署 EAD（端點防御客戶端），EAD 結合 IMC 智能管理中心平臺能完整的保護內網安全，使訪問醫院各系統的用戶必須通過四道關卡：身份認證，安全檢查，權限劃分，日志審計。也就是我們常說的“你是誰？你安全嗎？你可以做什么？，你做了什么？”。通過層層過濾保證訪問醫院個系統的用戶是合法，安全的，也保證了醫院的安全。

　EAD 將防病毒、補丁修復等終端安全措施與網絡接入控制、訪問權限控制等網絡安全措施整合為一個聯動的安全體系，通過對 xxxxx 醫院網絡接入終端的檢查、隔離、修復、管理和監控，使整個網絡變被動防御為主動防御、變單點防御為全面防御、變分散管理為集中策略管理，提升了 xxxxx 醫院網絡對病毒、蠕蟲等新興安全威脅的整體防御能力。

　EAD 通過安全客戶端、安全策略服務器、接入設備以及病毒庫服務器、補丁服務器的相互配合，可以將不符合 xxxxx 醫院網絡安全要求的終端限制在“隔離區” 內，防止“危險”終端對網絡安全的損害，避免“易感”終端受病毒、蠕蟲的攻擊。其主要功能包括：

　a) 檢查 ——檢查用戶終端的安全狀態，配合不同方式的身份驗證技術（802.1x、VPN、Portal 等），可以確保接入終端的合法與安全。

　b) 隔離 ——隔離違規終端。不符合企業安全策略的終端，將被限制訪問權限，只能訪問“隔離區”內的病毒庫/補丁服務器等用于系統修復的網絡資源。

　c) 修復 ——與第三方服務器中的補丁服務器、病毒服務器等形成聯動。強制終端安裝系統補丁、升級防病毒軟件，直到滿足安全策略要求。

　d) 管理與監控 ——EAD 提供了集接入策略、安全策略、服務策略、安全事件監控于一體的用戶管理平臺，可以幫助網絡管理員定制基于用戶身份的、個性化的網絡安全策略。同時 EAD 可以通過安全策略服務器與安全客戶端的配合，強制實施終端安全配置（如是否實時檢查郵件、注冊表、是否限制代理、是否限制雙網卡等），監控用戶終端的安全事件（如查殺病毒、修改安全設置等）。

　EAD 除了上述功能保證內網安全外，還可以對醫院計算機做管理和控制，比如 監控的 計算機的 USB 接口、計算機黑白軟件控制等，完全滿足 xxxxx 醫院內網安全要求。

　3.2.3、xxxxx 醫院網絡管理-----智能管理中心 隨著網絡的發展，其作用已經不僅是簡單的互連互通，通信、計算、應用、存儲、監控等各類業務應用和網絡的融合，促使網絡成為承載企業核心業務的平臺。隨著網絡應用越來越復雜，網絡安全控制、性能優化、運營管理等問題成為困擾客戶的難題，并直接決定了企業核心業務能否順利開展。在這種情況下，依靠單純的硬件數據交換已經不能滿足用戶的需求，因此靈活的軟件控制和高速的硬件數據交換進行有機融合的整體解決方案成為整個行業的發展趨勢。

　為了系統地解決目前網絡安全控制、性能優化、運營管理中存在的問題，憑借對 IT

　應用的深刻理解，推出了新一代的管理系統：開放智能管理中樞（ Intelligent Management Center，以下簡稱 iMC），作為 IToIP 整體解決方案的重要組成部分， iMC 采用面向服務架構（SOA）的設計思想，融合并統一管理業務、資源和用戶這三大 IT 組成要素，通過按需裝配功能組件與相應的硬件設備配合，形成直接面向客戶應用需求的一系列整體解決方案，從而成為 IToIP 整體解決方案的開放智能管理中樞。

　3.2.3.1面向安全控制、性能優化和運營管理的系列解決方案 網絡的安全控制、性能優化和運營管理是網絡應用管理面臨的核心問題，除基本的網絡支撐管理外， iMC 通過軟件靈活的控制，與相應的硬件設備配合，更為客戶提供了一系列的整體解決方案，成為客戶 IT 環境中的安全控制中心、性能優化中心和運營管理中心。

　iMC 面向安全控制、性能優化和運營管理的系列解決方案 安全控制中心系列解決方案 ? 端點準入解決方案(EAD)概述

　 iMC 端點準入功能組件與業界主流交換機、路由器、VPN 設備、無線控制設備、專業網關等硬件進行配合，實現了局域網、廣域網、VPN 和無線等多種接入終端安全準入控制。

　端點準入解決方案(EAD)在身份接入基礎上，支持安全狀態評估、網絡安全威脅定位、安全事件感知及保護措施執行等，預防因未打補丁、病毒泛濫、ARP 攻擊、異常流量、非法軟件安裝和運行等因素可能帶來的安全威脅，并可根據終端的安全狀態實現終端VIP、Guest、隔離、下線等多種控制策略。從端點接入上保證每一個接入網絡的終端的安全，從而保證網絡安全。

　? 安全聯動解決方案(SCC) 概述 隨著安全威脅日益嚴重，企業對網絡安全防御體系的投入和復雜度都在不斷增加，彼此割裂的安全資源和海量的安全信息成為困擾網絡管理員的管理難題。

　安全聯動解決方案(SCC) 主要由事件管理中心設備（ SecCenter）和響應管理控制中心軟件（ iMC）組成，事件管理中心主要完成對全網安全事件的采集、分析、關聯、匯聚、報表報告展示，響應控制中心實現了安全事件與網管系統、用戶管理系統的結合，對需要響應的重要事件可靈活進行短信通知、Email 通知、交換機端口關閉、用戶下線、加入黑名單、在線提醒等響應操作。

　基礎管理支撐 ? 基礎網絡管理解決方案(NMS) 概述 基礎網絡管理解決方案(NMS)，實現了全網資源的統一部署、管理和調配中心，支持的設備包括路由器、交換機、安全、無線、語音、存儲、服務器、PC、UPS 等類型，實現了故障、性能、拓撲、配置等管理內容。

　3.2.3.2系統安全管理 系統安全管理功能主要有包括：操作日志管理、操作員管理、分組分級與權限管理、操作員登錄管理等。

　 登錄安全策略 分組分級權限管理記錄所有操作系統管理員實時監控在線操作員定期修改密碼 ? 操作員登錄管理 管理員通過制定登錄安全策略約束操作員的登錄鑒權，實現操作員登錄的安全性，通過訪問控制模板約束操作員可以登錄的終端機器的 IP 地址范圍，避免惡意嘗試另人密碼進行登錄的行為存在，通過密碼控制策略，約束操作員密碼組成要求，包括密碼長度、密碼復雜性要求、密碼有效期等，以約束操作員定期修改密碼，并對密碼復雜性按要求設置。

　? 操作員密碼管理 管理員為操作員制定密碼控制策略，操作員僅能按照指定的策略定期修改密碼，以保證訪問 iMC 系統的安全性。

　? 分組分級權限管理 管理員通過設備分組、用戶分組的設置，可以為操作員指定可以管理的指定設備分組和用戶分組，并指定其管理權限和角色，包括管理員、維護員和查看員，實現按角色、分權限、分資源（設備和用戶）的多層權限控制；同時通過設置下級網絡管理權限，可以通過限制登錄下級網絡管理系統的操作員和密碼，保證訪問下級網絡管理系統的安全性。

　? 操作日志管理

　對于操作員的所有操作，包括登錄、注銷的時間、登錄 IP 地址以及登錄期間進行的任何可能修改系統數據的操作，都會記錄詳細的日志。提供豐富的查詢條件，管理員可以審計任何操作員的歷史操作記錄，界定網絡操作錯誤的責任范圍。

　? 操作員在線監控和管理 系統管理員通過“在線操作員”可以實時監控當前在線聯機登錄的操作員信息，包括登錄的主機 IP 地址、登錄時間等，同時，系統管理員可以將在線操作員強制注銷、禁用/取消禁用當前 IP 地址等控制操作。

　3.2.3.3資源管理 iMC 資源管理與拓撲管理作為整體共同為用戶提供網絡資源的管理。通過資源管理可以：

　? 網絡自動發現 可以通過設置種子的簡易方式、路由方式、ARP 方式、IPSec VPN、網段方式等五種自動發現方式自學習網絡資源及網絡拓撲，自動識別包括：路由器、交換機、安全網關、存儲設備、監控設備、無線設備、語音設備、打印機、UPS、服務器、PC 在內的多種類型網絡設備；

　多種自動發現方式

　 自動識別多種設備類型 ? 網絡手工管理 可以手工添加、刪除網絡設備，可以批量導入、導出網絡設備，批量配置 Telnet、SNMP參數，以及批量校驗 Telnet 參數等輔助功能； ? 網絡視圖管理 支持 IP 視圖、設備視圖、自定義視圖、下級網絡管理視圖等多種管理視圖，用戶可以從不同角度實現整個網絡的管理； ? 網絡設備的管理 從任何一種網絡視圖入口，都可以實現對網絡設備的管理，包括：支持對設備的管理/去管理、接口的管理/去管理、設備的詳細信息顯示和接口詳細信息顯示、設備和接口實時告警狀態、設備和接口的實時性能狀態、實時檢測存在故障的設備等，用戶可以方便的實現所有設備的管理； ? 設備及業務管理系統的集成管理 支持對、Cisco、3Com 等主要廠家設備的管理，支持手工添加設備廠商、設備系列及設備型號；支持設備面板管理的動態注冊機制，實現與各廠家設備管理系統的有效集成；支持拓撲定位、ACL、VLAN、QoS 等業務管理系統的集成，實現設備資源的統一管理； ? 設備分組權限管理 支持設備分組功能，通過對設備資源進行分組管理，系統管理員方便的分配其他管理員的管理權限，便于職責分離；

　3.2.3.4拓撲管理 iMC 拓撲管理從網絡拓撲的解決直觀的提供給用戶對整個網絡及網絡設備資源的管理。拓撲管理包括：

　? 拓撲自動發現

　 iMC 可以自動發現網絡拓撲結構，支持全網設備的統一拓撲視圖，通過視圖導航樹提供視圖間的快速導航。通過自動發現可以發現網絡中的所有設備及網絡結構（具體參見資源管理），并且可以將非 SNMP 設備發現出來，只要設備可以 ping 通即可。這樣就可以將所有網絡設備都列入其管理范圍（只要設備 IP 可達）。同時支持自動的拓撲圖呈現和自定義拓撲。自動拓撲可以自動將網絡中的邏輯連接關系顯示出來，同時可以保存為自定義拓撲圖并可根據具體情況進行修改以便于網管員對整個網絡設備的監控。

　支持對全網設備和連接定時輪詢和狀態刷新，實時了解整個網絡的運行情況，并且刷新周期是可定制（刷新周期：60～7200 秒），同時也支持對多個設備的刷新周期進行批量配置的功能。

　 ? 支持自定義拓撲 傳統的網絡管理軟件大多支持自動發現網絡拓撲的功能，但是自動發現后的網絡拓撲往往是很多設備圖標的簡單排放，不能突出重點設備和網絡層次，使網絡管理人員感覺無從下手。

　針對這種情況， iMC 的拓撲功能支持靈活的自定義功能，管理人員可以根據網絡的實際組網情況和設備重要性的不同靈活定制網絡拓撲，可對拓撲圖進行增、刪、改等編輯操作，使網絡拓撲能夠清晰地呈現整個企業的網絡結構以及 IT 資源分布。

　iMC 支持靈活定制拓撲圖，使網絡拓撲更有重點和層次感。管理員可以按照關注設備不同，管理角度不同定義多種拓撲，并可以針對拓撲不同選擇不同的背景圖；管理員可以根據網絡設備的重要性不同，鏈路速率不同采用合適的圖標顯示。

　 ? 自動識別各種網絡設備和主機的類型

　iMC 可以自動識別、華為、Cisco、3com 等廠商的設備、Windows、Solaris 的 PC 和工作站、其他 SNMP 設備和 ping 設備，并且以樹形方式組織，以不同的圖標顯示區分。在拓撲圖上更可進一步對設備的類型進行區分，如區分路由器、交換機、安全網關、存儲設備、監控設備、無線設備、語音設備、打印機、UPS、服務器、PC 等等。

　 ?

　設備狀態、連接狀態、告警狀態等信息在拓撲圖上的直觀顯示

　iMC 的拓撲功能與故障管理和性能管理緊密融合，使拓撲圖能夠清晰地看到企業 IT資源的狀態，包括運行是否正常、網絡帶寬、接口連通、配置變化都能一目了然。多種顏色區分不同級別故障，根據節點圖標顏色反映設備狀態。

　 實時設備狀態實時鏈路狀態實時告警和性能監控狀態狀態 ? 拓撲能提供設備管理便捷入口

　iMC 拓撲能夠提供對設備管理的便捷入口，管理員只需通過右鍵點擊拓撲圖中的設備圖標即可啟動設備管理各項功能，實現對設備的面板管理等各項功能配置。

　 3.2.3.5故障（告警/事件）管理 故障管理，即告警/事件管理，是 iMC 的核心模塊，是 iMC 智能管理平臺及其他業務組件統一的告警中心。如下圖所示，以故障管理流程為引導，介紹 iMC 強大的故障管理能力：

　 S網絡資源、存儲資源、計算資源、業務系統告警上報 定時輪詢網管與告警中心實時告警分類、聲光告警板，按故障類別及等級實時告警系統快照，實時報告網絡、下級網絡及設備的狀態通過拓撲實現報告網絡及設備狀態實時告警瀏覽和確認實時遠程告警：手機短信及EMail告警解決故障固化經驗實時告警關聯分析與統計實現網絡管理透明化S S網絡資源、存儲資源、計算資源、業務系統告警上報 定時輪詢網管與告警中心實時告警分類、聲光告警板，按故障類別及等級實時告警系統快照，實時報告網絡、下級網絡及設備的狀態通過拓撲實現報告網絡及設備狀態實時告警瀏覽和確認實時遠程告警：手機短信及EMail告警分類、聲光告警板，按故障類別及等級實時告警系統快照，實時報告網絡、下級網絡及設備的狀態通過拓撲實現報告網絡及設備狀態實時告警瀏覽和確認實時遠程告警：手機短信及EMail告警解決故障固化經驗實時告警關聯分析與統計實現網絡管理透明化 ? 告警發現和上報 iMC 告警中心可以按收各種告警源的告警事件，包括設備告警、本級網管站及下級網管站告警、網絡性能監視告警、網絡配置監視告警、網絡流量異常監視告警、終端安全異常告警等；同時通過支持對設備定時輪詢，實現通斷告警、響應時間告警等，以告警事件的方式上報給 iMC 告警中心； ? 設備告警包括電源電壓、設備溫度、風扇等告警事件，設備冷啟動、熱啟動、接口 linkdown 等重要告警事件，路由信息事件（OSPF，BGP）變化，熱備份路由（HSRP）狀態變化等告警事件，支持對、CISCO、華為、3COM 等多廠商設備告警的識別和解析； ? 網管站告警指包括本級 iMC 系統集群服務器的異常告警，包括 CPU 利用率、內存使用率、iMC 服務程序運行狀態等以及下級 iMC 系統上報的告警事件； ? 網絡性能監視包括 CPU 利用率，內存使用率，以及 RMON 告警的故障管理。

　? 網絡配置監視告警包括設備軟件版本、配置信息變更等告警事件，并通過 iMC智能配置中心組件（iMC iCC）實現配置文件定期檢查，實現配置變更告警事件。

　? 網絡流量異常監視告警通過 iMC 網絡流量分析組件（iMC NTA）實現網絡

　中異常流量告警，包括對設備及接口異常流量、主機 IP 地址異常流量和應用異常流量的告警，支持二級閾值告警定義； ? 終端安全異常告警通過 iMC 端點準入防御組件（iMC EAD）實現對終端用戶安全異常的告警，包括 ARP 攻擊告警、終端異常流量告警及其他終端不安全告警； ? iMC 定期輪詢告警指通過 iMC 的資源管理模塊對設備接口信息定時進行輪循，并及時上報通斷告警、響應時間告警等告警事件。

　? 告警深度關聯分析與統計 iMC 告警中心根據告警腳本中的告警事件定義，接收并解析上報的告警事件；

　iMC 對接收到的告警事件進行深度關聯分析，系統缺省支持重復事件閾值告警、閃斷事件閾值告警、未知事件閾值告警、未管理設備告警閾值告警，并能在故障恢復時自動確認相關告警；同時用戶可以根據自己的需要確定事件的告警規則，以適應網絡管理需要。

　? 重復事件閾值告警：屏蔽重復接收到的相同事件，并可在達到閾值條件時產生新告警通知用戶。

　? 閃斷事件閾值告警：分析接收到的閃斷事件，并可在達到閾值條件時產生新告警通知用戶。

　? 未知事件閾值告警：屏蔽接收到的未知事件，并可在達到閾值條件時產生新告警通知用戶。

　? 未管理設備告警閾值告警：屏蔽接收到的未管理設備事件，并可在達到閾值條件時產生新告警通知用戶。

　? 自定義事件過濾規則：用戶自定義的事件過濾規則，用戶可指定在什么時間范圍內、對什么樣的告警進行過濾。

　iMC 系統預定義缺省支持各類深度分析后告警事件關聯升級為告警的生成規則，同時，管理員可以自定義由告警事件升級為告警的規則，可從事件、事件關鍵字、事件源、時間范圍四個方面進行規則定義，一旦定義事件升級為告警規則后，iMC 告警中心會根據定義的規則關聯分析后生成不同級別的告警（告警共分成緊急、重要、次要、警告、事件 5 個級別；在瀏覽數據窗口，分別以紅色、橙色、黃色、藍色、灰色五種顏色進行

　顯示），將管理員從繁多的告警事件中解脫出來，避免產生告警風暴，讓管理員能專心關注告警的根源。

　? 實時告警

　iMC 提供多種方式將告警通知給管理員，包括：

　? 實時遠程告警：通過手機短信或 Email 郵件的方式，將告警及時通知管理員，實現遠程網絡的監控和管理； ? 分類、聲光告警板，按故障類別及等級實時告警，讓管理員通過告警板不但及時知道告警產生，同時可以了解產生的告警的類別和等級：

　 ? 實時告警瀏覽和確認，通過告警首頁對目前故障未排除的告警實時刷新并提供故障排除確認的入口：

　 ? 提供系統快照，實時報告網絡、下級網絡及設備的狀態

　 通過視圖操作直觀展示狀態自定義網絡實時狀態下級網絡實時狀態各類設備實時狀態存在故障的設備一目了然 ? 通過拓撲實現報告網絡及設備狀態

　 直觀、實時體現網絡狀態圖標狀態實時體現設備狀態注：不可達 ? 故障解決

　iMC 對各種故障警均提供“修復建議”，管理員可以參考修復建議對故障進行處理。在故障得到解決后，通過對告警的確認完成故障的恢復確認。

　? 固化經驗

　iMC 提供告警知識庫。告警知識是用戶在維護過程中的經驗總結，將這些經驗輸入系統，下次再出現同樣的故障時，可以作為參考。用戶選中一條告警記錄，系統根據用戶選中的告警記錄，從告警知識庫中查詢出該條告警記錄的維護經驗，供用戶進行告警處理進行參考。用戶將自己的日常處理經驗以及業務信息及時寫入數據庫、更新告警知識庫對以后的故障診斷與排除非常有益。

　 對系統自帶修復建議的有效補充，為后續維護提供便利 3.2.3.6性能管理

　iMC 網管系統提供豐富的性能管理功能，同時以直觀的方式顯示給用戶。例如：可以提供折線圖、方圖、餅圖等多種顯示方式并能生成相應的報表。通過性能任務的配置，可自動獲得網絡的各種當前性能數據，并支持設置性能的閾值，當性能超過閾值時，網絡以告警的方式通知告警中心: ? 支持 At a Glance、TopN 功能，用戶能夠對 CPU 利用率、流量等關鍵指標一目了然；

　 ? 提供各類常用性能指標的缺省采集模板； ? 支持實時性能監視，支持二級閾值告警設置,當鏈路或端口的流量超過閾值，系統將會發送性能告警，使網絡管理人員可以能夠及時了解網絡中的隱患，及時消除隱患。同時為故障定位提供手段； ? 提供基于歷史數據的分析，為用戶擴容網絡、及早發現網絡隱患提供保障；

　 ? 支持餅圖、折線圖、曲線圖等多種圖形方式，直觀地反映性能指標的變化趨勢；提供靈活的組合條件統計和查詢；性能報表支持導出 Html、Txt、Excel、Pdf 格式文件：

　3.2.3.7設備管理組件 現有的企業網絡中，由于缺乏有效的設備管理軟件，網絡管理人員往往只能通過“徒手”進行設備管理。管理人員往往只能通過遠程登錄查看設備工作狀態，了解設備運行情況。

　iMC 提供的設備管理功...

推薦訪問： 網絡安全 信息網絡 方案