医疗行业专题 > 医院解决方案

医院云安全保障解决方案

作者:启明星辰技术中心行业营销部 2021-03-09

业务背景

如今,随着医院不断有新的应用系统上线,数据呈指数级增长,原有的系统迫切需要扩容升级。由于医院内的HIS、PACS 和电子病历等系统是在不同时期分批建成的,导致各系统的数据处于分散存储状态。不仅如此,每个系统所采取的存储方式与存储介质也各不相同,随着上述系统应用规模的不断扩大,在数据管理方面的问题日益凸显出来,主要表现为:系统的高可用性、移动医疗的便捷性,医疗影像容量不足,数据调用不便;系统结构相对落后,系统稳定性有待提高;最后,分散存储的模式,严重影响了数据资产的管理效率。

医院数据中心的每一个设施,包括服务器、存储和网络等,都为某一计算峰值而准备,这在导致整体计算资源闲置的同时,也容易产生在某一具体计算上的能力不足,形成投入和产出呈反比的悖论。而通过虚拟化,包括软件、操作系统、存储、网络和管理的虚拟化,则可以把数据中心的计算整合为一个公共的池,让医院的计算富有弹性,并最大程度降低服务器、存储等物理设施以及其他散热、管理成本,实现节能、自动化、虚拟化、整合及业务连续性。因此,理想的数据中心应该是一个不浪费计算资源,同时可以满足医院计算需求,绿色低能耗,且可持续发展的基础设施。 

云计算模式通过将数据统一存储在云计算服务器中,加强对核心数据的集中管控,比传统分布在大量终端上的数据行为更安全。由于数据的集中,使得安全审计、安全评估、安全运维等行为更加简单易行,同时更容易实现系统容错、高可用性和冗余及灾备恢复。但云计算在带来方便快捷的同时也带来新的挑战。从安全建设原则、安全保护对象和安全建设目标上来讲,云安全与传统的信息安全并无本质的区别。同时,一些传统的、行之有效的信息安全技术和策略也将会继续应用在云计算平台及其终端设备的安全管理与防护上。而云计算作为一种新型的计算模式,其安全建设必然与传统的信息安全建设存在区别,其安全性也必有其特殊的一面。

安全需求

● 云环境下的合规风险

网安法、CII条例征求意见稿、等保2.0、个人信息安全规范的相继出台,为云计算环境下的安全保障指明了方向,云服务的提供者和使用者违反相关法规,将面临法律处罚。

● 云环境下的管理风险

1) 责任难以界定

在云计算模式下,云计算平台的管理主体、运营主体、数据安全责任主体三者不同,相互之间的责任难以界定,特别是在云租户与云服务提供商之间。而不同的服务模式(例如提供SaaS服务的云服务商可能将其服务建立在其他云服务商的PaaS或IaaS 之上)则进一步增加了界定云租户与云服务商之间责任的难度。

2) 租户业务风险

在云计算环境,租户将自己的数据和业务系统迁移到云上,失去对这些数据和业务的直接控制能力,同时云服务商具有访问、利用或操控租户数据的能力。云服务商把云计算平台的安全措施及其状态视为知识产权和商业秘密,租户不能有效监管云服务商的内部人员对客户数据的越权访问和使用,增加了租户数据和业务的风险。

3) 数据保护困难

云服务商使用其他第三方的功能组件,使云计算平台结构复杂性增加,实施有效的数据保护措施更加困难,客户数据被未授权访问、篡改、泄露和丢失的风险增大。

4) 数据残留风险

当客户退出云计算服务时,云服务商应该完全删除客户的数据。但目前,还缺乏有效的机制、标准或工具来验证云服务商是否实施了完全删除操作。

● 云环境下的技术挑战

1) 自适应云安全

云环境下,硬件资源转变为虚拟化形态,并实现虚拟化资源的自动化部署、按需分配、弹性扩容、动态迁移等功能,安全产品如何适应云环境的业务特点实现自适应安全(自动化部署、按需分配、弹性扩容、策略跟随、协同响应、安全闭环)是云安全面临的一大挑战。

2) 网络安全威胁

云环境下,恶意人员通过对云平台的攻击,对云租户的业务安全造成威胁:

✔ 单台虚拟机被入侵后对其他虚拟机进行的渗透攻击,并导致病毒在网络内传播蔓延

✔ 虚拟机之间进行的ARP攻击、嗅探

✔ 云内网络带宽的非法抢占

✔ 因云平台管理员账号被盗导致的从互联网直接非法访问云资源

✔ 东西向安全问题,例如虚拟机之间的端口扫描、暴力破解、入侵攻击等

3) 主机安全威胁

✔ 服务器、宿主机、虚拟机的操作系统和数据库被暴力破解、非法访问、操作窃听

✔ 同一个逻辑卷被多个虚拟机挂载导致逻辑卷上的敏感信息泄露 

✔ 服务器、宿主机、虚拟机的补丁更新不及时导致的漏洞利用以及不安全的配置和非必要端口的开放导致的非法访问和入侵 

✔ 虚拟机因异常原因产生的资源占用过高而导致宿主机或其它虚拟机的资源不足

4) 应用安全威胁

✔ 网页被恶意篡改

✔ 利用应用系统对外接口,对云平台发起攻击

✔ 云内应用系统健康状况不透明

5) 数据安全威胁

✔ 在虚拟环境传输的文件或者数据被监听

✔ 云用户从虚拟机逃逸后获取镜像文件或其他用户的隐私数据

✔ 敏感数据存储漂移导致的不可控

✔ 数据安全隔离不严格导致恶意用户可以访问其他用户数据

解决方案

1.png

为满足云上业务系统的安全防护需求,启明星辰通过打造安全资源池系统来解决相关问题。

安全资源池系统从结构上分为云安全管理平台、安全资源池以及虚拟安全产品三部分。

云安全管理平台作为安全资源池系统解决方案的管理层,负责管理安全资源池和虚拟安全产品。

云安全管理平台根据用户要求,下发创建安全防护队列、编排安全能力、规划安全访问路径等指令,安全资源池根据指令完成相关动作、创建虚拟安全产品;云安全管理平台通过API接口对接云平台和SDN控制器,针对相应的业务系统、IP等信息,下发引流指令,安全资源池根据该指令传送业务访问流到安全防护队列中;安全资源池作为整套解决方案的控制层,负责根据云安全管理平台下发的指令,完成对资源池内的所有业务流量进行控制和操作;虚拟安全产品作为安全资源池系统解决方案的执行层,在安全防护队列中承担安全节点的角色,对业务访问流进行访问控制、安全检测、访问审计等。

安全资源池系统是一套针对云上业务系统安全能力建设的承载平台、操作平台和管控平台,通过解耦管理层、控制层和执行层,实现灵活的云上业务系统防护。

方案优势 

云安全管理平台是基于启明星辰多年的安全积累基础之上,采用新一代多核X86高性能硬件平台和云计算技术、SDN技术研发而成,为用户提供适合从百兆、千兆、万兆网络,以及私有云环境下的威胁发现、威胁展示、威胁分析、威胁处理的专业化威胁发现与管理系统

● 自主产权,可持续发展                          

云安全管理平台具有完全自主的知识产权,能够帮助政府、军队、金融、电信、制造业、医疗、教育等企事业国家单位对网络安全进行更加方便的安全威胁发现、展示、分析与处理。系统设计之初就充分考虑了用户环境的复杂性、扩展性,以及对安全需求的不断变化,系统的自主设计将可以快速、可持续发展安全产品的功能与技术,为用户带来更多易用、适用、稳定可靠的安全产品。

● 节约成本,快速部署                            

云安全管理平台可以将多个安全产品以虚拟机的方式运行在1-N台硬件设备中,在节约了硬件成本的同时,还节约了多台硬件消耗的机架租金、电力、制冷、人力维护等运维成本。

系统内置的市场客户端可以从安全市场获得各种安全产品虚机映像,通过虚机映像可以快速创建各种虚拟化的安全产品,这个过程通常引擎类只需要1~2分钟,最多十几分钟(数据中心产品受限创建硬盘时间,越大尺寸硬盘时间越长),从而实现了快速部署安全产品。

● 可软可硬,灵活的商业模式                      

云安全管理平台支持部署在定制的工控机硬件上,也支持部署在支持虚拟化的商业服务器硬件上;支持软硬件一体销售,也支持用户自己购买服务器硬件(硬件需要符合系统对硬件的要求),厂商只销售软件授权的商业模式。

● 统一管理,提高运维效率                        

云安全管理平台具有丰富的管理功能,友好的用户界面,统一的安全产品管理接口。安全产品出现故障时,可以通过界面登陆虚机串口、重启虚机、切换网络等手段,远程处理故障,不用管理员跑机房操作安全产品调试,极大的提高了网络安全产品运维的效率。

● 多样组合,产生协同效应,并满足合规需求         

单一的安全产品是无法满足高级别的安全合规要求(例如等保),系统支持多个虚拟安全产品并行运行,不同种类的安全产品组合在一起,产生协同效应,不但可以产生出新的安全价值,而且可以更好的高级别的安全合规要求。

● 灵活扩展,持续提升安全能力                      

云安全管理平台支持安全产品虚拟化的部署方式,在单机硬件资源允许的条件下,用户通过创建安全产品虚拟机,快速扩展自己的安全能力;

云安全管理平台支持分布式系统架构,在单机硬件资源不够时,可将多台主机组成硬件资源池,通过在资源池中获得硬件资源并创建安全产品线虚拟机的方式,近乎无限扩展安全能力。

● 开放架构,纳管第三方虚拟化产品               

云安全管理平台采用的虚拟化引擎是KVM,只要是基于KVM的第三方产品虚拟机映像可在系统上运行,例如:32位或64位的Fedora/Centos Linux和各个版本的Windows系统经过测试都可以在系统上很好的运行。

● 安全合规,云环境下的迫切选择                  

传统IT架构满足等保三级要求时,需要部署防火墙、入侵检测、数据审计等产品,在云环境下的虚拟机之间东西向流量,无法采用传统硬件安全设备进行入侵检测与审计,难以满足云等保等合规要求,采用系统整体方案后,可以将云中虚拟机的流量导出到安全资源池中进行检测与审计,配合云中的虚拟防火墙,边界的防火墙设备,可以满足云等保等合规相关要求。

● 独立部署,松耦合且降低业务质量风险            

安全产品以虚拟机的方式部署在云中,需要云平台提供CPU、内存、硬盘、网络等资源,安全产品虚拟机容易与云中的其他业务虚机抢夺CPU等硬件资源,影响业务虚机的性能。独立的虚拟化安全资源池,与业务虚机不发生CPU、内存、硬盘等资源的争抢,这样的独立部署架构即减少对云平台的紧耦合,又有效降低云内部署安全虚拟机方案带来的业务质量风险。

上一篇 下一篇

服务热线

400-624-3900

客服电话:400-624-3900

周一至周五 9:00-17:30