医院大数据安全分析与勒索病毒防护方案
目录
Contents
01医院信息安全现状
02大数据安全分析
03勒索病毒防护
04用户案例
01医院信息安全现状
内蒙古
新疆
甘肃四川
辽宁
陕西河南湖南
山西北京河北山东
江苏
浙江
上海广东
湖北重庆江西
福建
吉林黑龙江
西藏
安徽
金融, 4%
教育, 7%
制造业, 7%
政府机构, 7%
医疗, 25%
对外贸易, 11%
工业企业, 17%
互联网, 16%
其他, 6%
地域分布
行业分布
2019以来全国勒索攻击态势
云南
贵州
广西
青海
由于部分医院信息系统存在安全风险，勒索病毒受利益驱使，依然是危害医院的主要安全风险之一。自去年7月以来，勒索病毒一直处于持续活跃的状态，其中8月份相对于7月勒索病毒传播有所加强。另外在全国三甲医院中，有247家医院检出了勒索病毒，以广东、湖北、江苏等地区检出勒索病毒最多。
... ...
其中，被勒索病毒攻击的操作系统主要以Windows 7为主，Windows 10次之，以及停止更新的Windows XP。对此报告指出，当前没有及时更新操作系统的医疗机构仍占有一定的比例，这极有可能会为医疗业务带来极大的安全隐患。
以十二生肖作为后缀，“狗”生肖尚未出现
GlobeImposter 勒索病毒家族：2017年出现，2018年8月
份演进为V3.0版本。整体特点如下:
加密方法：采用RSA 和AES 两种加密算法的结合。----无法破解！主要的传播方式:扫描渗透+远程桌面登录爆破。----粗暴实用！解密办法：暂无公开的破解方法。V3.0版本特点如下：
1、将加密文件的后缀改成动物名称+4444的样子。
2、当加密完成后，除了清除远程桌面登录信息，还添加了自删除的功能，让追溯分析难度更高。
为什么勒索病毒总是攻击医院？
成本低、来钱快！
业务
日常办公
物理服务器承载
工作人员
Internet
业务
工作人员临时访客
机构
移动分支
BYOD
私有云行业云虚拟化
运维人员
边界：清晰模糊
资产：单一多元
人员：简单复杂
日常办公
物理服务器承载
多元
传统威胁以破坏为目的
频率一次性
破坏单个服务
手段简单
高
级
威
胁
获取敏感数据
长期持续潜伏攻击
针对机构区域和国家
手段复杂隐蔽
医院信息安全新挑战
第三方
Internet FW IPS WAF
事前检测
事中防护
事后审计依靠单点的处理能力
基于特征的安全检测无法应对持续性安全风险安全设备各自为战不协同
传统安全解决方案
**医院双重预防体系建设方案 一、医院双重预防体系建设依据 国务院安委办2016年10月9日印发《关于实施遏制重特大事故工作指南构建安全风险分级管控和隐患排查治理双重预防机制的意见》。2018年4月18日中共中央办公厅国务院办公厅印发《地方党政领导干部安全生产责任制规定》。第二章第八条（五）组织开展分管行业（领域）、部门（单位）安全生产专项整治、目标管理、应急管理、查处违法违规生产经营行为等工作，推动构建安全风险分级管控和隐患排查治理预防工作机制。《平顶山市深化安全生产风险隐患双重预防体系建设行动方案》（平政办〔2018〕55号）。2019年5月29日豫卫办[2019]39号《关于印发河南省卫生健康系统消防安全风险隐患双重预防体系建设实 施方案的通知》。 《平顶山市卫生计生委关于印发深化安全生产风险隐患双重预防体系建设行动方案的通知》。 二、医院双重预防体系建设目的 有效落实国家和地方规定和要求，通过“风险分级管控和隐患排查治理体系建设”，达到“人人认知风险、逐级管控风险，及时发现隐患、科学治理隐患”的目的，风险预控、关口前移、推动安全生产源头管控，防范各类事故发生。 三、医院双重预防体系建设的主要内容
（一）前期准备与计划 1、根据国家、河南省、河南省卫计委、平顶山卫计委有关双重预防体系建设规定要求，按照《河南省卫生健康系统安全生产风险辨识管控与隐患排查治理双重预防体系建设指导手册》编制《**医院安全风险分级管控与隐患排查治理双重预防体系建设指导书》。 2、编制**医院安全风险分级管控与隐患排查治理双重预防体系建设网络工作计划。 （二）双重预防体系建设培训《河南省卫生健康系统安全生产风险辨识管控与隐患排查治理双重预防体系建设指导手册》 1、双重预防体系建设倒入性培训。培训内容体系作用、内容和基本概念。 2、双重预防体系建设专业能力培训。培训内容风险辨识方法、风险评价方法、风险分级方法，事故隐患排查治理基本方法培训。 3、双重预防体系建设现场针对性培训。现场针对实际表格逐一培训和应用辅导。 （三）风险分级管控体系建设 1、评价单元和风险点划分。 根据**医院现场全面勘察和组织结构情况分析，按照责任主体清晰、管控有效、功能独立、范围清晰原则，划分风险
医院信息网络安全监管记录表 监督检查时间： 2010 年 2 月 24 日 被检科室信息科 检查部门信息科 监督检查人员 被检查负责人科室主任 监督检查内容摘要数据安全管理 存在安全隐患 整改落实意见建议注意计算机重要信息资料和数据存储 介质的存放、 运输安全和保密管理， 保证存储介质的物理安全。 检查人员签名：检查完成时间：
监督检查时间： 2010 年 3 月 13 日 被检科室全院各科室 检查部门信息科 监督检查人员 被检查负责人各科室主任 监督检查内容摘要电脑防尘、防盗、防潮、防触电、防鼠 咬 等工作 存在安全隐患部分工作电脑保管措施不当，出现鼠咬 等现象 整改落实意见建议取措施做好电脑防尘、防盗、防潮、防 触电、防鼠咬 等工作 检查人员签名：检查完成时间：
监督检查时间： 2010 年 4 月 18 日 被检科室全院各科室 检查部门信息科 监督检查人员 被检查负责人各科室主任 监督检查内容摘要不得私自拆装计算机和安装来历不明 的软件 存在安全隐患有部分科室人员因工作方便在电脑上 安装了某些软件，导致电脑存在安全故 障 整改落实意见建议计算机发生故障不能工作时，不得擅自 维修，应及时向系统管理员报告，由系 统管理员或专业技术人员负责维护 检查人员签名：检查完成时间：
监督检查时间： 2010 年 5月 10 日 被检科室全院各科室 检查部门信息科 监督检查人员 被检查负责人各科室主任 监督检查内容摘要科室电脑互联网使用情况 存在安全隐患没有申请上互联网却可以上网 整改落实意见建议凡需联接互联网的用户，必需填写《计 算机入网申请表》，由信息中心安排和 监控、检查，已接入互联网的用户应妥 善保管其计算机所分配帐号和密码，并 对其安全负责。不得利用互联网做任何 与其工作无关的事情，若因此造成病毒 感染，其本人应付全部责任 检查人员签名：检查完成时间：
大数据的意义在于提供“大见解”：从不同来源收集信息，然后分析信息，以揭示用其他方法发现不了的趋势。在利用大数据发掘价值的所有行业中，医疗行业有可能实现最大的回报。凭借大数据，医疗服务提供商不仅可以知道如何提高盈利水平和经营效率，还能找到直接增进人类福祉的趋势。以下是大数据在医疗行业的一些常见用途，包括商业运作和健康管理： 1.分析电子病历：医生共享电子病历可以收集和分析数据，寻找能够降低医疗成本的方法。 医生和医疗服务提供商之间共享患者数据，能够减少重复检查，改善患者体验。但目前，大部分的电子病历都无法共享，这在很大程度上是出于安全和合规的考虑，但找到一个安全的方法来挖掘患者数据，这能改善医护质量并降低医疗成本。 关键词：患者数据共享、信息安全、提高医疗质量、降低医疗成本 2.分析医院网络系统：不妨想想我们在分析入院治疗的趋势时获得的好处。例如，对儿科 病房医疗设备的统合分析可以更早地识别潜在的婴儿感染趋势。或者，再想想减少术后葡萄球菌感染的好处。通过利用大数据，医院可以知道，医生在术后开的抗生素能否有效地防止感染。 关键词：入院治疗趋势分析 3.管理数据用于公共健康研究：医务人员会被铺天盖地的数据所淹没。诊所和医院会提交 关于健康状况和免疫接种的数据，但没有大数据的话，这些数据毫无意义。大数据分析能够对患者的原始数据进行标准化整合，用以充实公共健康记录，而丰富多样的公共健康记录能催生更合理的法规，并提供更好的医疗。 关键词: 公共健康记录、患者数据 4.循证医学：大多数医院和急诊室都实行“食谱化医学”，也就是说，医生对收治的病人 采用同一套检查项目来确定病因。而利用循证医学，医生可以将病人的症状与庞大的患者数据库进行比对，从而更快地做出准确诊断。在这里，大数据扮演的角色是从不同来源采集信息，并对数据实施标准化。在这种情况下，带有“高血压”的记录就可以映射到另一条带有“血压升高”的记录。 关键词：循证、患者数据库
医院安全生产实施方案 为进一步强化安全意识，落实安全管理工作职责，提高医疗服务质量，降低医疗服务风险与纠纷事故发生率，最大限度地减少安全生产事故发生，给医院营造“安全、和谐、稳定”的诊疗环境，结合上级有关文件要求，经院长办公会研究决定开展“以病人为中心”百日医疗安全生产活动，特制定本《实施方案》，请各科室认真组织学习并贯彻实施。 一、总体目标 各科室（部门）结合自身工作特点，要以对患者和医院高度负责的态度，切实贯彻落实“安全第一、预防为主、防治结合”的工作方针，落实各项安全措施，突出医疗、护理、消防、设备、设施、药品、感染等高危领域的监控治理，实施地毯式排查、铁腕式整治、围剿式消灭安全隐患。达到全员受教面与参与率100%、安全隐患排查面100%、隐患整治率100%。确保活动期间，特别是“二甲”中医医院创建达标期间不发生医疗护理差（过）错、纠纷与安全责任事故以及严重违反行业作风的行为。 二、组织领导 为切实搞好该项活动，确保活动取得实效，医院成立百日医疗安全生产活动领导小组。 组长：谭邦华 副组长：潘光勇、王行禄、杨莉、魏海波 成员：各行政职能科室负责人 领导小组下设办公室（院办公室内），由魏海波副院长担任主任，负责草拟活动方案、宣传发动、工作协调、材料收集、验收考核和日常事务性工作。 领导小组职责： 组长：对此次活动负总责，组织召开专题会议、全面安排布署活动具体工作。 副组长按照各自工作分工，牵头履行职责并组织有关职能部门人员对分管联系科室实施考核督查工作。副院长潘光勇负责内科片区、药剂部门的安全管理；副院长王行禄负责外科片区及门诊部、设备科室的安全管理；副院长杨莉负责护理、预防保健、院感、医技科室的安全管理，副院长魏海波负责保卫、后勤、急诊、信息科室的安全管理。 各领导小组成员，按照“一岗双责”要求具体抓好落实。 三、工作重点 按照国家中管局《中医医院管理评价指南（20xx年版）》、《重庆市二级中医院医院评分手册》标准要求，认真做好安全隐患排查与整治工作。
关于做好新型计算机勒索病毒防范工作的紧急通知 全体员工： 由于本次新冠疫情的全球化扩散，导致目前全球各国经济处于增长放缓或停滞衰退的状态。大量企业倒闭，员工失业，由此也催生了勒索病毒相关黑产群体的进一步扩大。 近期，新型勒索病毒大肆传播。最近半个月，仅张家港本地，已发生多起中毒事件。由于无法解密，感染用户只能通过缴纳赎金的方式恢复数据。相关监测显示目前该类型病毒主要通过电子邮件、远程暴力破解、扫描特定的网络服务端口、同时也会通过各种计算机软件漏洞和用户不安全使用计算机和网络的行为进行入侵和传播。为了做好安全防范工作，请全体员工高度重视，做好以下防范措施： 一、及时安装防病毒软件，落实安全防护措施。 公司采购有企业正版杀毒安全软件《火绒安全软件》，各位计算机使用者如发现自己计算机未有安装，请立即与IT管理员联系。 二、加强密码强度，下班及时关闭计算机。 1、计算机登录密码应设置强密码（8位以上,包含大小写字母、数字及特殊字符）； 2、必须使用远程登录应用协议的计算机、服务器在设置强密码的同时，还应开启 二次动态口令验证。 3、由于大多数攻击发生在半夜，因此各位员工下班前一定要关闭计算机！ 三、强化安全意识，抵制诱惑，规范行为。 各用户要提高用户安全意识，不要点击不明链接，不要下载/打开/安装不明文件，不要点击/打开不明邮件，不要浏览非法网站。 四、及时做好工作资料的备份工作。 各用户应每天/每周将工作资料上传至PLM、文件服务器进行备份和归档工作。 五、疑似中毒的紧急处理办法。 发现计算机异常，应立即断开网络并关机，切勿重启。报IT管理员进行处理。 附则： 一、本通知由行政人事部发布，行政人事部负责解释。 二、请各位员工务必重视，如因个人未遵守管理而造成后续相关损失的，需承担相应 的责任与赔偿。 三、如有任何疑问及事件支持，请联系IT管理员 行政人事部 2020年3月28日
浅谈大数据在现代化医院建设中的应用 发表时间：2018-09-10T11:00:39.187Z 来源：《基层建设》2018年第20期作者：马力 [导读] 摘要：随着时代的变化和发展，大数据时代已经悄悄来临。 浙江大学医学院附属第二医院浙江杭州 310009 摘要：随着时代的变化和发展，大数据时代已经悄悄来临。大数据时代的到来，为社会管理提供了一个巨大的数据平台，使得很多事物的管理工作实现了电子化、智能化。医院作为服务社会的机构组织，每天都会产生大量数据，应用大数据技术能推动医院想现代化高层次发展。通过大数据能让医院了解多边的市场形式，满足病患需求，对提高医疗服务质量和应对市场竞争都有重要的现实意义。因此文章重点就大数据在现代化医院建设中的应用展开相关论述。 关键词：大数据；现代化医院；建设；应用 近年来，随着经济水平的提升，互联网技术相对于以往也有了较快的发展，尤其大数据成为当下社会明显的标志，部分国际 IT 知名产业已开始挖掘大数据背后隐藏价值。在医院应用大数据能有效推动医院往智慧科技层面发展，从而提高医院核心竞争力。 一、大数据概述 大数据又称巨量资料，是伴随着信息技术和互联网技术的飞速发展产生的一股新的技术浪潮。就其概念和内涵而言，指的是无法在一定时间范围内用常规软件工具进行捕捉、管理和处理的数据集合，是需要新处理模式才能具有更强的决策力、洞察发现力和流程优化能力的海量、高增长率和多样化的信息资产，是一种依靠精确定位、快速捕捉与分析，并从海量数据中提取价值的全新技术架构。大数据不仅引导自然科学的传统研究模式的深刻巨变，同时实现了社会科学领域研究的定量化。与此相对应，大数据对社会秩序和经济秩序的发展以及社会成员日常生活管理理念和运行模式也产生了极大的影响和改变作用。 二、医院大数据特点 （一）来源复杂 从数据来源来看，医院大数据主要来自以下 8个方面：（1）社会化媒体、互联网及移动互联网、电子商务；（2）传感器网络、链接设备、智能终端、实时监控设备；（3）商业智能（BI）、医院辅助决策系统；（4）计算机、平板电脑、手机、其他移动设备、移动存储；（5）物联网、货币联网、RFID、GPS、GIS 等医院信息技术的应用；（6）云计算、第三方数据处理技术、第三方平台的应用；（7）专业研究报告、行业资讯、行业活动记录；（8）其他大交互、大交易数据来源。 （二）类型繁多 医院的大数据类型呈现出多样化特点，诸如人的行为信息、交互数据、各类设施设备采集的数据如传感器读数、运营数据、实体数据、医院信息、仪表读数、监控视频数据、医院内部基干类系统和信息类系统所采集或处理的各类数据；5）计算机使用数据和移动设备使用数据、GPS 映射数据、图像文件、医院信息、报告资讯、科研数据、调研数据、公共数据等。 （三）结构多维，格式多样 医院的大数据，可以从多个维度进行解构：（1）结构化数据、半结构化数据、非结构化数据，诸如存储在数据库里的结构化数据，也包括日志文件、XML 文档半结构化、非结构化数据约占大数据总量75%～85%。（2）内部数据与外部数据。医院的大数据既有来自医院经营的内部交易数据、CRM 数据，也有来自其他数据源的外部数据。医院的大数据兼具公共、私密二重属性。外部数据的公共性特征比较明显，而内部数据由于和行业标准和商业机密密切相关，因而具有私密性。（3）与数据结构的多维特征相对应，医院大数据的格式也是多样的。除了传统的纸质文件、档案、报表、表格、记录、信函等之外，更多的是以数字数据存在的 Web 文本、视频、短信、音频、视频、邮件、存储信息、配置文件、符号、图片、档案等。数据格式的多样性和互不兼容、数据访问的随机性，为数据的采集、存储、分析、应用带来了困难。 三、大数据在现代化医院建设中应用措施 （一）构建商业智能化平台 所谓商业智能化平台即借助数据在线分析、数据仓库、数据挖掘等技术对医院数据进行分析处理，该平台允许用户查询和数据仓库，可得出影响医疗日常活动的因素，目的在于帮助用户做出科学合理的决策。近年来随着医院信息化高速发展，信息系统相对于以往积累了大量医疗数据，然而在资源开发方面则存在联合共享少、孤立分散多，加工整理少，原始信息少等问题，如何提高医疗数据资源整合效率，构建覆盖广泛应用领域和面对全部使用者的信息数据平台成为医院当前要解决的事情。商业智能化能帮助医院实现准确快速决策，及时解决医院数据业务中存在的问题并提示工作人员快速解决。然而该软件即使再智能也不能完全替代管理人员决策，更不能在无人情况下自动处理医院运行中遇到的问题。但可以看到的是，商业智能能为医院决策提供准确性和快速性，通过科学的管理思维发现其他医院未发现的潜在规律，医院正是在此过程中获得经济效益。例如在分析患者就诊数据能发现各类患者用药、治疗、就诊信息，由此就能实现人性化排班，或者针对部分特定患者提供针对性医疗服务，上述都可为医院带来经济效益。 （二）数据中心 医院建设信息化在保证医院可持续发展、保证医药卫生体制改革顺利等方面有着积极的促进作用。大型公立医院的信息化建设系统较为分散，数据模块信息耦合十分困难，长期以往会影响数据真实性、关联性和稳定性。所以建设大数据集成平台能高效采集数据以及进行实时分析，从而提高数据信息的可利用性和准确性，实现信息共享和流程协同和信息系统数据整合，提高医院管理水平。构建以临床数据为核心的信息平台能实现医院各个部门不同信息共享交换，最重要是能将临床用户需求、临床业务与智能化临床数据应用相结合，从而为医院提供智能化临床管理数据、临床医护门户及临床科研门户等实现各类集成业务应用，实现集人、医、财、研、教为一体的平台，智能化技术与数据仓库能支持医院领导者决策，保障医院可持续发展。 （三）医疗科研管理 当前医疗科研管理虽然投入信息化，但数据共享度仍然不如大型企业，科技产出数据质量较低，再加上数据零散等问题导致医院信息化数据利用率不高。在医院科研管理引入大数据技术，能重新利用以往工作中积累的数据，并将现有管理数据转化为工作中可用知识，不仅能为管理部门提供科学、客观、全面的决策参考，最重要是能提高科技管理技术含量。建立高效科研管理模式能对科研资源配置起到优化作用，保证医疗科研事业良性循环。在大数据环境下，数据存储、收集、分析技术都能获得突破，有利于更快获得和研究对象相关的数
企业防勒索病毒安全解决方案 一、方案应用背景 勒索病毒是指：黑客通过锁屏、加密文件等方式劫持用户文件数据，并敲诈用户钱财的恶意软件，利用恶意代码干扰中毒者的正常使用，只有交钱才能恢复正常。自2017年5月WannaCry勒索病毒爆发以来，在短时间内大范围传播，给企业、高校、医院机构、公共基础设施造成了严重后果。硅谷网络风险建模公司Cyence的首席技术长George Ng称，仅“永恒之蓝”网络攻击造成的全球电脑死机直接成本总计约80亿美元。中国是勒索病毒攻击受害最为严重的国家之一，WannaCry勒索病毒爆发时仅一天时间，国内有近3W机构被攻击，覆盖至全国各地，其中教育、医疗、大型企业是国内被攻击最为严重的三大行业。 时隔一年后的2018年，勒索病毒威胁犹存。据相关机构统计，Globelmposter、Crysis、GandCrab、Satan是2018年上半年最为活跃的四大勒索病毒家族，传播量占到上半年勒索病毒传播总量的90%以上。今年七月，针对Windows 服务器的勒索病毒“撒旦”开始对大批企业服务器发起攻击，病毒会将计算机中的数据库文件进行加密，同时还具备二次传播能力，有可能入侵局域网内的其他机器。专家预测，由于利润丰厚、追踪困难等原因，未来各种勒索软件的攻击将会更为频繁，杀伤力也更大。
二、方案应对方法 针对持续爆发的勒索病毒，应当通过构建起从事前到事后全周期、全方位的安全防护体系，帮助各企事业单位及国家关键信息基础设施部门抵御勒索病毒的侵害。 在事前，从传播、加密、扩散三条路径对勒索病毒进行监测，并从网络异常、入侵、多引擎病毒、威胁变种基因等多方面进行分析检测，对未知威胁，采用沙箱检测方式，检测涵盖已知未知高级威胁，检测结果以预警方式发布，建立未知威胁预警体系。 勒索病毒有以下传播方式: 1、通过邮件附件进行传播； 2、通过钓鱼邮件进行群发下载URL传播； 3、企业用户在恶意站点下载病毒文件进行传播；
医疗信息系统安全实施方案 随着数字化医院建设的不断发展和深入，医院的数字化应用越来越多，目前我院已实现了区域HIS、LIS、PACS等系统的应用，主要业务实现了电子化，处方、医嘱、病历、慢病等已实现了无纸化。医院信息系统在医院运行中占据了非常重要的地位，但随之而来系统安全管理的重要性也越来越突出，系统的稳定性和安全性关系到医院各项业务能否顺利开展，关系到患者就诊信息的安全性及连续性，为保障信息系统的安全和运行，特制订以下方案： 一、成立领导小组 医院主任为组长，各副主任为副组长，各科室科长为成员，医院办公室为具体执行科室。 二、建立健全规章制度 建立各项规章制度，如医疗服务档案管理制度、信息管理制度、网络系统管理制度、计算机使用和管理制度等，据统计90%以上的管理和安全问题来自终端，提高各部门人员的安全意识非常重要，我院由分管主任负责组织协调有关人员，加强培训与安全教育，强化安全意识和法制观念,提升职业道德,掌握安全技术,确保这些措施落实到位，责任到人。 三、保证网络的安全 我院采用的是区域HIS、LIS、PACS系统，服务器设在市卫生局，故服务器的安全问题不用我们考虑，目前需要我们解决的是医院网络的安全问题，为了保障单位内部信息安全，规范职工上网行为、降低泄密风险、防止病毒木马等网络风险，我院将统一安装上网行为管理器及管理软件，通过此方法可实现以下主要功能： 通过制定统一的安全策略，限制了移动电脑和移动存储设备随意接入内网；杜绝内网电脑通过拨号、ADSL、双网卡等方式非法外联；保证了医院内网与外界的隔离度，从而大大提高了医院内网的安全性。 通过网络流量控制模块，实时地临控网络终端流量，对异常网络行为，如大流量下载、并发连接数大、网络垃圾广播等行为可以进行自动预警、阻断和事件源定位，极大减少网络拥堵事件，大大提高了网络利用率。
***医院 信息安全建设方案 ■文档编号■密级 ■版本编号V1.0■日期 ? 2019
目录 一. 概述 (2) 1.1项目背景 (2) 1.2建设目标 (3) 1.3建设内容 (3) 1.4建设必要性 (4) 二. 安全建设思路 (5) 2.1等级保护建设流程 (5) 2.2参考标准 (6) 三. 安全现状分析 (7) 3.1网络架构分析 (7) 3.2系统定级情况 (7) 四. 安全需求分析 (8) 4.1等级保护技术要求分析 (8) 4.1.1 物理层安全需求 (8) 4.1.2 网络层安全需求 (9) 4.1.3 系统层安全需求 (10) 4.1.4 应用层安全需求 (10) 4.1.5 数据层安全需求 (11) 4.2等级保护管理要求分析 (11) 4.2.1 安全管理制度 (11) 4.2.2 安全管理机构 (12) 4.2.3 人员安全管理 (12) 4.2.4 系统建设管理 (13) 4.2.5 系统运维管理 (13) 五. 总体设计思路 (14) 5.1设计目标 (14) 5.2设计原则 (15) 5.2.1 合规性原则 (15) 5.2.2 先进性原则 (15) 5.2.3 可靠性原则 (15) 5.2.4 可扩展性原则 (15) 5.2.5 开放兼容性原则 (16) 5.2.6 最小授权原则 (16) 5.2.7 经济性原则 (16)
六. 整改建议 (16) 6.1物理安全 (16) 6.2网络安全 (17) 6.3主机安全 (19) 6.3.1 业务系统主机 (19) 6.3.2 数据库主机 (21) 6.4应用安全 (22) 6.4.1 HIS系统（三级） (22) 6.4.2 LIS系统（三级） (24) 6.4.3 PACS系统（三级） (26) 6.4.4 EMR系统（三级） (27) 6.4.5 集中平台（三级） (29) 6.4.6 门户网站系统（二级） (31) 6.5数据安全与备份恢复 (32) 6.6安全管理制度 (33) 6.7安全管理机构 (33) 6.8人员安全管理 (34) 6.9系统建设管理 (34) 6.10系统运维管理 (35) 七. 总体设计网络拓扑 (38) 7.1设计拓扑图 (38) 7.2推荐安全产品目录 (39) 八. 技术体系建设方案 (41) 8.1外网安全建设 (41) 8.1.1 抗DDos攻击：ADS抗DDos系统 (41) 8.1.2 边界访问控制：下一代防火墙NF (43) 8.1.3 网络入侵防范：网络入侵防御系统NIPS (46) 8.1.4 上网行为管理：SAS (48) 8.1.5 APT攻击防护：威胁分析系统TAC (50) 8.1.6 Web应用防护：web应用防火墙 (54) 8.2内外网隔离建设 (58) 8.2.1 解决方案 (59) 8.3内网安全建设 (61) 8.3.1 边界防御：下一代防火墙NF (61) 8.3.2 入侵防御 (62) 8.3.3 防病毒网关 (63) 8.3.4 APT攻击防护 (67) 8.4运维管理建设 (68) 8.4.1 运维安全审计：堡垒机 (68) 8.4.2 流量审计：网络安全审计-SAS (70) 8.4.3 漏洞扫描：安全评估系统RSAS (75)
勒索病毒防范方法 一、系统补丁更新 从官方下载适配自己电脑操作系统的MS17-010补丁～本压缩包中也会包含。在安装补丁过程中出现“此更新无法适配本系统”问题时～因为电脑操作系统未更新到SP3～请下载sp3补丁将操作系统更新到SP3～然后再更新MS17-010补丁。 二、端口关闭 1、关闭 445、135、137、138、139 端口～关闭网络共享也可以避免中招。方法如下: ,1,运行输入“dcomcnfg” ,2,在“计算机”选项右边～右键单击“我的电脑”～选择“属性”。 ,3,在出现的“我的电脑属性”对话框“默认属性”选项卡中～去掉“在此计算机上启用分布式COM”前的勾。 ,4,选择“默认协议”选项卡～选中“面向连接的TCP/IP”～单击“删除”按钮 2、关闭 135、137、138 端口 在网络邻居上点右键选属性～在新建好的连接上点右键选属性再选择网络选项卡～去掉 Microsoft 网络的文件和打印机共享～和 Microsoft 网络客户端的复选框。这样就关闭了共享端 135 和 137 还有 138端口 3、关闭 139 端口 139 端口是 NetBIOS Session 端口～用来文件和打印共享。关闭 139 的方法是在“网络和拨号连接”中“本地连接”中选取“Internet协议(TCP/IP)”属性～进入“高级 TCP/IP 设置”“WINS设置”里面有一项“禁用 TCP/IP的NETBIOS ”～打勾就可关闭 139 端口。
4、关闭 445 端口 ,1,注册表关闭。开始-运行输入 regedit. 确定后定位到 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servi ces\ NetBT\Parameters～新建名为“SMBDeviceEnabled”的DWORD值～并将其设置为 0～则可关闭 445 端口。 ,2,关闭Server服务。检查系统是否开启Server服务: 按“WIN+R”键～打开运行窗口, 输入”services.msc”～回车, 查找service～查看service服务状态～如果开启～请右击属性选择关闭。 ,3,手动关闭445端口。打开开始按钮～点击运行～输入cmd～点击确定,输入命令:netstat -an 回车,查看结果中是否还有445端口,依次输入下面命令:net stop rdr 回车,net stop srv 回车,net stop netbt 回车,再次输入 netstat -ano～成功关闭 445 端口。如果还不有445显示～需要重启电脑就好了。 ,4,配置主机级 ACL 策略封堵 445 端口。通过组策略 IP 安全策略限制Windows 网络共享协议相关端口 开始菜单->运行，输入 gpedit.msc 回车。打开组策略编辑器 在组策略编辑器中，计算机配置->windows 设置->安全设置->ip 安全策略下，在编辑器右边空白处鼠标右键单击，选择“创建IP 安全策略”
构建医院大数据安全分析与勒索病毒防御 汇报人：刘洋通 —广西预防医学会卫生健康信息技术专业委员会2019年度大会暨学术交流会
01医院信息安全现状
西藏安徽 金融, 4% 教育, 7% 制造业, 7% 政府机构, 7% 医疗, 25% 对外贸易, 11% 工业企业, 17% 互联网, 16% 其他, 6% 地域分布行业分布2019以来全国勒索攻击态势 云南贵州 广西 青海
目 录 Contents 01医院信息安全现状 02大数据安全分析 03勒索病毒防护 04勒索病毒实战
由于部分医院信息系统存在安全风险，勒索病毒受利益驱使，依然是危害医院的主要安全风险之一。自去年7月以来，勒索病毒一直处于持续活跃的状态，其中8月份相对于7月勒索病毒传播有所加强。另外在全国三甲医院中，有247家医院检出了勒索病毒，以广东、湖北、江苏等地区检出勒索病毒最多。 ... ... 其中，被勒索病毒攻击的操作系统主要以Windows 7为主，Windows 10次之，以及停止更新的Windows XP。对此报告指出，当前没有及时更新操作系统的医疗机构仍占有一定的比例，这极有可能会为医疗业务带来极大的安全隐患。
以十二生肖作为后缀，“狗”生肖尚未出现 GlobeImposter勒索病毒家族： 2017年出现，2018年8月 份演进为V3.0版本。整体特点如下: 加密方法：采用RSA和AES两种加密算法的结合。----无法破解！主要的传播方式:扫描渗透+远程桌面登录爆破。----粗暴实用！解密办法：暂无公开的破解方法。 V3.0版本特点如下： 1、将加密文件的后缀改成 动物名称+4444的样子。 2、当加密完成后，除了清除远程桌面登录信息，还添加了自删除的功能，让追溯分析难度更高。 为什么勒索病毒总是攻击医院？ 成本低、来钱快！
关于应对勒索病毒相关事宜的紧急通知 各研究所、中心、室、厂、站、队、机关及各直属部门： 5月12日晚开始，在国内外网络中陆续出现针对windows 操作系统的勒索病毒，该病毒基于网络途径传播，对计算机文件进行加密破坏，部分服务器和个人计算机收到攻击，部分系统目前不能正常使用。根据** 公司和局信息管理部要求，关闭办公网络及相关服务器，对于各办公室机器，具体安排如下：一、对于未中毒的设备 1、断网。 2、关闭445 端口。（具体操作见附件） 3、按照windows 版本运行相应的补丁。 4、安装NAS免疫工具。 5、使用查杀工具杀毒。 二、对于中毒的设备 1、断网、登记。 2、原则上全盘格式化，重新安装操作系统。 3、关闭445 端口。（具体操作见附件） 4、按照windows 版本运行相应的补丁。（以分发至各所） 5、安装NAS免疫工具。 注：补丁、免疫工具及查杀工具已分发至各所
技术支持电话：7805870
注意：实施之前请拔掉网线。进行如下两步操作：1、关闭445端口，2、打补丁 关闭445端口流程 一、单击开始”一一运行”，输入“regedit ”，单击确定”按钮，打开注册表。 、找到注册表项 HKEY_LOCAL_MACHINE \System\Curre ntCo ntrolSet\Services\NetBT\Parame o ters
paiqeu3eo!Aaag|/\IS… adOMQ # '同 侑》莹邂帥(7)>S C3)g$? 宿)扫苴 ■ (5)18 SMS? ■ ? ㈢則宙捷去翌 (3)串右 讯)曰塞母古金 0)a}QyOMa ⑻g ：題 ⑺劇H (5?s&± …0烘蔓 h 的冋 [ 1 9^ ° a IKldOMQ … —— “iOg 仲寅韜孚顶 a sjejaiiiejed… t? '三 501 fl w rn '* Axojdorj rn * “柄补n 由 测裁o + icfeism rj !+ SICBM O 卡 【IP “声w n > 【姮】归；中阻? L + 5w rj 匡 5Ct|qW55LU 厂 + WbdSW 1+ SDcro 却 n ：+ S sacejjaim | TTS — mt 电:押i —- umug W\ - 193?N LI
医院大数据的内涵解析及应用现状探讨 摘要随着社会的发展，我国逐渐进入到大数据时代，为各行各业提供了便利。医院大数据是医疗健康大数据的重要来源与组成部分，在医疗质量控制、医院管理运营以及临床科研服务等方面发挥着重要作用。要使医院大数据应用落到实处，必须要整合各系统多元异构的数据，搭建数据共享及互联互通的平台，加强数据质量管控，提高数据分析能力，这样才能真正体现其价值。 关键词大数据；互联网医疗；医院 前言 科学技术的不断发展，推动了大数据时代的到来，各行各业每天都在产生数量巨大的数据碎片。就医疗事业而言，大数据时代的到来，给医疗诊断、临床医学等都提供了大量的信息资源，推动了医疗事业的发展。 1 医院大数据内涵 所谓医院卫生大数据是指在医院管理和医疗活动中利用计算机、通信设备及网络技术对医院运营进行有效管理，并为医院所属各部门提供病人诊疗信息和行政管理信息的收集、存储、处理、提取和数据交换的需求。通过将大数据应用到医院的卫生管理中，发挥大数据快速、高效、便捷的优势，形成数据共享、方便快捷、透明公开和实施监管的医药卫生数据系统。通过大数据的应用，优化了医院的服务流程，病患能够最便捷的享受最好的医疗服务，降低了患者看病的经济成本和时间成本，有利于优化医院医疗配置、提高医疗效率、降低医疗费用、降低管理成本、提高医疗质量。一般而言，医院卫生数据信息系统又可以分为门诊管理子系统、住院管理子系统、药房药库管理子系统、人事管理子系统、报表管理子系统、院长查询管理子系统等，这些系统均涉及数据方面，都可以接受大数据系统所带来的服务[1]。 2 医院大数据的应用现状 2.1 医疗质量监控 2016年7月26日，国家卫生计生委讨论通过了《医疗质量管理办法》，自2016年11月1日起施行。办法第三十二条明确指出，医疗机构要强化基于电子病历的医院信息平台建设，充分利用信息化手段开展医疗质量管理与控制。医院大数据恰恰是这项工作顺利开展的基础。它可以全息呈现各科室的患者诊治过程。并协助医院管理者构建完整的电子病历质量控制标准规范，通过提取与此标准规范不相符合的大数据内容，达到事前、事中、事后全流程的质量监管。 2.2 管理医院运营
关于防范勒索病毒的紧急通知 校园网用户： 近期网络上开始流传一种被称之为“勒索病毒”的恶意程序，该类程序可能会通过电子邮件附件、Office文档、JS脚本、带毒网址等途径传播。一旦中招，病毒会自动以极高强度的加密方式，加密硬盘上所有Office文档、图像、视频、压缩包等类型的文件，目前全球业界尚未找到有效的技术破解方法，即一旦工作文档被病毒破坏，基本上不可能恢复，这将给单位和个人带来巨大损失。 尤其值得关注的是，由于勒索病毒采取了多种先进的对抗技术，使得病毒的每次感染都会自我变形加密，从而绕过所有杀毒软件的特征追杀，即依赖杀软无法有效对抗勒索病毒。 信息中心特别提醒： 1.不要打开来源不明的电子邮件附件，尤其是带有各种诱惑性语言的电子邮件附 件。即使熟人发送的电子邮件，一旦发现不符合逻辑的、与最近交流对不上号的或其他莫名其妙的内容、添加了不常见的附件等，均应当先通过电话、QQ等其他方式确认，否则不可贸然打开附件。 2.不要点击安全状态不明的网页地址。对于QQ、电子邮件以及网站、论坛等场 合见到的网站地址，如果不能确定其安全性，请切勿点击。对于以一串无意义乱码组成的域名、其他不熟悉的域名，更不要随便点击。 3.禁用自动播放功能。U盘、移动硬盘也是一个重要的病毒传播途径，病毒可能 会通过移动设备的自动播放功能而自动激活、感染。禁止自动播放的步骤： 运行（win+r键）→输入gpedit.msc并回车→计算机配置→管理模板→Windows组件→自动播放策略→关闭自动播放→已启用→全部驱动器→确定。 4.禁用危险文件类型和危险文件。步骤：运行（win+r键）→输入secpol.msc并 回车→软件限制策略→鼠标右键点击，选择“创建软件限制策略”→其他规则→右击，新建路径规则→在路径栏输入：Wscript.exe→确定。重复前述“新建路径规则”操作，但路径栏分别输入Cscript.exe和*.scr，再建立两条路径规则；查看一下当前所有硬盘盘符，确定如果插入U盘或移动硬盘时可能会用到哪些盘符，比如U盘盘符为H:，则再次创建一条路径规则，在路径中输入H:\*.*；如果移动硬盘有多个分区或可能同时使用多只U盘，则以此类推创建更多的盘符规则。这样可有效阻止所有JS脚本以及.SCR 类型的文件被加载，并且阻止移动介质上直接运行任何可执行文件（文档打开不受影响），可极大地提高移动介质的安全性。注意：对于Home版（家庭版）的操作系统，本项创建策略功能无法使用。 5.注重工作文档和个人重要数据的备份。可通过移动磁盘、网盘等方式定期离线 备份重要工作文档；当前紧急、重要的工作除了这些方式外，还可向自己的电子邮箱以附件发送一份电子邮件作为临时备份。万一发生感染勒索病毒的情况，请切勿自行重装系统、尝试打开加密文件等，可第一时间关闭计算机电源并向信息中心寻求帮助，也许能够最大限度挽救工作数据。 特此通知，请广大校园网用户加强防范。 信息化建设与发展中心 2016年4月6日
医院信息安全管理制度系列 本制度系列所管辖医院信息包括医院在运行管理中涉及到的基本信息（人、财、物）、运行信息（各类业务工作与质量安全管理资料数据）和管理信息（投资发展、人力资源开发与利用、发展战略研究），统称为“医院信息”。依据《中华人民共和国保密法》、《医疗质量管理办法》，制定此制度系列。 一、医院数据、资料信息安全管理制度 医院内部的数据、资料信息安全管理尤为重要，如涉及全院的工作统计数据、质量与安全评价分析相关的数据、与医疗纠纷有关的信息、医院管理与建设重大决策信息、医院经济管理相关的信息等，院领导认为不宜通过“三重一大”公示的信息，均属于保密信息，必须实行安全管理，规定如下：（一）任何人未经院领导批准，不得在公众场合、公共媒体发布医院涉密信息。 （二）医院各职能部门和业务科室，对自身所涉密的医院信息，有保密的义务和责任。 （三）不属于分管职能内的涉密信息，不得向其他部门和个人打探。 （四）任何员工不得以谋利为目的，散布、出卖、交换医院涉密信息。 （五）任何员工不得以泄私愤、图报复，散布和出卖医院涉密信息。 违反以上各条，医院有权追究泄密人的相应责任。 二、医院网络系统安全管理制度 （一）为了保证医院网络的正常运行，保护医院网络系统的安全和网络用户的使用权益，特制定本安全管理制度。 （二）本管理制度所称的医院网络系统是指在医院信息系统中，由计算机及配套设施构成的，按照医院网络信息系统的应用目标和规定，对数据进行采集、加工、存储、传输、检索等处理的人机系统。 （三）医院网络系统安全管理是通过实施身份认证、访问控制与授权管理、数据备份和灾备系统、安全分域及边界防护、防病毒系统、入侵检测、补丁管理、邮件安全网关、远程接入等安全技术和与之相配套的管理制度，保障网络主机及配套设备、设施的安全，网络运行环境的安全，从而达到保
医院大数据安全分析与勒索病毒防护方案
目录 Contents 01医院信息安全现状 02大数据安全分析 03勒索病毒防护 04用户案例
01医院信息安全现状
内蒙古 新疆 甘肃四川 辽宁 陕西河南湖南 山西北京河北山东 江苏 浙江 上海广东 湖北重庆江西 福建 吉林黑龙江 西藏 安徽 金融, 4% 教育, 7% 制造业, 7% 政府机构, 7% 医疗, 25% 对外贸易, 11% 工业企业, 17% 互联网, 16% 其他, 6% 地域分布 行业分布 2019以来全国勒索攻击态势 云南 贵州 广西 青海
由于部分医院信息系统存在安全风险，勒索病毒受利益驱使，依然是危害医院的主要安全风险之一。自去年7月以来，勒索病毒一直处于持续活跃的状态，其中8月份相对于7月勒索病毒传播有所加强。另外在全国三甲医院中，有247家医院检出了勒索病毒，以广东、湖北、江苏等地区检出勒索病毒最多。 ... ... 其中，被勒索病毒攻击的操作系统主要以Windows 7为主，Windows 10次之，以及停止更新的Windows XP。对此报告指出，当前没有及时更新操作系统的医疗机构仍占有一定的比例，这极有可能会为医疗业务带来极大的安全隐患。
以十二生肖作为后缀，“狗”生肖尚未出现 GlobeImposter 勒索病毒家族：2017年出现，2018年8月 份演进为V3.0版本。整体特点如下: 加密方法：采用RSA 和AES 两种加密算法的结合。----无法破解！主要的传播方式:扫描渗透+远程桌面登录爆破。----粗暴实用！解密办法：暂无公开的破解方法。V3.0版本特点如下： 1、将加密文件的后缀改成动物名称+4444的样子。 2、当加密完成后，除了清除远程桌面登录信息，还添加了自删除的功能，让追溯分析难度更高。 为什么勒索病毒总是攻击医院？ 成本低、来钱快！
关于做好信息安全等级保护工作的通知 各科室： 医院信息系统是医疗服务的重要支撑体系。为贯彻落实国家信息安全等级保护制度，确保我院信息系统安全可靠运行，根据《省卫生厅省公安厅关于开展全省卫生行业信息安全等级保护工作通知》（鄂卫发〔2012〕14号）精神，并结合我院信息系统应用的特点，就相关事项通知如下。 一、组织领导 组长： 副组长： 组员： 领导小组办公室设在XX科，由XX同志兼任主任，ＸＸＸ等同志负责具体工作。 二、工作任务 1、做好系统定级工作。定级系统包括基础支撑系统，面向患者服务信息系统，部行政管理信息系统、网络直报系统及门户，定级方法由市卫生局统一与市公安局等信息安全相关部门协商。 2、做好系统备案工作。按照市卫生系统信息安全等级保护划分定级要求，对信息系统进行定级后，将本单位《信息系统安全等级保护备案表》《信息系统定级报告》和备案电子数据报卫生局，由卫生局报属地公安机关办理备案手续。 3、做好系统等级测评工作。完成定级备案后，选择市卫生局推荐的等级测评机构，对已确定安全保护等级信息系统，按照国家信息安全等级保护工作规和《信息安全技术信息系统安
全等级保护基本要求》等国家标准开展等级测评，信息系统测评后，及时将测评机构出具的《信息系统等级测评报告》向属地公安机关报备。 4、完善等级保护体系建设做好整改工作。按照测评报告评测结果，对照《信息系统安全等级保护基本要求》等有关标准，组织开展等级保护安全建设整改工作，具体要求如下： 安全类别 控制项 主要安全措施 二级保护措施 三级保护措施 物理安全 物理访问控制 机房安排专人负责，来访人员须审批和陪同 √
新型勒索病毒的整体安全检测防护解决方案 一．事件概况 ●行业内网爆发勒索病毒变种 今年2月份起，医院、政府等行业爆发大规模信息勒索病毒感染事件，包括GandCrab V5.2、Globelmposter V3.0等，受影响的系统和数据库文件被加密勒索。黑客主要是通过钓鱼邮件、漏洞利用、恶意程序捆绑等方式进入内部网络，之后通过SMB漏洞攻击、RDP（windows系统远程桌面协议）口令爆破等形式大规模感染整个网络，导致终端、业务系统、数据库等被加密勒索，全国大部分省份相关单位都受到影响。 ●新型变种Globelmposter V3.0 Globelmposter勒索病毒的安全威胁热度一直居高不下。本次爆发的Globelmposter V3.0勒索病毒变种攻击手法非常丰富，可以通过社会工程、RDP爆破、恶意软件捆绑等方式进行传播其加密文件为*4444扩展名，采用RSA2048算法加密文件，目前该病毒样本加密的文件暂无解密工具，在被加密的目录下生成HOW_TO_BACK_FILES的txt文件，显示受害者的个人ID 序列号及黑客的联系方式等。 ●新型变种GandCrab V5.2 GandCrab 勒索病毒变种可绕过杀毒软件的检测，通过永恒之蓝MS17-010漏洞、共享文件服务、远程桌面服务（RDP）弱口令等方式在内网进行传播，随机生成后缀名对系统重要数据和文件进行加密，目前暂无加密工具 二．由勒索病毒反思网络安全建设 勒索病毒并非APT攻击，仅仅是病毒攻击行为，并不是不可防御的。并且，微软在17年就已经发布了SMB 相关漏洞的补丁，用户有足够的时间做好预防工作，为什么还有大量用户受影响？并且其中还包括一些行业的与互联网隔离的专网，除了在口令安全、高风险端口禁止对外开放等方面的安全意识需要提升之外，主要的原因还有以下几点： 1）大量用户缺乏全过程保护的安全体系 这起事件并非APT攻击或0DAY攻击，大部分用户的安全建设仅仅是在事中堆叠防御设备，缺乏事前风险预知的能力，使其没有提前部署好安全防护手段；在威胁爆发后，又没有持续检测和响应的能力，使得这些客户在事件爆发前没有预防手段、爆发中没有防御措施、爆发后没有及时检测和解决问题的办法。 2）忽视了内部局域网、专网和数据中心的安全防护 经过这段时间的响应，我们发现很多客户的威胁是与互联网相对隔离的内部网络中泛滥。比如专网、内网、数据中心，这些区域过去被用户认为是相对安全的区域，很多客户在这些区域仅仅部署了传统防火墙进行防护。但勒索病毒感染内部网络的途径很多，比如U盘等存储介质、比如社会工程学，再或者是与DMZ间接相连的网络都可能成为来源。 3）过于复杂的安全体系，没有发挥应有作用