信息网络与网络安全方案

本文格式为Word版，下载可任意编辑——信息网络与网络安全方案3.2、信息网络与网络安全3.2.1xxxxx医院需求分析及设计原则目前，xxxxx医院要求在新建的网络上应用医院的HIS、pacs等系统，好多传统业务都渐渐迁移到网络上，对网络的性能、安全和稳定提出了很高的要求，主要表达在以下几个方面：

1）可靠迅速的响应以提供更好的医疗服务由于xxxxx医院每天都保持几千人的门诊量，HIS系统每天对后台数据库的调用十分频繁，会产生对比大的数据流量，假如这种访问流量出了问题而导致无法正常进行收费和医疗诊断，会产生严重的社会后果，因此医院对网络的访问性能有很高的要求。

2）安全的业务数据保证医院正常对外服务在医院的业务系统中保存着大量患者的健康信息和过程费用信息，这些数据无论对患者还是医院都十分关键，需要严格保密，因此如何保护这些数据，对医院有着重大的意义。

3）高效的管理推动系统的稳定，提高维护的效果如何管好整个医院的业务系统，包括用户、服务器、数据库、存储设备和网络等，提高医院管理效率，保证医院网络的正常运转已经成为医院急需解决的大问题。

4）医院数据的安全存储医院需要存储包括病人信息、病案信息、费用信息和影像等数据，对数据存储的安全性和扩展性要求十分高。

5）区域医疗的建设为了在区域范围内实现远程会诊、网上学术研讨等业务，迫切需要医院之间的资源共享。

3.2.1.1医院网络建设总体需求xxxxx医院核心网络系统用于开展日常医疗业务（HIS、LIS、PACS、财务、体检系统等）的内部局域网，系统应稳定、实用和安全，具有高宽带、大容量和高速率等特点，并具备将来扩容和带宽升级的条件；提供合理、流畅的医院网络安全管理软件平台。建设完成后的系统满足xxxxx医院的运行要求，并且三到五年内技术不落后。

►网络设计要求：

1、实现骨干万兆，桌面1000M接入的网络结构。

2、骨干设备具有高性能、高可靠特性，关键部件需要冗余配置。

3、配备的网管软件应提供可视的形象化的图形界面，对整个网络中网络产品的全部设备和端口进行监视和管理。

4、交换机互连采用链路冗余连接。

5、由于医疗行业的特别性，医护人员和病患者之间需要频繁地在院内移动、同时处理大量的信息，要求网络具备可移动性、传输速率高等特点。同时考虑到医院业务量的增加，网络需要留出足够余地扩容而不影响医院正常的工作。

3.2.1.2内网需求内网是医院核心网络系统，用于开展日常医疗业务（HIS、LIS、PACS、财务、体检系统等）的内部局域网，系统应稳定、实用和安全，具有高宽带、大容量和高速率等特点，并具备将来扩容和带宽升级的条件。

网络设计要求：

1、实现万兆主干，千兆接入到桌面；2、配备的网管软件应提供可视的形象化的图形界面，对整个网络中网络产品的全部端口进行监视和管理；

3、交换机互连采用多条链路捆绑，防止链路瓶颈，并提供链路冗余。

4、部分设备节点实现热备、冗余，保证业务正常运行。

由于医疗行业的特别性，医护人员和病患者之间需要频繁地在院内移动、同时处理大量的信息，要求网络具备可移动性、传输速率高等特点。同时考虑到医院业务量的增加，网络需要留出足够余地扩容而不影响医院正常的工作。

网络应用设计要求：

1、院内核心网络系统HIS、PACS和LIS、体检系统等应用分别单独组网。以子网的形式组成医院的整体网络。各网络功能独立应用，信息互通，资源共享；当任何一个子网出现故障，都不会影响到其他子网的使用。

2、住院病区考虑到无线查房的需要，需要部署无线网络。

3、医院网络边界部署安全防卫设备。

3、传输动态图像的部门有：放射影像科、PET/CT、核磁共振MRI、介入放射科DSA、B超室、心超室、脑超室、心电图室、肌电图室、胃肠镜室、内窥镜室、重症监护室（ICU、CCU等）、手术室、麻醉科、视频示教室和会议室等。

4、医保(包括省医保、市医保、区医保以及市公费医疗)是专线接入。须配置医院内网与专线网的接口。

5、为了更好地服务于医疗科研工作，需要将各类监护治疗仪器上的各项生命体征等信息以数字化手段采集并且保存下来，在需要时，可随时还原。因此，须考虑将医院所有的监护仪器和大型设备都联网。

3.2.1.3外网需求外网原则上是指除医院内网之外的所有网络系统，包括INTERNET、银联系统、医院图书馆知识管理平台、和市卫生局联网的应急系统、办公自动化系统、电视监控信号传输、BA、安防监控、视频会议系统、公共区域无线上网等。

1、应急系统也是卫生局专线接入，通过外网接口和院内视频会议系统连接。

2、银联系统是用各POS机终端通过外网接口与原银联系统连接。

3、Internet网提供远程医疗、远程教育、局办公自动化服务、医疗设备远程维护等。

4、医院内部职工文献检索及知识管理平台集中在电子图书馆，但须在所有办公场所、住院楼病房、宿舍等地方预留Internet网接口。

6、院内电视监控系统采集的信号需要从医院外网系统上传输，需预留外网接口。

7、可以实现手术示教。

3.2.1.4网络安全需求为了应对现在层出不穷的网络安全问题，在设计整个网络系统的过程中要充分考虑到利用防火墙等设备以及杀毒软件的协同使用，解决医院目前现有系统及新建系统的网络安全问题。基本要做到：故障排除、灾难恢复、查找攻击源、实时检索日志文件、即时查杀病毒、即时网络监控等。

1、故障排除：要求做到一旦网络出现异常，如无法访问网络，网络访问异常等，要能提供及时、有效的服务，在短的时间内恢复网络应用。

2、灾难恢复：要求做到设备遇到物理损害网络应用异常时通过备品备件，快速恢复网络硬件环境;通过备份文件的复原，尽快恢复网络的电子资源;在最短的时间内恢复整个网络应用。

3、查找攻击源：要求做到发现网络遭到攻击，需要通过日志文件等信息，确定攻击的来源，为进一步采取措施提供依据。

4、实时检索日志文件：要求做到能实时查看当时存在的针对本网络的攻击并查找出攻击源。假如攻击强度超出网络能够承受的范围，可采取进一步措施进行防范。

5、即时查杀病毒：要求做到网络中出现病毒，通过及时有效的技术支持，在最短的

时间内查处感染病毒的主机并即时查杀病毒，恢复网络应用。

6、即时网络监控：要求通过网络监控，尽可能发现网络中存在的前期网络故障，在故障扩大化以前及时进行防治。

3.2.1.5网络设计原则基于xxxxx医院目前网络现状和未来业务发展的要求，在xxxxx医院网络设计构建中，应始终坚持以下建网原则：

1、实用性：整个网络系统具有较高的实用性；2、时效性：网络应保证各类业务数据流的及时传输，网络时效性要强，网络延时要小，确保业务的实时高效；3、可靠性：网络系统的稳定可靠是应用系统正常运行的关键保证，在网络设计中选用高可靠性网络产品，合理设计网络架构，制订可靠的网络备份策略，保证网络具有故障自愈的能力，最大限度地支持医院各业务系统的正常运行。必需满足724365小时连续运行的要求。在故障发生时，网络设备可以快速自动地切换到备份设备上；4、完整性：网络系统应实现端到端的、能整合数据、语音和图像的多业务应用，满足全网范围统一的实施安全策略、QoS策略、流量管理策略和系统管理策略的完整的一体化网络；5、技术先进性和实用性--保证满足医院应用系统业务的同时，又要表达出网络系统的先进性。在网络设计中要把先进的技术与现有的成熟技术和标准结合起来，充分考虑到医院网络目前的现状以及未来技术和业务发展趋势。

6、高性能医院网络性能是医院整个网络良好运行的基础，设计中必需保障网络及设备的高吞吐能力，保证各种信息（数据、语音、图像）的高质量传输，才能使网络不成为一眼业务开展的瓶颈。

7、标准开放性--支持国际上通用标准的网络协议（如IP）、国际标准的大型的动态路由协议等开放协议，有利于以保证与其它网络(如公共数据网、金融网络、外联机构其它

网络)之间的平滑连接互通，以及将来网络的扩展。

8、灵活性及可扩展性--根据未来业务的增长和变化，网络可以平滑地扩展和升级，减少最大程度的减少对网络架构和现有设备的调整。网络要具有面向未来的良好的伸缩性能，既能满足当前的需求，又能支持未来业务网点、业务量、业务种类的扩展和与其它机构或部门的连接等对网络的扩展性要求。

9、可管理性--对网络实行集中监测、分权管理，并统一分派带宽资源。选用先进的网络管理平台，具有对设备、端口等的管理、流量统计分析功能以及可提供故障自动报警。

10、安全性--制订统一的骨干网安全策略，整体考虑网络平台的安全性。能有效防止网络的非法访问，保护关键数据不被非法窃取、篡改或泄漏，使数据具有极高的安全性；11、保护现有投资--在保证网络整体性能的前提下，充分利用现有的网络设备或做必要的升级，用作骨干网外联的接入设备，网络的投资应随着网络的伸缩能够持续发挥作用，保护现有网络的投资，充分发挥网络投资的最大效益。

3.2.1.5.1核心层需求分析xxxxx医院网络核心设备担负着连接接入层、服务器群和办公大楼网络的工作，通过核心设备的互联，形成一套完整的网络。由于核心层设备担负着整个网络的流量，在网络核心层的流量是十分巨大的，所有的服务器均在网络的核心层提供相关的服务。对网络核心层的压力十分巨大。同时网络对安全性、稳定性的要求极高，由于网络也基本是一个金字塔的外形，那么最需要稳定的就是金字塔的顶端，即网络的核心层。

网络核心层同时需要对网络的接入层提供不同的网络层的路由规划和信息转发的功能，同时还需要保证不同级别的网络QoS，对于服务器的关键业务通过链路级和网络级的协议实现严格的操纵和优先级的保证。对于网络级的保护寻常时间是十分长的，那么对一些关键业务，我们就必需通过结合二层快速收敛的协议一起来完成对网络安全性的提升和网络的自愈能力。设备必需支持对不同部门的规划，如实现全网统一VLAN的规划等。对每个系统分派不同的VLAN并且针对不同VLAN实现不同的安全和操纵的策

略等。

3.2.1.5.2接入层需求分析网络的接入是对用户直接进行数据透传的层次，但是由于网络的特别性，本次的接入层主要是对一个局域网进行接入。对接入层概念就有了更新的解释。

对本次的接入层的主要需求的分析如下：

（1）、接入层用户数量的大直接产生大量的数据报文，造成碰撞域和冲突域，使网络瓶颈产生于网络的低层，直接影响接入质量。

（2）、接入层用户数量大，而所应用的数据种类繁多，多种网络业务流量的产生，包括组播业务的产生，对所接入的网络设备要求很高，使整个接入层产生了一个业务接入瓶颈。

（3）、网络的访问终结于共享数据的特定位置，由于接入层用户需要通过网络最终访问位于网络另一端的共享服务器，而多个用户同时访问远端的同一台服务器或者存在访问网络的其他节点的服务器，就需要这几个用户争抢网络带宽，使接入层瓶颈提升到核心层，造成核心层资源的浪费。并且根据网络流量的分析得出用户的访问方向是不规矩的，网络一定会出现闲置的带宽的现象，如何规划将十分重要。

（4）、网络流量和网络流向是宽带网络的一个新瓶颈。

对于宽带网络接入，接入层网络的寻常是以新2/8原则来划分的，其中有20%的流量是在接入层交换机的内部进行交换的，而80%的网络流量是通过上联出口访问其他的网络设备。这里，就涉及到网络产生流量后，网络流向的问题，网络流向直接造成网络对于流量和流向所产生的网络瓶颈。

（5）、网络用户是局域网用户，实际接入的用户就是一个网络，那么对于不同网络之间的互访的安全性操纵更是由为重要，同时各个不同的机关对本机关内部流通的部分文件是要求要有绝对的安全性的，对其他部门的用户的访问是分为好多的不同的级别的。

3.2.1.5.3链路层需求分析对于xxxxx医院这样的网络来说，各项业务的需求，对于网络的稳定性的需求就不言而喻。网络核心层的采用星型的设计思路，通过以太网的方式同样需要保证毫秒级的链路保护功能。对于链路级的保护能够实现对一些基本的链路进行备份起到冗余的特性，以便保证在某个物理链路断掉的时候还能保证用户的数据的传输功能，同时能够针对用户的关键的链路放置一条专有的链路实现备份功能，保证关键业务的不休止的连接。

通过针对网络级的保护需要针对不同的网络设备采用不同的网络级的保护协议来实现，针对整体的网络架构提供保护，将网络的稳定性和安全性提供更高的安全性。对于网络级的保护主要是通过网络的协议来实现的。并且网络的冗余技术有好多不同的实现方式，对于网络核心层的影响也不尽一致。

同时网络的稳定结构同样也需要网络设备自身的稳定性和自身的冗余的特性来保证，例如实现网络设备电源的冗余、网络操纵板的冗余、无源背板、业务板件热拔插等。这样可以让设备出现问题的时候不至于会造成网络设备的瘫痪，可以通过在线更换背板、更换电源以及更换主控网板等方式来实现业务的不中断运行。同时可以通过网络主控板件和业务板件的业务热切换功能实现网络设备不停机。

3.2.1.6医院业务应用分析3.2.1.6.1医院业务划分医院的业务系统有好多，而且不同的专科医院业务系统也有很大区别，但以下一些业务系统是医院都具有的：

门诊系统住院系统体检系统PACS系统医院管理经济系统区域医疗系统

3.2.1.6.2应用系统分类医院信息系统主要分成以下两类：

医院管理系统门、急诊挂号子系统门、急诊病人管理及计价收费子系统住院病人管理子系统药库、药房管理子系统病案管理子系统医疗统计子系统人事、工资管理子系统财务管理与医院经济核算子系统医院后勤物资供给子系统固定资产、医疗设备管理子系统院长办公综合查询与辅助决策支持系统临床医疗信息系统住院病人医嘱处理子系统护理信息系统门诊医生工作站系统临床试验室检查报告子系统医学影像诊断报告处理系统放射科信息管理系统手术室管理子系统功能检查科室信息管理子系统病理卡片管理及病理科信息系统血库管理子系统营养与膳食计划管理子系统临床用药咨询与操纵子系统

3.2.1.6.3医院业务系统的需求1）门诊系统门诊业务作为医院直接面对患者的窗口具有十分重要的地位和自己的特点（包括焦虑的病人无法忍受长时间的等待、门诊业务主要集中在上午等），门诊业务具有可靠性高、并发性、实时性和突发性强等特点。因此门诊业务对网络提出了高可靠性、高带宽和QoS的要求。

2）住院系统住院业务是医院的另一个主要组成部分，是医院经济收入的主要来源，同时还直接关系到重病患者的生命安全，具有以下几个特点：

住院业务的网络上滚动着重症病人生命数据和各种新业务数据；住院业务保存有患者病案数据和住院费用数据；医生移动查房；病人呼叫系统；网上视频监控系统；针对住院业务的以上特点，住院业务对网络提出了高可靠性、安全存储、QoS和无线局域网、VoIP和视频会议系统的需求。

3）体检系统现在好多医院建立专门的体检大楼，以满足民众不断扩大的体检需求。从业务角度上讲体检系统十分简单，它对网络的需求主要表达在安全性上，如何保护体检服务器上体检人员数据安全和体检大楼网络安全是医院体检系统解决方案所关注的。

4）PACS系统

医院的PACS系统主要是完成对患者的各种影像数据进行采集、存储、传输和处理，并在全院范围内进行共享，由于是各种图形图像数据，因此具有存储量大的特点，为了更好的服务于医院业务，PACS业务对支撑系统提出以下要求：存储量大、扩展性强、数据快速存储、数据容灾、高带宽5）管理经济系统医院管理经济系统主要是人、财、物的管理，包括人事、财务管理、药品药库管理等，因此它最大的需求是数据在服务器端和网络上的安全，保证这些数据不会泄露。

6）区域医疗系统一方面为了发挥中心医院的辐射和覆盖作用，另一方面充分利用各家医院的特色科室的力量，区域医疗把这些资源进行共享和整合，这需要稳定的广域网连接。

根据初步的需求，我们依照内外网分开的原则，建成后的南扩大楼的新机房将成为以后医院的核心，原有机房成为备份冗余机房。

3.2.2xxxxx医院网络规划设计3.2.2.1网络总体设计设计全新的基于纯IP技术的网络平台来满足xxxxx医院新区网络的需求变化。面向网络资源的有效、高效利用，从网络架构方面提供优化方案，使得核心网、接入网具有更高的可靠性和可控性，同时使得网络结构与布局在结合实际业务分布的前提下更加合理。数字园区的发展必然离不开两个方向，其一是安全性，其二是移动性。这是IP通信技术发展的方向，满足这个发展，首要前提就是让网络平台能够具备相关技术支撑能力，不管是对信息网络的优化还是对业务的横向拓展，都是基于网络本身是安全有序的，需要从纵向三个维度对所有影响网络安全的隐患、非法行为进行渗透防卫与操纵。

在网络整体设计中，采用分层、模块化的网络设计结构，并严格定义各层功能模型，不同层次关注不同的特性配置，将网络的可靠性、安全性、先进性、易维护性、可扩展

性发挥到最好，从而最终实现建设完善和先进的数字化医院为目的。xxxxx医院采用分层网络设计模型，将网络分为以下几个层次：

►核心层核心层网络属于高速主干网络，其职责是以最快的速度交换数据包，对网络的连通性至关重要，需要提供高等级的可用性，并快速适应网络变动。

►接入层用户通过接入层可以访问网络设备。在园区网中，工作站与服务器之间通过接入层网络来共享或交换传输介质/设备端口；在WAN环境中，用户站点可以利用WAN技术，通过接入层网络访问医院资源。

当流量通过层次化结构中的收敛点，沿着接入层--核心层传输时，流量数量及其相关的带宽要求都随之增加。层次化设计每一层的功能都很明显，无需全部网络节点互联的全网状网络。

层次化网络模式由两个有效的转发核心节点组成，当一个节点发生故障时，另一节点可以提供足够的带宽和容量来为整个网络服务。

3.2.2.2内网规划设计内网是整个医院的核心网络，开展医院日常重要的医疗业务，对网络的可靠性、稳定性要求十分高，本次设计的网络依照万兆交换平台、万兆骨干网络、千兆到桌面设计，内网核心交换机双机冗余、负载分担，并将安全设备以及无线操纵器以插卡形式部署在核心交换机上，实现网络安全一体化。

在接入层千兆渐渐延伸到桌面已经成为最迫切的需要之一，在诸如医疗行业的会诊、医疗影像、医疗科研协作等，应用在消耗大量带宽的同时，也在追求终端用户的满意度，基于铜缆的千兆以太网可以将更多的应用从低速链路中解放出来，并且为医务工创新提供了一个崭新高效能工作平台。

在终端PC上部署EAD端点准入防卫解决方案，从网络源头切断病毒攻击的来源，大大提升了医院的安全管理水平。

医院网络同时承载多种业务，所有交易业务都要经过核心交换机处理，建议核心交换机以万兆核心交换机为业务系统核心交换机，满足大容量、高性能、高可靠、高安全及

网络扩展的要求。核心交换机与接入交换机之间的链路双归属形成冗余连接，2条物理链路间可以实现互为备份。2台核心之间使用10GE高速链路互联，之间运行IRF2，两台可虚拟为一台设备，增加带宽，提高网络可用率，实现网络高可靠性。保障核心节点的高可靠性。数据大集中后整个系统将承载多个业务系统，不同的业务对网络的带宽、时延等要求也不同，这就要求核心交换设备业务与性能并重。

系列交换机产品是杭州华三通信技术有限公司面向下一代园区网核心和城域网集聚和数据中心业务集聚而专门设计开发的核心交换产品。采用先进的CLOS多级多平面交换架构，可以提供持续的带宽升级能力，支持40GE和100GE以太网标准，从而为用户提供有保障的业务特性的同时保障数据报文的线速转发。

在网络出口，配置一台防火墙，假如省医保、市医保需要通过防火墙接入医院的内网，根据以上规划设计，内网拓扑如下：

3.2.2.3外网规划设计由于外网主要用于医院OA办公、图书馆信息查询、楼内视频监控、视频会议，外网相对于内网来说可靠性要求相对级别次低一级，对带宽的要求也对比高。外网建议采用二层网络架构：

在接入层，选用千兆二层交换机，系统采用创新的IRF技术，在安全可靠、多业务融合、易管理和维护等方面为用户提供全新的技术特性和解决方案，是理想接入交换机。

在核心层，选用作为外网的核心交换机，作为高端多业务路由交换机，融合了MPLS、IPv6、网络安全、无线、无源光网络等多种业务，提供不休止转发、优雅重启、环网保护等多种高可靠技术，在提高用户生产效率的同时，保证了网络最大正常运行时间，从而降低了客户的总拥有成本（TCO）。

防火墙集成防火墙、VPN、内容过滤和NAT地址转换等功能，提升了网络设备的安全业务能力，为用户提供全面的安全防护。能提供外部攻击防范、内网安全、流量监控、URL过滤、应用层过滤等功能，有效的保证网络的安全。采用ASPF（ApplicationSpecificPacketFilter）应用状态检测技术。提供邮件告警、攻击日志、流日志和网络管理监控等功能，协助用户进行网络管理。根据以上规划设计，外网拓扑如下：

3.2.2.4网络安全设计参与了大量网络安全建设实践后认为：除了在信息传输流程中实施安全解决方案之外，还需要进行全局安全管理，这种管理涉及到网络上的设备、使用者以及业务，只有对这3者实现闭环管理，才能对网络安全状况了如指掌。因此，xxxxx医院建设一个"全局安全管理平台'是必要的。

以往，在总台的网络安全管理中遇到的问题包括：

►对实时安全信息不了解，无法及时发出预警报告。

►各种安全设备是孤立的，无法相互关联，信息共享。

►安全事件发生以后，无法及时诊断网络故障的原因，恢复困难。

►网络安全专家匮乏，没有足够的人员去监控、分析、解决问题。

根据在医院网络的经验得出，医院网络安全十分重要，所以一定要从开始就对医院网络做周全、完善的防护措施。

安全统一管理中心心为了保证部署的硬件设备和安全软件能够统一的为网络安全服务，必需要求对全网设备，包括主机和数据交互设备进行统一的日志收集和日志分析。这样就要求必需在网络当中部署安全管理中心来完成统一的策略规划和分析。

收集分析数据知识SyslogNetStream二进制日志WMI、APIH3CSecCenter从分布式系统中集中收集、监控分析数据，并把原始数据转换为安全有效信息。安全事件网络事件系统事件应用事件Netflow网络安全本质上是管理问题。主要功能可管理近100家主流厂家的安全与网络产品1000+种报表的自动或手工生成流量与攻击的实时监控海量事件关联和要挟分析安全审计分析与追踪溯源主要功能可管理近100家主流厂家的安全与网络产品1000+种报表的自动或手工生成流量与攻击的实时监控海量事件关联和要挟分析安全审计分析与追踪溯源安全管理中心并不是一个要挟抵御的直接发起者，而是一个系统规划的首脑。所以要求安全管理中心可以提供以下功能：

旁路部署模式，不影响正常业务和造成瓶颈；具有广泛的日志采集功能，要求可以对网络当中的所有设备（防火墙、IPS、交换机、路由器、PC、Server等）进行日志分析；►采用先进的关联算法，能够对日志数据依照不同的关联组合进行分析；►对安全要挟的实时监控功能；►对网络流量的实时监控功能；

►可支持多家厂商的设备日志采集；►提供拓扑发现功能，并能够确切迅速的根据日志定为网络故障；►对网络故障提供多种迅速的告警机制；►具有完善的安全审计功能；►对历史数据进行压缩并可提供高效的查询机制；►根据需要提供多种报表；►根据需求可分步实施的灵活部署方式；根据以上需求，这里采用一台安全管理中心作为整个网络的安全管理中心，对全网设备进行日志分析，帮助定制安全策略。仅仅需要路由可达即可完成上述功能，部署位置相对灵活，建议可以和网络管理软件服务器部署在一起，以便利硬件的管理。

医院网络内网安全统计说明，在所有的安全事件中，有超过70%是发生在内网上的，并且随着网络的巨大化和繁杂化，这一比例仍有增长的趋势。因此内网安全一直是网络安全建设关注的重点，但是由于内网以纯二层交换环境为主、节点数量多、分布繁杂、终端用户安全应用水平参差不齐等原因，一直以来也都是安全建设的难点，这一点对于xxxxx医院也是适合的。

内网安全的重要性不言而喻，我们建议在xxxxx医院所有的计算机上部署EAD（端点防卫客户端），EAD结合IMC智能管理中心平台能完整的保护内网安全，使访问医院各系统的用户必需通过四道关卡：身份认证，安全检查，权限划分，日志审计。也就是我们常说的"你是谁？你安全吗？你可以做什么？，你做了什么？'。通过层层过滤保证访问医院个系统的用户是合法，安全的，也保证了医院的安全。

EAD将防病毒、补丁修复等终端安全措施与网络接入操纵、访问权限操纵等网络安全措施整合为一个联动的安全体系，通过对xxxxx医院网络接入终端的检查、隔离、修复、管理和监控，使整个网络变被动防卫为主动防卫、变单点防卫为全面防卫、变分散管理为集中策略管理，提升了xxxxx医院网络对病毒、蠕虫等新兴安全要挟的整体防卫能力。

EAD通过安全客户端、安全策略服务器、接入设备以及病毒库服务器、补丁服务器的相互协同，可以将不符合xxxxx医院网络安全要求的终端限制在"隔离区'内，防止"危险'终端对网络安全的损害，避免"易感'终端受病毒、蠕虫的攻击。其主要功能包括：

a)检查检查用户终端的安全状态，协同不同方式的身份验证技术（802.1x、VPN、Portal等），可以确保接入终端的合法与安全。

b)隔离隔离违规终端。不符合企业安全策略的终端，将被限制访问权限，只能访问"隔离区'内的病毒库/补丁服务器等用于系统修复的网络资源。

c)修复与第三方服务器中的补丁服务器、病毒服务器等形成联动。强制终端安装系统补丁、升级防病毒软件，直到满足安全策略要求。

d)管理与监控EAD提供了集接入策略、安全策略、服务策略、安全事件监控于一体的用户管理平台，可以帮助网络管理员定制基于用户身份的、特性化的网络安全策略。同时EAD可以通过安全策略服务器与安全客户端的协同，强制实施终端安全配置（如是否实时检查邮件、注册表、是否限制代理、是否限制双网卡等），监控用户终端的安全事件（如查杀病毒、修改安全设置等）。

EAD除了上述功能保证内网安全外，还可以对医院计算机做管理和操纵，譬如监控的计算机的USB接口、计算机黑白软件操纵等，完全满足xxxxx医院内网安全要求。

3.2.3、xxxxx医院网络管理智能管理中心随着网络的发展，其作用已经不仅是简单的互连互通，通信、计算、应用、存储、监控等各类业务应用和网络的融合，促使网络成为承载企业核心业务的平台。随着网络应用越来越繁杂，网络安全操纵、性能优化、运营管理等问题成为困扰客户的难题，并直接决定了企业核心业务能否顺利开展。在这种状况下，依靠单纯的硬件数据交换已经不能满足用户的需求，因此灵活的软件操纵和高速的硬件数据交换进行有机融合的整体解决方案成为整个行业的发展趋势。

为了系统地解决目前网络安全操纵、性能优化、运营管理中存在的问题，依据对IT

应用的深刻理解，推出了新一代的管理系统：开放智能管理中枢（IntelligentManagementCenter，以下简称iMC），作为IToIP整体解决方案的重要组成部分，iMC采用面向服务架构（SOA）的设计思想，融合并统一管理业务、资源和用户这三大IT组成要素，通过按需装配功能组件与相应的硬件设备协同，形成直接面向客户应用需求的一系列整体解决方案，从而成为IToIP整体解决方案的开放智能管理中枢。

3.2.3.1面向安全操纵、性能优化和运营管理的系列解决方案网络的安全操纵、性能优化和运营管理是网络应用管理面临的核心问题，除基本的网络支撑管理外，iMC通过软件灵活的操纵，与相应的硬件设备协同，更为客户提供了一系列的整体解决方案，成为客户IT环境中的安全操纵中心、性能优化中心和运营管理中心。

iMC面向安全操纵、性能优化和运营管理的系列解决方案安全操纵中心系列解决方案►端点准入解决方案(EAD)概述

iMC端点准入功能组件与业界主流交换机、路由器、VPN设备、无线操纵设备、专业网关等硬件进行协同，实现了局域网、广域网、VPN和无线等多种接入终端安全准入操纵。

端点准入解决方案(EAD)在身份接入基础上，支持安全状态评估、网络安全要挟定位、安全事件感知及保护措施执行等，预防因未打补丁、病毒泛滥、ARP攻击、异常流量、非法软件安装和运行等因素可能带来的安全要挟，并可根据终端的安全状态实现终端VIP、Guest、隔离、下线等多种操纵策略。从端点接入上保证每一个接入网络的终端的安全，从而保证网络安全。

►安全联动解决方案(SCC)概述随着安全要挟日益严重，企业对网络安全防卫体系的投入和繁杂度都在不断增加，彼此割裂的安全资源和海量的安全信息成为困扰网络管理员的管理难题。

安全联动解决方案(SCC)主要由事件管理中心设备（SecCenter）和响应管理操纵中心软件（iMC）组成，事件管理中心主要完成对全网安全事件的采集、分析、关联、集聚、报表报告展示，响应操纵中心实现了安全事件与网管系统、用户管理系统的结合，对需要响应的重要事件可灵活进行短信通知、Email通知、交换机端口关闭、用户下线、参与黑名单、在线提醒等响应操作。

基础管理支撑►基础网络管理解决方案(NMS)概述基础网络管理解决方案(NMS)，实现了全网资源的统一部署、管理和调配中心，支持的设备包括路由器、交换机、安全、无线、语音、存储、服务器、PC、UPS等类型，实现了故障、性能、拓扑、配置等管理内容。

3.2.3.2系统安全管理系统安全管理功能主要有包括：操作日志管理、操作员管理、分组分级与权限管理、操作员登录管理等。

登录安全策略分组分级权限管理记录所有操作系统管理员实时监控在线操作员定期修改密码►操作员登录管理管理员通过制定登录安全策略约束操作员的登录鉴权，实现操作员登录的安全性，通过访问操纵模板约束操作员可以登录的终端机器的IP地址范围，避免恶意尝试另人密码进行登录的行为存在，通过密码操纵策略，约束操作员密码组成要求，包括密码长度、密码繁杂性要求、密码有效期等，以约束操作员定期修改密码，并对密码繁杂性按要求设置。

►操作员密码管理管理员为操作员制定密码操纵策略，操作员仅能依照指定的策略定期修改密码，以保证访问iMC系统的安全性。

►分组分级权限管理管理员通过设备分组、用户分组的设置，可以为操作员指定可以管理的指定设备分组和用户分组，并指定其管理权限和角色，包括管理员、维护员和查看员，实现按角色、分权限、分资源（设备和用户）的多层权限操纵；同时通过设置下级网络管理权限，可以通过限制登录下级网络管理系统的操作员和密码，保证访问下级网络管理系统的安全性。

►操作日志管理

对于操作员的所有操作，包括登录、注销的时间、登录IP地址以及登录期间进行的任何可能修改系统数据的操作，都会记录详细的日志。提供丰富的查询条件，管理员可以审计任何操作员的历史操作记录，界定网络操作错误的责任范围。

►操作员在线监控和管理系统管理员通过"在线操作员'可以实时监控当前在线联机登录的操作员信息，包括登录的主机IP地址、登录时间等，同时，系统管理员可以将在线操作员强制注销、禁用/取消禁用当前IP地址等操纵操作。

3.2.3.3资源管理iMC资源管理与拓扑管理作为整体共同为用户提供网络资源的管理。通过资源管理可以：

►网络自动发现可以通过设置种子的简易方式、路由方式、ARP方式、IPSecVPN、网段方式等五种自动发现方式自学习网络资源及网络拓扑，自动识别包括：路由器、交换机、安全网关、存储设备、监控设备、无线设备、语音设备、打印机、UPS、服务器、PC在内的多种类型网络设备；

多种自动发现方式

自动识别多种设备类型►网络手工管理可以手工添加、删除网络设备，可以批量导入、导出网络设备，批量配置Telnet、SNMP参数，以及批量校验Telnet参数等辅助功能；►网络视图管理支持IP视图、设备视图、自定义视图、下级网络管理视图等多种管理视图，用户可以从不同角度实现整个网络的管理；►网络设备的管理从任何一种网络视图入口，都可以实现对网络设备的管理，包括：支持对设备的管理/去管理、接口的管理/去管理、设备的详细信息显示和接口详细信息显示、设备和接口实时告警状态、设备和接口的实时性能状态、实时检测存在故障的设备等，用户可以便利的实现所有设备的管理；►设备及业务管理系统的集成管理支持对、Cisco、3Com等主要厂家设备的管理，支持手工添加设备厂商、设备系列及设备型号；支持设备面板管理的动态注册机制，实现与各厂家设备管理系统的有效集成；支持拓扑定位、ACL、VLAN、QoS等业务管理系统的集成，实现设备资源的统一管理；►设备分组权限管理支持设备分组功能，通过对设备资源进行分组管理，系统管理员便利的分派其他管理员的管理权限，便于职责分开；

3.2.3.4拓扑管理iMC拓扑管理从网络拓扑的解决直观的提供应用户对整个网络及网络设备资源的管理。拓扑管理包括：

►拓扑自动发现

iMC可以自动发现网络拓扑结构，支持全网设备的统一拓扑视图，通过视图导航树提供视图间的快速导航。通过自动发现可以发现网络中的所有设备及网络结构（具体参见资源管理），并且可以将非SNMP设备发现出来，只要设备可以ping通即可。这样就可以将所有网络设备都列入其管理范围（只要设备IP可达）。同时支持自动的拓扑图浮现和自定义拓扑。自动拓扑可以自动将网络中的规律连接关系显示出来，同时可以保存为自定义拓扑图并可根据具体状况进行修改以便于网管员对整个网络设备的监控。

支持对全网设备和连接定时轮询和状态刷新，实时了解整个网络的运行状况，并且刷新周期是可定制（刷新周期：60～7200秒），同时也支持对多个设备的刷新周期进行批量配置的功能。

►支持自定义拓扑传统的网络管理软件大多支持自动发现网络拓扑的功能，但是自动发现后的网络拓扑往往是好多设备图标的简单排放，不能突出重点设备和网络层次，使网络管理人员感觉无从下手。

针对这种状况，iMC的拓扑功能支持灵活的自定义功能，管理人员可以根据网络的实际组网状况和设备重要性的不同灵活定制网络拓扑，可对拓扑图进行增、删、改等编辑操作，使网络拓扑能够清楚地浮现整个企业的网络结构以及IT资源分布。

iMC支持灵活定制拓扑图，使网络拓扑更有重点和层次感。管理员可以依照关注设备不同，管理角度不同定义多种拓扑，并可以针对拓扑不同选择不同的背景图；管理员可以根据网络设备的重要性不同，链路速率不同采用适合的图标显示。

►自动识别各种网络设备和主机的类型

iMC可以自动识别、华为、Cisco、3com等厂商的设备、Windows、Solaris的PC和工作站、其他SNMP设备和ping设备，并且以树形方式组织，以不同的图标显示区分。在拓扑图上更可进一步对设备的类型进行区分，如区分路由器、交换机、安全网关、存储设备、监控设备、无线设备、语音设备、打印机、UPS、服务器、PC等等。

►

设备状态、连接状态、告警状态等信息在拓扑图上的直观显示

iMC的拓扑功能与故障管理和性能管理紧凑融合，使拓扑图能够清楚地看到企业IT资源的状态，包括运行是否正常、网络带宽、接口连通、配置变化都能一目了然。多种颜色区分不同级别故障，根据节点图标颜色反映设备状态。

实时设备状态实时链路状态实时告警和性能监控状态状态►拓扑能提供设备管理便捷入口

iMC拓扑能够提供对设备管理的便捷入口，管理员只需通过右键点击拓扑图中的设备图标即可启动设备管理各项功能，实现对设备的面板管理等各项功能配置。

3.2.3.5故障（告警/事件）管理故障管理，即告警/事件管理，是iMC的核心模块，是iMC智能管理平台及其他业务组件统一的告警中心。如下图所示，以故障管理流程为引导，介绍iMC强大的故障管理能力：

S网络资源、存储资源、计算资源、业务系统告警上报定时轮询网管与告警中心实时告警分类、声光告警板，按故障类别及等级实时告警系统快照，实时报告网络、下级网络及设备的状态通过拓扑实现报告网络及设备状态实时告警浏览和确认实时远程告警：手机短信及EMail告警解决故障固化经验实时告警关联分析与统计实现网络管理透明化SS网络资源、存储资源、计算资源、业务系统告警上报定时轮询网管与告警中心实时告警分类、声光告警板，按故障类别及等级实时告警系统快照，实时报告网络、下级网络及设备的状态通过拓扑实现报告网络及设备状态实时告警浏览和确认实时远程告警：手机短信及EMail告警分类、声光告警板，按故障类别及等级实时告警系统快照，实时报告网络、下级网络及设备的状态通过拓扑实现报告网络及设备状态实时告警浏览和确认实时远程告警：手机短信及EMail告警解决故障固化经验实时告警关联分析与统计实现网络管理透明化►告警发现和上报iMC告警中心可以按收各种告警源的告警事件，包括设备告警、本级网管站及下级网管站告警、网络性能监视告警、网络配置监视告警、网络流量异常监视告警、终端安全异常告警等；同时通过支持对设备定时轮询，实现通断告警、响应时间告警等，以告警事件的方式上报给iMC告警中心；设备告警包括电源电压、设备温度、风扇等告警事件，设备冷启动、热启动、接口linkdown等重要告警事件，路由信息事件（OSPF，BGP）变化，热备份路由（HSRP）状态变化等告警事件，支持对、CISCO、华为、3COM等多厂商设备告警的识别和解析；网管站告警指包括本级iMC系统集群服务器的异常告警，包括CPU利用率、内存使用率、iMC服务程序运行状态等以及下级iMC系统上报的告警事件；网络性能监视包括CPU利用率，内存使用率，以及RMON告警的故障管理。

网络配置监视告警包括设备软件版本、配置信息变更等告警事件，并通过iMC智能配置中心组件（iMCiCC）实现配置文件定期检查，实现配置变更告警事件。

网络流量异常监视告警通过iMC网络流量分析组件（iMCNTA）实现网络

中异常流量告警，包括对设备及接口异常流量、主机IP地址异常流量和应用异常流量的告警，支持二级阈值告警定义；终端安全异常告警通过iMC端点准入防卫组件（iMCEAD）实现对终端用户安全异常的告警，包括ARP攻击告警、终端异常流量告警及其他终端担心全告警；iMC定期轮询告警指通过iMC的资源管理模块对设备接口信息定时进行轮循，并及时上报通断告警、响应时间告警等告警事件。

►