對網(wǎng)絡(luò)安全等級保護(hù)中設(shè)備身份鑒別方面整改的探討

盧方建 陽江市婦幼保健院

一、項目背景

我院作為三級市婦幼保健院，在信息系統(tǒng)的發(fā)展上緊跟時代的步伐，醫(yī)療主要的系統(tǒng)包括HIS、LIS、PACS、EMR、信息集成平臺以及自助機(jī)、微信預(yù)約掛號等，為了更好地保證醫(yī)療業(yè)務(wù)的安全持續(xù)運(yùn)作，我院對核心系統(tǒng)和相關(guān)設(shè)備進(jìn)行網(wǎng)絡(luò)安全等級保護(hù)三級評審。通過對網(wǎng)絡(luò)設(shè)備和安全設(shè)備進(jìn)行整改，能有效提升信息系統(tǒng)的安全水平，接下來結(jié)合我院實際情況，對網(wǎng)絡(luò)設(shè)備和安全設(shè)備整改方案進(jìn)行探討。

二、對照與措施

網(wǎng)絡(luò)設(shè)備和安全設(shè)備要處理好身份鑒別方面的設(shè)置，這是有效防止網(wǎng)絡(luò)攻擊的重點(diǎn)，下面從四個評測項進(jìn)行對照和采取相應(yīng)措施：

1.應(yīng)對登錄的用戶進(jìn)行身份標(biāo)識和鑒別，身份標(biāo)識具有唯一性，身份鑒別信息具有復(fù)雜度要求并定期更換；對照設(shè)置，發(fā)現(xiàn)問題如下：

（1）設(shè)備未對所有登錄模式啟用身份鑒別，缺乏Console認(rèn)證、缺乏VTY認(rèn)證和缺乏Web認(rèn)證。

（2）設(shè)備對登錄管理的用戶僅進(jìn)行密碼認(rèn)證。

（3）設(shè)備未能確保其相關(guān)標(biāo)識的唯一性，包括設(shè)備名標(biāo)識未具有唯一性和登錄用戶設(shè)置的身份標(biāo)識未具有唯一性。

（4）設(shè)備存在明文口令用戶。

（5）設(shè)備未配置合規(guī)的密碼長度策略，包括：未配置密碼復(fù)雜度、密碼復(fù)雜度要求不滿足、未配置密碼有效期和密碼有效期長度要求不滿足。

上述問題的存在，使惡意用戶能夠較為容易的訪問系統(tǒng)并實施惡意操作，對相關(guān)系統(tǒng)的正常運(yùn)行造成影響，存在系統(tǒng)被未授權(quán)訪問、操作的可能性。因此我們需要針對性進(jìn)行整改，整改方案如下：

（6）建議設(shè)備對各登錄模式均啟用身份鑒別。包括：Console、VTY、Web。

（7）設(shè)備對登錄管理的用戶進(jìn)行身份鑒別。至少采用：用戶名、用戶密碼。

（8）設(shè)備登錄不應(yīng)出現(xiàn)共用賬戶登錄。

（9）設(shè)備各用戶配置規(guī)范具備復(fù)雜度要求的密碼，并定期更換。

（10）設(shè)備配置合規(guī)的密碼策略。包括：設(shè)備更新系統(tǒng)版本、配置復(fù)雜度要求和配置密碼有效期要求。

2.應(yīng)具有登錄失敗處理功能，應(yīng)配置并啟用結(jié)束會話、限制非法登錄次數(shù)和當(dāng)?shù)卿涍B接超時自動退出等相關(guān)措施；對照設(shè)置，發(fā)現(xiàn)問題如下：

（1）設(shè)備未配置合規(guī)的登錄失敗處理策略。包括：設(shè)備版本較低無登錄失敗處理策略、未啟用登錄失敗策略、失敗次配置不合規(guī)和鎖定時間配置不合規(guī)。

（2）設(shè)備未配置合規(guī)的操作超時退出措施。包括Console配置不合規(guī)、VTY配置不合規(guī)和WEB配置不合規(guī)。

上述問題的存在，登錄驗證可能被惡意用戶猜測獲得，合法用戶身份被仿冒，導(dǎo)致系統(tǒng)被非授權(quán)訪問。因此我們需要針對性進(jìn)行整改，整改方案如下：

（3）設(shè)備配置合適的登錄失敗處理策略。配置參考以下措施：啟用登錄失敗策略、配置失敗5次和配置鎖定15分鐘。

（4）設(shè)備配置合適的操作超時退出策略。配置參考以下措施：Console配置超時15分鐘、VTY配置超時15分鐘和WEB配置超時15分鐘。

3.當(dāng)進(jìn)行遠(yuǎn)程管理時，應(yīng)采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽；對照設(shè)置，發(fā)現(xiàn)問題如下：

（1）設(shè)備配置不合規(guī)的遠(yuǎn)程管理模式：啟用TELNET、FTP和HTTP。

（2）未部署其他第三方設(shè)備統(tǒng)一管理。

（3）設(shè)備未禁用遠(yuǎn)程登錄管理。

上述問題的存在，帳號、口令等重要數(shù)據(jù)可能被嗅探并盜用，導(dǎo)致系統(tǒng)被非授權(quán)訪問。因此我們需要針對性進(jìn)行整改，整改方案如下：

（4）設(shè)備進(jìn)行遠(yuǎn)程管理（禁用TELNET、FTP、HTTP），采用SSH\HTTPS遠(yuǎn)程管理。

（5）部署其他第三方設(shè)備（如堡壘機(jī)、VPN）且采用不易被竊聽的管理方式統(tǒng)一管理。

（6）設(shè)備禁用所有遠(yuǎn)程登錄管理。

4.應(yīng)采用口令、密碼技術(shù)、生物技術(shù)等兩種或兩種以上組合的鑒別技術(shù)對用戶進(jìn)行身份鑒別，且其中一種鑒別技術(shù)至少應(yīng)使用密碼技術(shù)來實現(xiàn)。對照設(shè)置，發(fā)現(xiàn)問題如下：

（1）設(shè)備僅采用用戶+口令的方式進(jìn)行身份鑒別，未能提供其他雙因子鑒別技術(shù)。

（2）采用的身份鑒別技術(shù)中缺少使用密碼技術(shù)。

上述問題的存在，存在口令被惡意用戶猜測獲得，合法用戶身份被仿冒，一旦該鑒別信息被非授權(quán)人員獲取，可能對設(shè)備造成較大威脅，導(dǎo)致設(shè)備被非授權(quán)訪問的可能性。因此我們需要針對性進(jìn)行整改，整改方案如下：

（3）設(shè)備使用兩種組合的認(rèn)證方式，其中一種鑒別技術(shù)至少應(yīng)使用密碼技術(shù)來實現(xiàn)。如：用戶名密碼+密碼技術(shù)（采用智能令牌（動態(tài)口令或數(shù)字證書載體）、USBKEY或智能卡）。

（4）部署其他第三方設(shè)備統(tǒng)一管理實現(xiàn)包括密碼技術(shù)的兩種組合的認(rèn)證方式。

（5）采用的多種鑒別技術(shù)中，其中一種鑒別技術(shù)需使用密碼技術(shù)來實現(xiàn)。

三、結(jié)語

網(wǎng)絡(luò)設(shè)備和安全設(shè)備的整改必要性高，效果明顯，通過上述方法針對性進(jìn)行整改，就能明顯提升信息系統(tǒng)的安全水平，這對于醫(yī)院業(yè)務(wù)工作可持續(xù)進(jìn)行發(fā)揮了重要的作用。