2019-5_医院虚拟化系统安全防护解决方案.doc

《2019-5_医院虚拟化系统安全防护解决方案.doc》由会员分享，可在线阅读，更多相关《2019-5_医院虚拟化系统安全防护解决方案.doc（22页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、未雨绸缪 防护先行医院虚拟化系统安全防护解决方案目录CONTENTS12345医院信息化建设背景虚拟化技术在医院的应用虚拟化技术简介虚拟化面临的风险虚拟化安全防护解决方案医院信息化建设背景 医院信息化建设医院信息化发展的三大主要驱动力不断增长的医疗服务需求信息医疗技术的发展国家医疗保健政策引导 医院信息化系统建设，从以管理流程信息化为出发点的HIS（医院信息系统），跨越到以围绕患者诊疗流程信息化的CIS（临床信息系统），再到连接院外区域性卫生医疗信息互通，医疗信息化建设实现了从个体到整体、从局部到广域的发展，内涵与功能得到强化，服务范围不断延伸。HIS医院信息管理系统支持医院的行政管理与事务处

2、理业务，辅助医院管理，辅助高层领导决策，提高医院的工作效率、效益。主要模块门诊系统物品和资产管理系统住院系统管理和决策系统计价收费信息系统财务核算管理系统药房管理信息系统CIS医院临床信息系统CIS以患者为中心，以医生临床诊疗行为为导向，借助多种软件应用系统整合患者临床诊疗数据，完成电子化汇总、集成、共享。主要模块电子病历系统住院医生、护士工作站住院系统门急诊医生工作站系统重症监护信息系统手术麻醉信息系统LIS检验实验室管理系统RIS放射科信息系统PACS影像存档与通讯系统医院除了HIS MIS LIS PACS等主要系统之外，还有大大小小60多种小的应用系统 医院信息系统架构医院门户平台外网

3、公众服务门户内网信息门户医院信息应用系统HISPACSLIS全院级病人主索引服务OA系统电子病历CIS医院业务协同应用医院管理辅助决策支持临床辅助决策支持区域卫生应用其他标医院信息资源中心准信息基础业务临床ODS对外服数据交换智能管规目录库信息库信息库文档库务信息仓库信息库理数据库库范医院信息整合平台体消息传输数据交换数据整合服务集成流程整合管理监控系医院信息基础设施平台软件平台：操作系统、数据库、中间件、开发工具、系统工具硬件平台：服务器、存储、备份、广播、监控、排队叫号网络通信平台：有线网、无线网、设备网、布线、通信机房能源平台：UPS(不间断电源）、精密空调、动环监控、门禁、防雷、消防信

4、息安全防护体系医院信息基础架构面临的挑战IT系统“烟囱式”建设 一台服务一个应用，cpu内存利用率不到30%，造成资源浪费专业运维人员有限业务系统上线周期长 导致IT服务响应缓慢，增 新业务系统部署周期太长，难以加人员受编制和预算限制适应快速变化的医院业务需求机房机柜空间有限能耗问题日渐突出 数据中心机房空间面积 IDC研究表明，数据中心的电力与维护受限，业务扩张困难成本逐年增加，占总体IT预算的2/3虚拟化技术在医院的应用 医院信息基础架构虚拟化降低投资成本虚拟化前提高服务器管理效率关键任务传统方式虚拟架构通过虚拟化确保系统高可用虚拟化后节省大约30%70%的费用部署一个 3 - 10 天新

5、的服务 硬件采购器 1 - 4 小时部署 1 - 3小时硬件维护维护窗口 数天/周的变更管理准备 4 - 6小时迁移 所有 维护移动服务 窗口内，器优化负 服务中断载 数天/数周的 变更管理准备 5 10分钟部署新服务器（采用模板和部署向导） 零宕机硬件升级（ 采 用VMotion ） 25分钟，无服务中断（采用VMotion ） 对所有的应用实现了高可用性，并且成本很低 不需要完全一致的重复硬件 比传统的集群有更高的成本优势，同时易于使用和操作虚拟化技术简介 什么是虚拟化技术 虚拟化，是指通过虚拟化技术将一台计算机虚拟为多台逻辑计算机。 在一台计算机上同时运行多个逻辑计算机，每个逻辑计算机可

6、运行不同的操作系统 应用程序都可以在相互独立的空间内运行而互不影响，从而显著提高计算机的工作效率 虚拟化使用软件的方法重新定义划分IT资源 可以实现IT资源的动态分配、灵活调度、跨域共享，提高IT资源利用率 使IT资源能够真正成为社会基础设施，服务于各行各业中灵活多变的应用需求。 虚拟化技术带来的优势 分区 在一台物理机上运行多种操作系统 充分利用服务器资源 隔离和安全 每个虚拟机都和其他的相互独立 操作系统、注册信息、应用程序和数据文件都完全的隔离 资源优化改变了游戏规则 不间断的优化 零宕机维护 快速重置 虚拟化关键技术CPU虚拟化 在硬件层面，虚拟化的难点就在于CPU，CPU通过执行指令

7、来完成计算，而CPU虚拟化就要实现把虚机内部的指令放到物理CPU中执行内存虚拟化 把物理机的真实内存地址统一管理并包装成多个虚拟的物理内存，分别供多个虚机使用，使每个虚机拥有独立的的内存空间，要求VMM要掌握地址的转换关系IO虚拟化 I/O虚拟化使得I/O设备可以应对虚拟化的使用场景，为不同的虚拟机提供驱动和通道网卡虚拟化 CPU、I/O的虚拟化目的是让不同的虚拟机共享服务器资源，而在使用上互相隔离。而网卡的虚拟化除了实现隔离，还要保证虚拟机的互通性。 虚拟化特性（vMotionvHA vDRS）业务需求 VMotion迁移虚拟机VMware ESX ServerVMware ESX Serv

8、erx86 Architecturex86 ArchitectureSAN、iSCSI或NASVMotion是什么?通过VMware VMotion可以实现虚拟机的动态迁移, 而服务不中断客户优势零宕机时间: 进行有计划的服务器维护和升级迁移工作负载，资源利用率最大化服务器的持续可用性, 完整的交易集成支持Fibre Channel和iSCSI SAN环境以及NASX资源池VMware HA是什么? VMware HA就是发生服务器故障是在其他的物理服务器上自动重启虚拟机客户优势 对所有的应用实现了高可用性，并且成本很低 不需要完全一致的重复硬件 比传统的集群有更高的成本优势，同时易于使用和操

9、作资源池DRS是什么? 跨资源池动态平衡计算资源 基于预先设定的规则智能分配资源对客户的优势 基于业务优先级分配IT资源 简化运行，大幅度提高系统管理员的生产率 动态添加硬件资源而避免在繁忙时段服务器的过载 动态硬件维护能力 主流虚拟化架构n ESXi HypervisorVMware ESXi是Vmware Vsphere的嵌入式hypervisor。它是一种具有高级资源管理功能高效、灵活的虚拟主机平台。n Xen HypervisorXen是一个开放源代码虚拟机监视器，由剑桥大学开发，提供了一组特征集，可实现x86、 PowerPC 和其他CPU架构的虚拟化，以及包括Windows、Lin

10、ux和其他各种客户操作系统。n Hyper-V Hypervisor微软的Hyper-V已经成为VMware 的一个重要的竞争对手。Hyper-V缺少VMware丰富的产品线所提供的众多高级特性，但是其与Windows紧密集成。n KVM Hypervisor从Linux 2.6.20开始内核中已经开始集成KVM。Linux 2.6.20之后的Linux发行版本的内核中都将KVM作为基本的hypervisor，所以KVM在易用性和稳定性上更好。虚拟化面临的风险 虚拟环境面临的威胁感染虚拟机的病毒和漏洞相继出现2012年7月，第一个可感染VMware的病毒Crisis出现。该病毒可以感染VMwa

11、re的映像磁盘文件，通过VMware工具将自身复制到虚拟机中，劫持和窃取虚拟机数据。名为“毒液（VENOM）”的QEMU漏洞使数以百万计的虚拟机处于网络攻击风险之中，该漏洞可以造成虚机逃逸。QEMU是一个指令级模拟器的自由软件实现，被广泛用于各大GNU/Linux发行版。传统物理主机威胁“完美平移”至虚拟化中虚拟化技术改变了传统的IT架构，主机粒度从物理服务器为单位向虚拟机单位转变 - 虚拟机继承物理主机应有的所有服务属性（计算、存储、对外服务） - 虚拟机单位相比与物理主机，其数量呈指数级增长 - 虚拟机“完美”保留物理主机上的所有安全威胁虚拟化技术的出现带来全新的主机安全问题虚拟化技术优化

12、了相同硬件资源下的生产力，同时引入更多新型的威胁- 采用传统的服务器主机安全方案已经无法解决这类新型威胁- 传统的服务器主机安全方案无法满足虚拟化环境对性能、对调度的严苛要求- 虚拟化安全技术的研究滞后于虚拟化生产力技术的发展和应用虚拟化安全风险裸奔的虚拟化层易受攻击黑客已经将触手伸到虚拟化层，而我们还在裸奔异构型虚拟化平台统一监管难虚拟化安全风险多个平台多套管理手段导致内部安全基准不统一“灰色地带”的东西向流量传统边界设备无法感知虚拟机之间的流量异常病毒木马破坏感染虚拟机传统杀毒软件导致性能黑洞虚拟机漏洞被黑客入侵利用基于实体补丁的漏洞修复时常引起业务中断沦陷虚拟机感染其它虚拟机大部分攻击蔓

13、延都来自虚拟机之间的互相攻击传统安全手段无法应对虚拟化新兴威胁虚拟化的安全风险90%跟虚拟主机有关外界对虚拟主机开放接口进行攻击- WEB攻击、SQL Injet、XSS等- DDos攻击- 暴力破解虚拟机对虚拟机进行攻击感染- 恶意扫描- 侧信道攻击- 病毒木马感染对外业务接口APPAPPWindow LinuxVMHypervisorServiceHOSTHost server虚拟机自身的安全风险- 病毒木马感染- 系统、应用漏洞- 安全配置缺陷虚拟机攻击虚拟化层，达到逃逸目的- 逃逸攻击（毒液）- 拒绝服务攻击- 指令漏洞攻击虚拟化安全防护解决方案 一体化的虚拟主机安全解决方案虚拟化安全

14、管理平台2APP 1APPAPP防病防火入侵防WindowWindo毒墙御Linux3检测w安全基防暴力 Webshell线破解Hypervisor主机流量虚拟化HOST统计加固Service一体化客户端Host server1 安全管理平台远程安装客户端至虚拟主机上，客户端拉取控制中心策略，并上载日志2 安全管理平台通过虚拟化平台导入平台内虚拟机资源进行统一安全管理和安全状态跟踪3 一体化客户端实现（主机防病毒、主机防火墙、主机入侵防御、webshell 检测、安全基线、防暴力破解、虚拟化加固、主机流量统计等功能；主机防病毒- 云环境下的僵、木、蠕、毒的防护- 系统关键位置保护- 系统未知威

15、胁的主动防御主机防火墙- 提供云主机间的访问控制- 基于IP、端口、协议、方向的流量识别- 实现主机的策略绑定，无视漂移主机入侵防御- web攻击、SQL注入等攻击抵御- 提供0-day漏洞快速防护- 系统及主流应用漏洞防护系统加固- 检查云主机安全配置风险并修复- 云主机安全基线评估- 云主机系统防暴力破解- 恶意虚拟化文件监控阻止Webshell检测- 主机的业务多引擎集成扫描- 主机的恶意webshell、后门等检测 基于AGENT的高级安全防护方案文件安全网络安全系统加固虚拟化防护不只是基础安全：传统方案强调文件、网络的被动防御，而360虚拟化安全解决方案强调防御+加固+云端大数据联动高级安防体系安全配置基线模型：内置安全检测模型，对系统安全状态全面打分评估平台级安全加固：不改变虚拟化层结构为前提，实现对虚拟化层的恶意行为阻止拦截海量安全大数据能力加持：全网安全协同无限扩展虚拟化安全产品的安全感知、响应能力消极片面的防御主动全面的防御基础安全防护主机配置加固平台安全加固安全大数据汇报完毕 感谢观看系统集成