通過等保2.0分析系統脆弱性：安全區域邊界篇 & 安全計算環境篇
編輯：2022-02-25 16:08:18
安全區域邊界在(exist)近幾年變得越來(Come)越精細越來(Come)越模糊，因爲(for)攻擊的(of)形式、病毒傳播的(of)途徑層出(out)不(No)窮，我(I)以(by)攻擊者的(of)角度去看，任何一(one)個(indivual)漏洞都可以(by)成爲(for)勒索病毒傳播和(and)利用(use)的(of)方式，我(I)們(them)要(want)做到(arrive)全面補丁壓力重重，通過邊界劃分，依靠不(No)同的(of)邊界安全防護，在(exist)發生(born)問題的(of)情況下将損失降到(arrive)最低。
1、邊界防護
自從出(out)現了(Got it)統方的(of)情況後，醫院對于(At)終端準入的(of)關注度日益增加，出(out)現了(Got it)非法接入醫院内網，獲取處方數據的(of)情況，在(exist)我(I)看過大(big)部分醫院準入系統後，在(exist)數據盜取者面前這(this)個(indivual)準入做了(Got it)和(and)沒有做一(one)樣，這(this)真的(of)是(yes)一(one)個(indivual)防君子不(No)防小人(people)的(of)系統，而那些統方者肯定已經超出(out)了(Got it)君子的(of)範疇；通過傳統的(of) IP/MAC 綁定很容易被繞過，缺乏對終端上特征的(of)判斷，而我(I)目前更推薦是(yes)桌管 + 準入相結合，但這(this)也不(No)能完全避免非法接入的(of)情況，并且醫院設備種類衆多，如設備儀器、攝像頭、門禁等，我(I)曾經寫過一(one)篇醫院零信任網絡安全架構的(of)文章，想象着能通過操作(do)系統、網絡、安全結合大(big)數據分析、 SDN 的(of)方式去嚴格控制醫院的(of)準入，可能想象是(yes)美好的(of)，但是(yes)國内的(of)産品還不(No)能完全滿足這(this)個(indivual)要(want)求，因爲(for)結合了(Got it)多個(indivual)廠家的(of)領先技術。
我(I)們(them)理解準入的(of)時(hour)候其實很多時(hour)候已經走入一(one)個(indivual)死胡同，我(I)們(them)缺乏了(Got it)對移動設備接口、電腦接口、物聯網通信、 5G/4G 通信都有可能成爲(for)準入的(of)缺口，通過這(this)些技術可以(by)将外部網絡中轉後接入到(arrive)内網，這(this)些其實在(exist)我(I)們(them)的(of)環境中已有很多案例。考慮大(big)型設備的(of)質控問題，進口品牌廠商就會在(exist)設備上安裝移動網絡 SIM 卡設備，除了(Got it)大(big)型設備，還有進口品牌的(of)存儲上我(I)也發現了(Got it)這(this)個(indivual)情況，所以(by)我(I)們(them)要(want)管的(of)不(No)僅僅是(yes)能看到(arrive)的(of)這(this)張“有形網”，更是(yes)這(this)張不(No)太能看到(arrive)的(of)“無形網”。
傳統的(of)網絡安全都設置了(Got it)三個(indivual)區域， T rust 、 U nTrust 和(and) DMZ ， 而在(exist)當今的(of)網絡安全中，任何事物其實都不(No)可能完全信任，我(I)們(them)不(No)僅要(want)防外敵，同時(hour)也要(want)防内鬼，一(one)台中勒索病毒的(of)内網終端可能比來(Come)自互聯網的(of) DD oS 攻擊更加可怕，這(this)樣看來(Come)要(want)針對每一(one)台終端都要(want)有相應防火牆的(of)進出(out)保護，而且該防護牆也不(No)限于(At)傳統意義的(of)包過濾訪問控制，還要(want)有 IPS 、 WAF 、 防毒、行爲(for)管理等庫，同時(hour)要(want)配合外部的(of)安全大(big)腦，聯動其他(he)安全産品共同防禦，想到(arrive)這(this)裏我(I)又想到(arrive)了(Got it)新冠病毒，可能不(No)亞于(At)防護生(born)物病毒的(of)複雜度。
醫院有很多移動醫療業務場景，醫生(born) PAD 查房，護理 PDA 掃碼發藥、庫房 PDA 掃碼入庫等情況，有線的(of)準入限制就如此薄弱，無線的(of)準入限制就更加脆弱，曾經我(I)就聽說有醫院出(out)現非法授權人(people)員通過無線網絡進行統方的(of)行爲(for)，這(this)聽起來(Come)已經是(yes)一(one)件沒什麽技術含量的(of)操作(do)， PC 端的(of)桌面管理很多時(hour)候在(exist)移動終端上都沒有考慮，其實 MDM 移動終端管理這(this)項技術已經很早就有。
近幾年出(out)現的(of)“零信任”模型，無非就是(yes)在(exist)傳統網絡準入上更近一(one)步，結合傳輸層、應用(use)層的(of)判斷，對準入控制更加細化，原先一(one)個(indivual)終端對于(At)網絡接入隻有“是(yes)”或者“否”，而零信任的(of)環境下就算終端接入網絡，終端上的(of)程序是(yes)否能運行還要(want)經過判斷，程序走的(of)網絡流量要(want)經過層層過濾和(and)安全防護，就和(and)疫情防控一(one)般，從外地(land)過來(Come)的(of)，首先判斷是(yes)不(No)是(yes)中高風險地(land)區，如果是(yes)中高風險直接勸返或者隔離（準入控制），如果是(yes)低風險地(land)區，依然隔離多日通過多次核酸确認後才能入境（沙箱），境内我(I)們(them)限制了(Got it)部分場所的(of)使用(use)，如限制了(Got it)電影院、 KTV 、 棋牌室等風險場所，限制了(Got it)入境人(people)員可能去的(of)風險區域（桌面管理），通過各場所的(of)健康碼掃碼記錄形成（日志審計），時(hour)刻要(want)佩戴口罩進入公共場所（防火牆），最後該人(people)員依然出(out)現了(Got it)疫情症狀，傳播的(of)範圍也可以(by)控制到(arrive)最小，并且通過掃碼行程和(and)其他(he)運營商信号關聯出(out)其時(hour)空伴随者（态勢感知），并一(one)同隔離（殺毒軟件）。
2 、 訪問控制
在(exist)我(I)原來(Come)工作(do)的(of)行業中，這(this)塊的(of)内容其實是(yes)一(one)項基本要(want)求，每天有大(big)量的(of)工作(do)是(yes)對防火牆上添加訪問控制策略，要(want)對工單表格中的(of)内容進行合并同列項、歸類，還要(want)在(exist)訪問沿途的(of)防火牆上開通對應的(of)策略，工作(do)繁雜，對技術的(of)要(want)求其實不(No)高，可能會遇到(arrive)一(one)些小問題，也就是(yes)長鏈接、 FTP 這(this)些開放時(hour)要(want)注意的(of)問題。但是(yes)到(arrive)了(Got it)醫療行業，我(I)咨詢了(Got it)好幾家醫院，基本都沒有做訪問控制的(of)，我(I)分析了(Got it)一(one)下有幾個(indivual)原因：
①考慮性能問題，其實這(this)已經不(No)是(yes)問題，雲數據中心、 IDC 等出(out)口都有包過濾防火牆設備，并且内部還有租戶單獨的(of)防火牆設備，原單位的(of)迪普防火牆号稱并發可以(by)達到(arrive) 8000 萬，當我(I)用(use)容器環境做并發鏈接測試的(of)時(hour)候打到(arrive)過 500 萬，防火牆的(of) CPU 、 内存沒有一(one)絲波動，而基本上沒有醫院的(of)數據中心鏈接并發能達到(arrive) 500 萬的(of)，而當時(hour) J uniper 的(of) ISG 設備最高隻能達到(arrive) 2 萬的(of)連接數，幾千的(of)并發，所以(by)設備合不(No)合适要(want)看設備的(of)性能指标和(and)新老，而這(this)些都和(and)投入的(of)成本有關，這(this)些都要(want)嚴格要(want)求集成商，不(No)能配置低配的(of)設備，造成後續業務升級過程中不(No)必要(want)的(of)麻煩；
②缺乏規劃性，因爲(for) IP 地(land)址的(of)規劃和(and)終端 IP 功能的(of)規劃，可能在(exist)開通防火牆的(of)時(hour)候就要(want)開通一(one)個(indivual)大(big)段，這(this)樣的(of)做法不(No)太符合最小化原則，這(this)時(hour)候其實先要(want)考慮前期 I P 的(of)規劃，不(No)同的(of) IP 網段有不(No)同的(of)功能，然後在(exist)開通防火牆的(of)時(hour)候可以(by)盡可能的(of)按照最小化原則，而不(No)至于(At)有太大(big)的(of)工作(do)量；
③服務資産不(No)清，不(No)清楚數據中心服務開放端口的(of)資産情況，大(big)部分服務器端的(of)軟件都由軟件廠家管理，并且開放端口醫院信息科的(of)人(people)不(No)清楚，連乙方部署的(of)人(people)都不(No)一(one)定清楚，很難在(exist)這(this)樣一(one)個(indivual)基礎下建立起防火牆開放的(of)流程；
④高可用(use)性的(of)擔心，在(exist)傳統的(of)防火牆設計中，一(one)般就考慮将防火牆串聯到(arrive)網絡當中，實際在(exist)部署的(of)時(hour)候有很多種方式，當時(hour)對于(At)醫院這(this)樣的(of)環境，我(I)們(them)盡可能考慮最小影響，我(I)推薦透明串聯 + 旁路 bypass 功能、策略路由旁挂 +SLA 檢測、 vxlan 安全服務鏈引流，其中都要(want)确保單台防火牆滿足網絡中最大(big)流量，并且能夠在(exist)出(out)現故障時(hour)實現主主切換、主備切換、故障旁路，将業務的(of)影響降到(arrive)最低，并且盡量确保那些長鏈接會話不(No)受影響。
在(exist)醫院防火牆部署的(of)位置上，我(I)們(them)要(want)考慮信任和(and)非信任兩個(indivual)方面，首先相對于(At)内部網絡，對互聯網和(and)專網我(I)們(them)應該列入非信任（專網包括醫保、衛生(born)專網等一(one)切非醫院自己内部的(of)網絡），相對于(At)醫院内網，醫院的(of)外網也是(yes)非信任區，相對于(At)數據中心網絡，醫院的(of)門診、住院等辦公網段也是(yes)非信任區，在(exist)這(this)幾處我(I)們(them)都應該确保有防火牆防護，對應策略默認拒絕，按需開通服務。可能大(big)家覺得部署這(this)麽多防火牆并沒有感受到(arrive)很大(big)的(of)用(use)處，大(big)家在(exist)想想勒索病毒通過什麽方式傳播，見的(of)最多的(of)是(yes) SMB 服務，其實隻要(want)是(yes)漏洞在(exist)我(I)看來(Come)都有可能被勒索病毒利用(use)，如果在(exist)全網終端沒有打上補丁的(of)情況下，我(I)們(them)除非有自動化工具能夠批量對終端進行防火牆下發，那在(exist)便捷性和(and)實用(use)性折中的(of)情況下，我(I)們(them)還是(yes)會考慮使用(use)網絡防火牆對勒索病毒傳播端口進行封堵，如果單位本來(Come)就建立了(Got it)良好的(of)按需開通訪問機制，在(exist)這(this)個(indivual)時(hour)候也就不(No)會有很多擔憂。
3 、 入侵防範
a）應在(exist)關鍵網絡節點處檢測、防止或限制從外部發起的(of)網絡攻擊行爲(for)；
b）應在(exist)關鍵網絡節點處檢測防止或限制從内部發起的(of)網絡攻擊行爲(for)；
c）應采取技術措施對網絡行爲(for)進行分析，實現對網絡攻擊特别是(yes)新型網絡攻擊行爲(for)的(of)分析；
d）當檢測到(arrive)攻擊行爲(for)時(hour)。記錄攻擊源IP、攻擊類型、攻擊目标、攻擊時(hour)間，在(exist)發生(born)嚴重入侵事件時(hour)應提供報警。
這(this)裏提到(arrive)了(Got it)外到(arrive)内的(of)網絡攻擊和(and)内到(arrive)外的(of)網絡攻擊，外到(arrive)内的(of)防護毋庸置疑，而内到(arrive)外的(of)防護其實也是(yes)我(I)們(them)要(want)考慮的(of)，在(exist)網絡安全法頒布起，攻擊我(I)國境内的(of)網絡資産都會受到(arrive)法律的(of)制裁，爲(for)了(Got it)保護自己單位不(No)受影響，那對内到(arrive)外攻擊的(of)防護自然而然要(want)被納入管理的(of)範圍，像 C&C 攻擊、 DD o S 攻擊的(of)肉雞，像對勒索病毒外聯的(of)防護都是(yes)我(I)們(them)要(want)考慮的(of)，在(exist)保護他(he)人(people)的(of)同時(hour)保護了(Got it)自己。
對新型網絡攻擊行爲(for)的(of)分析，其實早在(exist) 2014 年我(I)就了(Got it)解到(arrive)了(Got it)當時(hour)的(of) APT 産品（ 高級可持續威脅攻擊 ），深思現在(exist)的(of)網絡架構，如果要(want)發現新型的(of)攻擊行爲(for)，那我(I)們(them)就要(want)排除掉一(one)切以(by)攻擊庫、病毒庫爲(for)基礎的(of)設備，包括傳統的(of)防火牆、殺毒軟件等，在(exist)此基礎上，要(want)聯動下一(one)代牆、态勢感知、 EDR 等新型安全産品，甚至還要(want)聯動産品公司外部的(of)實時(hour)信息，關聯全球的(of)安全情報，通過這(this)樣的(of)要(want)求，我(I)對這(this)套體系的(of)考慮是(yes)盡可能通過同一(one)家公司的(of)産品實現，可以(by)想象一(one)個(indivual)中國人(people)對一(one)個(indivual)不(No)會說中國話的(of)外國人(people)說漢語的(of)時(hour)候是(yes)什麽樣的(of)結果，就算雙方都是(yes)中國人(people)，不(No)同的(of)方言理解起來(Come)其實也有困難（就好像不(No)同的(of)産品線在(exist)傳輸日志和(and)分析日志的(of)時(hour)候都有不(No)同的(of)方法），所以(by)對新型網絡攻擊行爲(for)的(of)分析，其實任重而道遠。
對于(At)安全日志的(of)收集、記錄、分析、告警對整個(indivual)安全運營中心平台也有很大(big)的(of)壓力，打個(indivual)比方，在(exist)同一(one)原地(land)址對醫院多個(indivual)互聯網地(land)址進行攻擊時(hour)，原始的(of)日志可能是(yes)成千上萬條的(of)，如果這(this)成千上萬條的(of)日志不(No)經過分析，直接告警，可能告警的(of)短信平台、微信平台都會搞垮，安全日志分析彙聚的(of)工作(do)就尤爲(for)重要(want)，不(No)僅要(want)對同一(one)攻擊源的(of)不(No)同攻擊進行彙總，還要(want)對不(No)同攻擊源的(of)同種攻擊進行彙總，甚至還要(want)關聯前後攻擊的(of)線索進行溯源。
說到(arrive)審計看似很簡單，隻要(want)把日志傳遞到(arrive)日志審計服務器記錄，可以(by)通過各式各樣的(of)參數查詢即可，但是(yes)日志記錄全不(No)全、有沒有遺漏，我(I)之前就碰到(arrive)過好幾次溯源到(arrive)一(one)半失敗的(of)情況，一(one)次是(yes)訪問過程中有 NAT 設備，這(this)個(indivual)時(hour)間點 NAT 的(of)日志沒有，沒辦法把前後的(of)日志關聯起來(Come)，一(one)次是(yes)設備上的(of)攻擊源地(land)址是(yes)白名單地(land)址，而白名單地(land)址攻擊不(No)記錄在(exist)日志中，還有很多次因爲(for)終端上的(of)日志沒有開啓，導緻最後一(one)步溯源失敗。
如果要(want)将所有資産的(of)日志進行審計記錄，并且記錄到(arrive)位，還要(want)做備份，其實這(this)個(indivual)量遠遠已經超過了(Got it) HIS 數據庫的(of)增長量，而且網絡安全法的(of)要(want)求是(yes)日志記錄 180 天，我(I)看了(Got it)下我(I)們(them)光數據庫審計的(of)日志每天就有 20 多 GB ，180 天将近 4TB 的(of)容量，我(I)們(them)還有網絡設備日志、安全日志、操作(do)系統日志、存儲日志、應用(use)日志等等，加起來(Come)每天的(of)量可能就達到(arrive)上百 GB ， 如此大(big)量的(of)細小碎片化數據，要(want)做到(arrive)日志查詢不(No)僅僅是(yes)一(one)台日志審計服務器能做到(arrive)，我(I)在(exist)購買數據庫審計的(of)時(hour)候就測試了(Got it)多家廠家的(of)産品，不(No)是(yes)日志遺漏保存，就是(yes)日志查詢速度慢，或者是(yes)日志查詢功能不(No)全，如果是(yes)有能力的(of)醫院，其實建議還是(yes)單獨自建開源的(of)日志平台，對日志流量進行清洗、彙總，通過相匹配的(of) NoSQL 數據庫記錄，簡單方便的(of)可以(by)考慮下 Elastic Search ，在(exist)查詢速度快的(of)情況下，可視化也做的(of)較好。
個(indivual)人(people)認爲(for)計算環境下的(of)安全問題其實是(yes)最嚴重的(of)，大(big)部分中高危漏洞都從計算環境下發現，被利用(use)最多的(of)也是(yes)，而且計算環境的(of)網絡資産量也是(yes)最多的(of)，各種虛拟化、容器化、 S erverless 等技術将計算資源分成更小的(of)細塊，提高了(Got it)安全管理員的(of)能力要(want)求，更是(yes)提高了(Got it)像 CWPP 、 EDR 等安全軟件的(of)防護要(want)求，在(exist) “安全計算環境中”有些前面提到(arrive)的(of)内容就不(No)再贅述。
在(exist)醫院中除了(Got it)數據中心的(of)服務器資源，還有醫護人(people)員、行政人(people)員使用(use)的(of)電腦都需要(want)納入安全計算環境的(of)管轄範圍。大(big)家可以(by)看看自己用(use)的(of)電腦是(yes)否設置了(Got it)密碼，并且密碼的(of)要(want)求是(yes)否符合強口令（長度大(big)于(At) 8 位，包含大(big)小寫字母、數字、符号，并且不(No)包含鍵盤上連續字符或者英文單詞），并且 3 個(indivual)月更換一(one)次密碼。在(exist) AAA 認證體系（ AAA 是(yes)認證（ Authentication ）、授權（ Authorization ）和(and)計費（ Accounting ） ）中，第一(one)關就是(yes)認證，在(exist)認證的(of)過程中可能會出(out)現如無認證、弱口令、認證可以(by)被繞過、明文密碼傳輸等等問題，
不(No)僅僅是(yes)在(exist)醫療行業，基本所有行業的(of)内網環境都包含了(Got it)上述問題，在(exist)護網行動中，打入了(Got it)内網環境後，大(big)量使用(use)重複的(of)弱口令，成爲(for)被攻陷的(of)重要(want)問題之一(one)，有很多護網的(of)案例是(yes)拿下了(Got it)堡壘機的(of)弱口令，而堡壘機上直接記錄了(Got it)各類服務器的(of)高權限賬号密碼，通過一(one)點突破全網。我(I)們(them)大(big)家可以(by)看看自己的(of)環境下， PC 和(and)服務器端是(yes)否存在(exist)無認證、弱口令的(of)情況，除了(Got it) RDP 、 SSH 等常見管理服務，還有 Radmin 、 VNC 、 SMB 、 FTP 、 TELNET 、 Oracle 、 MySQL 、 SqlServer ， 根據我(I)一(one)直以(by)來(Come)的(of)工作(do)經驗，很多開源軟件的(of)早期版本對于(At) API 接口就根本沒有認證機制，所以(by)還有很多的(of)開源服務如 Redis 、 Docker 、 Elastic Search 等，有認證的(of)情況下是(yes)否使用(use)了(Got it)開源軟件的(of)默認賬戶口令，這(this)個(indivual)也需要(want)我(I)們(them)及時(hour)修改，黑客可以(by)通過一(one)點突破，層層收集信息，最終突破核心防線。
AAA 體系中的(of)第二步授權，其實是(yes)可以(by)緩解第一(one)步問題的(of)一(one)個(indivual)手段，理論上要(want)求我(I)們(them)的(of) PC 端、服務器端不(No)同的(of)軟件需要(want)通過不(No)同的(of)用(use)戶安裝、使用(use)，并且不(No)同的(of)用(use)戶隻能給予最小安裝、使用(use)軟件的(of)權限，而我(I)們(them)可以(by)檢查下自己的(of)環境，應該是(yes)有很多直接使用(use) administrator 、 root 等用(use)戶，并且這(this)些賬号存在(exist)着複用(use)的(of)情況，在(exist)使用(use)過程中很難分清楚現實生(born)活中的(of)哪個(indivual)自然人(people)使用(use)了(Got it)這(this)個(indivual)賬戶進行了(Got it)相關操作(do)，如果出(out)現了(Got it)問題給後續溯源提升了(Got it)難度，我(I)們(them)這(this)時(hour)就需要(want)通過 IP 、 上層的(of)堡壘機日志等進行關聯溯源。
限制登錄失敗次數是(yes)防止暴力破解的(of)手段之一(one)，暴力破解會通過一(one)個(indivual)密碼本對需要(want)爆破的(of)服務密碼進行不(No)斷的(of)嘗試，直到(arrive)試到(arrive)正确的(of)那個(indivual)密碼或者密碼本試完爲(for)止，正常人(people)登錄一(one)般都會記得自己的(of)密碼，當然在(exist)定期更換複雜密碼的(of)要(want)求下，正常人(people)也會記不(No)住密碼，這(this)個(indivual)問題我(I)們(them)後面再說。在(exist)限制了(Got it)登錄失敗次數，比如我(I)們(them)設置了(Got it) 5 次，那通過某個(indivual) IP 登錄失敗 5 次後這(this)個(indivual) IP 就會被鎖定，當然可以(by)設置别的(of) IP 還可以(by)登錄這(this)個(indivual)服務。會話結束功能就類似于(At) W indows 自動鎖屏，作(do)爲(for)一(one)個(indivual)信息工作(do)者，在(exist)我(I)們(them)離開電腦時(hour)就應該考慮鎖屏的(of)操作(do)，并且重新登錄要(want)輸入賬号密碼，一(one)個(indivual)不(No)會超時(hour)的(of)會話雖然方便了(Got it)我(I)們(them)自己，同樣也給惡意者帶來(Come)了(Got it)方便，想想經過你辦公桌的(of)每個(indivual)人(people)都可以(by)在(exist)登錄着的(of) HIS 服務器或者核心交換機上敲一(one)個(indivual) reboot ，最後造成的(of)結果可想而知，雖然這(this)個(indivual)事故不(No)是(yes)你直接操作(do)的(of)，但也要(want)負主要(want)責任。
在(exist)醫院中常見的(of)遠程管理手段有 RDP 、 SSH 、 TELNET 、 FTP 、 Oracle 等，其中 TELNET 、 FTP 在(exist)流量劫持時(hour)可以(by)直接獲得賬戶口令信息，可以(by)通過 SSH 、 SFTP 等方法替換，确保在(exist)賬号密碼認證和(and)數據流傳輸過程中都是(yes)加密的(of)。其實 Oracle 的(of)流量也非加密，在(exist)我(I)咨詢了(Got it)我(I) OCM 的(of)朋友和(and)百度後，發現其實 Oracle 流量也可以(by)配置加密，但是(yes)我(I)們(them)很少會這(this)樣做，并且很少會有人(people)關心這(this)個(indivual)問題，還消耗客戶端和(and)服務端額外的(of)性能。這(this)時(hour)候我(I)們(them)就要(want)想到(arrive)什麽時(hour)候我(I)們(them)的(of)流量會被截取走，常見的(of)就是(yes)内網 ARP 欺騙，一(one)台攻擊主機在(exist)客戶端請求網關 MAC 地(land)址的(of)時(hour)候，将自己的(of) MAC 地(land)址告訴客戶端，說自己這(this)個(indivual) MAC 地(land)址就是(yes)網關的(of) MAC ， 這(this)樣二層的(of)流量會先通過這(this)台攻擊主機轉發給真實的(of)網關，所有明文的(of)流量過了(Got it)這(this)台攻擊主機後就可以(by)被它輕松的(of)獲取敏感信息，我(I)的(of)防護方法是(yes)通過桌管軟件，将每個(indivual)網段主機的(of)網關 ARP 解析靜态的(of)寫到(arrive)客戶端上，确保 ARP 解析時(hour)默認都先通過本地(land)記錄解析，從而不(No)會被外部動态解析影響。另一(one)種情況會被獲取的(of)是(yes)網内的(of)流量設備，很多安全設備、 APM 監控設備、深度流量分析設備都需要(want)抓取核心網絡的(of)流量，當這(this)些流量被鏡像給設備後它們(them)會将它記錄下來(Come)，而正式或者測試設備出(out)現問題返廠時(hour)，我(I)們(them)就要(want)叮囑工程師要(want)清空本地(land)數據，以(by)免數據洩露，在(exist)我(I)的(of)工作(do)中就聽到(arrive)過通過安全設備洩露大(big)量公民信息的(of)案例。
前面我(I)們(them)說到(arrive)要(want)定期修改複雜密碼，但是(yes)經常修改會導緻管理員記憶困難，這(this)個(indivual)時(hour)候我(I)覺得雙因子認證也是(yes)幫助大(big)家不(No)用(use)記複雜密碼的(of)好方法。雙因素認證分爲(for)所知和(and)所有兩種，雙因素的(of)證據又分爲(for)秘密信息、個(indivual)人(people)物品、生(born)理特征三種類型，像口令、密碼就是(yes)信息，物理 key 就是(yes)個(indivual)人(people)物品，指紋、虹膜、面部就是(yes)生(born)理特征，我(I)們(them)隻要(want)結合兩種類型的(of)證據，那就符合要(want)求，可以(by)通過物理 KEY+ 動态密碼的(of)方式實現認證，此時(hour)就不(No)用(use)記住原始的(of)靜态密碼，大(big)家可以(by)想象一(one)下現在(exist)在(exist)登錄微信、支付寶、 QQ 等互聯網軟件的(of)時(hour)候基本很少使用(use)密碼，而智能手機也将密碼和(and)人(people)臉識别關聯，方便大(big)家認證操作(do)，同時(hour)又符合安全要(want)求。在(exist)醫院工作(do)的(of)過程中，我(I)發現很多業務系統的(of)賬号密碼不(No)是(yes)同一(one)套體系，系統在(exist)認證時(hour)也沒有做到(arrive)雙因子的(of)要(want)求，我(I)之前寫過一(one)篇論文，叫《基于(At) 4A 系統的(of)醫院零信任網絡安全模型》，也是(yes)我(I)希望能通過安全技術提升醫護行政人(people)員使用(use)系統時(hour)的(of)便利性、規範對醫院所有系統賬戶體系管理、加強醫院業務系統使用(use)時(hour)的(of)權限管理能力。
五級電子病曆評審中提到(arrive)了(Got it)系統備份、容災的(of)标準，對醫院信息系統的(of)穩定性、可靠性、可用(use)性有了(Got it)明确的(of)要(want)求，醫院信息系統的(of)宕機、數據丢失會造成無法挽回的(of)影響；2021 年《數據安全法》和(and)《個(indivual)人(people)信息保護法》出(out)台，我(I)國在(exist)信息化高速發展的(of)當下，更加重視了(Got it)網絡安全，證明了(Got it)網絡安全與信息化是(yes)一(one)體之兩翼、驅動之雙輪。
2 、數據保密性
信息安全 CIA 三要(want)素，保密性、完整性、可用(use)性，這(this)裏提到(arrive)了(Got it)數據的(of)保密性，其實不(No)管在(exist)哪個(indivual)行業，數據的(of)保密性都很難做，我(I)們(them)可以(by)看到(arrive)大(big)量的(of)公民數據在(exist)互聯網安全事件中洩露，我(I)國之前的(of)《網絡安全法》對數據安全沒有具體的(of)要(want)求，而 2021 年的(of)《數據安全法》和(and)《個(indivual)人(people)信息保護法》才對數據安全有了(Got it)明确的(of)要(want)求，并且這(this)兩部法律給企業帶來(Come)了(Got it)不(No)小改造的(of)壓力。
數據安全的(of)保密性要(want)求貫穿了(Got it)數據的(of)産生(born)、傳輸、處理、存儲、銷毀等過程，首先我(I)們(them)要(want)對數據進行保密，就要(want)知道哪些數據應該保密，此時(hour)要(want)做的(of)就是(yes)數據的(of)分類分級，在(exist)分級分類過程中涉及到(arrive)對敏感數據的(of)發現，敏感數據除了(Got it)結構化的(of)還有非結構化的(of)，除了(Got it)關系型的(of)還有非關系型的(of)，基本很難做到(arrive)全覆蓋，比如在(exist)護網期間就發現有很多日志、配置文件中帶着敏感的(of)賬号密碼等信息，而這(this)些信息的(of)配置可能是(yes)套裝化軟件不(No)能修改的(of)。在(exist)發現了(Got it)敏感數據後我(I)們(them)就要(want)對敏感數據進行加密、脫敏、去标識化操作(do)，在(exist)五級電子病曆的(of)要(want)求中也有一(one)條數據加密的(of)要(want)求，數據加密其實有兩種做法，一(one)種是(yes)在(exist)存儲層（通過存儲設備進行加密），另一(one)種在(exist)系統層（通過對操作(do)系統的(of)配置文件，或者對數據庫的(of)數據進行加密），第一(one)種方法的(of)難度較小，而第二種方法的(of)難度較大(big)，需要(want)考慮數據被加密的(of)方法和(and)被使用(use)過程中的(of)解密，對于(At)數據量小可以(by)考慮非對稱加密，而數據量大(big)的(of)隻能使用(use)對稱加密，這(this)也就是(yes) SSL 的(of)機制，通過非對稱加密秘鑰，然後通過秘鑰對稱加密數據流，在(exist)确保業務正常的(of)情況下，實現安全的(of)需求。針對脫敏、去标識化操作(do)可以(by)通過好幾處實現，可以(by)通過後端實現，也可以(by)通過前端實現，通過後端實現時(hour)當數據從應用(use)層往前端傳輸時(hour)就是(yes)去脫敏、去标識化的(of)數據，甚至是(yes)在(exist)數據庫中就是(yes)脫敏、去标識化的(of)，而在(exist)前端實現，我(I)們(them)可以(by)在(exist)客戶端本地(land)開啓代理，直接可以(by)獲得明文的(of)數據，從安全性來(Come)考慮肯定是(yes)後端實現更安全。
我(I)們(them)在(exist)做數據加密、脫敏、去标識化時(hour)要(want)考慮的(of)重要(want)一(one)點就是(yes)業務是(yes)否支持，有些數據雖然是(yes)敏感數據，但是(yes)以(by)密文呈現時(hour)是(yes)無法進行正常業務的(of)辦理和(and)交互的(of)，如果要(want)實現正常業務辦理和(and)交互，可能需要(want)改變流程、規範，并且付出(out)巨大(big)的(of)代價，在(exist)醫院以(by)業務爲(for)中心的(of)情況下，個(indivual)人(people)覺得短期内很難很難實現，我(I)個(indivual)人(people)在(exist)落地(land)一(one)個(indivual)數據安全的(of)産品時(hour)就提出(out)了(Got it)這(this)樣一(one)個(indivual)問題，該産品邏輯串聯在(exist)數據庫客戶端和(and)數據庫服務器之間實現數據庫字段的(of)加密、脫敏、去标識化操作(do)，而我(I)們(them)的(of) HIS 業務每天都有大(big)量的(of)問題要(want)處理，在(exist)處理過程中需要(want)通過這(this)些敏感的(of)數據進行确認、判斷、修改，不(No)可能專門安排一(one)個(indivual)人(people)每天在(exist)對字段做解密、加密的(of)操作(do)，還需要(want)配合專門的(of)流程來(Come)規範這(this)個(indivual)操作(do)，在(exist)一(one)個(indivual)業務系統沒有穩定、技術人(people)員缺乏的(of)情況下，這(this)樣的(of)功能很難落地(land)，就算落地(land)了(Got it)也隻是(yes)很小的(of)範圍，如何滿足二者需要(want)靠廣大(big)讀者來(Come)幫忙想想辦法了(Got it)。
3 、 數據備份恢複
我(I)問了(Got it)很多醫院，大(big)家可能都建立了(Got it)容災環境，但是(yes)很少有醫院做容災測試，對于(At)五級電子病曆的(of)要(want)求是(yes)每年至少一(one)次的(of)容災演練（還需要(want)結合業務場景），每季度至少一(one)次的(of)數據全量恢複測試，一(one)個(indivual)沒有測試過的(of)容災系統真的(of)很難讓人(people)相信在(exist)出(out)問題的(of)時(hour)候可以(by)撐得住真實業務，也許容災的(of)切換過程沒有問題，但是(yes)容災的(of)硬件資源、硬件配置、軟件調整等是(yes)否能讓用(use)戶在(exist)較短的(of)時(hour)間内進行邊便捷的(of)切換操，五級電子病曆對于(At)數據丢失的(of)要(want)求比較松， 2 小時(hour)以(by)内即可，但是(yes)醫院對于(At)數據丢失是(yes)難以(by)容忍的(of)，對于(At)信息化較長時(hour)間都無法正常使用(use)也是(yes)無法容忍的(of)，我(I)們(them)要(want)盡可能做到(arrive) RPO 、 RTO 最小化。
對于(At)備份，我(I)盡量做到(arrive) 321 原則， 3 份數據、 2 種不(No)同介質、 1 份存于(At)異地(land)，結合第一(one)點和(and)第二點，我(I)将數據存放于(At)起碼 2 種不(No)同物理設備上，存儲 3 份，再結合第三點将一(one)份數據存儲于(At)異地(land)，兩份數據存于(At)本地(land)。我(I)們(them)醫院有兩個(indivual)院區，兩院區直線公裏數其實小于(At) 40 ㎞ ， 而等保的(of)異地(land)要(want)求是(yes)直線大(big)于(At) 100 ㎞ ， 對于(At)沒有分院的(of)小夥伴們(them)，其實我(I)建議可以(by)将另一(one)份數據存到(arrive)異地(land)雲上，最起碼在(exist)本地(land)真的(of)數據沒辦法恢複時(hour)還有一(one)根救命稻草，雖然恢複的(of)時(hour)間可能會長一(one)點。我(I)會将兩院區的(of)數據做相互的(of)異地(land)備份，盡可能提高數據備份的(of)頻率，減少數據的(of)丢失，核心業務系統采用(use)實時(hour)備份或者容災的(of)方式，在(exist)使用(use)較高頻率備份的(of)情況下，我(I)們(them)對于(At)備份、容災的(of)硬件就有一(one)定的(of)要(want)求，較差的(of) HDD 盤是(yes)無法支撐起大(big)數據量、高并發的(of)備份任務，可能出(out)現任務排隊，那就會得不(No)償失；在(exist)備份上我(I)們(them)就出(out)現過一(one)個(indivual)問題，之前工程師在(exist)配置 RMAN 備份保留的(of)腳本操作(do)是(yes)先删除原來(Come)的(of)備份，在(exist)進行下一(one)次備份，如果前一(one)次備份删除了(Got it)，後一(one)次備份沒有成功，那就沒有了(Got it)全量數據，這(this)樣的(of)備份是(yes)沒有意義的(of)，大(big)家可以(by)檢查下自己的(of)環境是(yes)否存在(exist)這(this)樣的(of)問題。
在(exist)備份的(of)類型上，分爲(for)物理備份和(and)邏輯備份， 21 年我(I)就聽到(arrive)了(Got it)别的(of)醫院出(out)現了(Got it) Oracle 的(of)邏輯壞塊，出(out)現壞塊後數據庫無法正常啓動，而容災系統通過 Oracle Data Guard 實現， DG 屬于(At)物理塊同步，面對邏輯錯誤不(No)會校驗，而直接将這(this)個(indivual)邏輯錯誤同步給了(Got it)容災庫，導緻容災庫也無法正常拉起，并且當時(hour)也沒有配置長時(hour)間的(of)閃回空間，導緻最後花了(Got it)很大(big)的(of)代價才恢複了(Got it)一(one)部分丢失的(of)數據，并且業務中斷了(Got it)很久，可以(by)通過 OGG 解決這(this)個(indivual)問題，并且 OGG 可以(by)支持跨數據庫、操作(do)系統類型之間的(of)數據複制，但是(yes)配置難度比 DG 大(big)了(Got it)很多；另外的(of)辦法是(yes)通過 CDP 實現 IO 級别的(of)備份，當出(out)現邏輯錯誤數據庫無法正常使用(use)的(of)時(hour)候，通過 CDP 的(of) IO 回退到(arrive)正常的(of)時(hour)間點，當然中間丢失的(of)數據需要(want)人(people)工去彌補，這(this)樣通過數據庫外部的(of)方式解決數據備份的(of)問題。
4、個(indivual)人(people)信息保護
這(this)兩點在(exist)《個(indivual)人(people)信息保護法》中也有明确提到(arrive)，該法律中多次提到(arrive)了(Got it)收集個(indivual)人(people)信息要(want)有“詢問 - 确認”的(of)過程，并且在(exist)用(use)戶不(No)同意提供個(indivual)人(people)信息的(of)情況下，不(No)能拒絕對用(use)戶提供服務，隻收集必需的(of)個(indivual)人(people)信息，要(want)告知用(use)戶收集每種類型個(indivual)人(people)信息的(of)目的(of)，告知用(use)戶如何處理、傳遞、使用(use)個(indivual)人(people)信息。在(exist)疫情當下，全國的(of)醫院都緊鑼密鼓的(of)推廣互聯網醫院，意味着有一(one)個(indivual)面向患者的(of)醫院互聯網系統，患者可以(by)直接面向這(this)個(indivual)互聯網系統，那對系統的(of)提交信息、問詢交互有了(Got it)更直接的(of)了(Got it)解，我(I)們(them)在(exist)做互聯網系統的(of)時(hour)候要(want)結合《網絡安全法》、《數據安全法》和(and)《個(indivual)人(people)信息保護法》三駕馬車來(Come)嚴格要(want)求開發時(hour)的(of)安全需求，自從三部法律上台後有多少互聯網 APP 因不(No)符合要(want)求被責令整改、罰款、下架等，我(I)們(them)也該引以(by)爲(for)戒。
文章來(Come)源：天億網絡安全
咨詢熱線：0351-4073466
地(land)址：（北區）山西省太原市迎澤區新建南路文源巷24号文源公務中心5層
（南區）太原市小店區南中環街529 号清控創新基地(land)A座4層
