醫(yī)院內(nèi)外網(wǎng)部署方案

iO醫(yī)院版內(nèi)外網(wǎng)隔離安全方案二O一二年五月TOC\o"1-5"\h\z\o"CurrentDocument"第1章、 醫(yī)院信息化發(fā)展與網(wǎng)絡安全現(xiàn)狀 3\o"CurrentDocument"醫(yī)院信息化概述 3\o"CurrentDocument"現(xiàn)有安全風險簡析 3\o"CurrentDocument"第2章、 內(nèi)外網(wǎng)部署技術發(fā)展 4\o"CurrentDocument"方案一：繼續(xù)物理隔離 5\o"CurrentDocument"方案二：采用網(wǎng)關設備 5\o"CurrentDocument"方案三：采用前置機加交換系統(tǒng) 6\o"CurrentDocument"方案四：采用接近物理隔離設備隔離兩網(wǎng) 6\o"CurrentDocument"第3章、內(nèi)外網(wǎng)部署建議 6\o"CurrentDocument"網(wǎng)閘方案 7\o"CurrentDocument"核心思路 7\o"CurrentDocument"隔離方案 8\o"CurrentDocument"第4章、方案詳述 9\o"CurrentDocument"產(chǎn)品內(nèi)部架構 9\o"CurrentDocument"網(wǎng)閘技術的優(yōu)勢 9\o"CurrentDocument"網(wǎng)閘產(chǎn)品特點 10\o"CurrentDocument"網(wǎng)閘功能 12\o"CurrentDocument"系統(tǒng)可靠性 12\o"CurrentDocument"系統(tǒng)可用性 12\o"CurrentDocument"安全功能 12\o"CurrentDocument"應用支持. 14XXX醫(yī)院內(nèi)外網(wǎng)隔離安全方案第1章、醫(yī)院信息化發(fā)展與網(wǎng)絡安全現(xiàn)狀醫(yī)院信息化概述目前在省立醫(yī)院網(wǎng)絡物理上為一張網(wǎng)，邏輯（比如通過VLAN等技術措施）上分為兩部分，外部服務部分通常為辦公，內(nèi)部服務部分通常為醫(yī)院業(yè)務系統(tǒng)。對外運行的業(yè)務情況：主要為OA系統(tǒng)，完成醫(yī)院的行政辦公、文件審批、郵件收發(fā)等業(yè)務流程。醫(yī)院網(wǎng)站系統(tǒng)，主要完成醫(yī)院的宣傳、論壇、網(wǎng)上掛號等業(yè)務。隨著業(yè)務的發(fā)展，在保證信息安全的前提下，網(wǎng)站上將提供更多的業(yè)務，比如：將體檢、影像等結果通過外網(wǎng)提供給病人。對內(nèi)運行的業(yè)務情況：HIS系統(tǒng)：該系統(tǒng)是醫(yī)院的核心業(yè)務系統(tǒng)，醫(yī)院信息系統(tǒng)對醫(yī)院及其所屬各部門對人流、物流、財流進行綜合管理，對在醫(yī)療活動各階段中產(chǎn)生的數(shù)據(jù)進行采集、存貯、處理、提取、傳輸、匯總、加工生成各種信息，從而為醫(yī)院的整體運行提供全面的、自動化的管理及各種服務的信息系統(tǒng)。醫(yī)院信息應該以病人醫(yī)療信息為核心，采集、整理、傳輸、匯總、分析與之相關的財務、管理、統(tǒng)計、決策等信息。其他業(yè)務系統(tǒng)：PACS影像、檢驗系統(tǒng)、CIS電子病歷、體檢等系統(tǒng)（本部分還需做詳細調(diào)研）現(xiàn)有安全風險簡析文件數(shù)據(jù)拷貝風險：目前采用u盤拷貝兩網(wǎng)的數(shù)據(jù)，拷貝的數(shù)據(jù)中可能存在惡意代碼（如：病毒、蠕蟲、木馬等），將外網(wǎng)的惡意代碼擴散到內(nèi)網(wǎng)的風險。由于有業(yè)務聯(lián)動的需求，如果在兩網(wǎng)間部署網(wǎng)關類安全設備（如：防火墻、第3頁共15頁XXX醫(yī)院內(nèi)外網(wǎng)隔離安全方案UTM等），這存在外部黑客通過網(wǎng)關穿透到內(nèi)部核心業(yè)務服務器的可能。通過實驗，目前的穿墻技術能穿過大部分國產(chǎn)防火墻。應用和系統(tǒng)漏洞風險：針對XXX醫(yī)院的兩網(wǎng)信息隔離交換需求，如果不是物理隔離方案，無論采用什么安全設備，都存在因為設備自身應用、操作系統(tǒng)、數(shù)據(jù)庫的漏洞風險。隨著漏洞挖掘技術及漏洞提交機制的完善，將會有更多的安全漏洞將會公布于眾，針對特定漏洞帶來的定向攻擊將會增加。隨著網(wǎng)絡攻擊技術的門檻不斷降低，網(wǎng)絡攻擊工具使用不斷簡便，這種針對特定漏洞的攻擊行為幾乎每時每刻都會發(fā)生，再加上軟件廠商更新不及時和經(jīng)濟利益的影響，所以針對這種漏洞的攻擊防不勝防。業(yè)務數(shù)據(jù)風險：一但醫(yī)院兩網(wǎng)通過網(wǎng)關設備（而不是采用接近物理隔離）連接起來，內(nèi)網(wǎng)數(shù)據(jù)的安全性得不到保障，很多安全事件發(fā)生于外部黑客發(fā)起攻擊，竊取單位內(nèi)部敏感數(shù)據(jù)。醫(yī)院內(nèi)部HIS系統(tǒng)的數(shù)據(jù)庫中存在醫(yī)囑數(shù)據(jù)、處方數(shù)據(jù)，一旦外泄對本醫(yī)院損傷很大。例如：一些黑客組織把病毒木馬等惡意軟件的制作商業(yè)化，通過讓特定需求者定購個性化的惡意軟件并自動發(fā)送，來獲得特殊利益，即MAAS（malwareasaservice，惡意軟件即服務）。進一步還可通過各種惡意軟件控制的僵尸網(wǎng)絡迅速大規(guī)模地對政府、企事業(yè)單位的基礎網(wǎng)絡設施進行攻擊。目前除了政府部分和金融服務業(yè)外，大多數(shù)行業(yè)對于這類攻擊幾乎毫無準備，其中包括醫(yī)療、電信、運輸、服務業(yè)、化工和物流業(yè)。第2章、內(nèi)外網(wǎng)部署技術發(fā)展第4頁共15頁XXX醫(yī)院內(nèi)外網(wǎng)隔離安全方案方案一：繼續(xù)物理隔離采用人工拷貝方式進行兩網(wǎng)的數(shù)據(jù)交換（文件和數(shù)據(jù)庫），實際實施過程中存在以下幾個問題：不及時效率低很多醫(yī)院要求對U盤殺毒，但操作人員因為繁瑣未完全實施。部分惡意代碼是殺毒軟件檢測不到的。方案二：采用網(wǎng)關設備部分醫(yī)院采用防火墻隔離兩網(wǎng)，有的單位采用UTM。防火墻產(chǎn)品主要包括包過濾防火墻，狀態(tài)檢測包過濾防火墻和應用層代理防火墻，采用此方案存在以下幾個問題：其最大的局限性就是防火墻自身不能保證其準許放行的數(shù)據(jù)是否安全。不能防御繞過防火墻的攻擊行為：從根本上講，防火墻是一種被動的防御手段，只能守株待兔式地對通過它的數(shù)據(jù)報進行檢查，如果該數(shù)據(jù)由于某種原因沒有通過防火墻，則防火墻就不會采取任何的措施。不能防御完全新的威脅：防火墻只能防御已知的威脅，但是人們發(fā)現(xiàn)可信賴的服務中存在新的侵襲方法，可信賴的服務就變成不可信賴的了。防火墻不能防御數(shù)據(jù)驅(qū)動的攻擊：雖然防火墻掃描分析所有通過的信息，但是這種掃描分析多半是針對IP地址和端口號或者協(xié)議內(nèi)容的，而非數(shù)據(jù)細節(jié)。這樣一來，基于數(shù)據(jù)驅(qū)動的攻擊，比如病毒，可以附在諸如電子郵件之類的東西上面進入你的系統(tǒng)中并發(fā)動攻擊。目前國內(nèi)防火墻本身的軟件、操作系統(tǒng)、數(shù)據(jù)庫等方面有缺陷，通過實驗，很多穿墻技術能穿過大部分國產(chǎn)防火墻。第5頁共15頁XXX醫(yī)院內(nèi)外網(wǎng)隔離安全方案方案三：采用前置機加交換系統(tǒng)有少部分醫(yī)療機構在方案二的基礎上再進行數(shù)據(jù)操作和數(shù)據(jù)交換進行檢查過濾。實現(xiàn)方式就是在兩網(wǎng)前段加前置設備，同時通過應用開發(fā)商再開發(fā)交換數(shù)據(jù)接口（定義格式和API）在交換設備上安裝交換系統(tǒng)實現(xiàn)內(nèi)外網(wǎng)的交換。該方案存在以下問題：當業(yè)務擴充了，需要開發(fā)商支持投入大，交換前置設備投入、軟件開發(fā)投入仍然沒有從網(wǎng)絡層面隔離，數(shù)據(jù)在兩網(wǎng)的穿透仍然帶有協(xié)議，協(xié)議本身就存在缺陷，存在安全風險。方案四：采用接近物理隔離設備隔離兩網(wǎng)目前公安部門、保密部門已經(jīng)將網(wǎng)閘定義為接近物理隔離的設備（備注：傳統(tǒng)的單部件網(wǎng)閘不合規(guī)，三部件被認為是接近物理隔離設備），允許采用到機密域、秘密域、非密域間的邊界隔離。該方案近幾年也被一些醫(yī)療機構采用，就是在兩網(wǎng)的邊界采用網(wǎng)閘隔離，網(wǎng)絡層面完全斷開，通過擺渡完成兩網(wǎng)的數(shù)據(jù)交換。該方案優(yōu)點是安全性大幅度提高，使用過程中也存在性能問題，因此在選購醫(yī)院型號的時候，我們隊兩網(wǎng)交換的數(shù)據(jù)量大小進行了詳細的分析。第3章、內(nèi)外網(wǎng)部署建議基于前面的風險分析，我們在分析信息方便交換和信息安全方面進行權衡，在此采取一套“接近物理隔離的安全方案”本方案采用網(wǎng)閘來隔離兩網(wǎng)。第6頁共15頁XXX醫(yī)院內(nèi)外網(wǎng)隔離安全方案3.1網(wǎng)閘方案3.1.1核心思路保證任何時間內(nèi)外都是斷開的，不存在直接的物理和鏈路層連接通路！見下圖:中間這部分就代表網(wǎng)閘，當外部網(wǎng)擺渡數(shù)據(jù)到內(nèi)部網(wǎng)：電子開關接通外網(wǎng)擺渡數(shù)據(jù)到交換池，數(shù)據(jù)還原為裸數(shù)據(jù)，并做安全性檢查電子開關接通內(nèi)網(wǎng)，擺渡數(shù)據(jù)可見，任何時刻電子開關不會讓內(nèi)外接通，對用戶來講，表面一樣，好像直接連接一樣。由于半導體電子開關以純物理方式實現(xiàn)了電路的導通與斷開，與加/解密等邏輯斷開方式不同，它具有固化的不可編程特性，不會因溢出等邏輯問題導致系統(tǒng)的崩潰，在最低層即物理層面上保證了網(wǎng)絡斷開功能的實現(xiàn)，具有最高的安全可靠性。第7頁共15頁

XXX醫(yī)院內(nèi)外網(wǎng)隔離安全方案3.1.2隔離方案通過前期的需求分析，我們建議采用如下的方案實施:在內(nèi)外網(wǎng)間部署網(wǎng)閘，完成內(nèi)到外，外到內(nèi)的數(shù)據(jù)交換。例如：當本院領導在家用PDA或筆記本遠程使用醫(yī)院業(yè)務系統(tǒng)時：訪問WEB，如需登錄則登錄輸入相關信息，形成表單提交。（程序上體現(xiàn)為FormPOST操作）外網(wǎng)的服務器發(fā)送操作請求到網(wǎng)閘（因為OA系統(tǒng)部署于醫(yī)院內(nèi)網(wǎng)中）。網(wǎng)閘將請求（通常是TCP/IP協(xié)議的數(shù)據(jù)）由應用到物理層中層剝離，得到裸數(shù)據(jù)請求，并按隔離硬件中的配置格式（如：XML格式）組織。將該數(shù)據(jù)按私有的協(xié)議封裝后擺渡到內(nèi)網(wǎng)主機。（注意：我們的設備包括三部分，外網(wǎng)主機、內(nèi)網(wǎng)主機、隔離硬件）內(nèi)網(wǎng)主機接收數(shù)據(jù)后，按對應格式向內(nèi)部相應的服務器發(fā)起請求并第8頁共15頁XXX醫(yī)院內(nèi)外網(wǎng)隔離安全方案返回結果，返回的數(shù)據(jù)按前面幾步類似的流程擺渡到外網(wǎng)。第4章、方案詳述下面將對前一章的方案進行展開闡述。產(chǎn)品內(nèi)部架構網(wǎng)閘交換系統(tǒng)的系統(tǒng)結構如下圖表所示:外部安全板 內(nèi)部安全板圖表1安全隔離交換系統(tǒng)的隔離體系結構網(wǎng)閘交換系統(tǒng)的所有控制邏輯由硬件實現(xiàn)的，不能被軟件修改；安全隔離交換系統(tǒng)在內(nèi)外安全主板上各設計了一個隔離開關，稱反射GAP。反射GAP實現(xiàn)內(nèi)外網(wǎng)絡之間的物理斷開，但同時能交換數(shù)據(jù)的目的。反射GAP使得內(nèi)外網(wǎng)中繼數(shù)據(jù)的速率達到物理連通狀態(tài)的100%,從而消除了因物理斷開內(nèi)外網(wǎng)絡而可能造成的通信瓶頸。網(wǎng)閘技術的優(yōu)勢同傳統(tǒng)的防火墻等邏輯隔離訪問控制技術相比，隔離網(wǎng)閘獨特的模型結構天然具有了一些其它安全技術難以達到的安全特性，主要包括以下幾個方面：1）對網(wǎng)絡層/OS層已知和未知攻擊的全面防護能力。由于在網(wǎng)閘2+1隔離架構模型中內(nèi)外網(wǎng)間實際上物理斷開，所有訪問被轉(zhuǎn)化成應用層數(shù)據(jù)形式通過獨第9頁共15頁XXX醫(yī)院內(nèi)外網(wǎng)隔離安全方案立的存儲介質(zhì)在內(nèi)外網(wǎng)移動，因此，移動的數(shù)據(jù)中并不包含相對低層的網(wǎng)絡層/OS層控制信息，換句話說，隱藏在網(wǎng)絡層/OS層的攻擊行為根本沒有進入受保護內(nèi)網(wǎng)網(wǎng)絡的可能，無論該攻擊方式是已知的還是未知的。而目前其它安全技術基本上還是基于特征匹配的方式過濾這些攻擊行為，遺漏和處理不當都在所難免，并且對未知攻擊毫無辦法，對受保護網(wǎng)絡造成嚴重安全隱患。2）不再依賴操作系統(tǒng)的安全性。目前所有安全技術的實現(xiàn)都必須依賴操作系統(tǒng)作為平臺提供低層服務支持，操作系統(tǒng)的安全性實際上就影響到整個安全產(chǎn)品的安全性，目前主流的OS主要是微軟和UNIX/Linux兩大類，所有這些操作系統(tǒng)都具有一定數(shù)量的Bugs，這些漏洞也隨之成為整個安全產(chǎn)品的漏洞。而隔離網(wǎng)閘很好地解決了這個問題，其內(nèi)網(wǎng)處理服務器上的操作系統(tǒng)完全不對外暴露，暴露在外的僅僅是負責外網(wǎng)處理的服務器，即使該服務器因操作系統(tǒng)Bugs被攻擊，實際上也無法進一步影響內(nèi)網(wǎng)處理服務器，因為內(nèi)外網(wǎng)是物理斷開的。實際上，與防火墻等其它安全產(chǎn)品不同，黑客無法利用現(xiàn)有操作系統(tǒng)Bugs獲得對隔離網(wǎng)閘結構的控制權。3）強化安全決策過程的安全性。安全決策是最重要和基礎的安全防御手段之一，安全決策包括認證、訪問控制列表（ACL）、內(nèi)容過濾以及格式檢查等一系列方式。安全決策功能一旦失效，惡意訪問將無阻礙地進入受保護網(wǎng)絡（例如訪問控制列表被更改，已禁止端口被開放等）。目前的網(wǎng)絡安全產(chǎn)品對決策模塊的防護能力相對較弱，而隔離網(wǎng)閘則將所有安全決策過程置于中立的與內(nèi)外網(wǎng)沒有連接的隔離區(qū)內(nèi)完成，且關鍵的策略庫置于與被檢查數(shù)據(jù)物理斷開的受保護端（LAN）服務器上，因此，策略庫和決策過程都十分安全，未經(jīng)嚴格檢查的數(shù)據(jù)將始終被隔離在受保護網(wǎng)絡（LAN）以外，確保決策過程的安全。4）數(shù)據(jù)靜態(tài)化。在隔離網(wǎng)閘中，所有進入網(wǎng)閘內(nèi)的數(shù)據(jù)在傳遞過程中都是靜態(tài)的，其內(nèi)容不被任何程序執(zhí)行，僅僅是對靜態(tài)內(nèi)容實施檢查和決策，因此，這些數(shù)據(jù)本身攜帶的任何惡意代碼都無法執(zhí)行，也就無法危及系統(tǒng)的安全，整個系統(tǒng)安全可靠。網(wǎng)閘產(chǎn)品特點采用獨特的“2+1”安全體系架構，通過基于ASIC芯片技術設計的專用第10頁共15頁XXX醫(yī)院內(nèi)外網(wǎng)隔離安全方案隔離電子開關系統(tǒng)，實現(xiàn)用戶關鍵網(wǎng)絡及服務系統(tǒng)與外界的物理隔斷，實現(xiàn)鏈路層與網(wǎng)絡層的徹底斷開。?采用高性能和多條流水線設計的ASIC芯片為基礎建立的全新硬件隔離架構，擁有全線速隔離交換性能，滿足大型網(wǎng)絡應用所面對大用戶量、低延時訪問的需求。在核心的GAP電子開關隔離芯片上采用了含TRUELVDS功能強大的APXII系列EP2A70作為FPGA設計硬件基片，該芯片具有500萬門電路以及多路Giga位的通道，支持內(nèi)部高達1060個硬件I/Os通道，使得電子開關具有高速的數(shù)據(jù)傳輸能力和并發(fā)處理能力。?充分考慮關鍵應用對可靠性、可用性的要求，獨家采用負載均衡技術以及基于應用協(xié)議連接資源保護的QOS服務質(zhì)量控制技術消除單點故障和網(wǎng)絡實現(xiàn)對網(wǎng)絡服務的高可靠性及可用性保證。采用無協(xié)議的“GAPReflective"，GAP隔離反射技術實現(xiàn)開放網(wǎng)絡通訊協(xié)議的剝離與重組，有效阻斷來自網(wǎng)絡層及服務器OS層的各類已知/未知攻擊，彌補其它安全技術對網(wǎng)絡未知攻擊的防御盲區(qū)。廣泛支持各類通用應用協(xié)議（HTTP、FTP、SMTP、DNS、SQL等），包括支持視頻會議、流媒體以及VPN等特殊應用代理以及用戶定制協(xié)議，無需再進行二次開發(fā)或單獨購買模塊。采用專利技術的應用層安全防御系統(tǒng)，ViGap500特別針對廣泛應用的WEB、EMAIL和FTP等服務采用專利技術WebApplicationTM,實現(xiàn)了全面應用層安全防護，可防止WEB溢出漏洞、Unicode漏洞、Inject攻擊、Cookie中毒、惡意JavaScript、ActiveX控件甚至CGI腳本等各類應用層安全風險。智能化攻擊識別與過濾，ViGap500采用先進的應用層協(xié)議分析技術智能識別并過濾大量基于應用層協(xié)議的攻擊行為，ViGap500提供目前市場上豐富的協(xié)議分析模塊，全面防護各類應用系統(tǒng)安全風險，包括：HTTP、FTP、SMTP、POP3、IMAP、DNS等數(shù)十種協(xié)議分析模塊。第11頁共15頁XXX醫(yī)院內(nèi)外網(wǎng)隔離安全方案4.4網(wǎng)閘功能系統(tǒng)可靠性?雙機熱備功能模塊網(wǎng)閘產(chǎn)品針對大型網(wǎng)絡的應用提供了雙機熱備份功能，實現(xiàn)系統(tǒng)的穩(wěn)定可靠運行。通過內(nèi)置的雙機熱備系統(tǒng)，連接在同一個網(wǎng)絡內(nèi)的多臺網(wǎng)閘產(chǎn)品可以建立雙機熱備機制，并通過虛擬IP統(tǒng)一對外提供服務。從設備不斷發(fā)出心跳信息偵測主設備狀態(tài)，一旦主設備出現(xiàn)故障從設備將立即接管并繼續(xù)提供服務。?系統(tǒng)工作狀態(tài)檢測與報警網(wǎng)閘產(chǎn)品采用基于工業(yè)控制系統(tǒng)的架構設計，具備良好的穩(wěn)定性。并且建立了設備狀態(tài)檢測系統(tǒng)，在開機狀態(tài)下持續(xù)對系統(tǒng)各硬件板卡及軟件模塊進行檢查，并將系統(tǒng)狀態(tài)顯示在液晶面板上，管理員可針對故障信息迅速了解故障原因并作出響應。同時，網(wǎng)閘產(chǎn)品系列軟件系統(tǒng)采用了先進的自愈技術，當故障發(fā)生時可迅速命令系統(tǒng)重啟恢復到正常工作狀態(tài)。系統(tǒng)可用性網(wǎng)閘產(chǎn)品系列為滿足高性能的網(wǎng)絡處理而設計，因此，必須支持大規(guī)模的并發(fā)訪問和高帶寬的數(shù)據(jù)吞吐。除了采用更高端的處理系統(tǒng)、內(nèi)存以及接口以外，網(wǎng)閘產(chǎn)品還可以最大支持32臺設備的負載平衡系統(tǒng)來實現(xiàn)高可用性。網(wǎng)閘產(chǎn)品的負載平衡系統(tǒng)通過仲裁網(wǎng)絡流量方式實現(xiàn)流量在網(wǎng)閘產(chǎn)品集群中的平均分配，從而將處理性能大幅提升。安全功能?網(wǎng)絡隔離功能網(wǎng)閘產(chǎn)品具有網(wǎng)絡隔離功能，通過基于ASIC設計的硬件電子開關實現(xiàn)可信、不可信網(wǎng)絡間的物理斷開，保護可信網(wǎng)絡免遭黑客攻擊。?數(shù)據(jù)靜態(tài)化第12頁共15頁XXX醫(yī)院內(nèi)外網(wǎng)隔離安全方案采用“裸數(shù)據(jù)”機制，運用協(xié)議剝離和重組技術，在網(wǎng)閘內(nèi)部實現(xiàn)“裸數(shù)據(jù)”和數(shù)據(jù)靜態(tài)化，有效的防止網(wǎng)絡上未知攻擊。IDS入侵檢測功能網(wǎng)閘產(chǎn)品在設備兩端內(nèi)置了IDS入侵檢測引擎，該引擎可有效保護系統(tǒng)自身及受保護網(wǎng)絡免受攻擊者的頻繁攻擊。該系統(tǒng)將自動分析對受保護內(nèi)網(wǎng)的訪問請求，并與ViGAP500隔離系統(tǒng)實現(xiàn)內(nèi)部聯(lián)動對可疑數(shù)據(jù)包采取拒絕連接的方式防御攻擊。SAT（服務器地址映射）功能網(wǎng)閘產(chǎn)品具備完善的SAT功能，可信端服務器可通過SAT功能將自身的特定服務虛擬映射到ViGap500系列的不可信端接口上，通過隔離系統(tǒng)的不可信端虛擬端口對外提供服務，訪問者僅能訪問虛擬端口而無法直接連接服務器，從而對外屏蔽服務器，防止服務器遭到攻擊。身份認證功能不同于部門級網(wǎng)絡，大型網(wǎng)絡對身份認證的要求極高，且需要基于第三方的統(tǒng)一身份認證服務。網(wǎng)閘產(chǎn)品除了提供基本的用戶名/口令身份認證功能以外，還可與外部認證系統(tǒng)集成支持擴展的Radius、PKI數(shù)字證書、SecureID等多種強身份認證功能。安全代理服務功能網(wǎng)閘產(chǎn)品允許可信端用戶以應用代理方式訪問不可信網(wǎng)絡，網(wǎng)閘產(chǎn)品作為應用代理網(wǎng)關對內(nèi)網(wǎng)訪問請求進行檢測，相對于傳統(tǒng)的基于網(wǎng)絡層的NAT方式來說，由于代理服務在應用層對訪問請求進行檢測具有更細的粒度和檢查元素，因此，對訪問具有更高的安全控制能力。AI安全過濾功能應用智能能夠使您根據(jù)來源、目的地、用戶特權和時間來控制對特定的HTTP、SMTP或FTP等資源的訪問。網(wǎng)閘產(chǎn)品通過協(xié)議分析技術提供應用級的安全過濾以保護數(shù)據(jù)和應用服務器免受惡意Java和ActiveXapplet的攻擊。網(wǎng)閘產(chǎn)品在AI功能中新增了安全功能，包括：確認通信是否遵循相關的協(xié)議標準;進行異常協(xié)議檢測；限制應用程序攜帶惡意數(shù)據(jù)的能力；對應用層操作進行控制，這些新功能對企業(yè)級網(wǎng)絡環(huán)境中應用層的安全控制起到了很重要的強化作用。第13頁共15頁XXX醫(yī)院內(nèi)外網(wǎng)隔離安全方案防病毒功能系統(tǒng)內(nèi)嵌防病毒引擎，可實現(xiàn)對內(nèi)外網(wǎng)擺渡數(shù)據(jù)的病毒查殺，其防水墻模塊可有效阻止內(nèi)網(wǎng)信息的外泄及木馬、蠕蟲等惡意程序通過HTTP、SMTP等方式向外泄漏信息。實現(xiàn)對病毒的高效查殺，支持包括HTTP、SMTP、POP3協(xié)議的網(wǎng)關級病毒過濾。內(nèi)容及格式檢測功能網(wǎng)閘產(chǎn)品具備內(nèi)容過濾及文件格式檢查功能，對管理員指定格式的文件或指定內(nèi)容關鍵字的郵件、網(wǎng)頁、FTP文件等具有安全過濾功能，能夠阻止敏感的信息外泄或惡意程序的入侵。VPN通訊安全網(wǎng)閘產(chǎn)品對受保護WEB服務器提供內(nèi)置的SSLVPN加密通訊機制，建立客戶端與虛擬服務端口間的SSL加密VPN鏈