XXX医院内外网隔离安全方案
2.3 方案三：采用前置机加交换系统
有少部分医疗机构在方案二的基础上再进行数据操作和数据交换进行检查过滤。实现方式就是在两网前段加前置设备，同时通过应用开发商再开发交换数据接口（定义格式和API）在交换设备上安装交换系统实现内外网的交换。
该方案存在以下问题： 1、 2、 3、
当业务扩充了，需要开发商支持
投入大，交换前置设备投入、软件开发投入
仍然没有从网络层面隔离，数据在两网的穿透仍然带有协议，协议
本身就存在缺陷，存在安全风险。
2.4 方案四：采用接近物理隔离设备隔离两网
目前公安部门、保密部门已经将网闸定义为接近物理隔离的设备（备注：传统的单部件网闸不合规，三部件被认为是接近物理隔离设备），允许采用到机密域、秘密域、非密域间的边界隔离。
该方案近几年也被一些医疗机构采用，就是在两网的边界采用网闸隔离，网络层面完全断开，通过摆渡完成两网的数据交换。
该方案优点是安全性大幅度提高，使用过程中也存在性能问题，因此在选购医院型号的时候，我们队两网交换的数据量大小进行了详细的分析。
第3章、 内外网部署建议
基于前面的风险分析，我们在分析信息方便交换和信息安全方面进行权衡，在此采取一套“接近物理隔离的安全方案”本方案采用网闸来隔离两网。
第 6 页 共 15 页
XXX医院内外网隔离安全方案
3.1 网闸方案
3.1.1 核心思路
保证任何时间内外都是断开的，不存在直接的物理和链路层连接通路！见下图：
中医院外网OA网站等业务Data GeneralData General中医院内网HIS LIS PACS 等系统交换池半导体电子开关的实现
中间这部分就代表网闸，当外部网摆渡数据到内部网： 1、 2、 3、
电子开关接通外网
摆渡数据到交换池，数据还原为裸数据，并做安全性检查 电子开关接通内网，摆渡数据
可见，任何时刻电子开关不会让内外接通，对用户来讲，表面一样，好像直接连接一样。
由于半导体电子开关以纯物理方式实现了电路的导通与断开，与加/解密等逻辑断开方式不同，它具有固化的不可编程特性，不会因溢出等逻辑问题导致系统的崩溃，在最低层即物理层面上保证了网络断开功能的实现，具有最高的安全可靠性。
第 7 页 共 15 页
XXX医院内外网隔离安全方案
3.1.2 隔离方案
通过前期的需求分析，我们建议采用如下的方案实施：
医院网站域服务、文件服务、邮件服务器等数据核心阵列数据核心OA系统中医院核心业务系统（HIS LIS PACS 电子病历 体检 等）
在内外网间部署网闸，完成内到外，外到内的数据交换。
例如：当本院领导在家用PDA或笔记本远程使用医院业务系统时： 1、 2、 3、
访问WEB，如需登录则登录
输入相关信息，形成表单提交。（程序上体现为Form POST 操作） 外网的服务器发送操作请求到网闸（因为OA系统部署于医院内网
中）。 4、
网闸将请求（通常是TCP/IP协议的数据）由应用到物理层中层剥离，
得到裸数据请求，并按隔离硬件中的配置格式（如：XML格式）组织。 5、
将该数据按私有的协议封装后摆渡到内网主机。（注意：我们的设备
包括三部分，外网主机、内网主机、隔离硬件） 6、
内网主机接收数据后，按对应格式向内部相应的服务器发起请求并
第 8 页 共 15 页
XXX医院内外网隔离安全方案
返回结果，返回的数据按前面几步类似的流程摆渡到外网。
第4章、 方案详述
下面将对前一章的方案进行展开阐述。
4.1 产品内部架构
网闸交换系统的系统结构如下图表所示：
外部安全板内部安全板
图表 1 安全隔离交换系统的隔离体系结构
网闸交换系统的所有控制逻辑由硬件实现的，不能被软件修改；安全隔离交换系统在内外安全主板上各设计了一个隔离开关，称反射GAP。反射GAP实现内外网络之间的物理断开，但同时能交换数据的目的。
反射GAP使得内外网中继数据的速率达到物理连通状态的100％，从而消除了因物理断开内外网络而可能造成的通信瓶颈。
4.2 网闸技术的优势
同传统的防火墙等逻辑隔离访问控制技术相比，隔离网闸独特的模型结构天然具有了一些其它安全技术难以达到的安全特性，主要包括以下几个方面：
1) 对网络层/OS层已知和未知攻击的全面防护能力。由于在网闸2+1隔离架构模型中内外网间实际上物理断开，所有访问被转化成应用层数据形式通过独
第 9 页 共 15 页
外部网络接口PCI数据流LVDS数据流PCI内部网络接口XXX医院内外网隔离安全方案
立的存储介质在内外网移动，因此，移动的数据中并不包含相对低层的网络层/OS层控制信息，换句话说，隐藏在网络层/OS层的攻击行为根本没有进入受保护内网网络的可能，无论该攻击方式是已知的还是未知的。而目前其它安全技术基本上还是基于特征匹配的方式过滤这些攻击行为，遗漏和处理不当都在所难免，并且对未知攻击毫无办法，对受保护网络造成严重安全隐患。
2) 不再依赖操作系统的安全性。目前所有安全技术的实现都必须依赖操作系统作为平台提供低层服务支持，操作系统的安全性实际上就影响到整个安全产品的安全性，目前主流的OS主要是微软和UNIX/Linux两大类，所有这些操作系统都具有一定数量的Bugs，这些漏洞也随之成为整个安全产品的漏洞。而隔离网闸很好地解决了这个问题，其内网处理服务器上的操作系统完全不对外暴露，暴露在外的仅仅是负责外网处理的服务器，即使该服务器因操作系统Bugs被攻击，实际上也无法进一步影响内网处理服务器，因为内外网是物理断开的。实际上，与防火墙等其它安全产品不同，黑客无法利用现有操作系统Bugs获得对隔离网闸结构的控制权。
3) 强化安全决策过程的安全性。安全决策是最重要和基础的安全防御手段之一，安全决策包括认证、访问控制列表（ACL）、内容过滤以及格式检查等一系列方式。安全决策功能一旦失效，恶意访问将无阻碍地进入受保护网络（例如访问控制列表被更改，已禁止端口被开放等）。目前的网络安全产品对决策模块的防护能力相对较弱，而隔离网闸则将所有安全决策过程置于中立的与内外网没有连接的隔离区内完成，且关键的策略库置于与被检查数据物理断开的受保护端（LAN）服务器上，因此，策略库和决策过程都十分安全，未经严格检查的数据将始终被隔离在受保护网络（LAN）以外，确保决策过程的安全。
4) 数据静态化。在隔离网闸中，所有进入网闸内的数据在传递过程中都是静态的，其内容不被任何程序执行，仅仅是对静态内容实施检查和决策，因此，这些数据本身携带的任何恶意代码都无法执行，也就无法危及系统的安全，整个系统安全可靠。
4.3 网闸产品特点
? 采用独特的“2＋1”安全体系架构，通过基于ASIC芯片技术设计的专用
第 10 页 共 15 页