简介本资源是一份面向医疗行业信息安全部署人员、等保测评工程师及医院信息化建设者的三级等保建设落地方案聚焦某市三级医院医疗信息系统合规性安全加固实践。方案严格依据《网络安全等级保护基本要求》等保2.0编制覆盖现状分析、风险评估、安全需求分层建模、边界防护、账号统一管理、数据库与行为审计、上网行为管控等核心模块目录结构完整含拓扑图、漏洞扫描说明、虚拟化云化新威胁应对等实操要点。资源为单个140KB的Word文档.docx内容详实、格式规范可直接用于方案汇报、等保整改对标或内部培训参考。目前已有68人学习下载适合需快速掌握医疗场景下三级等保技术路径与管理落地细节的中高级安全从业者。1. 三级等保不是交材料而是重构医院信息系统的安全基线某市医院拿到“三级等保建设方案.docx”时常误以为这是份待盖章的合规文档——实际上它是一份覆盖网络架构、主机配置、应用逻辑、日志体系与管理制度的可执行技术路线图。三级等保GB/T 22239—2019对医疗行业有强制约束力HIS、EMR、LIS、PACS等核心业务系统一旦定级为第三级就必须在身份鉴别、访问控制、安全审计、入侵防范、可信验证等十个技术维度上达到明确阈值且每年需通过测评机构现场核查。这不是“加个防火墙开个日志”就能应付的流程而是要求医院IT团队能说清数据库连接是否启用TLS 1.2以上加密Windows Server的本地组策略中密码复杂度策略是否启用且生效Apache中间件是否禁用TRACE方法并开启HTTPOnly标志审计日志是否留存180天以上且不可删改本方案落地成败取决于能否把标准条款翻译成服务器命令、配置文件参数和运维检查清单。适合正在筹备等保测评的医院信息科工程师、系统集成商实施人员以及负责安全加固的驻场运维。2. 从等保条款到Linux/Windows主机加固逐条映射配置项2.1 身份鉴别与访问控制禁用默认账户、强制密码策略、最小权限分配三级等保要求“应对登录的用户进行身份标识和鉴别身份标识具有唯一性身份鉴别信息具有复杂度要求并定期更换”。在医院实际环境中这直接对应三类操作禁用或重命名高危默认账户如Linux下的root账户不直接SSH登录Windows下的Administrator账户禁用并新建专用运维账号。# Linux禁用root远程登录创建运维账号opsadmin sudo sed -i s/^PermitRootLogin.*/PermitRootLogin no/ /etc/ssh/sshd_config sudo useradd -m -s /bin/bash opsadmin echo opsadmin:$(openssl rand -base64 12) | sudo chpasswd sudo usermod -aG wheel opsadmin # 加入sudo组 sudo systemctl restart sshd提示chpasswd生成的随机密码需记录在安全密码管理器中wheel组是CentOS/RHEL默认sudo组Ubuntu需替换为sudo组。强制密码策略Linux使用pam_pwquality模块Windows通过组策略编辑器gpedit.msc配置。# /etc/security/pwquality.conf 关键参数CentOS 7 minlen 12 # 最小长度 dcredit -1 # 至少含1位数字 ucredit -1 # 至少含1位大写字母 lcredit -1 # 至少含1位小写字母 ocredit -1 # 至少含1位特殊字符 maxrepeat 3 # 不允许连续3个相同字符 reject_username # 密码不得包含用户名注意修改后需测试新用户创建流程避免因策略过严导致账号无法建立Windows端需导出GPO备份gpresult /h gpreport.html作为测评佐证材料。最小权限分配数据库账号仅授予业务所需表级SELECT/INSERT权限Web服务运行用户如www-data禁止拥有/var/log写权限。-- MySQL示例为HIS系统创建专用账号仅授权指定库 CREATE USER his_app192.168.10.% IDENTIFIED BY StrongPass2024!; GRANT SELECT, INSERT, UPDATE ON his_db.patients TO his_app192.168.10.%; GRANT SELECT ON his_db.doctors TO his_app192.168.10.%; FLUSH PRIVILEGES;说明192.168.10.%限定IP段避免%通配符扩大攻击面FLUSH PRIVILEGES必须执行否则权限不生效。2.2 安全审计集中采集操作系统、数据库、中间件日志并留存180天等保要求“应启用安全审计功能审计覆盖每个用户审计内容包括重要用户行为、系统资源的异常使用等”且日志保存时间≥180天。医院常见误区是仅开启本地日志未做集中化与防篡改处理。Linux系统日志转发至专用日志服务器rsyslog TLS加密# /etc/rsyslog.conf 启用TCP传输并加密 module(loadimtcp) input(typeimtcp port514 tlson tls.ca/etc/rsyslog.d/ca.pem tls.cert/etc/rsyslog.d/server.crt tls.key/etc/rsyslog.d/server.key) *.* log-server.example.com:6514 # 使用表示TCPTLS参数说明6514为常用TLS日志端口ca.pem需由医院内网CA签发确保日志服务器身份可信server.crt/key为本机证书防止中间人窃取日志。MySQL审计日志启用企业版或通用查询日志慢日志组合社区版-- 企业版启用audit_log插件需安装 INSTALL PLUGIN audit_log SONAME audit_log.so; SET GLOBAL audit_log_policy ALL; -- 记录所有连接、查询、DDL SET GLOBAL audit_log_format JSON; SET GLOBAL audit_log_file /var/log/mysql/audit.log;注意社区版无audit_log插件可用general_logONslow_query_logON替代但需额外脚本过滤敏感字段如患者身份证号避免日志泄露隐私。Windows事件日志转发Windows Event Forwarding在域控制器上配置收集器在各HIS服务器上启用订阅# PowerShell启用WinRM并订阅日志 winrm quickconfig -q wevtutil sl Security /ca:O:BAG:SYD:(A;;0x1;;;S-1-5-20)(A;;0x2;;;S-1-5-20) wmi /namespace:\\root\subscription path __EventFilter create nameSecurityLogFilter,eventNamespaceroot\cimv2, eventNameSpaceroot\cimv2, QueryLanguageWQL, QuerySELECT * FROM __InstanceModificationEvent WITHIN 10 WHERE TargetInstance ISA Win32_NTLogEvent AND TargetInstance.Logfile Security说明该脚本将安全日志变更事件实时推送到域控避免本地日志被删除测评时需提供wevtutil qe Security输出证明日志留存周期。日志类型存储位置最小留存天数防篡改措施Linux系统日志/var/log/messages等180rsyslog TLS转发日志服务器只读挂载MySQL操作日志/var/log/mysql/audit.log180日志文件属主设为root:root权限600Windows安全日志%SystemRoot%\System32\Winevt\Logs\Security.evtx180启用“审核日志大小”策略满时覆盖旧日志3. HIS/EMR系统层加固HTTPS强制跳转、SQL注入防护、会话超时控制3.1 Web应用层强制HTTPS与安全头配置三级等保明确要求“应对通信过程中的敏感信息进行保密性保护”。医院HIS系统若仍存在HTTP明文访问患者姓名、诊断结果、检验报告等数据极易被同网段嗅探。加固需在反向代理Nginx或应用服务器Tomcat层面实现。Nginx配置强制HTTPS与安全响应头server { listen 80; server_name his.hospital.local; return 301 https://$host$request_uri; # HTTP强制跳转HTTPS } server { listen 443 ssl http2; server_name his.hospital.local; ssl_certificate /etc/nginx/ssl/his.crt; ssl_certificate_key /etc/nginx/ssl/his.key; ssl_protocols TLSv1.2 TLSv1.3; # 禁用TLS 1.0/1.1 ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256; location / { proxy_pass http://backend_his; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; # 关键安全头 add_header Strict-Transport-Security max-age31536000; includeSubDomains always; add_header X-Content-Type-Options nosniff always; add_header X-Frame-Options DENY always; # 防止点击劫持 add_header Content-Security-Policy default-src self; script-src self unsafe-inline; style-src self unsafe-inline; always; } }逻辑说明Strict-Transport-SecurityHSTS告诉浏览器未来一年内只用HTTPS访问该域名X-Frame-Options: DENY阻止HIS页面被嵌入恶意iframeContent-Security-Policy限制脚本仅来自自身域名大幅降低XSS风险。Tomcat应用服务器补充配置若未用Nginx!-- conf/web.xml 中添加 -- security-constraint web-resource-collection web-resource-nameProtected Context/web-resource-name url-pattern/*/url-pattern /web-resource-collection user-data-constraint transport-guaranteeCONFIDENTIAL/transport-guarantee !-- 强制HTTPS -- /user-data-constraint /security-constraint !-- conf/context.xml 中添加 -- Context Valve classNameorg.apache.catalina.valves.RemoteIpValve remoteIpHeaderx-forwarded-for protocolHeaderx-forwarded-proto protocolHeaderHttpsValuehttps/ Manager classNameorg.apache.catalina.session.PersistentManager saveOnRestartfalse Store classNameorg.apache.catalina.session.FileStore/ /Manager /Context参数说明transport-guarantee CONFIDENTIAL使所有URL路径强制HTTPSRemoteIpValve确保X-Forwarded-For真实IP被正确识别避免日志记录错误源IP。3.2 SQL注入与XSS防护参数化查询输入白名单过滤等保要求“应采取必要措施识别、检测、防范或恢复因网络攻击导致的系统异常”。HIS系统中大量动态SQL拼接如病历检索、费用查询是SQL注入高危区。Java应用Spring Boot使用JPA/Hibernate参数化查询// ✅ 正确使用Param绑定参数底层自动预编译 Query(SELECT p FROM Patient p WHERE p.name LIKE %:name% AND p.department :dept) ListPatient findPatientsByNameAndDept(Param(name) String name, Param(dept) String dept); // ❌ 错误字符串拼接直接触发SQL注入 String sql SELECT * FROM patient WHERE name LIKE % name %;说明JPA的Param机制确保参数经PreparedStatement处理即使name传入 OR 11也不会执行测评时需提供单元测试代码证明所有DAO方法均采用参数化。前端JavaScript输入过滤Vue/React项目// Vue组件中定义输入校验规则 methods: { validateInput(value) { const pattern /^[a-zA-Z\u4e00-\u9fa5\s]{1,50}$/; // 仅允许中英文、空格长度1-50 if (!pattern.test(value)) { this.$message.error(姓名仅支持中英文及空格长度不超过50字符); return false; } return true; } }注意前端校验仅为用户体验优化后端必须重复校验script标签、javascript:伪协议等XSS载荷需在API层用StringEscapeUtils.escapeHtml4()过滤。4. 等保测评前必做的5项自检与应急响应准备4.1 主机漏洞扫描与补丁闭环验证测评机构必查项操作系统、数据库、中间件是否存在高危漏洞CVSS≥7.0。医院常忽略“已安装补丁是否真正生效”。使用OpenVAS或Nessus扫描HIS服务器以CentOS为例# 扫描后重点检查以下CVE是否修复 # CVE-2023-27997OpenSSL 3.0.7缓冲区溢出→ 需升级openssl-3.0.7-15.el7_9 # CVE-2022-22963Spring Cloud Function RCE→ 需升级spring-cloud-function-core至3.2.7 # 执行验证命令 rpm -q openssl | grep -E (3\.0\.7|3\.0\.8) java -cp ./spring-cloud-function-core.jar org.springframework.cloud.function.core.SpringFunctionInitializer --version提示rpm -q输出版本号需与NVD官网公布的修复版本完全一致Java应用需进入jar包内部验证不能仅看pom.xml依赖声明。Windows服务器补丁状态检查# 查询KB补丁安装状态以KB5004237为例 Get-HotFix -Id KB5004237 -ErrorAction SilentlyContinue # 若返回空则未安装需从Microsoft Update Catalog下载离线安装包注意医院内网通常无法直连WSUS需手动下载MSU包并用wusa KB5004237.msu /quiet /norestart静默安装。4.2 应急响应预案落地勒索病毒处置流程图与备份有效性验证等保要求“应制定网络安全应急预案并定期开展应急演练”。医院最怕的是PACS影像服务器被加密导致手术室无法调阅CT片。勒索病毒处置流程图简化版需打印张贴在机房发现异常 → 立即拔网线非关机 → 拍照记录桌面弹窗 → 启动备用终端 → 登录备份系统 → 验证最近一次全量备份时间戳 → 若备份在24小时内 → 执行恢复 → 通知信息科主任 → 若备份超24小时 → 启动离线磁带备份 → 上报卫健委网安处备份有效性每月验证以Veeam为例# PowerShell脚本自动挂载备份并校验MD5 $backupJob Get-VBRJob -Name HIS_DB_Full_Backup $lastRestorePoint Get-VBRRestorePoint -Job $backupJob | Sort-Object CreationTime -Descending | Select-Object -First 1 Mount-VBRBackup -RestorePoint $lastRestorePoint -RunAsync # 挂载后执行数据库一致性检查 sqlcmd -S localhost -Q DBCC CHECKDB (HIS_DB) WITH NO_INFOMSGS说明Mount-VBRBackup模拟还原过程避免真实恢复影响业务DBCC CHECKDB输出无ERROR即证明备份可用。测评时需提供近3个月的验证截图。4.3 测评材料清单核对表医院信息科自查用材料类别文件名示例关键检查点是否完成系统定级报告HIS系统定级报告_v2.1.docx定级依据写明“涉及大量患者隐私数据”等级为第三级□安全管理制度《医院网络安全管理办法》明确规定“数据库管理员与应用管理员职责分离”□技术整改证据nginx_ssl_config_20240401.png截图显示ssl_protocols TLSv1.2 TLSv1.3□日志留存证明/var/log/secure_20240301.gz文件修改时间在180天内gzip解压后可读□应急演练记录2024-Q1勒索病毒演练签到表.pdf包含参演人员签名、处置时间、恢复耗时记录□提示所有PDF文件需用Adobe Acrobat检查属性确认“作者”为医院信息科“创建日期”在近一年内截图类证据需包含服务器hostname和当前时间date命令输出杜绝PS伪造。本文还有配套的精品资源点击获取
