一、終端主機安全

從組成信息系統(tǒng)的服務(wù)器、網(wǎng)絡(luò)、終端三個層面上看，人們把過多的注意力放在對服務(wù)器和網(wǎng)絡(luò)設(shè)備的保護上，而忽略了對終端的保護。操作系統(tǒng)是計算機應(yīng)用的核心，因此操作系統(tǒng)的安全關(guān)系到用戶程序、數(shù)據(jù)等的安全。

1.物理安全

物理安全包括環(huán)境安全、設(shè)備安全，是最基本的安全條件。

（1）環(huán)境安全。要求終端計算機使用環(huán)境遠(yuǎn)離水源，避免周圍環(huán)境潮濕；遠(yuǎn)離易燃易爆物品，電源接地正常。

（2）設(shè)備安全。終端計算機上的硬盤等存儲設(shè)備，不得在存有數(shù)據(jù)的情況下交于他人；筆記本電腦等可移動設(shè)備，須妥善保管，以提高計算機信息系統(tǒng)設(shè)備的安全性；要求工作電源電壓平穩(wěn)；對醫(yī)院內(nèi)接入信息系統(tǒng)的計算機設(shè)備接口（如光驅(qū)、軟驅(qū)、USB口等）進行管理和控制。

2.運行安全

運行安全包括風(fēng)險分析、審計跟蹤、備份與恢復(fù)、應(yīng)急預(yù)案，是指終端在運行期間的安全維護。

（1）風(fēng)險分析。軟件系統(tǒng)在運行前、運行期要進行風(fēng)險分析，若發(fā)現(xiàn)不了潛在風(fēng)險需及時通告管理員，并進行妥善處理。

（2）審計跟蹤。每周進行記錄和跟蹤終端計算機整體變化趨勢，實現(xiàn)對各種安全事件的快速定位。在本地安全策略中，開啟審核策略更改、審核系統(tǒng)事件、審核賬戶登錄事件、審核賬戶管理成功和失敗的審核，開啟審核對象訪問、審核特權(quán)使用和失敗的審核。

（3）備份與恢復(fù)。對系統(tǒng)中重要信息、資料、數(shù)據(jù)等進行有效備份，保障系統(tǒng)在受損情況下及時有效的恢復(fù)。在備份和恢復(fù)過程中，要保障所備份內(nèi)容防丟失，防損壞，防竊取，定期要將備份的數(shù)據(jù)進行讀取。

（4）應(yīng)急預(yù)案。制定應(yīng)急響應(yīng)預(yù)案以提供計算機受損或非安全行為進行時，保護計算機的正常安全運行。

（5）身份鑒別。身份驗證是系統(tǒng)安全的一個基本方面，它負(fù)責(zé)確定試圖登錄域或訪問網(wǎng)絡(luò)資源的任何用戶的身份，賦予用戶登錄訪問資源的能力，包括交互式登錄和網(wǎng)絡(luò)身份驗證。Windows的安全性建立在身份驗證和授權(quán)之上，用戶可以通過設(shè)置開機密碼、BIOS密碼提高計算機的安全性。用戶應(yīng)不定期地更換自己的賬戶密碼。

（6）入侵防范。在默認(rèn)情況下，Windows有很多系統(tǒng)服務(wù)和端口是開放的，一些端口常常會被黑客和木馬病毒利用，對計算機系統(tǒng)進行攻擊。為了提高計算機的安全性，應(yīng)該封閉這些端口。在端口限制中，由本地訪問外部網(wǎng)絡(luò)的端口越少越好。主要端口有TCP 135、139、445、593、1025和UDP 135、137、138、445，以及一些流行病毒的后門端口（如TCP 2745、3127、6129端口等）、遠(yuǎn)程服務(wù)訪問端口3389等。

（7）訪問控制。訪問控制通過控制與檢查進出計算機中的訪問，保護計算機中的關(guān)鍵數(shù)據(jù)。它包括入網(wǎng)訪問控制、網(wǎng)絡(luò)權(quán)限控制、目錄級控制以及屬性控制等多種手段。在默認(rèn)的情況下，大多數(shù)文件夾對所有用戶是完全敞開的，應(yīng)根據(jù)應(yīng)用的需要進行權(quán)限重設(shè)。

（8）病毒防護。所有的連網(wǎng)終端計算機必須安裝統(tǒng)一的防病毒軟件，病毒庫自動從服務(wù)器進行更新。每月至少一次對終端計算機進行全盤病毒掃描。對移動存儲設(shè)備接入必須進行嚴(yán)格控制，且在使用前必須進行病毒掃描，確認(rèn)沒有問題后才可使用。終端計算機禁止安裝具有掃描、攻擊等惡意行為的黑客軟件。對操作系統(tǒng)及時安裝補丁程序。

（9）移動存儲設(shè)備。移動存儲的安全管理，成為目前終端安全的一大問題。目前主要存在的問題：內(nèi)外網(wǎng)移動存儲混用；移動存儲公私混用；移動存儲介質(zhì)成為病毒、木馬和惡意代碼的傳播源；體積小易丟失，重要信息也隨之泄露。目前常用的方法是：物理破壞或封堵計算機USB接口；修改注冊表項，禁用USB移動存儲設(shè)備；隱藏可分配給USB移動存儲設(shè)備的盤符并禁止查看；禁止安裝USB驅(qū)動程序；修改組策略文件隱藏USB移動設(shè)備盤符。通過以上方式雖然可以得到一定控制，但仍存在安全隱患。在條件允許的情況下，建議安裝終端安全軟件，從而對移動存儲進行全面管理，可實現(xiàn)如下目標(biāo)：禁止非授權(quán)移動存儲使用，防止內(nèi)部移動存儲外部非法使用，降低移動存儲丟失后泄密的安全風(fēng)險。