楊 眉 潘曉雷 彭仕機

(武警廣東醫(yī)院信息科 廣州 510507)

?

醫(yī)院無線網絡安全建設措施及應用實踐

楊 眉 潘曉雷 彭仕機

(武警廣東醫(yī)院信息科 廣州 510507)

針對無線網絡在醫(yī)院使用中存在的安全風險，提出醫(yī)院無線網絡安全建設措施，包括安全策略集中控制、接入點零配置、非法入侵檢測、病毒入侵防護、安全準入控制、無線認證與CA證書對接幾方面，通過實踐證明該安全建設措施的可操作性。

無線網絡；安全威脅；信息安全

1 引言

無線網絡的出現使人類的通信和感知擺脫了時間、地點和對象的束縛，極大地提高了人類的生活和工作質量，加快了社會發(fā)展的進程。無線網絡(Wireless Local Area Networks,WLAN)使用無線電波發(fā)送信息，是計算機網絡與無線通信技術相結合的產物。與有線網絡相比，無線網絡最主要的優(yōu)勢在于不需要布設網線，具有布網便捷、移動靈活的特點。無線網絡通過無線電波在空中進行數據傳輸，在其信號覆蓋的區(qū)域，具有相同接受頻率的無線用戶可以獲取所傳遞的信息。無線網絡與有線網絡比較只是在傳輸方式上有區(qū)別，因此有線網絡存在的安全威脅和隱患在無線網絡一樣存在，攻擊者可以通過一定的技術手段對專用網絡進行非授權訪問、竊取和篡改網絡中的傳輸信息[1]。與有線網絡相比無線網絡還存在一些特有的安全威脅，如服務后抵賴，有效等效保密協議(Wired Equivalent Privacy, WEP)，加密破解，無線竊聽，假冒攻擊，介質訪問控制(Media Access Control, MAC)地址欺騙等。因此，安全問題作為無線網絡實施所面臨的最大挑戰(zhàn)，一直是學術界的研究重點和熱點。為了消除網絡與用戶之間最后1米的距離，醫(yī)院陸續(xù)在急診科、病房、ICU、手術室等需要醫(yī)護人員移動工作的區(qū)域部署無線網絡，引入智能手機、平板電腦、掌上電腦等移動終端，使醫(yī)護人員能夠高效地獲取、共享和存儲醫(yī)療信息[2]，從而幫助醫(yī)護人員在患者身邊開展各種即時性的醫(yī)療救治工作。醫(yī)院信息系統對整體安全性要求高，因此在建設無線網絡應用移動終端之前，無線網絡中的安全業(yè)務需要相應的安全機制來保證，做好安全建設工作，從而保證醫(yī)療數據安全傳輸。

2 無線網絡安全建設措施

2.1 概述

網絡安全作為一個整體體系，不僅要關注安全標準，更要注重分層實施安全策略，將其從單一的物理層安全延伸到設備安全、用戶接入安全、網絡層安全、管理安全等多個層面上[3]。在分層、模塊化的設計理念下，無線網絡由智能控制層、無線接入層、無線安全策略管理平臺組成。依照無線網絡的特點，制定安全建設措施。

2.2 安全策略集中控制

建立智能無線交換網絡架構，將所有的安全策略全部集中到無線控制器上統一發(fā)布和控制，包括用戶身份認證、入網行為控制、安全加密、病毒庫、無線入侵檢測、無線電射頻管理等。網絡管理員在無線控制器上配置安全策略，可以完成整網的安全策略配置，避免無線接入點被盜產生的安全信息外泄危機。

2.3 接入點零配置

在傳統的無線接入點組網中，非法用戶可能通過盜取無線接入點并讀取入網密碼等信息入侵網絡。無線控制器通過對智能無線接入點的控制，使得智能無線接入點在本地不保存任何數據，而是全部實時存儲在無線控制器上，因此智能無線接入點實現零配置，對于安全而言是非常有效的，杜絕了非法用戶在接入層盜取設備截獲信息的可能，同時也簡化了本地接入的工作量。

2.4 非法入侵檢測

無線訪問接入點(Access Point，AP)相當于有線網絡的集線器，是無線網絡的核心，相當于無線HUB。它是移動計算機用戶進入有線網、以太網的骨干接入點，可以方便簡潔地安裝在天花板或墻壁上，只有在無線AP可以覆蓋的區(qū)域內進行適當的設置，才能連接無線網絡[4]。無線網絡由于使用空中的無線電射頻信道工作，易于訪問和配置簡單，任何人都可以通過自己購買的AP不經過授權而聯入網絡。用戶通過非法AP接入給網絡帶來安全隱患，產生數據安全及網絡帶寬非法占用等問題。當非法無線用戶對合法無線接入點進行入侵時(如無線DOS攻擊)，會被誤以為是無線電波的信號受干擾或AP出現不穩(wěn)定情況。這些攻擊會導致用戶的無線連接斷線，但網絡管理員卻無法在第一時間得到報警。利用智能無線網絡架構技術，無線控制器本身內置無線入侵模式庫，可以實時檢測異常的無線數據包，當無線系統偵測到有入侵時，記錄和顯示入侵的格式，開啟入侵自動保護響應和報警。

2.5 病毒入侵防護

2.5.1 準入檢查 當無線終端試圖訪問網絡，在該用戶認證之前，對無線終端的操作系統補丁、防病毒軟件、防病毒定義碼升級的情況進行檢查。檢查不通過，則設定策略禁止其訪問網絡，也可設置成將無線用戶重定向到一臺升級服務器。直到安裝系統補丁、防病毒軟件并升級病毒特征庫，滿足系統制定的安全策略以后，該無線終端才可以進入認證環(huán)節(jié)進行用戶的認證。

2.5.2 數據檢查 通過了準入檢查后，對無線終端發(fā)出的數據進行有效性檢查和監(jiān)控。設定策略，對于某些用戶以及可能沾染病毒的數據，將其重定向到防病毒設備上進行防病毒檢查，檢查完成后，才允許通過，否則丟棄數據，從而實現對無線終端的病毒防護。

2.6 安全準入控制

2.6.1 身份認證 對網絡身份的行為授權，防止非授權終端訪問。支持802.1x、Web準入，基于用戶的網絡身份進行訪問權限授權，實現6元素自動綁定(用戶IP、MAC、用戶名、密碼、交換機IP、交換機端口)以及用戶硬盤ID綁定，與網絡設備及安全設備聯動，防止非授權終端訪問。

2.6.2 安全策略 統一安全策略，全面保障終端安全、合規(guī)、受控。終端進入網絡時，進行補丁檢查、防病毒軟件、注冊表、系統服務、進程等多種安全策略檢查，保障終端安全、受控和安全政策的落實，同時滿足法律法規(guī)遵從性的需求。動態(tài)策略管理提供可定制、可擴展的安全策略，可分組織和角色靈活實施;提供多種安裝策略并基于系統環(huán)境選擇安裝，及時、主動消除各種安全缺口；提供上網行為審計、USB移動存儲設備、系統進程監(jiān)控等安全策略，對用戶違規(guī)行為進行審計和取證，幫助提高用戶安全意識，保障IT資源的合理使用。

2.6.3 終端管理 部署自動化補丁檢查，及時修復終端漏洞，主動消除安全缺口?；谧詣踊a丁檢查結果，提供基于用戶群組的補丁下發(fā)，支持分布式補丁分發(fā)，支持斷點續(xù)傳，保障下載的持續(xù)性。系統自動收集終端軟、硬件資產信息，跟蹤資產變更，實現資產管理IT化，保障信息資產可控可管。

2.7 無線認證與CA證書對接

認證系統支持與Windows CA證書對接，僅當終端安裝有CA下發(fā)的合法數字證書時，終端才可認證接入網絡，證書錯誤或者不存在都無法接入。終端認證實現基本CA證書認證，無需再次輸入802.1x的用戶名密碼，簡化操作。同時，在CA服務器異常時，只要客戶終端有合法證書存在，仍可確保正常入網，實現免認證。這樣可以確保在CA服務器出現故障時仍能正常使用，不會造成嚴重的網絡事故。

3 應用實踐

3.1 無線網絡拓撲結構

某三級甲等醫(yī)院實施無線網絡的建設，目的是實現醫(yī)院無線網絡全面覆蓋，為移動醫(yī)療提供一個安全、高可用的無線網絡環(huán)境。該醫(yī)院無線網絡拓撲結構，見圖1。

圖1 無線網絡拓撲結構

3.2 無線網絡設計與部署

無線網絡由有源以太網(Power Over Ethernet, POE)交換機，大容量室內無線AP，智分零漫游無線接入點及其配件組成。POE交換機使用千兆以太網鏈路連接大容量室內無線AP、智分零漫游無線AP實現數據傳輸。無線AP通過專用超柔饋線連接功率分配器、智分單元及入室美化天線等配件通過穿墻入室方式實現院區(qū)無線信號覆蓋。大容量室內無線AP通過放裝形式滿足醫(yī)院開放式區(qū)域的無線信號覆蓋。

3.3 無線控制器冗余備份

無線控制器采用N+1集群冗余備份技術，其中1臺無線控制器作為主控制器，其余N臺作為從控制器。無線網絡初始化時，只有主控制器會接受AP的注冊請求。當AP和主控制器注冊并建立無線接入點的控制和配量協議(ControlandProvisioningofWirelessAccessPointsProtocolSpeafication,CAPWAP)關聯時，主控制器將備份控制器的信息通告給每個AP，AP根據此信息和備份的控制器建立一條虛擬CAPWAP鏈路，但同一時間只有與主控制器建立的CAPWAP鏈路處于工作狀態(tài)。當主控制器異常宕機時，備份控制器和主控制器之間的心跳檢測機制可以快速檢測到主設備的狀態(tài)，及時通知AP進行主備用CAPWAP隧道的切換，這一過程的切換時間將在50毫秒內完成，移動終端業(yè)務不會出現中斷。

3.4 非法電磁信號監(jiān)測

采用智能無線AP，通過兩種模式對非法電磁信號進行監(jiān)測：一種方式為AP設為每隔一段時間主動在線掃描模式；另一種方式將AP設為連續(xù)監(jiān)控的監(jiān)聽模式。智能無線AP通過上述兩種方式，采取按需的或預設定的射頻掃描來監(jiān)聽周邊環(huán)境信號源的MAC地址、通道(Channel)類型及服務集標識(ServiceSetIdentifier,SSID)等，自動識別并警告未授權的AP或點對點(Ad-Hoc)網絡，以避免潛在的干擾或與無線入侵者。另外，對于某些重點區(qū)域，可以部署專用AP不斷地掃描空域，以便滿足安全性更高的要求。

3.5 雙重認證鑒別

為了保障網絡的安全性，無線網絡需要對接入的設備進行準入認證。通常方式有802.1x+CA、Web以及MAC認證。對于不同種類的移動終端，由于操作系統的差異化，Web認證具有一定的兼容局限性。因此針對移動終端，可以采用基于802.1x+CA認證結合設備MAC地址綁定的雙重認證鑒別，實現全網統一的無線終端鑒別。被授權的移動終端只有在安裝了相應的CA證書，并且與綁定的MAC地址一致的情況下，才能接入無線網絡。通過雙重認證鑒別，實現移動終端的安全身份識別，避免外來非法無線終端的接入。

4 結語

很多醫(yī)院的實踐證明，移動醫(yī)療終端的實施為臨床醫(yī)護人員工作帶來了極大方便，而且使得醫(yī)療服務更加安全[5]。融入無線網絡技術及移動終端設備的醫(yī)療信息系統，為臨床醫(yī)療工作帶來創(chuàng)新與變革，是未來醫(yī)療信息系統的發(fā)展方向[6]。近年來，我國各醫(yī)院在無線醫(yī)療技術方面的應用十分活躍，但與歐美國家相比尚處于起步階段，如何加快無線技術的研究步伐，加大無線技術在醫(yī)療領域的投入，是我國醫(yī)療行業(yè)信息化建設的重點之一[7]。但是任何單一的安全技術都不能滿足無線網絡持續(xù)性的安全需求，只有通過綜合應用多種安全技術，才能實現醫(yī)院無線網絡的安全運行[8]。而且，無線網絡的安全不僅僅是技術問題，也是一個安全管理問題，同時也是社會道德與法律法規(guī)問題。因此，必須采取技術與立法等多種手段進行綜合治理[9]。通過無線網絡，利用移動終端設備，可實現床旁醫(yī)療服務，提高病人滿意度，提高工作效率，簡潔和美化病區(qū)環(huán)境。隨著移動醫(yī)療在醫(yī)院的普及，會有更多、更新的安全理論和技術不斷涌現，從而保證無線網絡的安全性，適應新形勢下的安全管理需要，使之更好地為醫(yī)療服務[10]。

1 李林，劉毅，楊駿．無線網絡安全風險評估方法的應用研究[J]．計算機防真，2011，28(9)：147-150．

2 張合華，趙玉虹．醫(yī)院打造BYOD環(huán)境策略探析[J]．醫(yī)學信息學雜志，2014，35(8)：31-34．

3 孔燦紅，朱小衛(wèi)，卜慶祝．醫(yī)療行業(yè)無線網絡的建設[J]．中國數字醫(yī)學，2010，5(11)：106-107．

4 劉文，徐濤．無線網絡技術在醫(yī)院設備管理中的應用[J]．醫(yī)學信息學雜志，2010，31(12)：34-37．

5 胡育新．一種多功能、移動式醫(yī)護工作站的設計構想[J]．醫(yī)學信息學雜志，2009，30(11)：21-22．

6 黃文財，高昭昇．基于RFID技術的醫(yī)院無線護理系統設計及其應用[J]．醫(yī)學信息學雜志，2013，34(9):23-25.

7 杜柯，朱新銀，趙碧霞．無線通信技術在智慧醫(yī)療管理系統中的應用[J]．醫(yī)學信息學雜志，2013，34(6)：14-17．

8 仲曉偉，王建強．醫(yī)院無線網絡安全防護的探討[J]．醫(yī)療衛(wèi)生裝備，2013，34(5)：45-47．

9 朱俊．無線網絡安全問題及其防范措施[J]．計算機與網絡，2013，(21)：71-73．

10 凡星，劉培奇．無線局域網中Wi-Fi安全技術研究[J]．電腦知識與基礎，2012，8(7)：1513-1515．

Hospital Wireless Network Security Construction Measures and Application Practice

YANGMei,PANXiao-lei,PENGShi-ji,

InformationDepartment,WujingZongduiHospitalofGuangzhouProvince,Guangzhou510507,China

Aiming at the security risks of using wireless network in hospital, the paper puts forward the hospital wireless network security construction countermeasures, including security strategy centralized control, access point zero configuration, illegal intrusion detection, virus protection, security access control, wireless authentication connected with CA certification. Practice proves the operability of this security construction measures.

Wi-Fi；Security threats；Information security

2014-11-11

楊眉，工程師，發(fā)表論文10余篇。

R-058

A 〔DOI〕10.3969/j.issn.1673-6036.2015.02.010