王寶剛　王婷利

摘要：醫(yī)療信息化是現(xiàn)代醫(yī)院的重要特征?，F(xiàn)代醫(yī)院是一個(gè)高度信息化的綜合體，各種信息終端通過有線和無線網(wǎng)絡(luò)連接到醫(yī)院內(nèi)外各服務(wù)器?；谶@些物理平臺，醫(yī)院信息系統(tǒng)、電子病歷系統(tǒng)、影像系統(tǒng)和LIS系統(tǒng)等眾多應(yīng)用平臺對醫(yī)院的各項(xiàng)醫(yī)療活動(dòng)、后勤管理和行政決策形成全方位支持，同時(shí)對患者提供預(yù)約掛號、自助繳費(fèi)、醫(yī)院各項(xiàng)信息查詢等功能。文章首先分析了現(xiàn)代醫(yī)院網(wǎng)絡(luò)的特點(diǎn)，進(jìn)而總結(jié)了現(xiàn)代醫(yī)院網(wǎng)絡(luò)面臨的各種威脅，最后著重對這些威脅提出了一整套解決方案。

關(guān)鍵詞：網(wǎng)絡(luò)邊界IPS；UTM；安全掃描

1現(xiàn)代化醫(yī)院網(wǎng)絡(luò)的特點(diǎn)

1.1網(wǎng)絡(luò)邊界復(fù)雜，接入方式多樣化

醫(yī)院作為一個(gè)特殊的行業(yè)，除了一般企業(yè)的Internet接入，還要接入各個(gè)農(nóng)合和醫(yī)保局，其接入方式大體有兩種：專線直連和公網(wǎng)連接。醫(yī)院內(nèi)部接入網(wǎng)絡(luò)的有各信息處理終端、各種醫(yī)療設(shè)備終端以及各種移動(dòng)醫(yī)療的無線設(shè)備終端3大類。同時(shí)為了支持在外出差等職工訪問醫(yī)院網(wǎng)絡(luò)的需求，還需要在邊界開放VPN業(yè)務(wù)。

1.2數(shù)據(jù)并發(fā)集中，數(shù)據(jù)量大，系統(tǒng)連續(xù)運(yùn)行

門診每日的業(yè)務(wù)集中于9點(diǎn)-11點(diǎn)，數(shù)據(jù)量小但可靠性要求高，影像中心實(shí)時(shí)性要求不高但是數(shù)據(jù)流量巨大、同時(shí)越來越多的監(jiān)控設(shè)備、語音設(shè)備也帶來了巨大的流量。由于醫(yī)院的特殊行業(yè)性質(zhì)，醫(yī)院的信息系統(tǒng)一般都要求24小時(shí)不間斷運(yùn)行，這對系統(tǒng)的穩(wěn)定性、可靠性提出來了很高的要求。

1.3高擴(kuò)展性要求

隨著現(xiàn)在醫(yī)療技術(shù)的發(fā)展，各種新型醫(yī)療設(shè)備不斷涌現(xiàn)，這些設(shè)備基本上都具有網(wǎng)絡(luò)功能，同時(shí)物聯(lián)網(wǎng)在醫(yī)療方面的應(yīng)用也越來越多，這些都對醫(yī)院網(wǎng)絡(luò)接入能力提出了更高要求。

這些特點(diǎn)要求醫(yī)院的網(wǎng)絡(luò)必須具有高可靠性、高處理能力，以及良好的擴(kuò)展能力。

2醫(yī)院網(wǎng)絡(luò)面臨的威脅

2.1常規(guī)網(wǎng)絡(luò)安全問題

隨著醫(yī)院網(wǎng)絡(luò)的開放程度越來越大，受到外部攻擊的可能性也在逐漸增大。包括比較常見的ARP欺騙，ARP病毒，DoS攻擊和DDoS攻擊。而利用主流應(yīng)用平臺安全漏洞的新型病毒每天都新增成百上千。新型病毒廣泛利用底層驅(qū)動(dòng)技術(shù)提高優(yōu)先級以躲避反病毒軟件查殺，高隱蔽性已經(jīng)成為病毒發(fā)展的重要趨勢。

2.2有針對性的數(shù)據(jù)竊取

隨著信息技術(shù)的發(fā)展，現(xiàn)代醫(yī)院都積累了大量的醫(yī)療數(shù)據(jù)，從這些數(shù)據(jù)中可以得到疾病診治、區(qū)域性疾病、傳染病分布等方方面面的信息。這些數(shù)據(jù)無疑對醫(yī)院、整個(gè)社會(huì)都具有重要價(jià)值。這些數(shù)據(jù)也是不法醫(yī)藥代表進(jìn)行統(tǒng)方的最好數(shù)據(jù)來源。因此，保護(hù)這些數(shù)據(jù)不被非法訪問、竊取成為醫(yī)院信息部門的重要職責(zé)。

2.3BYOD普及及越來越多自助應(yīng)用帶來的問題

隨著各種醫(yī)務(wù)自助機(jī)應(yīng)用的普及及BYOD（Bring Your Own Device）的應(yīng)用的逐漸推廣，醫(yī)療行業(yè)的工作效率和服務(wù)質(zhì)量顯著提高，但同時(shí)BYDO的多設(shè)備平臺特性以及各種自助機(jī)的開放式特性，使內(nèi)部數(shù)據(jù)庫訪問從單一平臺延伸到多平臺，從內(nèi)網(wǎng)延伸到公共區(qū)域，從而使醫(yī)院的網(wǎng)絡(luò)面臨非常復(fù)雜和隱蔽的問題和風(fēng)險(xiǎn)。

3醫(yī)院網(wǎng)絡(luò)安全應(yīng)對策略

3.1全網(wǎng)統(tǒng)一管理

現(xiàn)代化醫(yī)院電腦終端眾多，沒有統(tǒng)一的管理將會(huì)給信息部門造成巨大的不便，客戶端統(tǒng)一管理主演包括2個(gè)方面：（1）客戶端的遠(yuǎn)程維護(hù)，（2）客戶端資源的統(tǒng)一管理。在客戶端安裝遠(yuǎn)程控制軟件，可以大大減少系統(tǒng)管理員來回奔波解決客戶端問題的次數(shù)，同時(shí)也利于對客戶端進(jìn)行監(jiān)管。醫(yī)院普遍采用window終端，可以利用微軟提供的域管理方式進(jìn)行集中管理：域管理員可以對整個(gè)域進(jìn)行集中管理，設(shè)定整個(gè)域的組策略以及其中每個(gè)OU的組策略。依靠域可以限制使用u盤等移動(dòng)存儲介質(zhì)，從而可以大大減少醫(yī)院內(nèi)網(wǎng)病毒、木馬傳播，也可以減少醫(yī)院信息被非法復(fù)制的風(fēng)險(xiǎn)。為方便管理，也可以利用一些專門的網(wǎng)管軟件對醫(yī)院內(nèi)網(wǎng)設(shè)備進(jìn)行統(tǒng)一管理。

3.2內(nèi)網(wǎng)部署IPS，邊界部署UTM

一般常見的網(wǎng)絡(luò)安全產(chǎn)品主要有防火墻、UTM、IPS三種，防火墻是一種訪問控制隔離設(shè)備，它是不同網(wǎng)絡(luò)安全域之間通信流的唯一通道，能根據(jù)用戶有關(guān)的安全策略控制進(jìn)出網(wǎng)絡(luò)的訪問行為。而UTM要實(shí)現(xiàn)的不僅僅是對網(wǎng)絡(luò)訪問的控制，同時(shí)也要實(shí)現(xiàn)了對數(shù)據(jù)包全層次的識別與過濾，因此UTM不僅具有防火墻的功能，還能對流經(jīng)的數(shù)據(jù)流進(jìn)行全方位病毒查殺。IPS也可以提供深達(dá)7層的包分析能力，一般主要用來保護(hù)WEB業(yè)務(wù)和數(shù)據(jù)庫業(yè)務(wù)。

目前融合多種病毒技術(shù)以提高隱蔽性和傳播性的新型病毒已經(jīng)變的越來越常見，以蠕蟲為例，就融合了緩沖區(qū)溢出技術(shù)、網(wǎng)絡(luò)掃描技術(shù)和病毒感染技術(shù)。防火墻對于蠕蟲病毒的傳播無能為力，因?yàn)榉阑饓σ话愎ぷ髟?層網(wǎng)絡(luò)協(xié)議的第3和第4層。而UTM可以提供到深達(dá)7層的網(wǎng)絡(luò)保護(hù)。因此在對醫(yī)院網(wǎng)絡(luò)進(jìn)行安全規(guī)劃時(shí)采用在內(nèi)網(wǎng)核心設(shè)備或者服務(wù)器前部署IPS過濾全網(wǎng)流量并在網(wǎng)絡(luò)邊界部署UTM，同時(shí)在產(chǎn)品選擇時(shí)選用不同廠家的產(chǎn)品進(jìn)行異構(gòu)化部署會(huì)是比較好的一種方案。

3.3網(wǎng)絡(luò)分區(qū)

醫(yī)院的網(wǎng)絡(luò)可以按照是否連接外網(wǎng)分成3類：（1）不訪問外網(wǎng)的終端：這類終端可以一般可以設(shè)置為禁止使用u盤等移動(dòng)存儲設(shè)備，這樣只接入內(nèi)網(wǎng)的機(jī)器具有很高的安全性；（2）同時(shí)接入內(nèi)外網(wǎng)和允許插u盤的終端：在訪問內(nèi)網(wǎng)服務(wù)器時(shí)可以使用IPS對數(shù)據(jù)流進(jìn)行嚴(yán)格的分析過濾，這類設(shè)備往往需要進(jìn)行內(nèi)外網(wǎng)數(shù)據(jù)交互（如醫(yī)保結(jié)算終端），所以不能使用完全的內(nèi)外網(wǎng)物理隔離；（3）只訪問外網(wǎng)的終端：不需要訪問內(nèi)網(wǎng)的終端嚴(yán)格限制其對內(nèi)部網(wǎng)絡(luò)的訪問，有條件的醫(yī)院最好對這類終端進(jìn)行物理隔離。對于沒有條件或者不方便進(jìn)行物理隔離的醫(yī)院可以采用防火墻和交換機(jī)結(jié)合的方式實(shí)現(xiàn)內(nèi)外網(wǎng)隔離。

醫(yī)院內(nèi)部可以采用VLAN隔離這3類終端，通過核心IPS對所有出入服務(wù)器區(qū)的數(shù)據(jù)包進(jìn)行安全控制及過濾，可根據(jù)實(shí)際對第2類設(shè)備訪問服務(wù)器進(jìn)行更為嚴(yán)格的包過濾以保證服務(wù)器區(qū)的安全，必要時(shí)可以使用ACL對終端進(jìn)行更為詳細(xì)的訪問控制。

3.4網(wǎng)絡(luò)設(shè)備的管理要求

3.4.1關(guān)閉網(wǎng)絡(luò)設(shè)備未使用的端口

一般交換機(jī)的console口默認(rèn)都是沒有設(shè)置密碼的，攻擊者能接觸到交換機(jī)就能通過串口看到交換機(jī)的配置，甚至更改交換機(jī)配置，這是網(wǎng)絡(luò)安全的一個(gè)重大隱患。因此在交換機(jī)配置時(shí)，要關(guān)閉不使用的端口，同時(shí)給交換機(jī)console口配置密碼，若交換機(jī)支持分級密碼，可以對不同的網(wǎng)絡(luò)管理人員設(shè)置不同權(quán)限。需要注意的是，大多數(shù)交換機(jī)都支持密碼恢復(fù)，即可以破解交換機(jī)密碼。但是這樣的過程基本上都需要重新啟動(dòng)交換機(jī)，所以在日常維護(hù)中，如果發(fā)現(xiàn)交換機(jī)等網(wǎng)絡(luò)設(shè)備異常重啟，一定要迅速查看，查明原因。

3.4.2MAC和端口綁定

醫(yī)院內(nèi)部人員由于各種原因，會(huì)出現(xiàn)自行移動(dòng)客戶端的位置的情況。由于不同的區(qū)域擁有不同的安全權(quán)限級別，這樣做會(huì)破壞原本的網(wǎng)絡(luò)安全機(jī)制。針對此問題，通常采用MAC和網(wǎng)絡(luò)設(shè)備端口綁定的方式予以限制。需要注意的是，單純的MAC與端口綁定存在仿冒MAC的漏洞，即非法終端可以把自己MAC改成合法MAC后接入網(wǎng)絡(luò)，要完全杜絕此類問題可以采用類似H3C EAD端點(diǎn)終入控制系統(tǒng)進(jìn)行終端安全接入管理。

3.5定期執(zhí)行安全掃描

安全掃描能夠測試和評價(jià)系統(tǒng)的安全性并及時(shí)發(fā)現(xiàn)安全漏洞。安全掃描分為2類：主機(jī)安全掃描和網(wǎng)絡(luò)安全掃描。主機(jī)安全掃描則是通過執(zhí)行一些腳本文件模擬對系統(tǒng)進(jìn)行攻擊的行為并記錄系統(tǒng)的反應(yīng)，從而發(fā)現(xiàn)其中的漏洞；網(wǎng)絡(luò)安全掃描主要針對系統(tǒng)中的脆弱口令以及其它同安全規(guī)則相抵觸的對象。

通過安全掃描，網(wǎng)絡(luò)管理員可以及時(shí)發(fā)現(xiàn)安全漏洞，客觀評估網(wǎng)絡(luò)風(fēng)險(xiǎn)等級，在黑客攻擊前進(jìn)行防范。如果說防火墻和網(wǎng)絡(luò)監(jiān)控系統(tǒng)是被動(dòng)的防御手段，那么安全掃描就是一種主動(dòng)的防范措施。

3.6部署上網(wǎng)行為管理設(shè)備

上網(wǎng)行為管理產(chǎn)品是專用于防止非法信息惡意傳播，避免國家機(jī)密、商業(yè)信息、科研成果泄漏的產(chǎn)品；可實(shí)時(shí)監(jiān)控、管理網(wǎng)絡(luò)資源使用情況，提高整體工作效率。同時(shí)在醫(yī)院進(jìn)行信息化建設(shè)時(shí)三級等保有明確要求必須部署該類產(chǎn)品。建議國內(nèi)用戶盡量選擇使用國內(nèi)廠商推出的上網(wǎng)行為管理產(chǎn)品，畢竟中國的廠商更了解中國用戶的互聯(lián)網(wǎng)環(huán)境和互聯(lián)網(wǎng)使用習(xí)慣。

3.7其他一些網(wǎng)絡(luò)安全部署

（1）客戶端安裝企業(yè)版殺毒軟件；（2）所有終端在使用U盤等移動(dòng)存儲設(shè)備時(shí)必須進(jìn)行安全掃描；（3）架設(shè)補(bǔ)丁升級服務(wù)器，及時(shí)為客戶端服務(wù)器打補(bǔ)丁，醫(yī)院的電腦一般使用windows系統(tǒng)，可以使用WSUS打補(bǔ)丁；（4）部署數(shù)據(jù)庫審計(jì)與防統(tǒng)方系統(tǒng)；（5）制定嚴(yán)格的網(wǎng)絡(luò)安全管理制度，并切實(shí)執(zhí)行。

網(wǎng)絡(luò)安全遵循木桶原則，任何一個(gè)短板都可能給入侵者和破壞者可乘之機(jī)，因此要求網(wǎng)絡(luò)管理人員具備大局意識，對任何可能危害網(wǎng)絡(luò)安全的行為做到先知先覺，在日常維護(hù)中嚴(yán)格遵守規(guī)章制度，保證醫(yī)院網(wǎng)絡(luò)平穩(wěn)安全的運(yùn)行。