摘 要：我院作為三級(jí)市級(jí)婦幼保健院，在信息系統(tǒng)的發(fā)展上緊跟時(shí)代的步伐，醫(yī)療主要的系統(tǒng)包括HIS、LIS、PACS、EMR、信息集成平臺(tái)以及自助機(jī)、微信預(yù)約掛號(hào)等，在勒索病毒頻發(fā)的今天，網(wǎng)絡(luò)的安全問題已經(jīng)成為各行各業(yè)數(shù)據(jù)安全的首要解決的問題，國(guó)家也要求重要機(jī)構(gòu)要按等級(jí)保護(hù)標(biāo)準(zhǔn)進(jìn)行安全設(shè)備升級(jí)，結(jié)合我院實(shí)際情況，接下來對(duì)等級(jí)保護(hù)的設(shè)計(jì)方案進(jìn)行探討。

關(guān)鍵詞：勒索病毒;網(wǎng)絡(luò)安全;等級(jí)保護(hù)

1 改造前的概況

1）辦公外網(wǎng)。針對(duì)辦公需要使用郵件、辦公自動(dòng)化系統(tǒng)OA以及醫(yī)院官網(wǎng)運(yùn)維等，辦公外網(wǎng)主要通過聯(lián)通接入一條光纖，通過光貓后，通過網(wǎng)線接入我們的外網(wǎng)專用天融信防火墻。防火墻進(jìn)行簡(jiǎn)單的限制和過濾后，接入外網(wǎng)核心交換機(jī)，通過核心交換機(jī)再分發(fā)到樓層交換機(jī)，每層的外網(wǎng)終端PC機(jī)和無(wú)線路由都接到該層交換機(jī)上，手機(jī)端通過無(wú)線路由上網(wǎng)辦公。這是一個(gè)簡(jiǎn)單的外網(wǎng)結(jié)構(gòu)，安全性較低，對(duì)外網(wǎng)的管理能力也不高。因?yàn)樯婕吧吓c內(nèi)網(wǎng)無(wú)交集，所以不影響業(yè)務(wù)內(nèi)網(wǎng)的安全。

2）業(yè)務(wù)內(nèi)網(wǎng)。醫(yī)院主要業(yè)務(wù)系統(tǒng)包括HIS、LIS、PACS、EMR、信息集成平臺(tái)等，都部署在內(nèi)網(wǎng)中，這些系統(tǒng)每天都會(huì)產(chǎn)生大量業(yè)務(wù)信息，也會(huì)進(jìn)行各種類型的數(shù)據(jù)交換，醫(yī)院的業(yè)務(wù)流程也是通過這些系統(tǒng)來完成，醫(yī)生的醫(yī)囑、處方和電子病歷，護(hù)士的各種護(hù)理記錄，以及檢驗(yàn)儀檢的各種報(bào)告、圖文，都保存在業(yè)務(wù)系統(tǒng)中，在無(wú)紙化改造過程中，電子數(shù)據(jù)更是無(wú)可替代的角色來存在。我院設(shè)有醫(yī)保網(wǎng)專線，專線通過專線路由器接入服務(wù)器交換機(jī)，服務(wù)器交換機(jī)一邊接所有重要的業(yè)務(wù)系統(tǒng)服務(wù)器和各種存儲(chǔ)用的磁盤陳列，另一邊接天融信內(nèi)網(wǎng)防火墻，防火墻接兩臺(tái)雙機(jī)熱備狀態(tài)的內(nèi)網(wǎng)核心交換機(jī)，而核心交換機(jī)通過光纖接到數(shù)十個(gè)層樓交換機(jī)，包括門診部和住院部，每個(gè)交換機(jī)都劃分網(wǎng)段，層樓交換機(jī)再接入內(nèi)網(wǎng)業(yè)務(wù)終端PC機(jī)和相應(yīng)的設(shè)備。

這樣的內(nèi)網(wǎng)結(jié)構(gòu)，安全隱患還是比較大的。首先醫(yī)保網(wǎng)直接接內(nèi)網(wǎng)服務(wù)器交換機(jī)，這個(gè)過程中沒防火墻的攔截與保護(hù)，容易造成病毒從醫(yī)保網(wǎng)端進(jìn)入服務(wù)器。其次，內(nèi)網(wǎng)終端到服務(wù)器，中間只有一個(gè)內(nèi)網(wǎng)天融信防火墻，安全等級(jí)比較低，防火墻沒有雙機(jī)熱備，也沒有日志和數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)，各種木馬、蠕蟲、僵尸和勒索等病毒很可能通過終端的U盤等設(shè)備進(jìn)入內(nèi)網(wǎng)，通過潛伏和攻擊，突破防火墻，進(jìn)入業(yè)務(wù)服務(wù)器，從而破壞醫(yī)院的正常業(yè)務(wù)系統(tǒng)運(yùn)作，針對(duì)這樣的風(fēng)險(xiǎn)，在做網(wǎng)絡(luò)安全等級(jí)保護(hù)設(shè)計(jì)，必須從總體出發(fā)，結(jié)合現(xiàn)有的設(shè)備等實(shí)際情況，進(jìn)行合理規(guī)劃，有備無(wú)患。

2 改造思路

1）依據(jù)等級(jí)保護(hù)標(biāo)準(zhǔn)和指南等文件要求，結(jié)合實(shí)際需求情況，我們對(duì)保護(hù)對(duì)象進(jìn)行區(qū)域劃分和定級(jí)，對(duì)不同的保護(hù)對(duì)象從通信網(wǎng)絡(luò)防護(hù)、區(qū)域邊界防護(hù)、計(jì)算環(huán)境防護(hù)等多方面進(jìn)行不同級(jí)別的安全防護(hù)設(shè)計(jì)。通過“一個(gè)中心、三重防護(hù)”的設(shè)計(jì)理念，形成網(wǎng)絡(luò)安全綜合技術(shù)防護(hù)體系。按照網(wǎng)絡(luò)分類，總體大分為醫(yī)院外網(wǎng)區(qū)域和醫(yī)院內(nèi)網(wǎng)區(qū)域;而內(nèi)外網(wǎng)之間通過網(wǎng)閘連接。

2）醫(yī)院外網(wǎng)區(qū)域。外網(wǎng)區(qū)域主要是與互聯(lián)網(wǎng)連接的區(qū)，細(xì)分功能模塊為互聯(lián)網(wǎng)出口區(qū)，DMZ非軍事化區(qū)，核心交換區(qū)以及終端接入?yún)^(qū)。（1）互聯(lián)網(wǎng)出口區(qū)，是指接互聯(lián)網(wǎng)的區(qū)域，包含互聯(lián)網(wǎng)服務(wù)商的專線，互聯(lián)網(wǎng)出口用的下一代防火墻設(shè)備，以及上網(wǎng)行為管理系統(tǒng)。其中，下一代防火墻有L2-L7層安全防御，包含入侵防御、僵尸網(wǎng)絡(luò)識(shí)別、WEB應(yīng)用防護(hù)等，并且以網(wǎng)絡(luò)模式部署，具備BYPASS功能。同時(shí)還可以實(shí)時(shí)漏洞分析、威脅情報(bào)預(yù)警和處置等。對(duì)入侵攻擊等事件做到事前事中事后的全程保護(hù)。上網(wǎng)行為管理系統(tǒng)則惡意通過帶寬調(diào)整資源配置，細(xì)粒度管理，監(jiān)控各種上網(wǎng)行為，避免出現(xiàn)網(wǎng)絡(luò)違法、機(jī)密泄露和上班時(shí)間玩游戲、下載電影、在線看直播等與工作無(wú)關(guān)的行為，滿足審計(jì)要求。（2）DMZ非軍事化區(qū)也稱隔離區(qū)，連接互聯(lián)網(wǎng)出口防火墻，放置需要連互聯(lián)網(wǎng)但是對(duì)安全要求較高的服務(wù)器，例如微信前置機(jī)服務(wù)器等。（3）外網(wǎng)核心交換區(qū)，包含一臺(tái)外網(wǎng)核心交換機(jī)，以及VPN虛擬專用網(wǎng)絡(luò)設(shè)備和潛伏威脅探針，還有一臺(tái)安全感知平臺(tái)。VPN的作用是在公用網(wǎng)絡(luò)上建立專用網(wǎng)絡(luò)，進(jìn)行加密通訊，通過對(duì)數(shù)據(jù)包的加密和數(shù)據(jù)包目標(biāo)地址的轉(zhuǎn)換實(shí)現(xiàn)遠(yuǎn)程訪問，從而實(shí)現(xiàn)安全快速簡(jiǎn)易的遠(yuǎn)程接入，在技術(shù)上對(duì)工程師遠(yuǎn)程維護(hù)系統(tǒng)的操控提供了安全保障。潛伏威脅探針是和安全感知平臺(tái)搭配使用的設(shè)備，兩臺(tái)潛伏威脅探針都是通過旁路部署在內(nèi)外核心交換機(jī)上，通過對(duì)全流量信息進(jìn)行采集，然后把采集的信息發(fā)送給安全感知平臺(tái)進(jìn)行處理。安全感知平臺(tái)可部署在內(nèi)網(wǎng)核心交換機(jī)上，也可以部署在外網(wǎng)核心交換機(jī)，處于對(duì)后期方便遠(yuǎn)程查看此設(shè)備的分析情況，我們傾向部署在外網(wǎng)核心交換機(jī)上，由于內(nèi)外網(wǎng)通過網(wǎng)閘進(jìn)行隔離和聯(lián)通，所以部署在外網(wǎng)核心交換機(jī)上也能監(jiān)測(cè)到內(nèi)網(wǎng)核心交換機(jī)的探針，獲取內(nèi)網(wǎng)各個(gè)服務(wù)器的流量情況。安全感知平臺(tái)功能強(qiáng)大，可進(jìn)行：內(nèi)部橫向攻擊行為檢測(cè)、內(nèi)網(wǎng)業(yè)務(wù)訪問關(guān)系可視化、違規(guī)訪問行為檢測(cè)、設(shè)備聯(lián)通管理和第三方設(shè)備日志管理。（4）終端接入?yún)^(qū)，由連接外網(wǎng)核心交換機(jī)的各樓層交換機(jī)和外網(wǎng)辦公的PC以及各種無(wú)線路由組成。

3）內(nèi)外網(wǎng)隔離交換區(qū)。這是存在于醫(yī)院外網(wǎng)和內(nèi)網(wǎng)之間的區(qū)域，這個(gè)區(qū)域部署了網(wǎng)閘。網(wǎng)閘，簡(jiǎn)稱GAP，是使用帶有多種控制功能的固態(tài)開關(guān)讀寫介質(zhì)，連接兩個(gè)獨(dú)立主機(jī)系統(tǒng)的信息安全設(shè)備，網(wǎng)閘從邏輯上隔離、阻斷了對(duì)內(nèi)網(wǎng)具有潛在攻擊可能的一切網(wǎng)絡(luò)連接，使外部攻擊者無(wú)法直接入侵、攻擊或破壞內(nèi)網(wǎng)，保障了內(nèi)部主機(jī)的

安全。

4）醫(yī)院內(nèi)網(wǎng)區(qū)域。內(nèi)網(wǎng)區(qū)域根據(jù)安全域劃分主要由外網(wǎng)接入?yún)^(qū)、內(nèi)網(wǎng)核心交換區(qū)、內(nèi)網(wǎng)終端接入?yún)^(qū)、安全管理區(qū)和數(shù)據(jù)中心區(qū)組成。（1）外網(wǎng)接入?yún)^(qū)，就是外網(wǎng)專線接入的區(qū)域，醫(yī)保網(wǎng)、衛(wèi)健委等專線通過這里進(jìn)入，首先要通過一個(gè)專線專用下一代防火墻，這個(gè)防火墻相比辦公外網(wǎng)的防火墻功能差不多，但配置上可以低一些，因?yàn)榱髁亢蛿?shù)據(jù)都不高，降低投入成本。（2）內(nèi)網(wǎng)核心交換區(qū)，主要是兩臺(tái)組成雙機(jī)熱備的內(nèi)網(wǎng)核心交換機(jī)，也旁路部署一臺(tái)潛伏威脅探針設(shè)備在交換機(jī)上，監(jiān)測(cè)內(nèi)網(wǎng)業(yè)務(wù)服務(wù)器全流量情況。（3）內(nèi)網(wǎng)終端接入?yún)^(qū)，由通過連接內(nèi)網(wǎng)核心交換機(jī)的各層層樓交換機(jī)和內(nèi)網(wǎng)辦公終端PC機(jī)組成。（4）安全管理區(qū)，這個(gè)區(qū)由旁路部署在內(nèi)網(wǎng)核心交換機(jī)上的準(zhǔn)入控制系統(tǒng)和旁路部署在服務(wù)器交換機(jī)上的等保一體機(jī)組成。準(zhǔn)入控制系統(tǒng)作用是下發(fā)策略給終端用戶，終端接受到策略后，通過終端設(shè)備windows防火墻的WFP功能，達(dá)到終端設(shè)備只能與指定網(wǎng)段設(shè)備進(jìn)行通信的效果。等保一體機(jī)是為等保評(píng)審設(shè)置的重要設(shè)備，它包含安全運(yùn)維管理、日志審計(jì)和數(shù)據(jù)庫(kù)審計(jì)于一體，一臺(tái)設(shè)備就能滿足三個(gè)方面的要求。（5）數(shù)據(jù)中心區(qū)。通過光纖與內(nèi)網(wǎng)核心交換機(jī)的兩臺(tái)數(shù)據(jù)中心防火墻作為把關(guān)，再加入一條服務(wù)器交換機(jī)上，交換機(jī)再接到各種業(yè)務(wù)系統(tǒng)服務(wù)器。這次的防火墻和交換機(jī)對(duì)性能要求比較高。

3 結(jié)語(yǔ)

整體方案符合從醫(yī)院實(shí)際情況出發(fā)來改造，也基本滿足了網(wǎng)絡(luò)安全等級(jí)保護(hù)的要求，只是數(shù)據(jù)中心區(qū)的服務(wù)器交換機(jī)如果有兩臺(tái)組成雙機(jī)熱備，安全效果會(huì)更佳。

參考文獻(xiàn)

[1]宋睿，公丕強(qiáng).信息系統(tǒng)安全等級(jí)保護(hù)方案設(shè)計(jì)方法研究[J].郵電設(shè)計(jì)技術(shù)，2015（4）：79-83.

[2]簡(jiǎn)偉光，湯培新，陳能，等.數(shù)據(jù)中心等級(jí)保護(hù)安全設(shè)計(jì)方案[J].信息化建設(shè)，2016（3）.

作者簡(jiǎn)介

盧方建（1986-），男，漢族，廣東陽(yáng)江人，大學(xué)本科，副高，從事的工作：醫(yī)院信息系統(tǒng)安全管理。