淺談醫(yī)院網(wǎng)絡安全管理和監(jiān)測的實用措施

朱彥華，莊榕

1.廣東藥學院第一附屬醫(yī)院 信息科，廣東 廣州 510080；2.長沙理工大學 計算機與通信工程學院，湖南長沙 410114

淺談醫(yī)院網(wǎng)絡安全管理和監(jiān)測的實用措施

朱彥華1，莊榕2

1.廣東藥學院第一附屬醫(yī)院 信息科，廣東 廣州 510080；2.長沙理工大學 計算機與通信工程學院，湖南長沙 410114

網(wǎng)絡安全是醫(yī)院信息系統(tǒng)安全、穩(wěn)定運行的基礎，只有醫(yī)院信息系統(tǒng)安全、穩(wěn)定的運行，醫(yī)院的業(yè)務才能更好地開展，病人才能得到更好的醫(yī)治。本文從物理安全、訪問安全、操作系統(tǒng)安全、網(wǎng)絡流量、信息的實時監(jiān)測和防護等多個方面闡述了醫(yī)院網(wǎng)絡安全管理的實用措施。

醫(yī)院網(wǎng)絡；內(nèi)網(wǎng)安全；網(wǎng)絡監(jiān)測和防護；HIS

隨著計算機網(wǎng)絡技術(shù)的迅猛發(fā)展，網(wǎng)絡安全成為網(wǎng)絡發(fā)展中的一大課題[1-2]。網(wǎng)絡安全是指利用網(wǎng)絡管理控制和技術(shù)措施，保證在一個網(wǎng)絡環(huán)境中，信息數(shù)據(jù)的機密性、完整性及可使用性受到保護。醫(yī)院是一個特殊的服務行業(yè)，其信息系統(tǒng)（HIS）必須保證24h不間斷運行，醫(yī)療信息數(shù)據(jù)必須安全、完整。因此，醫(yī)院的網(wǎng)絡安全的主要內(nèi)容是：① 保證HIS的不間斷正常運行；② 數(shù)據(jù)的安全、完整、準確。為了保證醫(yī)療業(yè)務的網(wǎng)絡安全，很多醫(yī)院都采用了醫(yī)院信息系統(tǒng)的網(wǎng)絡與INTERNET網(wǎng)從物理上隔離。即內(nèi)網(wǎng)與外網(wǎng)隔離。此做法從源頭上斷絕了病毒和攻擊的發(fā)生。然而根據(jù)調(diào)查，一個網(wǎng)絡信息系統(tǒng)的安全威脅往往不是來自于INTERNET，而是系統(tǒng)內(nèi)部[3-4]。下面將以我院的內(nèi)部網(wǎng)絡的安全管理和監(jiān)測為例，分別從物理安全、訪問安全、操作系統(tǒng)安全、網(wǎng)絡流量、信息的實時監(jiān)測和防護等多個方面，談談醫(yī)院網(wǎng)絡安全管理、監(jiān)測的方法和實用措施。

1 物理安全

具體是指用來保護計算機硬件和存儲介質(zhì)的裝置和工作程序，包括防盜、防火、防靜電、防雷擊和防電磁泄漏、冗余的UPS設備、服務器雙機熱備、網(wǎng)絡設備安全等內(nèi)容。我院2009年將放置服務器和核心交換設備的主機房改造成符合國家標準的，室內(nèi)溫度控制在20～25℃，設置防雷、防電擊裝置、帶門禁的中心機房。為了保證服務器（7×24）h不間斷工作，配備兩套UPS電源。為了保證應用的不間斷、數(shù)據(jù)的安全性，應用服務器、數(shù)據(jù)庫服務器都采取雙機容錯、雙機熱備的解決方案。網(wǎng)絡設備的安全：對于不同的網(wǎng)絡設備，其安全的著重點也不同。路由器：定期檢查指示燈是否正常。用PING 命令訪問路由器的IP地址是否正常。交換機或集線器：定期查看指示燈狀態(tài)，插頭是否松動，注意防垢、防水。網(wǎng)卡：查看與主板是否接觸不良，網(wǎng)卡配置是否被篡改。網(wǎng)線：是否有壓斷、扯壞、錯接等故障。RJ-45頭：線插的不到位，線序不一致等[5-6]。

2 訪問安全

⑴ 采用口令字、文件許可、加密、檢查日志等方法來實現(xiàn)。具體措施有： 對試探性訪問網(wǎng)絡或服務器操作加上時間限制；把重要的文檔、程序和文件加密等。WINDOWS SERVER域控制器將操作系統(tǒng)的用戶分組，保證控制。不同用戶組有不同的權(quán)限，標準用戶組僅能查看、操作計算機，但不允許查看和修改由另一個用戶組產(chǎn)生的數(shù)據(jù)、文件；定制域用戶策略也能保證禁止標準用戶組的一些安裝、卸載程序；刪除設備等誤操作。

⑵ 采用VLAN 技術(shù)將醫(yī)院局域網(wǎng)在邏輯上劃分為多個相互獨立的虛擬子局域網(wǎng)。例如：服務器、辦公樓的電腦、住院樓、財務樓等各設一個VLAN，在核心交換機添加訪問控制列表保證多個虛擬子網(wǎng)間不能通訊，但都可以訪問服務器網(wǎng)絡。這樣在確保業(yè)務不受影響的情況下，使計算機和數(shù)據(jù)庫服務器得到重點保護，同時縮小了病毒和攻擊的通訊范圍。

3 操作系統(tǒng)安全

醫(yī)院內(nèi)網(wǎng)的每臺工作站設置主機CMOS的密碼，屏蔽USB接口，安裝好防病毒軟件客戶端。一部分用于科研、辦公的計算機，因工作需要必須開放USB接口，容易形成一個病毒源向內(nèi)網(wǎng)上其他機器傳播病毒，造成內(nèi)部網(wǎng)絡病毒泛濫。針對上述問題，我院內(nèi)網(wǎng)安裝了網(wǎng)絡版殺毒軟件，該防毒軟件一監(jiān)測到網(wǎng)絡上有病毒爆發(fā)的某機器后立即啟用爆發(fā)阻止功能阻斷該機器的網(wǎng)絡端口、關閉文件共享以及限制對病毒文件和文件夾進行讀寫來阻斷病毒程序的傳播，保證我院局域網(wǎng)內(nèi)任一臺機器感染病毒不會傳染給服務器或其他機器，在整體上防止病毒蔓延。

4 網(wǎng)絡流量與信息監(jiān)測

網(wǎng)絡管理員使用CS-MARS對整個網(wǎng)絡的流量、攻擊行為等做日常監(jiān)測，并給予響應和處理[7-8]。思科安全監(jiān)控分析和響應系統(tǒng)(CS-MARS)，是接受各種設備的事件和數(shù)據(jù)，進行事件分析、匯總，然后根據(jù)需要生成相關的報告結(jié)果，以達到識別和消除網(wǎng)絡攻擊的目的。它通過對所有被管理安全設備的分析，可以生成完整的網(wǎng)絡拓撲圖。MARS可以實時地顯示系統(tǒng)的統(tǒng)計信息：如收到的安全事件數(shù)量，分別屬于什么等級（高、中、低）；能對收到的Session數(shù)量和收到的Netflow事件數(shù)量進行關匯總、分析，得出從源到目的的一系列路徑并提供出色性能和內(nèi)部經(jīng)驗；能在攻擊傳播到整個網(wǎng)絡前發(fā)現(xiàn)它們并提供防御建議；能端到端網(wǎng)絡感知——集成NAT/PAT和MAC地址信息，以圖形方式顯示攻擊者、攻擊目標和網(wǎng)絡熱點，以快速采取措施；使用所有網(wǎng)絡設備和終端系統(tǒng)的完整配置；能顯示NAT前后的地址集成安全漏洞評估——確定某一網(wǎng)絡攻擊是真正的攻擊還是誤報，以減少報警數(shù)目，縮短采取措施的時間。

為了配合CS-MARS的更好使用，我院網(wǎng)絡統(tǒng)一換成了思科交換機。對每臺二層交換機啟用日志收集，并啟用核心交換機和MARS的NetFlow功能保證將所有交換機的日志、流量發(fā)給MARS?，F(xiàn)在我們通過MARS事件安全界面，能很快獲得網(wǎng)絡當前發(fā)生的所有事件，能準確分辨網(wǎng)絡攻擊和網(wǎng)絡事件；能清晰的看到網(wǎng)絡攻擊的源頭及目標等，參考MARS對網(wǎng)絡攻擊給出的緩解建議，我們能及時采取措施保證網(wǎng)絡的正常運行。這一點對于網(wǎng)絡管理人員來說是非常重要的。MARS不僅提供了大量預定制報表供我們分析信息，還允許自定義報表查詢、分析。例如：查詢過去1h網(wǎng)絡內(nèi)流量最高的目的端口數(shù)據(jù)流量，并查詢主要是哪些主機發(fā)出最多該目的端口流量；查詢條件為過去1h網(wǎng)絡內(nèi)流量最高的目的端口數(shù)據(jù)流量，并以流量大小作排序等等。這些查詢的結(jié)果都能讓我們對整個網(wǎng)絡的流量、端口使用情況等進行分析，及時發(fā)現(xiàn)異常。

5 數(shù)據(jù)安全

雙機冗余、異地同步復制數(shù)據(jù)、定時磁帶備份、數(shù)據(jù)導出遷移等都是數(shù)據(jù)保護的有效措施。醫(yī)院信息數(shù)據(jù)安全的重要性是不言而喻的，而數(shù)據(jù)所面臨的風險不僅僅是病毒和網(wǎng)絡攻擊，用戶的一次錯誤操作、系統(tǒng)的一次不正常斷電以及其他一些意外，都可能引起災難性的數(shù)據(jù)流失或損壞，所以必須建立一套完善的保護方案和應急措施。我院現(xiàn)在對數(shù)據(jù)的保護措施是：每天定時數(shù)據(jù)完整備份和中午數(shù)據(jù)差異備份相結(jié)合的辦法。我院計劃在2011年建立異地災備系統(tǒng)，并逐步建立數(shù)據(jù)異地同步復制機制來保護無法預料的災害事件對數(shù)據(jù)的侵害，真正做到防范于未然。

綜上所述，網(wǎng)絡安全問題日趨嚴峻，萬能的網(wǎng)絡安全解決方案是不存在的[9,10]。醫(yī)院網(wǎng)絡安全體系應量力而行、結(jié)合自身業(yè)務特點，不單純追求技術(shù)的先進性，從安全防護的多個方面采取有效措施和監(jiān)測為醫(yī)院信息網(wǎng)絡安全提供保障。

[1] 王溫君.計算機安全概述[M].北京:高等教育出版社,2002.

[2] 張文學,趙雯,陶藝紅,等.關于醫(yī)院網(wǎng)絡安全的思考[J].中國信息界,2005(8):36.

[3] 馬李明,徐艷蕾.醫(yī)院網(wǎng)絡安全管理[J].安徽冶金科技職業(yè)學院學報,2008,18(2):46-48.

[4] 楊力平.網(wǎng)絡安全管理概要與探討[J].信息網(wǎng)絡安全,2008(2):31-43.

[5] Andrew S.Tanenbaum.計算機網(wǎng)絡[M].胡道元,譯.北京:清華大學出版社,1999.

[6] 張志偉,劉沛先,王磊,等.醫(yī)院網(wǎng)絡安全分析及措施[J].中國醫(yī)學裝備,2006(5):26-28.

[7] 李全凱.醫(yī)院網(wǎng)絡安全管理策略分析[J].醫(yī)學情報工作,2006,27(1):31-33.

[8] 沈崑,楊松.應用網(wǎng)絡安全管理策略探討[J].中國醫(yī)療設備,2009(12):80-81.

[9] 周爽.談計算機網(wǎng)絡安全維護[J].科技風,2010(6):242.

[10] 孫平波.基于應用的網(wǎng)絡安全解決方案[J].電腦知識與技術(shù),2009(26):48-49.

Discussion on Practical Measures of Hospital Network Security Management and Monitoring

ZHU Yan-hua1, ZHUANG Rong2
1.Information Department, the First Affiliated Hospital of Guangdong College of Pharmacy,Guangzhou Guangdong 510080, China;2. Computer and Communications Engineering Department,Changsha University of Science and Technology, Changsha Hunan 410114,China

Network security is the base of hospital information system stable running.This paper summarizes the physical safety, access safety, operation system safety, network flow, information real-time monitoring and protection about hospital network security management.

hospital network; inner-network safety; network monitoring and protection; HIS

1674-1633(2010)12-0069-02

2010-06-13

2010-09-20

作者郵箱：ahzhu@tom.com

TP393.08；R197.324

C

10.3969/j.issn.1674-1633.2010.12.028