醫(yī)院網(wǎng)絡安全加固實施方案

徐然 劉大龍

青島市市立醫(yī)院信息管理部，山東 青島 266071

作為醫(yī)院網(wǎng)絡管理員或網(wǎng)絡安全工程師，僅僅了解網(wǎng)絡設備的功能及相關(guān)性能參數(shù)，是完全不夠的，我們的任務是將這些設備搭建起來組成網(wǎng)絡，組成一個安全的網(wǎng)絡，組成一個高效率的網(wǎng)絡，這才是我們做網(wǎng)絡管理員或者網(wǎng)絡工程師的基本工作，也是我們的工作目標。怎樣組織好這些設備呢？這就需要更多的組網(wǎng)實踐活動才行，實際環(huán)境中網(wǎng)絡方案的設計、網(wǎng)絡安全的加固可以說千變?nèi)f化，各種不同的實際情況，讓我們拿著相同的設備可以組成具有完全不同功能的網(wǎng)絡，當然也可能會出現(xiàn)各種不同的問題，對各種問題更應該具有舉一反三的解決問題的能力。

網(wǎng)絡安全加固方案設計通常分為五個方面，這五個方面是：方案背景、需求分析、方案設計、產(chǎn)品介紹、方案建設預算等。這里先對這五個方面做一個解釋。

1) 方案背景：方案背景一般是描述本方案是在什么情況下提出的，得到哪些方面的支持和認可，預計方案實施后產(chǎn)生的效果如何等。

2) 需求分析：這個方面是整個方案的基礎，方案一般是以需求分析為基礎進行設計的。它一般又分為兩部分，第一部分是描述當前網(wǎng)絡及網(wǎng)絡安全的現(xiàn)狀，當然這部分里面講的是網(wǎng)絡的實際情況，同時要指出其中存在的問題，以及帶來的危害等。第二部分是根據(jù)網(wǎng)絡及網(wǎng)絡安全的現(xiàn)狀提出要達到的安全目標，把目標一個一個列出來，仔細分析，說明能夠解決當前網(wǎng)絡中存在的哪些問題，這就是需求分析。

3) 方案設計：這部分是整個方案的關(guān)鍵部分，它主要是根據(jù)需求分析的結(jié)果提出設計的，設計時要滿足需求分析所列出的目標，做好網(wǎng)絡拓撲、設備配置、設備部署以及各項設置的設計方案。

4) 產(chǎn)品介紹：這部分是對方案設計中涉及的一些產(chǎn)品做一個參數(shù)性能和產(chǎn)品功能上的說明，主要目的是向方案閱讀者和建設方說明該產(chǎn)品符合方案的需求。

5) 方案的預算報價：對這個方案所采購的設備、軟件、以及人力成本做一個大體的概算。

這就是一般網(wǎng)絡安全方案所具有的內(nèi)容。這部分也很重要。一個好的解決方案不僅要完全滿足醫(yī)院的需求，更要考慮到醫(yī)院所能承受的成本支出。否則，即使方案設計的再全面，由于成本過高，也可能被領(lǐng)導認為是不可接受的方案。

以本單位網(wǎng)絡安全項目為例，看方案背景，也叫項目背景。

1. 方案背景

某醫(yī)院是市屬規(guī)模最大的綜合性三級甲等醫(yī)院，該單位將門診，住院，檢驗等許多工作都轉(zhuǎn)變?yōu)闊o紙化辦公， 由于初期網(wǎng)絡設計部署上的缺陷，院內(nèi)局域網(wǎng)在建成后經(jīng)常出現(xiàn)網(wǎng)絡擁堵、網(wǎng)速特別慢的情況，同時有些個別機器上的殺毒軟件頻頻出現(xiàn)病毒報警，網(wǎng)絡經(jīng)常癱瘓，每次時間都持續(xù)幾十分鐘，網(wǎng)管簡直成了救火隊員，忙著清除病毒，重裝系統(tǒng)。病人正常就診流程，由于網(wǎng)絡出現(xiàn)問題，也會被延誤。對外WEB網(wǎng)站同樣也遭到黑客攻擊，不僅影響到網(wǎng)站的正常運行，而且還對醫(yī)院形象也造成不良影響。

為了讓單位網(wǎng)絡正常運行，根據(jù)我國《信息安全等級保護管理辦法》的信息安全要求，院領(lǐng)導決定對該網(wǎng)絡加強安全防護，解決目前網(wǎng)絡出現(xiàn)的安全問題，以保證醫(yī)院的正常運行。

這就是方案的背景。

2. 需求分析

2.1 網(wǎng)絡現(xiàn)狀

目前該單位網(wǎng)絡分為兩個部分,一部分為網(wǎng)站部分,另一部分為內(nèi)網(wǎng)部分；有兩個出口（一個internet電信出口，一個為通往市衛(wèi)生局信息中心的出口），internet出口有一臺網(wǎng)御Power V-203防火墻，網(wǎng)絡設備有路由器(華為Quidway AR28-40)2臺，核心交換機(華為Quidway S3528F-EA)1臺，接入交換機(華為 Quidway S2403TPMI)10臺，WEB服務器(浪潮 )1臺，應用服務器（浪潮）1臺，數(shù)據(jù)庫服務器（浪潮）1臺； 126個PC工作站。

2.2 安全現(xiàn)狀分析

（1）整個網(wǎng)絡有兩個出口，這兩個出口,Interne出口有防火墻進行防護，不過防火墻是一種幾年前推出的網(wǎng)御Power V-203防火墻，而且自從安裝后就沒有在做策略上的設置，形同虛設；市衛(wèi)生信息網(wǎng)出口沒有加任何安全防護措施，直接接入；內(nèi)網(wǎng)可以說是基本直接暴露在外網(wǎng)中，同時連帶著造成整個衛(wèi)生信息網(wǎng)直接接入到了Internet中，這樣的網(wǎng)絡可以說存在著眾多安全隱患，沒有安全可言，這也意味著該網(wǎng)絡很容易被外網(wǎng)中的不發(fā)黑客攻擊得手，造成內(nèi)網(wǎng)或者外網(wǎng)網(wǎng)站被黑導致癱瘓，也會很輕易感染病毒，最終造成網(wǎng)絡中數(shù)據(jù)泄密或丟失。

（2）內(nèi)網(wǎng)中只安裝了一些單機版的殺毒軟件，有些機器根本沒有殺毒軟件。這就是為什么一有病毒感染網(wǎng)絡中很多機器就癱瘓的原因。

（3）內(nèi)網(wǎng)接入時，沒有做任何身份驗證，只要有條線就可以直接接入內(nèi)網(wǎng)，很容易造成內(nèi)部信息的泄露，同時也增加了網(wǎng)絡感染病毒的幾率。

（4）外網(wǎng)網(wǎng)站直接接入外網(wǎng)，沒有做任何的安全防護，容易被攻擊和癱瘓。

（5）沒有入侵檢測設備，無法檢測到一些試圖或者成功的入侵行為，對于入侵無法做到早期預警。

（6）無論服務器還是PC終端都沒有做系統(tǒng)加固處理，存在眾多的安全漏洞，也沒有對系統(tǒng)打補丁。

2.3 安全需求

該單位網(wǎng)絡一旦出現(xiàn)網(wǎng)絡數(shù)據(jù)或網(wǎng)站遭到破壞和篡改，公共利益、醫(yī)院業(yè)務和形象均會產(chǎn)生不同程度的不良影響，重要的信息一旦丟失更是后果嚴重，根據(jù)該醫(yī)院性質(zhì)業(yè)務內(nèi)容，以及《信息安全等級保護管理辦法》的要求，網(wǎng)絡及網(wǎng)站安全應達到如下要求：

1)采取必要措施，解決Internet網(wǎng)絡出口安全，減少網(wǎng)絡遭受非法攻擊，保證工作日正常運行，網(wǎng)站24小時正常運行，不間斷的向公眾開放，提供合法和有益的信息資源。

2)采取措施解決與市衛(wèi)生局信息中心連接出口的安全問題，解決全市政府網(wǎng)絡中的不法用戶攻擊和病毒交叉感染問題。

3)在用戶接入網(wǎng)絡時保證用戶的合法性，不被非法和惡意攻擊、拷貝和篡改，保證網(wǎng)絡內(nèi)各計算機內(nèi)信息資料的安全。

4)對于外部入侵能夠及時告警，對任何企圖入侵或成功入侵行為要進行日志記錄，能夠做到前期預防后期審查。

5)攔截外網(wǎng)木馬病毒侵襲，提高病毒查殺效率，減少因木馬病毒感染帶來的影響。

6)增強內(nèi)網(wǎng)防毒和殺毒能力。

7)內(nèi)部服務器和PC終端要定期進行必要的系統(tǒng)加固，減少或杜絕計算機系統(tǒng)自身的漏洞。

8)所有科室劃分VLAN。

2.4 解決方案設計

根據(jù)需求分析的網(wǎng)絡和網(wǎng)站安全加固要求，實施以下安全配置方案：

1)將Internet外網(wǎng)和政府網(wǎng)同時接入到一臺外網(wǎng)防火墻（重新購置新型防火墻）上，防火墻位置位于兩臺華為路由器Quidway AR28-40和核心交換機(華為Quidway S3528F-EA)之間，防火墻可以使用網(wǎng)神SecGate3600防火墻，起到阻隔來自Internet外網(wǎng)的黑客和木馬攻擊。

2)在防火墻和核心交換機之間加裝一臺網(wǎng)神SecAV3600系列防毒墻，起到阻止來之Internet和政府信息網(wǎng)中病毒的入侵，盡可能的阻病毒與網(wǎng)絡之外，減輕內(nèi)網(wǎng)防病毒壓力，起到事半功倍的效果。

3)配置一臺LinkTrust IDS200入侵檢測設備(IDS)，鏡像防火墻內(nèi)網(wǎng)端口和DMZ端口數(shù)據(jù)到連接IDS端口，同時對穿透防火墻進入內(nèi)網(wǎng)和網(wǎng)站的不法接入信息進行檢測。

4)部署網(wǎng)絡版的殺毒軟件，這里可以部署諾頓或者是瑞星網(wǎng)絡版殺毒軟件。

5)網(wǎng)站因?qū)ν馓峁┓盏奶匦?，將其放置在DMZ區(qū)域，起到堡壘主機的作用，同時為防止網(wǎng)站W(wǎng)EB網(wǎng)頁被黑或被篡改，部署一套網(wǎng)頁防篡改軟件（InforGuard企業(yè)版），對網(wǎng)站實時保護。

6)對整個網(wǎng)絡主機一一進行加固，關(guān)閉不必要的服務，減少漏洞。

7)將每臺主機MAC和IP地址進行綁定，杜絕外部電腦的隨意接入，減少數(shù)據(jù)外泄和被篡改的風險。

8)將重要處室如審批大廳實施VLAN劃分。

產(chǎn)品介紹與方案預算報價以實際情況為準，此處不過多探討。

以上便構(gòu)成了一個完整的網(wǎng)絡加固方案，雖然是針對醫(yī)院設計，但是也同樣可以套用在其他單位網(wǎng)絡安全方案中。

[1]黃平,肖揚. 醫(yī)院信息系統(tǒng)數(shù)據(jù)安全威脅與防范機制.醫(yī)療衛(wèi)生裝備, 2012年 01期

[2]章勝南. 醫(yī)院計算機網(wǎng)絡系統(tǒng)的安全與維護[J]. 中國醫(yī)療設備，2008，23（5）：40-41

[3]于坤. 虛擬局域網(wǎng)的定義和技術(shù)基礎[J]. 科學咨詢(決策管理)，2010，14（5）：57-59