現(xiàn)代醫(yī)院網(wǎng)絡(luò)安全問題及應(yīng)對策略分析

王寶剛　王婷利

摘要：醫(yī)療信息化是現(xiàn)代醫(yī)院的重要特征。現(xiàn)代醫(yī)院是一個高度信息化的綜合體，各種信息終端通過有線和無線網(wǎng)絡(luò)連接到醫(yī)院內(nèi)外各服務(wù)器?；谶@些物理平臺，醫(yī)院信息系統(tǒng)、電子病歷系統(tǒng)、影像系統(tǒng)和LIS系統(tǒng)等眾多應(yīng)用平臺對醫(yī)院的各項醫(yī)療活動、后勤管理和行政決策形成全方位支持，同時對患者提供預(yù)約掛號、自助繳費、醫(yī)院各項信息查詢等功能。文章首先分析了現(xiàn)代醫(yī)院網(wǎng)絡(luò)的特點，進而總結(jié)了現(xiàn)代醫(yī)院網(wǎng)絡(luò)面臨的各種威脅，最后著重對這些威脅提出了一整套解決方案。

關(guān)鍵詞：網(wǎng)絡(luò)邊界IPS；UTM；安全掃描

1現(xiàn)代化醫(yī)院網(wǎng)絡(luò)的特點

1.1網(wǎng)絡(luò)邊界復(fù)雜，接入方式多樣化

醫(yī)院作為一個特殊的行業(yè)，除了一般企業(yè)的Internet接入，還要接入各個農(nóng)合和醫(yī)保局，其接入方式大體有兩種：專線直連和公網(wǎng)連接。醫(yī)院內(nèi)部接入網(wǎng)絡(luò)的有各信息處理終端、各種醫(yī)療設(shè)備終端以及各種移動醫(yī)療的無線設(shè)備終端3大類。同時為了支持在外出差等職工訪問醫(yī)院網(wǎng)絡(luò)的需求，還需要在邊界開放VPN業(yè)務(wù)。

1.2數(shù)據(jù)并發(fā)集中，數(shù)據(jù)量大，系統(tǒng)連續(xù)運行

門診每日的業(yè)務(wù)集中于9點-11點，數(shù)據(jù)量小但可靠性要求高，影像中心實時性要求不高但是數(shù)據(jù)流量巨大、同時越來越多的監(jiān)控設(shè)備、語音設(shè)備也帶來了巨大的流量。由于醫(yī)院的特殊行業(yè)性質(zhì)，醫(yī)院的信息系統(tǒng)一般都要求24小時不間斷運行，這對系統(tǒng)的穩(wěn)定性、可靠性提出來了很高的要求。

1.3高擴展性要求

隨著現(xiàn)在醫(yī)療技術(shù)的發(fā)展，各種新型醫(yī)療設(shè)備不斷涌現(xiàn)，這些設(shè)備基本上都具有網(wǎng)絡(luò)功能，同時物聯(lián)網(wǎng)在醫(yī)療方面的應(yīng)用也越來越多，這些都對醫(yī)院網(wǎng)絡(luò)接入能力提出了更高要求。

這些特點要求醫(yī)院的網(wǎng)絡(luò)必須具有高可靠性、高處理能力，以及良好的擴展能力。

2醫(yī)院網(wǎng)絡(luò)面臨的威脅

2.1常規(guī)網(wǎng)絡(luò)安全問題

隨著醫(yī)院網(wǎng)絡(luò)的開放程度越來越大，受到外部攻擊的可能性也在逐漸增大。包括比較常見的ARP欺騙，ARP病毒，DoS攻擊和DDoS攻擊。而利用主流應(yīng)用平臺安全漏洞的新型病毒每天都新增成百上千。新型病毒廣泛利用底層驅(qū)動技術(shù)提高優(yōu)先級以躲避反病毒軟件查殺，高隱蔽性已經(jīng)成為病毒發(fā)展的重要趨勢。

2.2有針對性的數(shù)據(jù)竊取

隨著信息技術(shù)的發(fā)展，現(xiàn)代醫(yī)院都積累了大量的醫(yī)療數(shù)據(jù)，從這些數(shù)據(jù)中可以得到疾病診治、區(qū)域性疾病、傳染病分布等方方面面的信息。這些數(shù)據(jù)無疑對醫(yī)院、整個社會都具有重要價值。這些數(shù)據(jù)也是不法醫(yī)藥代表進行統(tǒng)方的最好數(shù)據(jù)來源。因此，保護這些數(shù)據(jù)不被非法訪問、竊取成為醫(yī)院信息部門的重要職責(zé)。

2.3BYOD普及及越來越多自助應(yīng)用帶來的問題

隨著各種醫(yī)務(wù)自助機應(yīng)用的普及及BYOD（Bring Your Own Device）的應(yīng)用的逐漸推廣，醫(yī)療行業(yè)的工作效率和服務(wù)質(zhì)量顯著提高，但同時BYDO的多設(shè)備平臺特性以及各種自助機的開放式特性，使內(nèi)部數(shù)據(jù)庫訪問從單一平臺延伸到多平臺，從內(nèi)網(wǎng)延伸到公共區(qū)域，從而使醫(yī)院的網(wǎng)絡(luò)面臨非常復(fù)雜和隱蔽的問題和風(fēng)險。

3醫(yī)院網(wǎng)絡(luò)安全應(yīng)對策略

3.1全網(wǎng)統(tǒng)一管理

現(xiàn)代化醫(yī)院電腦終端眾多，沒有統(tǒng)一的管理將會給信息部門造成巨大的不便，客戶端統(tǒng)一管理主演包括2個方面：（1）客戶端的遠程維護，（2）客戶端資源的統(tǒng)一管理。在客戶端安裝遠程控制軟件，可以大大減少系統(tǒng)管理員來回奔波解決客戶端問題的次數(shù)，同時也利于對客戶端進行監(jiān)管。醫(yī)院普遍采用window終端，可以利用微軟提供的域管理方式進行集中管理：域管理員可以對整個域進行集中管理，設(shè)定整個域的組策略以及其中每個OU的組策略。依靠域可以限制使用u盤等移動存儲介質(zhì)，從而可以大大減少醫(yī)院內(nèi)網(wǎng)病毒、木馬傳播，也可以減少醫(yī)院信息被非法復(fù)制的風(fēng)險。為方便管理，也可以利用一些專門的網(wǎng)管軟件對醫(yī)院內(nèi)網(wǎng)設(shè)備進行統(tǒng)一管理。

3.2內(nèi)網(wǎng)部署IPS，邊界部署UTM

一般常見的網(wǎng)絡(luò)安全產(chǎn)品主要有防火墻、UTM、IPS三種，防火墻是一種訪問控制隔離設(shè)備，它是不同網(wǎng)絡(luò)安全域之間通信流的唯一通道，能根據(jù)用戶有關(guān)的安全策略控制進出網(wǎng)絡(luò)的訪問行為。而UTM要實現(xiàn)的不僅僅是對網(wǎng)絡(luò)訪問的控制，同時也要實現(xiàn)了對數(shù)據(jù)包全層次的識別與過濾，因此UTM不僅具有防火墻的功能，還能對流經(jīng)的數(shù)據(jù)流進行全方位病毒查殺。IPS也可以提供深達7層的包分析能力，一般主要用來保護WEB業(yè)務(wù)和數(shù)據(jù)庫業(yè)務(wù)。

目前融合多種病毒技術(shù)以提高隱蔽性和傳播性的新型病毒已經(jīng)變的越來越常見，以蠕蟲為例，就融合了緩沖區(qū)溢出技術(shù)、網(wǎng)絡(luò)掃描技術(shù)和病毒感染技術(shù)。防火墻對于蠕蟲病毒的傳播無能為力，因為防火墻一般工作在7層網(wǎng)絡(luò)協(xié)議的第3和第4層。而UTM可以提供到深達7層的網(wǎng)絡(luò)保護。因此在對醫(yī)院網(wǎng)絡(luò)進行安全規(guī)劃時采用在內(nèi)網(wǎng)核心設(shè)備或者服務(wù)器前部署IPS過濾全網(wǎng)流量并在網(wǎng)絡(luò)邊界部署UTM，同時在產(chǎn)品選擇時選用不同廠家的產(chǎn)品進行異構(gòu)化部署會是比較好的一種方案。

3.3網(wǎng)絡(luò)分區(qū)

醫(yī)院的網(wǎng)絡(luò)可以按照是否連接外網(wǎng)分成3類：（1）不訪問外網(wǎng)的終端：這類終端可以一般可以設(shè)置為禁止使用u盤等移動存儲設(shè)備，這樣只接入內(nèi)網(wǎng)的機器具有很高的安全性；（2）同時接入內(nèi)外網(wǎng)和允許插u盤的終端：在訪問內(nèi)網(wǎng)服務(wù)器時可以使用IPS對數(shù)據(jù)流進行嚴格的分析過濾，這類設(shè)備往往需要進行內(nèi)外網(wǎng)數(shù)據(jù)交互（如醫(yī)保結(jié)算終端），所以不能使用完全的內(nèi)外網(wǎng)物理隔離；（3）只訪問外網(wǎng)的終端：不需要訪問內(nèi)網(wǎng)的終端嚴格限制其對內(nèi)部網(wǎng)絡(luò)的訪問，有條件的醫(yī)院最好對這類終端進行物理隔離。對于沒有條件或者不方便進行物理隔離的醫(yī)院可以采用防火墻和交換機結(jié)合的方式實現(xiàn)內(nèi)外網(wǎng)隔離。

醫(yī)院內(nèi)部可以采用VLAN隔離這3類終端，通過核心IPS對所有出入服務(wù)器區(qū)的數(shù)據(jù)包進行安全控制及過濾，可根據(jù)實際對第2類設(shè)備訪問服務(wù)器進行更為嚴格的包過濾以保證服務(wù)器區(qū)的安全，必要時可以使用ACL對終端進行更為詳細的訪問控制。

3.4網(wǎng)絡(luò)設(shè)備的管理要求

3.4.1關(guān)閉網(wǎng)絡(luò)設(shè)備未使用的端口

一般交換機的console口默認都是沒有設(shè)置密碼的，攻擊者能接觸到交換機就能通過串口看到交換機的配置，甚至更改交換機配置，這是網(wǎng)絡(luò)安全的一個重大隱患。因此在交換機配置時，要關(guān)閉不使用的端口，同時給交換機console口配置密碼，若交換機支持分級密碼，可以對不同的網(wǎng)絡(luò)管理人員設(shè)置不同權(quán)限。需要注意的是，大多數(shù)交換機都支持密碼恢復(fù)，即可以破解交換機密碼。但是這樣的過程基本上都需要重新啟動交換機，所以在日常維護中，如果發(fā)現(xiàn)交換機等網(wǎng)絡(luò)設(shè)備異常重啟，一定要迅速查看，查明原因。

3.4.2MAC和端口綁定

醫(yī)院內(nèi)部人員由于各種原因，會出現(xiàn)自行移動客戶端的位置的情況。由于不同的區(qū)域擁有不同的安全權(quán)限級別，這樣做會破壞原本的網(wǎng)絡(luò)安全機制。針對此問題，通常采用MAC和網(wǎng)絡(luò)設(shè)備端口綁定的方式予以限制。需要注意的是，單純的MAC與端口綁定存在仿冒MAC的漏洞，即非法終端可以把自己MAC改成合法MAC后接入網(wǎng)絡(luò)，要完全杜絕此類問題可以采用類似H3C EAD端點終入控制系統(tǒng)進行終端安全接入管理。

3.5定期執(zhí)行安全掃描

安全掃描能夠測試和評價系統(tǒng)的安全性并及時發(fā)現(xiàn)安全漏洞。安全掃描分為2類：主機安全掃描和網(wǎng)絡(luò)安全掃描。主機安全掃描則是通過執(zhí)行一些腳本文件模擬對系統(tǒng)進行攻擊的行為并記錄系統(tǒng)的反應(yīng)，從而發(fā)現(xiàn)其中的漏洞；網(wǎng)絡(luò)安全掃描主要針對系統(tǒng)中的脆弱口令以及其它同安全規(guī)則相抵觸的對象。

通過安全掃描，網(wǎng)絡(luò)管理員可以及時發(fā)現(xiàn)安全漏洞，客觀評估網(wǎng)絡(luò)風(fēng)險等級，在黑客攻擊前進行防范。如果說防火墻和網(wǎng)絡(luò)監(jiān)控系統(tǒng)是被動的防御手段，那么安全掃描就是一種主動的防范措施。

3.6部署上網(wǎng)行為管理設(shè)備

上網(wǎng)行為管理產(chǎn)品是專用于防止非法信息惡意傳播，避免國家機密、商業(yè)信息、科研成果泄漏的產(chǎn)品；可實時監(jiān)控、管理網(wǎng)絡(luò)資源使用情況，提高整體工作效率。同時在醫(yī)院進行信息化建設(shè)時三級等保有明確要求必須部署該類產(chǎn)品。建議國內(nèi)用戶盡量選擇使用國內(nèi)廠商推出的上網(wǎng)行為管理產(chǎn)品，畢竟中國的廠商更了解中國用戶的互聯(lián)網(wǎng)環(huán)境和互聯(lián)網(wǎng)使用習(xí)慣。

3.7其他一些網(wǎng)絡(luò)安全部署

（1）客戶端安裝企業(yè)版殺毒軟件；（2）所有終端在使用U盤等移動存儲設(shè)備時必須進行安全掃描；（3）架設(shè)補丁升級服務(wù)器，及時為客戶端服務(wù)器打補丁，醫(yī)院的電腦一般使用windows系統(tǒng)，可以使用WSUS打補??；（4）部署數(shù)據(jù)庫審計與防統(tǒng)方系統(tǒng)；（5）制定嚴格的網(wǎng)絡(luò)安全管理制度，并切實執(zhí)行。

網(wǎng)絡(luò)安全遵循木桶原則，任何一個短板都可能給入侵者和破壞者可乘之機，因此要求網(wǎng)絡(luò)管理人員具備大局意識，對任何可能危害網(wǎng)絡(luò)安全的行為做到先知先覺，在日常維護中嚴格遵守規(guī)章制度，保證醫(yī)院網(wǎng)絡(luò)平穩(wěn)安全的運行。