環(huán)境衛(wèi)生檢測管理信息系統(tǒng)安全性設(shè)計

陳晶 羅俊

摘 要：環(huán)境衛(wèi)生檢測管理信息系統(tǒng)承擔(dān)著疾病預(yù)防與控制機(jī)構(gòu)實(shí)驗(yàn)室的環(huán)境衛(wèi)生檢測業(yè)務(wù)的流轉(zhuǎn)和管理任務(wù)，系統(tǒng)在設(shè)計上采用身份驗(yàn)證、數(shù)字簽名、實(shí)時備份、配置路由器、使用防火墻、劃分VLAN、服務(wù)器訪問控制、磁盤陣列等多種方式保障系統(tǒng)的安全性。

關(guān)鍵詞：管理信息系統(tǒng) 系統(tǒng)安全 身份驗(yàn)證

中圖分類號：TP309 文獻(xiàn)標(biāo)識碼：A 文章編號：1672-3791（2016）01（a）-0000-00

1 前言

系統(tǒng)安全是任何管理信息系統(tǒng)都必須考慮的要求。環(huán)境衛(wèi)生檢測管理信息系統(tǒng)承擔(dān)著疾病預(yù)防與控制機(jī)構(gòu)實(shí)驗(yàn)室的環(huán)境衛(wèi)生檢測業(yè)務(wù)的流轉(zhuǎn)和管理任務(wù)，系統(tǒng)安全問題十分重要[1]。該系統(tǒng)在技術(shù)上采用B/S結(jié)構(gòu)，數(shù)據(jù)需通過公共網(wǎng)絡(luò)進(jìn)行傳輸，服務(wù)器安裝windows 2003 server操作系統(tǒng)，被攻擊的方式較多，因此必須設(shè)計多種措施在不同層面保障系統(tǒng)的安全性。

2 技術(shù)方案

環(huán)境衛(wèi)生檢測管理信息系統(tǒng)采用下面幾種方法來保障安全性：

2.1 身份驗(yàn)證

Browse/Server系統(tǒng)根據(jù)用戶身份來確定不同的權(quán)限。必須對用戶身份進(jìn)行確認(rèn)，否則可能出現(xiàn)假冒或者非法攻擊的情況。采用身份驗(yàn)證的方式是保障系統(tǒng)安全的重要方法之一。.NET框架中的配置文件序中主要包括Machine.config、Web.config、Security.config等文件。Machine.config系統(tǒng)文件為Web服務(wù)器提供運(yùn)行配置；web.config為應(yīng)用程序提供執(zhí)行環(huán)境，實(shí)現(xiàn)與數(shù)據(jù)源的連接；Security.config為應(yīng)用程序定義代碼許可權(quán)限。在環(huán)境衛(wèi)生檢測管理信息系統(tǒng)中，web.config是主要的配置文件。web.config是一個XML文本文件，該文件將配置設(shè)置應(yīng)用到它所在目錄和它下面所有的虛擬子目錄。子目錄中的設(shè)置可隨意重寫和修改父目錄中指定的一些公共屬性信息[2]。如此一來無需重新編譯即可更新程序的某些屬性。當(dāng)把系統(tǒng)遷移到另一臺服務(wù)器時，只需修改web.config文件中的配置信息即可。在web.config中配置數(shù)據(jù)庫連接信息，可在程序代碼中讀取配置信息。當(dāng)在另一臺服務(wù)器進(jìn)行系統(tǒng)部署時，只需要在web.config中修改數(shù)據(jù)庫連接信息。在web.config還記錄了身份驗(yàn)證模式、授權(quán)用戶等各種環(huán)境變量。

環(huán)境衛(wèi)生檢測管理信息系統(tǒng)中的用戶身份驗(yàn)證在web.config文件中進(jìn)行配置。

2.2 數(shù)據(jù)安全控制

2.2.1采用數(shù)字簽名技術(shù)

樣品檢測、報告編制、報告審核人員在每個階段的文檔上進(jìn)行數(shù)字簽名，由認(rèn)證中心對簽名進(jìn)行確認(rèn)，確認(rèn)后的文檔才予以保存，保障文檔數(shù)據(jù)的安全性[3]。

2.2.2 數(shù)據(jù)實(shí)時備份

對業(yè)務(wù)數(shù)據(jù)進(jìn)行實(shí)時在線備份，當(dāng)系統(tǒng)發(fā)生故障數(shù)據(jù)丟失時，可實(shí)現(xiàn)任意時間點(diǎn)的數(shù)據(jù)恢復(fù)到備份服務(wù)器上，使檢測業(yè)務(wù)流程繼續(xù)運(yùn)轉(zhuǎn)[4]。

2.3 網(wǎng)絡(luò)安全設(shè)置

保障網(wǎng)絡(luò)安全可以采用多種措施。

2.3.1 配置路由器

在路由器中配置擴(kuò)展的訪問控制列表，當(dāng)數(shù)據(jù)包經(jīng)過路由器的某個端口轉(zhuǎn)發(fā)通過時，必須先在訪問控制列表中查找，若允許則通過，若不允許，則不能通過。

2.3.2 使用防火墻

安裝硬件防火墻，把與環(huán)境衛(wèi)生檢測管理信息系統(tǒng)通訊的服務(wù)器進(jìn)行物理隔離，用防火墻對內(nèi)部的網(wǎng)絡(luò)進(jìn)行劃分，實(shí)現(xiàn)重點(diǎn)網(wǎng)段的隔離，同時根據(jù)協(xié)議、網(wǎng)絡(luò)地址過濾數(shù)據(jù)包。

2.3.3 劃分VLAN

采用VLAN技術(shù)，在在核心交換機(jī)上施行VLAN方案（Virtual Local Area Network 虛擬局域網(wǎng)），將網(wǎng)絡(luò)劃分為多個VLAN，將與環(huán)境衛(wèi)生檢測業(yè)務(wù)相關(guān)科室的用戶劃分為一個VLAN，此方案可增強(qiáng)局域網(wǎng)的安全性，將使用環(huán)境衛(wèi)生管理信息系統(tǒng)的用戶組與局域網(wǎng)的其余部分隔離出來，以實(shí)現(xiàn)訪問控制[5]。

2.3.4 應(yīng)用殺毒軟件

采用先進(jìn)的網(wǎng)絡(luò)殺毒軟件，對網(wǎng)絡(luò)實(shí)行監(jiān)測，定期對網(wǎng)絡(luò)進(jìn)行病毒查殺，控制用戶升級殺毒軟件和進(jìn)行系統(tǒng)漏洞的防護(hù)。

2.3.5 網(wǎng)絡(luò)隔離

對訪問外網(wǎng)的計算機(jī)與內(nèi)網(wǎng)進(jìn)行物理隔離。物理隔離依然能夠?qū)崿F(xiàn)內(nèi)、外網(wǎng)信息的交互，雖然內(nèi)、外網(wǎng)的鏈路層斷開，但是可以通過專用物理硬件電路來控制當(dāng)前系統(tǒng)是連接到內(nèi)網(wǎng)還是外網(wǎng)，通過內(nèi)、外網(wǎng)處理單元中的接口單元來完成與內(nèi)、外網(wǎng)的連接任務(wù)，通過內(nèi)、外網(wǎng)處理單元中的數(shù)據(jù)緩沖區(qū)存放經(jīng)過安全檢測的待交換數(shù)據(jù)，在隔離與交換控制單元中的控制單元實(shí)現(xiàn)內(nèi)、外網(wǎng)數(shù)據(jù)緩沖區(qū)與交換區(qū)之間的通道開閉，在隔離與交換控制單元中的交換區(qū)通過安全協(xié)議來完成內(nèi)、外網(wǎng)之間的數(shù)據(jù)交換[6]。

2.4 服務(wù)器與存儲安全設(shè)置

2.4.1 服務(wù)器管理

在服務(wù)器端設(shè)置用戶登錄驗(yàn)證。在數(shù)據(jù)庫服務(wù)器上采用SQL Server 認(rèn)證和Windows 2003 Server認(rèn)證混合模式，指定哪些用戶能訪問數(shù)據(jù)庫，并規(guī)定這些用戶能進(jìn)行哪些類型的操作。

2.4.2 磁盤陣列

把若干磁盤驅(qū)動器按照一定要求組成一個整體，由列陣控制器管理，最終做到讀寫同步，減少數(shù)據(jù)錯誤，增加工作效率。

3 小結(jié)

本章介紹了環(huán)境衛(wèi)生檢測管理信息系統(tǒng)的安全性設(shè)計內(nèi)容，使用身份驗(yàn)證、數(shù)字簽名、配置路由器、劃分VLAN、網(wǎng)絡(luò)隔離等一系列方案實(shí)現(xiàn)系統(tǒng)在訪問控制、數(shù)據(jù)傳輸和存儲上的安全性。

參考文獻(xiàn)

[1] 陳晶，羅俊，龐延輝等.環(huán)境衛(wèi)生檢測管理信息系統(tǒng)三層程序架構(gòu)的設(shè)計與實(shí)現(xiàn)[J].科技資訊，2012（31）：25-26.

[2] 楊光露. 基于Shibboleth的企業(yè)信息系統(tǒng)統(tǒng)一身份認(rèn)證[J].計算機(jī)系統(tǒng)應(yīng)用，2011（11）：43-45.

[3] 屈喜龍. 基于數(shù)字證書的數(shù)字簽名系統(tǒng)的設(shè)計與實(shí)現(xiàn)[J]. 計算機(jī)工程與應(yīng)用，2006（15）：193-196.

[4] 王昌旭，許榕生. 企業(yè)數(shù)據(jù)備份系統(tǒng)分析與研究[J].計算機(jī)應(yīng)用與軟件，2008（10）： 127-129.

[5] 劉劍. 醫(yī)院網(wǎng)絡(luò)劃分Vlan的實(shí)踐[J].科技信息，2014（8）：186.