醫(yī)院無線網(wǎng)絡(luò)安全建設(shè)措施及應(yīng)用實(shí)踐

柯傳琪

摘 要 當(dāng)前很多醫(yī)院均實(shí)現(xiàn)了無線網(wǎng)覆蓋，較好的滿足了醫(yī)院對(duì)網(wǎng)絡(luò)便捷性的要求。本文從無線網(wǎng)絡(luò)安全建設(shè)措施分析入手，以某醫(yī)院為實(shí)例分析了無線網(wǎng)絡(luò)安全建設(shè)應(yīng)用實(shí)踐。

關(guān)鍵詞 醫(yī)院；網(wǎng)絡(luò)安全；無線網(wǎng)絡(luò)；安全建設(shè)

中圖分類號(hào) TP3 文獻(xiàn)標(biāo)識(shí)碼 A 文章編號(hào) 1674-6708（2016）162-0097-02

無線網(wǎng)絡(luò)（Wireless Network）是采用無線通信技術(shù)實(shí)現(xiàn)的網(wǎng)絡(luò)，它既包括允許用戶建立遠(yuǎn)距離無線連接的語(yǔ)音和數(shù)據(jù)網(wǎng)絡(luò)，也包括為近距離無線連接進(jìn)行優(yōu)化的紅外線技術(shù)及射頻技術(shù)，與有線網(wǎng)絡(luò)的用途十分類似，最大的不同在于傳輸媒介的不同，利用無線電技術(shù)取代網(wǎng)線，可以和有線網(wǎng)絡(luò)互為備份。

伴隨著臨床信息化，醫(yī)院正逐步地實(shí)現(xiàn)無紙化、無膠片化和無線化，醫(yī)院無線網(wǎng)絡(luò)技術(shù)的不斷成熟和普及。利用PDA、平板無線電腦和移動(dòng)手推車隨時(shí)隨地進(jìn)行生命體征數(shù)據(jù)采集、醫(yī)護(hù)數(shù)據(jù)的查詢與錄入、醫(yī)生查房、床邊護(hù)理、呼叫通信、護(hù)理監(jiān)控、藥物配送、病人標(biāo)識(shí)碼識(shí)別等，充分發(fā)揮醫(yī)療信息系統(tǒng)的效能，突出數(shù)字化醫(yī)院的技術(shù)優(yōu)勢(shì)，但同時(shí)醫(yī)院無線網(wǎng)絡(luò)也面臨有較大的安全威脅。因此，全面實(shí)現(xiàn)醫(yī)院無線網(wǎng)絡(luò)安全建設(shè)是醫(yī)院網(wǎng)絡(luò)建設(shè)中較為重要的一個(gè)環(huán)節(jié)。

1 無線網(wǎng)絡(luò)安全建設(shè)措施

1.1 安全策略集中控制

構(gòu)建智能化無線網(wǎng)絡(luò)構(gòu)架，將無線網(wǎng)絡(luò)安全控制策略全部集中到網(wǎng)絡(luò)控制器上進(jìn)行統(tǒng)一的控制和發(fā)布，包含有：無線電頻率管理、無線入侵檢測(cè)、病毒庫(kù)、安全加密、入網(wǎng)行為控制等。將無線網(wǎng)絡(luò)安全策略使用到網(wǎng)絡(luò)管理上，防止由于無線網(wǎng)絡(luò)數(shù)據(jù)被盜而產(chǎn)生的安全信息泄露。

1.2 接入點(diǎn)零配置

在日常使用的普通無線網(wǎng)絡(luò)中，黑客能夠通過竊取無線網(wǎng)絡(luò)接入點(diǎn)的方式獲得密碼從而進(jìn)入到無線網(wǎng)絡(luò)中。在無線網(wǎng)絡(luò)控制器上對(duì)無線接入點(diǎn)進(jìn)行智能控制，保證本地不保存無線網(wǎng)絡(luò)接入點(diǎn)的任何數(shù)據(jù)，并將全部的數(shù)據(jù)存儲(chǔ)到無線網(wǎng)絡(luò)控制器，在無線網(wǎng)絡(luò)接入點(diǎn)上實(shí)現(xiàn)零配置，這在很大程度上能夠提升無線網(wǎng)絡(luò)運(yùn)行的安全性，較大程度的降低了黑客竊取無線網(wǎng)絡(luò)信息的可能性，本地的接入工作量也得到了較大的簡(jiǎn)化。

1.3 病毒入侵防護(hù)

首先是準(zhǔn)入檢查，當(dāng)無線網(wǎng)絡(luò)接收器嘗試進(jìn)入到無線網(wǎng)絡(luò)時(shí)，在進(jìn)行用戶認(rèn)證之前對(duì)無線網(wǎng)絡(luò)系統(tǒng)中防病毒定義、防病毒軟件、操作系統(tǒng)補(bǔ)丁等進(jìn)行全面的檢查，若檢查未通過則其則禁止進(jìn)入到無線網(wǎng)絡(luò)中，也可以將無線網(wǎng)絡(luò)用戶重定到具體的某一臺(tái)升級(jí)服務(wù)器上，只有其安裝指定的防病毒軟件、系統(tǒng)補(bǔ)丁之后才能接入到無線網(wǎng)絡(luò)中。

其次是數(shù)據(jù)檢查，通過了第一步的準(zhǔn)入檢查之后，通過數(shù)據(jù)檢查才能實(shí)現(xiàn)對(duì)無線網(wǎng)絡(luò)數(shù)據(jù)的有效監(jiān)控與檢查，通過設(shè)置對(duì)應(yīng)的策略，將所有用戶的數(shù)據(jù)，進(jìn)行全面的防病毒數(shù)據(jù)檢查，若通過檢查，則進(jìn)行數(shù)據(jù)的傳輸，若不能通過檢查，則將數(shù)據(jù)丟棄，從而全面的實(shí)現(xiàn)對(duì)無線網(wǎng)絡(luò)終端的病毒防護(hù)。

1.4 非法入侵檢測(cè)

無線網(wǎng)絡(luò)的訪問接入點(diǎn)和有線網(wǎng)絡(luò)集線器較為類似，為整個(gè)網(wǎng)絡(luò)的中心，其為移動(dòng)客戶端接入到網(wǎng)絡(luò)的中心節(jié)點(diǎn)，可以將其簡(jiǎn)潔方便的安裝到墻壁或者天花板上，僅需要對(duì)無線AP能夠覆蓋的區(qū)域進(jìn)行針對(duì)性的設(shè)置，就能夠連接到無線網(wǎng)絡(luò)中，這就導(dǎo)致非法的AP可通過設(shè)置進(jìn)入到無線網(wǎng)絡(luò)中，給無線網(wǎng)絡(luò)造成較大的安全隱患，出現(xiàn)網(wǎng)絡(luò)寬帶安全和數(shù)據(jù)安全等相關(guān)的問題。例如，當(dāng)非法的AP用戶對(duì)合法的無線網(wǎng)絡(luò)接入點(diǎn)進(jìn)行侵?jǐn)_時(shí)，常常被誤認(rèn)為AP運(yùn)行不穩(wěn)定或者無線電波信號(hào)不穩(wěn)定等相關(guān)的情況，嚴(yán)重時(shí)會(huì)出現(xiàn)無線網(wǎng)絡(luò)連接中斷，而網(wǎng)絡(luò)管理人員不能在第一時(shí)間內(nèi)收到報(bào)警。通過在無線網(wǎng)絡(luò)中設(shè)置非法入侵檢測(cè)，利用無線網(wǎng)絡(luò)架構(gòu)技術(shù)，可以在無線網(wǎng)絡(luò)中設(shè)置無線網(wǎng)絡(luò)入侵模式庫(kù)，可以將異常的無線網(wǎng)絡(luò)數(shù)據(jù)檢測(cè)出來，顯示并記錄無線網(wǎng)絡(luò)入侵格式，自動(dòng)的開啟對(duì)應(yīng)的警報(bào)和保護(hù)響應(yīng)。

1.5 安全準(zhǔn)入控制

首先為身份認(rèn)證，對(duì)無線網(wǎng)絡(luò)的身份進(jìn)行行為授權(quán)，避免非法授權(quán)終端的進(jìn)入，通過無線網(wǎng)絡(luò)用戶硬盤ID的綁定及無線網(wǎng)絡(luò)身份權(quán)限的授權(quán)，從而實(shí)現(xiàn)和無線網(wǎng)絡(luò)安全設(shè)備的聯(lián)動(dòng)，拒絕未授權(quán)用戶的訪問。

其次為設(shè)置安全策略，應(yīng)對(duì)無線網(wǎng)絡(luò)設(shè)置統(tǒng)一的安全策略。當(dāng)無線網(wǎng)絡(luò)終端接入到無線網(wǎng)絡(luò)后，立刻進(jìn)行多策略安全檢查，例如進(jìn)行注冊(cè)表、進(jìn)程檢查，防病毒軟件、補(bǔ)丁監(jiān)測(cè)等。動(dòng)態(tài)策略管理提供可定制、可擴(kuò)展的安全策略，可分組織和角色靈活實(shí)施；提供多種安裝策略并基于系統(tǒng)環(huán)境選擇安裝，及時(shí)、主動(dòng)消除各種安全缺口；提供上網(wǎng)行為審計(jì)、USB移動(dòng)存儲(chǔ)設(shè)備、系統(tǒng)進(jìn)程監(jiān)控等安全策略，對(duì)用戶違規(guī)行為進(jìn)行審計(jì)和取證，幫助提高用戶安全意識(shí)，保障IT資源的合理使用。系統(tǒng)自動(dòng)收集終端軟、硬件資產(chǎn)信息，跟蹤資產(chǎn)變更，實(shí)現(xiàn)資產(chǎn)管理IT化，保障信息資產(chǎn)可控可管。

2 醫(yī)院無線網(wǎng)絡(luò)安全建設(shè)應(yīng)用實(shí)踐

2.1 無線網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)

某三級(jí)甲等醫(yī)院在醫(yī)院內(nèi)建設(shè)了無線網(wǎng)絡(luò)，從而保證醫(yī)院內(nèi)無線網(wǎng)絡(luò)的全覆蓋，為醫(yī)院內(nèi)網(wǎng)絡(luò)用戶提供一個(gè)便捷安全的網(wǎng)絡(luò)環(huán)境，該醫(yī)院設(shè)置的無線網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)如圖1所示。

2.2 無線網(wǎng)絡(luò)設(shè)計(jì)與部署

無線網(wǎng)絡(luò)控制采用有源以太網(wǎng)作為交換機(jī)，采用了大容量的無線AP，接入點(diǎn)采用智能零漫游無線接入。POE網(wǎng)絡(luò)交換機(jī)采用了1 000M以太網(wǎng)網(wǎng)絡(luò)連接，數(shù)據(jù)傳輸采用了大容量無線AP，利用專用的超柔性饋線實(shí)現(xiàn)對(duì)功率分配器的連接，智能單元通過穿墻進(jìn)入室內(nèi)，從而實(shí)現(xiàn)醫(yī)院內(nèi)無線信號(hào)的全覆蓋，室內(nèi)的大容量無線AP可通過放裝的方式較好的達(dá)到了醫(yī)院開放式區(qū)域內(nèi)部對(duì)無線信號(hào)覆蓋的需求。

2.3 無線控制器冗余備份

在進(jìn)行無線網(wǎng)絡(luò)控制器設(shè)置時(shí)，采用了N+1冗余集群備份技術(shù)，將其中的一臺(tái)控制器作為中心控制器，剩下的N臺(tái)控制器作為輔助控制器。當(dāng)進(jìn)行無線網(wǎng)絡(luò)的初始化時(shí)，僅僅主控制器能夠進(jìn)行AP注冊(cè)請(qǐng)求，在主控制器內(nèi)實(shí)現(xiàn)無線網(wǎng)絡(luò)的協(xié)議配置和接入點(diǎn)控制，并將無線網(wǎng)絡(luò)備份控制信息傳輸給每一個(gè)AP，然后每一個(gè)AP可以通過備份構(gòu)建一條虛擬的WAP網(wǎng)絡(luò)，當(dāng)無線網(wǎng)絡(luò)出現(xiàn)網(wǎng)絡(luò)切換時(shí)，網(wǎng)絡(luò)切換均在50mm之內(nèi)，保證用戶體驗(yàn)良好不會(huì)出現(xiàn)掉線情況。

2.4 非法信號(hào)監(jiān)測(cè)

無線網(wǎng)絡(luò)利用智能無線AP，設(shè)置2種模式實(shí)現(xiàn)對(duì)非法電磁信號(hào)的監(jiān)測(cè)，其一為對(duì)AP每隔一定的時(shí)間進(jìn)行在線安全掃描；其二為將AP設(shè)置為連續(xù)監(jiān)控的無線網(wǎng)絡(luò)安全監(jiān)控掃描模式。通過設(shè)置上述2種方式，智能無線AP按照預(yù)先的設(shè)置實(shí)現(xiàn)對(duì)周邊環(huán)境中所有的MAC地址的檢測(cè)，可實(shí)現(xiàn)對(duì)無線網(wǎng)絡(luò)服務(wù)集標(biāo)示、通道信息的全面安全檢查。對(duì)未經(jīng)授權(quán)的AP可實(shí)現(xiàn)自動(dòng)識(shí)別和警告，從而更好的防止非法信號(hào)的侵?jǐn)_。

2.5 認(rèn)證鑒別機(jī)制

為了更好的保證無線網(wǎng)絡(luò)數(shù)據(jù)的安全性，需對(duì)無線網(wǎng)絡(luò)的接入點(diǎn)進(jìn)行準(zhǔn)入認(rèn)證設(shè)置，本次無線網(wǎng)絡(luò)構(gòu)建采用了Mac和Web認(rèn)證方式，因?yàn)椴僮飨到y(tǒng)差異化，對(duì)不同類型的移動(dòng)終端，采用了不同種類的操作系統(tǒng)，另外針對(duì)Web認(rèn)證系統(tǒng)兼容性較為局限的特點(diǎn)，在進(jìn)行Web認(rèn)證鑒別時(shí)，通過將MAC地址綁定的方式進(jìn)行了雙重認(rèn)證鑒別，從而在醫(yī)院內(nèi)實(shí)現(xiàn)了網(wǎng)絡(luò)安全全部鑒別，當(dāng)移動(dòng)終端被授權(quán)之后，只有獲得CA安全證書，并保證和MAC地址一致后才能進(jìn)入到無線網(wǎng)絡(luò)內(nèi)，并通過設(shè)置雙重認(rèn)證鑒別的方式，來實(shí)現(xiàn)對(duì)無線網(wǎng)絡(luò)安全身份的識(shí)別，攔阻了外來非法無線終端的接入。

3 結(jié)論

綜上分析，在醫(yī)院內(nèi)部增強(qiáng)自身的無線網(wǎng)絡(luò)安全建設(shè)對(duì)于保證自身無線網(wǎng)絡(luò)的正常使用有著非常重要的作用。因此，醫(yī)院網(wǎng)絡(luò)維護(hù)人員，應(yīng)結(jié)合本院無線網(wǎng)絡(luò)使用方式與特點(diǎn)，建立針對(duì)性的無線網(wǎng)絡(luò)安全保護(hù)措施，使無線網(wǎng)絡(luò)更好的為醫(yī)院服務(wù)。

參考文獻(xiàn)

[1]黃波.無線網(wǎng)絡(luò)技術(shù)在醫(yī)院信息化建設(shè)中的應(yīng)用分析[J].電腦知識(shí)與技術(shù)，2015（9）：43-45.

[2]劉華.銳捷網(wǎng)絡(luò)醫(yī)院無線網(wǎng)絡(luò)解決方案 助力總參總醫(yī)院移動(dòng)醫(yī)療建設(shè)[J].中國(guó)數(shù)字醫(yī)學(xué)，2012（1）：67.

[3]張穩(wěn)，馬錫坤，于京杰.基于一網(wǎng)無線網(wǎng)絡(luò)平臺(tái)的醫(yī)療物聯(lián)網(wǎng)創(chuàng)新應(yīng)用探討[J].醫(yī)學(xué)研究生學(xué)報(bào)，2015（8）：850-852.

[4]吳玥，夏開建.無線網(wǎng)絡(luò)技術(shù)在醫(yī)院信息化建設(shè)中應(yīng)用與設(shè)計(jì)研究[J].中國(guó)醫(yī)學(xué)裝備，2013（6）：41-43.