對網(wǎng)絡(luò)安全等級保護設(shè)計方案的探討

摘 要：我院作為三級市級婦幼保健院，在信息系統(tǒng)的發(fā)展上緊跟時代的步伐，醫(yī)療主要的系統(tǒng)包括HIS、LIS、PACS、EMR、信息集成平臺以及自助機、微信預(yù)約掛號等，在勒索病毒頻發(fā)的今天，網(wǎng)絡(luò)的安全問題已經(jīng)成為各行各業(yè)數(shù)據(jù)安全的首要解決的問題，國家也要求重要機構(gòu)要按等級保護標準進行安全設(shè)備升級，結(jié)合我院實際情況，接下來對等級保護的設(shè)計方案進行探討。

關(guān)鍵詞：勒索病毒;網(wǎng)絡(luò)安全;等級保護

1 改造前的概況

1）辦公外網(wǎng)。針對辦公需要使用郵件、辦公自動化系統(tǒng)OA以及醫(yī)院官網(wǎng)運維等，辦公外網(wǎng)主要通過聯(lián)通接入一條光纖，通過光貓后，通過網(wǎng)線接入我們的外網(wǎng)專用天融信防火墻。防火墻進行簡單的限制和過濾后，接入外網(wǎng)核心交換機，通過核心交換機再分發(fā)到樓層交換機，每層的外網(wǎng)終端PC機和無線路由都接到該層交換機上，手機端通過無線路由上網(wǎng)辦公。這是一個簡單的外網(wǎng)結(jié)構(gòu)，安全性較低，對外網(wǎng)的管理能力也不高。因為涉及上與內(nèi)網(wǎng)無交集，所以不影響業(yè)務(wù)內(nèi)網(wǎng)的安全。

2）業(yè)務(wù)內(nèi)網(wǎng)。醫(yī)院主要業(yè)務(wù)系統(tǒng)包括HIS、LIS、PACS、EMR、信息集成平臺等，都部署在內(nèi)網(wǎng)中，這些系統(tǒng)每天都會產(chǎn)生大量業(yè)務(wù)信息，也會進行各種類型的數(shù)據(jù)交換，醫(yī)院的業(yè)務(wù)流程也是通過這些系統(tǒng)來完成，醫(yī)生的醫(yī)囑、處方和電子病歷，護士的各種護理記錄，以及檢驗儀檢的各種報告、圖文，都保存在業(yè)務(wù)系統(tǒng)中，在無紙化改造過程中，電子數(shù)據(jù)更是無可替代的角色來存在。我院設(shè)有醫(yī)保網(wǎng)專線，專線通過專線路由器接入服務(wù)器交換機，服務(wù)器交換機一邊接所有重要的業(yè)務(wù)系統(tǒng)服務(wù)器和各種存儲用的磁盤陳列，另一邊接天融信內(nèi)網(wǎng)防火墻，防火墻接兩臺雙機熱備狀態(tài)的內(nèi)網(wǎng)核心交換機，而核心交換機通過光纖接到數(shù)十個層樓交換機，包括門診部和住院部，每個交換機都劃分網(wǎng)段，層樓交換機再接入內(nèi)網(wǎng)業(yè)務(wù)終端PC機和相應(yīng)的設(shè)備。

這樣的內(nèi)網(wǎng)結(jié)構(gòu)，安全隱患還是比較大的。首先醫(yī)保網(wǎng)直接接內(nèi)網(wǎng)服務(wù)器交換機，這個過程中沒防火墻的攔截與保護，容易造成病毒從醫(yī)保網(wǎng)端進入服務(wù)器。其次，內(nèi)網(wǎng)終端到服務(wù)器，中間只有一個內(nèi)網(wǎng)天融信防火墻，安全等級比較低，防火墻沒有雙機熱備，也沒有日志和數(shù)據(jù)庫審計系統(tǒng)，各種木馬、蠕蟲、僵尸和勒索等病毒很可能通過終端的U盤等設(shè)備進入內(nèi)網(wǎng)，通過潛伏和攻擊，突破防火墻，進入業(yè)務(wù)服務(wù)器，從而破壞醫(yī)院的正常業(yè)務(wù)系統(tǒng)運作，針對這樣的風險，在做網(wǎng)絡(luò)安全等級保護設(shè)計，必須從總體出發(fā)，結(jié)合現(xiàn)有的設(shè)備等實際情況，進行合理規(guī)劃，有備無患。

2 改造思路

1）依據(jù)等級保護標準和指南等文件要求，結(jié)合實際需求情況，我們對保護對象進行區(qū)域劃分和定級，對不同的保護對象從通信網(wǎng)絡(luò)防護、區(qū)域邊界防護、計算環(huán)境防護等多方面進行不同級別的安全防護設(shè)計。通過“一個中心、三重防護”的設(shè)計理念，形成網(wǎng)絡(luò)安全綜合技術(shù)防護體系。按照網(wǎng)絡(luò)分類，總體大分為醫(yī)院外網(wǎng)區(qū)域和醫(yī)院內(nèi)網(wǎng)區(qū)域;而內(nèi)外網(wǎng)之間通過網(wǎng)閘連接。

2）醫(yī)院外網(wǎng)區(qū)域。外網(wǎng)區(qū)域主要是與互聯(lián)網(wǎng)連接的區(qū)，細分功能模塊為互聯(lián)網(wǎng)出口區(qū)，DMZ非軍事化區(qū)，核心交換區(qū)以及終端接入?yún)^(qū)。（1）互聯(lián)網(wǎng)出口區(qū)，是指接互聯(lián)網(wǎng)的區(qū)域，包含互聯(lián)網(wǎng)服務(wù)商的專線，互聯(lián)網(wǎng)出口用的下一代防火墻設(shè)備，以及上網(wǎng)行為管理系統(tǒng)。其中，下一代防火墻有L2-L7層安全防御，包含入侵防御、僵尸網(wǎng)絡(luò)識別、WEB應(yīng)用防護等，并且以網(wǎng)絡(luò)模式部署，具備BYPASS功能。同時還可以實時漏洞分析、威脅情報預(yù)警和處置等。對入侵攻擊等事件做到事前事中事后的全程保護。上網(wǎng)行為管理系統(tǒng)則惡意通過帶寬調(diào)整資源配置，細粒度管理，監(jiān)控各種上網(wǎng)行為，避免出現(xiàn)網(wǎng)絡(luò)違法、機密泄露和上班時間玩游戲、下載電影、在線看直播等與工作無關(guān)的行為，滿足審計要求。（2）DMZ非軍事化區(qū)也稱隔離區(qū)，連接互聯(lián)網(wǎng)出口防火墻，放置需要連互聯(lián)網(wǎng)但是對安全要求較高的服務(wù)器，例如微信前置機服務(wù)器等。（3）外網(wǎng)核心交換區(qū)，包含一臺外網(wǎng)核心交換機，以及VPN虛擬專用網(wǎng)絡(luò)設(shè)備和潛伏威脅探針，還有一臺安全感知平臺。VPN的作用是在公用網(wǎng)絡(luò)上建立專用網(wǎng)絡(luò)，進行加密通訊，通過對數(shù)據(jù)包的加密和數(shù)據(jù)包目標地址的轉(zhuǎn)換實現(xiàn)遠程訪問，從而實現(xiàn)安全快速簡易的遠程接入，在技術(shù)上對工程師遠程維護系統(tǒng)的操控提供了安全保障。潛伏威脅探針是和安全感知平臺搭配使用的設(shè)備，兩臺潛伏威脅探針都是通過旁路部署在內(nèi)外核心交換機上，通過對全流量信息進行采集，然后把采集的信息發(fā)送給安全感知平臺進行處理。安全感知平臺可部署在內(nèi)網(wǎng)核心交換機上，也可以部署在外網(wǎng)核心交換機，處于對后期方便遠程查看此設(shè)備的分析情況，我們傾向部署在外網(wǎng)核心交換機上，由于內(nèi)外網(wǎng)通過網(wǎng)閘進行隔離和聯(lián)通，所以部署在外網(wǎng)核心交換機上也能監(jiān)測到內(nèi)網(wǎng)核心交換機的探針，獲取內(nèi)網(wǎng)各個服務(wù)器的流量情況。安全感知平臺功能強大，可進行：內(nèi)部橫向攻擊行為檢測、內(nèi)網(wǎng)業(yè)務(wù)訪問關(guān)系可視化、違規(guī)訪問行為檢測、設(shè)備聯(lián)通管理和第三方設(shè)備日志管理。（4）終端接入?yún)^(qū)，由連接外網(wǎng)核心交換機的各樓層交換機和外網(wǎng)辦公的PC以及各種無線路由組成。

3）內(nèi)外網(wǎng)隔離交換區(qū)。這是存在于醫(yī)院外網(wǎng)和內(nèi)網(wǎng)之間的區(qū)域，這個區(qū)域部署了網(wǎng)閘。網(wǎng)閘，簡稱GAP，是使用帶有多種控制功能的固態(tài)開關(guān)讀寫介質(zhì)，連接兩個獨立主機系統(tǒng)的信息安全設(shè)備，網(wǎng)閘從邏輯上隔離、阻斷了對內(nèi)網(wǎng)具有潛在攻擊可能的一切網(wǎng)絡(luò)連接，使外部攻擊者無法直接入侵、攻擊或破壞內(nèi)網(wǎng)，保障了內(nèi)部主機的

安全。

4）醫(yī)院內(nèi)網(wǎng)區(qū)域。內(nèi)網(wǎng)區(qū)域根據(jù)安全域劃分主要由外網(wǎng)接入?yún)^(qū)、內(nèi)網(wǎng)核心交換區(qū)、內(nèi)網(wǎng)終端接入?yún)^(qū)、安全管理區(qū)和數(shù)據(jù)中心區(qū)組成。（1）外網(wǎng)接入?yún)^(qū)，就是外網(wǎng)專線接入的區(qū)域，醫(yī)保網(wǎng)、衛(wèi)健委等專線通過這里進入，首先要通過一個專線專用下一代防火墻，這個防火墻相比辦公外網(wǎng)的防火墻功能差不多，但配置上可以低一些，因為流量和數(shù)據(jù)都不高，降低投入成本。（2）內(nèi)網(wǎng)核心交換區(qū)，主要是兩臺組成雙機熱備的內(nèi)網(wǎng)核心交換機，也旁路部署一臺潛伏威脅探針設(shè)備在交換機上，監(jiān)測內(nèi)網(wǎng)業(yè)務(wù)服務(wù)器全流量情況。（3）內(nèi)網(wǎng)終端接入?yún)^(qū)，由通過連接內(nèi)網(wǎng)核心交換機的各層層樓交換機和內(nèi)網(wǎng)辦公終端PC機組成。（4）安全管理區(qū)，這個區(qū)由旁路部署在內(nèi)網(wǎng)核心交換機上的準入控制系統(tǒng)和旁路部署在服務(wù)器交換機上的等保一體機組成。準入控制系統(tǒng)作用是下發(fā)策略給終端用戶，終端接受到策略后，通過終端設(shè)備windows防火墻的WFP功能，達到終端設(shè)備只能與指定網(wǎng)段設(shè)備進行通信的效果。等保一體機是為等保評審設(shè)置的重要設(shè)備，它包含安全運維管理、日志審計和數(shù)據(jù)庫審計于一體，一臺設(shè)備就能滿足三個方面的要求。（5）數(shù)據(jù)中心區(qū)。通過光纖與內(nèi)網(wǎng)核心交換機的兩臺數(shù)據(jù)中心防火墻作為把關(guān)，再加入一條服務(wù)器交換機上，交換機再接到各種業(yè)務(wù)系統(tǒng)服務(wù)器。這次的防火墻和交換機對性能要求比較高。

3 結(jié)語

整體方案符合從醫(yī)院實際情況出發(fā)來改造，也基本滿足了網(wǎng)絡(luò)安全等級保護的要求，只是數(shù)據(jù)中心區(qū)的服務(wù)器交換機如果有兩臺組成雙機熱備，安全效果會更佳。

參考文獻

[1]宋睿，公丕強.信息系統(tǒng)安全等級保護方案設(shè)計方法研究[J].郵電設(shè)計技術(shù)，2015（4）：79-83.

[2]簡偉光，湯培新，陳能，等.數(shù)據(jù)中心等級保護安全設(shè)計方案[J].信息化建設(shè)，2016（3）.

作者簡介

盧方建（1986-），男，漢族，廣東陽江人，大學本科，副高，從事的工作：醫(yī)院信息系統(tǒng)安全管理。