醫院網絡安全加固實施方案

徐然 劉大龍

青島市市立醫院信息管理部，山東 青島 266071

作為醫院網絡管理員或網絡安全工程師，僅僅了解網絡設備的功能及相關性能參數，是完全不夠的，我們的任務是將這些設備搭建起來組成網絡，組成一個安全的網絡，組成一個高效率的網絡，這才是我們做網絡管理員或者網絡工程師的基本工作，也是我們的工作目標。怎樣組織好這些設備呢？這就需要更多的組網實踐活動才行，實際環境中網絡方案的設計、網絡安全的加固可以說千變萬化，各種不同的實際情況，讓我們拿著相同的設備可以組成具有完全不同功能的網絡，當然也可能會出現各種不同的問題，對各種問題更應該具有舉一反三的解決問題的能力。

網絡安全加固方案設計通常分為五個方面，這五個方面是：方案背景、需求分析、方案設計、產品介紹、方案建設預算等。這里先對這五個方面做一個解釋。

1) 方案背景：方案背景一般是描述本方案是在什么情況下提出的，得到哪些方面的支持和認可，預計方案實施后產生的效果如何等。

2) 需求分析：這個方面是整個方案的基礎，方案一般是以需求分析為基礎進行設計的。它一般又分為兩部分，第一部分是描述當前網絡及網絡安全的現狀，當然這部分里面講的是網絡的實際情況，同時要指出其中存在的問題，以及帶來的危害等。第二部分是根據網絡及網絡安全的現狀提出要達到的安全目標，把目標一個一個列出來，仔細分析，說明能夠解決當前網絡中存在的哪些問題，這就是需求分析。

3) 方案設計：這部分是整個方案的關鍵部分，它主要是根據需求分析的結果提出設計的，設計時要滿足需求分析所列出的目標，做好網絡拓撲、設備配置、設備部署以及各項設置的設計方案。

4) 產品介紹：這部分是對方案設計中涉及的一些產品做一個參數性能和產品功能上的說明，主要目的是向方案閱讀者和建設方說明該產品符合方案的需求。

5) 方案的預算報價：對這個方案所采購的設備、軟件、以及人力成本做一個大體的概算。

這就是一般網絡安全方案所具有的內容。這部分也很重要。一個好的解決方案不僅要完全滿足醫院的需求，更要考慮到醫院所能承受的成本支出。否則，即使方案設計的再全面，由于成本過高，也可能被領導認為是不可接受的方案。

以本單位網絡安全項目為例，看方案背景，也叫項目背景。

1. 方案背景

某醫院是市屬規模最大的綜合性三級甲等醫院，該單位將門診，住院，檢驗等許多工作都轉變為無紙化辦公， 由于初期網絡設計部署上的缺陷，院內局域網在建成后經常出現網絡擁堵、網速特別慢的情況，同時有些個別機器上的殺毒軟件頻頻出現病毒報警，網絡經常癱瘓，每次時間都持續幾十分鐘，網管簡直成了救火隊員，忙著清除病毒，重裝系統。病人正常就診流程，由于網絡出現問題，也會被延誤。對外WEB網站同樣也遭到黑客攻擊，不僅影響到網站的正常運行，而且還對醫院形象也造成不良影響。

為了讓單位網絡正常運行，根據我國《信息安全等級保護管理辦法》的信息安全要求，院領導決定對該網絡加強安全防護，解決目前網絡出現的安全問題，以保證醫院的正常運行。

這就是方案的背景。

2. 需求分析

2.1 網絡現狀

目前該單位網絡分為兩個部分,一部分為網站部分,另一部分為內網部分；有兩個出口（一個internet電信出口，一個為通往市衛生局信息中心的出口），internet出口有一臺網御Power V-203防火墻，網絡設備有路由器(華為Quidway AR28-40)2臺，核心交換機(華為Quidway S3528F-EA)1臺，接入交換機(華為 Quidway S2403TPMI)10臺，WEB服務器(浪潮 )1臺，應用服務器（浪潮）1臺，數據庫服務器（浪潮）1臺； 126個PC工作站。

2.2 安全現狀分析

（1）整個網絡有兩個出口，這兩個出口,Interne出口有防火墻進行防護，不過防火墻是一種幾年前推出的網御Power V-203防火墻，而且自從安裝后就沒有在做策略上的設置，形同虛設；市衛生信息網出口沒有加任何安全防護措施，直接接入；內網可以說是基本直接暴露在外網中，同時連帶著造成整個衛生信息網直接接入到了Internet中，這樣的網絡可以說存在著眾多安全隱患，沒有安全可言，這也意味著該網絡很容易被外網中的不發黑客攻擊得手，造成內網或者外網網站被黑導致癱瘓，也會很輕易感染病毒，最終造成網絡中數據泄密或丟失。

（2）內網中只安裝了一些單機版的殺毒軟件，有些機器根本沒有殺毒軟件。這就是為什么一有病毒感染網絡中很多機器就癱瘓的原因。

（3）內網接入時，沒有做任何身份驗證，只要有條線就可以直接接入內網，很容易造成內部信息的泄露，同時也增加了網絡感染病毒的幾率。

（4）外網網站直接接入外網，沒有做任何的安全防護，容易被攻擊和癱瘓。

（5）沒有入侵檢測設備，無法檢測到一些試圖或者成功的入侵行為，對于入侵無法做到早期預警。

（6）無論服務器還是PC終端都沒有做系統加固處理，存在眾多的安全漏洞，也沒有對系統打補丁。

2.3 安全需求

該單位網絡一旦出現網絡數據或網站遭到破壞和篡改，公共利益、醫院業務和形象均會產生不同程度的不良影響，重要的信息一旦丟失更是后果嚴重，根據該醫院性質業務內容，以及《信息安全等級保護管理辦法》的要求，網絡及網站安全應達到如下要求：

1)采取必要措施，解決Internet網絡出口安全，減少網絡遭受非法攻擊，保證工作日正常運行，網站24小時正常運行，不間斷的向公眾開放，提供合法和有益的信息資源。

2)采取措施解決與市衛生局信息中心連接出口的安全問題，解決全市政府網絡中的不法用戶攻擊和病毒交叉感染問題。

3)在用戶接入網絡時保證用戶的合法性，不被非法和惡意攻擊、拷貝和篡改，保證網絡內各計算機內信息資料的安全。

4)對于外部入侵能夠及時告警，對任何企圖入侵或成功入侵行為要進行日志記錄，能夠做到前期預防后期審查。

5)攔截外網木馬病毒侵襲，提高病毒查殺效率，減少因木馬病毒感染帶來的影響。

6)增強內網防毒和殺毒能力。

7)內部服務器和PC終端要定期進行必要的系統加固，減少或杜絕計算機系統自身的漏洞。

8)所有科室劃分VLAN。

2.4 解決方案設計

根據需求分析的網絡和網站安全加固要求，實施以下安全配置方案：

1)將Internet外網和政府網同時接入到一臺外網防火墻（重新購置新型防火墻）上，防火墻位置位于兩臺華為路由器Quidway AR28-40和核心交換機(華為Quidway S3528F-EA)之間，防火墻可以使用網神SecGate3600防火墻，起到阻隔來自Internet外網的黑客和木馬攻擊。

2)在防火墻和核心交換機之間加裝一臺網神SecAV3600系列防毒墻，起到阻止來之Internet和政府信息網中病毒的入侵，盡可能的阻病毒與網絡之外，減輕內網防病毒壓力，起到事半功倍的效果。

3)配置一臺LinkTrust IDS200入侵檢測設備(IDS)，鏡像防火墻內網端口和DMZ端口數據到連接IDS端口，同時對穿透防火墻進入內網和網站的不法接入信息進行檢測。

4)部署網絡版的殺毒軟件，這里可以部署諾頓或者是瑞星網絡版殺毒軟件。

5)網站因對外提供服務的特性，將其放置在DMZ區域，起到堡壘主機的作用，同時為防止網站WEB網頁被黑或被篡改，部署一套網頁防篡改軟件（InforGuard企業版），對網站實時保護。

6)對整個網絡主機一一進行加固，關閉不必要的服務，減少漏洞。

7)將每臺主機MAC和IP地址進行綁定，杜絕外部電腦的隨意接入，減少數據外泄和被篡改的風險。

8)將重要處室如審批大廳實施VLAN劃分。

產品介紹與方案預算報價以實際情況為準，此處不過多探討。

以上便構成了一個完整的網絡加固方案，雖然是針對醫院設計，但是也同樣可以套用在其他單位網絡安全方案中。

[1]黃平,肖揚. 醫院信息系統數據安全威脅與防范機制.醫療衛生裝備, 2012年 01期

[2]章勝南. 醫院計算機網絡系統的安全與維護[J]. 中國醫療設備，2008，23（5）：40-41

[3]于坤. 虛擬局域網的定義和技術基礎[J]. 科學咨詢(決策管理)，2010，14（5）：57-59