醫院內部無線網絡的安全管理

摘要：隨著無線網絡技術的日趨成熟，醫院內部無線網絡在醫療行業中的應用已經成為了一種趨勢。本文通過對醫院內部無線網絡的安全風險、安全防護目標、安全防護技術、安全實現的比較分析，結合不同的實際需求和應用情況，探討醫院內部無線網絡安全管理的可行性方案，為實現醫院內部無線網絡安全建設提供參考借鑒。

關鍵詞：無線網絡；安全風險；安全防范

1概述

醫院內部無線網絡（Hospital Internal Wireless Networks），既包括允許用戶在醫院內部范圍內建立遠距離無線連接的網絡。

2009 年，國家新醫改政策出臺，其中信息系統首次成為我國醫療衛生體系建設的重要支撐。醫院信息系統經過多年的發展，已經由以財務為核心的階段過渡到以臨床信息系統為核心的階段，因此越來越多的醫院開始應用無線網絡，實施以患者為核心的無線醫療信息系統。隨著無線網絡技術的日趨成熟，醫院內部無線網絡在全球范圍內醫療行業中的應用已經成為了一種趨勢，在今后的醫院應用中將會越來越廣泛。通過無線醫療信息系統的應用，既拉近了與患者之間的距離，提高了醫療服務的效率和質量，也加強了醫院的綜合管理。

2醫院內部無線網絡的安全風險

隨著醫院對無線醫療信息系統應用的不斷深入，醫院對于內部無線網絡的依賴程度也越來越深。醫院內部無線網絡作為原有醫院內部有線網絡的補充，擴展了有線網絡的應用范圍，但是也將相對封閉的醫院內部有線局域網絡環境轉變成了相對開放式的網絡環境。其安全性不僅影響到醫院內部無線醫療信息系統的使用，同樣也影響到與其相連的有線網絡環境中應用的其他醫院信息系統。因此醫院內部無線網絡的安全將直接影響到醫院整體信息系統的安全。醫院內部無線網絡一旦被破壞，將會造成醫院信息系統的數據被竊取、網絡癱瘓、醫療業務被中斷等等一系列嚴重的后果。由于醫院醫療數據的敏感性，以及無線網絡通過無線信號傳輸的特性，使得醫院內部無線網絡面臨的安全風險越來越突出。

根據相關運行情況分析， 醫院內部無線網絡主要存在以下安全問題：①非法AP的接入：無線網絡易于訪問和配置簡單的特性，使醫院內部網絡管理員和信息安全管理員非常頭痛。因為任何人都可以通過自己購買的AP利用現有有線網絡，繞過授權而連入醫院內部網絡。用戶通過非法的AP接入手段，可能會給醫院整體內部網絡帶來很大的安全隱患。②非授權用戶的接入：非授權用戶往往利用各類無線網絡的攻擊工具搜索并入侵，從而造成很嚴重的后果。非授權用戶的入侵會造成網絡流量被占用，導致網絡速度大大變慢，降低網絡帶寬利用率；某些非授權用戶會進行非法篡改，導致醫院內部無線網絡內的合法用戶無法正常登陸；更有部分非授權用戶會進行網絡竊聽和數據盜竊，對病人以及醫院整體造成相當大的損失。③服務和性能的影響：醫院內部無線網絡的傳輸帶寬是有限的，由于物理層的開銷，無線網絡的實際最高有效吞吐量僅為標準的50%。醫院內部無線網絡的帶寬可以被幾種方式吞噬，造成服務和性能的影響：如果攻擊者從以太網發送大量的Ping流量，就會輕易地吞噬AP的帶寬；如果發送廣播流量，就會同時阻塞多個AP；傳輸較大的數據文件或者運行復雜的系統都會產生很大的網絡流量負載。④地址欺騙和會話攔截：由于醫院內部使用無線網絡環境，攻擊者可以通過地址欺騙幀去重定向數據流和使ARP表變得混亂。通過一些技術手段，攻擊者可以獲得站點的地址，這些地址可以被用來惡意攻擊時使用。攻擊者還可以通過截獲會話，通過監測AP，然后裝扮成AP進入，攻擊者可以進一步獲取認證身份信息從而進入網絡。⑤數據安全問題：由于無線網絡的信號是以開放的方式在空間中傳送的，非法用戶、黑客、惡意攻擊者等會通過破解用戶的無線網絡的安全設置，冒充合法識別的身份進入無線網絡進行非法操作，進行竊聽和截取，從而達到不法操作或破壞信息的目的，從而給醫院帶來相對應的損失。

3醫院內部無線網絡的安全防護目標

早期的無線網絡標準安全性并不完善，技術上存在一些安全漏洞。隨著使用的推廣，更多的專家參與了無線標準的制定，使其安全技術迅速成熟起來。具體地講，為了有效保障無線網絡的安全性，就必須實現以下幾個安全目標：①提供接入控制：通過驗證用戶，授權接入特定的資源，同時拒絕為未經授權的用戶提供接入。②確保連接的保密與完好：利用強有力的加密和校驗技術，防止未經授權的用戶竊聽、插入或修改通過無線網絡傳輸的數據。③防止拒絕服務攻擊：確保不會有用戶占用某個接入點的所有可用帶寬，從而影響其他用戶的正常接入。

4醫院內部無線網絡的安全防護技術

無線網絡的安全技術這幾年得到了快速的發展和應用，下面是目前業界常見的無線網絡安全技術：

4.1服務區標識符（SSID）匹配 SSID（Service Set Identifier）將一個無線網絡分為幾個不同的子網絡，每一個子網絡都有其對應的身份標識（SSID），只有無線終端設置了配對的SSID才接入相應的子網絡。所以可以認為SSID是一個簡單的口令，提供了口令認證機制，實現了一定的安全性。

4.2無線網卡物理地址（MAC）過濾 每個無線工作站網卡都由唯一的物理地址（MAC）標識，該物理地址編碼方式類似于以太網物理地址。網絡管理員可在無線網絡訪問點AP中維護一組（不）允許通過AP訪問網絡地址列表，以實現基于物理地址的訪問過濾。

4.3無線接入點（AP）隔離 AP（Access Point）隔離類似于有線網絡的VLAN，將所有的無線客戶端設備完全隔離，使之只能訪問AP連接的固定網絡。該方法多用于對酒店和機場等公共熱點（Hot Spot）的架設，讓接入的無線客戶端保持隔離，提供安全的網絡接入。

4.4有線等效保密（WEP、WEP2） WEP（Wired Equivalent Privacy），IEEE80211.b標準規定的一種被稱為有線等效保密的可選加密方案，其目的是為無線網絡提供與有線網絡相同級別的安全保護。WEP是采用靜態的有線等同保密密鑰的基本安全方式。WEP2，是根據WEP的特性，為了提供更高的無線網絡安全性技術而產生。該技術相比WEP算法，將WEP密鑰的長度由40位加長到128位，初始化向量的長度由24位加長到128位。

4.5端口訪問控制技術（IEEE802.1x）和可擴展認證協議（EAP） IEEE802.1x提出基于端口進行網絡訪問控制的安全性標準，利用物理層特性對連接到網絡端口的設備進行身份認證。如果認證失敗，則禁止該設備訪問網絡資源。

IEEE 802.1x引入了PPP協議定義的可擴展認證協議（EAP）。作為可擴展認證協議，EAP可以采用MD5，一次性口令，智能卡，公共密鑰等等更多的認證機制，從而提供更高級別的安全。

4.6無線網絡訪問保護（WPA、WPA2） WPA（Wifi Protected Access），率先使用802.11i中的加密技術-TKIP （Temporal Key Integrity Protocol），這項技術可大幅解決802.11原先使用WEP所隱藏的安全問題。

WPA2是基于WPA的一種新的加密方式，向后兼容，支持更高級的AES加密，能夠更好地解決無線網絡的安全問題。

4.7高級的無線網絡安全標準（IEEE 802.11i） IEEE 802.11i安全標準是為了增強無線網絡的數據加密和認證性能，定義了RSN（Robust Security Network）的概念，并且針對WEP加密機制的各種缺陷做了多方面的改進。IEEE 802.11i規定使用802.1x認證和密鑰管理方式，在數據加密方面，定義了TKIP、CCMP和WRAP三種加密機制，使得無線網絡的安全程度大大提高。

5醫院內部無線網絡的安全實現

5.1合理放置無線設備 無線網絡的信號是在空氣中傳播的，任一無線終端進入了設備信號的覆蓋范圍，都有可能連接到該無線網絡。所以醫院內部無線網絡安全的第一步就是，合理規劃AP的放置，掌控信號覆蓋范圍。在架設無線AP之前，必須選定一個合理的放置位置，以便能夠限制信號在覆蓋區以外的傳輸距離。最好放在需要覆蓋的區域中心，盡量減少信號泄露到區域外。

5.2無線網絡加密，建立用戶認證 對于醫院內部無線網絡的進行加密，建立用戶認證，設置相關登錄用戶名和密碼，而且要定期進行變更，使非法用戶不能登錄到無線設備，修改相關參數。實際上對無線網絡來說，加密更像是一種威懾。加密可細分為兩種類型：數據保密業務和業務流保密業務。只有使用特定的無線網絡加密方式，才會在降低方便性的情況下，提高安全性。

5.3 SSID設置 無線 AP 默認的設置會廣播SSID，接入終端可以通過掃描獲知附近存在哪些可用的無線網絡，例如WINDOWS自帶掃描功能，可以將能聯系到的所有無線網絡的 SSID 羅列出來。因此，設置AP不廣播SSID，并將SSID的名字構造成一個不容易猜解的長字符串，同時設置SSID隱藏起來，接入端就不能通過系統自帶的功能掃描到這個實際存在的無線網絡，即便他知道有一個無線網絡存在，但猜不出 SSID 全名也是無法接入到這個網絡中去，以此保證醫院內部無線網絡的安全。

5.4 MAC地址過濾 MAC 地址過濾在有線網絡安全措施中是一種常見的安全防范手段，因此其操作方法也和在有線網絡中操作交換機的方式一致。通過無線控制器將指定的無線網卡的MAC 地址下發到各個AP中，或者直接存儲在無線控制器中，或者在AP交換機端進行設置。

5.5 SSL VPN 進行數據加密和訪問控制 由于在實際醫療活動中，為了滿足診斷、科研及教學需要，必須經常大量采集、發布、利用各種醫療數據。由于原有醫院網絡的相對封閉性，絕大多數的應用系統采用的都是未經加密的數據包進行數據交換，但是醫院內部無線網絡是相對開放性的網絡，入侵者通過對無線信號中數據包的偵聽與解析，使得醫療信息泄漏成為了醫院不得不面對的問題。SSL VPN 即指采用SSL 協議來實現遠程接入的一種VPN技術。SSL VPN 基于瀏覽器的認證方式，能兼容醫院主流的無線終端設備操作系統，如Windows、Android、IOS，而VPN 的方式又能保證醫院信息系統的正常運行。SSL VPN在解決醫院無線網絡數據加密的同時，最大限度地保障了醫院信息系統的投資。

5.6核心網絡隔離 一旦攻擊者進入無線網絡，它將成為進一步入侵其他系統的起點。很多網絡都有一套經過精心設置的安全設備作為網絡的外殼，以防止非法攻擊， 但是在外殼保護的網絡內部確是非常的脆弱容易受到攻擊的。無線網絡可以通過簡單配置就可快速地接入網絡主干，但這樣會使網絡暴露在攻擊者面前。所以必須將無線網絡同易受攻擊的核心網絡進行一定的安全隔離保護，應將醫院內部無線網絡布置在核心網絡防護外殼的外面， 如防火墻、網閘等安全設備的外面，接入訪問核心網絡采用SSL VPN等方式。

5.7入侵檢測系統（IDS） IDS（Intrusion Detection Systems）入侵檢測系統，不是只針對無線網絡檢測的系統，同樣也適用于有線網絡。入侵檢測技術可以把無線網絡的安全管理能力擴展到安全審計、安全檢測、攻擊識別和響應等范疇。這樣不僅提高了網絡的信息安全基礎結構的完整性，而且幫助對付惡意用戶對整體醫院網絡內其他用戶的攻擊。依照醫院無線應用系統的安全策略，對網絡及信息系統的運行狀況進行監視，發現各種攻擊企圖、攻擊行為及攻擊結果，以保證網絡系統資源的完整性、可用性和機密性。

5.8終端準入控制 終端準入控制主要為了在用戶訪問網絡之前確保用戶的身份信任關系。利用終端準入控制，醫院能夠減少對系統運作的部分干擾，因為它能夠防止易損主機接入網絡。在終端利用醫院內部無線網絡接入之前，首先要檢查它是否符合制定的策略，可疑主機或有問題的主機將被隔離或限制接入。這樣不但可以防止這些主機成為蠕蟲和病毒攻擊的目標，還可以防止這些主機成為傳播病毒的源頭，保證只有在滿足終端準入控制策略的無線終端設備才能接入醫院網絡。

6結論

隨著無線網絡越來越受到普及，本文淺析了醫院內部無線網絡存在的幾種安全隱患，并探討了對應的幾種防范策略。總的來說，世界上不存在絕對安全的網絡，任何單一的安全技術都不能滿足無線網絡持續性的安全需求，只有增強安全防范意識，綜合應用多種安全技術，根據不同的醫院自身應用的特點，選擇相應的安全防范措施，通過技術管理和使用方法上的不斷改進，才能實現醫院無線網絡的安全運行。

參考文獻：

[1]Zerone無線安全團隊.無線網絡黑客攻防[J].中國鐵道出版社，2011（10）.

[2]中國密碼學會，無線網絡安全[J].電子工業出版社，2011（9）.

[3]朗明.思科無線網絡解決方案在美國醫院的應用[J].當代醫學，2003，9（1）.

[4]劉喻. 大規模無線網絡在醫療行業的應用[J]. 中國數字醫學，2010，5（1）：81-83.

編輯/許言