醫(yī)院無線網(wǎng)絡(luò)安全建設(shè)措施及應(yīng)用實(shí)踐

楊 眉 潘曉雷 彭仕機(jī)

(武警廣東醫(yī)院信息科 廣州 510507)

?

醫(yī)院無線網(wǎng)絡(luò)安全建設(shè)措施及應(yīng)用實(shí)踐

楊 眉 潘曉雷 彭仕機(jī)

(武警廣東醫(yī)院信息科 廣州 510507)

針對無線網(wǎng)絡(luò)在醫(yī)院使用中存在的安全風(fēng)險(xiǎn)，提出醫(yī)院無線網(wǎng)絡(luò)安全建設(shè)措施，包括安全策略集中控制、接入點(diǎn)零配置、非法入侵檢測、病毒入侵防護(hù)、安全準(zhǔn)入控制、無線認(rèn)證與CA證書對接幾方面，通過實(shí)踐證明該安全建設(shè)措施的可操作性。

無線網(wǎng)絡(luò)；安全威脅；信息安全

1 引言

無線網(wǎng)絡(luò)的出現(xiàn)使人類的通信和感知擺脫了時(shí)間、地點(diǎn)和對象的束縛，極大地提高了人類的生活和工作質(zhì)量，加快了社會發(fā)展的進(jìn)程。無線網(wǎng)絡(luò)(Wireless Local Area Networks,WLAN)使用無線電波發(fā)送信息，是計(jì)算機(jī)網(wǎng)絡(luò)與無線通信技術(shù)相結(jié)合的產(chǎn)物。與有線網(wǎng)絡(luò)相比，無線網(wǎng)絡(luò)最主要的優(yōu)勢在于不需要布設(shè)網(wǎng)線，具有布網(wǎng)便捷、移動靈活的特點(diǎn)。無線網(wǎng)絡(luò)通過無線電波在空中進(jìn)行數(shù)據(jù)傳輸，在其信號覆蓋的區(qū)域，具有相同接受頻率的無線用戶可以獲取所傳遞的信息。無線網(wǎng)絡(luò)與有線網(wǎng)絡(luò)比較只是在傳輸方式上有區(qū)別，因此有線網(wǎng)絡(luò)存在的安全威脅和隱患在無線網(wǎng)絡(luò)一樣存在，攻擊者可以通過一定的技術(shù)手段對專用網(wǎng)絡(luò)進(jìn)行非授權(quán)訪問、竊取和篡改網(wǎng)絡(luò)中的傳輸信息[1]。與有線網(wǎng)絡(luò)相比無線網(wǎng)絡(luò)還存在一些特有的安全威脅，如服務(wù)后抵賴，有效等效保密協(xié)議(Wired Equivalent Privacy, WEP)，加密破解，無線竊聽，假冒攻擊，介質(zhì)訪問控制(Media Access Control, MAC)地址欺騙等。因此，安全問題作為無線網(wǎng)絡(luò)實(shí)施所面臨的最大挑戰(zhàn)，一直是學(xué)術(shù)界的研究重點(diǎn)和熱點(diǎn)。為了消除網(wǎng)絡(luò)與用戶之間最后1米的距離，醫(yī)院陸續(xù)在急診科、病房、ICU、手術(shù)室等需要醫(yī)護(hù)人員移動工作的區(qū)域部署無線網(wǎng)絡(luò)，引入智能手機(jī)、平板電腦、掌上電腦等移動終端，使醫(yī)護(hù)人員能夠高效地獲取、共享和存儲醫(yī)療信息[2]，從而幫助醫(yī)護(hù)人員在患者身邊開展各種即時(shí)性的醫(yī)療救治工作。醫(yī)院信息系統(tǒng)對整體安全性要求高，因此在建設(shè)無線網(wǎng)絡(luò)應(yīng)用移動終端之前，無線網(wǎng)絡(luò)中的安全業(yè)務(wù)需要相應(yīng)的安全機(jī)制來保證，做好安全建設(shè)工作，從而保證醫(yī)療數(shù)據(jù)安全傳輸。

2 無線網(wǎng)絡(luò)安全建設(shè)措施

2.1 概述

網(wǎng)絡(luò)安全作為一個(gè)整體體系，不僅要關(guān)注安全標(biāo)準(zhǔn)，更要注重分層實(shí)施安全策略，將其從單一的物理層安全延伸到設(shè)備安全、用戶接入安全、網(wǎng)絡(luò)層安全、管理安全等多個(gè)層面上[3]。在分層、模塊化的設(shè)計(jì)理念下，無線網(wǎng)絡(luò)由智能控制層、無線接入層、無線安全策略管理平臺組成。依照無線網(wǎng)絡(luò)的特點(diǎn)，制定安全建設(shè)措施。

2.2 安全策略集中控制

建立智能無線交換網(wǎng)絡(luò)架構(gòu)，將所有的安全策略全部集中到無線控制器上統(tǒng)一發(fā)布和控制，包括用戶身份認(rèn)證、入網(wǎng)行為控制、安全加密、病毒庫、無線入侵檢測、無線電射頻管理等。網(wǎng)絡(luò)管理員在無線控制器上配置安全策略，可以完成整網(wǎng)的安全策略配置，避免無線接入點(diǎn)被盜產(chǎn)生的安全信息外泄危機(jī)。

2.3 接入點(diǎn)零配置

在傳統(tǒng)的無線接入點(diǎn)組網(wǎng)中，非法用戶可能通過盜取無線接入點(diǎn)并讀取入網(wǎng)密碼等信息入侵網(wǎng)絡(luò)。無線控制器通過對智能無線接入點(diǎn)的控制，使得智能無線接入點(diǎn)在本地不保存任何數(shù)據(jù)，而是全部實(shí)時(shí)存儲在無線控制器上，因此智能無線接入點(diǎn)實(shí)現(xiàn)零配置，對于安全而言是非常有效的，杜絕了非法用戶在接入層盜取設(shè)備截獲信息的可能，同時(shí)也簡化了本地接入的工作量。

2.4 非法入侵檢測

無線訪問接入點(diǎn)(Access Point，AP)相當(dāng)于有線網(wǎng)絡(luò)的集線器，是無線網(wǎng)絡(luò)的核心，相當(dāng)于無線HUB。它是移動計(jì)算機(jī)用戶進(jìn)入有線網(wǎng)、以太網(wǎng)的骨干接入點(diǎn)，可以方便簡潔地安裝在天花板或墻壁上，只有在無線AP可以覆蓋的區(qū)域內(nèi)進(jìn)行適當(dāng)?shù)脑O(shè)置，才能連接無線網(wǎng)絡(luò)[4]。無線網(wǎng)絡(luò)由于使用空中的無線電射頻信道工作，易于訪問和配置簡單，任何人都可以通過自己購買的AP不經(jīng)過授權(quán)而聯(lián)入網(wǎng)絡(luò)。用戶通過非法AP接入給網(wǎng)絡(luò)帶來安全隱患，產(chǎn)生數(shù)據(jù)安全及網(wǎng)絡(luò)帶寬非法占用等問題。當(dāng)非法無線用戶對合法無線接入點(diǎn)進(jìn)行入侵時(shí)(如無線DOS攻擊)，會被誤以為是無線電波的信號受干擾或AP出現(xiàn)不穩(wěn)定情況。這些攻擊會導(dǎo)致用戶的無線連接斷線，但網(wǎng)絡(luò)管理員卻無法在第一時(shí)間得到報(bào)警。利用智能無線網(wǎng)絡(luò)架構(gòu)技術(shù)，無線控制器本身內(nèi)置無線入侵模式庫，可以實(shí)時(shí)檢測異常的無線數(shù)據(jù)包，當(dāng)無線系統(tǒng)偵測到有入侵時(shí)，記錄和顯示入侵的格式，開啟入侵自動保護(hù)響應(yīng)和報(bào)警。

2.5 病毒入侵防護(hù)

2.5.1 準(zhǔn)入檢查 當(dāng)無線終端試圖訪問網(wǎng)絡(luò)，在該用戶認(rèn)證之前，對無線終端的操作系統(tǒng)補(bǔ)丁、防病毒軟件、防病毒定義碼升級的情況進(jìn)行檢查。檢查不通過，則設(shè)定策略禁止其訪問網(wǎng)絡(luò)，也可設(shè)置成將無線用戶重定向到一臺升級服務(wù)器。直到安裝系統(tǒng)補(bǔ)丁、防病毒軟件并升級病毒特征庫，滿足系統(tǒng)制定的安全策略以后，該無線終端才可以進(jìn)入認(rèn)證環(huán)節(jié)進(jìn)行用戶的認(rèn)證。

2.5.2 數(shù)據(jù)檢查 通過了準(zhǔn)入檢查后，對無線終端發(fā)出的數(shù)據(jù)進(jìn)行有效性檢查和監(jiān)控。設(shè)定策略，對于某些用戶以及可能沾染病毒的數(shù)據(jù)，將其重定向到防病毒設(shè)備上進(jìn)行防病毒檢查，檢查完成后，才允許通過，否則丟棄數(shù)據(jù)，從而實(shí)現(xiàn)對無線終端的病毒防護(hù)。

2.6 安全準(zhǔn)入控制

2.6.1 身份認(rèn)證 對網(wǎng)絡(luò)身份的行為授權(quán)，防止非授權(quán)終端訪問。支持802.1x、Web準(zhǔn)入，基于用戶的網(wǎng)絡(luò)身份進(jìn)行訪問權(quán)限授權(quán)，實(shí)現(xiàn)6元素自動綁定(用戶IP、MAC、用戶名、密碼、交換機(jī)IP、交換機(jī)端口)以及用戶硬盤ID綁定，與網(wǎng)絡(luò)設(shè)備及安全設(shè)備聯(lián)動，防止非授權(quán)終端訪問。

2.6.2 安全策略 統(tǒng)一安全策略，全面保障終端安全、合規(guī)、受控。終端進(jìn)入網(wǎng)絡(luò)時(shí)，進(jìn)行補(bǔ)丁檢查、防病毒軟件、注冊表、系統(tǒng)服務(wù)、進(jìn)程等多種安全策略檢查，保障終端安全、受控和安全政策的落實(shí)，同時(shí)滿足法律法規(guī)遵從性的需求。動態(tài)策略管理提供可定制、可擴(kuò)展的安全策略，可分組織和角色靈活實(shí)施;提供多種安裝策略并基于系統(tǒng)環(huán)境選擇安裝，及時(shí)、主動消除各種安全缺口；提供上網(wǎng)行為審計(jì)、USB移動存儲設(shè)備、系統(tǒng)進(jìn)程監(jiān)控等安全策略，對用戶違規(guī)行為進(jìn)行審計(jì)和取證，幫助提高用戶安全意識，保障IT資源的合理使用。

2.6.3 終端管理 部署自動化補(bǔ)丁檢查，及時(shí)修復(fù)終端漏洞，主動消除安全缺口。基于自動化補(bǔ)丁檢查結(jié)果，提供基于用戶群組的補(bǔ)丁下發(fā)，支持分布式補(bǔ)丁分發(fā)，支持?jǐn)帱c(diǎn)續(xù)傳，保障下載的持續(xù)性。系統(tǒng)自動收集終端軟、硬件資產(chǎn)信息，跟蹤資產(chǎn)變更，實(shí)現(xiàn)資產(chǎn)管理IT化，保障信息資產(chǎn)可控可管。

2.7 無線認(rèn)證與CA證書對接

認(rèn)證系統(tǒng)支持與Windows CA證書對接，僅當(dāng)終端安裝有CA下發(fā)的合法數(shù)字證書時(shí)，終端才可認(rèn)證接入網(wǎng)絡(luò)，證書錯(cuò)誤或者不存在都無法接入。終端認(rèn)證實(shí)現(xiàn)基本CA證書認(rèn)證，無需再次輸入802.1x的用戶名密碼，簡化操作。同時(shí)，在CA服務(wù)器異常時(shí)，只要客戶終端有合法證書存在，仍可確保正常入網(wǎng)，實(shí)現(xiàn)免認(rèn)證。這樣可以確保在CA服務(wù)器出現(xiàn)故障時(shí)仍能正常使用，不會造成嚴(yán)重的網(wǎng)絡(luò)事故。

3 應(yīng)用實(shí)踐

3.1 無線網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)

某三級甲等醫(yī)院實(shí)施無線網(wǎng)絡(luò)的建設(shè)，目的是實(shí)現(xiàn)醫(yī)院無線網(wǎng)絡(luò)全面覆蓋，為移動醫(yī)療提供一個(gè)安全、高可用的無線網(wǎng)絡(luò)環(huán)境。該醫(yī)院無線網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，見圖1。

圖1 無線網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)

3.2 無線網(wǎng)絡(luò)設(shè)計(jì)與部署

無線網(wǎng)絡(luò)由有源以太網(wǎng)(Power Over Ethernet, POE)交換機(jī)，大容量室內(nèi)無線AP，智分零漫游無線接入點(diǎn)及其配件組成。POE交換機(jī)使用千兆以太網(wǎng)鏈路連接大容量室內(nèi)無線AP、智分零漫游無線AP實(shí)現(xiàn)數(shù)據(jù)傳輸。無線AP通過專用超柔饋線連接功率分配器、智分單元及入室美化天線等配件通過穿墻入室方式實(shí)現(xiàn)院區(qū)無線信號覆蓋。大容量室內(nèi)無線AP通過放裝形式滿足醫(yī)院開放式區(qū)域的無線信號覆蓋。

3.3 無線控制器冗余備份

無線控制器采用N+1集群冗余備份技術(shù)，其中1臺無線控制器作為主控制器，其余N臺作為從控制器。無線網(wǎng)絡(luò)初始化時(shí)，只有主控制器會接受AP的注冊請求。當(dāng)AP和主控制器注冊并建立無線接入點(diǎn)的控制和配量協(xié)議(ControlandProvisioningofWirelessAccessPointsProtocolSpeafication,CAPWAP)關(guān)聯(lián)時(shí)，主控制器將備份控制器的信息通告給每個(gè)AP，AP根據(jù)此信息和備份的控制器建立一條虛擬CAPWAP鏈路，但同一時(shí)間只有與主控制器建立的CAPWAP鏈路處于工作狀態(tài)。當(dāng)主控制器異常宕機(jī)時(shí)，備份控制器和主控制器之間的心跳檢測機(jī)制可以快速檢測到主設(shè)備的狀態(tài)，及時(shí)通知AP進(jìn)行主備用CAPWAP隧道的切換，這一過程的切換時(shí)間將在50毫秒內(nèi)完成，移動終端業(yè)務(wù)不會出現(xiàn)中斷。

3.4 非法電磁信號監(jiān)測

采用智能無線AP，通過兩種模式對非法電磁信號進(jìn)行監(jiān)測：一種方式為AP設(shè)為每隔一段時(shí)間主動在線掃描模式；另一種方式將AP設(shè)為連續(xù)監(jiān)控的監(jiān)聽模式。智能無線AP通過上述兩種方式，采取按需的或預(yù)設(shè)定的射頻掃描來監(jiān)聽周邊環(huán)境信號源的MAC地址、通道(Channel)類型及服務(wù)集標(biāo)識(ServiceSetIdentifier,SSID)等，自動識別并警告未授權(quán)的AP或點(diǎn)對點(diǎn)(Ad-Hoc)網(wǎng)絡(luò)，以避免潛在的干擾或與無線入侵者。另外，對于某些重點(diǎn)區(qū)域，可以部署專用AP不斷地掃描空域，以便滿足安全性更高的要求。

3.5 雙重認(rèn)證鑒別

為了保障網(wǎng)絡(luò)的安全性，無線網(wǎng)絡(luò)需要對接入的設(shè)備進(jìn)行準(zhǔn)入認(rèn)證。通常方式有802.1x+CA、Web以及MAC認(rèn)證。對于不同種類的移動終端，由于操作系統(tǒng)的差異化，Web認(rèn)證具有一定的兼容局限性。因此針對移動終端，可以采用基于802.1x+CA認(rèn)證結(jié)合設(shè)備MAC地址綁定的雙重認(rèn)證鑒別，實(shí)現(xiàn)全網(wǎng)統(tǒng)一的無線終端鑒別。被授權(quán)的移動終端只有在安裝了相應(yīng)的CA證書，并且與綁定的MAC地址一致的情況下，才能接入無線網(wǎng)絡(luò)。通過雙重認(rèn)證鑒別，實(shí)現(xiàn)移動終端的安全身份識別，避免外來非法無線終端的接入。

4 結(jié)語

很多醫(yī)院的實(shí)踐證明，移動醫(yī)療終端的實(shí)施為臨床醫(yī)護(hù)人員工作帶來了極大方便，而且使得醫(yī)療服務(wù)更加安全[5]。融入無線網(wǎng)絡(luò)技術(shù)及移動終端設(shè)備的醫(yī)療信息系統(tǒng)，為臨床醫(yī)療工作帶來創(chuàng)新與變革，是未來醫(yī)療信息系統(tǒng)的發(fā)展方向[6]。近年來，我國各醫(yī)院在無線醫(yī)療技術(shù)方面的應(yīng)用十分活躍，但與歐美國家相比尚處于起步階段，如何加快無線技術(shù)的研究步伐，加大無線技術(shù)在醫(yī)療領(lǐng)域的投入，是我國醫(yī)療行業(yè)信息化建設(shè)的重點(diǎn)之一[7]。但是任何單一的安全技術(shù)都不能滿足無線網(wǎng)絡(luò)持續(xù)性的安全需求，只有通過綜合應(yīng)用多種安全技術(shù)，才能實(shí)現(xiàn)醫(yī)院無線網(wǎng)絡(luò)的安全運(yùn)行[8]。而且，無線網(wǎng)絡(luò)的安全不僅僅是技術(shù)問題，也是一個(gè)安全管理問題，同時(shí)也是社會道德與法律法規(guī)問題。因此，必須采取技術(shù)與立法等多種手段進(jìn)行綜合治理[9]。通過無線網(wǎng)絡(luò)，利用移動終端設(shè)備，可實(shí)現(xiàn)床旁醫(yī)療服務(wù)，提高病人滿意度，提高工作效率，簡潔和美化病區(qū)環(huán)境。隨著移動醫(yī)療在醫(yī)院的普及，會有更多、更新的安全理論和技術(shù)不斷涌現(xiàn)，從而保證無線網(wǎng)絡(luò)的安全性，適應(yīng)新形勢下的安全管理需要，使之更好地為醫(yī)療服務(wù)[10]。

1 李林，劉毅，楊駿．無線網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評估方法的應(yīng)用研究[J]．計(jì)算機(jī)防真，2011，28(9)：147-150．

2 張合華，趙玉虹．醫(yī)院打造BYOD環(huán)境策略探析[J]．醫(yī)學(xué)信息學(xué)雜志，2014，35(8)：31-34．

3 孔燦紅，朱小衛(wèi)，卜慶祝．醫(yī)療行業(yè)無線網(wǎng)絡(luò)的建設(shè)[J]．中國數(shù)字醫(yī)學(xué)，2010，5(11)：106-107．

4 劉文，徐濤．無線網(wǎng)絡(luò)技術(shù)在醫(yī)院設(shè)備管理中的應(yīng)用[J]．醫(yī)學(xué)信息學(xué)雜志，2010，31(12)：34-37．

5 胡育新．一種多功能、移動式醫(yī)護(hù)工作站的設(shè)計(jì)構(gòu)想[J]．醫(yī)學(xué)信息學(xué)雜志，2009，30(11)：21-22．

6 黃文財(cái)，高昭昇．基于RFID技術(shù)的醫(yī)院無線護(hù)理系統(tǒng)設(shè)計(jì)及其應(yīng)用[J]．醫(yī)學(xué)信息學(xué)雜志，2013，34(9):23-25.

7 杜柯，朱新銀，趙碧霞．無線通信技術(shù)在智慧醫(yī)療管理系統(tǒng)中的應(yīng)用[J]．醫(yī)學(xué)信息學(xué)雜志，2013，34(6)：14-17．

8 仲曉偉，王建強(qiáng)．醫(yī)院無線網(wǎng)絡(luò)安全防護(hù)的探討[J]．醫(yī)療衛(wèi)生裝備，2013，34(5)：45-47．

9 朱俊．無線網(wǎng)絡(luò)安全問題及其防范措施[J]．計(jì)算機(jī)與網(wǎng)絡(luò)，2013，(21)：71-73．

10 凡星，劉培奇．無線局域網(wǎng)中Wi-Fi安全技術(shù)研究[J]．電腦知識與基礎(chǔ)，2012，8(7)：1513-1515．

Hospital Wireless Network Security Construction Measures and Application Practice

YANGMei,PANXiao-lei,PENGShi-ji,

InformationDepartment,WujingZongduiHospitalofGuangzhouProvince,Guangzhou510507,China

Aiming at the security risks of using wireless network in hospital, the paper puts forward the hospital wireless network security construction countermeasures, including security strategy centralized control, access point zero configuration, illegal intrusion detection, virus protection, security access control, wireless authentication connected with CA certification. Practice proves the operability of this security construction measures.

Wi-Fi；Security threats；Information security

2014-11-11

楊眉，工程師，發(fā)表論文10余篇。

R-058

A 〔DOI〕10.3969/j.issn.1673-6036.2015.02.010