醫院無線網絡建設及安全分析

李 煒， 黃 倩

（武漢大學人民醫院 信息中心，湖北 武漢 430060）

隨著信息技術的不斷發展，醫院的信息化建設也日益受到重視。現代醫院對網絡普及的要求也在不斷提高，希望在院中的任何時間，醫生、護士、病人以及病人家屬均能進行數據、語音圖像等任何內容的通信。而由于醫療行業的特殊性，醫護人員需頻繁地在院內進行移動檢查，同時處理患者大量的信息，且要求零失誤[1]。而我國的大中型醫院又大多早在網絡普及之前便已建成，現在若進行傳統網絡改建的話會有諸多不便，例如，施工中所帶來的塵土以及噪音會對患者的病情產生影響；傳統網絡需要拉接網線，而布線增多會給醫院衛生造成死角，長時間會產生衛生問題。隨著，醫院業務的增加即使現在的網絡資源可滿足需求，但仍需考慮將來的擴容問題。如今隨著無線網絡技術的日益成熟，依靠其無可比擬的靈活性，極強的靈活性已逐漸將有線網絡取而代之。本文將對無線網絡在醫院中的建設問題及其安全分析進行探究。

1 醫院中無線網絡的用途

無線網絡利用電磁波在空氣中發送和接收數據。是對現有網絡方案的一種擴展和補充，能方便的解決以前有線網絡使用中不易實現的問題。

1.1 用于床邊護理

在某些發達國家，例如美國以及西歐部分國家，已有某些醫院取消了病區護士站的設置，直接采用無線終端在患者床邊采集和錄入數據，這可使得患者得到更多的護理[2]。在日常護理中，可為每位病人配備獨一無二的條碼標識帶，在病床旁，護士用無線終端設備掃描腕帶即可讀取患者信息，從而可準確無誤的幫助護士執行醫囑。在另一方面考慮，還可為醫護人員的績效考核提供客觀依據，從而做到賞罰分明。

1.2 用于病區移動查房

在傳統醫療情況下，醫生查房主要有兩種方式，一是將病人的有關數據記錄到紙質文檔上，查房時攜帶并查閱；二是在醫生的辦公室實現調閱病例，并記憶有關病人的生命體征數據以及有關病史[3]。第一種方法，需經常打印病例，增加了工作量，并與當下所提倡的無紙化辦公相悖；第二種方法，極易發生錯誤，從而造成嚴重的后果[4]。

1.3 用于護理監控

目前，較先進的病房配有有線視頻監控系統，而組件無線網絡后，只需購置無線攝像頭，并進行簡單的配置即可進行監控，從而避免了重新布線的繁瑣。因醫院的病房眾多，而無線監控又有較好的擴展性，即理論上可用一套監控軟件同時監控無窮多個地點[5]。

2 某醫院無線網絡建設案例

下面以某醫院的無線網絡項目為例，來具體闡述典型的醫院無線網絡建設方案：

該醫院為某高等院校附屬醫院，也是我國建設最為完備的三甲醫院之一。近年來，隨著醫療水平的上漲，其規模也在不斷擴大，從最初僅有一棟大樓發展到如今的門診樓、住院樓、醫技樓分離的狀況。

針對醫院在無線網絡建設中面臨的諸多難題，確定要求如下：1）無線網絡信號覆蓋3幢不同位置的大樓；2）提供無縫的互聯網IP鏈接特性，保證醫護人員、患者和患者家屬在病區之間無縫漫游；3）保障無線網絡的安全性，對用戶和資源訪問進行權限管理；4）對不同的無線用戶（患者、醫護人員、醫院信息管理人員）提供不同的接入認證方式，并對其應用合適的路由策略；5）若有患者的手機不支持無線WLAN，則盡量為其配備無線網絡終端，使得醫護人員可隨時與其取得聯系。

考慮到醫院對無線網絡的諸多要求，決定采用瘦AP架構進行無線網絡搭建。首先通過無線控制器對全網的AP進行統一配置和管理。每棟樓均配有POE交換機，這樣可在實現大規模AP接入的同時，解決AP的供電問題。醫院的無線網絡采用獨特的智分無線系統進行部署，大幅降低了管理成本，并可提升無線網絡應用效果。

在無線智分模式下，醫院的無線網絡建設示意圖如圖1所示。其中，做到6間病房配備一個AP。在使用中饋線，AP均為無源設備，故障率極低且易于更換。

圖1 某醫院無線網絡構架示意圖Fig.1 Wireless network architecture diagram of a hospital

由于實際搭建中AP可覆蓋走廊和每一間病房，所以醫生可通過移動終端，在院內隨時隨地調取患者的病史和治療記錄，且可根據患者的病情實時更新醫囑，從而提高查房的效率和質量。而護士可通過手機攝像頭，在病床前通過條碼掃描直接得知患者的有關情況，進行藥品的匹配核對，杜絕了人工核對易出現的錯誤。

3 醫院無線網絡所面臨的風險

由于醫院的無線網絡通過無線信號傳遞信息，使得其相比于原來的有線網絡具有一定的開放性。而由于醫院的無線網絡是在原有的局域網上進行搭建，所以其網絡安全有類似局域網的安全需求。所以醫院網絡一旦被入侵，輕則造成醫院的信息系統被竊取，而患者的病史及其他信息均是個人的極度隱私，一旦泄露將會與患者產生法律糾紛。重則造成網絡癱瘓，醫療業務中斷，給患者造成無法彌補的損失。醫院無線網絡所面臨的風險有以下4種。

3.1 非授權訪問

當多個用戶共享一個大型數據庫時，有可能大多數用戶均無權訪問數據庫中的信息。例如，患者的病例通常被看做是機密數據，所以只有授權用戶（醫生和護士）才允許訪問這些數據。此外，可能只允許某些用戶檢索數據，而另外一些用戶則既可檢索數據又可更新數據。例如，在醫院中某些情況護士只允許查看病人的用藥情況，而醫生不但可查看并可對此進行更改。所以，通常均會為不同的用戶或用戶組提供不同的受口令保護的賬號，也可用此賬號來登陸數據庫。非授權訪問就是未預先經過管理員的授權，就使用終端對網絡和數據庫資源進行訪問。而有意避開系統訪問控制機制，對網絡設備及資源進行非正常使用，或擅自擴大權限，越權訪問信息均屬于其的范疇[7]。

3.2 拒絕服務攻擊

拒絕服務攻擊（DoS：Denial of Service）是黑客常用的一種攻擊手段，其攻擊示意圖如2所示。

圖2 拒絕服務攻擊示意圖Fig.2 Schematic of DoS

這種行動會使得網站服務充斥著大量要求回復的信息，消耗網絡帶寬或系統資源，導致網絡或系統不勝符合以至于癱瘓而停止提供正常服務。而拒絕服務攻擊的問題始終難以得到合理的解決，究其原因主要是網絡協議本身的安全缺失所造成的。在被拒絕服務攻擊后，若醫護人員無法正常連接網絡，則將無法與患者進行正常溝通，嚴重的將延誤患者的治療時機，從而造成無法挽救的后果[6]。

3.3 網絡信息被非法截獲和破解

由于無線網絡通過空氣中的電磁波傳輸信息，而電磁波能穿越玻璃、樓層、墻等物體，因此在任何一個AP服務區域中，任何一個無線網絡終端均可接收到此接入點的電磁波信號。雖增加了便利性，但非授權用戶也可接收到信號，雖然傳輸過程中信號應該是加密的，但黑客會使用技術手段對其進行破解，從而竊取患者病歷、個人信息等隱私，使患者蒙受不必要的損失，并使醫院承擔一定的法律風險。

3.4 無線信號對醫療設備的干擾

在醫院的日常診療過程中需用到大量的醫用電子設備，這些設備必須保持相當高的靈敏度，嚴格不受到外界的干擾。因如果診斷數據錯誤，將直接影響到醫生對病人病情的判斷。更有甚者，當病人體內有植入式醫療設備時，可能會影響病人的生命安全。所以在醫院中必須對此干擾進行重視。

4 醫院無線網絡的安全防護措施

針對上述可能面對的風險，現有以下幾點防護措施：

4.1 禁用SSID廣播

目前絕大多數無線網絡均設置為使用開放式網絡環境，即允許他人均可搜索到該接入點公開的SSID標識，這是由無線路由器進行SSID廣播實現的。當醫院中越來越多的人開始使用醫院的WIFI時，醫院內部的SSID廣播就有可能被黑客嘗試連接。禁用SSID廣播之后，無線網絡就不會被黑客搜到，同時也不影響醫護人員的使用。所以，可用禁用SSID廣播并每天更新AP名稱來增強網絡安全。但高級黑客還是可以通過專業的無線網絡掃描工具查找到醫院的SSID，因此不能用禁用SSID廣播作為單一的安全防護模式。

此方法的弊端就是在患者登陸時要手動輸入接入點名稱，對于患者可能會產生一定的困難。并由于患者所使用的網絡終端型號繁雜，有的終端無法識別漢字，所以只能將無線網絡的名字設為英文[7]。

4.2 啟用MAC地址過濾

但這一方法也有弊端，因醫院的患者流動性大，且患者想接入AP之前需向醫院的信息化部門提出入網申請，將用戶的MAC地址加入可接入清單中，所以用戶量過大，要進行定期清理，管理負擔重，且維護困難。

4.3 使用先進的加密技術

在最早的加密技術中，Wep技術于1999年成為IEEE 802.11標準的一部分，其采用64/128位共享加密，其主要缺點是在回話中不發生變化，同時也不會針對各個用戶變化。但隨著信息技術的發展，人們發現了Wep加密的致命缺陷。用Wep加密無論多復雜的密碼，普通黑客通過專業工具均可在0.5 h內完成密碼破譯。因此，在2004年6月將WPA、WPA2作為新的無線網絡安全協議，其中WPA2協議若將密碼設置的較為復雜，理論上在有限的時間內無法破解。但由于其還是存在密碼泄露的可能，所以要定期更換AP登陸密碼。而其缺點是在更換加密方式后醫院早期的設備可能無法兼容，需要更新設備。

4.4 使用虛擬專用網（VPN）技術

虛擬專用網（VPN）是一種基于公共數據網，直接連接到私人局域網的服務。其主要是依靠網絡服務提供商，在公共網絡中建立專用數據通信的網絡技術。其優點是在虛擬專用網時，任意兩個節點之間未采用傳統端到端的物理鏈路，而是使用某種公共網的資源動態組成的。通過VPN可實現網絡安全，簡化網絡設計等。

4.5 為精密儀器增加信號屏蔽

無線網絡為電磁輻射，在功率較小的情況下對人類并無影響，但由于醫療設備的靈敏度極高，所以需采用屏蔽措施。例如：以精密儀器檢測微弱生物信號（腦電、心電等），應在屏蔽室內進行；屏蔽毯也有一定的防干擾作用，有精密儀器的部門應當配備；在使用眾多精密儀器時，應當開啟儀器的濾波功能，從而可在一定程度上消除無線網絡信號的干擾。

5 針對某醫院無線網絡建設的安全分析

針對上述醫院網絡安全的需求，其制定了如下安全解決方案：

1）采用復合802.1x標準及通過Wi-Fi認證的無線網絡產品，核心安全加工采用WPA2標準；

2）采用具有多SSID和VLAN特性的Cisco Aironet1200系列AP進行基礎覆蓋，其1200系列具有極好的安全性；

因此，在語文閱讀教學活動中，教師要有意識地安排學生進行閱讀，多給學生想象的空間，要從多角度啟發學生進行閱讀等都是很有必要的。

3）采用昂科WNC無線網絡接入控制器作為醫院無線網接入產品，為網絡安全和擴展提供保證；

4）采用昂科WNC無線網絡管理系統，對整個無線網絡的基礎設施，用戶、安全策略和相關資源進行統一管理和監控。

這套安全方案是專門為大中型醫院定制的無線網絡系統，支持符合WPA安全構架的802.1x認證方式，借助TKIP技術，動態生成數據加密秘鑰，使外人無法破解，從而保證了信息傳輸的高安全性。

此外，通過利用昂科WNC靈活配置方式和支持多種認證接入方法的特性，以及支持協議過濾、策略路由、流量控制等訪問控制策略，過濾掉非法的用戶訪問，確保網絡安全。

6 無線網絡的安全實驗

為驗證本無線網絡設計方案的安全性，特模擬黑客手段對網絡進行攻擊，攻擊結果如下：

6.1 無線密碼破譯

首先用黑客常用的WinAirPack工具對無線網絡密碼進行破譯。先將無線AP的用戶名設置為test，密碼設置為11112222，加密方式設置為WPA。接下來運行軟件，可看到如下界面。

圖3 WinAirPack軟件界面Fig.3 Software interface of winairpack

選擇加密類型為WPA-PSK，然后單擊主界面右下方的“開始破解”按鈕，此時將彈出一個內嵌在cmd.exe下運行的進程對話框，并在提示得出WEP KEY。

該軟件運行14.5分鐘后，破譯出如下密碼，從圖4中可見密碼為11112222，與文中設定的結果吻合。

圖4 利用WinAirPack進行密碼破解Fig.4 Cracking password with winairpack

而當加密方式為WPA2時，經過5個小時該軟件也無法破譯出密碼，這說明使用先進的密碼技術可較好的防御黑客攻擊。

6.2 拒絕服務攻擊防御

DoS一般是面對服務器的攻擊。本實驗中，采用UDP Flooder軟件對服務器進行模擬攻擊，軟件界面如圖5所示。

圖5 UDP Flooder軟件界面Fig.5 Software interface of UDP flooder

首先關閉系統防火墻，在IP/hostname和port窗口中指定目標主機的IP地址和端口號，Max duration設定最長的攻擊時間，在speed窗口中可設置UDP包發送的速度，在data框中，定義UDP數據包包含的內容，缺省情況下為UDP Flood.Server stress test的text文本內容。單擊Go按鈕即可對目標主機發起UDP-Flood攻擊。

在目標主機使用wireshark抓包，如圖6所示。可看到大量的syn向172.20.1.19主機發送，并將源地址改為55.55.55.55后面的Ip地址。

圖6 目標主機抓包情況Fig.6 Ethereal case of the target host

此時，目標主機網絡速度已較為緩慢，瀏覽器無法正常打開網頁。之后開啟無線網絡安全措施，開啟防火墻。此時服務器系統提示有黑客正在進行攻擊，之后開啟Mac地址過濾，將黑客的Mac地址填入黑名單，并修改登錄密碼隱藏SSID名稱。此時黑客所用終端被強行過濾出無線網絡，攻擊停止。

7 結束語

目前國內多數醫院仍在使用傳統的手工模式，書面轉抄工作量過大，而這無疑降低了醫療效率，延誤患者的救治。本文提出了針對醫院可使用的無線網絡模型，并對其安全情況進行了分析。醫院無線網絡的應用再給醫護人員及患者帶來便利的同時，也對醫院的信息安全系統提出了挑戰。任何單一的安全技術均無法滿足無線網絡的安全需求，只有通過綜合應用多種安全技術，才能保證醫院的信息安全。展望未來，無線網絡必將在全國各個醫院內推廣，而本文則可起到一定的借鑒作用。

[1]張林罡.醫院構建無線網絡方案的探討[J].計算機光盤軟件與應用，2012（14）:80-82.

[2]李志悅.手持設備（PDA）在臨床移動信息系統（CMIS）的應用[J].醫學信息:上旬刊，2008（2）:178-180.

[3]羅賢斌.無線網絡在醫院中的應用探究[J].電腦知識與技術，2012（30）:7381-7382.

[4]許美芳.基于無線網絡的醫院臨床信息系統 [D].上海:華東師范大學，2010.

[5]李文博.無線網絡技術在臨床信息系統中的應用[J].中國數字醫學，2008（5）:384-388.

[6]何道敬.無線網絡安全的關鍵技術研究[D].杭州:浙江大學，2012.

[7]許同來，谷敏.淺談醫院無線網絡的安全管理[J].中國醫療器械信息，2012（5）:52-54.