加強衛生計生系統網站安全管理的研究

孫立雷，王春陽

（1.山東省精神衛生中心網絡中心，山東 濟南 250014；2.山東山大華特科技股份有限公司，山東 濟南 250014）

隨著信息化的深入發展，衛生計生系統作為一個特殊的服務部分，其信息化網絡建設的地位在不斷提升?，F在的衛生計生系統大都已經建成了以HIS系統為核心，LIS系統、PACS系統和電子病歷系統為輔助系統的信息化醫療衛生管理服務平臺。網站作為信息發布和信息交換的重要工具，在樹立衛生計生系統形象，宣傳醫療服務，給予在線醫療技術支持等方面發揮著重要作用。同時，衛生計生系統網站面臨著一系列安全問題，網站如果因安全問題停止運行或中斷服務，不僅影響單位各項工作的開展，還會給需要醫療服務的人們帶來很大的不便。本文通過對衛生計生系統網站安全的現狀和原因進行分析，探討了如何在復雜的安全形勢下，確保衛生計生系統網站的安全、穩定運行。

1 衛生計生系統網站安全現狀及原因分析

據2017-06信息安全協會醫療分會調查檢測，共涉及衛生計生系統單位162家，主機397臺，域名489個，共發現漏洞29 551例。漏洞，也稱為脆弱性，是指在硬件、軟件及協議的實現或系統安全策略上存在的缺陷，可能來自應用軟件或操作系統設計時的缺陷或編碼時產生的錯誤，也可能來自業務在交互處理過程中設計權限或邏輯流程上的不合理。按漏洞的威脅類型劃分等級，可以分為低級、中級、嚴重和高危，其中，高危漏洞是漏洞等級中最危險的一個等級，它極易被病毒或木馬等攻擊者利用。在上述調查發現的漏洞中，高危漏洞51例，嚴重漏洞6 928例，中級漏洞10 972例，低級漏洞11 600例。圖1為風險等級分布圖和統計圖。

其中，主機漏洞1 731例，所有主機中包含有嚴重漏洞及以上的主機數量為80個，占主機總數的20.2%.主機漏洞中嚴重及以上漏洞為678個，占主機漏洞總數的39.2%.Web漏洞27 820例，占漏洞總數的94.1%，Web漏洞中嚴重及以上漏洞為6 301個，占Web漏洞總數的22.6%.信息安全風險總評級為緊急。衛生計生系統網站面臨的安全形勢非常嚴峻，漏洞一旦被攻擊者利用，在未授權的情況下訪問或破壞系統，竊取重要數據資料，篡改用戶信息，將造成不可估量的損失。漏洞問題的存在與時間有著緊密的關系。每個系統從發布即日起，漏洞會不斷被暴露出來，最早被發現的漏洞不斷地被系統供應商發布的漏洞補丁進行修正，新版系統在糾正舊版本中存在漏洞的同時，又產生一些新的漏洞和錯誤。隨著時間的推移和用戶使用的深入，舊的漏洞在消失，新的漏洞在不斷出現，漏洞問題長期存在。Web作為一種普遍使用的平臺，承載了各類機構的核心業務，當前網絡上75%的攻擊主要是針對Web漏洞的。常見的Web漏洞有以下幾種，下面進行簡單的介紹。

圖1 風險等級分布圖和統計圖

SQL注入漏洞：攻擊者將包含某種目的的SQL語句，通過關鍵變量插入到程序中正常的數據庫操作語句里，惡意控制程序數據庫，比如獲取管理員用戶名和密碼，添加、修改或刪除數據，執行某些存儲過程等，獲取有用信息或制造惡意破壞，引發一系列安全隱患。

XSS跨站腳本攻擊漏洞：XSS跨站腳本攻擊漏洞是攻擊者往Web頁面里插入惡意html代碼，用戶瀏覽網頁時，html代碼會被執行，達到攻擊者的特殊目的。

目錄遍歷漏洞：目錄遍歷漏洞允許在瀏覽器里瀏覽或下載網站的文件，導致網站結構、網站文件，甚至數據庫被攻擊者篡改。

緩沖區溢出漏洞：攻擊者惡意向用戶服務器發送大量的數據，使數據大于緩沖區，部分數據溢出到堆棧中。

上傳漏洞：網站的文件上傳功能實現代碼沒有嚴格限制用戶上傳的文件后綴及文件類型，攻擊者利用上傳任意文件包括上傳腳本木馬，達到惡意控制網站服務器的目的。

弱口令漏洞：管理后臺的用戶名和密碼過于簡單，或使用了默認的用戶名和密碼，攻擊者可以輕易進入后臺對網站造成破壞。

威脅衛生計生系統網站安全的因素是多方面的，漏洞的大量存在，只是一個客觀存在。首先政策上缺乏網站安全管理機制，沒有明確工作責任，對網站安全存在的問題做不到實時監測和處理，沒有管理政策可依賴，網站安全變成技術層面的問題。其次缺乏專業技術人員是比較重要的因素。衛生計生系統的信息安全管理部門是行業內薄弱環節，網站的建設大都委托第三方公司進行，網站維護人員基本上都只會對內容進行維護，對影響網站安全的各種系統漏洞無法及時修復，對網絡安全環境和網站安全體系做不到實時監測和維護，影響了網站的安全。再次，管理人員安全意識淡薄也是影響網站安全的重要因素。多數管理人員對網站安全的重要性認識不足，注重網站的功能建設，忽略了網站系統和代碼中存在的安全漏洞，并對漏洞的危害認識不足，意識不到會造成的網站安全問題。

2 衛生計生系統網站安全管理措施

衛生計生系統網站安全面臨著巨大挑戰，要實現高效的網站安全管理，首先應建立健全管理機制，制訂明確的管理制度，主要包括機房安全管理制度、服務器安全管理制度、密碼安全管理制度和網站備份管理制度等，做到系統維護和問題處理有章可循；舉辦信息安全防御、密碼安全管理、網站常見攻擊及應對策略等專業技術知識的培訓，增強網站管理人員的安全意識和技術水平，提高業務處理能力，使其遇到問題時，能快速、有效地處理，提高網站的安全管理水平。網站安全管理涉及很多設備和技術，提高網站安全管理水平，還應做好以下幾方面工作。

2.1 強化網絡安全環境，完善網站安全體系

配備入侵檢測系統（IDS）、網絡防火墻、Web應用防護系統（WAF）、網站防篡改系統和病毒防護體系等，從入侵檢測、訪問控制、防毒安全等方面不斷完善網站的安全體系建設。入侵檢測系統是通過實時監視系統，發現可疑傳輸發出警報或采取主動反應的網絡安全監聽設備。在交換式網絡中，IDS的位置通常是靠近攻擊源或靠近受保護資源的位置，識別惡意攻擊和非法入侵；網絡防火墻可以阻塞內部網絡的DNS信息，保護本地域名和IP地址，有效防止信息泄露；Web應用防護系統（WAF）是通過執行一系列針對HTTP/HTTPS的安全策略來專門為Web應用提供保護的防護系統，能夠從行為審計、訪問控制、網絡架構設計等應用層面增強網站的安全防護能力；網站防篡改系統可以采用事前攔截、事后恢復的雙重防御體系，防御SQL注入式攻擊、跨站腳本攻擊、上傳假冒文件等，用于保護網站文件和網站數據庫，對攻擊者非法修改的網站數據進行恢復，有效地解決網頁被篡改的問題，實現對網站信息的安全保護。

2.2 強化網站代碼安全，健全代碼編寫規范

Web應用程序主要需要3層安全防線，包括輸入校驗、熱點保護和輸出校驗，代碼安全性高，能避免網站由于代碼漏洞遭到各種各樣的攻擊?，F在網絡上有很多源碼下載站，提供已經開發好的網站源碼供下載使用，網站代碼安全性差、網站代碼設計不嚴密引起的網絡安全事件屢見不鮮。網站程序開發人員在編寫程序時，盡量不要使用來歷不明的代碼或插件，編寫程序時對特殊文字、編碼以及關鍵字進行過濾，在系統開發完成后，進行漏洞掃描和文件瀏覽，及時更新漏洞補丁，刪除無用文件，查找并清除不安全的代碼設計，從源頭上遏制網站掛馬、SQL注入和跨站點腳本攻擊等行為。

2.3 強化數據層安全，建立數據庫訪問機制

網站中的數據層是典型的3層模型中最下面的一層，實現對數據庫的直接訪問。數據層安全防護是針對存放在服務器內的數據進行的保護，它是最后一道數據安全防護屏障，如果服務器層、應用層和網絡層的安全防護失效，只要數據層安全防護有效，就不會泄露敏感數據。為此，要使用正版數據庫系統，這是保障數據安全的必要條件，同時要對數據加密存儲，不加密的數據不安全，容易造成數據泄密；對數據庫的訪問權限作最嚴格的設定，嚴格進行代碼對數據庫的訪問權限分離，嚴格禁止應用程序代碼使用超級用戶權限的賬號連接數據庫，加強敏感數據訪問的審計，最大限度地保證數據庫安全。另外，還要增強數據庫審計功能。數據庫審計是對數據庫的活動作跟蹤過記錄，主要包括數據庫連接、SQL語句執行、數據庫對象訪問等方面的跟蹤記錄，真正做到數據庫操作行為可監控，違規操作可追溯。部署數據容災系統，將關鍵數據進行異地備份，確保關鍵數據安全和提高數據的持續可用性。容災系統是數據存儲備份的最高層次。

3 結論

網站作為一個平臺，在衛生計生系統的教學、科研、管理和服務中扮演了重要的角色。一旦因安全問題導致網站終止，服務不能正常開展，將極大地影響衛生計生系統各項工作業務的開展，給人民的生活帶來眾多不便。提高衛生計生系統網站安全管理水平，不僅需要建立完善的網站管理制度，培養專業網站管理人才，增強網站安全意識，還要從強化網絡安全環境，完善網站安全體系；強化網站代碼安全，健全代碼編寫規范；強化數據層安全，建立安全的數據庫訪問機制等方面著手，利用各種網絡安全技術，才能確保衛生計生系統網站的安全、穩定運行。

［1］范義山.網站安全防護策略淺談［J］.科技視界，2012，07（19）：182-183.

［2］周琦.網站安全管理中的問題及對策［J］.電子技術與軟件工程，2017（4）：219.

［3］陳翔.關于網站安全隱患及解決策略［J］.通訊世界，2016，10（19）：1-2.

［4］陳瑛.高校網站安全管理研究與探討［J］.電腦知識與技術，2016，7（21）：22-23.