常態化疫情防控下定點醫院網絡安全架構的設計與技術運用

沈彤，萬振（通信作者）

天津大學海河醫院 （天津 300350）

近年來，互聯網、云計算、物聯網等技術的興起和發展不僅改變著世界，也在影響整個醫療行業，醫療信息數字化建設的新變革與新挑戰已經來臨。隨著醫聯體的蓬勃發展及互聯互通平臺的搭建，各級醫療機構之間、醫療機構與患者之間、診療與公共衛生系統之間的邊界正在慢慢消失、消融。后疫情時代智慧醫院的建設、全民健康的融合發展、“互聯網+”醫療的全面鋪開等互聯網浪潮所帶來的創新業務模式，促使醫療信息數字化建設打破圍墻思維擁抱互聯網，隨之而來的信息化安全問題也以全新的面貌展現在我們面前[1]。

1 網絡安全架構建設背景

突如其來的新型冠狀病毒肺炎疫情不僅打亂了人們的正常生活秩序，也全面影響著全球互聯網安全的發展，在數字時代疫情、網情、輿情等多種因素的共同作用下，全球網絡安全的形勢更為嚴峻，面臨著各種新的挑戰。我院是天津市一家以治療呼吸系統疾病為主，集醫療、教學、科研為一體的大型三級甲等綜合醫院，承載著天津市新型冠狀病毒肺炎患者的收治任務。在疫情期間，院內信息化網絡系統安全穩定運行且經受住了各種考驗。此次疫情不僅改變了人們就醫問診的習慣，而且使人們逐步意識到通過互聯網的遠程無接觸式診療方式或許會成為未來醫療的重要發展方向。隨著疫情的好轉，我院各項診療業務逐步恢復正常，加之后期智慧醫院數字化轉型建設的需求，以往與外界物理隔離的局域網運行模式已經滿足不了未來醫療數字化發展的需求，急需實現與外界的互聯互通[2]。基于此，我院根據實際網絡安全需求，結合傳統業務特性及新型數字化診療業務轉型的新邏輯，建立了一套符合自身系統安全需求的網絡安全保障體系架構，以綜合提升系統的安全保障能力和防護水平，確保各系統接入互聯網后的安全穩定運行。

2 網絡安全架構的分析規劃與技術運用

目前，我院運行的信息系統承載著醫院的醫院信息系統（hospital information system，HIS）、實驗室信息系統（laboratory information system，LIS）、醫學圖像獲取與通信系統（picture archiving and communication systems，PACS）、電子病歷系統（electronic medical record，EMR）等核心業務，并傳輸和存儲著大量醫療敏感信息，面對互聯互通后來自信息系統內、外部的各種安全威脅，需要分析網絡運行現狀、搜集匯總存在問題、研討規劃可實行的方案，在完全符合信息安全等級保護（簡稱“等保”）工作的前提下，建立多層級、多維度、高可用的網絡安全架構體系，包括終端安全、邊界安全、網絡識別、威脅檢測、安全運營與監管、其他輔助網絡安全技術等[3]，見圖1。

圖1 基于等保合規要求的網絡安全體系的建立

2.1 終端安全

我院此次采用第三代主動安全引擎對網絡進行加固。與以往第一、二代主要針對木馬病毒等惡意程序的單純殺毒引擎不同，第三代安全引擎可通過特定的算法和規則體系，變被動為主動，對本地的程序和文件主動進行風險分析和行為控制，再通過對“內存指令控制流的檢測”來判斷內部網絡內是否有惡意行為發生，這已大大超出了傳統殺毒引擎的概念范疇，能夠更有效地預防攻擊行為，可更好地實現對所有漏洞和后門的主動防護。

2.2 邊界安全

通過在內部局域網絡與互聯網出口邊界架設防火墻可以提供限制訪問控制，禁止139、445等特定端口的危險數據流通信，有效控制木馬、勒索病毒等對內部網絡的危害，避免其在目標主機上被執行。接受進出保護的網絡數據流會根據防火墻的訪問控制策略進行管控，不僅可以保護網絡資源不受外部侵入，還能攔截被保護網絡向外傳送的有價值信息。

網閘是可以實現物理隔離的網絡邊界設備。在內網隔離區（demilitarized zone，DMZ）區域邊界架設網閘可隔離依據協議進行的信息交換，而只允許以數據文件形式進行的無協議數據擺渡。在實際應用中，通過優化與天津市衛生健康委員會數據報送系統之間架設的網閘，不僅實現了僅限于遠端特定主機與內部指定數據庫1521、1433開放端口的單向通信，而且實現了以只讀方式進行信息傳輸，并只對特定的應用程序產生的信息進行傳輸控制，兩個系統獨立存在、互不干擾，不存在通信的物理連接、邏輯連接，可起到很好地保護雙方主機的作用。我院核心網絡架構及邊界安全設計圖見圖2。

圖2 核心網絡架構及邊界安全設計圖

2.3 網絡識別

2.3.1 網絡資產識別

網絡資產是安全策略保護的對象。院內所有在網設備主機均有詳細的資產明細，服務器單獨規劃管理VLAN 地址段，每臺交換機設備均設置獨立的管理IP。網絡威脅正是利用資產自身的脆弱性，對網絡發動攻擊形成安全風險，對資產的有效管理是網絡安全管理中最基礎且重要的工作之一，完備的資產識別技術與可視化的資產管理工具相結合，可以有效地幫助管理員提高安全信息管理能力。

2.3.2 網絡流量識別

網絡威脅的發生往往會引發網絡流量的各種異常現象，在邊界關鍵位置部署流量監測設備，通過檢查網絡數據包的源端口號和目的端口號、有效載荷流量分析等方法及時分離出威脅信息數據流，必要時采取有效的針對性處置措施。

2.3.3 網絡用戶身份識別

身份識別是系統權限分配、流量訪問控制和上網行為分析的管理基礎。依靠MAC 地址、IP 地址、賬號、密碼等傳統的身份信息識別方式已經無法滿足身份識別的安全準入需求。按照等級保護2.0工作的要求，應加強系統密碼管理及系統使用人員的身份準入。我院引入了Ukey 認證登錄，每一名醫務人員在操作系統前均需使用自己的Ukey 進行認證登錄，同時，系統使用者登錄時間、登錄主機、記錄操作行為均可被記錄，并可保留半年日志，這利于事后進行大數據綜合行為分析，發現梳理危險賬戶。

2.4 威脅檢測

2.4.1 網絡入侵檢測

網絡入侵檢測可視為對網絡資源惡意使用行為進行識別和響應處理的一種技術，主要用來保護院內關鍵系統應用的服務器，可通過硬件或軟件對數據流進行檢測并與系統中的入侵特征數據庫進行比對，一旦發現攻擊跡象會根據安全策略通知管理員立即做出反應。

2.4.2 流量威脅檢測

流量威脅檢測技術基于網絡流量分析，為管理員提供識別發現漏洞利用、高級木馬通信、地址解析協議（address resolution protocol，ARP）攻擊、數據竊取等提供有效的監控手段，解決網絡中安全措施無法發現解決的問題。

2.4.3 網絡安全掃描

在新系統上線前操作系統補丁已經更新到最新，通過對全網進行網絡安全掃描可檢測到計算機系統和網絡設備安全性方面的脆弱點，從而發現安全隱患和可以被利用的漏洞，并通知管理員按需進行漏洞升級，及時修復。

2.5 安全運營與監管

通過態勢感知平臺實現日常網絡安全運營與監管。態勢感知是一種以安全大數據為基礎，基于環境的動態、整體洞悉安全風險的能力，可從全局視角提升對安全威脅的發現識別、理解分析及響應處置能力。通過態勢感知，可提前預判各系統主機與外部通信時的風險，能夠及時發現各種網絡威脅與異常，快速判別威脅的攻擊目的、路徑及手段，建立安全預警機制，完善風險控制、應急響應和整體安全防護。

2.6 其他輔助網絡安全技術

2.6.1 數據加密

數據加密技術不僅是基本的網絡安全技術，也是信息安全的核心，通過變換和置換等方式將被保護的信息置換成密文后在網絡中傳輸，即使被截獲也可以保證內容及信息不被認知，該技術是實現數字認證的關建途徑和手段。

2.6.2 日志審計

日志被用于故障檢測和入侵檢測，反映安全攻擊行為，可提供事中追蹤、事后追查和溯源，并進行調查取證，實現設備的安全運行。院內網絡審計在具備審查統方功能的基礎上，增加了系統事件、安全事件、應用事件、網絡事件、其他事件通過日志記錄器、日志分析器制定的審計策略規則進行日志文件的審計，并生成審計分析報告，并按等保要求保存6個月以上。日志審計流程圖見圖3。

圖3 日志審計流程圖

2.6.3 上網行為管理

上網行為管理可以深度識別互聯網訪問流量中的應用、用戶及內容，實現對瀏覽、訪問、上傳、下載、接收和外發行為的精細化控制和審計，同時具備屏蔽非法網站的訪問、控制上網時段、外發信息監控審計避免泄密等功能，還可以有效管理帶寬限制嚴重消耗帶寬的應用，保障整體網絡帶寬均衡使用及運行順暢。

2.6.4 災備技術

即使具備非常完善的信息系統安全防護體系，也無法徹底消除風險，系統網絡有可能發生極小概率事件，數據災備即為最后一道保障，多一份備份或備份副本，就多一份恢復的可能，選擇合理適用的災備模式，可增強網絡數據的安全性。現階段網絡災備技術及特點見表1。我院現階段使用“冷備”+“雙活”的雙重災備方式，輔以Oracle 數據庫自帶的數據泵備份定期拷貝保存，并采用專用存儲介質進行離線備份，隨著新技術的發展及備份需求的增大，未來會考慮云備份等新型付費備份方式。

表1 網絡災備技術及特點

3 疫情期間網絡安全架構的應用效果

疫情期間產生的新業務模式如遠程會診、遠程辦公、衛生系統數據報送等均需對互聯網開放，無論是通過端口映射開放公網訪問，還是使用Vpn 打通遠程網絡通道，均在以往脆弱的網絡邊界上產生了很多安全隱患，增加了內部網絡隱私數據的暴露風險。新的網絡安全系統的應用效果如下：（1）增加了網絡系統抵御外來入侵攻擊的能力，成功有效地避免了蠕蟲病毒、木馬病毒的侵入，保護了數據安全，使院內的網絡系統運行更加牢固可靠；（2）理清了在用資產，清晰明確使用責任人，方便后期管理；（3）培養了醫務人員良好的用網習慣，這也為后期向數字化智慧醫院轉型奠定了安全基礎。

4 總結

網絡安全的新技術、新場景進入多元化發展階段，對更高級別安全的需求也進入爆發式的增長期，以往的網絡安全只是針對封閉的網絡環境，采用邊界防御即可解決問題，但在復雜的互聯網新思維趨勢下，應從全新的視角審視網絡安全問題，構建更加健全完善的網絡安全體系，更好地為醫院的醫療工作保駕護航[4]。