準(zhǔn)入系統(tǒng)在醫(yī)院網(wǎng)絡(luò)安全和終端管理中的應(yīng)用研究

陳銀評(píng)，李峰林

摘要：針對(duì)醫(yī)院網(wǎng)絡(luò)規(guī)模和終端數(shù)量不斷增長(zhǎng)，信息中心管理工作日趨復(fù)雜和困難的問(wèn)題，結(jié)合準(zhǔn)入系統(tǒng)在該院的具體實(shí)施情況，闡述該系統(tǒng)在阻斷非授權(quán)設(shè)備侵入內(nèi)網(wǎng)方面的作用，有效地保障醫(yī)院網(wǎng)絡(luò)系統(tǒng)的安全。同時(shí)通過(guò)制定軟件、硬件的黑白名單目錄，對(duì)網(wǎng)絡(luò)中已授權(quán)入網(wǎng)的終端設(shè)備進(jìn)行定期監(jiān)測(cè)，對(duì)不符合要求的設(shè)備進(jìn)行隔離處理，從而達(dá)到終端管理的目的。系統(tǒng)的查詢與統(tǒng)計(jì)功能優(yōu)化了設(shè)備的查找、定位和分析工作，提高了系統(tǒng)管理員對(duì)全網(wǎng)資源的管理效率。

關(guān)鍵詞：準(zhǔn)入系統(tǒng)；網(wǎng)絡(luò)安全；終端管理

中圖分類號(hào)：TP311? ? ? 文獻(xiàn)標(biāo)識(shí)碼：A

文章編號(hào)：1009-3044（2022）35-0076-02

1 背景

隨著醫(yī)院信息化的發(fā)展，醫(yī)院網(wǎng)絡(luò)規(guī)模變得越來(lái)越龐大和復(fù)雜，如何保障醫(yī)院網(wǎng)絡(luò)安全穩(wěn)定運(yùn)行是醫(yī)院信息中心必須要成功解決的課題。一般情況下，我們會(huì)把網(wǎng)絡(luò)保護(hù)的重點(diǎn)放在來(lái)自外部的攻擊上，如在內(nèi)外網(wǎng)邊緣部署防火墻、網(wǎng)閘等設(shè)備，但很多來(lái)自內(nèi)部的攻擊往往更加隱秘，更容易被忽視。在醫(yī)療機(jī)構(gòu)中存在大量分散、無(wú)人看管的終端設(shè)備，如自助機(jī)、呼叫器、醫(yī)療信息動(dòng)態(tài)顯示屏等，這些設(shè)備往往會(huì)成為別有用心的人侵入內(nèi)網(wǎng)的突破口，而準(zhǔn)入系統(tǒng)在防止這方面的攻擊上有很好的應(yīng)用場(chǎng)景和保護(hù)作用。

2 系統(tǒng)部署方式

系統(tǒng)采用核心交換機(jī)旁路接入同時(shí)加策略路由的方式部署，拓?fù)鋱D如圖1所示。

該部署方式的優(yōu)點(diǎn)是對(duì)原有網(wǎng)絡(luò)架構(gòu)的改動(dòng)量較少，系統(tǒng)發(fā)生故障時(shí)可實(shí)現(xiàn)軟剝離，恢復(fù)速度快。我們通過(guò)在核心交換機(jī)上制定的策略路由，將需管理VLAN的數(shù)據(jù)包引入到準(zhǔn)入控制設(shè)備，對(duì)具有合法身份標(biāo)識(shí)符的數(shù)據(jù)包，準(zhǔn)入設(shè)備將給予放行；對(duì)來(lái)自非授權(quán)設(shè)備的數(shù)據(jù)包，準(zhǔn)入系統(tǒng)將其引入一個(gè)單獨(dú)設(shè)置的隔離區(qū)，該隔離區(qū)的數(shù)據(jù)包無(wú)法進(jìn)入醫(yī)院內(nèi)部網(wǎng)絡(luò)。當(dāng)終端設(shè)備訪問(wèn)隔離區(qū)時(shí)，部署在隔離區(qū)的探測(cè)器會(huì)將該終端定向到準(zhǔn)入控件安裝界面，并引導(dǎo)用戶填寫(xiě)所屬科室、位置、使用人及聯(lián)系電話等信息[1]，系統(tǒng)管理員從后臺(tái)管理審核界面中接收到注冊(cè)申請(qǐng)信息后，通過(guò)對(duì)申請(qǐng)信息真實(shí)行進(jìn)行核對(duì)，并進(jìn)行批準(zhǔn)或拒絕操作，如圖2所示。

3 系統(tǒng)功能的制定與管理

3.1 網(wǎng)絡(luò)身份識(shí)別

該院網(wǎng)絡(luò)地址分配方式采用靜態(tài)IP地址設(shè)置，全網(wǎng)IP地址由信息中心統(tǒng)一管理和下發(fā)，按照樓宇/樓層/用戶角色的原則進(jìn)行VLAN規(guī)劃。準(zhǔn)入系統(tǒng)通過(guò)將IP地址與終端的MAC、終端硬盤序列號(hào)、終端所連接的交換機(jī)端口這三個(gè)選項(xiàng)進(jìn)行綁定，可全部綁定，也可選其中一個(gè)或兩個(gè)。對(duì)于一些位置更換比較頻繁終端（如可移動(dòng)超聲設(shè)備），可不綁定交換機(jī)端口，只綁定IP地址和MAC以及硬盤序列號(hào)。系統(tǒng)通過(guò)將IP地址與所選綁定項(xiàng)目生成一串身份標(biāo)識(shí)符，作為準(zhǔn)入設(shè)備通行憑證，對(duì)不滿足身份識(shí)別的終端進(jìn)行隔離和阻斷，杜絕設(shè)備冒充，防止侵入和惡意攻擊[2]。對(duì)于主板或硬盤故障需要更換的終端，在更換完新硬件后需重新進(jìn)行身份標(biāo)識(shí)采集，并由系統(tǒng)管理員進(jìn)行審核與更新。

3.2 黑白名單的制定

信息中心通過(guò)成立網(wǎng)絡(luò)安全小組，制定針對(duì)醫(yī)院終端的軟硬件黑白名單制度。“白名單”的內(nèi)容為入網(wǎng)必須滿足的軟件和硬件需求，如終端網(wǎng)卡必須是千兆、必須安裝指定的殺毒軟件且病毒庫(kù)最后一次更新必須小于15天、WSUS更新必須配置等，如圖3所示。

“黑名單”內(nèi)容包含終端不可安裝的軟硬件，如有存儲(chǔ)空間的U盤、Wi-Fi發(fā)射或接收設(shè)備、網(wǎng)絡(luò)代理軟件等。對(duì)上述黑白名單內(nèi)容的檢測(cè)除了在設(shè)備入網(wǎng)審核時(shí)執(zhí)行，在終端每次重啟時(shí)也必須執(zhí)行，在日常網(wǎng)絡(luò)使用中準(zhǔn)入系統(tǒng)也會(huì)定期定時(shí)進(jìn)行掃描檢測(cè)，防止終端在入網(wǎng)成功后再進(jìn)行違規(guī)的安裝操作。對(duì)發(fā)現(xiàn)的已入網(wǎng)的不合格終端，系統(tǒng)能及時(shí)進(jìn)行斷網(wǎng)操作，并發(fā)布報(bào)警信息列表給系統(tǒng)管理員，只有管理員再進(jìn)行終端安全檢查，對(duì)相關(guān)的報(bào)警項(xiàng)確認(rèn)無(wú)異常后才可重新對(duì)設(shè)備進(jìn)行認(rèn)證通過(guò)，從而達(dá)到了終端管理目的。

3.3 軟件與系統(tǒng)補(bǔ)丁分發(fā)管理

在醫(yī)院信息系統(tǒng)運(yùn)維過(guò)程中，由于業(yè)務(wù)原因經(jīng)常需要對(duì)全院終端統(tǒng)一安裝某一軟件或系統(tǒng)插件，這可以在準(zhǔn)入系統(tǒng)的軟件分發(fā)管理功能中實(shí)現(xiàn)。首先將需安裝軟件或插件的安裝包放在指定的分發(fā)目錄下，配置運(yùn)行參數(shù)、靜默安裝選項(xiàng)，選擇要分發(fā)的終端對(duì)象范圍，設(shè)置立即執(zhí)行或計(jì)劃任務(wù)，最后設(shè)置執(zhí)行失敗后的處理方式，即可完成一個(gè)完整的分發(fā)流程。操作系統(tǒng)的補(bǔ)丁更新也可采用同樣的方式實(shí)現(xiàn)，管理員通過(guò)定期將最新的系統(tǒng)補(bǔ)丁包下載到分發(fā)目錄中，并根據(jù)優(yōu)先級(jí)進(jìn)行推送，對(duì)于關(guān)鍵的系統(tǒng)補(bǔ)丁，可以在執(zhí)行分發(fā)后加入檢查“白名單”中，對(duì)沒(méi)及時(shí)更新的終端進(jìn)行斷網(wǎng)處理，并進(jìn)行相應(yīng)的人工干預(yù)。

3.4 查詢與統(tǒng)計(jì)管理

準(zhǔn)入系統(tǒng)的查詢功能在設(shè)備定位和IP地址池的可視化管理中，對(duì)管理員有很好的輔助作用。在快速查詢中，系統(tǒng)設(shè)置多種查詢條件，包括IP地址、機(jī)器名、MAC地址和使用者等，可以快速找出網(wǎng)絡(luò)中的某一臺(tái)設(shè)備，查詢出該設(shè)備的所有信息[3]。在IP地址池的可視化管理界面中，系統(tǒng)管理員可以直觀地看出某個(gè)VLAN的IP地址使用情況：哪些地址已被使用，哪些地址空閑，已使用這些地址的設(shè)備是在線狀態(tài)或是離線狀態(tài)，如圖4所示。

在統(tǒng)計(jì)功能模塊中，可以按樓宇、入網(wǎng)時(shí)間、操作系統(tǒng)類型等方式進(jìn)行分類匯總，生成表格或柱狀圖進(jìn)行結(jié)果呈現(xiàn)，如圖5所示。

操作系統(tǒng)類型的統(tǒng)計(jì)結(jié)果可與上文3.3章節(jié)內(nèi)容中的系統(tǒng)補(bǔ)丁與軟件分發(fā)相結(jié)合，使不同的系統(tǒng)補(bǔ)丁和應(yīng)用軟件的分發(fā)對(duì)象更加準(zhǔn)確，提高分發(fā)的執(zhí)行效率，減少不必要的網(wǎng)絡(luò)流量。

4 系統(tǒng)調(diào)試與實(shí)施

系統(tǒng)上線的第一步是進(jìn)行全網(wǎng)例外調(diào)試，將全網(wǎng)使用終端網(wǎng)段添加到準(zhǔn)入控制系統(tǒng)例外網(wǎng)段，然后啟用策略路由[4]。第二步是按樓層分步上線，由于該院VLAN劃分是根據(jù)樓棟和樓層進(jìn)行規(guī)劃，每一個(gè)樓層對(duì)應(yīng)一個(gè)VLAN，按樓層實(shí)施上線可以更有序地執(zhí)行分步上線計(jì)劃。每一個(gè)樓層實(shí)施前需對(duì)樓層內(nèi)的所有內(nèi)網(wǎng)終端進(jìn)行入網(wǎng)前的合格性檢查，主要針對(duì)Windows操作系統(tǒng)的信息設(shè)備或醫(yī)療設(shè)備的防毒軟件安裝情況、黑白名單中的軟硬件是否符合要求；對(duì)于其他操作系統(tǒng)的設(shè)備或終端則通過(guò)系統(tǒng)的設(shè)備發(fā)現(xiàn)和收集功能，先進(jìn)行相應(yīng)的接入交換機(jī)端口登記工作[5]。第三步是將樓層所對(duì)應(yīng)的VLAN移出例外網(wǎng)段，啟用該網(wǎng)段的準(zhǔn)入控制，注冊(cè)并認(rèn)證所有終端設(shè)備，觀察該樓層的實(shí)施效果，確認(rèn)沒(méi)問(wèn)題后繼續(xù)推進(jìn)其他樓層的部署，直至全網(wǎng)上線。

5 總結(jié)

通過(guò)準(zhǔn)入系統(tǒng)的實(shí)施與應(yīng)用，醫(yī)院內(nèi)網(wǎng)的安全等級(jí)得到明顯的提升，局域網(wǎng)中的高風(fēng)險(xiǎn)因素和潛在的安全隱患得到有效的排除。通過(guò)制定相應(yīng)的入網(wǎng)行為規(guī)范，對(duì)終端的軟硬件安裝進(jìn)行約束，達(dá)到了對(duì)終端的管理作用。系統(tǒng)的查詢和統(tǒng)計(jì)功能提高了信息中心的運(yùn)維效率，使醫(yī)院的IT運(yùn)維工作更加規(guī)范化和精細(xì)化。

參考文獻(xiàn)：

[1] 陸婷娟，肖征，晏亞，等.醫(yī)院網(wǎng)絡(luò)安全實(shí)行終端準(zhǔn)入管理的探析[J].中國(guó)數(shù)字醫(yī)學(xué)，2021，16（2）：113-116.

[2] 潘愈嘉.構(gòu)建醫(yī)院網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)的解決方案[J].中國(guó)數(shù)字醫(yī)學(xué)，2012，7（8）：105-107.

[3] 任皓，吉中旗.醫(yī)院終端登記及準(zhǔn)入管理系統(tǒng)的研究與應(yīng)用[J].中國(guó)數(shù)字醫(yī)學(xué)，2020，15（10）：79-81.[

[4] 陳擁軍，肖新文，陳泓伶，等. 基于旁路接入的醫(yī)院終端準(zhǔn)入控制系統(tǒng)研究[J].中國(guó)數(shù)字醫(yī)學(xué)，2017， 12（9）： 68-70.

[5] 胡少峰，謝新鵬，文海榮.醫(yī)院網(wǎng)絡(luò)終端安全準(zhǔn)入系統(tǒng)初探[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用， 2021（1）：133-134.

【通聯(lián)編輯：李雅琪】