胡順

摘要：醫(yī)院網(wǎng)絡安全是通過采用相關網(wǎng)絡技術，保證網(wǎng)絡內(nèi)部數(shù)據(jù)的保密性和完整性，最終實現(xiàn)醫(yī)院網(wǎng)絡系統(tǒng)的正常運行。該文首先通過對醫(yī)院網(wǎng)絡安全技術進行研究，結(jié)合實際需要，對醫(yī)院信息化建設中的交換機、DOT1X端口認證技術、內(nèi)網(wǎng)準入技術以及桌面安全技術進行了分析，結(jié)合這些技術，來實現(xiàn)醫(yī)院信息化建設中的網(wǎng)絡安全，保證醫(yī)院信息化管理的高效、安全運營，最終服務好廣大人民群眾。

關鍵詞：醫(yī)院；網(wǎng)絡安全；技術

中圖分類號：TP393 文獻標識碼：A 文章編號：1009-3044（2014）24-5601-03

隨著我國醫(yī)院信息化技術的不斷發(fā)展，越來越多的醫(yī)院已經(jīng)進行了信息化建設，包括醫(yī)療、管理、服務、科研等系統(tǒng)以及醫(yī)院內(nèi)網(wǎng)的建設，信息化提高了醫(yī)院辦公管理效率，改善了醫(yī)療服務質(zhì)量，同時也存在內(nèi)網(wǎng)被黑客攻擊和病毒感染等不安全因素，因此，網(wǎng)絡安全在醫(yī)院信息化建設中顯得非常重要。

1 醫(yī)院網(wǎng)絡安全體系架構(gòu)

網(wǎng)絡安全在醫(yī)院信息化建設是至關重要的，它直接關系到醫(yī)院內(nèi)部保密信息的泄露，不安全因素的存在可能會讓醫(yī)院內(nèi)部數(shù)據(jù)存在風險，甚至讓醫(yī)院存在風險，因此，建設一個安全可靠的網(wǎng)絡環(huán)境是醫(yī)院信息化建設的基礎。醫(yī)院網(wǎng)絡安全拓撲體系結(jié)構(gòu)圖如圖1所示。

通過上圖可知，醫(yī)院主服務器和Web服務都采用了雙機熱備份，實現(xiàn)了數(shù)據(jù)的同步，在外網(wǎng)與內(nèi)網(wǎng)間設置了防火墻來保證內(nèi)網(wǎng)的安全，內(nèi)網(wǎng)交換機使用了H3C（華三）S9508雙機核心交換機，為了進一步的保證整個醫(yī)院的內(nèi)網(wǎng)安全，我們采用了端口認證、內(nèi)網(wǎng)準入和桌面安全技術，以下將對這些技術進行分析。

2 華三S9508雙機核心交換機

根據(jù)需要，我院在網(wǎng)絡建設中采用的是H3C S9508交換機，該產(chǎn)品基于H3C公司自適應安全網(wǎng)絡的技術理念，在提供大容量、高性能L2/L3交換服務基礎上，進一步融合了硬件IPv6、網(wǎng)絡安全、網(wǎng)絡業(yè)務分析等智能特性，可為醫(yī)院構(gòu)建融合業(yè)務的基礎網(wǎng)絡平臺。該交換機的特點如下：

2.1 線速的MPLS業(yè)務處理

H3C S9508支持分布式的MPLS業(yè)務，分布在接口板上的ASIC芯片直接完成MPLS標簽的線速處理，不存在集中式處理的瓶頸，MPLS性能業(yè)界最高。

2.2 線速的IPv6業(yè)務處理

H3C S9508支持分布式的IPv6業(yè)務，分布在接口板上的ASIC芯片支持對IPv6報文的線速處理，用戶通過升級操作系統(tǒng)可實現(xiàn)基于ASIC的全線速IPv6轉(zhuǎn)發(fā)。

2.3 大容量高性能路由交換

H3C S9508提供業(yè)界領先的交換能力，其最高的1.44T路由交換引擎可以實現(xiàn)576個千兆或48個萬兆端口的線速轉(zhuǎn)發(fā)，三層包轉(zhuǎn)發(fā)能力高達857Mpps。

3 DOT1X認證

DOT1 X 是 IEEE 802.1 X的縮寫，是基于Client/Server的訪問控制和認證協(xié)議。IEEE 802.1x是一種認證技術，是對交換機上的2層接口所連接的主機做認證，當主機接到開啟了IEEE 802.1x認證的接口上，就有可能被認證，否則就有可能被拒絕訪問網(wǎng)絡。在接口上開啟IEEE 802.1x認證后，在沒有通過認證之前，只有IEEE 802.1x認證消息，CDP，以及STP的數(shù)據(jù)包能夠通過。主機接到開啟了IEEE 802.1x認證的接口后，需要通過認證才能訪問網(wǎng)絡，要通過認證，只要輸入合法的用戶名和密碼即可。交換機收到用戶輸入的賬戶信息后，要判斷該賬戶是否合法，就必須和用戶數(shù)據(jù)庫做個較對，如果是數(shù)據(jù)庫中存在的，則認證通過，否則認證失敗，最后拒絕該用戶訪問網(wǎng)絡。

交換機提供給IEEE 802.1x認證的數(shù)據(jù)庫可以是交換機本地的，也可以是遠程服務器上的，這需要通過AAA來定義，如果AAA指定認證方式為本地用戶數(shù)據(jù)庫（Local），則讀取本地的賬戶信息，如果AAA指定的認證方式為遠程服務器，則讀取遠程服務器的賬戶信息，AAA為IEEE 802.1x提供的遠程服務器認證只能是RADIUS服務器，該RADIUS服務器只要運行Access Control Server Version 3.0（ACS 3.0）或更高版本即可。

當開啟IEEE 802.1x后，并且連接的主機支持IEEE 802.1x認證時，將得出如下結(jié)果：

1） 如果認證通過，交換機將接口放在配置好的VLAN中，并放行主機的流量。

2） 如果認證超時，交換機則將接口放入guest vlan。

3） 如果認證不通過，但是定義了失敗VLAN，交換機則將接口放入定義好的失敗VLAN中。

4） 如果服務器無響應，定義放行，則放行。

4 內(nèi)網(wǎng)準入控制

內(nèi)網(wǎng)準入控制是安全接入控制系統(tǒng)的一個管理組件。內(nèi)網(wǎng)準入技術主要實現(xiàn)了對客戶機的相關控制，如果客戶機的身份不滿足要求或者安全上存在在問題，該管理組件將阻止該客戶機接入內(nèi)部網(wǎng)絡。只有當客戶機的身份和安全都滿足要求時，才能被允許進行內(nèi)部網(wǎng)絡。本組件在運行中能夠?qū)崿F(xiàn)如下功能：

1） 本組件能夠預防外部的、非法的電腦進入內(nèi)部網(wǎng)絡，提高了網(wǎng)絡安全性；

2） 本組件具有防病毒的能力，實時的阻止各種病毒或帶有病毒的電腦進行內(nèi)部網(wǎng)絡；

3） 本組件能夠?qū)?nèi)網(wǎng)的客戶機實施統(tǒng)一的安全管理機制；

4） 本組件能夠阻止內(nèi)部人員自行接入HUB和無線AP，提高了內(nèi)網(wǎng)安全性。

內(nèi)網(wǎng)準入控制實時的防止外部電腦訪問內(nèi)網(wǎng)，并且能夠隔離具有隱患或不安全因素的電腦，阻止其訪問內(nèi)網(wǎng)，只有當這些電腦隱患和不安全因素得到解決后才能訪問內(nèi)網(wǎng)，進一步降低了這些電腦被病毒攻擊的可能性。

在外部設備想要接入內(nèi)部網(wǎng)絡時，首先要經(jīng)過身份認證和安全檢測。接入的設備來自兩方面，一個內(nèi)部合法設備，另一個是外部非法設備。當接入的是外部非法設備時，本組件實現(xiàn)的功能如下：

1） 阻止接入；

2） 把該設備轉(zhuǎn)移到訪客區(qū)，并進行相關記錄。

當接入的是內(nèi)部合法設備時，本組件實現(xiàn)的功能如下：

1） 首先檢測用戶名和密碼的有效性，其次對檢測設備的安全要求；

2） 只有當客戶機的身份和安全都滿足要求時，才能被允許進行內(nèi)部網(wǎng)絡；

3） 當用戶成功進入到內(nèi)部網(wǎng)絡后，本組件按照用戶的身份信息對用戶分配網(wǎng)絡范圍，用戶按照身份來訪問自身的網(wǎng)絡，進一步保證了內(nèi)部安全。

5 桌面安全管理系統(tǒng)

桌面安全系統(tǒng)提供了一種創(chuàng)新性安全訪問互聯(lián)網(wǎng)的手段。通過醫(yī)院桌面安全系統(tǒng)，為每個用戶提供訪問互聯(lián)網(wǎng)的虛擬化安全桌面，同時阻止內(nèi)外網(wǎng)絡文件的直接傳輸，達到內(nèi)外網(wǎng)隔離的目的。所有上網(wǎng)行為均在虛擬化安全桌面中進行，并集中在服務器端，與本地計算機徹底分離，不占用其資源，使本地計算機成為一個安全高效的工作平臺。

我院在在網(wǎng)絡建設中采用了北信源VRV桌面安全管理系統(tǒng)。北信源桌面終端標準化管理系統(tǒng)應用于局域網(wǎng)、廣域網(wǎng)構(gòu)架，支持跨網(wǎng)段、跨地域的內(nèi)網(wǎng)遠程客戶端管理及非法移動設備接入檢測、網(wǎng)內(nèi)計算機違規(guī)聯(lián)網(wǎng)監(jiān)視、網(wǎng)絡安全隔離度監(jiān)控等。系統(tǒng)應用主要分為以下兩種構(gòu)架：

基本構(gòu)架：對于一般網(wǎng)絡（例如1個C類地址或若干個C類地址的局域網(wǎng)范圍），可使用一套本系統(tǒng)軟件，集中管理所屬區(qū)域內(nèi)的所有設備。

擴展構(gòu)架：對于大規(guī)模的多個局域網(wǎng)或者跨地域廣域網(wǎng)（包括基于國家、省、市、縣等多級管理模式的網(wǎng)絡結(jié)構(gòu)），可使用本系統(tǒng)提供的多區(qū)域集中管理構(gòu)架，即一個或多個網(wǎng)段各擁有一套獨立北信源桌面終端標準化管理系統(tǒng)的同時，將本級所有設備信息再轉(zhuǎn)發(fā)給上級管理數(shù)據(jù)庫，使得上一級管理人員對整個網(wǎng)絡的設備狀況也能夠完全掌握。

桌面安全系統(tǒng)主要用于幫助醫(yī)院用戶在利用互聯(lián)網(wǎng)的開放性、共享性和便利性的同時，又能抵御、控制來自互聯(lián)網(wǎng)日益增加的風險和威脅。利用核心的技術和獨特的信息安全架構(gòu)，防止數(shù)據(jù)外泄，隔絕來自外界和內(nèi)部的威脅，卻又能不影響正常的上網(wǎng)和辦公等操作；幫助醫(yī)院防患于未然，避免在出現(xiàn)大的信息安全事故后，才來考慮如何補救的尷尬狀況。桌面安全系統(tǒng)的特點如下：

1） 邏輯隔離

為每個醫(yī)院用戶分配一個虛擬化桌面用于上網(wǎng)和日常辦公，與用于機密工作的本地電腦相互隔離。實現(xiàn)機密與非機密數(shù)據(jù)隔離、安全與非安全網(wǎng)絡隔離；

2） 文件傳輸控制

安全與非安全區(qū)域的文件傳輸嚴格受控。通過主管審批、文件過濾、備份記錄等方式控制機密文件

3） 上網(wǎng)行為管理

醫(yī)院用戶在虛擬化桌面里上網(wǎng)行為可被控制和記錄；可根據(jù)URL、時間段等參數(shù)來控制，并定期生成統(tǒng)計報表

4） 應用程序配置

管理員可設定虛擬桌面內(nèi)用戶可用的應用程序；為不同的用戶或組設定不同的應用程序使用權(quán)限

5） 病毒防范

將病毒隔離在虛擬桌面內(nèi)，無法進一步傳到內(nèi)部網(wǎng)絡；內(nèi)置病毒查殺工具自動清除虛擬桌面內(nèi)的病毒

6） 高安全性

安全桌面內(nèi)的所有操作都是虛擬化的，對服務器操作系統(tǒng)本身沒有影響；因此病毒和木馬無法傳播到服務器上，更無法進一步影響本地計算機。

7） 高易用性

不論醫(yī)院用戶的操作系統(tǒng)是 Windows9x/2000/XP/Vista/linux，均可通過上網(wǎng)安全桌面來訪 問互聯(lián)網(wǎng)。涉密工作和上網(wǎng)，只要在一臺電腦上即可完成，只需切換窗口，隨時轉(zhuǎn)換工作內(nèi)容。

8） 高效性

虛擬化的上網(wǎng)安全桌面由服務器集中生成，幾乎不占用本地計算機資源；使本地計算機可以專注于工作任務的處理。僅有桌面圖形傳至本地計算機，網(wǎng)絡流量極小，用戶界面操作流暢

9） 穩(wěn)定性

采用專門定制的并經(jīng)嚴格測試硬件設備，保證了上網(wǎng)安全桌面可以長期、穩(wěn)定運行。

10） 實施與維護

上網(wǎng)安全桌面系統(tǒng)實施簡單，軟硬件一體的設備省去了傳統(tǒng)軟件安裝部署的繁瑣步驟，真正做到簡單安裝，快速部署。

6 結(jié)束語

網(wǎng)絡安全是醫(yī)院信息化建設的基礎，醫(yī)院網(wǎng)絡安全建設是一個不停息的過程，同時要不斷的更新技術，各項技術協(xié)調(diào)應用，才能保證醫(yī)院網(wǎng)絡安全。我國醫(yī)院在網(wǎng)絡安全建設上仍然處于初級階段，需要不斷的探索和努力，進一步建設好我國醫(yī)院網(wǎng)絡安全體系。

參考文獻：

[1] 何劍虎，周慶利.互聯(lián)網(wǎng)環(huán)境下的醫(yī)療數(shù)據(jù)安全交換技術研究[J].中國醫(yī)療設備，2013（4）.

[2] 傅征，袁永林.醫(yī)院信息系統(tǒng)建設與應用[M].北京：人民軍醫(yī)出版社，2002.

[3] 周小利.醫(yī)院計算機網(wǎng)絡系統(tǒng)安全的維護及保障之策分析[J].硅谷，2013（20）.

[4] 郝德坤，淺談醫(yī)院信息系統(tǒng)的安全管理 [J].中國美容醫(yī)學，2012（18）.

[5] 姚力.醫(yī)院網(wǎng)絡與信息系統(tǒng)突發(fā)事件應急預案[J].中國數(shù)字醫(yī)學.2013（2）.

[6] 尚邦治.醫(yī)院局域網(wǎng)安全設計[J].醫(yī)療設備信息，2006（11）.