基于醫院的網絡安全解決方案

摘要:醫院網絡安全是保障醫療業務正常進行的基礎，該文研究了醫院網絡安全解決方案的設計與實現，涉及到安全方案的模型、防火墻隔離以及醫療業務數據的捕獲。該文為醫院網絡安全系統的建設提供一定的借鑒作用。

關鍵詞:網絡安全;醫院網絡;防火墻

中圖分類號:TP393文獻標識碼:A文章編號:1009-3044(2009)26-7364-02

Hospital-based Network Security Solutions

SUN Ping-bo

(Department of Information， Changhai Hospital， Shanghai 200433， China)

Abstract: The hospital network security is to protect the basis of normal medical practice， this paper， the hospital network security solutions design and implementation of safety programs related to the model， firewalls isolation， and health care business data capture. This article is the construction of the hospital network security system to provide a reference for the role.

Key words: network security; the hospital network; firewall

隨著科學技術的發展和信息時代的來臨，幾乎所有的醫院都建立了信息網絡，實現了信息資源的網絡共享。但在具體建設這個醫院網絡平臺時中，往往都只重視怎樣迅速把平臺搭建起來和能夠馬上投入使用，而忽視了在醫院網絡平臺建設過程中信息安全的建設，包括如何保障醫療業務的正常進行、患者及醫生信息的合法訪問，如何使醫院網絡平臺免受黑客、病毒、惡意軟件和其它不良意圖的攻擊已經成為急需解決的問題。

1 醫院網絡安全解決方案的設計

1.1網絡方案的模型

本文研究的醫院網絡安全解決方案是采用基于主動策略的醫院網絡安全系統，它的主導思想是圍繞著P2DR模型思想建立一個完整的信息安全體系框架。P2DR模型最早是由ISS公司提出的動態安全模型的代表性模型，它主要包含4個部分:安全策略(Policy)、防護(Protection)、檢測(Detection)和響應(Response)。

安全策略是P2DR安全模型的核心。在整體安全策略的控制和指導下，運用防護工具(防火墻、操作系統身份認證、加密等)對網絡進行安全防護;利用檢測工具(如漏洞掃描、入侵檢測系統等等)了解和評估系統的安全狀態，檢測針對系統的攻擊行為;通過適當的反應機制將系統的安全狀態提升到最優狀態。這個過程是一個動態的、不斷循環的過程，檢測到的威脅將作為響應和加強防護的依據，防護加強后，將繼續進行檢測過程，依次循環下去，從而達到網絡安全性不斷增強的目的[1]。

根據對網絡安全的技術分析和設計目標，醫院網絡安全解決方案要解決7個實現的技術問題，分別是:數據檢測，入侵行為控制，行為分析，行為記錄，服務模擬，行為捕獲和數據融合。醫院網絡安全解決方案以P2DR模型為基礎，合理利用主動防御技術和被動防御技術來構建動態安全防御體系，根據現有安全措施和工具，在安全策略的基礎上，提出基于主動策略的醫院網絡安全方案模型，如圖1所示。

醫院網絡安全解決方案模型入侵檢測監視網絡的異常情況，當發現有可疑行為或者入侵行為時，將監測結果通知入侵行為控制，并將可疑行為數據傳給服務模擬;服務模擬在入侵行為控制的監控下向可疑行為提供服務，并調用行為捕獲對系統所有活動作嚴格和詳細的記錄;數據融合定期地從行為記錄的不同數據源提取數據，按照統一數據格式整理、融合、提煉后，一發給行為分析，對可疑行為及入侵行為作進一步分析，同時通知入侵行為控制對入侵行為進行控制，并提取未知攻擊特征通過入侵行為控制對入侵檢測知識庫進行更新，將新的模式添加進去。

1.2 防火墻隔離的設計

防火墻技術是醫院網絡安全系統中使用最廣泛的一項網絡安全技術。它的作用是防止不希望的、未經授權的通信進入被保護的內部網絡，通過邊界控制強化內部網絡的安全策略。在醫院網絡中，既有允許被內部網絡和外部網絡同時訪問的一些應用服務器(如醫療費用查詢系統、專家號預約系統、病情在線咨詢系統等)，也有只允許醫院網絡內部之間進行通信，不可以外部網絡訪問的內部網絡[2]。因此，對應用服務器和內部網絡應該采用不同的安全策略。

本文研究的醫院網絡安全解決方案采用的是屏蔽子網結構的防火墻配置。將應用服務器放置在屏蔽子網機構中的DMZ區域內，由外部防火墻保護，內部網絡和外部網絡的用戶都可以訪問該區域。內部網絡除了外部防火墻的保護外。還采用堡壘主機(代理服務器)對內部網絡進行更加深一些層的保護。通過核心交換機的路由功能將想要進入內部網絡的數據包路由到代理服務器中，由包過濾原則。過濾一些內部網絡不應看到的網站信息等。內部路由器將所有內部用戶到因特網的訪問均路由到代理服務囂，代理服務器進行地址翻譯。為這些用戶提供服務.以此屏蔽內部網絡。這種結構使得應用服務器與內部網絡采用不同級別的安全策略，既實現醫院網絡的需求，也保護醫院網絡的安全。防火墻系統結構設計如圖2所示。

雖然防火墻系統能夠為醫院的網絡提供很多安全方面的保障，但并不能夠解決全部安全問題。因此，醫院的網絡安全系統還采取了其他的網絡安全技術和手段來確保醫院網絡的安全。

1.3 醫療業務數據的捕獲

如果本文研究的醫院網絡安全系統不能捕獲到任何數據，那它將是一堆廢物。只有捕獲到數據，我們才能利用這些數據研究攻擊者的技術、工具和動機。本文設計的醫院安全系統實現了三層數據捕獲，即防火墻日志、嗅探器捕獲的網絡數據包、管理主機系統日志。

其中，嗅探器記錄各種進出醫院內管理網的數據包內容，嗅探器可以用各種工具，如Ethereal等，我們使用了Tcpdump。記錄的數據以Tcpdump日志的格式進行存儲，這些數據不僅以后可用通過Tcpreplay進行回放，也可以在無法分析數據時，發送給別的研究人員進行分析。

防火墻和嗅探器捕獲的是網絡數據，還需要捕獲發生有管理主機上的所有系統和用戶活動。對于windows系統，可以借助第三方應用程序來記錄系統日志信息。現在大多數的攻擊者都會使用加密來與被黑系統進行通信。要捕獲擊鍵行為，需要從管理主機中獲得，如可以通過修改系統庫或者開發內核模塊來修改內核從而記錄下攻擊者的行為。

2 醫院網絡安全解決方案的實現

2.1 防火墻系統的布置

本文研究的醫院防火墻系統采用的是屏蔽子網結構，在該結構中，采用Quidway SecPath 1000F硬件防火墻與外部網絡直接相連，通過核心交換機Quidway S6506R將屏蔽子網結構中的DMZ區域和內部網絡連接起來，DMZ區域中的各種應用的服務器都采用的是IBM xSeries 346，其中一臺作為堡壘主機使用。這臺堡壘主機起到的就是代理服務器的作用。防火墻根據管理員設定的安全規則保護內部網絡，提供完善的安全設置，通過高性能的醫院網絡核心進行訪問控制。

2.2 醫療業務數據捕獲的實現

本文研究的數據捕獲主要從三層進行數據捕獲。我們在網橋下運行如下命令進行捕獲:

TCPDUMP -c 10 –i eth1 -s 0 –w /log

為了不讓攻擊者知道我們在監視他在主機上的活動，我們采用Sebek來實現我們的目標。Sebek是個隱藏的記錄攻擊者行為的內核補丁。一旦在主機上安裝了Sebek的客戶端，它就在系統的內核級別運行，記錄的數據并不是記錄在本地硬盤上，而是通過UDP數據包發送到遠程服務器上，入侵者很難發現它的存在。

醫院的網絡安全系統數據捕獲是由內核模塊來完成的，本文研究使用這個模塊獲得主機內核空間的訪問，從而捕獲所有read()的數據。Sebek替換系統調用表的read()函數來實現這個功能，這個替換的新函數只是簡單的調用老read()函數，并且把內容拷貝到一個數據包緩存，然后加上一個頭，再把這個數據包發送到服務端。替換原來的函數就是改變系統調用表的函數指針。

本文通過配置參數決定了Sebek收集什么樣的信息，發送信息的目的地。以下就是一個linux配置文件的實例:

INTERFACE=\"eth0\" //設定接口

DESTINATION_IP=\"172.17.1.2\" //設定遠程服務器IP

DESTINATION_MAC=\"00:0C:29:I5:96:6E\" //設定遠程服務器MAC

SOURCE_PORT=1101 //設定源地址UDP端口

DESTINATION_PORT=1101 //設定目標地址UDP端口

MAGIC_VALUE=XXXXX //如果同一網段有多個客戶端，則設定相同的數值

KEYSTOKE_ONLY=1 //是否只記錄鍵擊記錄

3 結束語

該文對醫院網絡安全的解決方案進行了較深入的研究，但該系統采用的技術也不能說是完善的，一方面因為它們也在不斷發展中，另一方面是因為設計者的水平有局限。比如醫院網絡的數據捕獲技術，它本身就是一個十分復雜的技術問題，解決的手段也是多樣的。

參考文獻:

[1] 張震江.醫院網絡安全現狀分析及研究[J].計算機系統應用，2006(7):21-25.

[2] 曲春燕.淺談醫院信息網絡安全[J].中國民康醫學，2009(8):131-135.