醫(yī)院無線局域網(wǎng)的安全風(fēng)險(xiǎn)與解決方案

施文杰

江蘇省老年醫(yī)院（江蘇省省級(jí)機(jī)關(guān)醫(yī)院）信息中心，江蘇 南京 210024

醫(yī)院無線局域網(wǎng)的安全風(fēng)險(xiǎn)與解決方案

施文杰

江蘇省老年醫(yī)院（江蘇省省級(jí)機(jī)關(guān)醫(yī)院）信息中心，江蘇 南京 210024

本文分析了醫(yī)院無線局域網(wǎng)存在的安全風(fēng)險(xiǎn)，并介紹了無線網(wǎng)絡(luò)的安全技術(shù)與標(biāo)準(zhǔn)，最后依據(jù)醫(yī)院無線局域網(wǎng)實(shí)際應(yīng)用環(huán)境，提出我院基于安全代理＋Policy Center+ USG2250的網(wǎng)絡(luò)安全解決方案，為醫(yī)院無線局域網(wǎng)提供安全保障。

無線局域網(wǎng)；網(wǎng)絡(luò)安全；醫(yī)院信息系統(tǒng)；IP；MAC

0 前言

隨著醫(yī)院信息化建設(shè)的發(fā)展，許多醫(yī)院都建立起自己的無線局域網(wǎng)，作為對(duì)有線網(wǎng)絡(luò)的必要補(bǔ)充。無線網(wǎng)絡(luò)的普及為用戶帶來極大的便利，醫(yī)務(wù)人員使用帶有無線網(wǎng)卡的終端設(shè)備通過身份驗(yàn)證后接入無線局域網(wǎng)，在院內(nèi)任何位置可方便地開展各項(xiàng)業(yè)務(wù)工作。然而在享受無線網(wǎng)絡(luò)便捷的同時(shí)，安全問題變得日益嚴(yán)峻，受到極大關(guān)注。無線網(wǎng)絡(luò)由于其天生的開放性，并且無線標(biāo)準(zhǔn)和安全機(jī)制方面存在著先天不足，其安全防護(hù)存在重大隱患。網(wǎng)絡(luò)通信時(shí)很容易遭到黑客攻擊，造成敏感數(shù)據(jù)被竊聽、篡改和非法訪問，甚至有可能使整個(gè)網(wǎng)絡(luò)服務(wù)癱瘓[1]。所以必須增強(qiáng)無線網(wǎng)絡(luò)安全防范意識(shí)，并積極探索無線網(wǎng)絡(luò)安全解決方案，為醫(yī)院構(gòu)建起安全、可靠、高效的無線局域網(wǎng)，切實(shí)保障業(yè)務(wù)工作開展正常有序。

1 醫(yī)院無線局域網(wǎng)的安全風(fēng)險(xiǎn)

我院無線網(wǎng)絡(luò)基于IEEE802.1 lg傳輸標(biāo)準(zhǔn)，采用AC（Access Point Controller）+瘦AP架構(gòu)，借助于有線網(wǎng)絡(luò)將無線AP通過蜂窩狀形式連接部署至全院，實(shí)現(xiàn)無線信號(hào)全覆蓋，以確保數(shù)據(jù)傳輸過程中不會(huì)出現(xiàn)網(wǎng)絡(luò)擁塞或者丟包的現(xiàn)象。所有AP均通過無線AC進(jìn)行統(tǒng)一管理，滿足醫(yī)院網(wǎng)絡(luò)管理的需要。但無線網(wǎng)絡(luò)傳輸媒介的開放性、應(yīng)用終端的移動(dòng)性、網(wǎng)絡(luò)拓?fù)涞膭?dòng)態(tài)性增加了網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，且不具備清晰的防御界限；無線鏈路又極易受到各種各樣的攻擊并容易造成信息截取和非授權(quán)訪問等安全問題[2]。這些突出的問題具體表現(xiàn)在以下幾個(gè)方面。

1.1 非法接入點(diǎn)

無線網(wǎng)絡(luò)配置簡(jiǎn)單以致部分院內(nèi)用戶不經(jīng)授權(quán)就將個(gè)人AP接入局域網(wǎng)，構(gòu)造出一個(gè)無保護(hù)措施的隱匿無線網(wǎng)絡(luò)，不僅破壞了醫(yī)院現(xiàn)有內(nèi)、外網(wǎng)物理隔離的架構(gòu)，還充當(dāng)了攻擊者進(jìn)入局域網(wǎng)的開放門戶[3]。攻擊者獲得網(wǎng)絡(luò)管理控制權(quán)后，可以篡改相關(guān)網(wǎng)絡(luò)設(shè)置，降低網(wǎng)絡(luò)防護(hù)能力甚至癱瘓整個(gè)醫(yī)院網(wǎng)絡(luò)。

1.2 無線釣魚

攻擊者成功竊取醫(yī)院無線網(wǎng)絡(luò)密鑰后，會(huì)在院內(nèi)架設(shè)非法隱匿AP，采用與醫(yī)院相同的服務(wù)集標(biāo)識(shí)（Service Set Identifier，SSID）偽裝成正規(guī)無線網(wǎng)絡(luò)供盲目信任的用戶進(jìn)行訪問，導(dǎo)致在無線信道中傳輸?shù)臄?shù)據(jù)包遭到竊取。當(dāng)攻擊者獲取個(gè)人敏感信息后就可用來冒稱一個(gè)合法用戶，劫持用戶會(huì)話并執(zhí)行一些非授權(quán)的命令[4]。

1.3 非法用戶的接入

攻擊者借助一些攻擊工具就能發(fā)現(xiàn)并入侵醫(yī)院無線網(wǎng)絡(luò)。一旦接入局域網(wǎng)，不僅占用合法用戶的帶寬，惡意修改無線網(wǎng)絡(luò)的設(shè)置，輕則造成合法用戶無法接入網(wǎng)絡(luò)，重則還會(huì)入侵他人電腦竊取患者病情的隱私[5]。

1.4 拒絕服務(wù)攻擊

故意攻擊目標(biāo)系統(tǒng)，通過耗盡網(wǎng)絡(luò)、操作系統(tǒng)或應(yīng)用程序的有限資源，使其不能提供正常服務(wù)或資源訪問的一種網(wǎng)絡(luò)攻擊。現(xiàn)有的802.1l網(wǎng)絡(luò)管理工具無法快速識(shí)別拒絕服務(wù)（Denial of Service，DoS）攻擊，并由于802.11 介質(zhì)訪問控制（Media Access Control，MAC）協(xié)議的固有缺陷導(dǎo)致攻擊者只需要少量的數(shù)據(jù)包就能癱瘓整個(gè)醫(yī)院的網(wǎng)絡(luò)服務(wù)[6]。

2 無線網(wǎng)絡(luò)安全技術(shù)與標(biāo)準(zhǔn)

2.1 MAC地址過濾技術(shù)

每塊無線網(wǎng)卡都擁有全球唯一MAC地址，由設(shè)備制造商生產(chǎn)時(shí)寫在硬件內(nèi)部。每張無線局域網(wǎng)訪問控制列表（Access Control List，ACL）規(guī)定，只有與表中MAC地址相對(duì)應(yīng)的網(wǎng)卡設(shè)備才能訪問網(wǎng)絡(luò)，從而實(shí)現(xiàn)物理地址過濾。但訪問控制列表需隨時(shí)更新，可擴(kuò)展性差，也無法實(shí)現(xiàn)設(shè)備在不同AP之間漫游[7]；MAC地址理論上也能偽造，所以這是較低級(jí)的授權(quán)認(rèn)證。

2.2 IP/MAC地址綁定技術(shù)

無線局域網(wǎng)一般默認(rèn)使用動(dòng)態(tài)主機(jī)配置協(xié)議（Dynamic Host Configuration Protocol，DHCP）來分配IP地址，但這樣存在巨大的安全隱患，一旦攻擊者成功入侵無線局域網(wǎng)，就能很方便地從DHCP獲得一個(gè)合法IP地址。所以必須將DHCP服務(wù)關(guān)閉，并對(duì)無線局域網(wǎng)中的所有計(jì)算機(jī)分配固定的靜態(tài)IP，還要將IP地址和設(shè)備的網(wǎng)卡MAC地址進(jìn)行綁定，提升無線局域網(wǎng)的安全性[8]。

2.3 WPA加密機(jī)制

Wi-Fi保護(hù)訪問（Wi-Fi Protected Access，WPA）強(qiáng)制性要求用戶必須提供某種形式的憑據(jù)來證明自己是合法的，并擁有對(duì)某些網(wǎng)絡(luò)資源的使用權(quán)限。在信息完整性保障方面，WPA使用了稱為“Michael”的更安全的訊息認(rèn)證碼（在WPA 中叫做訊息完整性查核，MIC）[9]。WPA2是WPA的改進(jìn)，在WPA2中“Michael”算法被更加安全的CCMP訊息認(rèn)證碼所取代，RC4也被AES加密算法取代，使其安全性得到進(jìn)一步的提高

2.4 入侵檢測(cè)技術(shù)

根據(jù)用戶的歷史行為，基于用戶的當(dāng)前操作，完成對(duì)攻擊的決策并留下攻擊證據(jù)，為數(shù)據(jù)恢復(fù)和事故處理提供依據(jù)。入侵檢測(cè)過程是一個(gè)檢測(cè)工具與黑客對(duì)抗的決策分析過程，其技術(shù)基礎(chǔ)是基于知識(shí)的智能推理。通過分析醫(yī)院無線局域網(wǎng)中的傳輸數(shù)據(jù)來檢測(cè)是否存在非法入侵；通過監(jiān)視和分析使用者的活動(dòng)來判斷入侵事件的具體類型；對(duì)于MAC地址欺騙、中間人攻擊和拒絕服務(wù)攻擊，通過發(fā)現(xiàn)網(wǎng)絡(luò)流量異常時(shí)也能及時(shí)報(bào)警[10]。

3 醫(yī)院無線局域網(wǎng)的安全解決方案

依據(jù)醫(yī)院無線局域網(wǎng)實(shí)際應(yīng)用環(huán)境并結(jié)合現(xiàn)有的網(wǎng)絡(luò)安全技術(shù)與標(biāo)準(zhǔn)，我院提出了基于安全代理＋Policy Center＋USG2250（通過準(zhǔn)入控制設(shè)備）的網(wǎng)絡(luò)安全解決方案，見圖1。

圖1 安全代理＋Policy Center+ USG2250的網(wǎng)絡(luò)安全解決方案

Policy center包含了TMC和SM，這其中建立了完善的接入用戶身份認(rèn)證機(jī)制，系統(tǒng)內(nèi)置了合法用戶的賬號(hào)和密碼，實(shí)現(xiàn)用戶只有通過身份認(rèn)證后才能接入醫(yī)院無線局域網(wǎng)。在Policy Center中還將用戶賬號(hào)與IP/MAC地址做綁定，綁定后確保指定用戶僅能在指定的終端上進(jìn)行認(rèn)證，大幅提高身份認(rèn)證的唯一性。

安全代理是一個(gè)安裝在醫(yī)院終端上的應(yīng)用程序，啟動(dòng)后終端用戶輸入賬號(hào)+密碼，執(zhí)行身份認(rèn)證并且將認(rèn)證結(jié)果作為開通網(wǎng)絡(luò)訪問權(quán)限的依據(jù)。

TMC負(fù)責(zé)制定網(wǎng)絡(luò)的總體安全策略，下發(fā)給各管理節(jié)點(diǎn)，并對(duì)管理節(jié)點(diǎn)實(shí)施情況進(jìn)行監(jiān)控。

SM管理其下SC的連接狀態(tài)，向已連接的SC控制節(jié)點(diǎn)發(fā)送實(shí)時(shí)指令，完成各種相關(guān)業(yè)務(wù)。醫(yī)院網(wǎng)絡(luò)管理員還可通過WEB管理界面，完成終端用戶管理、安全策略配置等工作。

SC與準(zhǔn)入控制設(shè)備聯(lián)動(dòng)，根據(jù)用戶身份認(rèn)證的結(jié)果，向準(zhǔn)入控制設(shè)備動(dòng)態(tài)下發(fā)訪問控制列表（ACL），切換請(qǐng)求接入用戶的網(wǎng)絡(luò)訪問權(quán)限。還作為與安全代理（SA）交互的控制點(diǎn)，完成身份認(rèn)證、安全策略下發(fā)、數(shù)據(jù)上報(bào)、入侵檢測(cè)等任務(wù)[11]。

USG2250將醫(yī)院網(wǎng)絡(luò)資源劃分為認(rèn)證前域和認(rèn)證后域。用戶在身份認(rèn)證前，只能訪問認(rèn)證前域即用戶本機(jī)信息資源；通過身份認(rèn)證后授權(quán)訪問醫(yī)院無線局域網(wǎng)并獲得認(rèn)證后域的信息資源[12]。

接入控制基本原理：從SC中同步準(zhǔn)入控制規(guī)則，并且把這些規(guī)則轉(zhuǎn)換成訪問控制列表（ACL）。當(dāng)終端用戶認(rèn)證的時(shí)候，SC會(huì)根據(jù)安全認(rèn)證的結(jié)果，給準(zhǔn)入控制設(shè)備發(fā)送認(rèn)證域的參數(shù)，該認(rèn)證域的參數(shù)對(duì)應(yīng)了轉(zhuǎn)換的ACL規(guī)則。終端用戶的數(shù)據(jù)包經(jīng)過USG2250時(shí)，設(shè)備將根據(jù)該終端對(duì)應(yīng)的ACL規(guī)則進(jìn)行包過濾，控制終端的訪問范圍[13]。

醫(yī)院無線網(wǎng)絡(luò)的安全性主要體現(xiàn)在訪問控制和數(shù)據(jù)加密兩個(gè)方面。訪問控制保證敏感數(shù)據(jù)只能由被授權(quán)用戶進(jìn)行訪問，而數(shù)據(jù)加密則保證傳輸?shù)臄?shù)據(jù)只能被所期望的用戶所接收和理解[14]。所以我們?cè)诔晒?shí)現(xiàn)對(duì)用戶的訪問控制后還需要使用WPA加密機(jī)制對(duì)數(shù)據(jù)進(jìn)行加密傳輸，盡可能提高醫(yī)院無線局域網(wǎng)的安全性。

4 結(jié)束語

無線網(wǎng)絡(luò)的安全攻擊與防御是一個(gè)相互博弈、不斷演進(jìn)的過程，不存在絕對(duì)安全的網(wǎng)絡(luò)，任何一種安全策略都不是一勞永逸的[15]。所以我們只有在實(shí)際的工作中保持足夠強(qiáng)的安全防范意識(shí)并注重每一個(gè)細(xì)節(jié)，運(yùn)用先進(jìn)的安全技術(shù)和有效的管理制度為醫(yī)院無線局域網(wǎng)提供安全保障。

[1]鄺健全．對(duì)無線網(wǎng)絡(luò)安全的分析[J]．電腦知識(shí)與技術(shù),2011,7（17）：4068-4069．

[2]王智圣,范利民．淺談企業(yè)中的無線網(wǎng)絡(luò)安全技術(shù)運(yùn)用[J]．科技與創(chuàng)新,2014（8）：134,142．

[3]鄭玉洲．無線網(wǎng)絡(luò)安全的機(jī)制與技術(shù)措施[J]．信息系統(tǒng)工程, 2011（6）：59-60．

[4]王茹．淺析無線網(wǎng)絡(luò)安全防御[J]．信息通信,2013（9）：106．

[5]李紀(jì)奎．醫(yī)院無線網(wǎng)絡(luò)技術(shù)的實(shí)際應(yīng)用[J]．醫(yī)學(xué)信息,2011,24（3）：32．

[6]尹成國(guó),劉明．淺論無線網(wǎng)絡(luò)安全[J]．科技資訊,2014,12（25）：18．

[7]王麗．對(duì)無線網(wǎng)絡(luò)安全技術(shù)的研究[J]．科技視界,2014（34）：101．

[8]陳亞科．淺談無線局域網(wǎng)安全解決方案[J]．信息安全與技術(shù)，2012,3（2）：26-27．

[9]張博,高松．無線網(wǎng)絡(luò)安全技術(shù)分析[J]．信息安全與技術(shù),2013, 4（2）：32-34．

[10]徐麗平．淺析無線局域網(wǎng)安全方案的設(shè)計(jì)[J]．福建電腦,2006,（2）：88-89．

[11]宮彥婷,常建國(guó),王彪,等．安全網(wǎng)關(guān)技術(shù)在醫(yī)院內(nèi)網(wǎng)安全中的研究與應(yīng)用[J]．中國(guó)醫(yī)學(xué)裝備,2012,9（4）：37-40．

[12]徐書良,莫永華．基于USG的企業(yè)分支機(jī)構(gòu)VPN接入技術(shù)設(shè)計(jì)與實(shí)現(xiàn)[J]．現(xiàn)代計(jì)算機(jī),2011,（8）：19-23．

[13]黃悅．ACL技術(shù)在高校校園網(wǎng)中管理與安全控制的應(yīng)用[J]．信息安全技術(shù),2012,3（5）：33-35．

[14]王巖．計(jì)算機(jī)無線網(wǎng)絡(luò)安全技術(shù)分析[J]．計(jì)算機(jī)光盤軟件與應(yīng)用,2013,（19）：171-173．

[15]于京杰,劉方斌,馬錫坤．?dāng)?shù)字化醫(yī)院信息系統(tǒng)的安全問題[J]．中國(guó)醫(yī)療設(shè)備,2013,28（6）：88-90．

Security Risks of the Hospital W ireless Local Area Network and Its Solutions

SHI Wen-jie
Information Center, Jiangsu Province Geriatric Hospital（Jiangsu Province O fficial Hospital）, Nan jing Jiangsu 210024, China

The paper analyzed the existing security risk of hospital w ireless local area network, and then introduced the security technology and standards of w ireless network. Finally, it proposed a network security solution based on the security agent + Policy Center + USG2250 according to the actual application environment of the hospital w ireless local area network.

w ireless local area network；network security；hospital information systems；IP；MAC

TP393.08

A

10.3969/j.issn.1674-1633.2015.11.028

1674-1633（2015）11-0089-03

2015-03-23

2015-04-29

作者郵箱：coolsw j@163．com