醫院內網安全管理實踐與研究

楊燕紅，蔣閱峰，徐玲

1.濟南軍區總醫院 信息科，山東 濟南250031；2.山東大學 控制科學與工程學院，山東 濟南 50014

醫院內網安全管理實踐與研究

楊燕紅1，蔣閱峰2，徐玲1

1.濟南軍區總醫院 信息科，山東 濟南250031；2.山東大學 控制科學與工程學院，山東 濟南 50014

目的 通過對網絡軟硬件設置加強網絡管理，保障醫院內網系統安全。方法 針對醫院內網存在的安全風險，加強對內外網絡接口管理及內網管理。對內網計算機布設防火墻、劃分虛擬局域網并啟用快速生成樹、部署網絡版殺毒軟件等措施。結果 能夠有效地管理網絡及終端電腦資源，方便實現遠程維護；防止了非法用戶接入、病毒侵犯、運行阻滯和信息外泄等事件。結論 內網安全管理措施加強了網絡管理的力度，能夠有效地保障醫院內部網絡信息安全，同時也減輕了維護人員的工作負荷。

醫院信息系統；醫院內網；虛擬局域網；網絡安全

0 前言

隨著醫院信息系統（HIS）、實驗室信息系統（LIS）、醫學影像存檔與通信系統（PACS）、電子病歷等系統的推廣使用，醫院的各項醫療活動對信息網絡的依賴性不斷增強，一旦出現網絡癱瘓、客戶端故障、數據丟失，都將影響醫療工作，造成不可預期的損失。因此，醫院內部網絡的安全性和穩定性對于醫院的正常運營至關重要[1]。我院在用網絡終端近1500臺，數量多、分布廣、管理難度大，據統計80%的安全問題是由網絡內部引起的。另一方面，作為地方醫療保險的定點醫療機構之一，醫院內網要與省市醫保、新農合網絡聯接，要保證醫院內部網絡不受來自外網的各類攻擊并達到保密性要求，必須做好網絡和終端的安全管理，以保障信息安全[2-3]。

1 醫院內網安全管理需求分析

網絡安全是指網絡系統的軟、硬件資源及數據不因偶然或惡意的原因而受到破壞、更改、泄露，保證網絡服務不中斷，系統能夠連續可靠地正常運行，使之具備保密性、完整性、可用性、可控性和可審查性。目前我院的內網安全管理需求主要有以下幾個方面[4-7]。

1.1 內網風險

在局域網內由于蠕蟲病毒、交換機端口故障、網卡故障或網線線序錯誤等原因都有可能帶來廣播風暴，導致數據幀或包被傳輸到本地網段上的每個節點，占用大量網絡帶寬，消耗網絡中的計算機CPU資源，導致正常業務不能運行，甚至徹底癱瘓。因此，保障網絡的連接能力和流通能力，是確保業務系統正常運行的基礎。

1.2 內網終端風險

醫院內網中計算機用戶數量眾多，存在著大量的危險因素，迫切需要加強管理。主要表現在：① 非法主機隨意接入內網，未經授權使用內網資源用于非法用途甚至導致信息外泄，并且無法監控；② 光盤、U盤、移動硬盤等存儲介質極易導致病毒感染，并在網內迅速傳播，造成客戶端、服務器數據丟失和程序破壞；③ 用戶非法安裝程序、拷貝無關數據，占用電腦資源，影響工作秩序，甚至隨意修改、刪除軟件配置，造成系統不能使用。

1.3 內外網通信安全管理

外部和內部網絡進行通信時，內部網絡有可能會受到“陷門”、病毒、非法存取、拒絕服務、網絡資源非法占用和非法控制等威脅。因此，外網與內網必須進行必要的隔離，對外網的服務請求加以過濾，只允許正常通信的數據包到達相應主機，防止網絡結構導致信息外泄。同時還要限定連接外網的內網用戶及訪問權限。

1.4 計算機資產管理

隨著醫院信息化規模的不斷擴大，計算機、網絡設備的數量、型號、軟硬件配置及分布位置難以進行及時有效的統計和管理，還有可能發生計算機或網絡設備配件的丟失或替換， 造成資產流失。

1.5 網絡技術人員維護需求

醫院計算機終端數量多、分布廣，一方面操作系統本身存在著安全漏洞，需要及時安裝補丁程序；另一方面各客戶端應用程序需要不定期升級，如果操作失誤或程序缺陷，客戶端難免出現各種各樣的問題，需要及時到現場解決。這些使得網絡技術人員面臨大量、繁雜的維護工作。

2 內網安全管理實踐

針對以上問題，我們分別采取以下措施，減少內網安全隱患，提高維護水平，保障了醫院信息系統的穩定行與安全性。

2.1 局域網內劃分VLAN并啟用RSTP

目前，我院網絡主干線由16根光纜組成，綜合布線近萬條，核心層、匯聚層、接入層交換機共130余臺，主干支持萬兆、桌面達到千兆速率。為防止廣播風暴波及整個網絡，增強局域網安全管理，對外科樓、內科樓、門診樓、保健樓、西院區等樓宇，根據樓層布局，每兩層或一層劃分為1個虛擬局域網（VLAN），不同VLAN間通信可通過路由器完成轉發（圖1）。每個VLAN內的用戶不能和其他VLAN內的用戶直接通信，廣播幀無法再傳遞到其他子網中，從而達到隔離廣播風暴的目的[8-9]。

啟用快速生成樹協議可以在網絡結構發生變化時快速地收斂網絡。當網絡產生環路后，可實現路徑冗余，將環路網絡修剪成無環路的樹型網絡，從而避免報文在環路網絡中的增生和無限循環，抑制網絡風暴。

2.2 部署內網安全及補丁分發管理系統

我院內網采用了北信源內網安全及補丁分發管理系統VRV EDP（Enterprise Desk Planning），能夠完全解決網絡安全管理工作中遇到的常見問題[10-12]。VRV EDP強化對網絡計算機終端的控制，管理內容包括：補丁檢測分發、終端安全策略、桌面風險審計、終端運行狀態監控、資產管理以及終端行為審計等，形成一個實時的安全監控系統，并能夠同其他網絡安全設備或網絡安全系統進行集成和報警聯動。

2.2.1 軟件環境

操作系統為Microsoft Windows Server 2003 R2，安裝Microsoft SQL Server 2005數據庫系統和Internet 服務管理器(IIS)。SQL Server數據庫用于建立管理信息數據庫列表項，IIS服務器提供Web服務，用于安裝Web網頁管理配置平臺。數據庫管理系統、區域管理器、Web管理平臺安裝在同一服務器上，作為監控服務器。區域管理器是系統數據處理中心，內置網絡掃描器，接收注冊程序提供的用戶信息，與管理信息數據庫通訊，將用戶信息并行存入數據庫，并接受來自控制臺的命令操作，發送到客戶端、掃描器執行。還可將設備最新狀態信息同數據庫中原有信息進行遍歷搜索對比，根據管理規則在管理平臺上報警。

2.2.2 主要功能

（1）終端注冊管理。采用ARP阻斷技術，拒絕未注冊終端入網，包括終端接入交換機拓撲管理、IP和MAC綁定管理、禁止修改網關、禁用冗余網卡等。

（2）終端安全管理。配置統一防火墻，實現IE安全設置、注冊表監控/保護、桌面密碼權限管理等。

（3）終端桌面管理。可以控制終端軟件安裝，對外設及端口、進程運行、上網訪問等進行點對點遠程協助管理，實現網內消息通知，終端流量管理、系統自動關機、終端時間同步等。

（4）硬件資源、移動存儲管理。設置硬件設備控制策略，對移動存儲設備接入進行管理，如進行分組、標簽認證、讀寫控制以及使用行為審計。

（5）補丁及文件分發管理。建立和分類補丁庫，補丁自動下載并增量更新導入，對終端漏洞自動檢測，定制策略分發。還可以對漏洞情況、補丁安裝情況匯總統計。同時提供對普通文件分發及文件自動執行功能，以方便實現局域網內程序的更新分發及文件的拷貝等。

（6）IT資產管理。實現軟、硬件資產管理，記錄軟、硬件設備信息及變更情況，對設備資源、設備信息進行統計。

（7）網絡主機運維。對運行資源監控、流量異常監控、進程異常監控、客戶端文件備份監控；對客戶端流量統計、排名，運維異常監控情況查詢統計。

（8）事件報表及報警處置。對終端信息數據統計、分類，以圖形化信息、組態報表數據輸出，實現對阻斷報警、IP綁定變化、違規外聯、設備變化、流量異常、探頭卸載、病毒行為等報警數據的查詢統計，并對報警結果進行處置，遠程阻斷不安全事件源。

2.3 計算機終端使用管理

內網機器不安裝光驅，使用gpedit.msc或poledit對終端計算機注冊表進行策略配置。包括系統控制面板、刪除“運行”、“查找”命令，隱藏驅動器、網上鄰居等，禁用注冊表編輯工具等。

2.4 部署網絡版殺毒軟件

針對局域網絡環境，安裝適用于Windows各種版本的北信源網絡服務器和客戶端防殺病毒軟件，有效防范病毒、木馬、蠕蟲對網絡服務器、客戶端文件系統侵襲。由服務器端、客戶端、升級管理、殺毒監控等模塊構成堅固的網絡防病毒體系[13]，定期升級病毒庫。

2.5 使用防火墻等技術進行內外網安全隔離

（1）布設2條專用光纖，分別與省、市醫保服務器連接、通信。

（2）辦理醫保業務的客戶端安裝數據加密卡，確保只有指定的客戶端才能與地方醫保服務器進行業務數據交換。

（3）在省市醫保網、新農合網（通過公共網絡接入）與內網間分別架設2道防火墻，配置防火墻的WAN口，分配內網LAN口地址，通過設置NAT地址轉換模式、路由表配置及包過濾規則，保證網絡通信暢通，限定內網機器對外網的訪問，并且防止外網對內網的主動接入、非法入侵，確保整個內網的安全。

3 結論

內網安全管理措施全面實施后，解決了威脅網絡安全的潛在危害，整個內網環境干凈、有序、順暢，最大程度上保障了信息系統的穩定安全運行，提升了內網管理水平。

（1）進一步保證網絡暢通。通過劃分VLAN啟用RSTP、流量管理、異常運維監控，極大地減少了網絡擁堵事件，提高了網絡利用率。

（2）有效杜絕了病毒感染、非法程序安裝和軟件配置的人為破壞。通過禁止移動存儲設備的違規使用、阻斷病毒和非法軟件進入內網的途徑、限制終端客戶對軟件配置的更改，規范了使用者的行為，保障了客戶端良好健康的運行環境。

（3）防止信息泄密、非法使用，確保數據安全。非注冊計算機一旦接入內網，立刻阻斷，拒絕入網，保障醫患信息安全。

（4）實現了外網與內網安全隔離。有效控制了外網對內網信息的訪問、讀寫等操作，同時只允許專用內網終端訪問特定外網地址，從而達到保密性要求。

（5）計算機硬件資產有效管理。對硬件資產自動發現識別，保證醫院內網中的計算機數量和配置更加準確，實現網絡硬件資產的電子化跟蹤和管理。

（6）提高維護工作的質量和效率。通過向客戶端分發軟件和補丁、遠程解決終端計算機的應用故障、監控和管理網絡資源及運維信息，提高了內網管理工作精度，縮短了維護服務響應時間，減少了網絡技術人員的工作量，提升了用戶服務滿意率。

數字化醫院的建設離不開計算機網絡的支持，醫院內網的安全管理是一項長期、重要的系統工作，它不僅依靠技術手段的實施，還有賴于安全管理制度的建立與執行、工作人員的規范化操作、日常維護的持續性改進等。今后在實際工作中，還需要注重細節，借助不斷發展的先進的運維平臺和技術措施，全方位、多層次地進行綜合管理與協調，為數字化醫院信息系統提供安全保障。

[1] 尚高峰.醫院系統信息安全建設思路及模式研究[J].計算機安全,2014(5):19-23.

[2] 冀鑫,沈嵐.內網安全管理軟件淺析[EB/OL].(2013-11-25) [2014-12-02].http://www.cnki.net/kcms/detail/11.3571. TN.20131125.1714.383.html.

[3] 趙山川,弓波,周林,等.“終端安全管理系統”在醫院內網安全管理中的應用[J].中國衛生信息管理雜志,2010,7(3):72-73.

[4] 曾凡,歐東,黃昊,等.醫院應用內網安全管理系統的實踐[J].中國醫學教育技術,2012,26(2):197-199.

[5] 路萬里,鞏蕾.內網安全管理系統在醫院網絡中的作用[J].中國醫療設備,2010,25(4):72-74.

[6] 趙鋒,侯楊,張劍.軍隊醫院內網安全管理系統的策略及應用[J].醫療裝備,2013,26(9):17-19.

[7] 王偉偉,郭亮.醫院內網安全管理系統的應用[J].中國衛生信息管理雜志,2010,7(3):74-76.

[8] 歐志文,宋俊.VLAN在醫院局域網中的應用[J].現代醫院, 2014,14(2):138-139.

[9] 趙新平,朱海巖.應用VLAN技術提升內網管理水平[J].洛陽師范學院學報,2014,33(8):80-82.

[10] 北信源公司.北信源內部網絡安全防護技術方案—北信源內網安全管理系統[J].信息安全與通信保密,2010,(2):40-41.

[11] 郭凌菱,榮文英,常建國,等.醫院網絡安全解決方案——三重安全管理系統[J].醫療衛生裝備,2012,33(9):45-46.

[12] 吳海翔.淺談內部網絡安全問題及對策[J].電子技術與軟件工程,2014,(1):234.

更正聲明

本刊2013年第28卷第11期“研究論著”欄目論文《斑點追蹤成像結合腺苷負荷超聲評價心機梗死患者心肌存活性》作者夏夢寧的單位應為：1. 南京醫科大學附屬南京兒童醫院 超聲科，2. 南京醫科大學附屬南京醫院 超聲醫學科，特此更正。

本刊2015年4月刊第140頁《二維碼在醫療設備標識中的應用》一文，作者陸一濱的單位及科室應為：杭州市中醫院設備科，特此更正。

Practice and Research of Intranet Security Management in the Hospital

YANG Yan-hong1, J IANG Yue-feng2, XU Ling1
1. Department of Information, General Hospital of Jinan Military Area Command, Jinan Shandong 250031, China; 2. School of Control Science and Engineering, Shandong University, Jinan Shandong 50014, China

Objective To enhance management of networks and terminals through hardware and software settings so as to guarantee security of the intranet system in the hospital. Methods Management of the interface between intranet and extranet as well as the intranet network was enhanced in view of the security risks in the intranet system in the hospital. And relevant measures were taken such as establishment of fi rewalls for computers in the intranet, division of VLAN (Virtual Local Area Networks) in local area networks and activation of RSTP (Rapid Spanning Tree Protocol), deployment of the antivirus software and so on. Results It could effectively manage the network and terminal resources, prevent illegal access, virus infection, interrupted operation and information leakage. Moreover, remote maintenance can also be implemented easily. Conclusion The intranet security management measures allowed for enhanced management of the network and effectively ensured information security of the intranet in the hospital. Meanwhile, the workload of maintenance personnel could also be alleviated greatly.

HIS; hospital network; virtual local area network; network security

TP393.08

A

10.3969/j.issn.1674-1633.2015.05.028

1674-1633(2015)05-0091-03

2014-12-02

2014-12-30

蔣閱峰，副教授。

通訊作者郵箱：jyfyyh@163.com