基于等保2.0的醫院門戶網站網絡安全防護實踐

胡紅雨

（皖南醫學院弋磯山醫院信息中心 安徽省蕪湖市 241000）

醫院門戶網站仍是醫患溝通和信息發布的重要平臺，在為患者提供醫療服務，方便患者就醫，提升患者滿意度以及展示醫院形象，建立醫院品牌等方面擔負著重要的角色。同時，門戶網站作為對外的網絡入口，也是承受外部網絡攻擊的首要目標。[1]2017年6月1日實施的《網絡安全法》要求網絡運營者應當按照網絡安全等級保護制度要求履行安全保護義務。2019年12月1日等保2.0 開始實施，在等保1.0 的基礎上進一步優化，統一了基本要求與設計要求的安全框架，技術要求定義更精確，內涵更豐富。[2]

本文依據等保2.0 的測評要求，結合針對醫院門戶網站開展的各項等級保護措施，總結初步實踐經驗，為網站網絡安全防護工作提供參考。

1 安全現狀

1.1 網絡架構分析

醫院已經建成的網絡安全平臺，使得門戶網站具備了一定的防護能力。但網絡攻擊手段也在不斷升級，醫療衛生行業的面臨的網絡安全風險急劇增加。

如圖1所示，未整改前僅在互聯網邊界處部署防火墻提供訪問控制功能，安全防護能力較弱，存在較大的安全風險。

1.2 網站定級

醫院門戶網站主要對外發布新聞動態、專科優勢、科室設置、專家介紹、排班信息、就醫指南、健康知識等，等保2.0 定級指南中定級要素與安全保護等級的關系如表1所示，根據對受侵害的客體及對客體的侵害程度的分析，確定業務信息安全等級為二級，系統服務安全等級為二級，初步確定醫院門戶網站安全等級保護為二級。

1.3 安全要求

醫院門戶網站所用網絡共享醫院總的互聯網出口帶寬，服務器托管在醫院數據中心機房。等保2..0 第二級安全通用要求包括10個方面，68 個控制點，135 個測評項[4]。經過比對分析，原來的安全物理環境如機房的門禁、防盜和防破壞、防雷擊、防火、防潮、防靜電、溫濕度控制、電力供應電磁防護等均符合標準規定，安全管理體系也相對較為完善，未發現重大差距項。針對醫院門戶網站的差距項主要集中在安全網絡通信、安全區域邊界、安全計算環境和安全管理中心等方面，包括未能在網站通信過程中采用https；整體安全策略設計上存的問題，未能及時調整安全策略；未部署相應安全設備進行安全風險監控，無法有效應對新型病毒形成預警機制，無法收集惡意攻擊行為，無法根據高危風險與漏洞調整安全策略與修復；缺少安全審計與分析設備與功能，未能針對網站服務進行差異化防護；因使用者能力與安全意識等原因，安全產品沒有得到正確的配置等等情況。

圖1：未整改網絡拓撲圖

圖2：等保2.0 網站安全防護網絡拓撲圖

2 安全方案

2.1 通信網絡與區域邊界

2.1.1 優化設備與控制

網絡與安全設備進行硬件優化，更新防火墻設備為NGFW，避免出現業務瓶頸，并升級安全規則庫，對安全防護策略進行優化調整。

表1：定級要素與安全保護等級的關系[3]

使用防火墻與交換機來劃分網絡區域，為不同網絡區域分配地址，隔離重要網絡區域與其他網絡域。并在防火墻上開啟VPN，在網站服務器上部署SSL 安全證書，解決通信過程中的加密傳輸的要求。如圖2所示。

在防火墻上開啟網絡訪問控制NAC，啟用并設置安全策略，只允許指定端口進行通信，其他端口全部拒絕所有通信，確保對邊界進行有效防護，實現訪問控制。

2.1.2 加強安全監控

在網絡安全防護過程中加強各類安全風險的監控。在入口防火墻上開啟防病毒功能AV 并升級系版本，對病毒和惡意代碼實時監控，有效應對新型病毒形成預警機制，解決區域邊界的入侵防御和惡意代碼防范問題。

開啟入侵防御系統IPS、入侵檢測系統IDS、針對網站的WAF設備，結合日常的安全巡檢與漏洞掃描，有效掌握近期高危的風險與漏洞，并能精確調整網絡安全策略，制定修復方案，確保網站安全不間斷運行。

利用交換機端口鏡像功能或者分流器，或掛接獨立設備，以旁路方式部署網絡分析回溯系統，實時捕獲門戶網站的流量采集與分析，能實現網站的網絡訪問性能、系統服務性能，網站響應性能等關鍵指標進行智能分析，實現數據挖掘與回溯分析異常告警，并能診斷常見的網絡故障，網站性能異常和網絡行為異常，確保了門戶網站業務的運行保障能力和問題處置的效率。

2.2 安全計算環境

在網站服務器上安裝軟件實現網站防護與Web 防篡改的功能，或者安裝硬件WAF 加強對。工作中使用了公安部第一研究所開發的網站綜合防護系統G01 軟件，可以實現操作系統加固，Web 中件間防護、網絡流量防護、網站內容防護與安全態勢感知等功能[5]，在實際應用過程中，使用到了G01 軟件的網頁防篡改功能、文件監控與防護功能，IP 黑名單功能，防端口掃描功能、應用防護功能的Web 防護功能、登錄防護功能、對網站應用服務器的主機安全防護起到了非常重要的作用，取得了良好的防護效果，同時在終端電腦安裝殺毒軟件，解決安全計算環境要求。

2.3 系統管理與審計管理

2.3.1 管理員安全鑒別

安全管理中心對系統管理的要求主要是對系統管理員進行身份鑒別。通過部署運維安全管理與審計系統（保壘機），用來配置網站及其他內部主機資源，建立用戶身份，配置資源訪問權限，可以有效解決管理中心系統管理的問題。

2.3.2 加強審計與分析

嚴格執行《網絡安全法》中數據審計相關的要求，切實增加網絡審計功能。部署日志審計系統、上網行為管理系統收集網絡訪問信息，針對門戶網站的數據庫部署數據庫審計系統，記錄針對網站數據庫的各類操作，部署運維安全管理與審計系統（保壘機），記錄網站服務器的各類運維操作日志，并對審計日志定期檢查，滿足等保中安全審計相關的要求。

3 總結

醫院門戶網站是醫院惡意網絡攻擊入口目標，提高醫院門戶網站的安全防護能力,降低網站系統被攻擊的風險,對有效保障醫療信息安全意義重大。醫院門戶網站成功地抵擋各類安全攻擊如CC攻擊、SQL 注入、非法請求等共計11 萬次。保障了網站安全，維護了醫院形象。隨著“互聯網+醫療”應用的逐步深入，醫院信息化建設過程中，面向互聯網的應用業務應用暴增。醫院門戶網站的安全防護實踐經驗越來越多的應用到其他項目當中。