等級保護技術在虛擬化平臺上的應用

高月宏 顧敏 夏丹丹 吳俊

（南通市腫瘤醫院信息科 江蘇省南通市 226000）

1 醫院信息系統現狀

隨著IT 技術的迅速發展，大部分醫院已建成了針對不同需求的信息系統，如：醫院信息系統（HIS）、實驗室信息系統（LIS）、放射信息系統（RIS）、醫學影像系統（PACS）、電子病歷、體檢系統等。醫院信息系統主要有以下幾個特點：業務連續性要求高，要求全天候不間斷服務，各系統系統架構不同，采用的數據庫、架構、編程語言都不一樣，各系統間接口眾多，復雜程度高，數據保密級別高，安全要求高等方面。

醫院信息系統的逐步推廣，顯著提高了醫院的工作質量和效率，但醫療活動對信息系統的依賴程度也逐漸增加。信息系統一旦出現故障，將直接影響到醫院業務的正常運行。醫院信息系統中存儲著大量患者診療數據，一旦發生數據泄露，后果不堪設想。因此加強醫院信息安全防護體系建設顯得尤為重要。信息安全隱患不斷顯露，信息安全保障盲點也日漸凸現，保障信息安全已經從一個宏觀論調轉化為新醫改工程建設工作中不可規避的基礎內容。

2 醫院信息安全等級保護要求

信息安全等級保護是我國信息安全保障的基本制度、基本方法和基本策略。貫徹落實國家信息安全等級保護制度，滿足醫院信息安全等級保護要求，開展等級保護建設相關工作勢在必行。

信息安全已成為醫院信息系統建設中不可或缺的一部分，主要涉及到數據安全，網絡安全等。信息安全等級保護是我國信息安全保障的基本制度。按照衛生部印發了《衛生行業信息安全等級保護工作的指導意見》等相關文件要求，三級甲等醫院的核心業務信息系統安全保護等級原則上不低于第三級，按照信息系統定級，備案，系統建設、整改，開展等級測評，信息安全監管部門定期開展監督檢查五個流程來提高信息系統的安全防護水平。定級備案是等級保護的首要環節，按等級保護、監管是等級保護的核心，建設整改是等級保護工作落實的關鍵，等級測評是評價安全保護狀況的方法，監督檢查是保護能力不斷提高的保障。等級保護工作中的五個環節如圖1所示。

醫院信息系統中存儲著大量患者的診療信息，如患者基本信息、患者診斷數據、藥品信息、住院信息、統方信息等。醫院HIS 系統如果數據被泄露或是被篡改，將會對醫院、就診患者乃及公共衛生行政主管部門的合法權益造成嚴重侵害，并有可能造成醫療安全事故的發生，對社會秩序和公共利益造成損害。信息安全等級保護的提出不僅讓國家信息安全政策合規，也更能增加醫院自身安全防護的需要，為醫院的各大核心業務提供一個穩定、安全的運行環境。

3 醫院等保2.0

醫院需要明確落實責任制，明確總責、分責人。建立誰主管誰負責的原則；根據當前業務情況，識別出可能的風險因素，參考風險優先級，確定解決思路。主要從空間維度和時間維度兩方面建立等級保護防御體系，空間維度主要從物理環境、通信網絡、區域邊界、計算環境等方面來構建，時間維度從預測、識別、檢測、響應、恢復等方面構建事前預防、事中控制、事后響應的動態安全體系。按照業務類型和功能區別，確定各安全域的物理邊界和邏輯邊界，明確信任關系，并在安全域邊界配置不同的安全策略。明確數據分級，通過數據庫防護、數據泄露防護，加密等技術，保證醫院數據在存儲、傳輸等過程中的保密和完整。通過數據挖掘和分析技術，分析終端操作、威脅時間等行為，并針對風險因素設置各種安裝措施，爭取將損失降到最低。

4 虛擬化技術簡介

虛擬化就是把物理資源轉變為邏輯上可以管理的資源，以打破物理結構間的壁壘。虛擬化技術就其本質而言屬于一種資源管理技術，它將硬件、軟件、網絡、存儲等硬件設備隔離開來,使用戶能更合理、更充分的控制和管理各種資源。虛擬化技術能夠充分應用好虛擬技術在物理服務器上，將物理服務器虛擬出諸多個虛擬服務器，將物理服務器整合為一個資源地，再根據業務系統的基本需求，為其分配適當的存儲空間和內存空間。

以VMware vSphere 為例，對服務器、存儲硬件進行整合，對操作系統和應用進行抽象，將操作系統和應用從硬件中分離出來，ESXi 可以獨立安裝運行在裸機上的系統，安裝完成后通過vSphere Client 遠程連接，在 ESXi 服務器上創建多個虛擬機，然后為虛擬機安裝各種所需的操作系統，使之成為能為醫院信息系統提供服務的虛擬服務器。每臺虛擬機都是完全隔離的，很多操作系統可以同時在一個主機上運行。虛擬化技術將一臺物理服務器變成多臺相互隔離的虛擬服務器，將CPU、內存、磁盤、I/O 等硬件變成動態管理的“資源池”，通過區分各服務器所需資源的優先次序，實現動態資源分配。

服務器虛擬化，可以降低硬件成本投入，便于服務器維護，減少維護成本，提高服務器利用率，實現系統高兼容性，增加信息系統間的交互性和容災能力，提高數據安全性，提升管理的靈活性。

5 等級保護在虛擬化平臺vSphere上的應用

以vSphere 為例，探討等級保護技術在虛擬化環境下的應用。

（1）身份鑒別：通過設置ESXi 主機上ROOT 賬戶密碼，設置ESXi Shell 和SSH 的連接超時鎖定時間，在vCenter 服務器上開啟vCenter 主機的口令復雜性要求和口令更換周期限制，設置vSphere Client 客戶端連接超時時間，實現登錄用戶身份鑒別。

（2）訪問控制：根據vCenter Server 管理用戶的角色分配權限，通過限制角色的訪問控制權限實現對不同用戶的訪問控制。對于vCenter Server 服務器主機操作系統，建議只允許有一個administrator 的系統管理員賬戶，并設置強口令定期更換，其他的用戶賬戶只設為為power user 或user。所有用戶賬戶開啟強制密碼策略并設置定期更換口令。

布盧姆斯伯里集團中，凌叔華與伍爾夫關系最近，因此，研究者對她們二人及凌叔華的英文小說《古韻》關注較多。《古韻》是在伍爾夫的鼓勵下用英文寫作的自傳體小說。前述蔡璐《凌叔華與布盧姆斯伯里》第三章即以《古韻》中的女性主義色彩與伍爾夫的女性主義思想暗合展開，認為她們在戰爭期間的通信體現了女性寫作與戰爭的關系，在反戰思想的背后實際上是對男權的否定與質疑。相關論文還有江淼《和伍爾夫一起寫作——〈古韻〉的西方視野》、董姝雯的碩士論文《在現代與傳統之間——論凌叔華小說創作》等。

（3）安全審計：設置vCenter Server日志記錄，導出日志并進行分析統計。

（4）剩余信息保護：對于vCenter 管理服務器主機，定期清理系統垃圾文件和系統緩存，在vCenter Server 服務器主機上嚴禁互聯網或作其他無關操作，嚴格控制系統用戶的訪問權限和軟件運行權限。

（5）入侵防范：vCenter Server 管理服務器主機可以通過實施密碼策略，設置賬戶鎖定策略的方式防止口令猜解。系統只安裝vCenter Server 系統軟件及其支撐環境軟件，嚴禁安裝其他無關軟件或“一機多用”。

及時更新windows 操作系統以及ms-sql2005 數據庫的補丁，防范來自利用操作系統漏洞進行“提權”的入侵攻擊行為。通過啟用“本地安全策略”→“軟件限制策略”并設置“不允許、不受限和基本用戶”的軟件運行限制策略，防范利用漏洞上傳惡意程序并運行提權的入侵行為。通過對系統文件夾或其他敏感文件夾按系統用戶訪問權限需要分別設置“安全權限”，允許或拒絕對文件夾的讀和執行、讀取、寫入、修改、列文件夾內容等訪問控制權限進行細粒度的配置。

對于windows 系統文件夾在整個vCenter Server 系統配置完畢并不需要進行調整后取消所有非system 和administrator 用戶的訪問權限，同時取消system 和administrator 對該文件夾的寫入和修改權限，并只在需要對操作系統進行重新配置或更新系統補丁的時候恢復修改的權限。通過上述的安全加固措施來防范“非授權的資源訪問”、“系統提權以”及“惡意代碼”攻擊等系統入侵行為。

（1）惡意代碼防范：惡意代碼的防范除了主機安全加固外，可通過在服務器主機上部署網絡版殺毒軟件來加強對惡意代碼的防范。服務器開啟網絡防火墻需要將vCenter Server 所需的端口加入訪問控制列表并允許訪問，主要有：80、389、443、636、902、903、8080、8443、60099、10443、10109、10111。

（2）資源控制：通過配置防火墻屬性設置訪問控制列表的方式來實現虛擬主機的資源訪問控制，在防火墻屬性中設置“僅允許從以下網絡連接”實現。

6 醫院虛擬化安全上等級保護上的具體措施

虛擬化作為醫院普遍使用的新技術，業務系統也正逐步向虛擬化平臺遷移，根據云計算安全擴展要求，需要重點關注建立虛擬化網絡邊界的訪問控制機制，檢測到虛擬機與宿主機、虛擬機與虛擬機之間的異常流量，虛擬機遷移時訪問控制策略隨其遷移、檢測到惡意代碼感染及在虛擬機間蔓延，需要構建可適配虛擬化的安全新技術，將風險控制在虛擬化最小范圍之內；參考等級保護對虛擬化安全提出的具體要求，對照目前南通市腫瘤醫院的實際需求進行分析，在以下幾個方面采取安全措施。

（1）對虛擬機之間網絡資源進行隔離，避免網絡資源被某項虛擬化業務應用過量占用。

（2）將虛擬化平臺的管理流量與實際業務流量進行分離。

（3）通過配置訪問控制策略的方式避免虛擬機通過網絡非授權訪問宿主機，宿主機采用帶外管理的方式避免內部網絡用戶帶來的安全威脅。

（4）在虛擬化網絡邊界部署訪問控制機制，并設置訪問控制規則。

（5）使用運維堡壘機對遠程執行特權命令進行限制并進行審計。

（6）在虛擬化區域邊界處部署入侵檢測防御措施，防范來自網絡的攻擊行為，并能記錄攻擊類型、攻擊時間、攻擊流量等。

（7）針對重要業務系統提供加固的操作系統鏡像。

7 結語

不論從等保2.0 的要求上，還是從醫院信息系統的安全來考慮，醫院有責任也有需要加強自身安全管理體系和技術方面建設，從而切實提高醫院整體的信息系統及相關數據安全級別。醫院需要統一思想充分認識到做好信息網絡和數據安全保障工作的重要性和緊迫性，加快推進網絡安全等級保護測評工作，在等保標準的基礎上構建覆蓋技術和管理的綜合防御體系，提升網絡安全風險治理意識，做好安全防護基礎工作，加強網絡安全防御和檢測能力，健全預案開展演練提高應急處置能力，變被動防護為主動防護，變靜態防護為動態防護，變單點防護為整體防控，變粗放防護為精準防護，為持續推進智慧醫院保駕護航。本文以vSphere 為例，具體分析了等級保護在虛擬化環境中應用，通過多種方式，建立有效的安全防御體系，并根據南通市腫瘤醫院實際需求，在虛擬化安全方面提出具體措施，提升醫院信息系統安全等級。

在虛擬化環境中，信息安全還面臨許多新的問題和挑戰，如虛擬機逃逸技術，vSphere 系統軟件自身的漏洞和缺陷都會給信息系統的安全造成極大風險。所以虛擬化環境下的信息安全除了要根據安全策略做好訪問控制規則，部署安全防護措施外，加強對數據資源的訪問控制、審計也是必不可少的安全保護措施。