医院无线局域网的安全风险与解决方案

施文杰

江苏省老年医院（江苏省省级机关医院）信息中心，江苏 南京 210024

医院无线局域网的安全风险与解决方案

施文杰

江苏省老年医院（江苏省省级机关医院）信息中心，江苏 南京 210024

本文分析了医院无线局域网存在的安全风险，并介绍了无线网络的安全技术与标准，最后依据医院无线局域网实际应用环境，提出我院基于安全代理＋Policy Center+ USG2250的网络安全解决方案，为医院无线局域网提供安全保障。

无线局域网；网络安全；医院信息系统；IP；MAC

0 前言

随着医院信息化建设的发展，许多医院都建立起自己的无线局域网，作为对有线网络的必要补充。无线网络的普及为用户带来极大的便利，医务人员使用带有无线网卡的终端设备通过身份验证后接入无线局域网，在院内任何位置可方便地开展各项业务工作。然而在享受无线网络便捷的同时，安全问题变得日益严峻，受到极大关注。无线网络由于其天生的开放性，并且无线标准和安全机制方面存在着先天不足，其安全防护存在重大隐患。网络通信时很容易遭到黑客攻击，造成敏感数据被窃听、篡改和非法访问，甚至有可能使整个网络服务瘫痪[1]。所以必须增强无线网络安全防范意识，并积极探索无线网络安全解决方案，为医院构建起安全、可靠、高效的无线局域网，切实保障业务工作开展正常有序。

1 医院无线局域网的安全风险

我院无线网络基于IEEE802.1 lg传输标准，采用AC（Access Point Controller）+瘦AP架构，借助于有线网络将无线AP通过蜂窝状形式连接部署至全院，实现无线信号全覆盖，以确保数据传输过程中不会出现网络拥塞或者丢包的现象。所有AP均通过无线AC进行统一管理，满足医院网络管理的需要。但无线网络传输媒介的开放性、应用终端的移动性、网络拓扑的动态性增加了网络安全风险，且不具备清晰的防御界限；无线链路又极易受到各种各样的攻击并容易造成信息截取和非授权访问等安全问题[2]。这些突出的问题具体表现在以下几个方面。

1.1 非法接入点

无线网络配置简单以致部分院内用户不经授权就将个人AP接入局域网，构造出一个无保护措施的隐匿无线网络，不仅破坏了医院现有内、外网物理隔离的架构，还充当了攻击者进入局域网的开放门户[3]。攻击者获得网络管理控制权后，可以篡改相关网络设置，降低网络防护能力甚至瘫痪整个医院网络。

1.2 无线钓鱼

攻击者成功窃取医院无线网络密钥后，会在院内架设非法隐匿AP，采用与医院相同的服务集标识（Service Set Identifier，SSID）伪装成正规无线网络供盲目信任的用户进行访问，导致在无线信道中传输的数据包遭到窃取。当攻击者获取个人敏感信息后就可用来冒称一个合法用户，劫持用户会话并执行一些非授权的命令[4]。

1.3 非法用户的接入

攻击者借助一些攻击工具就能发现并入侵医院无线网络。一旦接入局域网，不仅占用合法用户的带宽，恶意修改无线网络的设置，轻则造成合法用户无法接入网络，重则还会入侵他人电脑窃取患者病情的隐私[5]。

1.4 拒绝服务攻击

故意攻击目标系统，通过耗尽网络、操作系统或应用程序的有限资源，使其不能提供正常服务或资源访问的一种网络攻击。现有的802.1l网络管理工具无法快速识别拒绝服务（Denial of Service，DoS）攻击，并由于802.11 介质访问控制（Media Access Control，MAC）协议的固有缺陷导致攻击者只需要少量的数据包就能瘫痪整个医院的网络服务[6]。

2 无线网络安全技术与标准

2.1 MAC地址过滤技术

每块无线网卡都拥有全球唯一MAC地址，由设备制造商生产时写在硬件内部。每张无线局域网访问控制列表（Access Control List，ACL）规定，只有与表中MAC地址相对应的网卡设备才能访问网络，从而实现物理地址过滤。但访问控制列表需随时更新，可扩展性差，也无法实现设备在不同AP之间漫游[7]；MAC地址理论上也能伪造，所以这是较低级的授权认证。

2.2 IP/MAC地址绑定技术

无线局域网一般默认使用动态主机配置协议（Dynamic Host Configuration Protocol，DHCP）来分配IP地址，但这样存在巨大的安全隐患，一旦攻击者成功入侵无线局域网，就能很方便地从DHCP获得一个合法IP地址。所以必须将DHCP服务关闭，并对无线局域网中的所有计算机分配固定的静态IP，还要将IP地址和设备的网卡MAC地址进行绑定，提升无线局域网的安全性[8]。

2.3 WPA加密机制

Wi-Fi保护访问（Wi-Fi Protected Access，WPA）强制性要求用户必须提供某种形式的凭据来证明自己是合法的，并拥有对某些网络资源的使用权限。在信息完整性保障方面，WPA使用了称为“Michael”的更安全的讯息认证码（在WPA 中叫做讯息完整性查核，MIC）[9]。WPA2是WPA的改进，在WPA2中“Michael”算法被更加安全的CCMP讯息认证码所取代，RC4也被AES加密算法取代，使其安全性得到进一步的提高

2.4 入侵检测技术

根据用户的历史行为，基于用户的当前操作，完成对攻击的决策并留下攻击证据，为数据恢复和事故处理提供依据。入侵检测过程是一个检测工具与黑客对抗的决策分析过程，其技术基础是基于知识的智能推理。通过分析医院无线局域网中的传输数据来检测是否存在非法入侵；通过监视和分析使用者的活动来判断入侵事件的具体类型；对于MAC地址欺骗、中间人攻击和拒绝服务攻击，通过发现网络流量异常时也能及时报警[10]。

3 医院无线局域网的安全解决方案

依据医院无线局域网实际应用环境并结合现有的网络安全技术与标准，我院提出了基于安全代理＋Policy Center＋USG2250（通过准入控制设备）的网络安全解决方案，见图1。

图1 安全代理＋Policy Center+ USG2250的网络安全解决方案

Policy center包含了TMC和SM，这其中建立了完善的接入用户身份认证机制，系统内置了合法用户的账号和密码，实现用户只有通过身份认证后才能接入医院无线局域网。在Policy Center中还将用户账号与IP/MAC地址做绑定，绑定后确保指定用户仅能在指定的终端上进行认证，大幅提高身份认证的唯一性。

安全代理是一个安装在医院终端上的应用程序，启动后终端用户输入账号+密码，执行身份认证并且将认证结果作为开通网络访问权限的依据。

TMC负责制定网络的总体安全策略，下发给各管理节点，并对管理节点实施情况进行监控。

SM管理其下SC的连接状态，向已连接的SC控制节点发送实时指令，完成各种相关业务。医院网络管理员还可通过WEB管理界面，完成终端用户管理、安全策略配置等工作。

SC与准入控制设备联动，根据用户身份认证的结果，向准入控制设备动态下发访问控制列表（ACL），切换请求接入用户的网络访问权限。还作为与安全代理（SA）交互的控制点，完成身份认证、安全策略下发、数据上报、入侵检测等任务[11]。

USG2250将医院网络资源划分为认证前域和认证后域。用户在身份认证前，只能访问认证前域即用户本机信息资源；通过身份认证后授权访问医院无线局域网并获得认证后域的信息资源[12]。

接入控制基本原理：从SC中同步准入控制规则，并且把这些规则转换成访问控制列表（ACL）。当终端用户认证的时候，SC会根据安全认证的结果，给准入控制设备发送认证域的参数，该认证域的参数对应了转换的ACL规则。终端用户的数据包经过USG2250时，设备将根据该终端对应的ACL规则进行包过滤，控制终端的访问范围[13]。

医院无线网络的安全性主要体现在访问控制和数据加密两个方面。访问控制保证敏感数据只能由被授权用户进行访问，而数据加密则保证传输的数据只能被所期望的用户所接收和理解[14]。所以我们在成功实现对用户的访问控制后还需要使用WPA加密机制对数据进行加密传输，尽可能提高医院无线局域网的安全性。

4 结束语

无线网络的安全攻击与防御是一个相互博弈、不断演进的过程，不存在绝对安全的网络，任何一种安全策略都不是一劳永逸的[15]。所以我们只有在实际的工作中保持足够强的安全防范意识并注重每一个细节，运用先进的安全技术和有效的管理制度为医院无线局域网提供安全保障。

[1]邝健全．对无线网络安全的分析[J]．电脑知识与技术,2011,7（17）：4068-4069．

[2]王智圣,范利民．浅谈企业中的无线网络安全技术运用[J]．科技与创新,2014（8）：134,142．

[3]郑玉洲．无线网络安全的机制与技术措施[J]．信息系统工程, 2011（6）：59-60．

[4]王茹．浅析无线网络安全防御[J]．信息通信,2013（9）：106．

[5]李纪奎．医院无线网络技术的实际应用[J]．医学信息,2011,24（3）：32．

[6]尹成国,刘明．浅论无线网络安全[J]．科技资讯,2014,12（25）：18．

[7]王丽．对无线网络安全技术的研究[J]．科技视界,2014（34）：101．

[8]陈亚科．浅谈无线局域网安全解决方案[J]．信息安全与技术，2012,3（2）：26-27．

[9]张博,高松．无线网络安全技术分析[J]．信息安全与技术,2013, 4（2）：32-34．

[10]徐丽平．浅析无线局域网安全方案的设计[J]．福建电脑,2006,（2）：88-89．

[11]宫彦婷,常建国,王彪,等．安全网关技术在医院内网安全中的研究与应用[J]．中国医学装备,2012,9（4）：37-40．

[12]徐书良,莫永华．基于USG的企业分支机构VPN接入技术设计与实现[J]．现代计算机,2011,（8）：19-23．

[13]黄悦．ACL技术在高校校园网中管理与安全控制的应用[J]．信息安全技术,2012,3（5）：33-35．

[14]王岩．计算机无线网络安全技术分析[J]．计算机光盘软件与应用,2013,（19）：171-173．

[15]于京杰,刘方斌,马锡坤．数字化医院信息系统的安全问题[J]．中国医疗设备,2013,28（6）：88-90．

Security Risks of the Hospital W ireless Local Area Network and Its Solutions

SHI Wen-jie
Information Center, Jiangsu Province Geriatric Hospital（Jiangsu Province O fficial Hospital）, Nan jing Jiangsu 210024, China

The paper analyzed the existing security risk of hospital w ireless local area network, and then introduced the security technology and standards of w ireless network. Finally, it proposed a network security solution based on the security agent + Policy Center + USG2250 according to the actual application environment of the hospital w ireless local area network.

w ireless local area network；network security；hospital information systems；IP；MAC

TP393.08

A

10.3969/j.issn.1674-1633.2015.11.028

1674-1633（2015）11-0089-03

2015-03-23

2015-04-29

作者邮箱：coolsw j@163．com