浅析加强医院网站安全的对策与建议

2019-12-24段晓云

网络安全技术与应用 2019年10期

◆周燕段晓云

浅析加强医院网站安全的对策与建议

◆周燕段晓云

（成都中医药大学附属医院四川 610072）

医院网站建设是实施医疗互联网的基础，也是医患与患者及群众相互沟通的重要信息平台，加强医院网站安全是贯彻落实《网络安全法》、等保2.0的基础，是构建科学、人道、高效、便捷服务体系的关键。然而随着网络技术的高速发展，医院网站安全受到各种网络威胁隐患。因此本文以当前全球网络安全态势出发，着手于医院网站所面临的入侵威胁现状，分析医院网站所存在的信息安全问题，最后提出解决对策建议。

加强；医院网站；信息安全

医院网站是一个医院的形象宣传、就医服务、自动化办公等多种业务功能集合的一个互联网在线网站，四川省卫生健康委员会，四川省公安厅在2019年关于印发《四川省卫生健康行业网络安全等级保护实施方案》的通知中明确要求全省医疗机构的重要信息系统和门户网站进行网络安全隐患排查。随着信息时代进入数字时代，网络科技越来越发达，网络犯罪成本越来越低，越来越多的不法分子，通过各种网络攻击入侵手段，威胁着医院网站的信息安全，如对医院网站的党群信息篡改、网站木马种植、钓鱼攻击、伪造医院网站等违法行为。因此面对日益复杂的医院网站安全形势，我们必须加强医院网站安全的防御管理，净化医疗行业网络空间，保护医疗事业互联网方向的健康发展。

1 医院网站安全风险来源

1.1 网站建设原因

在我国，约80%的医院的信息管理部门，不具备医院门户网站的开发能力，需要把医院门户网站外包给第三方网站开发公司进行开发部署，由于软件外包公司以交付项目为目标，在网站开发的时候，大量引用开源框架、开源代码，且外包公司人力资源流动性极强，开发人员的能力也参差不齐，所以在软件研发过程中，并未深度和广度上考虑过网站安全，甚至未进行安全性测试，从而在代码级层面留下了隐患；而医院信息部门在验收过程中，重点在业务功能的实现，并未进行网站的安全性测试，所以在网站的整个生命周期过程中，代码安全存在很大隐患。

1.2 系统漏洞原因

医院网站一般会有就医服务模块、新闻模块、科室导航模块、下载中心模块、自动办公模块、各个模块之间的数据库基本独立，而整个网站系统，又部署在Windows或Linux服务器上，利用了如Apache、MySQL、Ngix等架构和数据库。无论是操作系统、架构或是数据库，它们本身也是软件系统，是软件系统就会存在BUG或漏洞，然而医院信息部工程师不一定能及时对这些漏洞进行补丁升级，所以给攻击者留下了可乘之机。

1.3 登录验证机制

医院网站一般面向广大群众和医护人员，在网站登录验证机制上比较粗暴简单，基本不采用双因子验证，如短信密码验证、电子口令验证等，且对用户名和密码的安全性判断也较弱，如默认6位纯数字等，这给黑客流量了大量撞库的机会。

1.4 网站安全管理制度不健全

医院网站一般是放在云服务器或IDC机房，但长时间以来，医院体制内对信息部门不重视，导致信息部成为弱势群体，在网络安全建设中话语权较弱，所以在管理上力度也不足，如常年不更新网站，未执行不定期登录网站确认等，信息部管理人员自身安全意识薄弱，网络安全防范技术落后等现状。

2 加强医院网站安全的对策与建议

医院网站的安全不是简单的引入防火墙或入侵检测防护系统就可以解决的，业内的观点是网站安全的防护，是在加强自身网络安全防护能力的基础上，做好制度化的建设，人才培养，与不法分子黑客等不断的对抗，打时间差，最终取得医院网站网络空间安全的胜利，其对策与建议如下：

2.1 加强医院网站安全制度的建设

三甲以上的医院要严格执行公安部规定网络安全等级保护制度2.0标准，三甲医院也要在等保框架下对应的等级做网络安全合规性建设，在加强医院自身网络安全合规性建设的同时，对医院门户网站的安全，应列为重中之重，从意识形态上解决医院网站安全的问题。在制度建设上，建议实行对医院网站实行轮训制度，每日对网站进行每个页面的浏览，人工检测页面是否被不法分子篡改，或者下载模块，被黑客替换成了恶意文件等，随时对医院网站进行健康评分，并计入日常工作内容考核。

2.2 加强医院网站安全人才培养

有实力的医院建议进行网络网站安全人才培养，对信息部的工程师，进行院外网络安全培训，培训的方向建议为勒索病毒发现、恶意文件分析、威胁情报检测方法、网络流量分析、入侵检测行为分析、Web攻击检测分析等，提高医院网站防护的人才培养。

2.3 加强医院网站安全设计

在医院网站进行开发前的需求分析时，作为院方应提出网站安全的原始需求，并要求软件开发方对网站进行安全需求设计，医院网站安全需求设计至少要保证患者信息数据安全、医护人员信息安全、自动化办公信息安全、文件下载安全等，应设计成双因子登录认证，即手机实名制认证加验证码登录等方式，对于多次登陆失败还继续强制登录的账号，应对其IP和ID进行一定时间范围内的封锁。

2.4 加强医院网站验收测试

对于医院网站进行外包开发的项目，在外包公司交付网站时，应执行严格的验收测试，编写网站安全测试用例，应在系统上线前的测试环境，请求第三方测试工程师进行网站渗透测试、Web漏扫测试、端口开放扫描等测试工作，对于测试过程中发现的安全隐患，应提交为bug让软件开发单位解决，解决完当前隐患后，方可正式上线。

2.5 加强医院网站部署环境安全

医院网站后台系统无论是部署在医院内部数字中心，还是部署在IDC机房或者云服务上，均需要对网站进行网络安全防护，如架设网站防火墙、入侵检测系统IDS、入侵防护系统IPS、全流量安全分析系统等，重点部署全流量安全回溯分析系统，并进行为期7天的网络全流量存储，一旦发现网站安全问题，可进行全流量回溯追踪溯源，取证，上报司法机关，对不法分子进行有力的威胁作用。

2.6 充分利用威胁情报检测医院网站威胁

不定期收集关于针对医疗机构的威胁情报数据，如威胁情报厂商提供针对医疗机构发起攻击的黑名单，包括恶意IP、危险域名、恶意url、僵木蠕病毒文件等，将这些威胁情报信息作为威胁指标，导入到医院网站威胁检测系统内，一旦有可疑攻击即可会产生告警，加强医院网站的威胁监测。同时应多收集关于医院的威胁事件报告，了解针对医疗机构网站的攻击手法，有的放矢的防护。

2.7 关注伪医院网站

不法分子通过爬虫引擎爬去医院官方网站的信息后，构造一个虚假网站，通过虚假网站套取患者信息，将收集到的患者信息倒卖获利，所以应经常关注网上是否有本医院网站的雷同网站，可通过百度等搜索引擎，利用关键字等方法，发现伪造网站。

2.8 漏洞扫描与补丁更新

应不定期地对医院网站进行漏洞扫描，尤其是对操作系统的漏洞、数据库漏洞，网站应用层漏洞等进行扫描，尽量购买商业漏扫软件进行医院网站漏洞扫描，扫描结果切记保密，以免落入不法分析，被其发现网站漏洞后利用，一旦发现漏洞后，应理解对漏洞进行修复，保证医院网站无当前曝光漏洞。

2.9 对医院网站进行网络空间测绘

医院网站包含了部署的公网IP、域名、二级域名等，应经常对医院网站的IP和域名及URL进行威胁情报查询，查询是否被标记为可疑或恶意，一旦发现被标记为可疑或恶意，很有可能网站服务器已经失陷，同时对于网站服务器所开放的端口应进行监听，避免开放如445、3389等可被远程控制的端口，该类端口容易被黑客控制用于网络攻击，在医院网站域名注册时，应申请隐私信息保护，不让互联网用户查看网站注册的基础信息。

2.10 加强对可疑文件的检测

医院网站经常会提供文件上传或下载功能，因对出入本网站的文件进行动态沙箱分析，动态沙箱支持病毒静态检测和动态恶意行为分析，所以医院网站管理人员应对所有上下行文件进行单独的检测分析，确认不含病毒木马后，放入库的网站后台系统，避免恶意文件在医院系统内扩散或传播给无辜群众，针对医院的病毒攻击，目前最多的是勒索病毒，应加强勒索病毒检测和防范。