浅谈医院局域网终端的安全建设

梁立炜

摘要：随着智慧医院的发展，医院的终端种类和数量越来越多，这带来了严重的安全问题。为了有效地减少内网攻击，保障网络的安全，很多医院给所有终端安装部署了安全管理程序和殺毒软件，对内网所有的终端进行统一监控和统一行为管理。随着科技的发展，也涌现了很多新型安全防范技术，但是由于各个医院的具体实际情况不同以及他们所面临的网络威胁也各不相同。因此，根据医院实际状况设计一套符合自己的安全管理方案是非常重要的，并且随着物联网的快速发展，安全建设将更加重要。

关键词：智慧医院;物联网;终端;安全建设

中图分类号：TP311      文献标识码：A

文章编号：1009-3044（2020）31-0064-02

1 引言

随着大数据时代的到来，人工智能也是当下被越来越多人提及的一个词，人工智能的发展也衍生出了“工业5.0”，如果说，工业1.0的特征是机械化，工业2.0的特征是电气化，工业3.0的特征是信息化，工业4.0的特征是网络化，那么，虚实交互、闭环反馈、动态执行的平行化，将是工业5.0的最大特征。在工业5.0的背景下，各行各业都在迫切探索革新与进步，医疗行业也如此。当前背景下如何运用新一代互联网云技术，推进和深化医院信息化管理体制改革显得更为重要和迫切。[1]

随着移动互联网的发展、智能终端的普及和网民使用习惯的改变，移动互联网行业正迎来一个全新时代，我国的移动互联网用户数量也呈现了井喷式的增长。如何通过方便、快捷、丰富的应用在移动互联网浪潮中运营，已经成为各行各业关注的焦点。医疗行业也不例外，医疗应用也从初期的探索模式阶段发展为成熟的业务模式。

2015年7月4日，国务院印发了《关于积极推进”互联网+”行动的指导意见》，《指导意见》要求各医疗机构要积极推广在线医疗卫生新模式。[2]随后卫计委提出了“进一步改善医疗服务行动计划”，要求各医院把推动信息惠民作为一项重要工作。为了响应国家号召，许多医院启动了“智慧门诊”项目建设，甚至有些医院在完成“智慧门诊”建设后马不停蹄的启动了“智慧住院”建设，旨在将医院打造成现代化的“智慧医院”，通过信息化手段，对门诊和住院的就医流程进行升级改造，切实方便广大患者从而改善群众就医的感受。

2 信息化发展带来的医疗行业安全问题分析

2.1 国内外安全形势严重

虽然信息化建设大踏步向前，但是安全系统的建设并没有跟上信息化建设的脚步。从2017年5月份开始，永恒之蓝勒索蠕虫病毒（WannaCry）开始肆虐全球，导致150多个国家共计30多万受害者遭遇勒索软件攻击，医疗、交通、能源、教育等行业领域遭受巨大损失。直至今日，勒索病毒仍然普遍存在，其背后的“永恒之蓝”漏洞早已成为被利用程度最高的安全漏洞之一。由于医疗行业的数据单体价值较高且变现比较容易，再加上医疗行业长期忽视安全系统建设，因此医疗行业一直都是勒索病毒重灾区。

2019年5月，重庆某私立医院业务全面停摆，后经发现查明原因：医院的HIS、LIS、PACS、EMR等后台系统业务以及微信公众号后台、医院网站等主要系统业务全部放置在同一套服务器中，医院并没有设置任何安全保障，医院业务在互联网上长期处于“裸奔”状态。黑客通过互联网攻破医院系统后植入勒索病毒，导致灾难发生。

2.2 医院安全问题分析

医院在智慧医院建设中引入了大量的自助终端、客户机、触摸屏等，医院的终端不但数量巨多，而且种类也多种多样，医院的网络已经由一个传统的互联网演变成为一个小型物联网，如图1所示。由于这些设备很多都是内置的微型工作站，使用的操作系统均是WINDOWS操作系统，理论上与传统工作站无异，因此这些设备均能够遭受勒索病毒的各种攻击和威胁。

医疗行业的安全形势非常严峻，众多安全问题亟待解决，但是安全建设不可能一蹴而就，医院也不可能在短期内大量投入安全建设，那么如何在这样一个“安全建设过渡期”内平稳过渡是所有管理者都面临的一个重要问题。

3 内网终端安全管理及补丁分发系统

终端安全是影响信息安全的根源，因为对于攻击者来说，无论利用多少安全漏洞，采用多么高级的技术，在网络中经历多少环节，发起多么复杂的攻击，所有的攻击必须通过终端才能完成，因此终端才是大多数安全事件发生过程的起源或者目标。[3]终端安全建设是信息安全建设中比较重要的一环，面对医院数量众多的形式多样的终端，许多医院采用了内网安全管理及补丁分发系统对所有终端进行统一行为管理。

内网安全管理及补丁分发系统以终端管理为核心，形成集主机监控审计、补丁管理、桌面应用管理、信息安全管理、终端行为管控等终端安全行为一体的管理体系，为管理员提供终端多位一体、统一管理的解决方案。系统工作的原理是在终端上安装注册程序后，注册程序可以实时将终端的情况上报至服务器，而且服务器也可以对终端下发各种各样的安全策略来保证网络的安全。终端的安全建设主要是从以下几方面入手：

3.1 对所有终端进行注册

进行终端管理，首先要了解内网终端的详细情况，在终端上安装注册程序时一定要认真对待，注册时要详细填写正确的终端信息，并且要全力寻找全院所有的终端，要做到不能有遗漏。终端计算机安装注册程序后，注册程序会自动收集当前计算机的各种硬件信息，包括CPU、内存、硬盘、网卡MAC地址、主板芯片、主板上的板卡等主要硬件信息。信息收集完成后自动上报给系统服务器，保存在后台数据库中，管理员有需要的时候只需要登录管理平台，选择查询条件就会生成管理员需要的硬件资产报表，同时还可以导出Excel报表。

实际使用中，可能会出现终端用户随意拆卸网络终端硬件的现象，这会给网络终端的管理带来混乱，甚至可能造成内网硬件设备资产的流失。系统能够自动检测设备资产信息变化并报警，报警未注册设备、注册程序卸载行为，实时检测硬件设备变化情况。

3.2 封堵终端的USB接口

自从发现U盘autorun.inf漏洞之后，U盘病毒的数量与日俱增。并且随着存储介质的普及，病毒通过U盘传播变得越来越容易。医院存在着很多病人的隐私信息，禁止使用U盘对于保护数据安全也存在着积极作用。除此之外，医院在智慧门诊建设中上线了大量的自助挂号缴费终端，在智慧住院建设中上线了大量的自助缴住院押金终端，这些终端很多都是出于无人值守的状态，封堵住这些自助终端的USB接口显得尤其重要。但是如果绝对的封堵USB接口是不可行的，因为医院存在着大量使用USB接口的设备，例如：鼠标键盘、打印机、各种医疗设备等等，通过安全管理软件可以很好地解决这一问题，通过自动识别各种USB接口设备，建立多组不同的USB策略对终端进行个性化的USB限制。

3.3 及时更新操作系统补丁

2019年5月15日，微软官方声明修复了一个Windows远程桌面服务的远程代码执行漏洞，并且发布了修补补丁，程序甚至包括已經停止更新很长时间的XP系统。由于绝大多数攻击均是通过系统自带的漏洞来进行攻击，及时更新系统补丁程序可以很好地解决这一问题。通过系统自带的补丁分发器自动对内网终端进行补丁分发，并且在后台静默安装，终端在关闭时将会自动完成更新。以永恒之蓝为例，有的医疗机构通过封堵电脑的445共享端口来阻止病毒的传播，但是医院的设备共享、文件共享以及很多数据的交互均需要通过445共享端口来进行，所以安装“永恒之蓝”补丁是最好的选择。

3.4 杀毒软件和防火墙

传统上人们认为在一个封闭的医院网络中杀毒软件和防火墙是多余的，因为他们起不到任何作用，并且还占用大量的电脑资源。所以很多医院的客户端根本没有安装此类安全软件，即使安装了此类安全软件，病毒库也长时间未得到更新。但是随着智慧医院的发展，内外网互联互通的情况越来越多，传统的网闸已经不足以保障医院的内部网络，而杀毒软件和防火墙是保障医院终端免受病毒侵扰最直接也最有利的保障，通过软件后台可以及时发现有威胁的终端的IP地址及攻击类型，为解决安全威胁提供帮助。

3.5 专业日志审计和分析工具

桌面系统可以开启文件输出审计、上网访问审计、违规外联设备审计、终端流量监控审计等策略来保障内网安全，后台服务器会自动记录所有终端的上述各种信息。其中违规外联设备审计和流量监控审计策略更是和服务器实现了联动，会自动屏蔽违反策略设定的终端。

4 新型终端安全建设技术

4.1 准入系统排除不稳定因素

网络准入控制是网络防护的第一道防线，准入系统建设是终端管理中的重要部分，通过准入控制能够完成对未知终端、授权终端的安全准入管理与控制。很多准入系统是基于硬件网关准入控制技术的安全准入管理控制，为内网终端的安全接入控制提供了一道绿色的保护屏障。

医院传统上都是通过划分不通的VLAN来管理不同区域的终端设备，对于一个固定的终端点，肯定是有唯一确定的VLAN，理论上攻击者获得终端点接口后即可连入网络，但实际上即使攻击者熟知医院网络架构，获得了终端点的接口网络，也会被准入系统拒之门外。准入控制系统能够确保终端电脑只有在通过认证，并符合必要的安全策略的前提下才能被允许接入单位内部，否则会强制终端电脑跳转到隔离区，完成安全安检，符合既定安全策略要求时才可准许接入到内部网络。具体接入流程如图2下：

4.2 态势感知

随着安全漏洞不断被发现，网络中蠕虫病毒、垃圾邮件肆虐、攻击工具泛滥、木马后门无孔不入、拒绝服务司空见惯，黑客组织的攻击技巧和破坏能力不断提高，手段越来越多，入侵的成功几率也越来越高。黑客的攻击行为也正在不断升级，他们已经不局限于传统的攻击手段，正逐步向 0-day 漏洞利用、嵌套式攻击、木马潜伏植入等更高级的攻击形态变化，这些以行为本身为主导的黑客攻击行为，掺杂了大量的人工智能、躲避手段、情报手段、社会工程等多维度的变化。为了弥补防火墙等边界防护设备对高级威胁的检测能力不足，很多公司开发出了态势感知系统，系统采用了全新的大数据采集、存储、检索、分析等技术，结合流量、样本、行为、日志等多源信息的威胁线索来发现与综合分析。因此态势感知是杀毒软件的一个完美补充，二者协同工作，能够更好地保证局域网的网络安全。

5 结论

未来社会是人工智能的社会，人工智能需要物联网来充当媒介。物联网可以看作互联设备间数据的收集及共享，而人工智能将是将数据提取出来后做出分析和总结，促使互联设备间更好的携同工作。因此，未来物联网规模将会无限扩大，物联网形形色色的终端所带来的攻击将会更加严重。因此网络管理人员一定要提高安全意识，争取将网络安全建设的固若金汤，来面对未来未知的物联网威胁。

参考文献：

[1] 王文刚，徐庆芳.浅谈智慧医院安全防范系统建设[J].中国公共安全，2019（Z1）：138-141.

[2] 国务院办公厅.关于积极推进“互联网+”行动的指导意见[Z].国办发[2015]40号.

[3] 董晶晶，霍珊珊，袁泉，等.移动办公终端信息安全技术研究[J].计算机技术与发展，2018，28（1）：155-158.

【通联编辑：李雅琪】