徐然 劉大龍

青島市市立醫(yī)院信息管理部，山東 青島 266071

作為醫(yī)院網(wǎng)絡(luò)管理員或網(wǎng)絡(luò)安全工程師，僅僅了解網(wǎng)絡(luò)設(shè)備的功能及相關(guān)性能參數(shù)，是完全不夠的，我們的任務(wù)是將這些設(shè)備搭建起來組成網(wǎng)絡(luò)，組成一個(gè)安全的網(wǎng)絡(luò)，組成一個(gè)高效率的網(wǎng)絡(luò)，這才是我們做網(wǎng)絡(luò)管理員或者網(wǎng)絡(luò)工程師的基本工作，也是我們的工作目標(biāo)。怎樣組織好這些設(shè)備呢？這就需要更多的組網(wǎng)實(shí)踐活動(dòng)才行，實(shí)際環(huán)境中網(wǎng)絡(luò)方案的設(shè)計(jì)、網(wǎng)絡(luò)安全的加固可以說千變?nèi)f化，各種不同的實(shí)際情況，讓我們拿著相同的設(shè)備可以組成具有完全不同功能的網(wǎng)絡(luò)，當(dāng)然也可能會(huì)出現(xiàn)各種不同的問題，對(duì)各種問題更應(yīng)該具有舉一反三的解決問題的能力。

網(wǎng)絡(luò)安全加固方案設(shè)計(jì)通常分為五個(gè)方面，這五個(gè)方面是：方案背景、需求分析、方案設(shè)計(jì)、產(chǎn)品介紹、方案建設(shè)預(yù)算等。這里先對(duì)這五個(gè)方面做一個(gè)解釋。

1) 方案背景：方案背景一般是描述本方案是在什么情況下提出的，得到哪些方面的支持和認(rèn)可，預(yù)計(jì)方案實(shí)施后產(chǎn)生的效果如何等。

2) 需求分析：這個(gè)方面是整個(gè)方案的基礎(chǔ)，方案一般是以需求分析為基礎(chǔ)進(jìn)行設(shè)計(jì)的。它一般又分為兩部分，第一部分是描述當(dāng)前網(wǎng)絡(luò)及網(wǎng)絡(luò)安全的現(xiàn)狀，當(dāng)然這部分里面講的是網(wǎng)絡(luò)的實(shí)際情況，同時(shí)要指出其中存在的問題，以及帶來的危害等。第二部分是根據(jù)網(wǎng)絡(luò)及網(wǎng)絡(luò)安全的現(xiàn)狀提出要達(dá)到的安全目標(biāo)，把目標(biāo)一個(gè)一個(gè)列出來，仔細(xì)分析，說明能夠解決當(dāng)前網(wǎng)絡(luò)中存在的哪些問題，這就是需求分析。

3) 方案設(shè)計(jì)：這部分是整個(gè)方案的關(guān)鍵部分，它主要是根據(jù)需求分析的結(jié)果提出設(shè)計(jì)的，設(shè)計(jì)時(shí)要滿足需求分析所列出的目標(biāo)，做好網(wǎng)絡(luò)拓?fù)洹⒃O(shè)備配置、設(shè)備部署以及各項(xiàng)設(shè)置的設(shè)計(jì)方案。

4) 產(chǎn)品介紹：這部分是對(duì)方案設(shè)計(jì)中涉及的一些產(chǎn)品做一個(gè)參數(shù)性能和產(chǎn)品功能上的說明，主要目的是向方案閱讀者和建設(shè)方說明該產(chǎn)品符合方案的需求。

5) 方案的預(yù)算報(bào)價(jià)：對(duì)這個(gè)方案所采購的設(shè)備、軟件、以及人力成本做一個(gè)大體的概算。

這就是一般網(wǎng)絡(luò)安全方案所具有的內(nèi)容。這部分也很重要。一個(gè)好的解決方案不僅要完全滿足醫(yī)院的需求，更要考慮到醫(yī)院所能承受的成本支出。否則，即使方案設(shè)計(jì)的再全面，由于成本過高，也可能被領(lǐng)導(dǎo)認(rèn)為是不可接受的方案。

以本單位網(wǎng)絡(luò)安全項(xiàng)目為例，看方案背景，也叫項(xiàng)目背景。

1. 方案背景

某醫(yī)院是市屬規(guī)模最大的綜合性三級(jí)甲等醫(yī)院，該單位將門診，住院，檢驗(yàn)等許多工作都轉(zhuǎn)變?yōu)闊o紙化辦公， 由于初期網(wǎng)絡(luò)設(shè)計(jì)部署上的缺陷，院內(nèi)局域網(wǎng)在建成后經(jīng)常出現(xiàn)網(wǎng)絡(luò)擁堵、網(wǎng)速特別慢的情況，同時(shí)有些個(gè)別機(jī)器上的殺毒軟件頻頻出現(xiàn)病毒報(bào)警，網(wǎng)絡(luò)經(jīng)常癱瘓，每次時(shí)間都持續(xù)幾十分鐘，網(wǎng)管簡直成了救火隊(duì)員，忙著清除病毒，重裝系統(tǒng)。病人正常就診流程，由于網(wǎng)絡(luò)出現(xiàn)問題，也會(huì)被延誤。對(duì)外WEB網(wǎng)站同樣也遭到黑客攻擊，不僅影響到網(wǎng)站的正常運(yùn)行，而且還對(duì)醫(yī)院形象也造成不良影響。

為了讓單位網(wǎng)絡(luò)正常運(yùn)行，根據(jù)我國《信息安全等級(jí)保護(hù)管理辦法》的信息安全要求，院領(lǐng)導(dǎo)決定對(duì)該網(wǎng)絡(luò)加強(qiáng)安全防護(hù)，解決目前網(wǎng)絡(luò)出現(xiàn)的安全問題，以保證醫(yī)院的正常運(yùn)行。

這就是方案的背景。

2. 需求分析

2.1 網(wǎng)絡(luò)現(xiàn)狀

目前該單位網(wǎng)絡(luò)分為兩個(gè)部分,一部分為網(wǎng)站部分,另一部分為內(nèi)網(wǎng)部分；有兩個(gè)出口（一個(gè)internet電信出口，一個(gè)為通往市衛(wèi)生局信息中心的出口），internet出口有一臺(tái)網(wǎng)御Power V-203防火墻，網(wǎng)絡(luò)設(shè)備有路由器(華為Quidway AR28-40)2臺(tái)，核心交換機(jī)(華為Quidway S3528F-EA)1臺(tái)，接入交換機(jī)(華為 Quidway S2403TPMI)10臺(tái)，WEB服務(wù)器(浪潮 )1臺(tái)，應(yīng)用服務(wù)器（浪潮）1臺(tái)，數(shù)據(jù)庫服務(wù)器（浪潮）1臺(tái)； 126個(gè)PC工作站。

2.2 安全現(xiàn)狀分析

（1）整個(gè)網(wǎng)絡(luò)有兩個(gè)出口，這兩個(gè)出口,Interne出口有防火墻進(jìn)行防護(hù)，不過防火墻是一種幾年前推出的網(wǎng)御Power V-203防火墻，而且自從安裝后就沒有在做策略上的設(shè)置，形同虛設(shè)；市衛(wèi)生信息網(wǎng)出口沒有加任何安全防護(hù)措施，直接接入；內(nèi)網(wǎng)可以說是基本直接暴露在外網(wǎng)中，同時(shí)連帶著造成整個(gè)衛(wèi)生信息網(wǎng)直接接入到了Internet中，這樣的網(wǎng)絡(luò)可以說存在著眾多安全隱患，沒有安全可言，這也意味著該網(wǎng)絡(luò)很容易被外網(wǎng)中的不發(fā)黑客攻擊得手，造成內(nèi)網(wǎng)或者外網(wǎng)網(wǎng)站被黑導(dǎo)致癱瘓，也會(huì)很輕易感染病毒，最終造成網(wǎng)絡(luò)中數(shù)據(jù)泄密或丟失。

（2）內(nèi)網(wǎng)中只安裝了一些單機(jī)版的殺毒軟件，有些機(jī)器根本沒有殺毒軟件。這就是為什么一有病毒感染網(wǎng)絡(luò)中很多機(jī)器就癱瘓的原因。

（3）內(nèi)網(wǎng)接入時(shí)，沒有做任何身份驗(yàn)證，只要有條線就可以直接接入內(nèi)網(wǎng)，很容易造成內(nèi)部信息的泄露，同時(shí)也增加了網(wǎng)絡(luò)感染病毒的幾率。

（4）外網(wǎng)網(wǎng)站直接接入外網(wǎng)，沒有做任何的安全防護(hù)，容易被攻擊和癱瘓。

（5）沒有入侵檢測設(shè)備，無法檢測到一些試圖或者成功的入侵行為，對(duì)于入侵無法做到早期預(yù)警。

（6）無論服務(wù)器還是PC終端都沒有做系統(tǒng)加固處理，存在眾多的安全漏洞，也沒有對(duì)系統(tǒng)打補(bǔ)丁。

2.3 安全需求

該單位網(wǎng)絡(luò)一旦出現(xiàn)網(wǎng)絡(luò)數(shù)據(jù)或網(wǎng)站遭到破壞和篡改，公共利益、醫(yī)院業(yè)務(wù)和形象均會(huì)產(chǎn)生不同程度的不良影響，重要的信息一旦丟失更是后果嚴(yán)重，根據(jù)該醫(yī)院性質(zhì)業(yè)務(wù)內(nèi)容，以及《信息安全等級(jí)保護(hù)管理辦法》的要求，網(wǎng)絡(luò)及網(wǎng)站安全應(yīng)達(dá)到如下要求：

1)采取必要措施，解決Internet網(wǎng)絡(luò)出口安全，減少網(wǎng)絡(luò)遭受非法攻擊，保證工作日正常運(yùn)行，網(wǎng)站24小時(shí)正常運(yùn)行，不間斷的向公眾開放，提供合法和有益的信息資源。

2)采取措施解決與市衛(wèi)生局信息中心連接出口的安全問題，解決全市政府網(wǎng)絡(luò)中的不法用戶攻擊和病毒交叉感染問題。

3)在用戶接入網(wǎng)絡(luò)時(shí)保證用戶的合法性，不被非法和惡意攻擊、拷貝和篡改，保證網(wǎng)絡(luò)內(nèi)各計(jì)算機(jī)內(nèi)信息資料的安全。

4)對(duì)于外部入侵能夠及時(shí)告警，對(duì)任何企圖入侵或成功入侵行為要進(jìn)行日志記錄，能夠做到前期預(yù)防后期審查。

5)攔截外網(wǎng)木馬病毒侵襲，提高病毒查殺效率，減少因木馬病毒感染帶來的影響。

6)增強(qiáng)內(nèi)網(wǎng)防毒和殺毒能力。

7)內(nèi)部服務(wù)器和PC終端要定期進(jìn)行必要的系統(tǒng)加固，減少或杜絕計(jì)算機(jī)系統(tǒng)自身的漏洞。

8)所有科室劃分VLAN。

2.4 解決方案設(shè)計(jì)

根據(jù)需求分析的網(wǎng)絡(luò)和網(wǎng)站安全加固要求，實(shí)施以下安全配置方案：

1)將Internet外網(wǎng)和政府網(wǎng)同時(shí)接入到一臺(tái)外網(wǎng)防火墻（重新購置新型防火墻）上，防火墻位置位于兩臺(tái)華為路由器Quidway AR28-40和核心交換機(jī)(華為Quidway S3528F-EA)之間，防火墻可以使用網(wǎng)神SecGate3600防火墻，起到阻隔來自Internet外網(wǎng)的黑客和木馬攻擊。

2)在防火墻和核心交換機(jī)之間加裝一臺(tái)網(wǎng)神SecAV3600系列防毒墻，起到阻止來之Internet和政府信息網(wǎng)中病毒的入侵，盡可能的阻病毒與網(wǎng)絡(luò)之外，減輕內(nèi)網(wǎng)防病毒壓力，起到事半功倍的效果。

3)配置一臺(tái)LinkTrust IDS200入侵檢測設(shè)備(IDS)，鏡像防火墻內(nèi)網(wǎng)端口和DMZ端口數(shù)據(jù)到連接IDS端口，同時(shí)對(duì)穿透防火墻進(jìn)入內(nèi)網(wǎng)和網(wǎng)站的不法接入信息進(jìn)行檢測。

4)部署網(wǎng)絡(luò)版的殺毒軟件，這里可以部署諾頓或者是瑞星網(wǎng)絡(luò)版殺毒軟件。

5)網(wǎng)站因?qū)ν馓峁┓?wù)的特性，將其放置在DMZ區(qū)域，起到堡壘主機(jī)的作用，同時(shí)為防止網(wǎng)站W(wǎng)EB網(wǎng)頁被黑或被篡改，部署一套網(wǎng)頁防篡改軟件（InforGuard企業(yè)版），對(duì)網(wǎng)站實(shí)時(shí)保護(hù)。

6)對(duì)整個(gè)網(wǎng)絡(luò)主機(jī)一一進(jìn)行加固，關(guān)閉不必要的服務(wù)，減少漏洞。

7)將每臺(tái)主機(jī)MAC和IP地址進(jìn)行綁定，杜絕外部電腦的隨意接入，減少數(shù)據(jù)外泄和被篡改的風(fēng)險(xiǎn)。

8)將重要處室如審批大廳實(shí)施VLAN劃分。

產(chǎn)品介紹與方案預(yù)算報(bào)價(jià)以實(shí)際情況為準(zhǔn)，此處不過多探討。

以上便構(gòu)成了一個(gè)完整的網(wǎng)絡(luò)加固方案，雖然是針對(duì)醫(yī)院設(shè)計(jì)，但是也同樣可以套用在其他單位網(wǎng)絡(luò)安全方案中。

[1]黃平,肖揚(yáng). 醫(yī)院信息系統(tǒng)數(shù)據(jù)安全威脅與防范機(jī)制.醫(yī)療衛(wèi)生裝備, 2012年 01期

[2]章勝南. 醫(yī)院計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)的安全與維護(hù)[J]. 中國醫(yī)療設(shè)備，2008，23（5）：40-41

[3]于坤. 虛擬局域網(wǎng)的定義和技術(shù)基礎(chǔ)[J]. 科學(xué)咨詢(決策管理)，2010，14（5）：57-59