论文部分内容阅读
伴随着医院信息系统的快速发展，网络信息安全及病人信息安全等问题日益突出。病毒泛滥、系统漏洞、黑客攻击等诸多问题，已经直接影响到医院网络的正常运行及病人信息安全。如何应对网络安全威胁、确保网络安全，提供可靠的网络保障，是每个医院不得不关注的问题。
医院信息系统平台的业务依赖一个高效和安全稳定运行的信息化网络系统，对于医院平台办公网络，客户端病毒库更新、系统及时分发补丁、集中统一用户安全策略，保证用户终端的安全、阻止威胁入侵网络，是保证医院HIS 电子病历 PACS等系统安全运行的前提，因此需要对用户接入网络惟一身份进行合法性认证，对用户的网络访问行为进行有效地控制及实时监控，避免对医院业务及病人信息造成不可估量的损失。
三分技术 七分管理
网络安全问题的解决，三分靠技术，七分靠管理，严格管理是医疗机构及用户免受网络安全问题威胁的重要措施。事实上，多数医疗机构都缺乏有效的制度和手段管理网络安全。网络用户不及时升级系统补丁、病毒库的现象普遍存在；随意接入网络、私设代理服务器、私自访问保密资源等行为在医疗网中也比比皆是。管理的欠缺不仅会直接影响用户网络的正常运行，还可能使医院蒙受巨大的损失。
目前，多数网络安全事件都是由脆弱的用户终端和“失控”的网络使用行为引起的。“失控”的用户终端一旦接入网络，就等于给潜在的安全威胁敞开了大门，使安全威胁在更大范围内快速扩散。保证用户终端的安全、阻止威胁入侵网络，对用户的网络访问行为进行有效的控制，是保证医院网络安全运行的前提，也是目前医院网络安全管理急需解决的问题。
传统的网络安全产品对于网络安全问题的解决，通常是被动防御、事后补救。为了解决现有网络安全管理中存在的不足，应对网络安全威胁，我们认真比较，采用终端准入技术。终端准入技术是从用户终端准入控制入手，整合网络接入控制与终端安全产品，通过安全客户端、安全策略服务器、网络设备以及第三方软件的联动，对接入网络的用户终端强制实施安全策略，严格控制终端用户的网络使用行为，以加强用户终端的主动防御能力，大幅度提高网络安全。
分析现状 理清思路
终端准入系统要求在用户接入网络前，强制检查用户终端的安全状况，并根据对用户终端安全状态的检查结果，强制实施用户接入控制策略，对不符合医院安全标准的用户进行“隔离”，并强制用户进行病毒库升级、系统补丁安装等操作；在保证用户终端具备自防御能力并安全接入的前提下，合理控制用户的网络行为，提升整网的安全防御能力。终端准入系统的部署实施可以帮助系统网络平台更好地执行医院的各种安全策略，并且在防范内部病毒的网络传播、防止外部人员的非法接入、内部人员的越权访问等方面为医院建立起主动自我防御、自我安全加固的自免疫安全系统，从而提高信息系统网络平台的整体安全水平。
终端准入系统技术实现思路是通过将网络接入控制和用户终端安全策略控制相结合，以用户终端对安全策略的符合度为条件，控制用户访问网络的接入权限，从而降低病毒、非法访问等安全威胁对医院网络带来的危害。为达到以上目的，我们建议包括检查——隔离——修复——监控的整体解决思路。
为了有效实现用户终端安全准入控制，需要实现终端安全信息采集点、终端安全信息决策点和终端安全信息执行点的分离，同时还需要提供有效的技术手段，对用户终端存在的安全问题进行修复，使之符合医院终端安全策略，顺利接入网络进行工作。
结合需求 对症下药
医院信息网络的终端工作站，是医院信息网络的重要组成部分，其分布区域较多，而且面广，往往不易于管理。很多时候就是由于终端工作站的小问题，造成整个信息网络的大问题，并且还会影响到医患关系，产生医疗纠纷。
在医院多年的大规模信息网络应用中，我们发现桌面终端的主要问题有：擅自拆换硬件设备、擅自安装外接存储设备以及擅自进行网络共享等等。这些行为给医院信息系统带来的隐患是巨大的。以擅自安装外接存储设备为例，这一行为主要表现为连接USB移动存储设备，进行计算机私用，由于私人USB移动存储设备往往带有病毒，这就会大大增加医院信息系统的安全风险。再加上少数医务人员使用私人终端，并利用网络共享，相互传播这些内容，就更加加剧了风险性，这些对于医院的信息系统的安全是大大不利的。
针对以上问题，在实际工作中，我们采取了一系列的解决办法。在数据中心部署终端准入系统，首先实现安全准入，即在终端工作站部署控制点，支持用户ID与IP地址及MAC地址的绑定，用户登录时只有信息核对通过后才能接入局域网。对不同部门或具有不同管理权限的用户指定不同的控制策略，分配到特定的用户组，可以针对普通用户、访客用户、VIP用户分别提供不同的安全控制力度，并明确其可访问的网络资源。其次，通过定制化的智能管理平台、用户行为审计系统、网络流量分析系统三部分，不仅实现对网络设备的统一管理，更实现对用户上网行为的审计以及对异常流量的实时分析。在具体的管理过程中，实现基于用户的行为审计和流量分析，实时监测并记录用户的访问目标和访问流量，更通过与网络设备的联通，对非安全终端、非法行为进行强制管理，有效防止病毒传播和带宽滥用。同时，实现对原有网络设备及各病毒、补丁等系统的联动和融合。
另外，当终端工作站试图接入网络时，首先通过安全客户端上传用户信息至安全策略服务器进行用户身份认证，非法用户将被拒绝接入网络。合法用户将被要求进行安全状态认证，由安全策略服务器验证补丁版本、病毒库版本等信息是否合格，不合格用户将被安全联动设备放到隔离区。终端工作站的安全状态是指操作系统补丁、第三方软件版本、病毒库版本、是否感染病毒等反映终端防御能力的状态信息。通过对终端安全状态进行评估，使得只有符合医院安全标准的终端才能正常访问网络。进入隔离区的用户可以根据医院网络安全策略，通过第三方服务器进行安装系统补丁、升级病毒库、检查终端系统信息等操作，直到接入终端符合医院网络安全策略。 安全状态合格的用户将实施由安全策略服务器下发的安全设置，并由安全联动设备提供基于身份的网络服务。终端在通过病毒、补丁等安全信息检查后，可基于终端用户的角色，向安全客户端下发系统配置的安全策略，按照用户角色权限规范用户的网络使用行为。终端的ACL访问策略、QoS策略、是否禁止使用代理、是否禁止使用双网卡等安全措施设置均可由管理员统一管理，并实时应用实施。
在医院网络终端安全准入系统项目中，根据医院当前的需求和未来的发展，考虑全局，我们坚持长远发展规划，建设成一个起点高、安全可靠、易于扩充和升级、便于管理和使用的系统。医院终端安全准入系统具有如下特点：
严格的身份认证。除可采用用户名和密码的身份认证外，安全准入还支持身份与接入终端的MAC地址、IP地址等信息进行绑定，支持智能卡、数字证书认证，增强身份认证的安全性。
完备的安全状态评估。根据管理员配置的安全策略，安全准入客户端能够对终端进行包括病毒库版本、补丁、安装的应用软件、代理、拨号配置等安全认证检查；同时，此终端准入系统还支持和微软SMS/WSUS系统的配合使用，可以和瑞星、江民、金山、Symantec、McAfee、趋势科技、卡巴斯基等国内外主流防病毒厂商联动。
基于角色的网络授权。安全准入可基于终端用户的角色，向安全联动设备下发事先配置的接入控制策略，按照角色权限规范用户的网络使用行为。
用户与网络融合管理。终端准入方案将用户管理和网络管理进行了智能融合，通过网络拓扑不仅能够了解到网络设备信息和状态，还可以实现对接入用户的直观管理，实时查看用户信息、强制用户下线、执行安全检查等操作。
灵活的安全策略模式。针对不同身份的用户，定制不同的安全检查和处理模式，包括VIP模式、访客模式、隔离模式和下线模式。
桌面资产管理。通过终端准入客户端提供了对网络终端资产全方位的监控和管理功能，可以对网络终端软硬件使用情况、变更情况进行监控，同时还支持网络终端资产的配置管理和软件的统一分发，实现对资产的有效管理。
数字化医院网络安全是一个系统工程，安全管理已成为人们关注的热点。高度重视数字化医院信息安全问题，把医院信息系统的安全管理工作作为一项艰巨且长期的工作，就要求网络管理人员结合医院的实际情况，全方位、多角度地考察网络安全漏洞和弱点，遵循整体安全性原则，制定出合理的网络安全体系结构，落实好一系列安全管理措施，才能真正做到整个系统的安全，才能保证庞大的数字化医院体系安全、健康、稳定、高效地运行。
医院信息系统平台的业务依赖一个高效和安全稳定运行的信息化网络系统，对于医院平台办公网络，客户端病毒库更新、系统及时分发补丁、集中统一用户安全策略，保证用户终端的安全、阻止威胁入侵网络，是保证医院HIS 电子病历 PACS等系统安全运行的前提，因此需要对用户接入网络惟一身份进行合法性认证，对用户的网络访问行为进行有效地控制及实时监控，避免对医院业务及病人信息造成不可估量的损失。
三分技术 七分管理
网络安全问题的解决，三分靠技术，七分靠管理，严格管理是医疗机构及用户免受网络安全问题威胁的重要措施。事实上，多数医疗机构都缺乏有效的制度和手段管理网络安全。网络用户不及时升级系统补丁、病毒库的现象普遍存在；随意接入网络、私设代理服务器、私自访问保密资源等行为在医疗网中也比比皆是。管理的欠缺不仅会直接影响用户网络的正常运行，还可能使医院蒙受巨大的损失。
目前，多数网络安全事件都是由脆弱的用户终端和“失控”的网络使用行为引起的。“失控”的用户终端一旦接入网络，就等于给潜在的安全威胁敞开了大门，使安全威胁在更大范围内快速扩散。保证用户终端的安全、阻止威胁入侵网络，对用户的网络访问行为进行有效的控制，是保证医院网络安全运行的前提，也是目前医院网络安全管理急需解决的问题。
传统的网络安全产品对于网络安全问题的解决，通常是被动防御、事后补救。为了解决现有网络安全管理中存在的不足，应对网络安全威胁，我们认真比较，采用终端准入技术。终端准入技术是从用户终端准入控制入手，整合网络接入控制与终端安全产品，通过安全客户端、安全策略服务器、网络设备以及第三方软件的联动，对接入网络的用户终端强制实施安全策略，严格控制终端用户的网络使用行为，以加强用户终端的主动防御能力，大幅度提高网络安全。
分析现状 理清思路
终端准入系统要求在用户接入网络前，强制检查用户终端的安全状况，并根据对用户终端安全状态的检查结果，强制实施用户接入控制策略，对不符合医院安全标准的用户进行“隔离”，并强制用户进行病毒库升级、系统补丁安装等操作；在保证用户终端具备自防御能力并安全接入的前提下，合理控制用户的网络行为，提升整网的安全防御能力。终端准入系统的部署实施可以帮助系统网络平台更好地执行医院的各种安全策略，并且在防范内部病毒的网络传播、防止外部人员的非法接入、内部人员的越权访问等方面为医院建立起主动自我防御、自我安全加固的自免疫安全系统，从而提高信息系统网络平台的整体安全水平。
终端准入系统技术实现思路是通过将网络接入控制和用户终端安全策略控制相结合，以用户终端对安全策略的符合度为条件，控制用户访问网络的接入权限，从而降低病毒、非法访问等安全威胁对医院网络带来的危害。为达到以上目的，我们建议包括检查——隔离——修复——监控的整体解决思路。
为了有效实现用户终端安全准入控制，需要实现终端安全信息采集点、终端安全信息决策点和终端安全信息执行点的分离，同时还需要提供有效的技术手段，对用户终端存在的安全问题进行修复，使之符合医院终端安全策略，顺利接入网络进行工作。
结合需求 对症下药
医院信息网络的终端工作站，是医院信息网络的重要组成部分，其分布区域较多，而且面广，往往不易于管理。很多时候就是由于终端工作站的小问题，造成整个信息网络的大问题，并且还会影响到医患关系，产生医疗纠纷。
在医院多年的大规模信息网络应用中，我们发现桌面终端的主要问题有：擅自拆换硬件设备、擅自安装外接存储设备以及擅自进行网络共享等等。这些行为给医院信息系统带来的隐患是巨大的。以擅自安装外接存储设备为例，这一行为主要表现为连接USB移动存储设备，进行计算机私用，由于私人USB移动存储设备往往带有病毒，这就会大大增加医院信息系统的安全风险。再加上少数医务人员使用私人终端，并利用网络共享，相互传播这些内容，就更加加剧了风险性，这些对于医院的信息系统的安全是大大不利的。
针对以上问题，在实际工作中，我们采取了一系列的解决办法。在数据中心部署终端准入系统，首先实现安全准入，即在终端工作站部署控制点，支持用户ID与IP地址及MAC地址的绑定，用户登录时只有信息核对通过后才能接入局域网。对不同部门或具有不同管理权限的用户指定不同的控制策略，分配到特定的用户组，可以针对普通用户、访客用户、VIP用户分别提供不同的安全控制力度，并明确其可访问的网络资源。其次，通过定制化的智能管理平台、用户行为审计系统、网络流量分析系统三部分，不仅实现对网络设备的统一管理，更实现对用户上网行为的审计以及对异常流量的实时分析。在具体的管理过程中，实现基于用户的行为审计和流量分析，实时监测并记录用户的访问目标和访问流量，更通过与网络设备的联通，对非安全终端、非法行为进行强制管理，有效防止病毒传播和带宽滥用。同时，实现对原有网络设备及各病毒、补丁等系统的联动和融合。
另外，当终端工作站试图接入网络时，首先通过安全客户端上传用户信息至安全策略服务器进行用户身份认证，非法用户将被拒绝接入网络。合法用户将被要求进行安全状态认证，由安全策略服务器验证补丁版本、病毒库版本等信息是否合格，不合格用户将被安全联动设备放到隔离区。终端工作站的安全状态是指操作系统补丁、第三方软件版本、病毒库版本、是否感染病毒等反映终端防御能力的状态信息。通过对终端安全状态进行评估，使得只有符合医院安全标准的终端才能正常访问网络。进入隔离区的用户可以根据医院网络安全策略，通过第三方服务器进行安装系统补丁、升级病毒库、检查终端系统信息等操作，直到接入终端符合医院网络安全策略。 安全状态合格的用户将实施由安全策略服务器下发的安全设置，并由安全联动设备提供基于身份的网络服务。终端在通过病毒、补丁等安全信息检查后，可基于终端用户的角色，向安全客户端下发系统配置的安全策略，按照用户角色权限规范用户的网络使用行为。终端的ACL访问策略、QoS策略、是否禁止使用代理、是否禁止使用双网卡等安全措施设置均可由管理员统一管理，并实时应用实施。
在医院网络终端安全准入系统项目中，根据医院当前的需求和未来的发展，考虑全局，我们坚持长远发展规划，建设成一个起点高、安全可靠、易于扩充和升级、便于管理和使用的系统。医院终端安全准入系统具有如下特点：
严格的身份认证。除可采用用户名和密码的身份认证外，安全准入还支持身份与接入终端的MAC地址、IP地址等信息进行绑定，支持智能卡、数字证书认证，增强身份认证的安全性。
完备的安全状态评估。根据管理员配置的安全策略，安全准入客户端能够对终端进行包括病毒库版本、补丁、安装的应用软件、代理、拨号配置等安全认证检查；同时，此终端准入系统还支持和微软SMS/WSUS系统的配合使用，可以和瑞星、江民、金山、Symantec、McAfee、趋势科技、卡巴斯基等国内外主流防病毒厂商联动。
基于角色的网络授权。安全准入可基于终端用户的角色，向安全联动设备下发事先配置的接入控制策略，按照角色权限规范用户的网络使用行为。
用户与网络融合管理。终端准入方案将用户管理和网络管理进行了智能融合，通过网络拓扑不仅能够了解到网络设备信息和状态，还可以实现对接入用户的直观管理，实时查看用户信息、强制用户下线、执行安全检查等操作。
灵活的安全策略模式。针对不同身份的用户，定制不同的安全检查和处理模式，包括VIP模式、访客模式、隔离模式和下线模式。
桌面资产管理。通过终端准入客户端提供了对网络终端资产全方位的监控和管理功能，可以对网络终端软硬件使用情况、变更情况进行监控，同时还支持网络终端资产的配置管理和软件的统一分发，实现对资产的有效管理。
数字化医院网络安全是一个系统工程，安全管理已成为人们关注的热点。高度重视数字化医院信息安全问题，把医院信息系统的安全管理工作作为一项艰巨且长期的工作，就要求网络管理人员结合医院的实际情况，全方位、多角度地考察网络安全漏洞和弱点，遵循整体安全性原则，制定出合理的网络安全体系结构，落实好一系列安全管理措施，才能真正做到整个系统的安全，才能保证庞大的数字化医院体系安全、健康、稳定、高效地运行。