医院内网安全管理实践与研究

杨燕红，蒋阅峰，徐玲

1.济南军区总医院 信息科，山东 济南250031；2.山东大学 控制科学与工程学院，山东 济南 50014

医院内网安全管理实践与研究

杨燕红1，蒋阅峰2，徐玲1

1.济南军区总医院 信息科，山东 济南250031；2.山东大学 控制科学与工程学院，山东 济南 50014

目的 通过对网络软硬件设置加强网络管理，保障医院内网系统安全。方法 针对医院内网存在的安全风险，加强对内外网络接口管理及内网管理。对内网计算机布设防火墙、划分虚拟局域网并启用快速生成树、部署网络版杀毒软件等措施。结果 能够有效地管理网络及终端电脑资源，方便实现远程维护；防止了非法用户接入、病毒侵犯、运行阻滞和信息外泄等事件。结论 内网安全管理措施加强了网络管理的力度，能够有效地保障医院内部网络信息安全，同时也减轻了维护人员的工作负荷。

医院信息系统；医院内网；虚拟局域网；网络安全

0 前言

随着医院信息系统（HIS）、实验室信息系统（LIS）、医学影像存档与通信系统（PACS）、电子病历等系统的推广使用，医院的各项医疗活动对信息网络的依赖性不断增强，一旦出现网络瘫痪、客户端故障、数据丢失，都将影响医疗工作，造成不可预期的损失。因此，医院内部网络的安全性和稳定性对于医院的正常运营至关重要[1]。我院在用网络终端近1500台，数量多、分布广、管理难度大，据统计80%的安全问题是由网络内部引起的。另一方面，作为地方医疗保险的定点医疗机构之一，医院内网要与省市医保、新农合网络联接，要保证医院内部网络不受来自外网的各类攻击并达到保密性要求，必须做好网络和终端的安全管理，以保障信息安全[2-3]。

1 医院内网安全管理需求分析

网络安全是指网络系统的软、硬件资源及数据不因偶然或恶意的原因而受到破坏、更改、泄露，保证网络服务不中断，系统能够连续可靠地正常运行，使之具备保密性、完整性、可用性、可控性和可审查性。目前我院的内网安全管理需求主要有以下几个方面[4-7]。

1.1 内网风险

在局域网内由于蠕虫病毒、交换机端口故障、网卡故障或网线线序错误等原因都有可能带来广播风暴，导致数据帧或包被传输到本地网段上的每个节点，占用大量网络带宽，消耗网络中的计算机CPU资源，导致正常业务不能运行，甚至彻底瘫痪。因此，保障网络的连接能力和流通能力，是确保业务系统正常运行的基础。

1.2 内网终端风险

医院内网中计算机用户数量众多，存在着大量的危险因素，迫切需要加强管理。主要表现在：① 非法主机随意接入内网，未经授权使用内网资源用于非法用途甚至导致信息外泄，并且无法监控；② 光盘、U盘、移动硬盘等存储介质极易导致病毒感染，并在网内迅速传播，造成客户端、服务器数据丢失和程序破坏；③ 用户非法安装程序、拷贝无关数据，占用电脑资源，影响工作秩序，甚至随意修改、删除软件配置，造成系统不能使用。

1.3 内外网通信安全管理

外部和内部网络进行通信时，内部网络有可能会受到“陷门”、病毒、非法存取、拒绝服务、网络资源非法占用和非法控制等威胁。因此，外网与内网必须进行必要的隔离，对外网的服务请求加以过滤，只允许正常通信的数据包到达相应主机，防止网络结构导致信息外泄。同时还要限定连接外网的内网用户及访问权限。

1.4 计算机资产管理

随着医院信息化规模的不断扩大，计算机、网络设备的数量、型号、软硬件配置及分布位置难以进行及时有效的统计和管理，还有可能发生计算机或网络设备配件的丢失或替换， 造成资产流失。

1.5 网络技术人员维护需求

医院计算机终端数量多、分布广，一方面操作系统本身存在着安全漏洞，需要及时安装补丁程序；另一方面各客户端应用程序需要不定期升级，如果操作失误或程序缺陷，客户端难免出现各种各样的问题，需要及时到现场解决。这些使得网络技术人员面临大量、繁杂的维护工作。

2 内网安全管理实践

针对以上问题，我们分别采取以下措施，减少内网安全隐患，提高维护水平，保障了医院信息系统的稳定行与安全性。

2.1 局域网内划分VLAN并启用RSTP

目前，我院网络主干线由16根光缆组成，综合布线近万条，核心层、汇聚层、接入层交换机共130余台，主干支持万兆、桌面达到千兆速率。为防止广播风暴波及整个网络，增强局域网安全管理，对外科楼、内科楼、门诊楼、保健楼、西院区等楼宇，根据楼层布局，每两层或一层划分为1个虚拟局域网（VLAN），不同VLAN间通信可通过路由器完成转发（图1）。每个VLAN内的用户不能和其他VLAN内的用户直接通信，广播帧无法再传递到其他子网中，从而达到隔离广播风暴的目的[8-9]。

启用快速生成树协议可以在网络结构发生变化时快速地收敛网络。当网络产生环路后，可实现路径冗余，将环路网络修剪成无环路的树型网络，从而避免报文在环路网络中的增生和无限循环，抑制网络风暴。

2.2 部署内网安全及补丁分发管理系统

我院内网采用了北信源内网安全及补丁分发管理系统VRV EDP（Enterprise Desk Planning），能够完全解决网络安全管理工作中遇到的常见问题[10-12]。VRV EDP强化对网络计算机终端的控制，管理内容包括：补丁检测分发、终端安全策略、桌面风险审计、终端运行状态监控、资产管理以及终端行为审计等，形成一个实时的安全监控系统，并能够同其他网络安全设备或网络安全系统进行集成和报警联动。

2.2.1 软件环境

操作系统为Microsoft Windows Server 2003 R2，安装Microsoft SQL Server 2005数据库系统和Internet 服务管理器(IIS)。SQL Server数据库用于建立管理信息数据库列表项，IIS服务器提供Web服务，用于安装Web网页管理配置平台。数据库管理系统、区域管理器、Web管理平台安装在同一服务器上，作为监控服务器。区域管理器是系统数据处理中心，内置网络扫描器，接收注册程序提供的用户信息，与管理信息数据库通讯，将用户信息并行存入数据库，并接受来自控制台的命令操作，发送到客户端、扫描器执行。还可将设备最新状态信息同数据库中原有信息进行遍历搜索对比，根据管理规则在管理平台上报警。

2.2.2 主要功能

（1）终端注册管理。采用ARP阻断技术，拒绝未注册终端入网，包括终端接入交换机拓扑管理、IP和MAC绑定管理、禁止修改网关、禁用冗余网卡等。

（2）终端安全管理。配置统一防火墙，实现IE安全设置、注册表监控/保护、桌面密码权限管理等。

（3）终端桌面管理。可以控制终端软件安装，对外设及端口、进程运行、上网访问等进行点对点远程协助管理，实现网内消息通知，终端流量管理、系统自动关机、终端时间同步等。

（4）硬件资源、移动存储管理。设置硬件设备控制策略，对移动存储设备接入进行管理，如进行分组、标签认证、读写控制以及使用行为审计。

（5）补丁及文件分发管理。建立和分类补丁库，补丁自动下载并增量更新导入，对终端漏洞自动检测，定制策略分发。还可以对漏洞情况、补丁安装情况汇总统计。同时提供对普通文件分发及文件自动执行功能，以方便实现局域网内程序的更新分发及文件的拷贝等。

（6）IT资产管理。实现软、硬件资产管理，记录软、硬件设备信息及变更情况，对设备资源、设备信息进行统计。

（7）网络主机运维。对运行资源监控、流量异常监控、进程异常监控、客户端文件备份监控；对客户端流量统计、排名，运维异常监控情况查询统计。

（8）事件报表及报警处置。对终端信息数据统计、分类，以图形化信息、组态报表数据输出，实现对阻断报警、IP绑定变化、违规外联、设备变化、流量异常、探头卸载、病毒行为等报警数据的查询统计，并对报警结果进行处置，远程阻断不安全事件源。

2.3 计算机终端使用管理

内网机器不安装光驱，使用gpedit.msc或poledit对终端计算机注册表进行策略配置。包括系统控制面板、删除“运行”、“查找”命令，隐藏驱动器、网上邻居等，禁用注册表编辑工具等。

2.4 部署网络版杀毒软件

针对局域网络环境，安装适用于Windows各种版本的北信源网络服务器和客户端防杀病毒软件，有效防范病毒、木马、蠕虫对网络服务器、客户端文件系统侵袭。由服务器端、客户端、升级管理、杀毒监控等模块构成坚固的网络防病毒体系[13]，定期升级病毒库。

2.5 使用防火墙等技术进行内外网安全隔离

（1）布设2条专用光纤，分别与省、市医保服务器连接、通信。

（2）办理医保业务的客户端安装数据加密卡，确保只有指定的客户端才能与地方医保服务器进行业务数据交换。

（3）在省市医保网、新农合网（通过公共网络接入）与内网间分别架设2道防火墙，配置防火墙的WAN口，分配内网LAN口地址，通过设置NAT地址转换模式、路由表配置及包过滤规则，保证网络通信畅通，限定内网机器对外网的访问，并且防止外网对内网的主动接入、非法入侵，确保整个内网的安全。

3 结论

内网安全管理措施全面实施后，解决了威胁网络安全的潜在危害，整个内网环境干净、有序、顺畅，最大程度上保障了信息系统的稳定安全运行，提升了内网管理水平。

（1）进一步保证网络畅通。通过划分VLAN启用RSTP、流量管理、异常运维监控，极大地减少了网络拥堵事件，提高了网络利用率。

（2）有效杜绝了病毒感染、非法程序安装和软件配置的人为破坏。通过禁止移动存储设备的违规使用、阻断病毒和非法软件进入内网的途径、限制终端客户对软件配置的更改，规范了使用者的行为，保障了客户端良好健康的运行环境。

（3）防止信息泄密、非法使用，确保数据安全。非注册计算机一旦接入内网，立刻阻断，拒绝入网，保障医患信息安全。

（4）实现了外网与内网安全隔离。有效控制了外网对内网信息的访问、读写等操作，同时只允许专用内网终端访问特定外网地址，从而达到保密性要求。

（5）计算机硬件资产有效管理。对硬件资产自动发现识别，保证医院内网中的计算机数量和配置更加准确，实现网络硬件资产的电子化跟踪和管理。

（6）提高维护工作的质量和效率。通过向客户端分发软件和补丁、远程解决终端计算机的应用故障、监控和管理网络资源及运维信息，提高了内网管理工作精度，缩短了维护服务响应时间，减少了网络技术人员的工作量，提升了用户服务满意率。

数字化医院的建设离不开计算机网络的支持，医院内网的安全管理是一项长期、重要的系统工作，它不仅依靠技术手段的实施，还有赖于安全管理制度的建立与执行、工作人员的规范化操作、日常维护的持续性改进等。今后在实际工作中，还需要注重细节，借助不断发展的先进的运维平台和技术措施，全方位、多层次地进行综合管理与协调，为数字化医院信息系统提供安全保障。

[1] 尚高峰.医院系统信息安全建设思路及模式研究[J].计算机安全,2014(5):19-23.

[2] 冀鑫,沈岚.内网安全管理软件浅析[EB/OL].(2013-11-25) [2014-12-02].http://www.cnki.net/kcms/detail/11.3571. TN.20131125.1714.383.html.

[3] 赵山川,弓波,周林,等.“终端安全管理系统”在医院内网安全管理中的应用[J].中国卫生信息管理杂志,2010,7(3):72-73.

[4] 曾凡,欧东,黄昊,等.医院应用内网安全管理系统的实践[J].中国医学教育技术,2012,26(2):197-199.

[5] 路万里,巩蕾.内网安全管理系统在医院网络中的作用[J].中国医疗设备,2010,25(4):72-74.

[6] 赵锋,侯杨,张剑.军队医院内网安全管理系统的策略及应用[J].医疗装备,2013,26(9):17-19.

[7] 王伟伟,郭亮.医院内网安全管理系统的应用[J].中国卫生信息管理杂志,2010,7(3):74-76.

[8] 欧志文,宋俊.VLAN在医院局域网中的应用[J].现代医院, 2014,14(2):138-139.

[9] 赵新平,朱海岩.应用VLAN技术提升内网管理水平[J].洛阳师范学院学报,2014,33(8):80-82.

[10] 北信源公司.北信源内部网络安全防护技术方案—北信源内网安全管理系统[J].信息安全与通信保密,2010,(2):40-41.

[11] 郭凌菱,荣文英,常建国,等.医院网络安全解决方案——三重安全管理系统[J].医疗卫生装备,2012,33(9):45-46.

[12] 吴海翔.浅谈内部网络安全问题及对策[J].电子技术与软件工程,2014,(1):234.

更正声明

本刊2013年第28卷第11期“研究论著”栏目论文《斑点追踪成像结合腺苷负荷超声评价心机梗死患者心肌存活性》作者夏梦宁的单位应为：1. 南京医科大学附属南京儿童医院 超声科，2. 南京医科大学附属南京医院 超声医学科，特此更正。

本刊2015年4月刊第140页《二维码在医疗设备标识中的应用》一文，作者陆一滨的单位及科室应为：杭州市中医院设备科，特此更正。

Practice and Research of Intranet Security Management in the Hospital

YANG Yan-hong1, J IANG Yue-feng2, XU Ling1
1. Department of Information, General Hospital of Jinan Military Area Command, Jinan Shandong 250031, China; 2. School of Control Science and Engineering, Shandong University, Jinan Shandong 50014, China

Objective To enhance management of networks and terminals through hardware and software settings so as to guarantee security of the intranet system in the hospital. Methods Management of the interface between intranet and extranet as well as the intranet network was enhanced in view of the security risks in the intranet system in the hospital. And relevant measures were taken such as establishment of fi rewalls for computers in the intranet, division of VLAN (Virtual Local Area Networks) in local area networks and activation of RSTP (Rapid Spanning Tree Protocol), deployment of the antivirus software and so on. Results It could effectively manage the network and terminal resources, prevent illegal access, virus infection, interrupted operation and information leakage. Moreover, remote maintenance can also be implemented easily. Conclusion The intranet security management measures allowed for enhanced management of the network and effectively ensured information security of the intranet in the hospital. Meanwhile, the workload of maintenance personnel could also be alleviated greatly.

HIS; hospital network; virtual local area network; network security

TP393.08

A

10.3969/j.issn.1674-1633.2015.05.028

1674-1633(2015)05-0091-03

2014-12-02

2014-12-30

蒋阅峰，副教授。

通讯作者邮箱：jyfyyh@163.com