摘要：随着互联网技术在医疗领域的发展,各医院在围绕电子病历建立的云、大、物、智、移的各种应用也在逐步落地的同时,《网络安全法》《信息安全技术网络安全等级保护基本要求》相关规定也相继出台,网络安全也由一种执行义务转变为法律责任。围绕医疗环境下对无线网络的安全要点进行分析,并结合实际情况提出规划建设方案,此方案仅限于医疗内网使用,不含外联互联网方案。
关键词：无线局域网; 安全; 网络规划; 医疗;
1 医疗无线网络应用现状分析
在现代的三甲医院信息化建设中,国家对电子病历等级提出了明确的评级指标,二级以上医院要全部按时参加分级评价工作,鼓励其他各级各类医疗机构积极参与[1]。同时要求三级医院在全院重点区域应覆盖无线局域网,部分医疗设备接入院内局域网,有配套的安全运维管理制度[2]。围绕移动医疗,我院应用的场景有:移动护理(PDA)、移动医疗、移动床旁心电以及移动护理单元(移动护理工作站)。其中移动护理与移动医疗、移动床旁心电均使用安卓为底层操作系统的设备,移动护理单元使用windows操作系统。应用层为各HIS厂商为医院定制开发的APP,安装于设备操作系统上。同时根据国家电子病历平台技术规范要求:无线终端结余要求:采用高速无线网络连接,并且具备良好的技术后向兼容;需要避免和医疗设备形成干扰;需要具有良好的信号覆盖性能;需具有安全的无线网络接入;需支持简单方便集中的管理方式;需支持市电和POE供电两种模式[2]。
以上设备不允许访问任何未经授权网络,同时根据等保要求,应采取必要的安全技术,包括访问控制、认证、加密、数据完整性以及不可否认性等[3]。因为现在医院内无线网部署工程大部分为改造,所以还要同时考虑改造后线路的安全性、美观性满足消防以及布线需求,同时AP全部为PoE供电,AP的安装需要考虑一般人员无法轻易接近,同时易于后期维护人员检查。
2 医疗无线网络安全设计方案
在无线网络建设中,按照先规划逻辑网络,在规划物理网络,最后实施的步奏。医院无线网络整体规划原则为:满足安全生产需求原则;满足实际功能需求原则;可拓展性与经济性原则。我院在建设当中按照接入、汇聚、核心的三级网络规划,并将有线网络、无线网络在汇聚层进行隔离,并规划服务器区域设立单独的服务器业务地址、管理地址。(见上图)
2.1 无线网逻辑规划中的安全要点
在无线网络规划设计中核心要点就是vlan的划分以及IP地址池的划分,根据物理位置情况根据楼宇位置规划汇聚点,VLAN根据楼层划分每层为一个独立vlan,在规划中我院选择将无线网关以及安全策略部署在汇聚层,同时划分互联网段即汇聚层与核心层互联地址,根据功能对网段进行划分管理地址段、设备地址段,便于安全策略的部署,并在汇聚层对路由条目进行汇聚的同时将访问控制策略部署至汇聚层,减少核心路由表条目释放核心交换机转发性能,我们在考虑汇聚与核心互联的二三层方案中,选择了OSPF(开放最短路径优先)路由协议,此路由协议具备配置部署简单、路由收敛时间短、可承载路由条目多、选路策略丰富等优势。
2.2 无线网物理规划中的安全要点
AP的安装我院在实施过程中首选吸顶式安装,线缆选择超6类非屏蔽双绞线保证线缆质量,在综合布线过程中尽可能避免与强电线缆平行部署并与强电桥架保持至少1.5米距离,在楼宇配线间的布线中,需要将有线无线的设备以及配线架明确区分并标注,还需要注意在项目中对于AP的备件数量应不低于总AP数量的10%。
2.3 安全策略详解
安全策略的配置我们医院在部署的时候遵循以下原则:最小权限原则,非允许禁止访问;梯次部署原则,从数据链路层至应用层,梯次部署安全策略;固定部署原则,策略部署好后尽可能地避免经常修改;减少瓶颈原则,不能因为策略的部署导致流量瓶颈。
AC无线控制器安全策略部署,AC作为无线网络核心管理器,通常在大型无线局域网中使用AP都为“瘦模式”,首先SSID设置隐藏,防止未授权用户搜索,并将密码设置为8位以上包含大、小写字母、特殊符号、数字中的三种以上,启动AP以及用户白名单模式,将AP和无线网设备MAC地址录入白名单,设置非白名单授权无法连接无线网,AC设备关闭PING功能,并且启动ARP以及DDoS攻击防御功能,需要注意如果AC带有ACL功能那可以在此处部署过滤非管理地址访问策略,仅准许部分网段访问AC管理地址。现在很多AC带有WEB认证功能,其自带WEB认证服务器或者可以跳转单独的WEB服务器进行认证,这里可以根据AC使用中的负载情况、用户量对认证服务器访问量来考量是否合适开启WEB认证,建议不开启此种认证方式,如果攻击者利用web漏洞比较容易入侵。无线汇聚交换机作为网络收敛设备,可以部署二三层安全策略其中最重要的便是ACL的部署。接入交换机主要为AP提供接口以及PoE供电,需要根据位置划分vlan,大多数接入交换机未满载会有空余接口,需要将空余接口在配置中设置为shutdown模式。
终端安全策略部署,常见终端分为两类,一类为windos操作系统,需要部署桌面杀毒软件并部署防卸载功能启动网络限制功能外联非指定无线网络将无法上网,并且进入BIOS界面开启boot启动项修改密码防止恶意重装系统。另一类终端为以安卓为操作系统,需要进入开发者模式中进行设置密码,限制用户随意修改操作系统配置,也可选配安装安卓操作系统的杀毒软件进行统一管理。终端作为风险入口,在部署策略的同时更需要加强人为管理。
3 无线网络安全管理建议
医院应该配备专门的工作人员对网络监控实时监管,加大工作人员的网络安全意识,并制定奖惩制度[4],同时形成规范的工作制度,做到检查留记录、修改留备份、实施留档案、排障留日志。
对于终端的管理,需要将所有使用无线网络的终端在信息科由网络管理员进行MAC与设备名称登记并加入AC白名单,统一安装软件并配置终端管理密码,定期升级终端软件、升级操作系统。对于汇聚交换机需要定期检查内存使用率,当有终端中毒或者攻击的时候因为部署了ACL攻击会消耗汇聚交换的内存,也可通过交换机WEB界面检查ACL命中条目中被丢弃数据包进行包分析,也可以发现异常访问情况。
对于AC的管理,AC作为无线网络的核心控制器,需要定期登录查看其生成的日志,并注意异常流量。
4 结语
5G时代的到来,带来的不仅仅是通信速度的提高和应用种类的增加,接入设备多样化使得传统的网络攻击也由利用应用、协议的攻击方式逐渐向利用设备的CPU、内存等硬件漏洞的攻击方式转变,这对用户来说不单要在项目规划部署实施阶段进行安全分析,在设备选型时就需要对设备本身的安全性进行分析。
参考文献
[1] 电子病历系统应用水平分级评价管理办法(试行)[S].
[2] 电子病历系统应用水平分级评价标准(试行)[S].
[3]陆慧菁.无线网络技术在医院的应用研究[J].数字技术与应用,2013(2):50.
[4]廖鹭飞.无线网络技术在医院信息化建设中的应用[J].微量元素与健康研究,2019,36(6):65-66.
