醫(yī)院無線網(wǎng)絡(luò)安全建設(shè)措施及應(yīng)用實踐

楊 眉 潘曉雷 彭仕機

(武警廣東醫(yī)院信息科 廣州 510507)

?

醫(yī)院無線網(wǎng)絡(luò)安全建設(shè)措施及應(yīng)用實踐

楊 眉 潘曉雷 彭仕機

(武警廣東醫(yī)院信息科 廣州 510507)

針對無線網(wǎng)絡(luò)在醫(yī)院使用中存在的安全風(fēng)險，提出醫(yī)院無線網(wǎng)絡(luò)安全建設(shè)措施，包括安全策略集中控制、接入點零配置、非法入侵檢測、病毒入侵防護、安全準入控制、無線認證與CA證書對接幾方面，通過實踐證明該安全建設(shè)措施的可操作性。

無線網(wǎng)絡(luò)；安全威脅；信息安全

1 引言

無線網(wǎng)絡(luò)的出現(xiàn)使人類的通信和感知擺脫了時間、地點和對象的束縛，極大地提高了人類的生活和工作質(zhì)量，加快了社會發(fā)展的進程。無線網(wǎng)絡(luò)(Wireless Local Area Networks,WLAN)使用無線電波發(fā)送信息，是計算機網(wǎng)絡(luò)與無線通信技術(shù)相結(jié)合的產(chǎn)物。與有線網(wǎng)絡(luò)相比，無線網(wǎng)絡(luò)最主要的優(yōu)勢在于不需要布設(shè)網(wǎng)線，具有布網(wǎng)便捷、移動靈活的特點。無線網(wǎng)絡(luò)通過無線電波在空中進行數(shù)據(jù)傳輸，在其信號覆蓋的區(qū)域，具有相同接受頻率的無線用戶可以獲取所傳遞的信息。無線網(wǎng)絡(luò)與有線網(wǎng)絡(luò)比較只是在傳輸方式上有區(qū)別，因此有線網(wǎng)絡(luò)存在的安全威脅和隱患在無線網(wǎng)絡(luò)一樣存在，攻擊者可以通過一定的技術(shù)手段對專用網(wǎng)絡(luò)進行非授權(quán)訪問、竊取和篡改網(wǎng)絡(luò)中的傳輸信息[1]。與有線網(wǎng)絡(luò)相比無線網(wǎng)絡(luò)還存在一些特有的安全威脅，如服務(wù)后抵賴，有效等效保密協(xié)議(Wired Equivalent Privacy, WEP)，加密破解，無線竊聽，假冒攻擊，介質(zhì)訪問控制(Media Access Control, MAC)地址欺騙等。因此，安全問題作為無線網(wǎng)絡(luò)實施所面臨的最大挑戰(zhàn)，一直是學(xué)術(shù)界的研究重點和熱點。為了消除網(wǎng)絡(luò)與用戶之間最后1米的距離，醫(yī)院陸續(xù)在急診科、病房、ICU、手術(shù)室等需要醫(yī)護人員移動工作的區(qū)域部署無線網(wǎng)絡(luò)，引入智能手機、平板電腦、掌上電腦等移動終端，使醫(yī)護人員能夠高效地獲取、共享和存儲醫(yī)療信息[2]，從而幫助醫(yī)護人員在患者身邊開展各種即時性的醫(yī)療救治工作。醫(yī)院信息系統(tǒng)對整體安全性要求高，因此在建設(shè)無線網(wǎng)絡(luò)應(yīng)用移動終端之前，無線網(wǎng)絡(luò)中的安全業(yè)務(wù)需要相應(yīng)的安全機制來保證，做好安全建設(shè)工作，從而保證醫(yī)療數(shù)據(jù)安全傳輸。

2 無線網(wǎng)絡(luò)安全建設(shè)措施

2.1 概述

網(wǎng)絡(luò)安全作為一個整體體系，不僅要關(guān)注安全標準，更要注重分層實施安全策略，將其從單一的物理層安全延伸到設(shè)備安全、用戶接入安全、網(wǎng)絡(luò)層安全、管理安全等多個層面上[3]。在分層、模塊化的設(shè)計理念下，無線網(wǎng)絡(luò)由智能控制層、無線接入層、無線安全策略管理平臺組成。依照無線網(wǎng)絡(luò)的特點，制定安全建設(shè)措施。

2.2 安全策略集中控制

建立智能無線交換網(wǎng)絡(luò)架構(gòu)，將所有的安全策略全部集中到無線控制器上統(tǒng)一發(fā)布和控制，包括用戶身份認證、入網(wǎng)行為控制、安全加密、病毒庫、無線入侵檢測、無線電射頻管理等。網(wǎng)絡(luò)管理員在無線控制器上配置安全策略，可以完成整網(wǎng)的安全策略配置，避免無線接入點被盜產(chǎn)生的安全信息外泄危機。

2.3 接入點零配置

在傳統(tǒng)的無線接入點組網(wǎng)中，非法用戶可能通過盜取無線接入點并讀取入網(wǎng)密碼等信息入侵網(wǎng)絡(luò)。無線控制器通過對智能無線接入點的控制，使得智能無線接入點在本地不保存任何數(shù)據(jù)，而是全部實時存儲在無線控制器上，因此智能無線接入點實現(xiàn)零配置，對于安全而言是非常有效的，杜絕了非法用戶在接入層盜取設(shè)備截獲信息的可能，同時也簡化了本地接入的工作量。

2.4 非法入侵檢測

無線訪問接入點(Access Point，AP)相當于有線網(wǎng)絡(luò)的集線器，是無線網(wǎng)絡(luò)的核心，相當于無線HUB。它是移動計算機用戶進入有線網(wǎng)、以太網(wǎng)的骨干接入點，可以方便簡潔地安裝在天花板或墻壁上，只有在無線AP可以覆蓋的區(qū)域內(nèi)進行適當?shù)脑O(shè)置，才能連接無線網(wǎng)絡(luò)[4]。無線網(wǎng)絡(luò)由于使用空中的無線電射頻信道工作，易于訪問和配置簡單，任何人都可以通過自己購買的AP不經(jīng)過授權(quán)而聯(lián)入網(wǎng)絡(luò)。用戶通過非法AP接入給網(wǎng)絡(luò)帶來安全隱患，產(chǎn)生數(shù)據(jù)安全及網(wǎng)絡(luò)帶寬非法占用等問題。當非法無線用戶對合法無線接入點進行入侵時(如無線DOS攻擊)，會被誤以為是無線電波的信號受干擾或AP出現(xiàn)不穩(wěn)定情況。這些攻擊會導(dǎo)致用戶的無線連接斷線，但網(wǎng)絡(luò)管理員卻無法在第一時間得到報警。利用智能無線網(wǎng)絡(luò)架構(gòu)技術(shù)，無線控制器本身內(nèi)置無線入侵模式庫，可以實時檢測異常的無線數(shù)據(jù)包，當無線系統(tǒng)偵測到有入侵時，記錄和顯示入侵的格式，開啟入侵自動保護響應(yīng)和報警。

2.5 病毒入侵防護

2.5.1 準入檢查 當無線終端試圖訪問網(wǎng)絡(luò)，在該用戶認證之前，對無線終端的操作系統(tǒng)補丁、防病毒軟件、防病毒定義碼升級的情況進行檢查。檢查不通過，則設(shè)定策略禁止其訪問網(wǎng)絡(luò)，也可設(shè)置成將無線用戶重定向到一臺升級服務(wù)器。直到安裝系統(tǒng)補丁、防病毒軟件并升級病毒特征庫，滿足系統(tǒng)制定的安全策略以后，該無線終端才可以進入認證環(huán)節(jié)進行用戶的認證。

2.5.2 數(shù)據(jù)檢查 通過了準入檢查后，對無線終端發(fā)出的數(shù)據(jù)進行有效性檢查和監(jiān)控。設(shè)定策略，對于某些用戶以及可能沾染病毒的數(shù)據(jù)，將其重定向到防病毒設(shè)備上進行防病毒檢查，檢查完成后，才允許通過，否則丟棄數(shù)據(jù)，從而實現(xiàn)對無線終端的病毒防護。

2.6 安全準入控制

2.6.1 身份認證 對網(wǎng)絡(luò)身份的行為授權(quán)，防止非授權(quán)終端訪問。支持802.1x、Web準入，基于用戶的網(wǎng)絡(luò)身份進行訪問權(quán)限授權(quán)，實現(xiàn)6元素自動綁定(用戶IP、MAC、用戶名、密碼、交換機IP、交換機端口)以及用戶硬盤ID綁定，與網(wǎng)絡(luò)設(shè)備及安全設(shè)備聯(lián)動，防止非授權(quán)終端訪問。

2.6.2 安全策略 統(tǒng)一安全策略，全面保障終端安全、合規(guī)、受控。終端進入網(wǎng)絡(luò)時，進行補丁檢查、防病毒軟件、注冊表、系統(tǒng)服務(wù)、進程等多種安全策略檢查，保障終端安全、受控和安全政策的落實，同時滿足法律法規(guī)遵從性的需求。動態(tài)策略管理提供可定制、可擴展的安全策略，可分組織和角色靈活實施;提供多種安裝策略并基于系統(tǒng)環(huán)境選擇安裝，及時、主動消除各種安全缺口；提供上網(wǎng)行為審計、USB移動存儲設(shè)備、系統(tǒng)進程監(jiān)控等安全策略，對用戶違規(guī)行為進行審計和取證，幫助提高用戶安全意識，保障IT資源的合理使用。

2.6.3 終端管理 部署自動化補丁檢查，及時修復(fù)終端漏洞，主動消除安全缺口。基于自動化補丁檢查結(jié)果，提供基于用戶群組的補丁下發(fā)，支持分布式補丁分發(fā)，支持斷點續(xù)傳，保障下載的持續(xù)性。系統(tǒng)自動收集終端軟、硬件資產(chǎn)信息，跟蹤資產(chǎn)變更，實現(xiàn)資產(chǎn)管理IT化，保障信息資產(chǎn)可控可管。

2.7 無線認證與CA證書對接

認證系統(tǒng)支持與Windows CA證書對接，僅當終端安裝有CA下發(fā)的合法數(shù)字證書時，終端才可認證接入網(wǎng)絡(luò)，證書錯誤或者不存在都無法接入。終端認證實現(xiàn)基本CA證書認證，無需再次輸入802.1x的用戶名密碼，簡化操作。同時，在CA服務(wù)器異常時，只要客戶終端有合法證書存在，仍可確保正常入網(wǎng)，實現(xiàn)免認證。這樣可以確保在CA服務(wù)器出現(xiàn)故障時仍能正常使用，不會造成嚴重的網(wǎng)絡(luò)事故。

3 應(yīng)用實踐

3.1 無線網(wǎng)絡(luò)拓撲結(jié)構(gòu)

某三級甲等醫(yī)院實施無線網(wǎng)絡(luò)的建設(shè)，目的是實現(xiàn)醫(yī)院無線網(wǎng)絡(luò)全面覆蓋，為移動醫(yī)療提供一個安全、高可用的無線網(wǎng)絡(luò)環(huán)境。該醫(yī)院無線網(wǎng)絡(luò)拓撲結(jié)構(gòu)，見圖1。

圖1 無線網(wǎng)絡(luò)拓撲結(jié)構(gòu)

3.2 無線網(wǎng)絡(luò)設(shè)計與部署

無線網(wǎng)絡(luò)由有源以太網(wǎng)(Power Over Ethernet, POE)交換機，大容量室內(nèi)無線AP，智分零漫游無線接入點及其配件組成。POE交換機使用千兆以太網(wǎng)鏈路連接大容量室內(nèi)無線AP、智分零漫游無線AP實現(xiàn)數(shù)據(jù)傳輸。無線AP通過專用超柔饋線連接功率分配器、智分單元及入室美化天線等配件通過穿墻入室方式實現(xiàn)院區(qū)無線信號覆蓋。大容量室內(nèi)無線AP通過放裝形式滿足醫(yī)院開放式區(qū)域的無線信號覆蓋。

3.3 無線控制器冗余備份

無線控制器采用N+1集群冗余備份技術(shù)，其中1臺無線控制器作為主控制器，其余N臺作為從控制器。無線網(wǎng)絡(luò)初始化時，只有主控制器會接受AP的注冊請求。當AP和主控制器注冊并建立無線接入點的控制和配量協(xié)議(ControlandProvisioningofWirelessAccessPointsProtocolSpeafication,CAPWAP)關(guān)聯(lián)時，主控制器將備份控制器的信息通告給每個AP，AP根據(jù)此信息和備份的控制器建立一條虛擬CAPWAP鏈路，但同一時間只有與主控制器建立的CAPWAP鏈路處于工作狀態(tài)。當主控制器異常宕機時，備份控制器和主控制器之間的心跳檢測機制可以快速檢測到主設(shè)備的狀態(tài)，及時通知AP進行主備用CAPWAP隧道的切換，這一過程的切換時間將在50毫秒內(nèi)完成，移動終端業(yè)務(wù)不會出現(xiàn)中斷。

3.4 非法電磁信號監(jiān)測

采用智能無線AP，通過兩種模式對非法電磁信號進行監(jiān)測：一種方式為AP設(shè)為每隔一段時間主動在線掃描模式；另一種方式將AP設(shè)為連續(xù)監(jiān)控的監(jiān)聽模式。智能無線AP通過上述兩種方式，采取按需的或預(yù)設(shè)定的射頻掃描來監(jiān)聽周邊環(huán)境信號源的MAC地址、通道(Channel)類型及服務(wù)集標識(ServiceSetIdentifier,SSID)等，自動識別并警告未授權(quán)的AP或點對點(Ad-Hoc)網(wǎng)絡(luò)，以避免潛在的干擾或與無線入侵者。另外，對于某些重點區(qū)域，可以部署專用AP不斷地掃描空域，以便滿足安全性更高的要求。

3.5 雙重認證鑒別

為了保障網(wǎng)絡(luò)的安全性，無線網(wǎng)絡(luò)需要對接入的設(shè)備進行準入認證。通常方式有802.1x+CA、Web以及MAC認證。對于不同種類的移動終端，由于操作系統(tǒng)的差異化，Web認證具有一定的兼容局限性。因此針對移動終端，可以采用基于802.1x+CA認證結(jié)合設(shè)備MAC地址綁定的雙重認證鑒別，實現(xiàn)全網(wǎng)統(tǒng)一的無線終端鑒別。被授權(quán)的移動終端只有在安裝了相應(yīng)的CA證書，并且與綁定的MAC地址一致的情況下，才能接入無線網(wǎng)絡(luò)。通過雙重認證鑒別，實現(xiàn)移動終端的安全身份識別，避免外來非法無線終端的接入。

4 結(jié)語

很多醫(yī)院的實踐證明，移動醫(yī)療終端的實施為臨床醫(yī)護人員工作帶來了極大方便，而且使得醫(yī)療服務(wù)更加安全[5]。融入無線網(wǎng)絡(luò)技術(shù)及移動終端設(shè)備的醫(yī)療信息系統(tǒng)，為臨床醫(yī)療工作帶來創(chuàng)新與變革，是未來醫(yī)療信息系統(tǒng)的發(fā)展方向[6]。近年來，我國各醫(yī)院在無線醫(yī)療技術(shù)方面的應(yīng)用十分活躍，但與歐美國家相比尚處于起步階段，如何加快無線技術(shù)的研究步伐，加大無線技術(shù)在醫(yī)療領(lǐng)域的投入，是我國醫(yī)療行業(yè)信息化建設(shè)的重點之一[7]。但是任何單一的安全技術(shù)都不能滿足無線網(wǎng)絡(luò)持續(xù)性的安全需求，只有通過綜合應(yīng)用多種安全技術(shù)，才能實現(xiàn)醫(yī)院無線網(wǎng)絡(luò)的安全運行[8]。而且，無線網(wǎng)絡(luò)的安全不僅僅是技術(shù)問題，也是一個安全管理問題，同時也是社會道德與法律法規(guī)問題。因此，必須采取技術(shù)與立法等多種手段進行綜合治理[9]。通過無線網(wǎng)絡(luò)，利用移動終端設(shè)備，可實現(xiàn)床旁醫(yī)療服務(wù)，提高病人滿意度，提高工作效率，簡潔和美化病區(qū)環(huán)境。隨著移動醫(yī)療在醫(yī)院的普及，會有更多、更新的安全理論和技術(shù)不斷涌現(xiàn)，從而保證無線網(wǎng)絡(luò)的安全性，適應(yīng)新形勢下的安全管理需要，使之更好地為醫(yī)療服務(wù)[10]。

1 李林，劉毅，楊駿．無線網(wǎng)絡(luò)安全風(fēng)險評估方法的應(yīng)用研究[J]．計算機防真，2011，28(9)：147-150．

2 張合華，趙玉虹．醫(yī)院打造BYOD環(huán)境策略探析[J]．醫(yī)學(xué)信息學(xué)雜志，2014，35(8)：31-34．

3 孔燦紅，朱小衛(wèi)，卜慶祝．醫(yī)療行業(yè)無線網(wǎng)絡(luò)的建設(shè)[J]．中國數(shù)字醫(yī)學(xué)，2010，5(11)：106-107．

4 劉文，徐濤．無線網(wǎng)絡(luò)技術(shù)在醫(yī)院設(shè)備管理中的應(yīng)用[J]．醫(yī)學(xué)信息學(xué)雜志，2010，31(12)：34-37．

5 胡育新．一種多功能、移動式醫(yī)護工作站的設(shè)計構(gòu)想[J]．醫(yī)學(xué)信息學(xué)雜志，2009，30(11)：21-22．

6 黃文財，高昭昇．基于RFID技術(shù)的醫(yī)院無線護理系統(tǒng)設(shè)計及其應(yīng)用[J]．醫(yī)學(xué)信息學(xué)雜志，2013，34(9):23-25.

7 杜柯，朱新銀，趙碧霞．無線通信技術(shù)在智慧醫(yī)療管理系統(tǒng)中的應(yīng)用[J]．醫(yī)學(xué)信息學(xué)雜志，2013，34(6)：14-17．

8 仲曉偉，王建強．醫(yī)院無線網(wǎng)絡(luò)安全防護的探討[J]．醫(yī)療衛(wèi)生裝備，2013，34(5)：45-47．

9 朱?。疅o線網(wǎng)絡(luò)安全問題及其防范措施[J]．計算機與網(wǎng)絡(luò)，2013，(21)：71-73．

10 凡星，劉培奇．無線局域網(wǎng)中Wi-Fi安全技術(shù)研究[J]．電腦知識與基礎(chǔ)，2012，8(7)：1513-1515．

Hospital Wireless Network Security Construction Measures and Application Practice

YANGMei,PANXiao-lei,PENGShi-ji,

InformationDepartment,WujingZongduiHospitalofGuangzhouProvince,Guangzhou510507,China

Aiming at the security risks of using wireless network in hospital, the paper puts forward the hospital wireless network security construction countermeasures, including security strategy centralized control, access point zero configuration, illegal intrusion detection, virus protection, security access control, wireless authentication connected with CA certification. Practice proves the operability of this security construction measures.

Wi-Fi；Security threats；Information security

2014-11-11

楊眉，工程師，發(fā)表論文10余篇。

R-058

A 〔DOI〕10.3969/j.issn.1673-6036.2015.02.010