醫(yī)院無線局域網的安全風險與解決方案

施文杰

江蘇省老年醫(yī)院（江蘇省省級機關醫(yī)院）信息中心，江蘇 南京 210024

醫(yī)院無線局域網的安全風險與解決方案

施文杰

江蘇省老年醫(yī)院（江蘇省省級機關醫(yī)院）信息中心，江蘇 南京 210024

本文分析了醫(yī)院無線局域網存在的安全風險，并介紹了無線網絡的安全技術與標準，最后依據醫(yī)院無線局域網實際應用環(huán)境，提出我院基于安全代理＋Policy Center+ USG2250的網絡安全解決方案，為醫(yī)院無線局域網提供安全保障。

無線局域網；網絡安全；醫(yī)院信息系統(tǒng)；IP；MAC

0 前言

隨著醫(yī)院信息化建設的發(fā)展，許多醫(yī)院都建立起自己的無線局域網，作為對有線網絡的必要補充。無線網絡的普及為用戶帶來極大的便利，醫(yī)務人員使用帶有無線網卡的終端設備通過身份驗證后接入無線局域網，在院內任何位置可方便地開展各項業(yè)務工作。然而在享受無線網絡便捷的同時，安全問題變得日益嚴峻，受到極大關注。無線網絡由于其天生的開放性，并且無線標準和安全機制方面存在著先天不足，其安全防護存在重大隱患。網絡通信時很容易遭到黑客攻擊，造成敏感數據被竊聽、篡改和非法訪問，甚至有可能使整個網絡服務癱瘓[1]。所以必須增強無線網絡安全防范意識，并積極探索無線網絡安全解決方案，為醫(yī)院構建起安全、可靠、高效的無線局域網，切實保障業(yè)務工作開展正常有序。

1 醫(yī)院無線局域網的安全風險

我院無線網絡基于IEEE802.1 lg傳輸標準，采用AC（Access Point Controller）+瘦AP架構，借助于有線網絡將無線AP通過蜂窩狀形式連接部署至全院，實現無線信號全覆蓋，以確保數據傳輸過程中不會出現網絡擁塞或者丟包的現象。所有AP均通過無線AC進行統(tǒng)一管理，滿足醫(yī)院網絡管理的需要。但無線網絡傳輸媒介的開放性、應用終端的移動性、網絡拓撲的動態(tài)性增加了網絡安全風險，且不具備清晰的防御界限；無線鏈路又極易受到各種各樣的攻擊并容易造成信息截取和非授權訪問等安全問題[2]。這些突出的問題具體表現在以下幾個方面。

1.1 非法接入點

無線網絡配置簡單以致部分院內用戶不經授權就將個人AP接入局域網，構造出一個無保護措施的隱匿無線網絡，不僅破壞了醫(yī)院現有內、外網物理隔離的架構，還充當了攻擊者進入局域網的開放門戶[3]。攻擊者獲得網絡管理控制權后，可以篡改相關網絡設置，降低網絡防護能力甚至癱瘓整個醫(yī)院網絡。

1.2 無線釣魚

攻擊者成功竊取醫(yī)院無線網絡密鑰后，會在院內架設非法隱匿AP，采用與醫(yī)院相同的服務集標識（Service Set Identifier，SSID）偽裝成正規(guī)無線網絡供盲目信任的用戶進行訪問，導致在無線信道中傳輸的數據包遭到竊取。當攻擊者獲取個人敏感信息后就可用來冒稱一個合法用戶，劫持用戶會話并執(zhí)行一些非授權的命令[4]。

1.3 非法用戶的接入

攻擊者借助一些攻擊工具就能發(fā)現并入侵醫(yī)院無線網絡。一旦接入局域網，不僅占用合法用戶的帶寬，惡意修改無線網絡的設置，輕則造成合法用戶無法接入網絡，重則還會入侵他人電腦竊取患者病情的隱私[5]。

1.4 拒絕服務攻擊

故意攻擊目標系統(tǒng)，通過耗盡網絡、操作系統(tǒng)或應用程序的有限資源，使其不能提供正常服務或資源訪問的一種網絡攻擊。現有的802.1l網絡管理工具無法快速識別拒絕服務（Denial of Service，DoS）攻擊，并由于802.11 介質訪問控制（Media Access Control，MAC）協議的固有缺陷導致攻擊者只需要少量的數據包就能癱瘓整個醫(yī)院的網絡服務[6]。

2 無線網絡安全技術與標準

2.1 MAC地址過濾技術

每塊無線網卡都擁有全球唯一MAC地址，由設備制造商生產時寫在硬件內部。每張無線局域網訪問控制列表（Access Control List，ACL）規(guī)定，只有與表中MAC地址相對應的網卡設備才能訪問網絡，從而實現物理地址過濾。但訪問控制列表需隨時更新，可擴展性差，也無法實現設備在不同AP之間漫游[7]；MAC地址理論上也能偽造，所以這是較低級的授權認證。

2.2 IP/MAC地址綁定技術

無線局域網一般默認使用動態(tài)主機配置協議（Dynamic Host Configuration Protocol，DHCP）來分配IP地址，但這樣存在巨大的安全隱患，一旦攻擊者成功入侵無線局域網，就能很方便地從DHCP獲得一個合法IP地址。所以必須將DHCP服務關閉，并對無線局域網中的所有計算機分配固定的靜態(tài)IP，還要將IP地址和設備的網卡MAC地址進行綁定，提升無線局域網的安全性[8]。

2.3 WPA加密機制

Wi-Fi保護訪問（Wi-Fi Protected Access，WPA）強制性要求用戶必須提供某種形式的憑據來證明自己是合法的，并擁有對某些網絡資源的使用權限。在信息完整性保障方面，WPA使用了稱為“Michael”的更安全的訊息認證碼（在WPA 中叫做訊息完整性查核，MIC）[9]。WPA2是WPA的改進，在WPA2中“Michael”算法被更加安全的CCMP訊息認證碼所取代，RC4也被AES加密算法取代，使其安全性得到進一步的提高

2.4 入侵檢測技術

根據用戶的歷史行為，基于用戶的當前操作，完成對攻擊的決策并留下攻擊證據，為數據恢復和事故處理提供依據。入侵檢測過程是一個檢測工具與黑客對抗的決策分析過程，其技術基礎是基于知識的智能推理。通過分析醫(yī)院無線局域網中的傳輸數據來檢測是否存在非法入侵；通過監(jiān)視和分析使用者的活動來判斷入侵事件的具體類型；對于MAC地址欺騙、中間人攻擊和拒絕服務攻擊，通過發(fā)現網絡流量異常時也能及時報警[10]。

3 醫(yī)院無線局域網的安全解決方案

依據醫(yī)院無線局域網實際應用環(huán)境并結合現有的網絡安全技術與標準，我院提出了基于安全代理＋Policy Center＋USG2250（通過準入控制設備）的網絡安全解決方案，見圖1。

圖1 安全代理＋Policy Center+ USG2250的網絡安全解決方案

Policy center包含了TMC和SM，這其中建立了完善的接入用戶身份認證機制，系統(tǒng)內置了合法用戶的賬號和密碼，實現用戶只有通過身份認證后才能接入醫(yī)院無線局域網。在Policy Center中還將用戶賬號與IP/MAC地址做綁定，綁定后確保指定用戶僅能在指定的終端上進行認證，大幅提高身份認證的唯一性。

安全代理是一個安裝在醫(yī)院終端上的應用程序，啟動后終端用戶輸入賬號+密碼，執(zhí)行身份認證并且將認證結果作為開通網絡訪問權限的依據。

TMC負責制定網絡的總體安全策略，下發(fā)給各管理節(jié)點，并對管理節(jié)點實施情況進行監(jiān)控。

SM管理其下SC的連接狀態(tài)，向已連接的SC控制節(jié)點發(fā)送實時指令，完成各種相關業(yè)務。醫(yī)院網絡管理員還可通過WEB管理界面，完成終端用戶管理、安全策略配置等工作。

SC與準入控制設備聯動，根據用戶身份認證的結果，向準入控制設備動態(tài)下發(fā)訪問控制列表（ACL），切換請求接入用戶的網絡訪問權限。還作為與安全代理（SA）交互的控制點，完成身份認證、安全策略下發(fā)、數據上報、入侵檢測等任務[11]。

USG2250將醫(yī)院網絡資源劃分為認證前域和認證后域。用戶在身份認證前，只能訪問認證前域即用戶本機信息資源；通過身份認證后授權訪問醫(yī)院無線局域網并獲得認證后域的信息資源[12]。

接入控制基本原理：從SC中同步準入控制規(guī)則，并且把這些規(guī)則轉換成訪問控制列表（ACL）。當終端用戶認證的時候，SC會根據安全認證的結果，給準入控制設備發(fā)送認證域的參數，該認證域的參數對應了轉換的ACL規(guī)則。終端用戶的數據包經過USG2250時，設備將根據該終端對應的ACL規(guī)則進行包過濾，控制終端的訪問范圍[13]。

醫(yī)院無線網絡的安全性主要體現在訪問控制和數據加密兩個方面。訪問控制保證敏感數據只能由被授權用戶進行訪問，而數據加密則保證傳輸的數據只能被所期望的用戶所接收和理解[14]。所以我們在成功實現對用戶的訪問控制后還需要使用WPA加密機制對數據進行加密傳輸，盡可能提高醫(yī)院無線局域網的安全性。

4 結束語

無線網絡的安全攻擊與防御是一個相互博弈、不斷演進的過程，不存在絕對安全的網絡，任何一種安全策略都不是一勞永逸的[15]。所以我們只有在實際的工作中保持足夠強的安全防范意識并注重每一個細節(jié)，運用先進的安全技術和有效的管理制度為醫(yī)院無線局域網提供安全保障。

[1]鄺健全．對無線網絡安全的分析[J]．電腦知識與技術,2011,7（17）：4068-4069．

[2]王智圣,范利民．淺談企業(yè)中的無線網絡安全技術運用[J]．科技與創(chuàng)新,2014（8）：134,142．

[3]鄭玉洲．無線網絡安全的機制與技術措施[J]．信息系統(tǒng)工程, 2011（6）：59-60．

[4]王茹．淺析無線網絡安全防御[J]．信息通信,2013（9）：106．

[5]李紀奎．醫(yī)院無線網絡技術的實際應用[J]．醫(yī)學信息,2011,24（3）：32．

[6]尹成國,劉明．淺論無線網絡安全[J]．科技資訊,2014,12（25）：18．

[7]王麗．對無線網絡安全技術的研究[J]．科技視界,2014（34）：101．

[8]陳亞科．淺談無線局域網安全解決方案[J]．信息安全與技術，2012,3（2）：26-27．

[9]張博,高松．無線網絡安全技術分析[J]．信息安全與技術,2013, 4（2）：32-34．

[10]徐麗平．淺析無線局域網安全方案的設計[J]．福建電腦,2006,（2）：88-89．

[11]宮彥婷,常建國,王彪,等．安全網關技術在醫(yī)院內網安全中的研究與應用[J]．中國醫(yī)學裝備,2012,9（4）：37-40．

[12]徐書良,莫永華．基于USG的企業(yè)分支機構VPN接入技術設計與實現[J]．現代計算機,2011,（8）：19-23．

[13]黃悅．ACL技術在高校校園網中管理與安全控制的應用[J]．信息安全技術,2012,3（5）：33-35．

[14]王巖．計算機無線網絡安全技術分析[J]．計算機光盤軟件與應用,2013,（19）：171-173．

[15]于京杰,劉方斌,馬錫坤．數字化醫(yī)院信息系統(tǒng)的安全問題[J]．中國醫(yī)療設備,2013,28（6）：88-90．

Security Risks of the Hospital W ireless Local Area Network and Its Solutions

SHI Wen-jie
Information Center, Jiangsu Province Geriatric Hospital（Jiangsu Province O fficial Hospital）, Nan jing Jiangsu 210024, China

The paper analyzed the existing security risk of hospital w ireless local area network, and then introduced the security technology and standards of w ireless network. Finally, it proposed a network security solution based on the security agent + Policy Center + USG2250 according to the actual application environment of the hospital w ireless local area network.

w ireless local area network；network security；hospital information systems；IP；MAC

TP393.08

A

10.3969/j.issn.1674-1633.2015.11.028

1674-1633（2015）11-0089-03

2015-03-23

2015-04-29

作者郵箱：coolsw j@163．com