打开文本图片集

摘要：目的：减少医院终端接入带来的网络安全威胁，加强医院终端认证管理，防范非法入网，引导用户规范使用院内网络，以技术手段强制检查用户终端的安全，提高医院网络的安全防护能力，确保医院网络安全可控。方法：依托医院信息系统的基础架构，以旁路连接的方式将入网规范管理系统接入医院核心交换机，运用策略路由的准入控制技术，将网络流量引入到准入控制设备，通过验证终端身份及安全合规性检查，对医院的终端接入进行安全管理。结果：入网规范管理系统可以根据目前医院存在的网络安全威胁做出相应的保护措施，通过对医院网络和用户设备进行规范管理，设定终端入网规则，管控设备的入网流程，实时监控及管理用户的网络访问行为进行有效控制，阻止未获得授权的非法用户接入医院网络系统，有效控制用户上网行为，保证了终端入网必合规，违规必断网，从根本上保证医院网络安全。结论：入网规范管理系统部署科学合理，确保医院终端安全合规，风险可控，提高医院终端管理效率。

关键词：入网规范管理系统；医院网络安全；终端；应用

【中图分类号】TN915.08    【文献标识码】 A      【文章编号】1731-4856（2022）17--03

1 绪论

1.1背景及意义

近年来，网络和信息系统在社会中扮演着越来越重要的角色，网络安全成为了国家和社会关注的焦点。随着医院信息化规模不断扩大，医院终端数量不断增加，各种各样的安全隐患也逐步暴露出来，为加强医院网络和终端的统一管理和建设[1]，国家相继出台了相关政策来确保医院信息化建设安全。在2008年至2012年期间陆续颁发了等级保护1.0的主要标准，其中包含《信息系统安全等级保护实施指南》、《信息系统安全等级保护测评过程指南》等。之后，国家又发布了等级保护2.0标准体系，其主要标准有：《网络安全等级保护实施指南》、《网络安全等级保护测评过程指南》等[2]，如何让这些规章、规范有效落地，真正发挥其实际意义，而不需要通过纯粹的行政手段监督，就显得非常迫切和必要。

入网规范管理系统可以严格的管控医院全网接入，加强医院网络边界安全防护措施，实时监控和阻断各类违规行为并及时发出告警，并对医院终端的流量数据进行监测分析，对网络的防御起到关键作用且该系统的应用节省运维人员的时间，减少重复工作量，提高效率，为各科室人员争取了时间。

1.2国内外现状

医疗卫生作为关系国家民生的行业一直受到国家的大力支持，近年来，伴随国家信息化发展的大趋势，医疗卫生行业信息化从仅仅关注信息安全建设中的某些点，发展到注重整体解决方案，全面提高信息安全。国内的中安网脉公司的可信网络安全平台及天融信公司的网络准入控制系统和国外ConSentry公司的LANShield系列设备、Nevis公司的IANenforcer设备及其IAN-sight Security Manger管理系统等产品[3]，即便有特殊的检查终端接入的方式，但是忽略了许多网络安全方面，只适合小型网络部署，已经满足不了现在多元化的网络安全准入策略，存在许多安全威胁。

新型网络准入实现解决大量个人移动设备接入的问题，实现了既不需要安装客户端，又能够保证身份认证和安全检查的双重保护目的，同时可以提供多方面、多层次的网络准入控制服务，在安全接入认证方面，可以满足现有各种形态网络环境的需要。

1.3主要内容

入网规范管理系统是针对网络安全管理开发的信息系统，构建了完善的可视化网络接入，采用灵活的网络控制手段，有效地进行网络接入安全控制管理，在网络接入管理层实现了可见即可控、更安全的接入。系统对接入医院网络的终端进行身份审核和安全检查，符合入网规范的则可接入网络，不符合的则被隔离并对其进行修复[4]，对终端用户进行实名认证和用户的入网、出网及使用时长和浏览情况进行统计分析，可实时监控，以图形化的方式展示医院全网资源，管理员可实时查看医院全网设备的在线状态和使用情况，方便管理人员及时修复网络，如果出现问题则可追踪到具体的终端和科室使用人员且该系统提供强大的远程协助管理功能，管理员可通过远程协助来处理终端相关问题，提高终端运维效率。

2 可行性和需求分析

2.1 可行性分析

2.1.1 技术可行性分析

目前，网络准入控制技术有策略路由，VLAN切换，透明网桥、端口镜像等技术。策略路由是一种特定的转发机制，首先需要建立策略路由使用的路由图。路由图中的每个策略都包含了一个或多个的对应规则。当接口应用策略路由后，将检查接收到的包，其中符合路由图中某个策略的数据包就按照该策略中定义的操作进行处理，部署时只需核心交换机支持策略路由即可[5]。VLAN切换技术是通TELNET、SSH或者SNMP操作交换机切换 VLAN的方式来进行控制的准入技术。透明网桥准入技术在透明网桥部署中，串接用户网络，检查经过的数据包，对检查未通过的终端将丢弃该数据包，保证终端安全。端口镜像（Port Mirroring）是通过将一个或多个源端口的数据流量转发到某一个指定端口来实现对网络的监听，指定端口称之为“镜像端口”，在不严重影响源端口正常吞吐流量的情况下，可以通过镜像端口对网络的流量进行监控分析[6]。以下是这几种技术的技术对比，如图1所示。

2.1.2 操作可行性分析

入网规范管理系统主要有全网资源管理、安全规范管理、用户管理这几个功能模块，每个功能模块下又细分多个子功能，应用于医院网络安全的各个方面，覆盖范围广。管理员可根据系统的功能分类对医院的网络进行安全管理。全网资源管理模块下可记录医院新增设备和清理设备，授权医院设备的IP/MAC地址和划分VLAN区域，查看全网资源可了解医院全网设备的在线和使用情况。安全规范管理模块下可添加、删除、导入、导出规范，查看安全规范管理模块可检查终端是否合规。用户管理模块下可开通和删除用户权限并制定使用规则，查看用户管理模块可掌握医院用户人员的权限情况和使用情况。

2.2 需求分析

2.2.1 医院整体需求

网络安全在医院信息化建设中占据重要地位，医院业务开展、医院等级评审、电子病历评级和患者隐私保护等方面都离不开网络安全管理[7-9]，保障医院网络安全显得极其重要。医院工作人员的网络安全意识参次不齐导致医院的网络管理难度增加，给医院网络安全带来了严重的威胁，只有全面提高管理能力，引进先进的网络安全技术，才能有效的保障医院网络的安全。

2.2.2 信息中心的需求

信息中心是负责整个医院网络安全的职能部门，不管是国家政策还是医院内部都制定了详尽、严格的信息安全管理规章和规范，但往往难以实现，如何通过技术手段让这些规章、规范有效落地，对医院网络安全进行精细化管理是相当重要的。运维人员对医院新增和清除的设备要逐一进行记录，无法批量处理，发现违规终端要手动阻止，无法自动进行隔离，对医院各科室设备分配IP/MAC地址、划分VLAN区域、任务下发、软件安装、审批和分配科室人员使用权限需要逐一进行操作，无法进行批量处理，对各科室临时出现的一些设备网络故障只能亲自到现场处理，无法远程操作，既浪费时间，又增加运维人员的工作量，降低工作效率[10]。

3 入网规范管理系统在医院网络安全中的应用

3.1 入网规范管理系统的控制方案

3.1.1 网络准入技术

该系统采用的是策略路由准入控制技术，对有限网络、无线网络开启准入控制，并通过与网络准入系统联动，管理员根据不同的区域指定不同的安全策略和安全边界，强制入网终端进行身份认证及安全性检查，以达到合法、合规的终端入网安全目标，保障每一个入网人员、每一台入网设备都是合法、合规的，阻断一切未授权设备或用户随意接入医院网络。

3.1.2 准入部署方案

基于策略路由的部署方案，准入设备旁路部署在核心交换机上[11]，通过在核心交换机上设置匹配源地址的ACL（访问控制列表），强制将经过交换机转发且对应匹配的数据流发送到指定的终端准入设备，确保所有访问核心服务器的设备都在终端准入的控制之下，最终达到对入网访问设备进行准入控制，保护核心服务器的安全，如图2所示。

3.1.3实施效果

该系统可以管控外来终端，医院全网资源视图化，实现设备安全检查、系统补丁检查、黑白名单检查、终端隔离修复、网络边界管理，外来终端没有允许不得进入医院网络，规范医院网内终端访问权限，体现医院各部门人员与终端一一对应，实时监测医院各科室人员网络的使用情况，采取限流和限用户措施，远程管理医院终端，批量管理和下发任务，给管理员节省时间，避免重复繁琐的工作，提高效率。

3.2安全规范系统

3.2.1 规范管理

面对IP地址的恶意篡改，私拉乱接小路由器，黑客、病毒、木马入侵等问题，规范管理医院网络，通过对医院内设备的IP地址、MAC地址进行绑定管理，对各个科室、各个部门的IP进行空间管理和分配IP段，如图3所示。只有IP地址在分段范围内的设备才可以接入网络并使用医院内的各个信息系统，可以阻挡随意修改医院网络的IP地址，让医院IP更加有序，同时安装杀毒软件对病毒、木马等危害网络安全的因素起到查找和消杀作用，从而阻止其进入网络。检查安装的相应补丁软件有没有起到补充系统中漏洞的作用，从而杜绝同类型病毒的入侵现象的发生。用整合性的检查方法自动检查黑白名单，如果发现该名单是在获得用户或管理员批准的，则允许运行，否则就拒绝，阻止用户做一些关于系统的设置或者其他的动作，保护计算机中密码不被人知晓，及时更新Windows补丁，同时做出报告和导向，控制更新过程，节省网络资源，避免了网络流量的浪费并且提高网络中计算机更新的效率，防止密码太弱容易被黑客攻击以泄露信息[12]，极大保障上网安全。

3.2.2入网流程管理

严格管控设备和通过对设备入网审核，身份认证设置和规范检查安全入网三个方面来对流程进行管理。对想接入医院网络的终端进行检查来确认其是否符合安全策略来判断是否可接入网络，对医院各科室和外来人员通过用户名/密码、录入指纹和计算机的IP地址等方式中的一种或多种认证方式混合使用，如图4所示，来进行身份验证，并判断接入的终端是否安装了相应的软件，如果没有安装和运行相应的安全管理软件则禁止接入，只有符合安全策略的才可接入网络[13]，也可设置同一用户同一时刻允许登录的设备数和认证生效的IP段和时间段，以及认证后设备使用期限，最后通过系统的规范检查设备就可以安全的接入网络了。

3.2.3 USB接入管理

基于角色的USB管控，给医院各科室人员授予USB的使用权限，如图5所示，并对USB加密使用，同时规定使用时长和次数，判断接入的USB是否获得接入权限来决定USB是否可用，可以用一次还是多次。

3.2.4 交互管理

批量管理和下发任务，医院需安装的软件和发布的消息、策略可以通过不同科室或者科室所有的设备所划分的不同VLAN分别把任务批量分发给医院各科室的医务人员，并对任务进行批量管理，如图6所示，以确保任务能准确及时地下发给医务人员，也可远程处理出现问题的终端，如图7所示，不造成任何的安全隐患和损失。

3.3资源管理系统

3.3.1网络设备和用户设备管理

管理医院全网资源，以图形化的方式展示医院全网资源，对医院里的设备数量进行统计，按不同的设备类型进行分组划分在不同区域，并对每台设备的安全状况进行监测分析，对PC、移动终端、服务器等拥有自己独立系统的设备设置IP。管理员能看到每台设备的在线情况和活跃程度以及相应的数据分析[14]，如图8所示。

3.3.2 IP资源

对医院设备IP是否在线、IP运行时长，各个子网的IP占用情况进行记录分析，显示当前医院网络中的IP最近使用情况，如图9所示，同时自动获取当前医院网络中存在的子网和管理员手动增加的子网，以方便管理子网内IP占用情况，建立设备IP/MAC 地址、交换机端口之间的映射关系，并设置针对不符合上述映射关系终端的处理策略。

3.3.3设备指纹识别

通过提取设备的特征硬件信息，生成独特的唯一特征码（设备指纹），即使IP/MAC被伪造后，指纹依旧不会改变，从而彻底解决伪造终端入网问题；通过采集医院每台设备的唯一信息，形成独一无二的设备指纹，对该设备进行锚定，当设备发生替换时，可以立即进行响应；通过设备特征指纹库信息，对医院网络中的各种IoT（Internet of things）设备进行自动扫描，进行指纹库匹配，可以在极短的时间内迅速对网络中的IoT设备进行设备类型、型号的识别，如图10所示，并自动进行设备归类，使管理员可以方便的进行设备资产透视。

4 总结与展望

4.1系统应用总结

入网规范管理系统的部署，能够帮助医院进行可信的网络体系建设，实现网络架构规范化、可靠化、高效化以及接入流程制度化，管理各部门人员规范入网：实现网络边界管理，有线网络以及无线网络均存在边界，达到“违规不入网，入网必合规”的建设效果；通过技术手段落实管理规范，阻止员工有意或者无意的违规行为，规避违规事件带来的网络安全风险，建设可信网络，防止仿冒入侵绕过安全策略或者恶意入侵带来的泄密事故，让网络终端都是可信、可控的终端设备，提高工作效率，改善办公环境；通过对医院终端的全面监测，及时处理移动介质随意接入、私接家用小路由器等各种违规事件，确保医院的各种网络使用行为得到规范管理，建立真实有效的高安全隔离网络，对应权限用户或设备访问相应的网络资源，禁止越权跨域访问，对网络终端设备非法违规外联行为进行阻断，降低风险网络的安全威胁[15]。

4.2未来系统发展展望

入网规范管理系统应支持“零信任”原则，根据用户的行为进行动态调整，做到不信任医院内外的任何人、系统和设备，不间断地进行验证。重新构建身份认证和授权访问控制的信任基础，从而保证身份、设备、应用和链路可信[16]，实现通过对申请入网的终端和用户持续性的进行来源、用途、身份等验证。

参考文献：

[1]Fernandez Del Val C. Medical network security and viruses. Stud Health Technol Inform. 1991，1：271-84.

[2]马力，陈广勇，祝国邦.网络安全等级保护2.0国家标准解读[J].保密科学技术，2019（07）：14-19.

[3]于微伟，卢泽新，康东明，吴建国.关于网络准入控制系统的分析与优化[J].计算机工程与科学，2011，33（08）：39-44.

[4]李志福.医院网络终端安全解决方案[J].中国数字医学，2007（04）：50-52.

[5]汪海涛，余松森.基于策略路由网络系统的设计与实践[J].吉林师范大学学报（自然科学版），2018，39（01）：116-120.

[6]方三辉，陈利.网络准入技术的发展与展望[J].微计算机信息，2010，26（24）：80-82.

[7]Mehrtak M， SeyedAlinaghi S， MohsseniPour M， Noori T， Karimi A， Shamsabadi A， Heydari M， Barzegary A， Mirzapour P， Soleymanzadeh M， Vahedi F， Mehraeen E， Dadras O. Security challenges and solutions using healthcare cloud computing. J Med Life. 2021，14（4）：448-461.

[8]Pendrak RF， Ericson RP. Information technologies need to protect patient confidentiality. Healthc Financ Manage. 1998， 52（10）：66-8.

[9]Schick IC. Protecting patients’ privacy. Health information networks raise new questions. Health Prog. 1998， 79（3）：26-31.

[10]王鹏，马锡坤，于京杰.医院终端安全和终端管理体系建设探讨[J].医疗卫生装备，2015，36（04）：135-137.

[11]陈拥军，肖新文，陈泓伶，唐月华.基于旁路接入的医院终端准入控制系统研究[J].中国数字医学，2017，12（09）：68-70.

[12]Fisher F， Madge B. Data security and patient confidentiality： the manager’s role. Int J Biomed Comput. 1996，43（1-2）：115-9.

[13]马锡坤.医院网络终端准入控制解决方案[J].中国医疗设备，2011，26（11）：30-32.

[14]任皓，吉中旗.医院终端登记及准入管理系统的研究与应用[J].中国数字医学，2020，15（10）：79-81.

[15]李永英.网络准入系统在供电局终端安全管理中的应用[J].科技展望，2016，26（17）：158.

[16]何中国.计算机网络安全技术在大数据时代的应用[J].软件，2021，42（10）：87-89.