医院内外网部署方案

医院版

内外网隔离安全方案

二〇一二年五月

目录

第1章、医院信息化发展与网络安全现状1.1医院信息化概述

目前在省立医院网络物理上为一张网，逻辑（比如通过VLAN等技术措施）上分为两部分，外部服务部分通常为办公，内部服务部分通常为医院业务系统。

对外运行的业务情况：

主要为OA系统，完成医院的行政办公、文件审批、邮件收发等业务流程。

医院网站系统，主要完成医院的宣传、论坛、网上挂号等业务。随着业务的发展，在保证信息安全的前提下，网站上将提供更多的业务，比如：将体检、影像等结果通过外网提供给病人。

对内运行的业务情况：

HIS系统：该系统是医院的核心业务系统，医院信息系统对医院及其所属各部门对人流、物流、财流进行综合管理，对在医疗活动各阶段中产生的数据进行采集、存贮、处理、提取、传输、汇总、加工生成各种信息，从而为医院的整体运行提供全面的、自动化的管理及各种服务的信息系统。医院信息应该以病人医疗信息为核心，采集、整理、传输、汇总、分析与之相关的财务、管理、统计、决策等信息。

其他业务系统：PACS影像、检验系统、CIS电子病历、体检等系统（本部分还需做详细调研）

1.2现有安全风险简析

文件数据拷贝风险：

目前采用U盘拷贝两网的数据，拷贝的数据中可能存在恶意代码（如：病毒、蠕虫、木马等），将外网的恶意代码扩散到内网的风险。

由于有业务联动的需求，如果在两网间部署网关类安全设备（如：防火墙、UTM等），这存在外部黑客通过网关穿透到内部核心业务服务器的可能。通过实验，目前的穿墙技术能穿过大部分国产防火墙。

应用和系统漏洞风险：

针对XXX医院的两网信息隔离交换需求，如果不是物理隔离方案，无论采用什么安全设备，都存在因为设备自身应用、操作系统、数据库的漏洞风险。随着漏洞挖掘技术及漏洞提交机制的完善，将会有更多的安全漏洞将会公布于众，针对特定漏洞带来的定向攻击将会增加。随着网络攻击技术的门槛不断降低，网络攻击工具使用不断简便，这种针对特定漏洞的攻击行为几乎每时每刻都会发生，再加上软件厂商更新不及时和经济利益的影响，所以针对这种漏洞的攻击防不胜防。

业务数据风险：

一但医院两网通过网关设备（而不是采用接近物理隔离）连接起来，内网数据的安全性得不到保障，很多安全事件发生于外部黑客发起攻击，窃取单位内部敏感数据。医院内部HIS系统的数据库中存在医嘱数据、处方数据，一旦外泄对本医院损伤很大。

例如：一些黑客组织把病毒木马等恶意软件的制作商业化，通过让特定需求者定购个性化的恶意软件并自动发送，来获得特殊利益，即MAAS(malware as a service，恶意软件即服务)。进一步还可通过各种恶意软件控制的僵尸网络迅速大规模地对政府、企事业单位的基础网络设施进行攻击。目前除了政府部分和金融服务业外，大多数行业对于这类攻击几乎毫无准备，其中包括医疗、电信、运输、服务业、化工和物流业。

第2章、内外网部署技术发展

2.1方案一：继续物理隔离

采用人工拷贝方式进行两网的数据交换（文件和数据库），实际实施过程中存在以下几个问题：

1、不及时

2、效率低

3、很多医院要求对U盘杀毒，但操作人员因为繁琐未完全实施。

4、部分恶意代码是杀毒软件检测不到的。

2.2方案二：采用网关设备

部分医院采用防火墙隔离两网，有的单位采用UTM。防火墙产品主要包括包过滤防火墙，状态检测包过滤防火墙和应用层代理防火墙，采用此方案存在以下几个问题：

1、其最大的局限性就是防火墙自身不能保证其准许放行的数据是否安

全。

2、不能防御绕过防火墙的攻击行为：从根本上讲，防火墙是一种被动

的防御手段，只能守株待兔式地对通过它的数据报进行检查，如果该数

据由于某种原因没有通过防火墙，则防火墙就不会采取任何的措施。

3、不能防御完全新的威胁：防火墙只能防御已知的威胁，但是人们发

现可信赖的服务中存在新的侵袭方法，可信赖的服务就变成不可信赖的

了。

4、防火墙不能防御数据驱动的攻击：虽然防火墙扫描分析所有通过的

信息，但是这种扫描分析多半是针对IP地址和端口号或者协议内容的，而非数据细节。这样一来，基于数据驱动的攻击，比如病毒，可以附在

诸如电子邮件之类的东西上面进入你的系统中并发动攻击。

5、目前国内防火墙本身的软件、操作系统、数据库等方面有缺陷，通

过实验，很多穿墙技术能穿过大部分国产防火墙。

2.3方案三：采用前置机加交换系统

有少部分医疗机构在方案二的基础上再进行数据操作和数据交换进行检查过滤。实现方式就是在两网前段加前置设备，同时通过应用开发商再开发交换数据接口（定义格式和API）在交换设备上安装交换系统实现内外网的交换。

该方案存在以下问题：

1、当业务扩充了，需要开发商支持

2、投入大，交换前置设备投入、软件开发投入

3、仍然没有从网络层面隔离，数据在两网的穿透仍然带有协议，协议

本身就存在缺陷，存在安全风险。

2.4方案四：采用接近物理隔离设备隔离两网

目前公安部门、保密部门已经将网闸定义为接近物理隔离的设备（备注：传统的单部件网闸不合规，三部件被认为是接近物理隔离设备），允许采用到机密域、秘密域、非密域间的边界隔离。

该方案近几年也被一些医疗机构采用，就是在两网的边界采用网闸隔离，网络层面完全断开，通过摆渡完成两网的数据交换。

该方案优点是安全性大幅度提高，使用过程中也存在性能问题，因此在选购医院型号的时候，我们队两网交换的数据量大小进行了详细的分析。

第3章、内外网部署建议

基于前面的风险分析，我们在分析信息方便交换和信息安全方面进行权衡，在此采取一套“接近物理隔离的安全方案”本方案采用网闸来隔离两网。

3.1网闸方案

3.1.1核心思路

保证任何时间内外都是断开的，不存在直接的物理和链路层连接通路！见下图：

中间这部分就代表网闸，当外部网摆渡数据到内部网：

1、电子开关接通外网

2、摆渡数据到交换池，数据还原为裸数据，并做安全性检查

3、电子开关接通内网，摆渡数据

可见，任何时刻电子开关不会让内外接通，对用户来讲，表面一样，好像直接连接一样。

由于半导体电子开关以纯物理方式实现了电路的导通与断开，与加/解密等逻辑断开方式不同，它具有固化的不可编程特性，不会因溢出等逻辑问题导致系统的崩溃，在最低层即物理层面上保证了网络断开功能的实现，具有最高的安全