医院无线网络安全建设措施及应用实践

杨 眉 潘晓雷 彭仕机

(武警广东医院信息科 广州 510507)



医院无线网络安全建设措施及应用实践

杨 眉 潘晓雷 彭仕机

(武警广东医院信息科 广州 510507)

针对无线网络在医院使用中存在的安全风险，提出医院无线网络安全建设措施，包括安全策略集中控制、接入点零配置、非法入侵检测、病毒入侵防护、安全准入控制、无线认证与CA证书对接几方面，通过实践证明该安全建设措施的可操作性。

无线网络；安全威胁；信息安全

1 引言

无线网络的出现使人类的通信和感知摆脱了时间、地点和对象的束缚，极大地提高了人类的生活和工作质量，加快了社会发展的进程。无线网络(Wireless Local Area Networks,WLAN)使用无线电波发送信息，是计算机网络与无线通信技术相结合的产物。与有线网络相比，无线网络最主要的优势在于不需要布设网线，具有布网便捷、移动灵活的特点。无线网络通过无线电波在空中进行数据传输，在其信号覆盖的区域，具有相同接受频率的无线用户可以获取所传递的信息。无线网络与有线网络比较只是在传输方式上有区别，因此有线网络存在的安全威胁和隐患在无线网络一样存在，攻击者可以通过一定的技术手段对专用网络进行非授权访问、窃取和篡改网络中的传输信息[1]。与有线网络相比无线网络还存在一些特有的安全威胁，如服务后抵赖，有效等效保密协议(Wired Equivalent Privacy, WEP)，加密破解，无线窃听，假冒攻击，介质访问控制(Media Access Control, MAC)地址欺骗等。因此，安全问题作为无线网络实施所面临的最大挑战，一直是学术界的研究重点和热点。为了消除网络与用户之间最后1米的距离，医院陆续在急诊科、病房、ICU、手术室等需要医护人员移动工作的区域部署无线网络，引入智能手机、平板电脑、掌上电脑等移动终端，使医护人员能够高效地获取、共享和存储医疗信息[2]，从而帮助医护人员在患者身边开展各种即时性的医疗救治工作。医院信息系统对整体安全性要求高，因此在建设无线网络应用移动终端之前，无线网络中的安全业务需要相应的安全机制来保证，做好安全建设工作，从而保证医疗数据安全传输。

2 无线网络安全建设措施

2.1 概述

网络安全作为一个整体体系，不仅要关注安全标准，更要注重分层实施安全策略，将其从单一的物理层安全延伸到设备安全、用户接入安全、网络层安全、管理安全等多个层面上[3]。在分层、模块化的设计理念下，无线网络由智能控制层、无线接入层、无线安全策略管理平台组成。依照无线网络的特点，制定安全建设措施。

2.2 安全策略集中控制

建立智能无线交换网络架构，将所有的安全策略全部集中到无线控制器上统一发布和控制，包括用户身份认证、入网行为控制、安全加密、病毒库、无线入侵检测、无线电射频管理等。网络管理员在无线控制器上配置安全策略，可以完成整网的安全策略配置，避免无线接入点被盗产生的安全信息外泄危机。

2.3 接入点零配置

在传统的无线接入点组网中，非法用户可能通过盗取无线接入点并读取入网密码等信息入侵网络。无线控制器通过对智能无线接入点的控制，使得智能无线接入点在本地不保存任何数据，而是全部实时存储在无线控制器上，因此智能无线接入点实现零配置，对于安全而言是非常有效的，杜绝了非法用户在接入层盗取设备截获信息的可能，同时也简化了本地接入的工作量。

2.4 非法入侵检测

无线访问接入点(Access Point，AP)相当于有线网络的集线器，是无线网络的核心，相当于无线HUB。它是移动计算机用户进入有线网、以太网的骨干接入点，可以方便简洁地安装在天花板或墙壁上，只有在无线AP可以覆盖的区域内进行适当的设置，才能连接无线网络[4]。无线网络由于使用空中的无线电射频信道工作，易于访问和配置简单，任何人都可以通过自己购买的AP不经过授权而联入网络。用户通过非法AP接入给网络带来安全隐患，产生数据安全及网络带宽非法占用等问题。当非法无线用户对合法无线接入点进行入侵时(如无线DOS攻击)，会被误以为是无线电波的信号受干扰或AP出现不稳定情况。这些攻击会导致用户的无线连接断线，但网络管理员却无法在第一时间得到报警。利用智能无线网络架构技术，无线控制器本身内置无线入侵模式库，可以实时检测异常的无线数据包，当无线系统侦测到有入侵时，记录和显示入侵的格式，开启入侵自动保护响应和报警。

2.5 病毒入侵防护

2.5.1 准入检查 当无线终端试图访问网络，在该用户认证之前，对无线终端的操作系统补丁、防病毒软件、防病毒定义码升级的情况进行检查。检查不通过，则设定策略禁止其访问网络，也可设置成将无线用户重定向到一台升级服务器。直到安装系统补丁、防病毒软件并升级病毒特征库，满足系统制定的安全策略以后，该无线终端才可以进入认证环节进行用户的认证。

2.5.2 数据检查 通过了准入检查后，对无线终端发出的数据进行有效性检查和监控。设定策略，对于某些用户以及可能沾染病毒的数据，将其重定向到防病毒设备上进行防病毒检查，检查完成后，才允许通过，否则丢弃数据，从而实现对无线终端的病毒防护。

2.6 安全准入控制

2.6.1 身份认证 对网络身份的行为授权，防止非授权终端访问。支持802.1x、Web准入，基于用户的网络身份进行访问权限授权，实现6元素自动绑定(用户IP、MAC、用户名、密码、交换机IP、交换机端口)以及用户硬盘ID绑定，与网络设备及安全设备联动，防止非授权终端访问。

2.6.2 安全策略 统一安全策略，全面保障终端安全、合规、受控。终端进入网络时，进行补丁检查、防病毒软件、注册表、系统服务、进程等多种安全策略检查，保障终端安全、受控和安全政策的落实，同时满足法律法规遵从性的需求。动态策略管理提供可定制、可扩展的安全策略，可分组织和角色灵活实施;提供多种安装策略并基于系统环境选择安装，及时、主动消除各种安全缺口；提供上网行为审计、USB移动存储设备、系统进程监控等安全策略，对用户违规行为进行审计和取证，帮助提高用户安全意识，保障IT资源的合理使用。

2.6.3 终端管理 部署自动化补丁检查，及时修复终端漏洞，主动消除安全缺口。基于自动化补丁检查结果，提供基于用户群组的补丁下发，支持分布式补丁分发，支持断点续传，保障下载的持续性。系统自动收集终端软、硬件资产信息，跟踪资产变更，实现资产管理IT化，保障信息资产可控可管。

2.7 无线认证与CA证书对接

认证系统支持与Windows CA证书对接，仅当终端安装有CA下发的合法数字证书时，终端才可认证接入网络，证书错误或者不存在都无法接入。终端认证实现基本CA证书认证，无需再次输入802.1x的用户名密码，简化操作。同时，在CA服务器异常时，只要客户终端有合法证书存在，仍可确保正常入网，实现免认证。这样可以确保在CA服务器出现故障时仍能正常使用，不会造成严重的网络事故。

3 应用实践

3.1 无线网络拓扑结构

某三级甲等医院实施无线网络的建设，目的是实现医院无线网络全面覆盖，为移动医疗提供一个安全、高可用的无线网络环境。该医院无线网络拓扑结构，见图1。

图1 无线网络拓扑结构

3.2 无线网络设计与部署

无线网络由有源以太网(Power Over Ethernet, POE)交换机，大容量室内无线AP，智分零漫游无线接入点及其配件组成。POE交换机使用千兆以太网链路连接大容量室内无线AP、智分零漫游无线AP实现数据传输。无线AP通过专用超柔馈线连接功率分配器、智分单元及入室美化天线等配件通过穿墙入室方式实现院区无线信号覆盖。大容量室内无线AP通过放装形式满足医院开放式区域的无线信号覆盖。

3.3 无线控制器冗余备份

无线控制器采用N+1集群冗余备份技术，其中1台无线控制器作为主控制器，其余N台作为从控制器。无线网络初始化时，只有主控制器会接受AP的注册请求。当AP和主控制器注册并建立无线接入点的控制和配量协议(ControlandProvisioningofWirelessAccessPointsProtocolSpeafication,CAPWAP)关联时，主控制器将备份控制器的信息通告给每个AP，AP根据此信息和备份的控制器建立一条虚拟CAPWAP链路，但同一时间只有与主控制器建立的CAPWAP链路处于工作状态。当主控制器异常宕机时，备份控制器和主控制器之间的心跳检测机制可以快速检测到主设备的状态，及时通知AP进行主备用CAPWAP隧道的切换，这一过程的切换时间将在50毫秒内完成，移动终端业务不会出现中断。

3.4 非法电磁信号监测

采用智能无线AP，通过两种模式对非法电磁信号进行监测：一种方式为AP设为每隔一段时间主动在线扫描模式；另一种方式将AP设为连续监控的监听模式。智能无线AP通过上述两种方式，采取按需的或预设定的射频扫描来监听周边环境信号源的MAC地址、通道(Channel)类型及服务集标识(ServiceSetIdentifier,SSID)等，自动识别并警告未授权的AP或点对点(Ad-Hoc)网络，以避免潜在的干扰或与无线入侵者。另外，对于某些重点区域，可以部署专用AP不断地扫描空域，以便满足安全性更高的要求。

3.5 双重认证鉴别

为了保障网络的安全性，无线网络需要对接入的设备进行准入认证。通常方式有802.1x+CA、Web以及MAC认证。对于不同种类的移动终端，由于操作系统的差异化，Web认证具有一定的兼容局限性。因此针对移动终端，可以采用基于802.1x+CA认证结合设备MAC地址绑定的双重认证鉴别，实现全网统一的无线终端鉴别。被授权的移动终端只有在安装了相应的CA证书，并且与绑定的MAC地址一致的情况下，才能接入无线网络。通过双重认证鉴别，实现移动终端的安全身份识别，避免外来非法无线终端的接入。

4 结语

很多医院的实践证明，移动医疗终端的实施为临床医护人员工作带来了极大方便，而且使得医疗服务更加安全[5]。融入无线网络技术及移动终端设备的医疗信息系统，为临床医疗工作带来创新与变革，是未来医疗信息系统的发展方向[6]。近年来，我国各医院在无线医疗技术方面的应用十分活跃，但与欧美国家相比尚处于起步阶段，如何加快无线技术的研究步伐，加大无线技术在医疗领域的投入，是我国医疗行业信息化建设的重点之一[7]。但是任何单一的安全技术都不能满足无线网络持续性的安全需求，只有通过综合应用多种安全技术，才能实现医院无线网络的安全运行[8]。而且，无线网络的安全不仅仅是技术问题，也是一个安全管理问题，同时也是社会道德与法律法规问题。因此，必须采取技术与立法等多种手段进行综合治理[9]。通过无线网络，利用移动终端设备，可实现床旁医疗服务，提高病人满意度，提高工作效率，简洁和美化病区环境。随着移动医疗在医院的普及，会有更多、更新的安全理论和技术不断涌现，从而保证无线网络的安全性，适应新形势下的安全管理需要，使之更好地为医疗服务[10]。

1 李林，刘毅，杨骏．无线网络安全风险评估方法的应用研究[J]．计算机防真，2011，28(9)：147-150．

2 张合华，赵玉虹．医院打造BYOD环境策略探析[J]．医学信息学杂志，2014，35(8)：31-34．

3 孔灿红，朱小卫，卜庆祝．医疗行业无线网络的建设[J]．中国数字医学，2010，5(11)：106-107．

4 刘文，徐涛．无线网络技术在医院设备管理中的应用[J]．医学信息学杂志，2010，31(12)：34-37．

5 胡育新．一种多功能、移动式医护工作站的设计构想[J]．医学信息学杂志，2009，30(11)：21-22．

6 黄文财，高昭昇．基于RFID技术的医院无线护理系统设计及其应用[J]．医学信息学杂志，2013，34(9):23-25.

7 杜柯，朱新银，赵碧霞．无线通信技术在智慧医疗管理系统中的应用[J]．医学信息学杂志，2013，34(6)：14-17．

8 仲晓伟，王建强．医院无线网络安全防护的探讨[J]．医疗卫生装备，2013，34(5)：45-47．

9 朱俊．无线网络安全问题及其防范措施[J]．计算机与网络，2013，(21)：71-73．

10 凡星，刘培奇．无线局域网中Wi-Fi安全技术研究[J]．电脑知识与基础，2012，8(7)：1513-1515．

Hospital Wireless Network Security Construction Measures and Application Practice

YANGMei,PANXiao-lei,PENGShi-ji,

InformationDepartment,WujingZongduiHospitalofGuangzhouProvince,Guangzhou510507,China

Aiming at the security risks of using wireless network in hospital, the paper puts forward the hospital wireless network security construction countermeasures, including security strategy centralized control, access point zero configuration, illegal intrusion detection, virus protection, security access control, wireless authentication connected with CA certification. Practice proves the operability of this security construction measures.

Wi-Fi；Security threats；Information security

2014-11-11

杨眉，工程师，发表论文10余篇。

R-058

A 〔DOI〕10.3969/j.issn.1673-6036.2015.02.010