浅谈医疗行业网络安全运维解决方案

张立军

（青岛市第六人民医院统计信息科，青岛 266033）

1 需求分析

1.1 网络管理及全面监控的需求

HIS、LIS、PACS、EMR系统的网络结构分为四个功能区域，分别是：核心区、服务器区、外联区和客户端区。客户端区由汇聚交换机组成，核心区由核心交换机构成，服务器区包括应用集群服务器、存储、数据库服务器等，外联区由出口防火墙连接医保、卫生局和银行等外联机构。网管人员需要对网络运行状态进行实时监控，发现并处置故障。定期出具运行报告，故障告警需7*24小时全天候处理。根据业务发展状况，迫切需要构建、完善网络管理系统。

随着医疗信息化的不断发展建设，各种网络设备、服务器主机、存储设备等不断增多，各厂家设备无法在同一平台内进行设备运行状态等的监控预警，运用统一的网络管理系统，将范围内各类厂家的网络设备纳入管理显得尤为重要。

1.2 统一便捷的管理

采用新的检测模型，对任意业务流随时逐点检测网络质量，直接在故障端口进行检测，无需其他额外开销。能够提供统一的网管系统，实现对医院的全部网络设备资源、用户等进行统一管理。实现对医院各种信息系统包括HIS、PACS、LIS、远程医疗、办公系统、视频会议等业务实时网络质量检测，提前预警，精准化运维。实现从传统式“粗放式运维”到现在的“精准化运维”的巨大转变。

1.3 预告与预警机制

实时故障预警，能够实现系统的风险转移。实时监控医院各种重要的医疗系统和办公系统等业务系统运行情况，根据各个医院的实际情况建立灵活的时间管理机制，故障预警机制和告警分析处理机制，能够在故障发生时迅速定位，做到事前防范，事后及时处理，动态掌握各种资源，提高利用率，使监控成为排除医院隐患强有力的助手。

1.4 统一综合展示中心

建设综合展现模块和机房监控工作台，实现信息的统一展示。方便运维人员和信息化管理人员进行日常监控，也可向领导和来宾清晰、便捷、美观的展现综合信息。由此建设成为统一的信息化综合展现中心。

2 系统安全性设计

（1）用户安全机制

在进行产品架构设计时，充分考虑了管理系统的安全性，具体措施包括：

（2）用户登录失败次数限制。

严格的密码校验策略

（3）登录时间限制

采用严格的、细颗粒度的权限控制机制，每个用户均可以设定单独的菜单和资源权限。

（4）统一认证登录

支持LDAP和微软域的权限集成，实现所有用户统一的登录界面，用户权限的分配和管理以及用户资源视图分配。每个用户有独立的资源视图，这样能够保证管理安全。

（5）三权分立

系统用户设计遵循严格的三权分立原则，整个系统严格按照系统管理人员、审计员、操作员进行分权管理，各司其职，确保没有一个人可以完整的掌控整个系统。

3 解决方案

3.1 网络拓扑管理功能

3.1.1 拓扑自动发现

系统应支持在发现过程中，自动查找整个网络的路由设备、网络交换机、防火墙、链路及服务器等资源，根据网络设备信息，可生成网络的拓扑结构，并以拓扑图的方式直观显示。

3.1.2 拓扑内容展示

通过网络拓扑图，能够让系统管理员直观的了解到各网络设备的运行状况，在拓扑图上可以通过各种信息包括设备名、MAC地址、IP等信息准确定位设备，能直观的呈现网络设备的IP地址、端口状态、链路属性及当前的流量，并能够显示该设备的网络连接情况；显示出网络设备的运行状态，包括IP地址，设备名称，告警信息，CPU、内存占用率等。

3.2 IT资源管理

网络安全运维系统应支持对网络设备、服务器主机、存储设备、无线等IT基础设施和OS、数据库、虚拟化、中间件、应用等软件设备的主动式监控管理，同时从点到面集中7*24小时的管理整个IT系统，并且监控管理具备很强的可扩展能力，方便进行功能扩展和规模扩展；加强系统的易用性，减轻运维压力，这样方便工作人员日常运维管理工作的进行，监控管理应提供对网络环境的性能分析和监控，故障分析、定位和监控、网络配置文件等管理。针对IT资源的监控应涵盖不同厂商包括但不限于CISCO、华为、中兴、锐捷、H3C、天融信、飞塔、网御神州、迪普、迈普、启明星辰等不同型号和厂商的网络与安全设备。可提供各类设备的基本信息、设备可用状态、响应延时、端口速率、ICMP连通性等设备属性以及监测指标。IPMI[1]是一种开放标准的硬件管理接口规格，可利用IPMI监视服务器的物理健康特征，针对服务器、存储等硬件设备信息如温度、电压、风扇工作状态、电源状态、物理磁盘、内存状态和CPU状态等进行实时监控，操作系统不必负担传输系统状态数据的任务。

3.3 告警与报表管理

安全运维管理系统应提供统一的告警管理平台，通过性能指标采集轮询、调用厂家网管告警接口、第三方系统轮询获取等多样化的来源方式，获得整个网络系统中的各种事件、设备故障、网络异常等告警，当出现故障后能通过预置的报警方式，能自动生成报警统计分析报告，及时短信通知预设用户，能够为用户提供高效主动式的故障解决方式。

通过运维监控平台的应用，能够及时发现例如网络设备故障、链路故障，流量异常等事件并及时反馈给指定用户，因此能够让用户对整个网络的运行情况一目了然。

同时，随着信息化及大数据的发展，用户对数据统计要求各异，该监控系统可以根据用户各种需求展现网络运维的管理指标，生成各种分析图表，为院领导决策提供科学，有效的依据。