面臨的挑戰(zhàn)
為應(yīng)對網(wǎng)絡(luò)安全面臨的全新形勢和挑戰(zhàn)，自2008年《信息安全技術(shù)-信息系統(tǒng)安全等級保護(hù)基本要求》發(fā)布以來，等級保護(hù)制度一直是國家信息安全保障工作的基本制度、基本策略和基本方法，是促進(jìn)信息化健康發(fā)展，維護(hù)國家安全、社會秩序和公共利益的根本保障。尤其是國家衛(wèi)生部2011年11月2日發(fā)布了關(guān)于印發(fā)《衛(wèi)生行業(yè)信息安全等級保護(hù)工作的指導(dǎo)意見》衛(wèi)辦發(fā)[2011]85號的通知，要求各醫(yī)療單位積極開展等級保護(hù)工作。
2014年2月，中央網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組成立，習(xí)近平總書記作為領(lǐng)導(dǎo)小組組長，指出“沒有網(wǎng)絡(luò)安全就沒有國家安全”，確定了國家網(wǎng)絡(luò)安全和信息化發(fā)展的方向。與此同時，我國網(wǎng)絡(luò)安全制度體系建設(shè)和組織機制建設(shè)也進(jìn)入了快車道，隨著《中華人民共和國網(wǎng)絡(luò)安全法》（以下簡稱《網(wǎng)絡(luò)安全法》）的正式發(fā)布，將網(wǎng)絡(luò)安全工作提升到法律的高度，各單位在信息化建設(shè)過程中，必須同步考慮網(wǎng)絡(luò)安全建設(shè)。同時隨著網(wǎng)絡(luò)技術(shù)的不斷發(fā)展，網(wǎng)絡(luò)安全形勢也在不斷變化，為適應(yīng)新形勢下網(wǎng)絡(luò)安全的要求，2019年5月10日《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護(hù)基本要求》正式公布，并將于2019年12月1日正式實施，也就是“等保2.0”。
不論是《中華人民共和國網(wǎng)絡(luò)安全法》的規(guī)定，還是從自身信息系統(tǒng)安全角度考慮，醫(yī)療衛(wèi)生行業(yè)都需要加強自己的安全管理體系和技術(shù)體系的建設(shè)，切實提升整體信息系統(tǒng)及數(shù)據(jù)的安全性。
綜合性醫(yī)院、?？漆t(yī)院、醫(yī)療監(jiān)管機構(gòu)的網(wǎng)絡(luò)架構(gòu)大同小異，根據(jù)承載業(yè)務(wù)的不通可劃分為內(nèi)網(wǎng)、外網(wǎng)、設(shè)備網(wǎng)，如圖所示：
醫(yī)院內(nèi)網(wǎng)：醫(yī)療機構(gòu)的生產(chǎn)業(yè)務(wù)網(wǎng)，承載所有業(yè)務(wù)應(yīng)用系統(tǒng)，如HIS、EMR、PACS、LIS等，以及與衛(wèi)健、銀行、醫(yī)保、新農(nóng)合等單位互通專網(wǎng)；醫(yī)院外網(wǎng)：醫(yī)療機構(gòu)對互聯(lián)網(wǎng)業(yè)務(wù)，承載的業(yè)務(wù)系統(tǒng)有：醫(yī)院門戶網(wǎng)站、OA、郵件、預(yù)約掛號等；醫(yī)院設(shè)備網(wǎng)：醫(yī)療機構(gòu)的弱電系統(tǒng)，承載系統(tǒng)有：公共廣播，門禁、監(jiān)控安防等。
各大醫(yī)療機構(gòu)的實際網(wǎng)絡(luò)結(jié)構(gòu)會有所不同，傳統(tǒng)的醫(yī)療機構(gòu)為內(nèi)外網(wǎng)物理隔離的網(wǎng)絡(luò)架構(gòu)，如衛(wèi)健委網(wǎng)絡(luò)就是內(nèi)外網(wǎng)嚴(yán)格物理隔離，但仍有大部分的醫(yī)院是使用內(nèi)外網(wǎng)網(wǎng)絡(luò)邏輯隔離情況，甚至內(nèi)外網(wǎng)絡(luò)無隔離情況，這樣的網(wǎng)絡(luò)架構(gòu)存在極大網(wǎng)絡(luò)安全隱患。
同時隨著醫(yī)療信息化的快速發(fā)展，醫(yī)療機構(gòu)作為國民服務(wù)機構(gòu)，為滿足患者需求，同時為提高醫(yī)療機構(gòu)業(yè)務(wù)效率，在內(nèi)外網(wǎng)區(qū)內(nèi)建設(shè)了無線網(wǎng)絡(luò)覆蓋，內(nèi)網(wǎng)無線承載內(nèi)網(wǎng)業(yè)務(wù)，如無線查房、無線護(hù)理等；外網(wǎng)無線承載員工外網(wǎng)業(yè)務(wù)，如互聯(lián)網(wǎng)醫(yī)院、線上坐診等，同時外網(wǎng)無線也可以滿足患者上網(wǎng)需求，提高醫(yī)療機構(gòu)服務(wù)滿意度。由于無線網(wǎng)絡(luò)也承載醫(yī)院核心業(yè)務(wù)，故無線網(wǎng)絡(luò)也是網(wǎng)絡(luò)安全建設(shè)的重要部分。
與其他機構(gòu)相比，醫(yī)療機構(gòu)的信息系統(tǒng)比較特殊。醫(yī)療業(yè)務(wù)系統(tǒng)中有大量的患者信息，醫(yī)學(xué)數(shù)據(jù)，健康普查數(shù)據(jù)等重要隱私，如果醫(yī)院信息系統(tǒng)遭遇勒索病毒，業(yè)務(wù)癱瘓，業(yè)務(wù)系統(tǒng)中斷，都將直接影響到患者就醫(yī)，甚至?xí)P(guān)系到患者的生命安全，從而引發(fā)社會輿論。2017年的勒索病毒事件，給我們敲響了警鐘，如何應(yīng)對未來網(wǎng)絡(luò)安全事件的解決方案尤為重要。綜上所述，醫(yī)療行業(yè)的業(yè)務(wù)系統(tǒng)都是核心業(yè)務(wù)系統(tǒng)，在滿足國家網(wǎng)絡(luò)安全等級保護(hù)相關(guān)規(guī)定的同時，更應(yīng)該合理加強相關(guān)業(yè)務(wù)的網(wǎng)絡(luò)安全防護(hù)能力。
解決方案
根據(jù)長期對醫(yī)療行業(yè)的網(wǎng)絡(luò)現(xiàn)狀分析，結(jié)合網(wǎng)絡(luò)安全等級保護(hù)的要求，我們對醫(yī)療信息系統(tǒng)進(jìn)行安全域的劃分，安全域是具有相同或相似安全要求和策略的IT要素的集合，是同一系統(tǒng)內(nèi)根據(jù)信息的性質(zhì)、使用主體、安全目標(biāo)和策略等元素的不同來劃分的不同邏輯子網(wǎng)或網(wǎng)絡(luò)，每一個邏輯區(qū)域有相同的安全保護(hù)需求，具有相同的安全訪問控制和邊界控制策略，區(qū)域間具有相互信任關(guān)系，而且相同的網(wǎng)絡(luò)安全域共享同樣的安全策略。安全域劃分是進(jìn)行網(wǎng)絡(luò)安全等級保護(hù)的首要步驟，通過合理的劃分網(wǎng)絡(luò)安全域，針對各自的特點而采取不同的技術(shù)及管理手段，從而構(gòu)建一整套有針對性的安全防護(hù)體系。根據(jù)醫(yī)療行業(yè)網(wǎng)絡(luò)現(xiàn)狀分析，總體安全域劃分結(jié)構(gòu)圖如下：
- 內(nèi)、外網(wǎng)終端接入?yún)^(qū)
- 實現(xiàn)醫(yī)療信息系統(tǒng)中各終端設(shè)備的匯聚接入，包括無線手持PAD、醫(yī)護(hù)人員辦公PC等。
- 核心業(yè)務(wù)區(qū)
- 用于部署醫(yī)療行業(yè)核心業(yè)務(wù)系統(tǒng)，依照等保三級要求及網(wǎng)絡(luò)安全防護(hù)角度，與核心網(wǎng)絡(luò)之間通過防火墻實現(xiàn)安全隔離。
- 安全管理區(qū)
- 用于部署信息系統(tǒng)安全管理及網(wǎng)絡(luò)管理的相關(guān)安全設(shè)備，如日志審計系統(tǒng)、數(shù)據(jù)庫審計系統(tǒng)、堡壘機（運維審計系統(tǒng)）、威脅態(tài)勢感知平臺等設(shè)備。
- 互聯(lián)網(wǎng)出口防護(hù)區(qū)
- 部署邊界防護(hù)設(shè)備，通過防火墻（IPS模塊，AV模塊，IOC模塊）、上網(wǎng)行為管理等設(shè)備對網(wǎng)絡(luò)邊界進(jìn)行防護(hù)。
- 專網(wǎng)出口防護(hù)區(qū)
- 部署專網(wǎng)邊界防護(hù)設(shè)備，通過防火墻、入侵防御系統(tǒng)等設(shè)備對專網(wǎng)邊界進(jìn)行防護(hù)。
- 互聯(lián)網(wǎng)業(yè)務(wù)區(qū)
- 部署醫(yī)療機構(gòu)對外業(yè)務(wù)系統(tǒng)防護(hù)設(shè)備，通過部署WEB應(yīng)用防火墻、郵件防火墻等設(shè)備提供應(yīng)用安全防護(hù)，同時部署SSLVPN、IPSECVPN虛擬專用網(wǎng)絡(luò)設(shè)備做互聯(lián)網(wǎng)業(yè)務(wù)可信認(rèn)證。
醫(yī)療行業(yè)的終端一體化解決方案，是依據(jù)統(tǒng)一基線策略、分級管理、分級授權(quán)的方針搭建醫(yī)療行業(yè)統(tǒng)一防病毒體系、統(tǒng)一計算機安全管理體系。建設(shè)終端和服務(wù)器病毒防護(hù)，安全管控，網(wǎng)絡(luò)準(zhǔn)入一體的平臺進(jìn)行統(tǒng)一安全管理，終端安裝單個Agent就可實現(xiàn)病毒防護(hù)、安全準(zhǔn)入、安全管控等安全功能。
- 終端防病毒
- 提供針對終端安全的防護(hù)措施，為終端提供安全的上網(wǎng)辦公環(huán)境。包括互聯(lián)網(wǎng)中的病毒、木馬、蠕蟲、網(wǎng)馬、僵尸網(wǎng)絡(luò)、流氓軟件、間諜軟件等惡意代碼進(jìn)行有效的識別、查殺與隔離。
- 終端管控
- 控制中心制定策略，全網(wǎng)對USB接口、無線路由，移動存儲及各種外設(shè)接口進(jìn)行管控；設(shè)定軟件運行黑白名單，禁止娛樂軟件、盜版軟件的安裝及運行；根據(jù)部門、用戶設(shè)定終端帶寬管理策略，有效杜絕P2P軟件帶來的網(wǎng)絡(luò)擁塞問題。對全網(wǎng)終端進(jìn)行IP、Mac地址綁定，有效防止私自修改行為；對客戶端進(jìn)行防黑加固，提供有針對性監(jiān)控功能，包括系統(tǒng)賬號變更、重點端口監(jiān)控，共享目錄管控等。
- 統(tǒng)一運維
- 采用統(tǒng)一運維功能，實現(xiàn)全網(wǎng)終端的補丁統(tǒng)一升級、普通軟件分發(fā)、硬件資產(chǎn)管理、一鍵加速、一鍵修復(fù)及遠(yuǎn)程協(xié)助功能，協(xié)助IT維護(hù)人員高效的完成終端運維工作。
- 通過部署NAC網(wǎng)絡(luò)準(zhǔn)入設(shè)備，阻止未授權(quán)設(shè)備接入內(nèi)網(wǎng)和訪問敏感資源，保證內(nèi)網(wǎng)接入安全的同時也提高安全管理軟件的安裝率。
- 醫(yī)療機構(gòu)通過技術(shù)結(jié)合管理的方式，根據(jù)醫(yī)療機構(gòu)實際狀況，制定終端安全管理制度，對終端安全具體的防護(hù)內(nèi)容提出了管理和考核要求，并通過技術(shù)手段進(jìn)行檢測，對執(zhí)行結(jié)果進(jìn)行評分，從而有力的推動醫(yī)療機構(gòu)的終端安全建設(shè)。
高級持續(xù)性威脅（Advanced Persistent Threat，簡稱APT）是一種可以繞過各種傳統(tǒng)安全檢測防護(hù)措施，通過精心偽裝、定點攻擊、長期潛伏、持續(xù)滲透等方式，伺機竊取網(wǎng)絡(luò)信息系統(tǒng)核心資料和各類情報的攻擊方式。事實證明，傳統(tǒng)安全設(shè)備已經(jīng)無法抵御復(fù)雜、隱蔽的APT攻擊，而我國的醫(yī)療行業(yè)已漸漸成為高級持續(xù)性威脅的重要受害方。
為了及時發(fā)現(xiàn)此類威脅，奇安信天眼將大數(shù)據(jù)技術(shù)應(yīng)用于威脅發(fā)現(xiàn)領(lǐng)域，在云端通過多維度跨域分析，深度數(shù)據(jù)挖掘和人工智能技術(shù)對海量數(shù)據(jù)進(jìn)行深度分析以實時獲知未知威脅的發(fā)展動態(tài)。
奇安信天眼系統(tǒng)獨有的云端威脅情報系統(tǒng)結(jié)合本地安全大數(shù)據(jù)引擎，建立云端 + 本地系統(tǒng)的關(guān)聯(lián)分析及立體式防護(hù)體系，為用戶提供全方位的未知威脅感知能力。
醫(yī)療機構(gòu)內(nèi)部網(wǎng)絡(luò)中部署奇安信天眼系統(tǒng)未知威脅檢測系統(tǒng)可以及時有效的發(fā)現(xiàn)未知威脅，提升管理人員對未知威脅的發(fā)現(xiàn)速度和效率，最大限度的降低受攻擊后的損失，回溯方案可以記錄內(nèi)網(wǎng)的任何一次網(wǎng)絡(luò)行為為回溯提供強大的支撐。
- 威脅情報
- 奇安信天眼實驗室在云端共搜集了200PB與安全相關(guān)的數(shù)據(jù)，涵蓋了DNS解析記錄、WHOIS信息、樣本信息、文件行為日志等內(nèi)容，并針對所有這些信息使用了機器學(xué)習(xí)、深度學(xué)習(xí)、重沙箱集群、關(guān)聯(lián)分析等分析手段，最終形成云端威脅情報下發(fā)本地進(jìn)行檢測。
- 本地檢測
- 傳感器負(fù)責(zé)將所有鏡像流量進(jìn)行還原分析，提取HTTP、SMTP、POP3、FTP等文件傳輸協(xié)議中出現(xiàn)的文件內(nèi)容，將文件通過加密通道傳送到檢測器；檢測器對所有文件進(jìn)行解壓縮，格式檢查后，將使用靜態(tài)檢測、半動態(tài)檢測、沙箱檢測等多種檢測手段對文件中可能包含的惡意行為進(jìn)行捕捉分析以發(fā)現(xiàn)高級威脅。使用該方案后，可以有效發(fā)現(xiàn)網(wǎng)絡(luò)中出現(xiàn)的漏洞利用行為，木馬控制行為，同時沙箱檢測還可以提供更多高級沙箱防逃逸技術(shù)以避免攻擊繞過整個檢測系統(tǒng)。
- 回溯
- 分析平臺可以依靠自身獨特的分布式搜索架構(gòu)設(shè)計，將所有傳送至此的行為信息和告警信息進(jìn)行快速的存儲并建立索引。建立索引后的信息可以在分析平臺上快速的搜索到。如此，安全管理人員便可以利用該方案記錄過去一段時間內(nèi)出現(xiàn)的任何一次網(wǎng)絡(luò)行為，發(fā)現(xiàn)任何一次網(wǎng)絡(luò)行為中的具體細(xì)節(jié)，提升網(wǎng)絡(luò)透明度及可視性，快速發(fā)現(xiàn)高級威脅結(jié)合本地系統(tǒng)進(jìn)行準(zhǔn)確溯源，牢牢掌握安全工作的主導(dǎo)位置，滿足上級監(jiān)管單位對于安全工作的溯源及定位要求。并且，奇安信天眼可以與天擎終端安全管理系統(tǒng)進(jìn)行聯(lián)動，借助奇安信天眼的深度檢測能力，結(jié)合奇安信天擎在終端上的精確防御能力，實現(xiàn)對PC終端的攻擊防御。
隨著醫(yī)療信息化的快速發(fā)展，基于無線網(wǎng)絡(luò)的醫(yī)療手段在未來會越來越多，如移動查房，醫(yī)生不用再帶患者資料去查房，而是使用移動臨床終端，大大提高醫(yī)護(hù)人員的工作效率，又如遠(yuǎn)程會診、遠(yuǎn)程醫(yī)療的流行，醫(yī)療信息化已經(jīng)到了移動醫(yī)療時代。伴隨著移動醫(yī)療的發(fā)展，無線安全隱患也逐漸暴露。移動終端求醫(yī)記錄被竊取、醫(yī)療機構(gòu)信息對外開放化，醫(yī)療機構(gòu)內(nèi)部遠(yuǎn)程會議沒有一個安全可靠的網(wǎng)絡(luò)環(huán)境去承載，都將成為醫(yī)療行業(yè)的無線安全的痛點。對此，我司針對醫(yī)療行業(yè)的無線安全提供整套的安全解決方案。
方案價值
-
提升了信息中心安全防護(hù)級別，滿足國家網(wǎng)絡(luò)安全等級保護(hù)安全建設(shè)要求。
-
保護(hù)互聯(lián)網(wǎng)出口的安全穩(wěn)定，保障醫(yī)療機構(gòu)員工日常上網(wǎng)的安全。
-
為醫(yī)療機構(gòu)建立邊界+終端+威脅情報多層次智慧防御體系。
-
確保醫(yī)療機構(gòu)網(wǎng)站的保密性、完整性及可靠性，確保網(wǎng)站不受敏感信息泄露、網(wǎng)頁篡改、及網(wǎng)站攻擊事件的困擾。
-
保證醫(yī)療機構(gòu)的移動臨床終端設(shè)備免受病毒侵?jǐn)_。
-
對互聯(lián)網(wǎng)出口進(jìn)行上網(wǎng)權(quán)限管理，保障核心業(yè)務(wù)的穩(wěn)定性，提高工作效率。集中管控醫(yī)療機構(gòu)員工的上網(wǎng)行為，滿足國家公安部82號令上網(wǎng)日志留存的合規(guī)性要求。
