徐然 刘大龙

青岛市市立医院信息管理部，山东 青岛 266071

作为医院网络管理员或网络安全工程师，仅仅了解网络设备的功能及相关性能参数，是完全不够的，我们的任务是将这些设备搭建起来组成网络，组成一个安全的网络，组成一个高效率的网络，这才是我们做网络管理员或者网络工程师的基本工作，也是我们的工作目标。怎样组织好这些设备呢？这就需要更多的组网实践活动才行，实际环境中网络方案的设计、网络安全的加固可以说千变万化，各种不同的实际情况，让我们拿着相同的设备可以组成具有完全不同功能的网络，当然也可能会出现各种不同的问题，对各种问题更应该具有举一反三的解决问题的能力。

网络安全加固方案设计通常分为五个方面，这五个方面是：方案背景、需求分析、方案设计、产品介绍、方案建设预算等。这里先对这五个方面做一个解释。

1) 方案背景：方案背景一般是描述本方案是在什么情况下提出的，得到哪些方面的支持和认可，预计方案实施后产生的效果如何等。

2) 需求分析：这个方面是整个方案的基础，方案一般是以需求分析为基础进行设计的。它一般又分为两部分，第一部分是描述当前网络及网络安全的现状，当然这部分里面讲的是网络的实际情况，同时要指出其中存在的问题，以及带来的危害等。第二部分是根据网络及网络安全的现状提出要达到的安全目标，把目标一个一个列出来，仔细分析，说明能够解决当前网络中存在的哪些问题，这就是需求分析。

3) 方案设计：这部分是整个方案的关键部分，它主要是根据需求分析的结果提出设计的，设计时要满足需求分析所列出的目标，做好网络拓扑、设备配置、设备部署以及各项设置的设计方案。

4) 产品介绍：这部分是对方案设计中涉及的一些产品做一个参数性能和产品功能上的说明，主要目的是向方案阅读者和建设方说明该产品符合方案的需求。

5) 方案的预算报价：对这个方案所采购的设备、软件、以及人力成本做一个大体的概算。

这就是一般网络安全方案所具有的内容。这部分也很重要。一个好的解决方案不仅要完全满足医院的需求，更要考虑到医院所能承受的成本支出。否则，即使方案设计的再全面，由于成本过高，也可能被领导认为是不可接受的方案。

以本单位网络安全项目为例，看方案背景，也叫项目背景。

1. 方案背景

某医院是市属规模最大的综合性三级甲等医院，该单位将门诊，住院，检验等许多工作都转变为无纸化办公， 由于初期网络设计部署上的缺陷，院内局域网在建成后经常出现网络拥堵、网速特别慢的情况，同时有些个别机器上的杀毒软件频频出现病毒报警，网络经常瘫痪，每次时间都持续几十分钟，网管简直成了救火队员，忙着清除病毒，重装系统。病人正常就诊流程，由于网络出现问题，也会被延误。对外WEB网站同样也遭到黑客攻击，不仅影响到网站的正常运行，而且还对医院形象也造成不良影响。

为了让单位网络正常运行，根据我国《信息安全等级保护管理办法》的信息安全要求，院领导决定对该网络加强安全防护，解决目前网络出现的安全问题，以保证医院的正常运行。

这就是方案的背景。

2. 需求分析

2.1 网络现状

目前该单位网络分为两个部分,一部分为网站部分,另一部分为内网部分；有两个出口（一个internet电信出口，一个为通往市卫生局信息中心的出口），internet出口有一台网御Power V-203防火墙，网络设备有路由器(华为Quidway AR28-40)2台，核心交换机(华为Quidway S3528F-EA)1台，接入交换机(华为 Quidway S2403TPMI)10台，WEB服务器(浪潮 )1台，应用服务器（浪潮）1台，数据库服务器（浪潮）1台； 126个PC工作站。

2.2 安全现状分析

（1）整个网络有两个出口，这两个出口,Interne出口有防火墙进行防护，不过防火墙是一种几年前推出的网御Power V-203防火墙，而且自从安装后就没有在做策略上的设置，形同虚设；市卫生信息网出口没有加任何安全防护措施，直接接入；内网可以说是基本直接暴露在外网中，同时连带着造成整个卫生信息网直接接入到了Internet中，这样的网络可以说存在着众多安全隐患，没有安全可言，这也意味着该网络很容易被外网中的不发黑客攻击得手，造成内网或者外网网站被黑导致瘫痪，也会很轻易感染病毒，最终造成网络中数据泄密或丢失。

（2）内网中只安装了一些单机版的杀毒软件，有些机器根本没有杀毒软件。这就是为什么一有病毒感染网络中很多机器就瘫痪的原因。

（3）内网接入时，没有做任何身份验证，只要有条线就可以直接接入内网，很容易造成内部信息的泄露，同时也增加了网络感染病毒的几率。

（4）外网网站直接接入外网，没有做任何的安全防护，容易被攻击和瘫痪。

（5）没有入侵检测设备，无法检测到一些试图或者成功的入侵行为，对于入侵无法做到早期预警。

（6）无论服务器还是PC终端都没有做系统加固处理，存在众多的安全漏洞，也没有对系统打补丁。

2.3 安全需求

该单位网络一旦出现网络数据或网站遭到破坏和篡改，公共利益、医院业务和形象均会产生不同程度的不良影响，重要的信息一旦丢失更是后果严重，根据该医院性质业务内容，以及《信息安全等级保护管理办法》的要求，网络及网站安全应达到如下要求：

1)采取必要措施，解决Internet网络出口安全，减少网络遭受非法攻击，保证工作日正常运行，网站24小时正常运行，不间断的向公众开放，提供合法和有益的信息资源。

2)采取措施解决与市卫生局信息中心连接出口的安全问题，解决全市政府网络中的不法用户攻击和病毒交叉感染问题。

3)在用户接入网络时保证用户的合法性，不被非法和恶意攻击、拷贝和篡改，保证网络内各计算机内信息资料的安全。

4)对于外部入侵能够及时告警，对任何企图入侵或成功入侵行为要进行日志记录，能够做到前期预防后期审查。

5)拦截外网木马病毒侵袭，提高病毒查杀效率，减少因木马病毒感染带来的影响。

6)增强内网防毒和杀毒能力。

7)内部服务器和PC终端要定期进行必要的系统加固，减少或杜绝计算机系统自身的漏洞。

8)所有科室划分VLAN。

2.4 解决方案设计

根据需求分析的网络和网站安全加固要求，实施以下安全配置方案：

1)将Internet外网和政府网同时接入到一台外网防火墙（重新购置新型防火墙）上，防火墙位置位于两台华为路由器Quidway AR28-40和核心交换机(华为Quidway S3528F-EA)之间，防火墙可以使用网神SecGate3600防火墙，起到阻隔来自Internet外网的黑客和木马攻击。

2)在防火墙和核心交换机之间加装一台网神SecAV3600系列防毒墙，起到阻止来之Internet和政府信息网中病毒的入侵，尽可能的阻病毒与网络之外，减轻内网防病毒压力，起到事半功倍的效果。

3)配置一台LinkTrust IDS200入侵检测设备(IDS)，镜像防火墙内网端口和DMZ端口数据到连接IDS端口，同时对穿透防火墙进入内网和网站的不法接入信息进行检测。

4)部署网络版的杀毒软件，这里可以部署诺顿或者是瑞星网络版杀毒软件。

5)网站因对外提供服务的特性，将其放置在DMZ区域，起到堡垒主机的作用，同时为防止网站WEB网页被黑或被篡改，部署一套网页防篡改软件（InforGuard企业版），对网站实时保护。

6)对整个网络主机一一进行加固，关闭不必要的服务，减少漏洞。

7)将每台主机MAC和IP地址进行绑定，杜绝外部电脑的随意接入，减少数据外泄和被篡改的风险。

8)将重要处室如审批大厅实施VLAN划分。

产品介绍与方案预算报价以实际情况为准，此处不过多探讨。

以上便构成了一个完整的网络加固方案，虽然是针对医院设计，但是也同样可以套用在其他单位网络安全方案中。

[1]黄平,肖扬. 医院信息系统数据安全威胁与防范机制.医疗卫生装备, 2012年 01期

[2]章胜南. 医院计算机网络系统的安全与维护[J]. 中国医疗设备，2008，23（5）：40-41

[3]于坤. 虚拟局域网的定义和技术基础[J]. 科学咨询(决策管理)，2010，14（5）：57-59