郝冀皖，馬 獻，劉陸陸

醫(yī)院局域網(wǎng)終端的安全管理

郝冀皖，馬 獻，劉陸陸

醫(yī)院局域網(wǎng)；終端管理；虛擬化技術(shù)

當(dāng)前醫(yī)院信息系統(tǒng)(hospital information system，HIS)在衛(wèi)生醫(yī)療領(lǐng)域內(nèi)已不可替代，相關(guān)從業(yè)人員對其的依賴度也日益加深。HIS系統(tǒng)安全高效運行對醫(yī)院的名譽、口碑、效益有較大的影響，也與患者的切身利益息息相關(guān)。由于HIS系統(tǒng)自身7×24 h不間斷運轉(zhuǎn)的特殊要求，系統(tǒng)出現(xiàn)問題，發(fā)生故障也不可避免。因此對于醫(yī)院信息化工作來說，如何通過有效的管控減少故障發(fā)生，如何快速解決問題，及時應(yīng)對就顯得尤為重要。

1 現(xiàn)狀與問題

HIS系統(tǒng)主要通過局域網(wǎng)共享數(shù)據(jù)庫資源，從而實現(xiàn)各模塊的功能。為了確保HIS系統(tǒng)能夠安全穩(wěn)定運行，各大醫(yī)院都制定了相應(yīng)的運行維護方案。如：建立安全管理制度，規(guī)范工作人員的操作，制定系統(tǒng)應(yīng)急預(yù)案，入侵檢測、防火墻與殺毒軟件的應(yīng)用，定期進行數(shù)據(jù)備份等[1]。但由于醫(yī)院信息化的不斷發(fā)展，各種硬件設(shè)備的更新和軟件的升級，致使這些傳統(tǒng)的措施已經(jīng)無法應(yīng)對當(dāng)前的實際狀況。

1.1 終端系統(tǒng)部署 計算機安裝系統(tǒng)，HIS系統(tǒng)模塊調(diào)試及外設(shè)連接耗時費力，單調(diào)重復(fù)。并且隨著其數(shù)量的不斷增加，也給終端資產(chǎn)管理帶來了很大的困難。設(shè)備的數(shù)量型號，分布位置及從屬關(guān)系不便統(tǒng)計，終端配置及其軟件安裝也很難管理。

1.2 局域網(wǎng)病毒防護 局域網(wǎng)病毒在危害終端的同時，會快速傳遍整個網(wǎng)絡(luò)，造成醫(yī)療數(shù)據(jù)損壞丟失，影響網(wǎng)絡(luò)運行速度，甚至導(dǎo)致網(wǎng)絡(luò)癱瘓。在局域網(wǎng)絡(luò)環(huán)境中，終端染毒大多來自于移動存儲介質(zhì)。禁用USB端口諸多不便，而殺毒軟件以防護為主，一旦染毒很難完全清除。

1.3 維護與升級 在舊有模式下，醫(yī)院信息化的大量運行維護需要工程師現(xiàn)場支持。例如終端系統(tǒng)補丁更新，HIS系統(tǒng)模塊升級及新增應(yīng)用程序等，要求工程師下科作業(yè)，效率極低。

1.4 信息安全 由于醫(yī)院所處的環(huán)境較為特殊，終端漏洞一旦被利用，就會威脅到醫(yī)院的經(jīng)濟利益。這些威脅會避開傳統(tǒng)的安全協(xié)議，使醫(yī)院成為數(shù)據(jù)竊取和操控的受害者，造成業(yè)務(wù)服務(wù)中斷，并導(dǎo)致醫(yī)院品牌和聲譽嚴重受損[2]。

為解決局域網(wǎng)辦公終端存在的弊病，筆者組織實施了符合本單位信息化現(xiàn)狀的計算機安全管理解決方案。

2 方案實施

該方案采用了主動管理方式來管理局域網(wǎng)終端，其核心是虛擬化技術(shù)的應(yīng)用。服務(wù)器通過管理各個分組的虛擬鏡像即可管理全部終端，再配以控制臺的輔助功能，進而規(guī)范并簡化了日常紛繁復(fù)雜的IT運行維護工作，見圖1。

圖1 醫(yī)院局域網(wǎng)終端方案架構(gòu)圖

2.1 服務(wù)器 服務(wù)器采用Windows Server 2003操作系統(tǒng)，運行服務(wù)器安裝程序包，搭建Ftp服務(wù)器。開啟后臺及資產(chǎn)管理等必要服務(wù)，配置網(wǎng)絡(luò)參數(shù)即可完成服務(wù)器的安裝部署。

2.2 客戶端 將所部署終端的開機啟動順序設(shè)置成從網(wǎng)絡(luò)啟動。進入客戶端安裝窗口后，從相關(guān)分組中選取對應(yīng)的系統(tǒng)鏡像即可自動完成安裝。

2.3 控制臺 控制臺可安裝在局域網(wǎng)內(nèi)任意終端。運行控制臺安裝程序，在初始界面與服務(wù)器建立連接后即可使用。通過控制臺可以進行鏡像分組的添加，修改和刪除。輔助功能有遠程桌面、軟件分發(fā)、補丁更新、準入控制、消息發(fā)布、資產(chǎn)管理等。

3 功能分析

3.1 系統(tǒng)自動部署 首先需要創(chuàng)建相應(yīng)的虛擬系統(tǒng)，例如病房醫(yī)師、門診醫(yī)師、護理OS鏡像等。通過控制臺將鏡像上傳至服務(wù)器存儲，并建立相應(yīng)的分組。局域網(wǎng)內(nèi)每加入一臺終端，在連接網(wǎng)絡(luò)后，設(shè)置網(wǎng)卡啟動，選擇相應(yīng)的分組鏡像即可自動安裝，10～15 min完成部署。虛擬鏡像集成了全部外設(shè)驅(qū)動，可實現(xiàn)打印機、讀卡器等硬件設(shè)備的即插即用。P2P技術(shù)的引用大大降低了對服務(wù)器和網(wǎng)絡(luò)指標(biāo)的要求。經(jīng)測試，普通塔式服務(wù)器和100 M主干網(wǎng)同時部署200臺終端共耗時35 min。

3.2 集中分組式管理 該方案支持局域網(wǎng)終端集中分組管理，在系統(tǒng)虛擬化的基礎(chǔ)上實現(xiàn)了應(yīng)用虛擬化。根據(jù)用途不同，原始鏡像可以安裝不同的HIS應(yīng)用模塊，實施不同的管理策略，形成多個分組鏡像。只要統(tǒng)一管理好服務(wù)器上的虛擬鏡像，及時升級，打補丁，更新病毒碼，各終端就會自動與之對比，完成系統(tǒng)更新。此外通知傳達，消息廣播以及資料分發(fā)可以通過控制臺選定范圍后統(tǒng)一執(zhí)行。

3.3 網(wǎng)絡(luò)數(shù)據(jù)安全 由于虛擬化技術(shù)的應(yīng)用，該方案基本實現(xiàn)了計算機病毒“0”感染。任何病毒只能在終端內(nèi)存短期駐留，無法寫入OS鏡像，從而無法擴散，而終端在與鏡像同步后也會自動清除病毒。對于用戶數(shù)據(jù)，則可以定制為本地存儲或遠程存儲。遠程存儲可將用戶數(shù)據(jù)從終端遷移到存儲服務(wù)器，并進行存儲數(shù)據(jù)陣列冗余備份或雙機備份，實現(xiàn)更安全的數(shù)據(jù)保護。終端一旦發(fā)生硬盤損壞或數(shù)據(jù)丟失，即可通過SAN的快照功能進行用戶數(shù)據(jù)按需還原。此外通過控制臺還能夠進行終端IPMAC 地址掃描綁定，從而實現(xiàn)準入控制，杜絕非法訪問。

3.4 遠程協(xié)助及資產(chǎn)管理 管理員可以通過控制臺同時對多個終端進行遠程桌面控制，提供技術(shù)支持。由于醫(yī)院對信息化建設(shè)不斷加大投入，準確合理的統(tǒng)計管理便成了信息化資產(chǎn)高效利用的前提基礎(chǔ)[3]?？刂婆_能夠掃描收集終端信息，包括主板信息、操作系統(tǒng)、邏輯分區(qū)、計算機描述以及相關(guān)外設(shè)。根據(jù)統(tǒng)計數(shù)據(jù)，IT管理部門能夠更加合理的調(diào)控，分配信息化資產(chǎn)，為醫(yī)院信息化建設(shè)打下堅實的基礎(chǔ)。

[1] 鄭 蕾,翁盛鑫,黃 影.醫(yī)院信息系統(tǒng)客戶端的安全管理和實踐[J].醫(yī)療衛(wèi)生裝備,2010,31(3)：62-63.

[2] 夏 勇,陳敏亞,沈志強.醫(yī)院計算機終端的安全管理和實現(xiàn)[J].網(wǎng)絡(luò)安全與管理,2011,6(2)：112-113.

[3] 周 毅.淺析醫(yī)院信息化建設(shè)的資產(chǎn)管理[J].中國醫(yī)學(xué)裝備,2012,9(12)：81-83.

(2014-05-20收稿 2014-08-13修回)

(責(zé)任編輯 郭 青)

郝冀皖，本科學(xué)歷，工程師，E-mail: 121378998@qq.com

100039北京，武警總醫(yī)院計算機管理中心

李雷剛，E-mail:151511575@qq.com

R197.324