构建“安全高效”的医院内网终端管理系统

开篇：润墨网以专业的文秘视角，为您筛选了一篇构建“安全高效”的医院内网终端管理系统范文，如需获取更多写作素材，在线客服老师一对一协助。欢迎您的阅读与分享！

从国内外发达地区的医院信息化水平来看，大多数医院完成基础网络平台、业务系统平台建设，工作站建设也形成较大规模。但信息化水平的提升反而给信息化管理者与工作者带来越来越大的苦恼。如何保证整个IT系统稳定安全运行，如何管理好大量的信息点，这些都将成为巨大的挑战。

医院内网终端管理现状分析

当前三甲医院信息点规模在2000个左右，大型的三甲医院信息点规模可能超过5000个，如此大规模的信息点管理耗费大量人力，部分医院开始建设终端管理系统，但仍存在几个问题：

内网无统一认证系统：当前多数医院部署DHCP服务器，终端通过DHCP服务器动态获取IP地址，医院信息点分布较广，在医生办公室、病房、大厅都有信息点，移动终端可以随意在信息点接入并获取医院合法的IP，从而获取访问医院资源的权限。传统的接入控制会在交换上设置MAC认证，控制终端的接入，但安全隐患依然存在，终端仍可以篡改为合法MAC，从而接入到医院内网。

内网防病毒控制不力：医院终端数量达到一定规模后，内网ARP攻击、蠕虫病毒、木马等大量病毒就会泛滥，医院会部署杀毒软件用于病毒的控制，但终端数量庞大，难以保证每个终端均安装杀毒软件，并保证病毒库为最新版本。通过人为去检查和管理，不仅浪费大量人力和时间，而且无法有效控制。

内网外联现象普遍：医生站、护士站终端通常用于访问临床医疗、办公自动化等业务系统，但部分医生私自使用3G网卡、运营商Wi-Fi信号访问互联网，同一台终端既访问内网又访问外网的现象比较普遍，无法控制医院内网的终端访问外网。

USB口未控制监管：当前终端管理往往忽视了USB口的使用，医生和护士可以使用USB移动存储介质直接从终端拷贝文件，部分文件可能涉及到医院机密，若流到外部人员，则可能造成一定的经济损失和负面影响，非法USB移动介质的使用也给木马等病毒侵入医院系统打开一扇门。

终端资产无法统计：医院规模的扩大，导致终端数量的急剧递增，资产管理员已很难通过手工记录各个科室领取的终端来进行统计，至于不同终端硬件信息、操作系统、软件信息则更无法统计。医院信息中心决策者没有终端数量、终端分布情况、终端硬件情况、操作系统，这给决策带来一定的难度。

安全可管理的医院终端管理系统

针对当前医院终端管理系统的现状，需解决四个步骤：准入认证、安全评估、动态授权、行为审计与协助管理（见图1）。

准入认证：准入认证完成对合法用户的接入，限制非法用户接入医院网络。常见认证方式可以选择802.1x、Portal、MAC认证。802.1x协议是一种基于端口的网络接入控制协议，在接入设备的端口上对接入的用户进行认证以获取网络访问权限。Portal认证通过HTTP访问网络，在Portal认证网站完成用户认证，获取网络访问权限。MAC认证是一种基于端口和MAC地址对用户的网络访问权限进行控制，它不需要安装任何客户端软件。

安全评估：准入认证通过的合法用户终端不一定安全，根据终端安全管理系统制定的安全策略，对终端进行安全评估。安全评估不合格的终端将被放入隔离区，在隔离区完成安全加固后，才能标识为合格用户。

动态授权：通过安全评估的合格用户，基于不同用户分组实现动态权限管理。通过与安全设备联动，动态下发ACL、VLAN实现用户网络访问控制。对于不支持安全联动的设备，通过客户端ACL，直接控制用户访问网络权限。

行为审计与协助管理：合法用户授予访问特定资源后，需对用户行为实时监控并提供审计，包括USB行为审计、打印机行为审计、网络访问行为审计，资产变更审计等，通过告警信息和报表输出相关审计结果。在某些场合，管理员可以通过软件分发、远程协助对准入获取权限的用户提供远程管理和操作。

终端管理系统整体架构

绍兴人民医院终端管理系统整体架构由iNode客户端、准入设备、第三方服务器、EAD服务器配合，完成准入认证、安全评估、动态授权、行为审计、协助管理，如图2所示。

当前，绍兴人民医院终端由各科室工作站、医生和护士查房终端、各种医疗设备，各科室工作站、各种医疗设备通过电缆接入信息点，医生查房PC和护士查房PDA通过无线接入。对于有线接入的终端，在接入交换机开启802.1x认证，为防止接入交换机下面私自接HUB设备，采用基于MAC的接入控制方式。无线PC接入，在三层设备开启Portal认证，方便外来访客通过Portal网页进行认证。对于不支持客户端安装的PDA、医疗设备，在准入设备选择MAC地址认证，不同的认证方式由不同准入设备控制，由EAD服务器统一认证管理。

绍兴人民医院采用的iNode客户端支持功能个性化定制，针对802.1x、Portal不同终端采用的认证方式，定制不同的接入方式。客户端定制防内网外联功能控制用户访问内网的同时连接到外网，定制客户端ACL控制用户的访问权限，定制密码保护功能防止用户卸载iNode客户端和修改iNode客户端属性。为能在短时间内完成iNode客户端大规模安装部署，绍兴人民医院采用802.1x的EAD快速部署方式，802.1x终端用户在认证成功之前，允许访问特定服务器，该服务器提供iNode客户端下载升级，终端用户使用HTTP访问网络，设备会自动重定向到iNode客户端下载界面，并且提供iNode客户端安装配置指导。对于采用Portal认证方式的终端用户，同样采用网页推送方式，完成客户端下载安装部署。

绍兴人民医院终端管理服务器采用国内某知名厂商的EAD服务器，EAD服务器包含UAM认证服务器、EAD策略服务器、DAM桌面资产管理服务器。UAM认证服务器包含Radius服务器基本的AAA（Authentication、Authorization、Accounting）功能，并且提供用户的动态授权控制。绍兴人民医院对不同科室选择不同用户分组，并通过UAM认证服务器动态下发VLAN、ACL，对不同用户分组提供不同的访问权限。UAM认证服务器支持用户接入绑定策略，对接入用户绑定接入设备端口、绑定用户MAC、绑定用户计算机名，严格控制用户接入。EAD策略服务器主要用于安全策略管理，通过对终端安全评估控制确保用户接入网络安全。

绍兴人民医院当前对终端安全策略检查主要包含：防病毒软件策略、系统补丁策略、可控软件组管理、目录共享策略。防病毒软件策略检查终端是否安装指定杀毒软件、病毒库是否升级到最新版本，通过EAD策略服务器与杀毒软件服务器联动，强制用户升级到最新版本，否则用户只能访问隔离区。系统补丁策略通过与微软补丁服务器WSUS Server联动，自动强制完成补丁升级。针对不同用户分组制定不同可控软件组策略，通过EAD策略服务器检查终端是否符合可控软件组要求。针对不同用户分组指定目录共享权限，禁止非授权用户创建共享目录，并监控已授权用户创建的共享目录。DAM桌面资产管理服务器主要用于资产管理、行为审计等。当前DAM资产管理服务器完成对终端硬件资产统一管理、系统及软件分类、USB外设策略管理、系统和应用软件分发、远程管理。

绍兴人民医院第三方服务器主要包含杀毒软件服务器、微软WSUS Server补丁服务器，该服务器部署在隔离区，未通过EAD策略服务器安全评估的用户终端将被放置在隔离区，强制更新病毒库和系统补丁后，才允许访问业务服务器。

考虑到终端管理系统自身运行可靠性，可以采取双机热备、双机冷备、逃生三种方案。这三种方案各有其特点：双机热备的特点是实时备份，切换无数据丢失，可靠性高，安全性高，方案复杂；双机冷备的特点是定时备份，切换有部分数据丢失，可靠性较高，安全性高，方案简单；逃生工具的特点是无备份，切换时不认证，可靠性高，安全性低，方案简单。双机热备和双机冷备的系统都要求提供两台服务器，但双机热备需要提供系统集群软件、共享存储，成本最高。逃生方案的系统只要求是一台服务器和一台PC，成本最低。

考虑到终端管理系统安全性、可靠性及成本，绍兴人民医院采用双机冷备方式。主服务器作为第一认证服务器，备服务器作为第二认证服务器。主服务器异常情况下，客户端自动向从服务器完成准入认证、安全评估、动态授权、行为审计和协助管理。主从服务器每天凌晨1：00自动完成数据库同步。

通过部署内网终端管理系统，该系统从准入认证、安全评估、动态授权、行为审计、协助管理五个方面全面系统地解决了终端安全准入和终端高效管理，并从根本上保证内网系统的安全、稳定、可靠运行，也大幅提升了绍兴人民医院信息化管理水平。