1.网络安全措施

现有医院信息系统（HIS）在系统的情况下，医院如何进行？“开放系统”保护工作。保护指导方针是根据国家信息安全等级保护要求，系统应具备抗分布式拒绝服务（distributeddenialofservice，DDOS）攻击、入侵、病毒防御和控制端口、行为等控制能力[4].

1.1流量清洗

在互联网上的许多网络请求中，都充满了大量无用的请求，恶意访问[5]。如果互联网上的流量没有被清理干净，它将对系统的可用性构成巨大的威胁。这部分的清洁主要是为了DDOS攻击流量。常见的DDOS攻击类型有SYNfloods，Land-Base，PINGofdeath，Teardrop，Smurf等等。应根据自身情况选择专用设备或运营商服务DDOS攻击流量清洗。

1.2入侵防御

清洗后的流量中还存在扫描、嗅探、恶意代码等威胁。他们通过系统漏洞绕过保护，入侵系统，达到控制主机的目的。一旦入侵成功，后果和损失将是巨大的。通过部署入侵防御系统（intrusionpreventionsystem，IPS）检测和防御明确判断为攻击行为会对网络和主机造成伤害的恶意行为。深入网络数据，查找其所知的攻击代码特征，过滤有害数据流，丢弃有害数据包[6]。基于特征的入侵防御系统不能威胁到先进的连续性（advancedpersistentthreat，APT）攻击保护，因此在构建入侵防御系统时，应特别注意这种类型的攻击保护。它可以增加态势感知系统的辅助IPS，可视化全网流量威胁，进一步消除0day漏洞隐患。

1.3防病毒

国际著名病毒研究机构国际计算机安全联盟（internationalcomputersecurityassociation，ICSA）据统计，目前只有7%的病毒是通过磁盘传播的，其余93%的病毒来自网络。其中，包括，包括，包括Email，网页，QQ和MSN等待传播渠道。计算机病毒网络化的趋势越来越明显，企业需要部署防毒墙/防病毒网关，进一步保障网络安全。防毒墙/防毒网关可以检测进出网络的数据，对HTTP，FTP，SMTP，IMAP等协议数据扫描病毒，一旦发现病毒将采取相应的隔离或杀死手段，在病毒保护中发挥非常重要的作用.

1.4访问控制

经过三道工序的流量清洗、入侵防御和病毒预防，访问控制系统是主机中最重要的“贴身”一道防线。它是为了帮助保护服务器，根据个人情况制定保护策略，精细保护开几扇门，允许谁，什么时候，什么方式访问主机。硬件防火墙通常用于访问控制[7]。常见的防火墙类型有网络层防火墙、应用层防火墙和数据库防火墙，可以实现来源IP地址、源端口号、目的、IP控制地址、目的端口号、数据库语句、应用层指令、速率等属性。还有一种特殊的访问控制系统——“安全隔离与信息交换系统”即网闸[8]。主要功能包括安全隔离、协议转换、核心保护功能。由于网闸在连接的两个独立系统之间没有物理连接、逻辑连接、信息传输命令和信息传输协议；根据协议没有信息包转发，只有数据文件没有协议“摆渡”而且固态存储介质只有固态存储介质“读”和“写”两个命令。网闸设备通常由外部处理单元、内部处理单元、隔离安全数据交换单元三部分组成。安全数据交换单元不同时与内外处理单元连接，创造内外网物理断开的环境，物理隔离，阻断潜在攻击的连接“黑客”不能入侵，不能攻击，不能破坏。

1.5负载均衡

面对互联网上大量的网络要求，必须增加负载平衡设备，扩大网络设备和服务器的带宽、吞吐量和数据处理能力，提高网络的灵活性和可用性[9]。负载平衡有多种算法，可以基于轮询、连接数和源IP和端口，响应时间算法。负载平衡设备提高了应用系统的处理能力，犯罪分子攻瘫系统的难度将成倍增加。

1.6日志审计及事后分析

日志审计和事后分析非常重要[10]，必须记录拦截和释放的网络请求。一方面，统计攻击日志，分析网络运行风险；另一方面，记录释放流量，检查泄漏，填补空白，优化保护策略。日志审计越全面，对优化网络、提高系统服务水平的帮助就越大。日志审计的范围包括：应用系统日志、数据库日志、操作系统日志、网络安全保护日志等。日志系统也可以与网络安全情况感知系统相结合，使分析结果更加全面和准确。日志应存储超过6个月。

2.具体实例

根据上述保护要求，本文提出了内外网融合保护的具体案例。网络按其重要性和功能划分为多个区域。一般原则是按应用系统划分区域；二是实施严格的边界访问控制；最后，完善监控、审计等辅助能力建设。因此，形成了三级、二级、安全管理、专线接入、数据交换、互联网服务接入等六大区域。医院是最重要的HIS系统、集成平台、数据仓库等系统接入三级域进行最严格的保护；其他业务应用系统放置在二级域、网站、VPN，在线业务等放在互联网服务接入领域。下一代防火墙分别部署在边界上，Web应用防火墙（webapplicationfirewal，WAF）。防火墙打开入侵防御、病毒防护模块，只释放应用系统提供的端口流量，为每个源IP限制新建连接数、并发连接数、半开连接数。WAF根据应用程序的实际情况，打开数据库、中间件和语言开发的保护规则。由于三级域系统业务量大，采用多个应用服务器并行架构，通过旁挂负载平衡器实现应用排水和负载共享，保证应用系统的处理能力。将应用服务器与数据库服务器用数据库防火墙隔离、控制，从SQL从句子、角色权限等角度保护数据。数据交换领域的主要功能是数据转移和应用。边界还部署了下一代防火墙，打开入侵防御、病毒防护等保护模块，严格控制进出流量。互联网服务或网上医疗服务需要与HIS当核心系统产生数据请求时，需要通过中转服务器完成数据中转功能；从低安全级系统到低安全级系统HIS当核心系统要求服务时，需要通过中转服务器完成应用功能。这样，在保证系统互联的同时，解决了不同系统之间的信任问题。防病毒软件、堡垒主机、日志审计、态势感知平台、网络管理认证系统、监控平台等服务器放置在安全管理区，与业务系统隔离，严格控制该区域系统在边界内的进出流量。在互联网出口处，设置了抗性DDOS设备，IPS，防毒墙、下一代防火墙、负载平衡器，全方位过滤互联网实时流量。国家卫生委员会、医保中心、银行等业务通过物理专线进入专线进入区域，通过前机和防火墙进行访问控制。简而言之，通过各种设备和综合管理，形成了一个边界清晰、控制严格、监控全面、审计详细、能够感知情况的网络系统。这样，在快速开展互联网在线业务的同时，也能最大限度地进行网络保护。

网络保护就是互联网+医疗实施的重要保障。如果一个没有安全保障的网络实施在线业务，将给医院的应用带来巨大的风险。通过严格的安全保护，医院的信息系统可以为移动和互联网客户提供服务，避免风险。随着技术的进步和保护措施的加强，我相信医院未来将按照综合设计、内外网络，严格的网络安全建设计划将成为网络建设的主流。