剖析在“互聯(lián)網(wǎng)+醫(yī)療”迅速發(fā)展的情況下，移動互聯(lián)網(wǎng)安全的建設(shè)思路和實(shí)踐方案。以北京協(xié)和醫(yī)院患者手機(jī)App為研究對象，在設(shè)計(jì)、研發(fā)和運(yùn)行中進(jìn)行迭代優(yōu)化，梳理患者手機(jī)App系統(tǒng)的安全體系架構(gòu)，調(diào)整和加固系統(tǒng)架構(gòu)。經(jīng)過兩年的努力已經(jīng)取得良好成果，并通過了國家等級保護(hù)三級測評。結(jié)合測評總結(jié)移動互聯(lián)網(wǎng)安全的建設(shè)方案，并針對上線運(yùn)行過程中受到非法入侵時(shí)進(jìn)行技術(shù)應(yīng)對的成功經(jīng)驗(yàn)進(jìn)行總結(jié)，在領(lǐng)域內(nèi)具有參考意義。

2015年3月5日十二屆全國人大三次會議上，李克強(qiáng)總理在政府工作報(bào)告中首次提出“互聯(lián)網(wǎng)+”行動計(jì)劃，“互聯(lián)網(wǎng)+”隨即成為輿論關(guān)注和討論的熱點(diǎn)，“互聯(lián)網(wǎng)+醫(yī)療”很快就成為了醫(yī)療行業(yè)設(shè)計(jì)、開發(fā)和實(shí)施的行動方向。極大了方便了老百姓，提高了整體效率。
北京協(xié)和醫(yī)院患者手機(jī)App系統(tǒng)啟動于2014年5月，經(jīng)過15個(gè)月的深入調(diào)研、精心設(shè)計(jì)、反復(fù)開發(fā)測試等不懈努力，恰逢“互聯(lián)網(wǎng)+醫(yī)療”蓬勃發(fā)展之際，于在2015年9月16日正式上線投用。
1 安全風(fēng)險(xiǎn)患者手機(jī)App的發(fā)布，非常有效地改善了患者就醫(yī)體驗(yàn)，尤其針對掛號難和號販子猖獗的難點(diǎn)問題，取得了很好的控制效果。但系統(tǒng)投用不久，即遭受了多次大規(guī)模的惡意攻擊。攻擊手段包括：
1.1 DDOS攻擊 非法入侵者通過客戶端封包、代理、數(shù)據(jù)攔截等黑客技術(shù)，破解服務(wù)器接口地址，并根據(jù)患者提供的真實(shí)賬號進(jìn)行高頻率的搶號請求，協(xié)和醫(yī)院醫(yī)療數(shù)據(jù)服務(wù)額外處理了每分鐘4 000多次的黃牛惡意搶號請求，大量占用了預(yù)約掛號通道，雖然未成功完成掛號操作，但對醫(yī)院HIS服務(wù)造成了不小的壓力。
1.2 暴力注冊 非法入侵者通過地下黑色產(chǎn)業(yè)鏈?zhǔn)褂么罅空鎸?shí)有效的手機(jī)號進(jìn)行獲得驗(yàn)證碼操作，并通過手機(jī)短信進(jìn)行暴力注冊，上線2個(gè)月內(nèi)即發(fā)現(xiàn)一萬個(gè)肉雞IP地址，發(fā)起12萬次的獲取短信驗(yàn)證碼請求，持續(xù)消耗短信服務(wù)器資源。
1.3 注入與惡意上傳 在Web服務(wù)器日志中可以發(fā)現(xiàn)大量的Java命令注入、SQL注入等惡意鏈接嘗試。一旦服務(wù)器漏洞被利用或配置信息泄露，不法分子將獲得整個(gè)服務(wù)器的控制權(quán)。
1.4 CC攻擊 上線期間App系統(tǒng)持續(xù)遭受著大量的CC（Challenge Collapsar）攻擊，這些非法入侵者除了每天放號時(shí)間瘋狂的使用多線程搶票，還在非放號時(shí)間段模擬大量真實(shí)用戶請求，進(jìn)行高頻率不間斷的訪問，探查服務(wù)器的防御規(guī)則，嘗試找到預(yù)約掛號流程中的破綻。
2 防范措施2.1 針對黃牛搶號 在App預(yù)埋經(jīng)過加密的特殊識別模塊，只有身份校驗(yàn)通過的App才允許建立連接，且全部通訊流量加密。避免黃牛編寫多線程搶號程序發(fā)起連接，或者攔截網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行篡改搶號。并在業(yè)務(wù)上做限制策略。
2.2 針對惡意注冊 在注冊、獲取短信接口提供設(shè)備指紋識別、圖片驗(yàn)證、請求來源統(tǒng)計(jì)、請求頻次分析等多種校驗(yàn)策略，限制黃牛的惡意注冊。并通過數(shù)據(jù)分析凍結(jié)清洗掉一批僵尸用戶。
2.3 針對注入和惡意上傳 對用戶輸入的數(shù)據(jù)進(jìn)行全面過濾，并使用預(yù)編譯的SQL語句，確保SQL語句的語義不會發(fā)生改變；并部署應(yīng)用層防火墻進(jìn)行防護(hù)。
對于用戶頭像上傳，不直接上傳用戶的圖片，而是App本地打開圖片后調(diào)用另外一個(gè)安全進(jìn)程來截取圖像內(nèi)容生成另外一個(gè)圖片文件，確保上傳的是“干凈”的圖片文件。
服務(wù)器端再次對這個(gè)圖片做二次檢驗(yàn)，文件流分析措施，攔截過濾文件中的惡意代碼。
通過App預(yù)埋經(jīng)過加密的特殊識別模塊，把非法客戶端隔離在外。并根據(jù)IP來源、URL請求分布，請求數(shù)據(jù)包特征分析等多種方式識別并清洗攻擊流量。
這些策略部署后，效果明顯，對于攻擊行為我們有了有效的解決方法，同時(shí)，攻擊數(shù)量大為減少，患者手機(jī)App平臺穩(wěn)定下來，用戶的體驗(yàn)也得到了明顯提升。
3 安全體系建設(shè)由于患者手機(jī)App發(fā)布在互聯(lián)網(wǎng)，直接對患者提供服務(wù)，所提供的在線預(yù)約掛號、在線查閱檢驗(yàn)檢查報(bào)告、在線繳費(fèi)等服務(wù)一旦收到破壞將嚴(yán)重影響醫(yī)院門診就診秩序，進(jìn)而對社會秩序和公共利益造成嚴(yán)重?fù)p害。根據(jù)GB/T 22240-2008《信息系統(tǒng)安全保護(hù)定級指南》規(guī)定，應(yīng)定義為等級保護(hù)第三級系統(tǒng)。
基于“互聯(lián)網(wǎng)+”的醫(yī)院信息系統(tǒng)尚屬新生事物，行業(yè)內(nèi)并無安全方案可參照，通過對標(biāo)金融行業(yè)發(fā)布的JR/T 0068—2012《網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范》，我們設(shè)計(jì)出一套以醫(yī)院為主導(dǎo)的“互聯(lián)網(wǎng)+醫(yī)療”的系統(tǒng)安全架構(gòu)，該模式是以云計(jì)算平臺為核心，由云計(jì)算平臺負(fù)載大數(shù)據(jù)量的用戶訪問。但是云平臺本身并不存儲患者敏感的醫(yī)療信息，而是云平臺對醫(yī)院內(nèi)數(shù)據(jù)平臺系統(tǒng)進(jìn)行調(diào)用，在響應(yīng)用戶的需求后，采用技術(shù)手段，及時(shí)對數(shù)據(jù)進(jìn)行粉碎。
4 系統(tǒng)測評2017年10月，按照等級保護(hù)第三級的73個(gè)控制點(diǎn)共290個(gè)要求項(xiàng)對患者手機(jī)App系統(tǒng)進(jìn)行安全評估，經(jīng)過對移動端、云端、院內(nèi)系統(tǒng)一輪完整評估，發(fā)現(xiàn)符合率只有大約78%，還有60多個(gè)要求項(xiàng)不滿足。
經(jīng)過對不滿足項(xiàng)的分析，發(fā)現(xiàn)主要存在幾類問題：安全設(shè)計(jì)不夠充分。比如后臺管理系統(tǒng)當(dāng)前是賬號密碼登錄，輔以IP地址限制。但等保三級要求是需要雙因子要素登錄，因此后續(xù)這部分需要升級改造。
安全策略不夠細(xì)致。比如院端和云端之間使用專線連接，院端防火墻限制了云端的IP地址，但沒有細(xì)化到限制特定服務(wù)端口；再比如對于暫未使用的交換機(jī)端口，未關(guān)閉。
設(shè)備安全功能不足。比如防火墻沒有內(nèi)容過濾，無法實(shí)現(xiàn)對應(yīng)用層FTP、TELNET、SMTP、POP3等協(xié)議命令級的控制。這屬于歷史遺留問題，后面要建立設(shè)備采購管理規(guī)范，根據(jù)相關(guān)的安全等技術(shù)標(biāo)準(zhǔn)對網(wǎng)絡(luò)設(shè)備、安全設(shè)備建立產(chǎn)品備選名單。
安全意識需要加強(qiáng)。比如部署了堡壘機(jī)后，仍有部分設(shè)備沒有接入，一方面說明人員安全意識培養(yǎng)的工作需要長期堅(jiān)持，也說明內(nèi)部安全計(jì)劃執(zhí)行與控制不夠完善。
安全管理缺少績效評價(jià)。沒有指定什么時(shí)間、誰檢查、誰分析評價(jià)，不利于持續(xù)改進(jìn)。
參照等級保護(hù)的要求，逐一對每一個(gè)不滿足項(xiàng)進(jìn)行分析、研究解決方案。并完善安全管理制度，落實(shí)人員安全管理、系統(tǒng)建設(shè)管理、系統(tǒng)運(yùn)維管理。尤其著重抓以下幾個(gè)方面。
訪問控制：在云計(jì)算中，網(wǎng)絡(luò)訪問控制由云計(jì)算防火墻策略實(shí)現(xiàn)，這個(gè)策略需對云上虛擬主機(jī)進(jìn)行邏輯分組，再實(shí)現(xiàn)基于主機(jī)和分組的訪問控制。除了網(wǎng)絡(luò)訪問控制，云服務(wù)的用戶訪問控制尤為重要，因?yàn)樗菍⒂脩羯矸菖c云服務(wù)資源綁定在一起的重要手段。
可用性管理：互聯(lián)網(wǎng)醫(yī)院的業(yè)務(wù)嚴(yán)重依賴于服務(wù)的持續(xù)可用性，高峰時(shí)即使幾分鐘的服務(wù)器中斷也會對機(jī)構(gòu)的生產(chǎn)力、用戶滿意度造成較大影響。
安全漏洞管理：建立包含例行漏洞掃描、漏洞評估、漏洞處理的過程，避免主機(jī)、應(yīng)用程序、數(shù)據(jù)庫、網(wǎng)絡(luò)遭受針對漏洞的攻擊。在網(wǎng)絡(luò)、主機(jī)系統(tǒng)、中間件等基礎(chǔ)設(shè)施的漏洞管理方面，需要和云服務(wù)供應(yīng)商保持協(xié)同。
補(bǔ)丁管理：在避免主機(jī)、應(yīng)用程序、數(shù)據(jù)庫、網(wǎng)絡(luò)遭受針未授權(quán)的的攻擊方面，安全補(bǔ)丁管理和漏洞管理具有同等重要的意義。需要注意的是，補(bǔ)丁管理過程應(yīng)該遵循變更管理框架。
安全配置管理：安全配置管理包括網(wǎng)絡(luò)和遠(yuǎn)程連接配置、防火墻策略配置、操作系統(tǒng)安全配置及數(shù)據(jù)庫訪問管理配置。安全配置管理使系統(tǒng)各部分配置保持在安全基線上，免受針對配置弱點(diǎn)實(shí)施的攻擊。
訪問監(jiān)測：訪問監(jiān)測包括正常訪問的檢測和入侵監(jiān)測。正常訪問監(jiān)測包含可用性監(jiān)測、帶寬利用率、訪問延遲等的檢測，主要作為訪問質(zhì)量和性能擴(kuò)展的判斷依據(jù)。入侵檢測包括對主機(jī)系統(tǒng)、應(yīng)用系統(tǒng)、數(shù)據(jù)庫系統(tǒng)的入侵檢測，避免受到非授權(quán)訪問和數(shù)據(jù)破壞。
事件響應(yīng)管理:事件響應(yīng)是在“積極防御、及時(shí)發(fā)現(xiàn)、快速響應(yīng)、力?；謴?fù)”的大原則下，突出發(fā)現(xiàn)和響應(yīng)。通過建設(shè)層次化的應(yīng)急響應(yīng)隊(duì)伍，編制應(yīng)急預(yù)案，進(jìn)行應(yīng)急演練，在第一時(shí)間知道風(fēng)險(xiǎn)來臨時(shí)，及時(shí)統(tǒng)籌開展應(yīng)急處置。
5 小結(jié)經(jīng)過3個(gè)月的測評，進(jìn)行整改和試運(yùn)行，測評符合率90%。有部分限于資源等客觀原因的，也做了持續(xù)改進(jìn)安排。最后通過了三級等級保護(hù)測評。
通過等保認(rèn)證過程的磨練，我們總結(jié)主要有幾個(gè)意義：降低數(shù)據(jù)安全風(fēng)險(xiǎn)，提高信息系統(tǒng)的安全防護(hù)能力；滿足國家相關(guān)法律法規(guī)和制度的要求；滿足相關(guān)主管單位和行業(yè)要求；鍛煉了安全、開發(fā)、運(yùn)維隊(duì)伍，提高了醫(yī)院的信息安全治理能力。