剖析在“互聯(lián)網(wǎng)+醫(yī)療”迅速發(fā)展的情況下，移動互聯(lián)網(wǎng)安全的建設思路和實踐方案。以北京協(xié)和醫(yī)院患者手機App為研究對象，在設計、研發(fā)和運行中進行迭代優(yōu)化，梳理患者手機App系統(tǒng)的安全體系架構(gòu)，調(diào)整和加固系統(tǒng)架構(gòu)。經(jīng)過兩年的努力已經(jīng)取得良好成果，并通過了國家等級保護三級測評。結(jié)合測評總結(jié)移動互聯(lián)網(wǎng)安全的建設方案，并針對上線運行過程中受到非法入侵時進行技術(shù)應對的成功經(jīng)驗進行總結(jié)，在領域內(nèi)具有參考意義。

2015年3月5日十二屆全國人大三次會議上，李克強總理在政府工作報告中首次提出“互聯(lián)網(wǎng)+”行動計劃，“互聯(lián)網(wǎng)+”隨即成為輿論關(guān)注和討論的熱點，“互聯(lián)網(wǎng)+醫(yī)療”很快就成為了醫(yī)療行業(yè)設計、開發(fā)和實施的行動方向。極大了方便了老百姓，提高了整體效率。
北京協(xié)和醫(yī)院患者手機App系統(tǒng)啟動于2014年5月，經(jīng)過15個月的深入調(diào)研、精心設計、反復開發(fā)測試等不懈努力，恰逢“互聯(lián)網(wǎng)+醫(yī)療”蓬勃發(fā)展之際，于在2015年9月16日正式上線投用。
1 安全風險患者手機App的發(fā)布，非常有效地改善了患者就醫(yī)體驗，尤其針對掛號難和號販子猖獗的難點問題，取得了很好的控制效果。但系統(tǒng)投用不久，即遭受了多次大規(guī)模的惡意攻擊。攻擊手段包括：
1.1 DDOS攻擊 非法入侵者通過客戶端封包、代理、數(shù)據(jù)攔截等黑客技術(shù)，破解服務器接口地址，并根據(jù)患者提供的真實賬號進行高頻率的搶號請求，協(xié)和醫(yī)院醫(yī)療數(shù)據(jù)服務額外處理了每分鐘4 000多次的黃牛惡意搶號請求，大量占用了預約掛號通道，雖然未成功完成掛號操作，但對醫(yī)院HIS服務造成了不小的壓力。
1.2 暴力注冊 非法入侵者通過地下黑色產(chǎn)業(yè)鏈使用大量真實有效的手機號進行獲得驗證碼操作，并通過手機短信進行暴力注冊，上線2個月內(nèi)即發(fā)現(xiàn)一萬個肉雞IP地址，發(fā)起12萬次的獲取短信驗證碼請求，持續(xù)消耗短信服務器資源。
1.3 注入與惡意上傳 在Web服務器日志中可以發(fā)現(xiàn)大量的Java命令注入、SQL注入等惡意鏈接嘗試。一旦服務器漏洞被利用或配置信息泄露，不法分子將獲得整個服務器的控制權(quán)。
1.4 CC攻擊 上線期間App系統(tǒng)持續(xù)遭受著大量的CC（Challenge Collapsar）攻擊，這些非法入侵者除了每天放號時間瘋狂的使用多線程搶票，還在非放號時間段模擬大量真實用戶請求，進行高頻率不間斷的訪問，探查服務器的防御規(guī)則，嘗試找到預約掛號流程中的破綻。
2 防范措施2.1 針對黃牛搶號 在App預埋經(jīng)過加密的特殊識別模塊，只有身份校驗通過的App才允許建立連接，且全部通訊流量加密。避免黃牛編寫多線程搶號程序發(fā)起連接，或者攔截網(wǎng)絡數(shù)據(jù)包進行篡改搶號。并在業(yè)務上做限制策略。
2.2 針對惡意注冊 在注冊、獲取短信接口提供設備指紋識別、圖片驗證、請求來源統(tǒng)計、請求頻次分析等多種校驗策略，限制黃牛的惡意注冊。并通過數(shù)據(jù)分析凍結(jié)清洗掉一批僵尸用戶。
2.3 針對注入和惡意上傳 對用戶輸入的數(shù)據(jù)進行全面過濾，并使用預編譯的SQL語句，確保SQL語句的語義不會發(fā)生改變；并部署應用層防火墻進行防護。
對于用戶頭像上傳，不直接上傳用戶的圖片，而是App本地打開圖片后調(diào)用另外一個安全進程來截取圖像內(nèi)容生成另外一個圖片文件，確保上傳的是“干凈”的圖片文件。
服務器端再次對這個圖片做二次檢驗，文件流分析措施，攔截過濾文件中的惡意代碼。
通過App預埋經(jīng)過加密的特殊識別模塊，把非法客戶端隔離在外。并根據(jù)IP來源、URL請求分布，請求數(shù)據(jù)包特征分析等多種方式識別并清洗攻擊流量。
這些策略部署后，效果明顯，對于攻擊行為我們有了有效的解決方法，同時，攻擊數(shù)量大為減少，患者手機App平臺穩(wěn)定下來，用戶的體驗也得到了明顯提升。
3 安全體系建設由于患者手機App發(fā)布在互聯(lián)網(wǎng)，直接對患者提供服務，所提供的在線預約掛號、在線查閱檢驗檢查報告、在線繳費等服務一旦收到破壞將嚴重影響醫(yī)院門診就診秩序，進而對社會秩序和公共利益造成嚴重損害。根據(jù)GB/T 22240-2008《信息系統(tǒng)安全保護定級指南》規(guī)定，應定義為等級保護第三級系統(tǒng)。
基于“互聯(lián)網(wǎng)+”的醫(yī)院信息系統(tǒng)尚屬新生事物，行業(yè)內(nèi)并無安全方案可參照，通過對標金融行業(yè)發(fā)布的JR/T 0068—2012《網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范》，我們設計出一套以醫(yī)院為主導的“互聯(lián)網(wǎng)+醫(yī)療”的系統(tǒng)安全架構(gòu)，該模式是以云計算平臺為核心，由云計算平臺負載大數(shù)據(jù)量的用戶訪問。但是云平臺本身并不存儲患者敏感的醫(yī)療信息，而是云平臺對醫(yī)院內(nèi)數(shù)據(jù)平臺系統(tǒng)進行調(diào)用，在響應用戶的需求后，采用技術(shù)手段，及時對數(shù)據(jù)進行粉碎。
4 系統(tǒng)測評2017年10月，按照等級保護第三級的73個控制點共290個要求項對患者手機App系統(tǒng)進行安全評估，經(jīng)過對移動端、云端、院內(nèi)系統(tǒng)一輪完整評估，發(fā)現(xiàn)符合率只有大約78%，還有60多個要求項不滿足。
經(jīng)過對不滿足項的分析，發(fā)現(xiàn)主要存在幾類問題：安全設計不夠充分。比如后臺管理系統(tǒng)當前是賬號密碼登錄，輔以IP地址限制。但等保三級要求是需要雙因子要素登錄，因此后續(xù)這部分需要升級改造。
安全策略不夠細致。比如院端和云端之間使用專線連接，院端防火墻限制了云端的IP地址，但沒有細化到限制特定服務端口；再比如對于暫未使用的交換機端口，未關(guān)閉。
設備安全功能不足。比如防火墻沒有內(nèi)容過濾，無法實現(xiàn)對應用層FTP、TELNET、SMTP、POP3等協(xié)議命令級的控制。這屬于歷史遺留問題，后面要建立設備采購管理規(guī)范，根據(jù)相關(guān)的安全等技術(shù)標準對網(wǎng)絡設備、安全設備建立產(chǎn)品備選名單。
安全意識需要加強。比如部署了堡壘機后，仍有部分設備沒有接入，一方面說明人員安全意識培養(yǎng)的工作需要長期堅持，也說明內(nèi)部安全計劃執(zhí)行與控制不夠完善。
安全管理缺少績效評價。沒有指定什么時間、誰檢查、誰分析評價，不利于持續(xù)改進。
參照等級保護的要求，逐一對每一個不滿足項進行分析、研究解決方案。并完善安全管理制度，落實人員安全管理、系統(tǒng)建設管理、系統(tǒng)運維管理。尤其著重抓以下幾個方面。
訪問控制：在云計算中，網(wǎng)絡訪問控制由云計算防火墻策略實現(xiàn)，這個策略需對云上虛擬主機進行邏輯分組，再實現(xiàn)基于主機和分組的訪問控制。除了網(wǎng)絡訪問控制，云服務的用戶訪問控制尤為重要，因為它是將用戶身份與云服務資源綁定在一起的重要手段。
可用性管理：互聯(lián)網(wǎng)醫(yī)院的業(yè)務嚴重依賴于服務的持續(xù)可用性，高峰時即使幾分鐘的服務器中斷也會對機構(gòu)的生產(chǎn)力、用戶滿意度造成較大影響。
安全漏洞管理：建立包含例行漏洞掃描、漏洞評估、漏洞處理的過程，避免主機、應用程序、數(shù)據(jù)庫、網(wǎng)絡遭受針對漏洞的攻擊。在網(wǎng)絡、主機系統(tǒng)、中間件等基礎設施的漏洞管理方面，需要和云服務供應商保持協(xié)同。
補丁管理：在避免主機、應用程序、數(shù)據(jù)庫、網(wǎng)絡遭受針未授權(quán)的的攻擊方面，安全補丁管理和漏洞管理具有同等重要的意義。需要注意的是，補丁管理過程應該遵循變更管理框架。
安全配置管理：安全配置管理包括網(wǎng)絡和遠程連接配置、防火墻策略配置、操作系統(tǒng)安全配置及數(shù)據(jù)庫訪問管理配置。安全配置管理使系統(tǒng)各部分配置保持在安全基線上，免受針對配置弱點實施的攻擊。
訪問監(jiān)測：訪問監(jiān)測包括正常訪問的檢測和入侵監(jiān)測。正常訪問監(jiān)測包含可用性監(jiān)測、帶寬利用率、訪問延遲等的檢測，主要作為訪問質(zhì)量和性能擴展的判斷依據(jù)。入侵檢測包括對主機系統(tǒng)、應用系統(tǒng)、數(shù)據(jù)庫系統(tǒng)的入侵檢測，避免受到非授權(quán)訪問和數(shù)據(jù)破壞。
事件響應管理:事件響應是在“積極防御、及時發(fā)現(xiàn)、快速響應、力?；謴汀钡拇笤瓌t下，突出發(fā)現(xiàn)和響應。通過建設層次化的應急響應隊伍，編制應急預案，進行應急演練，在第一時間知道風險來臨時，及時統(tǒng)籌開展應急處置。
5 小結(jié)經(jīng)過3個月的測評，進行整改和試運行，測評符合率90%。有部分限于資源等客觀原因的，也做了持續(xù)改進安排。最后通過了三級等級保護測評。
通過等保認證過程的磨練，我們總結(jié)主要有幾個意義：降低數(shù)據(jù)安全風險，提高信息系統(tǒng)的安全防護能力；滿足國家相關(guān)法律法規(guī)和制度的要求；滿足相關(guān)主管單位和行業(yè)要求；鍛煉了安全、開發(fā)、運維隊伍，提高了醫(yī)院的信息安全治理能力。