ACL技术在医院信息系统中的应用.docVIP

ACL技术在医院信息系统中的应用 　　摘要：医院信息系统的快速发展，对医院网络的安全管理带来了很大的挑战。网络安全问题，是医院越来越关注的一个重点，数据无价，所以近年来一些医院在数据安全上的投入也越来越多。文中首先对ACL技术的概念、工作原理以及配置所遵循的规则进行了描述，然后结合安徽省六安市第六人民医院信息系统网络部署情况，从防病毒、防ARP欺骗、报文过滤三方面介绍了ACL的配置方式。 　　关键词：医院信息系统 访问控制列表 ACL配置 　　中图分类号：TP393 文献标识码：A 文章编号：1007-9416（2016）06-0000-00 　　1引言 　　随着医院信息化快速发展，医院的网络规模日益增大，如果医院信息系统出现故障，医院的工作将不能正常进行，这不仅使得耽误患者疾病的正常医治，还会给医院造成很大的经济损失。医院信息系统面临的安全问题主要表现有：医院计算机系统存在的漏洞、医院工作人员非法将移动设备接入医院信息系统、外来的系统入侵和攻击等恶意破坏行为、不良信息和垃圾邮件在医院信息系统内的传播等[1，2]。 　　作为医院信息系统的管理员，既要保证系统的正常运行，又要有效避免病毒等不良信息在系统的传播。除了要及时对计算机操作系统进行升级，避免漏洞的产生，还可以通过采用划分VLAN、加入防火墙、设置访问控制列表（Access Control List，ACL）等方法对医院信息系统进行安全控制。在路由器上采用访问控制列表，将具有病毒特性的TCP或UDP端口关闭，从而阻止病毒通过路由器的传播[3]。 　　2 ACL技术 　　2.1 ACL定义 　　访问控制技术是指当网络系统信息资源受到未经许可的操作威胁时，通过适当的防护或管理策略，来保护网络信息资源的安全和正确。访问控制一般包括三部分内容：主体、客体和访问规则。主体是发出访问操作与存取请求的主动方；客体被访问的程序或数据；访问规则是一种判定主体队某个客体是否具有访问权限的规则。 　　访问控制本质上就是，利用访问规则限制发出访问的主体对客体的访问权限，使得在网络系统内的操作都是在合法范围内的，防止非法用户的侵入或者合法用户的非法操作。 　　2.2 ACL工作原理 　　ACL根据事先规定好的规则，在出入网络的地方对数据包进行筛选和过滤，从而实现对网络的安全控制。对路由器ACL的合理的设置，一方面可以确保网络的安全，另一方面可以降低在基础设备上的成本。如图1所示，给出了ACL的具体工作原理。 　　当路由器的接口收到一个数据包时，第一步会先检查是否存在ACL，若存在，则会检查ACL中规则所定义的IP地址与接收到的数据包里面的IP地址是否匹配，如果两者匹配，则执行ACL中的规则；若不存在，接收到的数据包将会被转移到输出缓冲器中进行转发[4]。一般的，路由器会按照ACL中的顺序进行一行一行的比较，如果存在匹配的行，则将会把接下来的规则忽略掉，不执行检查。 　　2.3 ACL配置规则 　　在对ACL的配置中，需要依照下面的规则： 　　（1）最小特权。对于所控制的对象只分配所必要的最小的特权，如果只满足部分条件，规则是不允许通过的。 　　（2）添加新表项。如果需要添加新的表项，则必须添加到ACL的末尾，这说明不能改变原有的ACL功能，如果要改变，则必须新建ACL，并且要删除原有的ACL。 　　（3）测试条件位置。在对规则进行匹配检查时，是从上往下的顺序一行一行的检测，一旦存在符合条件的就立即转发，忽略接下来的ACL语句，因此，要把特殊的测试条件放在ACL的最前面。 　　（4）ACl位置的配置。一般的，标准的ACL应该在接近于目的网段的路由器中进行配置，这样做可以方便和准确的控制流量。对于扩展的ACL应选择接近于源地址网段的路由器中进行配置，这样做可以降低费用开销。 　　3 ACL在我院网络中的应用 　　根据安徽省六安市第六人民医院信息系统的实际情况，网络设计拓扑图如图2。核心交换机使用华为的S9306交换容量2Tbps，包转发率1080Mpps，接入交换机采用华为S5700-52P-LI。 　　网络采用二层架构模式，即分为核心层、接入层。核心层采用两台华为三层模块化路由交换机S9306，两台交换机使用集群卡实现两台交换机的虚拟，保证任意一台核心交换机故障，不影响医院网络的运行。 　　接入层均采用华为S5700系列全千兆交换机，实现千兆到桌面的网络传输，可充分满足医院PACS系统需求。接入层通过千兆光纤连接至核心层。 　　下面以华为交换机ACL的配置为例进行说明ACL在防病毒、防ARP欺骗、报文过滤等方面的配置方法。 　　3.1 ACL防病毒配置 　　3.3 ACL配置报文过滤 　　3.3.1 以太网端口报文过滤 　　4 结语