医院网络安全自查报告及整改措施

上周三凌晨两点，医院值班同事打电话说HIS系统响应慢得像蜗牛。网络我远程连上去一看，安全日志里全是自查来自内网某台体检设备的异常请求——那台机器被当成了跳板，正在扫描核心数据库的报告端口。这事不大，及整但暴露的改措问题够写满两页纸。

先说最要命的医院：边界模糊。我们总院和分院之间走的网络是专线，可分院那边图省事，安全把无线访客网络和业务内网接在同一个交换机上。自查访客连上WiFi，报告改个IP就能摸到LIS系统的及整登录页。这不是改措理论风险，上个月真有实习生干过这事，医院拿默认密码admin/123456试进去了，幸好只是看了看检验报告模板。

再说终端。全院一千多台电脑，Windows 7还有两百多台没换。不是不想换，是那几台老彩超和CT的工作站只认XP驱动。厂家说升级要换主板，报价够买台新设备。结果这些机器成了活靶子——永恒之蓝补丁打不上，只能靠防火墙硬扛。我查过一台彩超机的日志，平均每天被扫三十多次445端口。

密码策略也够呛。要求八位以上含大小写和符号，可医生们记不住，全写在便签纸上贴显示器边框。有个科室更绝，把密码设成“科室名+123”，十二台机器全一样。我试过用Hydra跑弱口令，十分钟破了六个账号。这事我没敢声张，直接找信息科长喝了顿酒，让他以“迎检”名义强制改了一轮。

整改措施分三块，都是能落地的。第一，把分院那台惹事的交换机划VLAN，访客网络单独走一条线路，物理隔离做不到就逻辑隔离，ACL规则我亲自写。第二，老设备搞“白名单+端口封禁”，只允许连PACS服务器和打印服务器，其他流量全丢。第三，密码策略改成“首次登录强制改+每90天换一次+禁止前五次重复”，同时上双因素认证——医生刷工牌+输密码，省得他们嫌麻烦。

还有个土办法：在核心交换机上镜像流量，用开源的Zeek跑异常检测。不指望它防住APT，但能抓住内网扫描和暴力破解。上周那台体检设备的异常请求，就是Zeek先报的警。部署花了两天，调规则花了一周，现在每天能拦下三四次试探性扫描。

最后说个真事。上个月市里组织攻防演练，红队用一个钓鱼邮件拿下了财务科的电脑，然后横向移动到人事系统。我们复盘时发现，那台电脑的杀毒软件三个月没更新——因为更新服务器在DMZ区，防火墙规则把升级流量给拦了。这事怪谁？怪我们只想着防外，忘了内网也有漏洞。现在每周五下午，我固定做两件事：扫一遍全网漏洞，查一遍杀毒软件版本。雷打不动。

网络安全这事，没有一劳永逸。你今天堵了445，明天可能冒出个新的SMB漏洞。关键是别让系统裸奔，别让密码写在纸上，别让访客网络和业务网络穿一条裤子。做到这三点，至少能挡住八成以上的麻烦。