剖析在“互聯網+醫療”迅速發展的情況下，移動互聯網安全的建設思路和實踐方案。以北京協和醫院患者手機App為研究對象，在設計、研發和運行中進行迭代優化，梳理患者手機App系統的安全體系架構，調整和加固系統架構。經過兩年的努力已經取得良好成果，并通過了國家等級保護三級測評。結合測評總結移動互聯網安全的建設方案，并針對上線運行過程中受到非法入侵時進行技術應對的成功經驗進行總結，在領域內具有參考意義。

2015年3月5日十二屆全國人大三次會議上，李克強總理在政府工作報告中首次提出“互聯網+”行動計劃，“互聯網+”隨即成為輿論關注和討論的熱點，“互聯網+醫療”很快就成為了醫療行業設計、開發和實施的行動方向。極大了方便了老百姓，提高了整體效率。
北京協和醫院患者手機App系統啟動于2014年5月，經過15個月的深入調研、精心設計、反復開發測試等不懈努力，恰逢“互聯網+醫療”蓬勃發展之際，于在2015年9月16日正式上線投用。
1 安全風險患者手機App的發布，非常有效地改善了患者就醫體驗，尤其針對掛號難和號販子猖獗的難點問題，取得了很好的控制效果。但系統投用不久，即遭受了多次大規模的惡意攻擊。攻擊手段包括：
1.1 DDOS攻擊 非法入侵者通過客戶端封包、代理、數據攔截等黑客技術，破解服務器接口地址，并根據患者提供的真實賬號進行高頻率的搶號請求，協和醫院醫療數據服務額外處理了每分鐘4 000多次的黃牛惡意搶號請求，大量占用了預約掛號通道，雖然未成功完成掛號操作，但對醫院HIS服務造成了不小的壓力。
1.2 暴力注冊 非法入侵者通過地下黑色產業鏈使用大量真實有效的手機號進行獲得驗證碼操作，并通過手機短信進行暴力注冊，上線2個月內即發現一萬個肉雞IP地址，發起12萬次的獲取短信驗證碼請求，持續消耗短信服務器資源。
1.3 注入與惡意上傳 在Web服務器日志中可以發現大量的Java命令注入、SQL注入等惡意鏈接嘗試。一旦服務器漏洞被利用或配置信息泄露，不法分子將獲得整個服務器的控制權。
1.4 CC攻擊 上線期間App系統持續遭受著大量的CC（Challenge Collapsar）攻擊，這些非法入侵者除了每天放號時間瘋狂的使用多線程搶票，還在非放號時間段模擬大量真實用戶請求，進行高頻率不間斷的訪問，探查服務器的防御規則，嘗試找到預約掛號流程中的破綻。
2 防范措施2.1 針對黃牛搶號 在App預埋經過加密的特殊識別模塊，只有身份校驗通過的App才允許建立連接，且全部通訊流量加密。避免黃牛編寫多線程搶號程序發起連接，或者攔截網絡數據包進行篡改搶號。并在業務上做限制策略。
2.2 針對惡意注冊 在注冊、獲取短信接口提供設備指紋識別、圖片驗證、請求來源統計、請求頻次分析等多種校驗策略，限制黃牛的惡意注冊。并通過數據分析凍結清洗掉一批僵尸用戶。
2.3 針對注入和惡意上傳 對用戶輸入的數據進行全面過濾，并使用預編譯的SQL語句，確保SQL語句的語義不會發生改變；并部署應用層防火墻進行防護。
對于用戶頭像上傳，不直接上傳用戶的圖片，而是App本地打開圖片后調用另外一個安全進程來截取圖像內容生成另外一個圖片文件，確保上傳的是“干凈”的圖片文件。
服務器端再次對這個圖片做二次檢驗，文件流分析措施，攔截過濾文件中的惡意代碼。
通過App預埋經過加密的特殊識別模塊，把非法客戶端隔離在外。并根據IP來源、URL請求分布，請求數據包特征分析等多種方式識別并清洗攻擊流量。
這些策略部署后，效果明顯，對于攻擊行為我們有了有效的解決方法，同時，攻擊數量大為減少，患者手機App平臺穩定下來，用戶的體驗也得到了明顯提升。
3 安全體系建設由于患者手機App發布在互聯網，直接對患者提供服務，所提供的在線預約掛號、在線查閱檢驗檢查報告、在線繳費等服務一旦收到破壞將嚴重影響醫院門診就診秩序，進而對社會秩序和公共利益造成嚴重損害。根據GB/T 22240-2008《信息系統安全保護定級指南》規定，應定義為等級保護第三級系統。
基于“互聯網+”的醫院信息系統尚屬新生事物，行業內并無安全方案可參照，通過對標金融行業發布的JR/T 0068—2012《網上銀行系統信息安全通用規范》，我們設計出一套以醫院為主導的“互聯網+醫療”的系統安全架構，該模式是以云計算平臺為核心，由云計算平臺負載大數據量的用戶訪問。但是云平臺本身并不存儲患者敏感的醫療信息，而是云平臺對醫院內數據平臺系統進行調用，在響應用戶的需求后，采用技術手段，及時對數據進行粉碎。
4 系統測評2017年10月，按照等級保護第三級的73個控制點共290個要求項對患者手機App系統進行安全評估，經過對移動端、云端、院內系統一輪完整評估，發現符合率只有大約78%，還有60多個要求項不滿足。
經過對不滿足項的分析，發現主要存在幾類問題：安全設計不夠充分。比如后臺管理系統當前是賬號密碼登錄，輔以IP地址限制。但等保三級要求是需要雙因子要素登錄，因此后續這部分需要升級改造。
安全策略不夠細致。比如院端和云端之間使用專線連接，院端防火墻限制了云端的IP地址，但沒有細化到限制特定服務端口；再比如對于暫未使用的交換機端口，未關閉。
設備安全功能不足。比如防火墻沒有內容過濾，無法實現對應用層FTP、TELNET、SMTP、POP3等協議命令級的控制。這屬于歷史遺留問題，后面要建立設備采購管理規范，根據相關的安全等技術標準對網絡設備、安全設備建立產品備選名單。
安全意識需要加強。比如部署了堡壘機后，仍有部分設備沒有接入，一方面說明人員安全意識培養的工作需要長期堅持，也說明內部安全計劃執行與控制不夠完善。
安全管理缺少績效評價。沒有指定什么時間、誰檢查、誰分析評價，不利于持續改進。
參照等級保護的要求，逐一對每一個不滿足項進行分析、研究解決方案。并完善安全管理制度，落實人員安全管理、系統建設管理、系統運維管理。尤其著重抓以下幾個方面。
訪問控制：在云計算中，網絡訪問控制由云計算防火墻策略實現，這個策略需對云上虛擬主機進行邏輯分組，再實現基于主機和分組的訪問控制。除了網絡訪問控制，云服務的用戶訪問控制尤為重要，因為它是將用戶身份與云服務資源綁定在一起的重要手段。
可用性管理：互聯網醫院的業務嚴重依賴于服務的持續可用性，高峰時即使幾分鐘的服務器中斷也會對機構的生產力、用戶滿意度造成較大影響。
安全漏洞管理：建立包含例行漏洞掃描、漏洞評估、漏洞處理的過程，避免主機、應用程序、數據庫、網絡遭受針對漏洞的攻擊。在網絡、主機系統、中間件等基礎設施的漏洞管理方面，需要和云服務供應商保持協同。
補丁管理：在避免主機、應用程序、數據庫、網絡遭受針未授權的的攻擊方面，安全補丁管理和漏洞管理具有同等重要的意義。需要注意的是，補丁管理過程應該遵循變更管理框架。
安全配置管理：安全配置管理包括網絡和遠程連接配置、防火墻策略配置、操作系統安全配置及數據庫訪問管理配置。安全配置管理使系統各部分配置保持在安全基線上，免受針對配置弱點實施的攻擊。
訪問監測：訪問監測包括正常訪問的檢測和入侵監測。正常訪問監測包含可用性監測、帶寬利用率、訪問延遲等的檢測，主要作為訪問質量和性能擴展的判斷依據。入侵檢測包括對主機系統、應用系統、數據庫系統的入侵檢測，避免受到非授權訪問和數據破壞。
事件響應管理:事件響應是在“積極防御、及時發現、快速響應、力保恢復”的大原則下，突出發現和響應。通過建設層次化的應急響應隊伍，編制應急預案，進行應急演練，在第一時間知道風險來臨時，及時統籌開展應急處置。
5 小結經過3個月的測評，進行整改和試運行，測評符合率90%。有部分限于資源等客觀原因的，也做了持續改進安排。最后通過了三級等級保護測評。
通過等保認證過程的磨練，我們總結主要有幾個意義：降低數據安全風險，提高信息系統的安全防護能力；滿足國家相關法律法規和制度的要求；滿足相關主管單位和行業要求；鍛煉了安全、開發、運維隊伍，提高了醫院的信息安全治理能力。