开展“银医通”的必要性
“银医通”又称为银医一卡通，银行和医院合作，由银行出资购买一批自助终端设备，部署在医院，起到资金沉淀的作用。“银医通”将银行的核心系统、前置系统与医院的HIS管理系统进行对接，提供线上自助式就医手续办理程序，具有预约挂号、在线挂号、门诊缴费等自助操作功能，为患者提供便利，这种业务模式在医院得到了广泛应用。
国家政策的要求
国家卫健委于2018年7月发布《关于深入开展“互联网+医疗健康”便民惠民活动的通知》，指出“医疗卫生机构要通过自助机、手机客户端等多种途径，优化支付流程，改善结算模式。在保障信息安全的前提下，加强与医保、商保、银联、第三方支付机构合作，为患者提供多种在线支付方式。到2020年，二级以上医院普遍提供移动支付等‘一站式’结算服务”。
银医场景面临的安全风险
医院银医场景涉及到互联网、专网、医院内网等数据通讯，打破了原纯内网交互的业务环境，并引入了多种支付方式，提供自助服务模式，具有向互联网延伸的特性，因此存在着众多安全隐患：
• 医院银医通服务器成为互联网与医院内网连接的跳板，容易遭受攻击；
• 医院与银行等第三方机构交互，医院专网面临着第三方机构的网络威胁；
• 微信、支付宝等互联网业务流量中可能夹杂着恶意流量，传播到医院内网；
自助终端设备类型复杂多样，自身安全性无法保障，容易传播风险，渗透到核心业务系统。
东软NetEye银医场景的安全架构
安全方案应充分考虑银医场景独特的业务流程与特性，从以下几个层面做好防护：
互联网病毒威胁防范
患者使用微信、支付宝、第三方APP等多样化的互联网手段进行挂号支付，业务流量容易夹带病毒威胁。部署具备防病毒功能的高性能硬件架构防火墙，支持千万量级的病毒特征库，在不影响支付业务的前提下，可全面快速地检测出互联网流量中的病毒威胁。
建立互联网业务安全边界
针对互联网结算业务，可在银医通服务器与外网前置服务器之间部署网闸，通过数据摆渡实现两者之间的数据同步。建立内网安全隔离屏障，避免银医通服务器直接暴露在互联网环境，防止以其为跳板攻击核心业务系统。
建立专网安全边界
在银行与医院边界部署防火墙，实现基础的安全隔离。医院与第三方机构对接，通常不清楚对端的网络安全环境，通过隔离与访问控制可以屏蔽常见的安全风险。
内网核心区安全防护
内网核心区域各出口处建立防护措施，针对不同业务仅开放必要的服务和端口，同时限制自助终端前置服务器访问核心服务器的行为，降低核心区域被攻击的概率。
自助终端安全防护
内网终端主要是自助终端、人工窗口PC等，存在病毒感染风险。可部署EDR，采用多行为联动的智能主动防御体系，实时监控终端的进程、主机行为，识别挖矿木马勒索病毒等隐藏的未知恶意程序，快速响应并拦截处理。还可对包括服务器在内的全网终端进行持续性安全监测，精准把控内网终端的整体安全态势。
在内网终端区部署防火墙，有效控制自助终端间的访问行为，防止攻击行为横向蔓延、扩散。同时，自助终端易存在身份冒用、非法准入的问题，可对其进行身份验证、IP/MAC绑定等安全管控。
东软NetEye银医场景的安全防护价值
综上所述，东软NetEye银医安全场景方案具有如下防护价值：
采取多层的安全防护措施，防范业务互联网化带来的DDoS攻击、跳板攻击、攻击探测、病毒木马等新增安全威胁，最大化保障银医通业务安全性；
识别挂号、结算、打印等不同自助终端的业务交互需求，建立自助终端的访问控制措施，将自助终端的风险和影响范围最小化；
以医院内网核心系统为中心，识别不同业务类型的交互需求，建立以业务为中心的多出口边界防护体系，保障医院内网核心系统安全性。
“银医通”又称为银医一卡通，银行和医院合作，由银行出资购买一批自助终端设备，部署在医院，起到资金沉淀的作用。“银医通”将银行的核心系统、前置系统与医院的HIS管理系统进行对接，提供线上自助式就医手续办理程序，具有预约挂号、在线挂号、门诊缴费等自助操作功能，为患者提供便利，这种业务模式在医院得到了广泛应用。
国家政策的要求
国家卫健委于2018年7月发布《关于深入开展“互联网+医疗健康”便民惠民活动的通知》，指出“医疗卫生机构要通过自助机、手机客户端等多种途径，优化支付流程，改善结算模式。在保障信息安全的前提下，加强与医保、商保、银联、第三方支付机构合作，为患者提供多种在线支付方式。到2020年，二级以上医院普遍提供移动支付等‘一站式’结算服务”。
银医场景面临的安全风险
医院银医场景涉及到互联网、专网、医院内网等数据通讯，打破了原纯内网交互的业务环境，并引入了多种支付方式，提供自助服务模式，具有向互联网延伸的特性，因此存在着众多安全隐患：
• 医院银医通服务器成为互联网与医院内网连接的跳板，容易遭受攻击；
• 医院与银行等第三方机构交互，医院专网面临着第三方机构的网络威胁；
• 微信、支付宝等互联网业务流量中可能夹杂着恶意流量，传播到医院内网；
自助终端设备类型复杂多样，自身安全性无法保障，容易传播风险，渗透到核心业务系统。
东软NetEye银医场景的安全架构
安全方案应充分考虑银医场景独特的业务流程与特性，从以下几个层面做好防护：
互联网病毒威胁防范
患者使用微信、支付宝、第三方APP等多样化的互联网手段进行挂号支付，业务流量容易夹带病毒威胁。部署具备防病毒功能的高性能硬件架构防火墙，支持千万量级的病毒特征库，在不影响支付业务的前提下，可全面快速地检测出互联网流量中的病毒威胁。
建立互联网业务安全边界
针对互联网结算业务，可在银医通服务器与外网前置服务器之间部署网闸，通过数据摆渡实现两者之间的数据同步。建立内网安全隔离屏障，避免银医通服务器直接暴露在互联网环境，防止以其为跳板攻击核心业务系统。
建立专网安全边界
在银行与医院边界部署防火墙，实现基础的安全隔离。医院与第三方机构对接，通常不清楚对端的网络安全环境，通过隔离与访问控制可以屏蔽常见的安全风险。
内网核心区安全防护
内网核心区域各出口处建立防护措施，针对不同业务仅开放必要的服务和端口，同时限制自助终端前置服务器访问核心服务器的行为，降低核心区域被攻击的概率。
自助终端安全防护
内网终端主要是自助终端、人工窗口PC等，存在病毒感染风险。可部署EDR，采用多行为联动的智能主动防御体系，实时监控终端的进程、主机行为，识别挖矿木马勒索病毒等隐藏的未知恶意程序，快速响应并拦截处理。还可对包括服务器在内的全网终端进行持续性安全监测，精准把控内网终端的整体安全态势。
在内网终端区部署防火墙，有效控制自助终端间的访问行为，防止攻击行为横向蔓延、扩散。同时，自助终端易存在身份冒用、非法准入的问题，可对其进行身份验证、IP/MAC绑定等安全管控。
东软NetEye银医场景的安全防护价值
综上所述，东软NetEye银医安全场景方案具有如下防护价值：
采取多层的安全防护措施，防范业务互联网化带来的DDoS攻击、跳板攻击、攻击探测、病毒木马等新增安全威胁，最大化保障银医通业务安全性；
识别挂号、结算、打印等不同自助终端的业务交互需求，建立自助终端的访问控制措施，将自助终端的风险和影响范围最小化；
以医院内网核心系统为中心，识别不同业务类型的交互需求，建立以业务为中心的多出口边界防护体系，保障医院内网核心系统安全性。
东软网络安全 微信号：Neusoft_NetEye
