谁把路由器插进了医院内网？

---

先讲个真事。
一家三甲医院，门诊大厅。
信息科的老张巡楼，走到候诊区，看见墙上一个网口插着个小盒子，指示灯一闪一闪。
凑近一看，一台迷你路由器。
谁插的？不知道。
插了多久？不知道。
它都看了内网什么？还是不知道。
老张后背一凉。
听起来像段子，但这确实是发生在医院信息科的真实场景。
 

01 为什么这事跟你有关

医院这张网，跟一般单位的网不一样。挂号缴费、排队叫号、自助机、电子病历、LIS、PACS，全跑在一张内网上。边界，就是这张网的大门。门一直敞着，屋里的东西能安全吗？今天我们就把这扇大门上最常见的3个窟窿，一个个扒开看。
 

02 大门上的3个窟窿和盈高准入的应对思路

• 场景一 ：墙上的网口，正在裸奔

场景还原：候诊区、大厅、走廊，凡是患者和家属能走到的地方，墙上基本都有网口。有的贴着标签，有的连标签都掉了。
风险点：这些端口一旦没管控，外来设备插根网线就能摸到内网。私接一台路由器、一个随身WiFi，内网就多了一道看不见的旁门。
盈高准入的应对思路
交换机端口远程管控，端口UP/DOWN远程操作，不用抱着配线架一个个拔。
资产发现加台账管理，全网端口谁在用、接了什么，一目了然。
闲置端口一键关闭，不用的口，先关掉再说。

• 场景二 叫号屏被投了违规内容，谁负责

场景还原：门诊大厅的自助机、诊区的叫号屏，一天被摸几百次。某天叫号屏突然黑屏，接着播出一段不该出现的内容。围观群众举起手机，事情立马在各种本地业主群里传播起来。
风险点：自助机和叫号机是最容易被非法终端仿冒入网的设备。叫号屏一旦被人接管，后果远不止丢面子。
盈高准入的应对思路
全院终端实名制管控，自助机、叫号屏一台不漏，全部登记在册。
IP、MAC、设备指纹3重绑定，设备像人一样先安检，再入网。
陌生设备自动阻断，没登记的设备一插线就拦。
外围策略收紧，热点禁用、Wi-Fi黑白名单、APP黑白名单、禁用蓝牙。
 

• 场景三 自助机上的命令窗口

场景还原：有患者在自助机上研究了十分钟，调出了系统命令窗口。对方可能就是个好奇心重的IT人，顺手敲了几行命令。
风险点：命令提示符、运行窗口这些系统入口一旦能打开，自助机就可能被用来探测内网结构。内网有哪些网段、哪些服务器，被人摸一遍就门儿清。
盈高准入的应对思路
禁用命令提示符、运行窗口等系统入口，把后门焊死。
最小访问权限，自助机只允许访问必要的业务服务器。
跨网段隔离，办公网、数据库网段，一律不让碰。
 

03 盈高准入堵住这三个窟窿后，发生了什么变化？

医院的网络边界，就像门诊大厅的闸机，进来的每个人、每台设备，都得先过安检。

• 端口这关

交换机端口统一纳管，端口开关远程就能操作。资产自动发现、IP/MAC/设备指纹绑定，谁接在哪个口、接的是什么设备，后台一屏看清。陌生设备一上线就阻断并告警。

• 终端这关

自助机、叫号屏这类公共终端，桌面加固后禁用命令提示符、注册表、任务管理器。软件白名单挡住私装的远程控制工具，密码合规基线扫描盯住那些从没改过的出厂密码。

• 入口这关

公共区域终端划进独立VLAN，与 HIS、电子病历、数据库之间做零信任跨区访问控制。即便某台自助机被拿下，也摸不到核心业务。

• 进不来　全院内网准入全覆盖，资产底数清，非法设备接不上
• 管得住　终端命令封堵，违规操作全程可追溯
• 隔得开　自助机与HIS、数据库物理逻辑双隔离

04 给你一份安全自查清单

1.大厅和候诊区裸露网口已全部清点建档
2.交换机闲置端口已关闭，或纳入远程管控
3.全院终端含自助机、叫号屏已完成实名登记
4.IP、MAC、设备指纹绑定已开启
5.陌生设备接入自动阻断已开启并演练过
6.自助机命令提示符和运行窗口已禁用
7.自助机访问范围已最小化，跨网段已隔离

用法：对照逐项打钩，建议截图保存，每月自查一次。
 

05 本系列共4关，这是第1关

下期预告第2关 · 终端关，镜头从大门挪进屋里

1. 收费机的出厂密码，8年没人改过
2. 护士站电脑的 USB 口，U盘想插就插
3. 一台装着远程控制软件的电脑，没人认领

如何解决医疗终端常见的安全隐患？我们下期见。