上周三凌晨两点，医院值班护士在护士站电脑上点开一个“医院内部通知”的网络压缩包，屏幕闪了一下，安全桌面多了个没见过的整改快捷方式。第二天信息科排查时发现，报告这台机器已经被当作跳板，医院试图横向连接检验科的网络LIS系统。攻击没成功，安全但暴露的整改问题足够让所有人后背发凉——那台电脑的操作系统补丁停留在三年前，杀毒软件被手动关闭了，报告理由是医院“太卡，影响开医嘱”。网络

这不是安全孤例。我们花了四天时间，整改把全院终端、报告服务器和网络设备过了一遍，结果不太好看。内外网混用的情况比预想严重。门诊三楼有两台自助挂号机，网线直接插在内外网双网口的交换机上，没有任何VLAN隔离。放射科的PACS工作站能访问互联网，医生说是为了方便传图给外院会诊，但防火墙策略里这条放行规则写的是“any any”。

弱口令的问题几乎成了顽疾。HIS系统里筛出47个账号密码是“123456”或者“admin888”，包括两个已经离职半年的医生账号还在活跃状态。数据库审计日志显示，这些账号在非工作时间有大量查询操作，查的是患者姓名、身份证号和诊断结果。谁在用，查不到，因为没开操作溯源。

网络架构本身也有硬伤。核心交换机的冗余电源坏了一个，备件采购单卡在设备科三个月。无线网络用的是2015年的胖AP，没有统一控制器，信号互相干扰不说，访客网络和内网业务走的是同一个SSID。信息科老张指着机房角落那台生锈的机柜说：“这机器比我工龄都长，风扇响得像拖拉机，但没人敢动，一停全院挂号就瘫。”

整改从最要命的地方下手。先切网络。把内外网物理隔离做到位，自助机、收费窗口这些对外终端单独划进DMZ区，只放行必要的业务端口。PACS那台机器加装双网卡，会诊传图走专用VPN通道，防火墙规则从“any any”改成只允许目标IP和端口。无线网络拆成三个SSID：内网业务、移动查房、访客，各自独立认证。

账号清理比预想麻烦。有些科室共用账号是历史遗留问题，急诊科一个“emergency”账号六个人在用。直接禁用会影响夜班，只能先强制改密码，加登录IP限制，再逐个科室推个人账号。离职人员账号全部冻结，顺便把权限表重新捋了一遍——发现三个行政人员拥有药品库存修改权限，他们自己都不知道。

补丁和杀毒的事得靠技术手段解决。部署了内网WSUS服务器，终端补丁统一推送，不再依赖外网。杀毒软件换成轻量级客户端，资源占用降下来，护士长不再抱怨卡顿。机房那台老交换机换了，冗余电源到货前先用堆叠临时顶着。老张说现在风扇声小多了，但他还是每天去机房转两圈。

监控体系是最后补上的。数据库审计开了全量日志，敏感操作实时告警。网络流量做了镜像，IDS规则库更新到最新。信息科四个人排班，每天有人盯告警面板。上周五下午弹了一条“异常外联”告警，查下来是设备科一台打印机在自动更新固件，虚惊一场，但至少说明监控在干活。

整改报告写了三十页，院长看完只问了一句：“能扛住下一次吗？”没人敢打包票。网络安全这事，攻防永远不对等。但至少现在，那个凌晨两点的压缩包如果再来一次，它连护士站那台电脑都出不去。

(责任编辑：焦点)