探索检测4G/5G违规外联方法，保护医院联网设备网络安全

来源：HIT专家网  作者：郭幽燕

2026 年 3 月，IHE中国正式发布《医疗机构联网医疗设备网络安全指南》（T/CAME 82—2026）团体标准，其核心是为联网医疗设备提供全生命周期、全维度、全流程的网络安全应用指引，填补了国内医疗设备网络安全管理专项标准空白。该《指南》以设备全生命周期管理为主线、以风险管理为核心、以分层防护为手段、以职责划分为保障，系统性构建联网医疗设备网络安全“核心框架+实操工具”体系。

《指南》明确要求：“未经授权不得通过互联网远程连接到医疗设备，开展远程监控及维护维修。如确需开展，须经医疗机构相关管理部门审批后，通过医疗机构控制的网络安全管理设备接入互联网，采用有效的运维管控措施”；“保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信”；“对内部联网医疗设备非授权联出到外部网络的行为进行检查或限制”。

这些条款都为医疗设备对外界的数据互通提出了安全底线规范。然而，一直以来，违规通过4G/5G网卡或路由器从医院内网连接互联网，是医院网络安全和数据安全管理的一个痛点，传统网络安全方案对这个难题缺乏有效手段。因此，需要一种面向4G/5G违规外联的安全检测方案，用以保护医院网络和数据安全。

4G/5G违规外联是医院网络和数据安全的重大隐患

常见的防止设备或工作站违规外联的解决方案，是在它们所在网络区域的网络交换机上打开端口镜像功能，对进出设备或设备工作站的网络流量进行截获和分析，发现其中可能的违规外联行为。

但是，医院很多医用设备，比如CT等，厂商为了运维方便，可能选择在设备工作站上安装4G/5G网卡，或连接独立于医院内网的4G/5G路由器，以支持设备远程运维工作；同时，为了避免影响设备的正常工作，厂商不允许在这些设备或设备工作站上安装第三方软件，包括安全代理，这就导致医院无法对这些设备工作站违规外联行为进行监管。

另外，由于医院网络和数据安全方案在技术功能方面的局限性或其他管理疏漏，有些用户也可能会在终端等主机设备上私自安装4G/5G网卡，违规与互联网连接，并规避医院的网络安全监管，给医院网络和数据安全带来隐患。

这种通过4G/5G网卡或路由器的违规外联行为产生的网络流量不会通过医院的网络交换机，意味着这种外联方式无法被传统的医院内网安全管理系统捕获。

而用手持无线信号检测设备对院内相关场所进行不定期巡查，以发现通过4G/5G违规外联行为，这一方案不仅效率低，而且效果也不理想，需要投入大量人力巡查、检测和分析，不切合医院网络安全管理实际需求。

4G/5G违规外联检测方案

首都医科大学附属北京安贞医院与合作单位一起，联合开发和实现了一种无侵入式的4G/5G违规外联检测系统，可以有效解决医院网络安全管理在这一环节的漏洞和风险。

系统主要组件包括4G/5G探针和违规外联监测平台，一个监测平台可以支持多个4G/5G探针接入，其技术方案和部署方式如图1所示。

图1所示方案，无需在被检测设备或设备工作站上安装任何安全代理，也无需在网络交换机上配置端口镜像。该方案中，4G/5G探针部署在被检测设备或设备工作站附近，对被检测范围内的4G/5G外联信号进行采集；在通过AI算法剔除所采集数据中正常的手机信号后，探针将检测结果报告给医院网络安全管理中心的违规外联监测平台。4G/5G探针不对外发射信号，不会干扰被监控设备的正常工作

该方案的核心技术是4G/5G探针。4G/5G探针有以下主要功能：

（1）采集在70MH-6GHz范围的无线信号，覆盖三大运营商的4G/5G信号的全部频段。

（2）利用AI算法，将正常的手机信号从采集数据中过滤剔除。

（3）将过滤后的数据上传到医院网络安全管理中心的违规外联监测平台。

违规外联监测平台对各个探针上传的数据进行记录、统计和进一步分析，对违规外联行为进行告警。图2是违规外联监测平台的功能界面示意。

每个4G/5G探针能检测半径为5米（中间须无障碍物）。为了方便部署，4G/5G探针都支持PoE供电方式。

需要说明的是，4G/5G探针只能检测到无线信号，并不能解析4G/5G通信数据，也不能解析4G/5G通信双方身份，因此不能将图1方案理解为类似WireShark的网络流量分析工具。但是，通过4G/5G探针部署位置和覆盖范围，网络安全管理人员能大致分析出违规外联的院内端设备身份。

实际应用部署建议

图1方案在实际应用部署时要考虑以下情况：

1.4G/5G探针应该部署在医用设备工作站所在区域，或网络安全管理较为疏漏或能力不足的区域。

2.为避免障碍物对检测能力的影响，应该将4G/5G探针部署在没有遮挡的位置。

3.如果建筑物空间较大，应该部署多个4G/5G探针，保证一定的覆盖范围。

4.如果条件允许，应该采用带外管理方式，即4G/5G探针上报数据到违规外联监测平台时使用与医院业务数据不同的网络，减少对内网应用的影响。

实际应用效果

在将4G/5G探针部署在医院某台影像设备的操作间后，违规外联监测平台对连续多天的探针上报数据进行分析，获得被监测范围内的无线信号强度示意，如图3所示：

图3给出了两个对比环境的无线信号强度示意，显然图3(a)的无线信号强度高于图3(b)，经询问了解，图3(a)当天开展了设备远程维护工作。

未来工作

尽管图1方案不能直接解析4G/5G通信数据，也不能解析4G/5G通信双方身份，但是违规外联监测平台保存了大量的4G/5G违规外联活动记录，包括但不限于每次违规外联的时间、时长、设备身份（高概率）等数据。这些数据可以作为依据，用于分析这些违规外联行为的模式和目的，比如是为了支持远程运维，还是为了窃取医院数据等。如何拓展图1方案能力也是我们未来的研究方向。

目前，图1方案是一个独立的系统，下一步还需要将其融入医院现有的网络安全管理系统中。这种融合不只是管理系统运行平台级别的融合，更应该是安全管理数据级别的融合。只有实现安全管理数据的融合，才能使现在的4G/5G违规外联监测与其他网络安全行为分析综合，进而挖掘更多的安全管理能力。

【作者简介】

郭幽燕，研究员，CHIMA委员，PHITA理事，PHISTA网络与数据安全专委会副主任委员，北京网络信息安全创新产业联盟委员会专家，中国医药教育协会（CMEA）卫生信息与互联网医疗专业委员会委员，首医硕导。电子邮件：1277692955@qq.com；地址：首都医科大学附属北京安贞医院，信息中心，100029，北京市朝阳区安贞路2号。

【责任编辑：封诚 版式：明超】