本文來自微信公眾號(hào)“twt企業(yè)IT社區(qū)”，作者/潘志強(qiáng)，暨南大學(xué)附屬第一醫(yī)院資深工程師，從事醫(yī)院信息化相關(guān)工作十多年，主要負(fù)責(zé)醫(yī)院運(yùn)維協(xié)調(diào)管理、信息安全與機(jī)房設(shè)備管理等工作，參編過醫(yī)院信息化管理專著多篇，發(fā)表國內(nèi)核心期刊論文多篇。
1.背景
2017年勒索病毒大規(guī)模爆發(fā)以來，對(duì)數(shù)據(jù)安全最大的威脅是勒索病毒，這種病毒利用各種加密算法對(duì)文件進(jìn)行加密，被感染者一般無法解密，需要拿到解密的私鑰才有可能破解，拿到私鑰則要支付高額的贖金。特別是近年來，新一代的勒索病毒的功能越來越強(qiáng)，出現(xiàn)了大量新型的勒索病毒。許多勒索病毒通過代碼混淆等手段實(shí)現(xiàn)自身的隱藏，對(duì)用戶數(shù)據(jù)信息、個(gè)人隱私等造成了較大的威脅。勒索病毒的發(fā)展趨勢(shì)開始呈現(xiàn)出攻擊多樣性、多功能性、欺詐性乃至自我更新等特點(diǎn)。此外，暗網(wǎng)勒索病毒制作技術(shù)的公開、專業(yè)化勒索病毒制作工具的出現(xiàn)，極大的降低了勒索病毒的制作成本和犯罪成本，使得勒索病毒呈現(xiàn)出逆向追蹤困難和贖金收益效果高的特點(diǎn)，進(jìn)一步推動(dòng)了勒索病毒的傳播與發(fā)展。
目前，醫(yī)療行業(yè)頻遭勒索病毒威脅，一旦破防，核心生產(chǎn)數(shù)據(jù)庫文件會(huì)被修改為加密文件，造成醫(yī)療信息系統(tǒng)癱瘓，只有獲取解密私鑰才有可能對(duì)文件進(jìn)行解密從而恢復(fù)醫(yī)療秩序。黑客正是通過這樣的手段向受害用戶勒索高昂贖金，這些贖金必須通過數(shù)字貨幣支付，很難溯源，因此危害巨大。
2.勒索病毒的工作原理
2.1定義
勒索病毒，是指以加密數(shù)據(jù)、鎖定設(shè)備、損壞文件為主要攻擊方式，使計(jì)算機(jī)無法正常使用或者數(shù)據(jù)無法正常訪問，并以此向受害者勒索錢財(cái)?shù)囊恍阂廛浖Ｆ浠具\(yùn)行流程大致相似，主要可分為病毒分發(fā)、設(shè)備感染、與C＆C服務(wù)器通信、文件加密、顯示勒索信息等階段。
2.2入侵途徑
入侵途徑包括弱口令攻擊、橫向滲透、釣魚郵件、網(wǎng)站掛馬、漏洞利用、僵尸網(wǎng)絡(luò)、遠(yuǎn)程入侵、供應(yīng)鏈攻擊和移動(dòng)介質(zhì)等。
2.3攻擊流程
攻擊流程分為幾個(gè)階段：偵查探測(cè)→攻擊植入→分析感染→掃描備份→文件加密→用戶通知→贖金支付。
2.4漏洞攻擊
幾乎所有的網(wǎng)絡(luò)攻擊都是利用系統(tǒng)漏洞，勒索病毒同樣是利用系統(tǒng)漏洞實(shí)現(xiàn)攻擊和傳播。系統(tǒng)漏洞呈現(xiàn)出老漏洞并未退出歷史舞臺(tái)、新漏洞不斷被開發(fā)利用、可用性高的漏洞備受青睞現(xiàn)象。防御勒索病毒最有效的措施就是及時(shí)更新補(bǔ)丁，但是目前很多國家已經(jīng)把漏洞當(dāng)作戰(zhàn)略資源，不會(huì)輕易對(duì)外公布發(fā)現(xiàn)的系統(tǒng)漏洞。
2.5文件加密
勒索病毒采用了更為完善的現(xiàn)代加密技術(shù)，即對(duì)稱密碼加密與非對(duì)稱密碼加密，真正達(dá)到了對(duì)數(shù)據(jù)的不可逆“劫持”。其算法能確保不被破解的主要原因是破解鑰將要耗費(fèi)大量的時(shí)間。使用現(xiàn)有的超級(jí)計(jì)算機(jī)，加密可能只需要幾秒時(shí)間，而暴力破解卻幾乎無法實(shí)現(xiàn)。
2.6勒索形式
勒索形式包括文件加密、加密局域網(wǎng)共享設(shè)備、加密磁盤、內(nèi)網(wǎng)滲透、上傳隱私信息、禁用防護(hù)功能、關(guān)閉進(jìn)程/服務(wù)、清除日志、刪除備份數(shù)據(jù)、竊取數(shù)據(jù)等。
3.三甲醫(yī)院面臨的勒索病毒挑戰(zhàn)
3.1醫(yī)院信息化安全現(xiàn)狀
從系統(tǒng)的構(gòu)成來看，醫(yī)院使用的主流系統(tǒng)有HIS、EMR、LIS、PACS系統(tǒng)等，除此之外，醫(yī)院內(nèi)部還使用了HRP、移動(dòng)護(hù)理等多個(gè)系統(tǒng)，其內(nèi)部主要集成了上百個(gè)子系統(tǒng)，他們之間相互配合，共同維護(hù)了醫(yī)院的正常運(yùn)行。醫(yī)院新系統(tǒng)存在的特征：響應(yīng)速度快，處理事件能力強(qiáng)；醫(yī)療數(shù)據(jù)具有一定的特色，其覆蓋面較廣，信息內(nèi)容復(fù)雜；醫(yī)療數(shù)據(jù)較為重要，對(duì)安全性及隱私性的標(biāo)準(zhǔn)高；醫(yī)院數(shù)據(jù)內(nèi)容較多，具有較大的數(shù)據(jù)量；為了保障醫(yī)院的秩序，其系統(tǒng)必須符合穩(wěn)定性特點(diǎn)；系統(tǒng)內(nèi)部的用戶量較大，其瞬間訪問量較大，處理并發(fā)需求的要求較高；系統(tǒng)內(nèi)部數(shù)據(jù)量大，其維護(hù)的難度較大。從科室構(gòu)成來看，大部分醫(yī)院都會(huì)設(shè)立相應(yīng)的信息科，但是該科室存在感較低，存在忽視了對(duì)于信息安全系統(tǒng)的建設(shè)。
3.2患者隱私泄露的威脅
醫(yī)院存儲(chǔ)的數(shù)據(jù)中包含了大量敏感的患者信息，包括個(gè)人身份信息、病歷記錄、診斷結(jié)果等。一旦受到勒索病毒攻擊，這些隱私數(shù)據(jù)可能被加密或竊取，導(dǎo)致患者隱私泄露的風(fēng)險(xiǎn)極大。不僅僅是合規(guī)性的問題，更關(guān)乎患者信任和醫(yī)院聲譽(yù)。此時(shí)，醫(yī)院需要從存儲(chǔ)層面出發(fā)，通過縱深防護(hù)機(jī)制，確?；颊唠[私數(shù)據(jù)的安全性。
3.3醫(yī)院運(yùn)營影響的威脅
醫(yī)院的日常運(yùn)營依賴于大量的數(shù)字化信息，包括排班信息、醫(yī)療流程、科研成果等。勒索病毒可能導(dǎo)致這些關(guān)鍵數(shù)據(jù)的加密或喪失，使得醫(yī)院無法正常運(yùn)營。這不僅僅是數(shù)據(jù)的丟失，更可能造成患者治療延誤、醫(yī)護(hù)人員混亂等嚴(yán)重后果。通過在存儲(chǔ)層面構(gòu)建縱深防護(hù)體系，醫(yī)院可以有效降低勒索病毒對(duì)運(yùn)營的影響，確保關(guān)鍵數(shù)據(jù)的可靠性和可用性。
3.4信息安全合規(guī)性的挑戰(zhàn)
醫(yī)院在處理患者數(shù)據(jù)時(shí)需要遵守嚴(yán)格的法規(guī)和合規(guī)性要求，如《中華人民共和國網(wǎng)絡(luò)安全法》、《中華人民共和國密碼法》、《中華人民共和國數(shù)據(jù)安全法》、《中華人民共和國個(gè)人信息保護(hù)法》、《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》等。勒索病毒的攻擊可能導(dǎo)致醫(yī)院無法保證這些法規(guī)的遵守，從而面臨嚴(yán)重的法律責(zé)任。通過在存儲(chǔ)層面建立加密保護(hù)、備份機(jī)制等措施，可以幫助醫(yī)院更好地滿足信息安全合規(guī)性的要求，降低法律風(fēng)險(xiǎn)。
4.存儲(chǔ)層面的縱深安全體系
4.1數(shù)據(jù)保留技術(shù)
數(shù)據(jù)的安全性和合規(guī)性成為組織和機(jī)構(gòu)關(guān)注的焦點(diǎn)之一。根據(jù)法律法規(guī)的要求，法院案件文件、病例、財(cái)務(wù)文件等重要數(shù)據(jù)只能在特定期限內(nèi)讀取，不能寫入。因此，必須采取措施防止此類數(shù)據(jù)被篡改。存儲(chǔ)中，WORM是用于歸檔和備份數(shù)據(jù)，確保數(shù)據(jù)安全訪問和防止數(shù)據(jù)篡改的最常見方法。WORM（write once read many）意味著一次寫入多次讀取，用戶可以為文件設(shè)置保護(hù)期，在保護(hù)期內(nèi)，文件只能讀取，不能修改或刪除，保護(hù)期到期后可以刪除和讀取文件。WORM技術(shù)的實(shí)現(xiàn)涉及到底層的文件系統(tǒng)和存儲(chǔ)設(shè)備的支持。在文件系統(tǒng)層面，需要有相應(yīng)的機(jī)制來標(biāo)記文件為WORM，并限制對(duì)其的修改和刪除操作。存儲(chǔ)設(shè)備則需要提供可靠的存儲(chǔ)介質(zhì)，確保數(shù)據(jù)一經(jīng)寫入即不可更改。WORM技術(shù)也在不斷演進(jìn)，新興的存儲(chǔ)技術(shù)如區(qū)塊鏈在保證數(shù)據(jù)不可篡改性方面具有潛在優(yōu)勢(shì)，但WORM技術(shù)在傳統(tǒng)存儲(chǔ)系統(tǒng)中的應(yīng)用仍然具有實(shí)際的需求和廣泛的適用性。
4.2存儲(chǔ)縱深架構(gòu)
4.2.1 SAN架構(gòu)勒索病毒防護(hù)
(1)安全快照策略的技術(shù)實(shí)現(xiàn)與理論基礎(chǔ)
在SAN架構(gòu)中，安全快照策略的制定不僅需要理論支持，還需要基于先進(jìn)的存儲(chǔ)技術(shù)。安全快照是通過記錄存儲(chǔ)卷的數(shù)據(jù)變更來實(shí)現(xiàn)的。這涉及到Copy-on-Write技術(shù)，即只有在數(shù)據(jù)發(fā)生變更時(shí)才復(fù)制數(shù)據(jù)塊，以減少性能影響。通過差異化策略，我們實(shí)現(xiàn)了對(duì)不同存儲(chǔ)區(qū)域的靈活管理，確保了系統(tǒng)的高效性和數(shù)據(jù)的可靠性。
(2)存儲(chǔ)服務(wù)器加密技術(shù)的實(shí)際應(yīng)用
存儲(chǔ)服務(wù)器加密技術(shù)的實(shí)際應(yīng)用是通過硬件加速模塊和加密算法的結(jié)合來實(shí)現(xiàn)的。采用現(xiàn)代的加密算法，如AES（高級(jí)加密標(biāo)準(zhǔn)），可在不影響性能的情況下實(shí)現(xiàn)強(qiáng)大的數(shù)據(jù)保護(hù)。這種技術(shù)不僅在傳輸時(shí)加密數(shù)據(jù)，還在存儲(chǔ)時(shí)對(duì)數(shù)據(jù)進(jìn)行保護(hù)，為醫(yī)院存儲(chǔ)層提供了多重的安全防線。
(3)建立備份隔離區(qū)的實(shí)際架構(gòu)與網(wǎng)絡(luò)拓?fù)?/strong>
建立備份隔離區(qū)的實(shí)現(xiàn)涉及到網(wǎng)絡(luò)拓?fù)浜头阑饓夹g(shù)。通過在網(wǎng)絡(luò)中設(shè)置專用的備份隔離區(qū)，可以確保備份數(shù)據(jù)在傳輸過程中不受到未經(jīng)授權(quán)的訪問。防火墻技術(shù)則用于監(jiān)控備份通道，防止勒索病毒通過備份渠道進(jìn)入存儲(chǔ)系統(tǒng)。這一實(shí)際架構(gòu)保證了備份數(shù)據(jù)的完整性和安全性。
4.2.2 NAS架構(gòu)勒索病毒防護(hù)
(1)數(shù)據(jù)檢測(cè)和攔截技術(shù)的算法實(shí)現(xiàn)與用戶行為分析
NAS架構(gòu)中數(shù)據(jù)檢測(cè)和攔截技術(shù)的實(shí)現(xiàn)需要先進(jìn)的算法和用戶行為分析。使用機(jī)器學(xué)習(xí)算法，可以在數(shù)據(jù)進(jìn)入存儲(chǔ)區(qū)之前進(jìn)行實(shí)時(shí)病毒識(shí)別。通過對(duì)用戶行為和文件損壞特征的深入分析，我們能夠提高病毒檢測(cè)的準(zhǔn)確性，實(shí)現(xiàn)對(duì)潛在威脅的早期發(fā)現(xiàn)。
(2)文件攔截技術(shù)的實(shí)際部署與文件后綴名識(shí)別
文件攔截技術(shù)的實(shí)際部署涉及到實(shí)時(shí)監(jiān)測(cè)和文件后綴名識(shí)別。部署文件攔截技術(shù)需要在存儲(chǔ)系統(tǒng)中嵌入實(shí)時(shí)監(jiān)測(cè)引擎，對(duì)文件后綴名進(jìn)行快速識(shí)別。這一技術(shù)在阻止常見勒索病毒傳播的同時(shí)，保障了系統(tǒng)的正常運(yùn)行。
(3)端到端加密技術(shù)的應(yīng)用與傳輸鏈路加密
NAS架構(gòu)中的端到端加密技術(shù)主要通過控制器加密和傳輸鏈路加密來實(shí)現(xiàn)?？刂破骷用懿捎妹荑€管理系統(tǒng)，確保數(shù)據(jù)在存儲(chǔ)系統(tǒng)內(nèi)的安全性。傳輸鏈路加密通過TLS/SSL等協(xié)議，對(duì)數(shù)據(jù)進(jìn)行端到端的安全傳輸。這一加密技術(shù)層面的應(yīng)用有效遏制了數(shù)據(jù)在傳輸過程中的潛在風(fēng)險(xiǎn)。
4.2.3備份架構(gòu)勒索病毒防護(hù)
(1)備份管理軟件的技術(shù)選擇與不同備份軟件的差異
在備份架構(gòu)中，選擇備份管理軟件需要考慮其對(duì)數(shù)據(jù)格式變換和功能的支持。不同的備份軟件在文件格式和功能上存在差異，因此需要根據(jù)具體需求選擇合適的軟件。例如，Veeam和NetBackup在備份過程中有不同的數(shù)據(jù)處理方式，這影響到備份數(shù)據(jù)的安全性和可用性。
(2)WORM技術(shù)的原理與實(shí)際應(yīng)用
WORM技術(shù)的原理是通過實(shí)現(xiàn)AUTOLOCK功能，在數(shù)據(jù)寫入一定時(shí)間后將文件設(shè)為不可更改。這一技術(shù)的實(shí)際應(yīng)用需要在備份軟件中設(shè)置相應(yīng)的參數(shù)，確保數(shù)據(jù)寫入后按照預(yù)定時(shí)間設(shè)定文件不可更改。這一原理與實(shí)際應(yīng)用相結(jié)合，有效保護(hù)了備份數(shù)據(jù)免受勒索病毒的侵害。
(3)安全快照方式的實(shí)際對(duì)接與隔離區(qū)恢復(fù)驗(yàn)證
對(duì)于不支持WORM技術(shù)的備份軟件，安全快照方式是一種可行的對(duì)接手段。在實(shí)際操作中，通過在備份過程中應(yīng)用安全快照，我們實(shí)現(xiàn)了對(duì)備份數(shù)據(jù)的隔離。通過隔離區(qū)進(jìn)行恢復(fù)驗(yàn)證，可以確保備份數(shù)據(jù)的完整性和可用性。這一實(shí)踐操作為備份數(shù)據(jù)的可靠性提供了額外的保障。
綜述所述，通過在SAN、NAS、備份三個(gè)存儲(chǔ)架構(gòu)維度上的深入防護(hù)措施，我們構(gòu)建了一套醫(yī)院數(shù)據(jù)安全體系。從技術(shù)實(shí)現(xiàn)和理論基礎(chǔ)的角度，結(jié)合實(shí)際操作，我們?yōu)獒t(yī)院數(shù)據(jù)安全防勒索病毒提供了全面而可行的解決方案。這一體系不僅在理論上確保了數(shù)據(jù)的安全性，同時(shí)通過實(shí)踐的角度為醫(yī)療機(jī)構(gòu)提供了具體的操作指南。
5.討論
5.1存儲(chǔ)層縱深防護(hù)的必要性
在當(dāng)前信息技術(shù)高度發(fā)達(dá)的背景下，醫(yī)院作為承載大量患者敏感信息的機(jī)構(gòu)，面臨著日益嚴(yán)峻的勒索病毒威脅。存儲(chǔ)層縱深防護(hù)的提出是迫切需要應(yīng)對(duì)這一挑戰(zhàn)的產(chǎn)物。通過深入挖掘存儲(chǔ)層技術(shù)，從而建立起一套多層次、多維度的安全體系，對(duì)醫(yī)院數(shù)據(jù)進(jìn)行全方位的保護(hù)。這不僅是合規(guī)性要求的體現(xiàn)，更是對(duì)患者隱私和醫(yī)院運(yùn)營的責(zé)任擔(dān)當(dāng)。
5.2勒索病毒對(duì)醫(yī)院的多維威脅
勒索病毒作為一種狡猾的網(wǎng)絡(luò)犯罪工具，其工作原理包括通過入侵途徑、攻擊流程、漏洞攻擊、文件加密等多個(gè)環(huán)節(jié)，均對(duì)醫(yī)院信息安全構(gòu)成潛在威脅。特別是患者隱私泄露和醫(yī)院運(yùn)營受損，這些威脅直接影響到醫(yī)院的聲譽(yù)和患者信任。通過深入了解勒索病毒的工作原理，醫(yī)院能夠更好地制定相應(yīng)的防范策略，針對(duì)性地加強(qiáng)存儲(chǔ)層面的安全體系。
5.3存儲(chǔ)縱深架構(gòu)的整合與優(yōu)勢(shì)
存儲(chǔ)縱深架構(gòu)通過整合SAN、NAS、備份等存儲(chǔ)技術(shù)，形成了全方位的安全體系。SAN架構(gòu)通過安全快照、加密技術(shù)和備份隔離區(qū)的組合，提供了對(duì)數(shù)據(jù)的實(shí)時(shí)保護(hù)和靈活恢復(fù)手段。NAS架構(gòu)通過數(shù)據(jù)檢測(cè)、文件攔截和端到端加密，加強(qiáng)了對(duì)潛在威脅的防范。備份架構(gòu)通過選擇合適的備份軟件、WORM技術(shù)和安全快照方式，提高了備份數(shù)據(jù)的安全性。整合存儲(chǔ)縱深架構(gòu)為醫(yī)院提供了多層次的數(shù)據(jù)保護(hù)，從而降低了勒索病毒威脅的風(fēng)險(xiǎn)。
5.4未來趨勢(shì)與持續(xù)優(yōu)化
討論存儲(chǔ)層縱深安全體系的未來趨勢(shì)，包括新興技術(shù)的應(yīng)用、威脅態(tài)勢(shì)的演變等方面。提出如何持續(xù)優(yōu)化安全體系，保持對(duì)新型攻擊的敏感性和應(yīng)變能力，確保醫(yī)院信息安全防線的不斷升級(jí)和完善。
