本文来自微信公众号“twt企业IT社区”，作者/潘志强，暨南大学附属第一医院资深工程师，从事医院信息化相关工作十多年，主要负责医院运维协调管理、信息安全与机房设备管理等工作，参编过医院信息化管理专著多篇，发表国内核心期刊论文多篇。
1.背景
2017年勒索病毒大规模爆发以来，对数据安全最大的威胁是勒索病毒，这种病毒利用各种加密算法对文件进行加密，被感染者一般无法解密，需要拿到解密的私钥才有可能破解，拿到私钥则要支付高额的赎金。特别是近年来，新一代的勒索病毒的功能越来越强，出现了大量新型的勒索病毒。许多勒索病毒通过代码混淆等手段实现自身的隐藏，对用户数据信息、个人隐私等造成了较大的威胁。勒索病毒的发展趋势开始呈现出攻击多样性、多功能性、欺诈性乃至自我更新等特点。此外，暗网勒索病毒制作技术的公开、专业化勒索病毒制作工具的出现，极大的降低了勒索病毒的制作成本和犯罪成本，使得勒索病毒呈现出逆向追踪困难和赎金收益效果高的特点，进一步推动了勒索病毒的传播与发展。
目前，医疗行业频遭勒索病毒威胁，一旦破防，核心生产数据库文件会被修改为加密文件，造成医疗信息系统瘫痪，只有获取解密私钥才有可能对文件进行解密从而恢复医疗秩序。黑客正是通过这样的手段向受害用户勒索高昂赎金，这些赎金必须通过数字货币支付，很难溯源，因此危害巨大。
2.勒索病毒的工作原理
2.1定义
勒索病毒，是指以加密数据、锁定设备、损坏文件为主要攻击方式，使计算机无法正常使用或者数据无法正常访问，并以此向受害者勒索钱财的一些恶意软件。其基本运行流程大致相似，主要可分为病毒分发、设备感染、与C＆C服务器通信、文件加密、显示勒索信息等阶段。
2.2入侵途径
入侵途径包括弱口令攻击、横向渗透、钓鱼邮件、网站挂马、漏洞利用、僵尸网络、远程入侵、供应链攻击和移动介质等。
2.3攻击流程
攻击流程分为几个阶段：侦查探测→攻击植入→分析感染→扫描备份→文件加密→用户通知→赎金支付。
2.4漏洞攻击
几乎所有的网络攻击都是利用系统漏洞，勒索病毒同样是利用系统漏洞实现攻击和传播。系统漏洞呈现出老漏洞并未退出历史舞台、新漏洞不断被开发利用、可用性高的漏洞备受青睐现象。防御勒索病毒最有效的措施就是及时更新补丁，但是目前很多国家已经把漏洞当作战略资源，不会轻易对外公布发现的系统漏洞。
2.5文件加密
勒索病毒采用了更为完善的现代加密技术，即对称密码加密与非对称密码加密，真正达到了对数据的不可逆“劫持”。其算法能确保不被破解的主要原因是破解钥将要耗费大量的时间。使用现有的超级计算机，加密可能只需要几秒时间，而暴力破解却几乎无法实现。
2.6勒索形式
勒索形式包括文件加密、加密局域网共享设备、加密磁盘、内网渗透、上传隐私信息、禁用防护功能、关闭进程/服务、清除日志、删除备份数据、窃取数据等。
3.三甲医院面临的勒索病毒挑战
3.1医院信息化安全现状
从系统的构成来看，医院使用的主流系统有HIS、EMR、LIS、PACS系统等，除此之外，医院内部还使用了HRP、移动护理等多个系统，其内部主要集成了上百个子系统，他们之间相互配合，共同维护了医院的正常运行。医院新系统存在的特征：响应速度快，处理事件能力强；医疗数据具有一定的特色，其覆盖面较广，信息内容复杂；医疗数据较为重要，对安全性及隐私性的标准高；医院数据内容较多，具有较大的数据量；为了保障医院的秩序，其系统必须符合稳定性特点；系统内部的用户量较大，其瞬间访问量较大，处理并发需求的要求较高；系统内部数据量大，其维护的难度较大。从科室构成来看，大部分医院都会设立相应的信息科，但是该科室存在感较低，存在忽视了对于信息安全系统的建设。
3.2患者隐私泄露的威胁
医院存储的数据中包含了大量敏感的患者信息，包括个人身份信息、病历记录、诊断结果等。一旦受到勒索病毒攻击，这些隐私数据可能被加密或窃取，导致患者隐私泄露的风险极大。不仅仅是合规性的问题，更关乎患者信任和医院声誉。此时，医院需要从存储层面出发，通过纵深防护机制，确保患者隐私数据的安全性。
3.3医院运营影响的威胁
医院的日常运营依赖于大量的数字化信息，包括排班信息、医疗流程、科研成果等。勒索病毒可能导致这些关键数据的加密或丧失，使得医院无法正常运营。这不仅仅是数据的丢失，更可能造成患者治疗延误、医护人员混乱等严重后果。通过在存储层面构建纵深防护体系，医院可以有效降低勒索病毒对运营的影响，确保关键数据的可靠性和可用性。
3.4信息安全合规性的挑战
医院在处理患者数据时需要遵守严格的法规和合规性要求，如《中华人民共和国网络安全法》、《中华人民共和国密码法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》、《关键信息基础设施安全保护条例》等。勒索病毒的攻击可能导致医院无法保证这些法规的遵守，从而面临严重的法律责任。通过在存储层面建立加密保护、备份机制等措施，可以帮助医院更好地满足信息安全合规性的要求，降低法律风险。
4.存储层面的纵深安全体系
4.1数据保留技术
数据的安全性和合规性成为组织和机构关注的焦点之一。根据法律法规的要求，法院案件文件、病例、财务文件等重要数据只能在特定期限内读取，不能写入。因此，必须采取措施防止此类数据被篡改。存储中，WORM是用于归档和备份数据，确保数据安全访问和防止数据篡改的最常见方法。WORM（write once read many）意味着一次写入多次读取，用户可以为文件设置保护期，在保护期内，文件只能读取，不能修改或删除，保护期到期后可以删除和读取文件。WORM技术的实现涉及到底层的文件系统和存储设备的支持。在文件系统层面，需要有相应的机制来标记文件为WORM，并限制对其的修改和删除操作。存储设备则需要提供可靠的存储介质，确保数据一经写入即不可更改。WORM技术也在不断演进，新兴的存储技术如区块链在保证数据不可篡改性方面具有潜在优势，但WORM技术在传统存储系统中的应用仍然具有实际的需求和广泛的适用性。
4.2存储纵深架构
4.2.1 SAN架构勒索病毒防护
(1)安全快照策略的技术实现与理论基础
在SAN架构中，安全快照策略的制定不仅需要理论支持，还需要基于先进的存储技术。安全快照是通过记录存储卷的数据变更来实现的。这涉及到Copy-on-Write技术，即只有在数据发生变更时才复制数据块，以减少性能影响。通过差异化策略，我们实现了对不同存储区域的灵活管理，确保了系统的高效性和数据的可靠性。
(2)存储服务器加密技术的实际应用
存储服务器加密技术的实际应用是通过硬件加速模块和加密算法的结合来实现的。采用现代的加密算法，如AES（高级加密标准），可在不影响性能的情况下实现强大的数据保护。这种技术不仅在传输时加密数据，还在存储时对数据进行保护，为医院存储层提供了多重的安全防线。
(3)建立备份隔离区的实际架构与网络拓扑
建立备份隔离区的实现涉及到网络拓扑和防火墙技术。通过在网络中设置专用的备份隔离区，可以确保备份数据在传输过程中不受到未经授权的访问。防火墙技术则用于监控备份通道，防止勒索病毒通过备份渠道进入存储系统。这一实际架构保证了备份数据的完整性和安全性。
4.2.2 NAS架构勒索病毒防护
(1)数据检测和拦截技术的算法实现与用户行为分析
NAS架构中数据检测和拦截技术的实现需要先进的算法和用户行为分析。使用机器学习算法，可以在数据进入存储区之前进行实时病毒识别。通过对用户行为和文件损坏特征的深入分析，我们能够提高病毒检测的准确性，实现对潜在威胁的早期发现。
(2)文件拦截技术的实际部署与文件后缀名识别
文件拦截技术的实际部署涉及到实时监测和文件后缀名识别。部署文件拦截技术需要在存储系统中嵌入实时监测引擎，对文件后缀名进行快速识别。这一技术在阻止常见勒索病毒传播的同时，保障了系统的正常运行。
(3)端到端加密技术的应用与传输链路加密
NAS架构中的端到端加密技术主要通过控制器加密和传输链路加密来实现。控制器加密采用密钥管理系统，确保数据在存储系统内的安全性。传输链路加密通过TLS/SSL等协议，对数据进行端到端的安全传输。这一加密技术层面的应用有效遏制了数据在传输过程中的潜在风险。
4.2.3备份架构勒索病毒防护
(1)备份管理软件的技术选择与不同备份软件的差异
在备份架构中，选择备份管理软件需要考虑其对数据格式变换和功能的支持。不同的备份软件在文件格式和功能上存在差异，因此需要根据具体需求选择合适的软件。例如，Veeam和NetBackup在备份过程中有不同的数据处理方式，这影响到备份数据的安全性和可用性。
(2)WORM技术的原理与实际应用
WORM技术的原理是通过实现AUTOLOCK功能，在数据写入一定时间后将文件设为不可更改。这一技术的实际应用需要在备份软件中设置相应的参数，确保数据写入后按照预定时间设定文件不可更改。这一原理与实际应用相结合，有效保护了备份数据免受勒索病毒的侵害。
(3)安全快照方式的实际对接与隔离区恢复验证
对于不支持WORM技术的备份软件，安全快照方式是一种可行的对接手段。在实际操作中，通过在备份过程中应用安全快照，我们实现了对备份数据的隔离。通过隔离区进行恢复验证，可以确保备份数据的完整性和可用性。这一实践操作为备份数据的可靠性提供了额外的保障。
综述所述，通过在SAN、NAS、备份三个存储架构维度上的深入防护措施，我们构建了一套医院数据安全体系。从技术实现和理论基础的角度，结合实际操作，我们为医院数据安全防勒索病毒提供了全面而可行的解决方案。这一体系不仅在理论上确保了数据的安全性，同时通过实践的角度为医疗机构提供了具体的操作指南。
5.讨论
5.1存储层纵深防护的必要性
在当前信息技术高度发达的背景下，医院作为承载大量患者敏感信息的机构，面临着日益严峻的勒索病毒威胁。存储层纵深防护的提出是迫切需要应对这一挑战的产物。通过深入挖掘存储层技术，从而建立起一套多层次、多维度的安全体系，对医院数据进行全方位的保护。这不仅是合规性要求的体现，更是对患者隐私和医院运营的责任担当。
5.2勒索病毒对医院的多维威胁
勒索病毒作为一种狡猾的网络犯罪工具，其工作原理包括通过入侵途径、攻击流程、漏洞攻击、文件加密等多个环节，均对医院信息安全构成潜在威胁。特别是患者隐私泄露和医院运营受损，这些威胁直接影响到医院的声誉和患者信任。通过深入了解勒索病毒的工作原理，医院能够更好地制定相应的防范策略，针对性地加强存储层面的安全体系。
5.3存储纵深架构的整合与优势
存储纵深架构通过整合SAN、NAS、备份等存储技术，形成了全方位的安全体系。SAN架构通过安全快照、加密技术和备份隔离区的组合，提供了对数据的实时保护和灵活恢复手段。NAS架构通过数据检测、文件拦截和端到端加密，加强了对潜在威胁的防范。备份架构通过选择合适的备份软件、WORM技术和安全快照方式，提高了备份数据的安全性。整合存储纵深架构为医院提供了多层次的数据保护，从而降低了勒索病毒威胁的风险。
5.4未来趋势与持续优化
讨论存储层纵深安全体系的未来趋势，包括新兴技术的应用、威胁态势的演变等方面。提出如何持续优化安全体系，保持对新型攻击的敏感性和应变能力，确保医院信息安全防线的不断升级和完善。
