医院勒索软件事件的最初60分钟与恢复决策
某三级甲等医院开放床位1,200张,日均门诊约8,000人次。周一09:20,信息科发现HIS登录明显变慢,随后多个科室报告电子病历无法打开,文件服务器上出现大量扩展名为.locked的文件和勒索信;同一时间PACS影像调阅中断,急诊检验结果无法回传。初步排查显示,一名医生的工作站3天前访问过钓鱼站点并运行了带宏的文档,域管理员账号近一周在3台终端上有过交互式登录,其中一台正是被加密的终端。医院HIS、PACS与办公网同处一个AD域,备份系统为在线NAS,每晚全量备份,备份服务使用的域账号对备份目录拥有写权限,备份NAS与生产网互通。院领导要求“先恢复业务”,临床科室要求立刻恢复手术排程,当地卫健委已来电询问。信息科共14人,其中3人熟悉AD,没有独立的应急响应团队,也没有经过演练的应急预案。攻击者留下的勒索信要求在72小时内支付约40个比特币,否则公开“从医院拿到的数据”。目前尚不清楚是否有数据被外传,医院也未购买网络勒索保险。信息科主任建议立即关闭全院网络并格式化所有服务器后从备份恢复。
1. 请给出最初60分钟的行动顺序,并指出哪些做法是绝对不应采取的。
Read the worked answer
前60分钟的目标是止血、保证据、保指挥,而不是恢复。建议顺序:
- 09:20~09:30 成立应急指挥小组(院领导、信息科、医务、临床、宣传、法务),确定唯一对外口径和决策人。
- 同步通知临床启动业务降级:纸质处方、手工检验报告、电话通报危急值,优先保障急诊和已排手术。
- 用EDR或交换机端口把已确认被加密和告警的主机做网络隔离,隔离而非关机,以保留内存中的密钥和样本。
- 立即断开备份NAS与生产网的连接、禁用备份服务账号、把备份介质离线并确认备份是否已被加密。
- 重置可能暴露的域管理员口令、禁用可疑账号,检查DCSync、黄金票据等痕迹;排查时使用专门创建的一次性账号,不要用域管理员账号逐台登录。
- 保存证据:导出域控与关键服务器日志、采集受影响主机内存镜像、保存勒索信与样本、记录时间线。
- 按规定向属地卫健委、网信和公安部门报告,并评估是否涉及患者个人信息泄露。
绝对不应做:直接格式化或重装服务器;重启被感染主机;把备份NAS重新挂回生产网;查杀后继续使用同一台机器;在未摸清范围前大规模改密码导致业务二次瘫痪;由信息科自行联系攻击者谈判。
2. 备份是否可信?在恢复业务与保留证据之间如何取舍?给出恢复顺序的判断依据。
Read the worked answer
备份大概率不可信。在线NAS与生产网互通,备份服务域账号对备份目录有写权限,这正是勒索软件加密备份的典型条件。必须在隔离环境验证:检查备份文件时间点、能否正常挂载、是否存在.locked文件、备份索引是否被篡改。若最近一份可用备份早于入侵时间(3天前的钓鱼),必须接受数天的数据丢失,并同步评估手工补录的成本与方式。
证据与恢复的取舍:至少保留两份介质,一份封存只用于取证、不做任何写入,另一份用于恢复;恢复过程全程记录时间线。
恢复顺序按临床风险而非系统体量排序:HIS/电子病历核心库→急诊检验(LIS)与PACS→手术麻醉系统→门诊与药房→办公与OA。每个系统先在隔离网段小范围恢复(单科室验证),确认无异常外联后再接入。能重建AD就优先重建,不要复用已被攻陷的域,否则恢复后的系统可能被再次加密。这一判断依据是:业务连续性优先保障生命安全相关流程,同时避免“恢复即再次被加密”的二次损失。
3. 是否应当支付赎金?请说明理由以及应当遵循的决策程序。
Read the worked answer
不建议支付,理由有四:
- 支付不保证解密,相当比例的勒索团伙提供的解密工具不可靠,或存在二次勒索。
- 支付为犯罪组织提供资金,可能触及制裁与反洗钱合规要求,也违背执法机关“不鼓励支付”的立场。
- 即使解密成功,也无法清除攻击者留下的持久化后门。
- 攻击者声称已窃取数据,支付并不能阻止泄露,反而可能被视为对违法行为的纵容。
正确路径是以可信备份恢复为主,同时评估是否存在公开解密工具可用、是否可借助专业机构做样本分析。
决策程序:不得由信息科单独决定,应由院领导牵头,法务、财务、网信与公安部门共同参与,形成书面决策记录。如经评估仍决定支付,必须留存完整证据链、报告主管部门、由专业机构操作,并做好被再次勒索的准备。
无论是否支付,都应按“数据已经泄露”来准备患者告知与监管报告,因为勒索信中的威胁本身已构成需要评估的个人信息安全事件。