医院集团混合云安全：从弱口令到横向移动的整改设计
某省属医院集团下设三个院区，采用混合云：核心HIS与影像库部署在本地机房，互联网挂号与在线复诊部署在公有云，两端通过IPSec VPN打通。去年发生一起入侵事件：外网VPN账号因弱口令被撞库攻破，攻击者进入办公网后，利用多台服务器共用的本地管理员口令横向移动到影像库服务器，最终约3万份影像文件被加密，业务中断两天。事后调查发现：办公网与服务器区之间没有访问控制；关键服务器日志仅保存在本地且保留7天；全网没有集中的身份认证系统；200余台医疗设备使用固定IP、无法安装安全Agent。现有账号由各系统自行管理，同一员工在不同系统有3至5套账号口令，离职账号回收依赖人工通知，平均滞后11天。集团有员工2000余人、互联网患者账号约50万，挂号高峰并发约1200。运维由信息科4人承担，7×24小时值班仅1人。院区之间通过两条专线互联，带宽分别为200Mbps和100Mbps。去年事件后已上防火墙与IPS，但规则两年未更新，误报率高，运维常直接放行。集团要求一年内通过等保2.0三级测评，员工端需支持多因素认证，患者端支持短信与微信登录；影像科提出跨院区会诊调阅影像延迟不得超过3秒，单次检查约80MB，跨院区调阅占比约15%。安全改造不得影响临床业务，核心系统每月停机窗口仅2小时。
1. 按攻击链分析横向移动得逞的根本原因，并给出网络分区与微隔离方案，包括无法安装Agent的医疗设备如何处理。
Read the worked answer
按攻击链拆根因（每一环都要对上整改措施）
- 入口：VPN仅凭账号口令、无MFA，弱口令撞库即破门。
- 平面：办公网与服务器区、影像库处于同一信任域，无东西向控制，进入办公网等于进入内网。
- 凭据：多台服务器共用本地管理员口令，抓取哈希即可Pass-the-Hash复用，这是横向移动成功的直接原因。
- 可见性：日志本地留存7天、无集中采集，事后才发现，检测环节完全缺失。
分区与微隔离
- 按等保三级划分安全域：互联网接入区、DMZ、办公区、核心业务区、影像与数据区、运维管理区。域间默认拒绝，按业务流开白名单（例如挂号应用→HIS仅开放指定端口）。
- 影像区与核心区只允许指定应用服务器访问，禁止办公终端直连；跨院区调阅走专线上的应用代理，不开放数据库端口。
- 不可装Agent的200余台医疗设备：用网络层手段补偿--独立VLAN+接入交换机端口绑定MAC/IP、ACL限制其只能访问指定服务器、禁止其访问互联网；在汇聚层镜像流量做被动监测（异常连接、扫描行为）；设备管理账号统一改口令并由PAM代管，禁止使用域账号登录设备。
- 特权账号：服务器本地管理员口令每台不同、由PAM代填并轮换；域管账户禁止登录工作站；运维操作全部经堡垒机审计。
验收方式：用内部攻击模拟验证“从办公网到影像库”已不可达，路径数为0，而不是看文档写了什么。
2. 设计员工与患者两套身份体系的认证与授权方案，并说明为什么不能合并为一套。
Read the worked answer
两套体系分离，边界与信任边界一致。
员工端（受管主体，高信任）
- 以统一身份平台+目录服务为权威源，SSO（OIDC/SAML）接入HIS、OA、云管平台，消除3–5套口令。
- 强制MFA（口令+OTP或推送），高敏感操作（批量导出、权限变更）二次认证。
- 授权用RBAC+ABAC：角色定岗位，属性定数据范围（院区、科室、患者归属），实现最小权限。
- 生命周期由HR事件驱动：入职开通、转岗调整、离职当日回收，替代当前平均滞后11天的状态。
患者端（外部主体，低信任）
- 手机号+短信为主因子，微信/支付宝作为联合身份；实名认证对接公安或医保接口。
- 一人多账号需合并绑定；登录做设备指纹与风控，异地/异常时段要求二次验证。
- 患者账号在网关层就与员工域隔离，物理上不可能获得任何院内资源权限。
为什么不能合并：合并必然导致一方被过度授权或另一方体验不可用。患者是海量、外部、不可控主体（50万账号、1200并发），员工是受管主体；同一套口令策略与权限模型无法同时满足“患者易用”和“员工最小权限”。此外，合并后一旦患者侧被撞库，攻击面直接延伸到院内系统--这正是去年事件的翻版。
共性要求：口令强度与弱口令库比对、登录失败锁定与限速、认证日志集中留存≥6个月、权限季度复核。
3. 给出可度量的安全运营指标与日志留存要求，并说明在只有4名运维人员的情况下如何落地。
Read the worked answer
指标（纳入月度安全运营报告，避免“采了日志没人看”）
- 检测：高危告警MTTD≤10分钟；横向移动类规则（同账号短时多主机登录失败、非工作时段批量文件访问、SMB横向连接）的命中与误报率；EDR/流量监测覆盖率100%（不可装Agent设备以镜像流量补偿）。
- 响应：MTTR；高危漏洞发现到修复≤7天；特权账号MFA覆盖率100%；离职账号当日回收率100%。
- 合规：日志留存≥6个月（等保三级明确要求），覆盖网络设备、主机、数据库、应用与认证系统；日志异地备份并防篡改（WORM或哈希链）；全网NTP时钟同步，否则关联分析失效。
- 演练：每半年一次横向移动场景攻防演练，记录“办公网→核心区”的可达路径数。
4人团队的落地策略
- 借力：等保测评机构、云服务商的安全产品与托管检测（MSS）承担7×24值守，信息科只负责处置与决策。
- 收敛：先上集中日志平台与统一身份，再谈高级检测；IPS规则两年未更新且误报高，应先做规则梳理与调优，否则运维会继续“习惯性放行”。
- 分批：核心系统（HIS、影像、支付）先达标，办公与外围后补；停机窗口只有2小时，改造以旁路部署、灰度切换为主，避免影响临床。
- 留证据：每次变更与演练留档，既满足测评，也用于向集团证明投入产出。