医院勒索频发,存储防线怎么建

我们在交付某三甲医院EDS存储项目时,信息科主任拿出一叠材料:过去半年,同城有三家医院遭到勒索病毒攻击,最严重的一家HIS和PACS系统停摆72小时,门诊和急诊全部回退到纸质流程。他问了一个问题:"我们的存储层能不能扛住?"

这个问题问到了点上。医院是勒索病毒的重灾区——数据价值高(病历、影像、检验报告),系统互联性强(HIS、PACS、LIS、EMR互相依赖),停机代价大(每分钟影响患者就诊)。多数医院的安全投入集中在网络边界(防火墙、上网行为管理)和终端安全(EDR),存储层防护反而薄弱。但勒索病毒真正得手的那一刻,不是突破防火墙的时候,是数据被加密的那个瞬间。存储层是数据安全的最后一道关卡。

勒索病毒怎么攻破存储层

先看勒索病毒对存储层做了什么。2024-2025年国内医院遭受的几起典型勒索事件,攻击路径高度相似:

第一步,突破边界后横向移动。 钓鱼邮件或VPN漏洞突破边界,在内网横向移动,获取域控权限或数据库管理员凭据。这一步网络层和终端层有概率拦截,但如果漏过,攻击者就拿到了存储层的"钥匙"。

第二步,删除或污染备份。 攻击者拿到管理员权限后,先做的事不是加密业务数据——先去删备份。删掉存储快照、删掉备份服务器上的备份集、停掉备份任务计划。这一步是致命的,因为备份是恢复的唯一手段。

第三步,批量加密业务数据。 备份清理干净后,开始加密。HIS数据库文件、PACS影像存储、LIS检验数据,逐个加密。加密完成后留勒索信,要求比特币赎金。

存储层如果只有"快照+备份"两道手段,且备份和业务数据在同一存储集群或同一机房,攻击者拿到管理员权限后可以一次性清除。这就是为什么单纯靠备份不够——需要构建多层次的存储防护体系。

第一道防线:快照回滚——秒级恢复,但有前提

存储快照是防勒索的第一道防线。快照记录的是某一时刻数据的状态,勒索病毒加密数据后,可以通过快照回滚到加密前的状态。

快照频率决定恢复粒度。 深信服EDS分布式存储支持小时级快照,即每小时自动创建一次快照。如果勒索病毒在14:00开始加密,13:00的快照就是最近的恢复点,数据损失最多1小时。如果快照频率是日级,数据损失就是一整天。医院核心业务(HIS、EMR)建议小时级快照,PACS影像存储可以日级。

快照要防删。 这是关键。勒索病毒拿到管理员权限后会删快照,如果存储系统没有快照防删机制,第一道防线就废了。EDS的快照锁定功能(WORM快照)可以设置快照在保留期内不可删除,即使管理员也不行。配置方式:对核心卷开启快照锁定,保留期7天,锁定期间任何账号(包括超级管理员)无法删除快照。

快照不防加密,只防删除。 要注意,快照本身不能阻止病毒加密业务数据,它只是提供了一个"回到过去"的入口。如果病毒加密速度极快(有些变种能在30分钟内加密数TB数据),快照回滚是有效的应急手段,但不是长期方案。

配置参考:3节点EDS集群,核心HIS卷配置小时级快照+7天锁定保留,PACS卷配置日级快照+30天保留。快照空间开销约为原始容量的10-15%,100TB业务数据需要预留10-15TB快照空间。

第二道防线:异地备份——攻击者够不着的地方

快照存在本地存储集群上,和业务数据在同一系统里。如果攻击者拿到存储管理员权限,快照和业务数据一起被干掉。所以必须有第二道防线:异地备份,放在攻击者够不着的地方。

异地备份的核心原则:隔离。 备份数据必须和业务数据物理隔离、网络隔离、权限隔离。具体来说:

隔离维度	要求	配置方式
物理隔离	备份存储和业务存储不在同一集群、同一机房	异地机房或云对象存储
网络隔离	备份网络和生产网络VLAN隔离,备份存储不映射到业务网	独立备份VLAN,ACL白名单仅允许备份服务器访问
权限隔离	备份存储的管理员账号和业务存储不同	独立管理员账号,不加入域,不使用相同密码
不可变备份	备份数据在保留期内不可删改	对象存储WORM桶或备份一体机的不可变保留策略

异地备份方案选择。 医院常见的异地备份有三种:

方案一,同城双机房。主机房和备机房同城距离(通常10-30公里),通过存储异步复制做异地副本。RPO可控在15-30分钟。成本:需在备机房部署2节点存储集群,约15-25万(以实际配置为准)。

方案二,云对象存储。将快照和备份数据推送到公有云对象存储(如阿里云OSS、腾讯云COS),利用对象存储的版本管理和WORM桶实现不可变备份。成本:1TB/月约100-200元,100TB年费用约1.2-2.4万。优势是无需自建异地机房,劣势是恢复时需要从云端拉取数据,恢复速度受带宽限制。

方案三,离线备份。用磁带库或移动硬盘做离线备份,备份完成后断开网络连接。这是最原始但最安全的方式——攻击者无论如何也删不掉一台断网的磁带库上的数据。成本:磁带库约5-15万,LTO-9磁带约800元/盒(18TB)。劣势是恢复速度慢,适合做月级或季度级全量备份的兜底手段。

建议医院采用"方案一+方案二"组合:同城双机房做小时级异步复制保障RPO,云对象存储做不可变备份兜底。关于等保三级存储检查清单中异地备份的具体测评要求,可以参考这篇,里面有备份容灾项的详细配置和证据材料。

第三道防线:勒索检测拦截——从被动恢复到主动防御

前两道防线是"事后恢复"——数据被加密后用快照和备份恢复。第三道防线是"事中拦截"——在数据被加密的过程中检测到异常,主动冻结存储卷,阻止加密继续。

存储层勒索检测的原理。 正常业务数据的写入模式是可预测的:HIS数据库是增量写入,PACS影像是大文件顺序写入,文档共享是少量随机写入。勒索病毒加密数据时,写入模式会发生突变——短时间内大量文件被改写为不可读格式,写入量突然飙升,文件扩展名批量变更。存储系统如果能实时分析写入行为模式,就能在加密初期检测到异常。

EDS的勒索防护能力。 深信服EDS 520版本引入了AI勒索防护功能,核心机制是:实时监控存储卷的写入行为,当检测到大规模异常加密写入时,自动触发保护——冻结受影响卷、发出告警、保留最近一次干净快照。响应时间从"小时级"缩短到"秒级"。相比纯靠备份恢复,主动拦截能大幅减少数据损失量。

检测拦截不是万能的。 需要说明,存储层勒索检测有局限性:第一,它检测的是"写入行为异常",如果病毒加密速度慢且模仿正常写入模式,可能绕过检测。第二,检测触发后冻结卷,业务会中断,需要人工确认是真实攻击还是误报后决定是否解冻。第三,AI检测需要学习正常写入模式,新部署的系统需要2-4周的基线学习期。

配置建议:对HIS和EMR核心卷开启勒索检测,设置告警阈值(如5分钟内写入量超过日均10倍触发告警,超过50倍触发自动冻结)。PACS影像卷由于本身写入量大且集中,建议只开告警不开自动冻结,避免误报影响业务。

三道防线怎么配,预算怎么算

把三道防线组合起来,给一个3节点EDS集群(100TB可用容量)的配置参考:

防线	配置	空间开销	预算增量(参考)
快照回滚	HIS卷小时级快照+7天锁定,PACS卷日级快照+30天保留	10-15TB	快照授权含在EDS基础授权中
异地备份	同城异步复制到2节点备集群+云对象存储不可变备份	备集群15-25万,云备份年费1-2万	16-27万
勒索检测	EDS 520 AI勒索防护授权,核心卷开启	无额外空间	AI授权3-8万/年(以实际报价为准)

三道防线总投入(不含主存储集群):约19-35万。这个数字看起来不少,但和一次勒索事件的损失比是小巫见大巫——一家三甲医院HIS停机24小时的业务损失(含门诊收入减少、急诊流程回退、患者投诉)通常在50-100万级别,加上数据恢复人力成本和声誉损失,总成本可能超过200万。

行动清单

如果你是医院信息科或运维团队,建议按这个顺序排查:

1. 检查存储系统是否开启了快照功能,频率是多少,有没有开启快照锁定(防删)
2. 检查是否有异地备份,备份数据是否和生产数据权限隔离、网络隔离
3. 检查备份是否可变(WORM),攻击者拿到管理员权限后能否删除备份
4. 评估存储系统是否支持勒索检测,当前版本是否具备主动防护能力
5. 做一次勒索应急演练:模拟数据被加密,从快照和备份恢复,记录恢复时间和数据损失量

存储层防护不是装一个功能就万事大吉,是多层纵深防御。快照是应急,异地备份是兜底,检测拦截是主动防御。三道防线缺哪一道,攻击者就会从那个缺口进来。更多分布式存储选型的对比维度可以参考这篇横评。

如需医院存储安全方案评估或EDS勒索防护POC测试,联系华南腾飞科技。