近期多家医院出现DMZ区的卫医通财务HRP系统——【卫医通云医院综合运营管理系统】遭受网络攻击的情况。攻击者通过业务系统某个接口与应用服务器建立连接，并注入内存马，获取了Web应用系统权限，从而对内网进行横向扫描/攻击。该事件对医院影响较大，一旦攻击者成功控制了数据库服务器并进行拖库，将产生较严重后果。
在5月中旬某天，卫医通监测在江西某医院HRP运营管理系统存在通过漏洞利用产生攻击行为。面对突发情况，深信服MSS团队5mins内快速响应，深信服安服专家30mins内介入进行溯源分析，3h内精准定位到漏洞点位，输出排查报告，并快速制定专项修复方案。
次日10时，完成对高危漏洞的初步修补；当日下午就完成了外网用户批量升级修复，成功阻断攻击、彻底遏制风险。全程未发生任何数据泄露、系统损坏与业务中断损失。
<< 滑动查看下一张图片 >>
将事件通告、处置结果同步服务群
深度拆解攻击脚本，明确安全加固手段
经深信服XDR MSS安服多级专家研判，发现该漏洞利用手段可快速变化，即使针对本次攻击升级了业务系统，攻击者仍有较大概率使用变种漏洞手段攻击业务。为防范同类问题复发，漏洞应急修复后，深信服安全团队深度拆解攻击脚本、精准研判漏洞成因与防护薄弱点：
业务暴露面大
基于卫医通系统安全事件发现，医院为了方便医护人员移动办公使用，DMZ区存在较多直接映射到公网的行政办公类业务系统，这就导致医院存在较多业务暴露面，甚至是影子资产，对医院外网安全带来极大挑战。
响应能力欠缺
从几起事件来看，仅靠医院自身的处置能力明显不足，基本隔天才能发现漏洞，且不清楚攻击路径并难以溯源，导致处置时效性不足。
针对医院业务系统（尤其是互联网业务系统），深信服安全专家建议按以下方式加强防护：
第一，资产及暴露面梳理。重点梳理暴露于互联网的资产（Web服务/域名/IP等），排查影子资产、第三方资产等情况；对资产开展攻击面分析，识别资产脆弱性和关键风险。
第二，业务暴露面收缩。通过零信任技术或代理发布方式，将业务系统隐藏于安全网关之后，仅对合法身份、可信终端开放最小访问权限，并结合终端环境、访问行为进行动态访问控制，从而降低攻击风险。
第三，补齐安全防护工具，升级边界防火墙，动态调整安全策略，筑牢安全防护基线。
第四，利用专业的分析平台XDR 网端行为聚合分析 7×24H远程安全托管服务和线下安全运维服务。
AI赋能安全——秒级研判、高效运营
在此次突发情况中，深信服安全团队能如此迅速地完成溯源-处置-修复-加固这一系列动作，主要得益于一套完整高效的应对流程以及AI赋能加持：通过终端安全防护软件（EDR） 扩展检测响应平台（XDR）形成网端信息采集、行为信息收集关联分析。同时借助GPT加持告警降噪，有效剔除误报，快速生成真实可信的安全事件，降噪98%以上。通过GPT分析研判，对攻击故事线、攻击时间线进行解读，分析研判时间从以往几个小时缩短至10秒，大大提升分析研判效率。
同时，结合线上MSS服务，覆盖节假日、夜间非工作时间值守检测、高效响应、事件闭环，实现对医院内外网安全态势的整体高效监测、运营。每日医院信息科仅需关注和配合处理少量真实有效安全事件，全面提升医院安全运营能力和效率。
【携手卫医通】为用户提供专享安全体检
本次事件不仅是能力考验，更是安全体系升级的重要契机。为了帮助用户更好地应对此类安全风险，深信服联合卫医通推出专项安全体检服务：
深信服安全团队对卫医通系统开展全维度渗透测试，排查隐匿漏洞。
联合完成系统底层加固、代码优化、防护策略升级。
凡卫医通用户，均可免费申请网络安全体检、隐患排查与专业咨询服务，主动护航医疗卫生机构使用安全。
持续承载用户的数字化及AI业务创新，深信服提供通智算承载、算力调度优化、AI应用构建及全流程安全防护，为各行业用户夯实数字底座、赋能智能进阶。致力于让每个用户的数智化更简单、更安全。
VIP复盘网
