网络攻击医院信息系统应急演练脚本

网络攻击医院信息系统应急演练脚本一、演练总体概述本次应急演练旨在全面检验医院在面对突发网络攻击事件时的应急响应能力、各部门协同作战能力以及信息系统的恢复能力。随着医疗信息化程度的不断加深，医院信息系统（HIS）、电子病历系统（EMR）、影像归档和通信系统（PACS）等核心业务系统已成为医疗工作的神经中枢。一旦遭受勒索病毒、APT攻击或分布式拒绝服务攻击，将直接导致门诊停诊、急诊延误、手术中断等严重后果，威胁患者生命安全。演练背景设定为某日上午就医高峰期，医院某终端计算机因医护人员违规插入U盘，触发勒索病毒感染，导致病毒迅速在内网横向扩散，加密了部分临床科室的关键数据文件，并试图攻击核心数据库服务器。演练将模拟从事件发生、监测发现、应急处置、业务切换到系统恢复的全过程，重点考察技术团队的阻断能力、临床科室的业务连续性管理能力以及行政部门的统筹指挥能力。演练目标主要包括：1.验证《网络安全事件应急预案》的有效性和可操作性。2.检验网络安全防御体系（防火墙、态势感知、终端杀毒）的实时监测与预警能力。3.锻炼应急响应小组在极端压力下的决策与执行效率。4.提升全院医护人员在系统瘫痪环境下的手工操作及医患沟通技巧。5.确认数据备份的完整性与快速恢复机制，验证容灾系统的可用性。二、演练组织架构与职责分工为确保演练有序进行，成立网络攻击应急演练指挥部，下设五个专项工作组。各组需明确具体人员名单及联系方式，并在演练前完成角色培训。工作组名称组长角色核心成员主要职责总指挥部院长分管副院长、医务处处长负责演练的总体决策、启动与终止指令发布；协调跨部门资源；决定是否向公安机关及上级主管部门报案。技术处置组信息科主任网络安全工程师、系统管理员、数据库管理员负责攻击溯源、病毒样本分析、网络隔离、系统杀毒、漏洞修补、数据恢复及系统重建等技术性工作。医疗业务组医务处处长门诊部、急诊科、住院部、护理部负责人负责指挥临床科室启动应急预案，协调患者分流，保障急救绿色通道畅通，维持诊疗秩序。后勤保障组后勤保障部主任总务科、设备科、保卫科负责人负责提供应急物资（纸质表格、文具等），保障电力及机房环境安全，维护现场治安，防止因恐慌引发骚乱。新闻宣传组宣传科主任宣传科干事负责舆情监测，统一对外口径，解答患者及媒体疑问，消除社会恐慌，维护医院声誉。三、演练场景设定与攻击模拟细节本次演练采用“实战模拟”与“桌面推演”相结合的方式。攻击场景设定为“勒索病毒通过移动存储介质横向渗透”。1.感染源植入：模拟内科门诊某医生在处理外院转来的患者资料时，违规将未经过杀毒的私人U盘插入门诊医生工作站。2.病毒发作：U盘中的AutoRun脚本被触发，释放勒索病毒变种。该病毒利用医院内网未及时修补的SMB漏洞（永恒之蓝类），在10分钟内扫描并感染同一网段下的30台终端。3.症状表现：终端层面：被感染电脑屏幕弹出红色背景勒索信，提示文件已加密，需支付比特币解密，桌面图标消失，无法打开任何应用程序。网络层面：内网出现异常流量峰值，态势感知平台监测到大量445端口的扫描与连接请求。业务层面：门诊护士站无法调取患者电子病历，药房系统无法发药，检验科LIS系统无法接收标本信息。4.演练范围限定：为避免对真实医疗业务造成毁灭性打击，演练将在预先搭建的“隔离测试环境”中模拟核心服务器的中毒与加密过程，但在临床端，通过切断真实业务服务器连接的方式，让医护人员在“断网”状态下进行实操演练。四、演练详细流程脚本（一）阶段一：事件发生与监测（T+00:00-T+00:15）时间：09:00地点：内科门诊诊室、信息中心监控室场景描述：门诊医生发现电脑异常，信息中心收到报警。【内科门诊诊室】医生操作：医生插入U盘，双击打开文件夹。约30秒后，电脑突然死机，重启后屏幕出现全屏英文勒索信，所有Word文档、Excel表格后缀名变为“.locked”。医生反应：医生尝试点击“我的电脑”无响应，随即拨打信息科报修电话：“喂，信息科吗？我是内科3诊室，我的电脑中病毒了，全屏都是乱码，病人病历都打不开了！”【信息中心监控室】值班员操作：监控大屏突然闪烁，态势感知系统弹出高危告警：“检测到内网192.168.10.23段存在大量SMB暴力破解行为，疑似勒索病毒传播。”值班员反应：值班员立即查看流量图，确认异常流量来源于内科门诊区域。值班员意识到事态严重，非普通故障，立即电话报告信息科主任。对话模拟：值班员：“主任，监控发现内网门诊区域出现大规模勒索病毒攻击特征，态势感知已报警，目前已有5个IP地址异常，正在迅速扩散！”信息科主任：“立刻确认受影响范围，准备启动应急响应预案，我马上向院长汇报！”（二）阶段二：初步研判与先期处置（T+00:15-T+00:30）时间：09:15地点：应急指挥中心（会议室）场景描述：总指挥部紧急会议，下达断网指令。【应急指挥中心】信息科主任汇报：“经初步确认，这是一起典型的勒索病毒攻击。病毒正在利用SMB漏洞在内网横向传播，目前已导致内科门诊区域瘫痪，且有蔓延至住院部及检验科的风险。核心数据库服务器暂未显示被加密迹象，但连接请求激增。”院长决策：“现在首要任务是保护核心数据和全院业务系统不被彻底摧毁。我宣布立即启动《网络安全事件I级应急响应》。技术组，立刻采取断网措施，物理阻断病毒传播路径！医疗组，通知全院启动手工操作模式，重点保障急诊和抢救室！”【信息中心机房】技术处置组操作：1.网络管理员登录核心交换机，在管理端口执行ACL访问控制列表配置，阻断445、135、139、3389等高危端口。2.为防止回滚感染，网络管理员物理拔除了核心服务器区与门诊接入区之间的光纤连接线。3.系统管理员立即关闭所有虚拟化平台的快照自动创建功能，防止备份数据被加密。技术员对话：“已物理断开门诊区域与核心区的连接，门诊网已全断，住院部网络已做逻辑隔离，核心数据库目前处于离线保护状态。”（三）阶段三：全面应急响应与业务接管（T+00:30-T+02:00）时间：09:30地点：门诊大厅、收费处、药房、各临床科室场景描述：全院系统瘫痪，转入手工模式，维持医疗秩序。【门诊大厅与分诊台】导医台操作：护士长迅速组织导医在大厅张贴“系统故障，正在抢修，请耐心等待”的告示牌，并利用广播系统循环播放通知。分诊护士操作：停止使用电子叫号系统，改为人工排队叫号。护士手持纸质病历本，引导患者有序就诊。患者安抚：面对焦躁的患者，护士解释道：“各位患者请注意，医院网络出现临时故障，但医生都在，请大家放心。我们会通过手工方式为大家看病，可能会慢一点，请大家谅解。”【内科诊室】医生操作：医生取出“应急预案箱”（内含纸质处方单、检查申请单、病历纸）。医生开始手工书写病历、开具处方和检查单。流程细节：1.医生手工填写处方信息，字迹必须工整清晰。2.对于需要检查的患者，医生在手工申请单上勾选“加急”，并注明患者联系方式。3.医生向患者解释：“系统暂时无法使用，您的药费需要去窗口手工计算，检查结果出来后我们会电话通知您。”【收费处与药房】收费员操作：收费窗口开启“绿色应急通道”。收费员使用计算器核算处方金额，手工收取现金或记录银行卡号。票据管理：收费员向患者出具手工盖章的“预收收据”，待系统恢复后凭此换取正式发票。药房操作：药剂师收到手工处方，严格执行“四查十对”。由于无法查询电子库存，药剂师需手工在账本上扣减库存，对于紧缺药品立即联系药库调拨。【急诊科】重点保障：急诊科主任现场指挥。对于“三无”病人、危重病人，实行“先诊疗后结算”。护士操作：护士手工记录生命体征、给药时间、液体出入量。抢救结束后，需在6小时内补录电子病历（演练设定）。【信息中心技术分析室】取证与分析：1.工程师对被感染终端进行镜像备份，保留现场证据。2.分析病毒样本，确认为“GlobeImposter”变种。3.溯源定位：通过日志分析，锁定感染源为内科门诊某台终端的USB接入记录。（四）阶段四：系统杀毒与加固（T+02:00-T+04:00）时间：11:00地点：信息中心机房、各门诊科室场景描述：清除病毒隐患，修补漏洞，准备恢复网络。【信息中心】技术处置组操作：1.漏洞修补：在测试环境验证补丁兼容性后，通过WSUS或管理软件向全院未感染终端推送KB补丁，关闭SMBv1协议。2.病毒查杀：更新企业级杀毒软件病毒库。制作“应急杀毒U盘”（带写保护），组织技术人员奔赴各临床科室，对未断网的住院部终端进行全盘查杀。3.网络策略优化：在防火墙上配置更严格的ACL策略，实施“最小化原则”访问控制，仅允许必要的业务端口互通。【临床科室配合】护士/医生操作：配合技术人员检查电脑。在技术人员指导下，确认电脑已断开网线，等待技术人员进行杀毒操作。场景对话：技术人员：“请确认这台电脑早上有没有插过U盘？”医生：“没有，我们早上一直用着呢。”技术人员：“好的，那我现在给你们打补丁并杀毒，大概需要10分钟，杀毒期间请不要操作电脑。”（五）阶段五：数据恢复与系统验证（T+04:00-T+05:00）时间：13:00地点：信息中心机房场景描述：恢复被加密数据，验证业务系统。【信息中心】数据恢复操作：1.备份验证：系统管理员连接到异地灾备存储（或磁带库），验证上午9点前的备份数据完整无损。2.数据还原：针对被加密的文件服务器，利用备份数据进行快照回滚。预计耗时30分钟。3.应用启动：依次启动中间件服务器、应用服务器、数据库服务器。观察CPU、内存及进程状态。4.连通性测试：逐个恢复门诊、住院部的网络连接。业务验证：1.工程师在测试终端登录HIS系统，尝试挂号，成功。2.查询内科某患者上午的就诊记录，数据无丢失。3.提交一条测试处方，收费端能成功读取。（六）阶段六：业务回切与演练结束（T+05:00-T+06:00）时间：14:00地点：全院范围场景描述：系统恢复，补录数据，总结演练。【临床科室】数据补录：1.系统恢复后，医生和护士开始进行“双轨制”运行。一边处理新患者，一边利用空档将上午的手工处方、病历录入电脑。2.药房核对系统库存与手工账本，进行盘点修正。3.收费处将手工预收单据录入系统，进行正式结算冲账。【应急指挥中心】演练总结：院长总结发言：“本次演练历时6小时，模拟了勒索病毒攻击的全过程。虽然我们在初期发现较为及时，但门诊医生的安全意识仍有待提高，手工流程的效率明显低下。技术组恢复速度符合预期，但临床数据补录存在积压风险。请各组认真总结，形成整改报告。”宣布结束：“我宣布，网络攻击应急演练圆满结束。”五、关键业务连续性操作手册（SOP）详述为保障演练及实战中的医疗安全，特制定以下核心业务的手工操作SOP。1.门诊挂号分诊SOP启动条件：HIS系统完全无法访问或响应时间超过30秒。操作步骤：a.分诊护士立即启用《纸质挂号登记本》，记录患者姓名、身份证号、联系方式、就诊科室。b.发放“手工挂号单”（自制流水号）。c.引导患者前往诊室门口排队，医生按流水号叫号。d.系统恢复后2小时内，护士凭登记本在系统中补录挂号信息。2.门诊医生诊疗SOP物资准备：每个诊室常备“手工处方笺”、“检查检验申请单”、“传染病报告卡”。操作步骤：a.书写病历时，必须包含主诉、现病史、既往史、查体、诊断、处理意见。b.开具药品时，注明通用名、规格、剂量、用法用量。c.对于高风险药品（如抗生素、毒麻药），需双人核对并签字。d.将手工处方交由患者去收费处算价。3.急诊抢救绿色通道SOP原则：先抢救生命，后补办手续。操作步骤：a.护士站设立《急诊抢救手工记录本》，实时记录抢救措施、用药时间（精确到分）。b.如需紧急手术，电话通知手术室，手术室凭《手工手术通知单》接患者。c.血库凭《手工取血单》经核对后发血。d.所有手工单据需标注“急诊抢救”，由医务科盖章确认，事后免收滞纳金。4.药房发药SOP挑战：无法自动审核处方合理性，无法查询库存。操作步骤：a.收到手工处方后，资深药师进行人工审核（配伍禁忌、剂量极量）。b.确认药品库存：遵循“就近调拨”原则，如缺货，在处方上注明并通知医生更换。c.发药后，在处方上签字“已发”，并将处方单独存放，用于后续财务核对。六、技术处置专项方案与安全加固建议本次演练暴露出的技术短板需在演练后进行针对性整改，技术组需落实以下具体技术指标：1.网络微隔离改造现状：演练中发现病毒能迅速在门诊VLAN内横向传播。整改：部署网络微隔离系统（NSX或同类产品），实现终端之间的访问控制。即使是同一网段，除打印机共享等必要流量外，禁止PC机之间直接建立SMB/RPC连接。2.终端USB管控强化现状：攻击入口为违规U盘。整改：全院终端部署终端安全管理系统（EDR），开启USB存储设备“仅读取”或“完全禁用”策略。对确需使用U盘的业务科室（如病案室、设备科），发放专用加密U盘，并实施白名单机制。3.核心数据“防勒索”专项配置现状：依赖管理员手动关闭快照，存在时间差风险。整改：在文件服务器和备份服务器上部署“防勒索陷阱”技术。一旦监测到文件被大规模加密或修改速度异常，自动切断服务器写权限，并锁定受感染进程。4.高可用容灾演练常态化现状：数据恢复过程耗时较长，团队熟练度不够。整改：将容灾切换演练从“一年一次”改为“一季度一次”。验证内容包括：备份数据的完整性校验、备份数据的可恢复性测试、异地容灾中心的网络连通性测试。七、演练评估与复盘指标演练结束后，指挥部需依据以下量化指标对各组表现进行评分，评分结果纳入科室绩效考核。评估维度关键指标（KPI）目标值权重监测发现能力从攻击发生到运维人员收到报警的时间≤5分钟15%响应决策速度从接到报警到下达断网指令的时间≤10分钟15%遏制有效性病毒扩散范围（受感染终端数/总终端数）≤5%20%业务恢复时间（RTO）从系统崩溃到核心业务（门诊挂号）恢复的时间≤4小时25%数据丢失量（RPO）恢复后的数据丢失时间点≤