医院内网病毒攻击应急演练脚本

医院内网病毒攻击应急演练脚本演练概述与定位医院信息系统是临床诊疗的"神经中枢"，一次成功的内网病毒攻击不仅造成数据损失，更会直接危及患者生命安全。本脚本以勒索病毒通过钓鱼邮件突破边界、横向移动至核心业务网为蓝本，覆盖"发现—研判—隔离—处置—恢复—复盘"全链路，避免实战中"只会拔网线、不懂数据保"的被动局面。演练目的验证现有应急预案的可操作性——确认《XX医院网络安全事件应急预案》（版本号V2.x）在真实攻击链下各环节责任可追溯、动作可执行、时限可达成。暴露技术防护盲区——重点检验EDR覆盖率、VLAN横向隔离强度、AD域账号锁定策略、备份3-2-1落地情况。磨合跨部门协同——信息科、医务科、门诊办、保卫科、宣传科在HIS停摆4小时窗口内的业务连续性保障能力。沉淀可量化指标——形成MTTR（平均响应时间）、RTO（恢复时间目标<4h）、RPO（恢复点目标适用范围与演练类型适用网络：医院生产业务网（含HIS、PACS、LIS、EMR核心业务系统）、办公网、设备网（医疗物联网）。演练类型：桌面推演+局部实兵（仅在指定VLAN内投放无害化模拟样本，不接触真实生产数据库）。演练时段：选取业务低峰期周六14:00—18:00，避开周一早高峰挂号与周三择期手术高峰。不影响范围：ICU、手术室、急诊抢救室生命支持系统所在的独立VLAN严禁纳入实兵范围，仅做桌面推演。演练原则临床安全优先：任何技术处置动作与患者抢救冲突时，必须让位于抢救，技术处置可延后。数据保全优先于系统恢复：先固化内存与磁盘取证镜像，再讨论恢复；严禁在未取证前直接格式化重装。最小范围隔离：优先单机网络隔离（拔网线或端口shutdown），慎用全院断网；隔离范围扩大必须经演练总指挥书面授权。可逆操作优先：优先使用快照回滚、VLAN策略下发等可逆动作；严禁直接删除可疑文件破坏取证线索。演练组织架构与职责应急响应的核心矛盾是"技术动作快、决策链条长"，本节用RACI矩阵把决策权前移到一线，避免关键时刻逐级请示延误战机。组织架构角色姓名职责联系方式演练总指挥张某某（分管副院长）重大决策、对外发布、资源调度138******技术指挥李某某（信息科主任）处置方案审定、跨厂商协调139******安全研判组王某某（安全工程师）样本分析、IOC提取、影响面排查137******网络隔离组赵某某（网络工程师）端口shutdown、ACL下发、VLAN策略136******系统恢复组陈某某（系统管理员）备份回滚、AD域处置、业务恢复135******业务保障组刘某某（医务科）门诊/住院手工流程切换、医患沟通134******宣传联络组周某某（宣传科）舆情监测、对外口径统一133******评估观察组孙某某（院办/审计）全程旁站计时、动作合规性记录132******RACI职责矩阵关键动作总指挥技术指挥安全研判网络隔离系统恢复业务保障演练启动ARCIIIII级响应升级ARCCCCI级响应升级ARIIII单机断网隔离IACRIIVLAN级隔离ARCRCI业务降级切换ACIICR备份恢复执行IACIRI演练终止ARCCCCR=负责执行，A=最终负责，C=被咨询，I=被知会。决策授权规则单机断网、端口shutdown、单用户AD域锁定——技术指挥可直接授权，事后30分钟内向总指挥报备。VLAN级隔离、核心交换机ACL变更、业务降级切换——必须总指挥书面（含即时通讯截图）授权后方可执行。对外信息发布——必须总指挥签批，宣传科统一口径；任何参演人员严禁接受媒体采访、严禁在社交平台发布演练截图。演练前置准备演练的成败80%取决于准备阶段的颗粒度。准备不充分直接导致实兵阶段误伤生产系统或取证链断裂。技术环境准备EDR全量覆盖核查：演练前7日完成EDR客户端覆盖率核查，覆盖率必须=100备份可用性验证：演练前3日对HIS数据库执行一次全量备份+一次增量备份，并随机抽取一个增量备份在测试环境做恢复验证，确认可读、可挂载、可启动。备份介质必须满足3-2-1原则（3份副本、2种介质、1份离线）。严禁仅靠生产库本地快照——勒索病毒会加密快照卷本身；离线介质必须物理断开。网络拓扑与资产清单：导出最近一次的IP资产台账（含主机名、IP、MAC、责任人、所属VLAN、业务系统），与EDR控制台、AD域计算机OU三方比对，差异率>5堡垒机与审计：所有参演运维操作必须经堡垒机切入，严禁直连服务器RDP/SSH——堡垒机会完整记录命令、文件传输、屏幕录像，是事后追溯的唯一可信源。直连操作一旦发生，对应人员本季度安全考核直接扣分。模拟样本准备：由安全研判组用EICAR测试文件+自研无害化脚本（仅创建.demo_encrypted标记文件，不修改任何原始数据）模拟勒索病毒行为，经技术指挥审核、总指挥签字后封存于U盘，U盘SHA-256校验值登记入册。人员与物资准备参演人员培训：演练前5日组织1次桌面推演培训，时长90min应急物资清单：物理网线钳2把、备用隔离交换机1台、离线备份硬盘2块（已验证可读）、4G应急上网卡3张（用于脱离内网后对外通讯）、纸质《手工挂号/处方/检验单》模板各200份、对讲机8部（频道1：指挥；频道2：技术；频道3：业务）。告知与报备：演练前3个工作日向属地卫健委信息处、属地网信办、上级集团信息中心报备演练时间与范围；演练前1日向全院发布《演练告知书》，明确演练期间可能出现HIS短暂卡顿、个别终端断网，强调演练期间严禁任何人员对外发布"医院被黑"类信息。演练隔离区搭建在测试VLAN（如VLAN990）准备3台虚拟机（标签Patient0、Patient1、Patient2），分别模拟"被钓鱼终端""横向移动跳板""HIS前端机"。该VLAN与生产网通过ACL物理隔离，仅允许堡垒机单向访问3389/22端口；严禁该VLAN与HIS/PACS/LIS服务器网段有任何路由可达。在Patient0预置EDR客户端（策略调为"仅告警不阻断"，便于观察攻击链完整演化）。演练场景设计本演练选取的场景不是"单个U盘中毒"，而是模拟一次完整的APT攻击链——因为实战中的勒索事件几乎都是横向移动后的"多点同时引爆"，单点处置思维必然失守。攻击链设计（基于MITREATT&CK框架）初始入侵（T1566鱼叉式钓鱼）：攻击者发送伪装成"卫健委季度检查通知.pdf.exe"的钓鱼邮件至门诊办公邮箱，附件实际为带漏洞的PDF利用程序。执行与驻留（T1059命令解释器、T1547注册表自启动）：落地后释放svchost_update.exe至C:\ProgramData\，写入注册表HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run实现开机自启。C2回连（T1071应用层协议）：向外网IP203.0.113.xx:443发起加密回连——利用443端口绕过简单端口黑名单。凭据获取（T1003OS凭据导出）：在Patient0执行LSASS内存dump，利用未打补丁的CVE-2017-8563抓取本地管理员NTLMHash。横向移动（T1021远程服务）：利用抓取的凭据通过SMB（445端口）与RDP（3389端口）横向感染同VLAN内5台终端。影响（T1486数据加密）：在控制域内8台终端后，统一触发加密命令，对.docx、.xls、.dcm（DICOM影像）、.sql后缀文件进行加密，桌面壁纸更换为勒索说明。风险演化路径与阻断点攻击链的完整演化路径为：钓鱼邮件落地→终端执行恶意代码→C2回连外网→LSASSdump获取本地凭据→SMB横向感染同VLAN终端→多点同时触发加密→HIS前端机被加密导致医嘱无法下达→门诊/住院业务大面积停摆→患者聚集引发舆情。据此设计5个阻断点：阻断点技术动作目标指标BP1邮件网关拦截恶意附件SHA-256命中威胁情报落地前拦截BP2EDR行为检测检测svchost_update.exe非系统目录执行+注册表自启5minBP3出口防火墙阻断C2DNS/IP威胁情报联动C2回连10minBP4横向移动阻断445/3389端口微隔离+AD域账号锁定横向感染≤3BP5加密行为阻断EDR文件加密速率检测（>50加密影响≤5演练目标：至少阻断在BP4之前，最理想在BP2阶段即告警并处置。影响面预估按攻击链推演，若所有阻断点失守，最坏情况影响：直接受影响终端：约80—120台（同VLAN终端规模）。HIS业务影响：HIS前端机被加密后，门诊挂号、收费、医生工作站、护士工作站全部停摆；医嘱无法下达，新入院患者无法办理手续。PACS影响：影像调阅功能不可用，影响急诊影像会诊；新检查影像无法回传至PACS服务器。LIS影响：检验结果无法回传至医生工作站；急诊检验结果只能通过纸质报告人工送达。预估业务停摆时长：2h预估直接经济损失：按日均门诊量3000人次、人均费用280元推算，停摆4小时影响门诊量约500人次，直接收入损失约14万元；不含住院延误、舆情损失。演练流程脚本（时间线）本节是演练的"主轴"，按时间线逐分钟给出动作、责任人、产出物。评估观察组全程旁站计时，每5分钟记录一次实际动作与脚本的偏差。T+00:00演练启动动作：总指挥在指挥中心宣布演练启动，安全研判组在Patient0通过堡垒机执行模拟钓鱼邮件投放脚本。责任人：总指挥（启动）、安全研判组（投放）。产出物：演练启动令（签字版）、邮件投放日志。T+02:00—T+05:00初始入侵与执行动作：模拟用户点击钓鱼附件，svchost_update.exe落地执行，写入注册表自启动项，开始C2回连尝试。预期告警：EDR应在5min责任人：安全研判组监控EDR控制台。处置判断：若EDR5minT+05:00—T+10:00告警研判与II级响应启动动作：安全研判组接到告警后，15分钟内完成初步研判——确认是否为真实攻击、影响主机数量、是否已横向移动。判定标准（II级响应）：单台或≤3启动权限：技术指挥判定并启动II级响应，同步报备总指挥。处置原则：网络隔离组在Patient0接入交换机端口执行shutdown（不拔网线，保留物理连接便于取证）。安全研判组通过EDR远程提取内存dump、进程列表、注册表快照、网络连接列表，固化为取证包（SHA-256校验后存档）。严禁在取证完成前重启或关闭Patient0——内存中的LSASSdump、C2会话密钥、解密密钥残留会随断电挥发，无法复原。产出物：II级响应启动单、初始研判报告、取证镜像包。T+10:00—T+20:00横向移动检测动作：安全研判组基于Patient0内存中提取的凭据与C2通信特征，排查AD域登录日志、445/3389端口连接日志，确认是否已有横向移动痕迹。预期场景：模拟攻击已在T+08:00横向感染Patient1（同VLAN），T+15:00感染Patient2。处置动作：网络隔离组对Patient1、Patient2执行端口shutdown。在核心交换机下发临时ACL，阻断VLAN990与其他VLAN的445/3389端口通信。AD域管理员通过GPO临时调整账号锁定策略：登录失败5次/15分钟锁定30分钟。责任人：安全研判组（排查）、网络隔离组（隔离）、系统恢复组（AD策略）。产出物：横向移动排查报告、ACL变更记录、GPO调整记录。T+20:00—T+30:00影响面扩大与I级响应升级模拟场景：T+22:00模拟Patient2已通过SMB访问到HIS前端机网段（演练隔离区内的模拟前端机），并开始加密.dcm文件。判定标准（I级响应）：感染终端>3启动权限：技术指挥判定后立即上报总指挥，总指挥5分钟内决定是否升级I级。I级响应处置原则：业务保障组启动HIS降级流程（详见下一节场景化处置）。系统恢复组在HIS数据库服务器执行紧急快照+强制断网（仅断HIS服务器，保留数据库可访问性用于后续恢复）。安全研判组提取Patient2加密行为日志，确认加密算法与文件后缀特征，判断是否为已知勒索家族（有无公开解密工具）。产出物：I级响应升级单、HIS降级启动通知、紧急快照记录。T+30:00—T+90:00业务降级运行动作：业务保障组按场景化处置方案切换至手工流程，信息科通过4G应急通道保障核心缴费与医保对接。关键时限：业务降级流程必须在I级响应启动后30分钟内切换完成。责任人：业务保障组组长统筹，各科室安全员现场执行。产出物：手工流程切换确认单、各科室运行状态报告（每30分钟一次）。T+90:00—T+150:00备份恢复与系统重建动作：系统恢复组从离线备份介质恢复HIS数据库至最近一次增量备份时间点，在测试环境验证数据完整性后回切生产。恢复优先级：HIS数据库>AD域控>PACS影像存储>LIS数据库>办公终端。恢复验证标准：数据库一致性检查（DBCCCHECKDB）无错误。关键表记录数与备份时点台账一致（差异率<0.1HIS前端可正常登录、挂号、开方、收费全流程跑通。责任人：系统恢复组执行，安全研判组复核。产出物：备份恢复日志、数据一致性验证报告、HIS业务可用性确认单。T+150:00—T+180:00业务回切与演练终止动作：HIS业务逐步回切生产，先开放门诊挂号、再开放医生工作站、最后开放护士工作站与住院结算，每步观察15分钟无异常再开放下一步。终止条件：所有核心业务恢复+所有感染终端完成隔离或重装+所有取证证据固化归档。动作：总指挥宣布演练终止，评估观察组汇总计时数据与偏差记录。产出物：演练终止令、演练过程时间线记录、偏差清单。分级响应与场景化处置应急预案的失效往往不是因为"没写分级"，而是因为"分级判定标准模糊"和"场景没有穷尽"。本节给出可执行的判定与处置。分级响应判定标准级别判定标准启动权限处置时限III级（一般）单台终端被感染、未横向移动、未触及核心业务网段技术指挥隔离30min内、处置2II级（较大）≤3技术指挥+报备总指挥隔离15min内、处置4I级（重大）>3总指挥隔离10min内、业务降级30min门诊场景处置HIS停摆后门诊是受冲击最大的场景——患者已挂号排队的焦虑会迅速转化为聚集与投诉。挂号与收费：切换至纸质挂号单与手工收据，收费员使用4G应急POS机或现金收取，所有交易双联记账，HIS恢复后24小时内补录系统。医生工作站：医生使用纸质处方、纸质检查检验申请单，处方加盖执业章后患者持单至药房取药；电子病历无法书写时使用纸质病历记录，事后补录。药房：药房启动纸质发药登记，药品出入库手工记账；高警示药品双签确认。医患沟通：门诊大厅设置告示牌（"系统升级维护中，预计X时恢复"），导诊护士每30分钟通报一次进展；严禁使用"被黑客攻击""中毒"等表述引发恐慌。住院场景处置医嘱下达：医生改用纸质医嘱单，护士双人核对后执行；长期医嘱在HIS恢复后批量补录。检验检查：检验科启动纸质报告流程，急诊检验结果由专人送达病区（30min手术安排：择期手术若在系统恢复时限内可完成则延后；急诊手术按纸质流程执行，麻醉记录单术后补录。出入院：新入院患者手工登记基本信息，纸质病历先行；出院结算延后至系统恢复，患者可先离院后补结。ICU/手术室场景处置ICU与手术室所在的设备网VLAN必须与办公网物理隔离，原则上不受本次攻击影响。若演练中发现攻击已突破至该VLAN，立即升级为最高优先级处置：立即物理拔除该VLAN与核心交换机的所有上联网线——宁可牺牲监控数据上传，也要保障生命支持设备控制网络隔离。麻醉机、呼吸机、监护仪等若依赖网络传输数据，切换至本地存储模式，术后或患者稳定后补传。总指挥立即报告卫健委与应急办，启动院级危机响应。AD域控失陷场景处置域控失陷是勒索事件中最严重的场景——攻击者可凭域管凭据对所有域内主机统一下发加密指令。立即物理断开所有域控网络（保留一台用于取证，其余直接断电保护内存待取证）。重建域控：从离线备份恢复域控虚拟机，或在干净环境重建域控并重置所有域管密码、krbtgt账户密码（重置两次，间隔>10全量重置域用户密码：强制所有用户下次登录修改密码，密码长度≥12排查所有域管主机：EDR全量扫描域管登录过的所有主机，确认无后门账户、无计划任务驻留。备份恢复与数据保全备份是勒索事件最后的"救命稻草"，但绝大多数医院的备份策略经不起实战检验——要么备份介质在线被一同加密，要么备份从未做过恢复验证。备份策略要求按3-2-1原则：3份副本：生产库+本地快照+离线备份。2种介质：本地磁盘阵列+离线LTO磁带或移动硬盘。1份离线：离线介质必须物理断开，每日增量备份后由专人取走封存，严禁通过iSCSI或NAS长期挂载——挂载即在线，在线即可被加密。恢复优先级与RTO目标系统恢复顺序RTO目标恢复方式HIS数据库1<离线全量+增量回放AD域控2<备份虚拟机快照恢复LIS数据库3<离线全量+增量回放PACS影像存储4<本地快照优先，离线为备办公终端5<标准镜像重装+数据从用户文件夹恢复恢复验证三要素为什么这么做：恢复后的数据若不一致（如事务日志未回放完整），HIS启动后会报数据库损坏，二次停机比首次更致命。怎么做：DBCCCHECKDB一致性检查通过。关键业务表记录数与备份时点台账比对（差异<0.1灰度验证：先在测试环境挂载恢复库，跑通挂号—开方—收费—发药全流程，确认无异常后再回切生产。出问题怎么办：若恢复库一致性检查失败，回退至上一可用备份点；若所有备份均不可用，启用"最后手段"——从被加密数据库的原始文件中提取可读页片段（需数据库厂商支持），并立即报告卫健委启动数据灾备支援。取证与溯源取证的目的是还原攻击链、固化证据链、为后续司法追究与改进提供依据。许多医院在勒索事件中急于恢复业务，直接格式化重装，导致攻击手法无法复盘、同样的漏洞被二次利用。取证动作清单内存dump：在被隔离主机未关机状态下，通过EDR远程或本地winpmem工具导出完整物理内存（.raw格式），用于分析LSASS中的凭据、C2会话密钥、解密密钥残留。严禁在内存dump完成前关机或重启。磁盘镜像：使用FTKImager或dd命令对被感染主机磁盘做完整位级镜像，输出.E01格式并计算SHA-256；原始磁盘封存，后续分析在镜像上进行。日志提取：提取Windows事件日志（Security、System、Application）、EDR行为日志、防火墙连接日志、AD域登录日志，时间范围覆盖攻击前24小时至隔离时刻。IOC提取：从内存与磁盘中提取C2IP、域名、恶意文件SHA-256、注册表持久化键值、横向移动使用的凭据，形成IOC清单。证据链保全要求每一份取证文件必须计算SHA-256并登记《取证证据登记表》。取证过程必须双人操作（一人执行、一人见证）、全程录屏。证据介质由安全研判组专人保管，调阅必须经技术指挥书面授权。证据保留期限≥12演练评估与持续改进演练的终点不是"按时恢复业务"，而是形成PDCA闭环——演练→评估→改进→再演练。没有改进清单的演练等于没做。评估指标指标目标值实测值达标告警检测时延（首次告警至人工确认）<II级响应启动时延<首台主机隔离时延<横向移动阻断时延<业务降级切换完成时延<HIS恢复RTO<数据RPO（备份至最近可用点）<EDR覆盖率=横向感染主机数≤3备份恢复成功率=演练复盘会时间：演练结束后3个工作日内召开，时长2h参加人员：全体参演人员+评估观察组。议程：评估观察组通报各指标实测值与偏差。各组汇报本组处置过程中的问题与改进建议。形成《演练整改清单》（含问题、根因、整改措施、责任人、完成时限）。整改清单纳入下月信息科工作督办，整改完成后由评估观察组复核闭环。持续改进机制每季度组织1次桌面推演，每年组织1次实兵演练。每次演练后更新《网络安全事件应急预案》版本号，变更内容登记《版本变更记录》。EDR规则库、防火墙威胁情报、AD域安全策略每月复查一次，确保演练中暴露的规则缺口已补齐。将演练参与度与处置表现纳入科室年度安全考核，权重不低于10%。应急联络通讯录单位/部门联系人职责电话