以上僵木蠕等恶意程序中,勒索病毒造成的危害与社会影响性尤为突出,本报告重点对本次观测中发现的勒索病毒的潜伏情况进行了地域分布分析。

整体来看,勒索病毒潜伏比率较高的区域中,信息化程度较低或者经济发达的情况更为凸显。西藏、贵州、新疆、 青海等地域,信息化程度较低,攻击成功率较高;两广、长 三角、北京等经济较为发达,攻击者关注程度较高。

2.2 数据泄露事件高发,应用服务存在隐患

本报告团队梳理了部分 2019 年国外健康医疗行业安全事件,发现国外健康医疗行业安全事件中,数据泄露相关事 件高发,已多于勒索病毒相关事件。数据泄露问题已是全球 健康医疗行业面临的网络安全的重点问题之一。

本次观测发现,健康医疗行业存在大量应用服务(如数 据库服务、FTP 服务、打印机服务等)暴露在公共互联网的 情况,共涉及 6446 家单位。如果这些暴露的应用服务管理 存在缺陷,那么攻击者从公共互联网会轻易地窃取到医疗相关数据。

除西藏自治区外,其余各省至少有 30%以上的单位将应 用服务直接暴露在公共互联网。从分布上看,东北、西北各 省与东南的福建省、浙江省和海南省略少,其余省份皆高于40%。

2.3 网站篡改手法多变,隐式植入非法信息

根据攻击效果,网站篡改可分为显式篡改和隐式篡改两 种。显式篡改主要用于帮助攻击者声明自己的主张,因此篡 改内容可见,如果改为非法信息,影响极其恶劣。隐式篡改 的内容不可见,一般通过植入色情、博彩、诈骗等非法信息, 帮助攻击者谋取非法经济利益。

本次观测中发现被篡改的网站共涉及 261 家单位。按省份分布如下:

全国总体来看都存在网站篡改现象,但主要集中分布在四片区域:分别是上海、江苏、安徽区域;北京、天津区域; 陕西、重庆、湖南区域以及西藏区域。

本次观测中发现的网站篡改以隐式篡改为主,其篡改手 法主要表现为以下三种:

1、寄生页面,指站点目录结构中被放入了非法页面资 源,以博彩、色情站点资源为主。这些页面一般在单位站点 中并无入口,寄生的主要目的是躲避观测,利用站点资源。

2、暗链,指页面代码被放入不可显示的链接,一般为 博彩、色情网站链接。暗链的主要目的是帮助非法网站在搜 索引擎排名中获得更高优先级。

3、域名恶意利用,指单位域名被用于无关内容,大部 分是由于单位历史域名到期后未持续维护造成的。利用域名 的主要目的也是在躲避观测的前提下使用站点资源。

3. 公共互联网的风险成因分析

脆弱性指资产上存在的可能被攻击者用来实施攻击的薄弱环节,即安全隐患。本报告团队基于观测结果中发现的风险点对健康医疗行业相关机构的网络资产进行了全面、客观的脆弱性评估,分析了风险存在的深度原因。

评估发现,本次观测的15339 家单位中网络资产存在脆弱性的有 9532 家,占比 62.14%。由此可见,健康医疗行业相关机构的网络资产中存在脆弱性的情况较为普遍。

脆弱性是攻击的入口,与单位存在的安全风险息息相关。 分析发现,易被利用实施攻击的脆弱性主要集中在三个方面: 大量敏感的应用服务暴露在公共互联网,覆盖了 48.08%的单位;开放的高危端口上存在可被利用的高危漏洞,覆盖了47.21%的单位;服务版本过低,存在公开漏洞,覆盖了 37.90%的单位。

3.1 端口存在高危漏洞,易被僵木蠕等利用

Web 服务一般都是通过端口号来识别的。端口如同是服务的钥匙,一旦存在可被利用的高危漏洞,就有可能导致服 务被不怀好意的人所利用,往往造成很严重的后果,比如敏 感数据被窃取、服务器命令任意执行、服务器权限被非法获 取等。

曾经造成重大影响的 WannaCry 勒索病毒,就是利用了TCP 的 445 端口,以类似于蠕虫病毒的方式传播,攻击主机 并加密主机上存储的文件进行勒索。自 2017 年 5 月 12 日到5 月 15 日,WannaCry 勒索病毒共造成 150 多个国家遭受网 络攻击,涉及金融、能源、医疗等行业,造成了严重的危机管理问题。

本次观测到的高危端口 top10 分布如下:

以作为微软操作系统远程桌面的服务端口的 3389 端口 为例,2019 年 5 月 14 日微软官方发布安全补丁,修复了Windows 远程桌面服务的远程代码执行漏洞 CVE-2019-0708。 此漏洞是预先验证身份,无需用户交互(无需验证系统账户密码),即可以在目标系统上执行任意命令。这就意味着这个漏洞可以通过网络蠕虫的方式被利用,与 WannaCry 勒索病毒极为类似。

本次观测针对此漏洞进行了渗透测试,在开放 3389 端口的 1860 家单位中,有 1012 家可被利用成功,占比高达54.40%。如果这些单位遭受利用此漏洞发起的攻击,则可能 被轻易植入勒索病毒等各种恶意程序。

3.2 大量敏感服务暴露,弱口令成安全隐患

本次观测发现在公共互联网侧存在大量远程登录服务、 数据库服务、FTP 服务、打印机服务等敏感服务。

本次观测对暴露的应用服务中的密码情况进行了渗透 测试,发现有410 家单位存在弱口令问题。密码是网络安全的第一道屏障,攻击者一旦攻破密码,很容易通过非法登录 提权至管理员权限,甚至直接渗透内网,登录内网服务器。 这些单位的服务器轻则成为攻击者进行不法行为的跳板或 僵尸网络的一部分,重则感染病毒,产生数据泄露,造成严重损失。

3.3 应用组件版本较低,网站篡改概率较高

应用服务组件版本过低,往往被公开漏洞所利用,存在 极大的安全隐患。本次观测有 7242 家单位存在这种情况, 占比 47.21%,具体服务分布如下:

其中,低版本的网站服务最为常见。以 Apache httpd服务为例,本次观测中共有 2961 家单位的 Apache httpd服务暴露在公共互联网上,其中服务版本过低的单位有1632 家,有 55 家单位存在网站篡改,网站篡改率为 3.35%; 服务版本正常的单位有 1329 家,有 22 家单位存在网站篡改, 网站篡改率为 1.69%。存在低版本服务的单位网站篡改率明显高于服务版本正常的单位。

4. 医院的网络安全现状调研

风险隐患的存在与安全防护措施的实施息息相关。为更全面地观测我国健康医疗行业网络安全现状,本报告团队基于CHIMA 发布的《2019医院信息安全调查报告》(以下简称《调查报告》)中的相关数据对当前医院的网络安全现状进行了分析。

《调查报告》对我国部分医院的安全建设情况进行了网 络问卷调查,共回收有效问卷 400 份,医院样本总数为389家,覆盖 29个省、直辖市(包含中国台湾省),医院占总参与调查机构的97.25%。

对调查的相关数据进行分析可以发现,健康医疗行业相 关机构对网络安全重视程度不够,网络安全相关工作开展不足。这就造成医疗信息系统面临的网络安全风险挑战很大, 甚至导致医疗正常业务受干扰或终止、个人信息泄露和医疗 数据被篡改等严重后果。主要表现在:

4.1 医院的网络安全等级保护工作普遍不足

安全防护措施的制定和实施是保证医院信息系统安全 稳定运行的必要条件。国家卫生主管部门对医疗机构的信息 安全等级保护工作提出了严格要求。

根据《调查报告》,至少有一个系统通过等保三级测评 的受访医院共计 195 家,占比 50.13%;通过等保二级测评 的受访医院共计 40 家,占比 10.28%;有实施等保工作规划的医院有 106 家,占比 27.25%;没有开展等保工作规划的 医院有 48 家,占比 12.34%。

由此可见,各医院推进网络安全等级保护的工作的力度和进展存在较大差别,有些医院未开展科学、合理的系统定级工作,使系统缺乏必要的安全保障措施。等级保护有助于 对系统安全进行重新梳理,发现医院系统内、外部存在的安全风险和隐患,提高网络安全防护能力,降低系统被攻击的风险,能够更加有效的保障医疗信息安全。因此,医院在信息化建设中适当提高对等级保护的侧重,有助于保障医院信 息系统持续稳定安全运行。

4.2 尚未建立定期开展风险评估的工作机制

医院的网络安全等级保护要求开展周期性的网络安全 风险评估工作,重点针对医疗信息系统进行渗透测试等技术评估。根据《调查报告》,本次调查中共有 37 家受访医院表示采用了定期渗透测试以评估风险,占受访医院的 9.51%。 同时还有 27 家医院填写了每年定期渗透的次数,每年一次 的医院有 12 家,每年两次的医院有 11 家,每年三次的医院有 1 家,每年四次的医院有 5 家。

由此可见,绝大部分医院尚未建立对信息系统开展定期 渗透测试的风险评估机制,在少数已开展定期渗透测试的医 院当中,测试开展的频率偏低。定期渗透测试有助于评估信息系统抵御网络入侵的能力,当前的开展情况反映了医院对网络信息安全的评估方法不够全面、有效。

4.3 网络安全培训与应急演练预案覆盖不全

在医院内部定期开展网络安全相关培训与应急演练工作,有助于培养相关人员的安全素养和安全意识,提高相关人员的专业知识水平和处理安全事件的能力。

根据《调查报告》,此项调查共回收 198 个有效回答。在安全培训方面,有 111 位受访者表示医院会定期在信息部门内部举行网络安全培训,占比 56%;36 位受访者表示医院设置了专门的信息安全员,由他们负责进行网络安全培训, 占比 18%;31 位受访者表示医院会对全体员工进行网络安全 培训,占比 16%;20位受访者表示没有相关培训,占比 10%。

在应急演练方面,选择信息部门内部参加的定期网络安 全应急演练的共计 93 位受访者,占比 47%;选择医院全体员工参加的定期网络安全应急演练的共有 42 位受访者,占 比 21%;选择仅有医院设立的信息安全员参加的定期网络安 全应急演练有 36 位受访者,占比 18%;回答医院没有定期组织网络安全应急演练的有 27 位受访者,占比 14% 。

由此可见,目前各医院开展网络安全培训和应急演练工作的覆盖面不足,近半数的医院仅在信息部门内部定期开展网络安全培训和应急演练工作,设置专门信息安全员的医院不足 20%,还有部分医院完全没有进行安全培训和应急演练。这既不利于提高工作人员的安全意识,也无法有效保障医院信息系统的安全。

5. 安全工作思路与建议

5.1 提高政治站位,统一思想认识

健康医疗行业事关人民福祉和国家安全,健康医疗行业 相关机构应提高政治站位,统一思想,充分认识到做好健康医疗行业网络数据安全保障工作的重要性和紧迫性,坚决贯 彻落实习近平总书记有关数据安全重要批示指示精神,坚决 做好大数据安全与医疗信息化稳定发展的保障工作。

5.2 加强政策引导,完善防护体系

保障健康医疗网络安全是卫生事业改革和发展的重要内容。为加强健康医疗领域网络安全体系建设,保障医疗领域信息化的顺利发展,不断满足人民群众多层次、多样化的 健康需求,亟需完善健康医疗领域网络安全体系建设,提升健康医疗领域网络安全防护能力,为持续推进健康医疗信息 化安全稳定发展保驾护航。

5.3 强化标准引领,规范行业发展

健康医疗行业网络安全标准化工作作为健康医疗领域 网络安全保障体系建设的重要组成部分,在推动健康医疗领 域网络安全治理体系变革方面发挥着不可替代的作用。为全面切实推进健康医疗领域的网络安全防护工作整体、规范, 科学、有序的开展,亟需健全完善健康医疗行业的网络安全 标准化体系建设。

5.4 突出能力建设,形成长效机制

健康医疗行业相关机构应加强自身网络数据安全综合保障能力建设,继续加强在网络数据安全领域的投入,建立 系统化的安全保障体系,形成长效机制:

●加快推进网络安全等级保护测评工作,定位安全问题, 排除安全隐患;

●定期开展风险评估工作,评估系统抵御网络入侵的防护 能力,发现潜在的安全隐患;

●建立网络安全专业团队,定期进行安全培训及应急演练, 提升团队安全意识和风险应对能力;

●充分发挥第三方安全机构的专业支撑能力,采用安全最 佳实践,保障医疗信息化的安全发展。

特别声明:

本观测报告仅供技术研讨与参考分析,多有纰漏与不足之处,欢迎各领导专家指导修正,共同推进健康医疗行业的网络安全防护与大数据安全工作。

附录一:网络安全术语解释

●信息系统

信息系统是指由计算机硬件、软件、网络和通信设备等组成的,以处理信息和数据为目的的系统。

●资产

资产指对组织具有价值的信息或资源,是安全策略保护的对象。

●资产价值

资产价值指资产的重要程度或敏感程度的表征。资产价值是资产的属性,也是进行资产识别的主要内容。

●威胁

威胁指可能导致对系统或组织危害的不希望事故潜在起因。

●脆弱性

脆弱性是指可能被威胁所利用的资产或若干资产的薄弱环节,即安全隐患。

●恶意程序

恶意程序是指在未经授权的情况下,在信息系统中安装、执行以达到不正当目的的程序。

●病毒

病毒是通过感染计算机文件进行传播,以破坏或篡改用户数据,影响信息系统正常运行为主要目的的恶意程序。

●勒索软件

勒索软件是黑客用来劫持用户资产或资源并以此为条件向用户勒索钱财的一种恶意程序。勒索软件通常会将用户数据或用户设备进行加密操作或更改配置,使之不可用,然后向用户发出勒索通知,要求用户支付费用以获得解密密码或者使系统恢复正常运行的方法。

●漏洞

漏洞是指信息系统中的软件、硬件或通信协议中存在的 缺陷或不适当的配置,从而可使攻击者在未授权的情况下访问或破坏系统,导致信息系统面临安全风险。常见漏洞有 SQL注入漏洞、弱口令漏洞、远程命令执行漏洞、权限绕过漏洞 等。

●蠕虫

蠕虫是指能自我复制和广泛传播,以占用系统和网络资 源为主要目的的恶意程序。按照传播途径,蠕虫可进一步分为邮件蠕虫、即时消息蠕虫、U 盘蠕虫、漏洞利用蠕虫和其他蠕虫 5 类。

●网页篡改

网页篡改是恶意破坏或更改网页内容,使网站无法正常工作或出现黑客插入的非正常网页内容。