戴尔孙宪臣：“避风港计划”如何为医疗数据构筑安全防线？ | 2020年南湖HIT论坛

来源：HIT专家网      作者：龚晨

“医疗行业已成网络攻击、勒索病毒的‘重灾区’。戴尔为医疗数据的安全防护提供的终极方案，是‘避风港计划’。”

在10月24日举办的 2020年南湖HIT论坛 上，戴尔科技集团中国核心客户和全球客户事业部医疗行业架构师孙宪臣从日益严峻的网络安全形势谈起，介绍了戴尔的“避风港计划”是如何面向未来、主动布局，帮助医院构筑数据保护的坚实防线。

医疗数据保护的“黄金三角”模型

事关患者健康与生命安全，医疗数据这座“金矿”的价值已日益彰显。与此同时，医疗行业的数据量正处于非线性爆发式增长态势中，这为医疗数据的安全防护带来了更大的困难。近年来，多地医院都曾被监测出勒索病毒，患者数据被加密，医院业务停顿，造成了极为不良的社会影响。

2019年，国家保密局发布《近年勒索软件威胁分析及防范策略综述》，要求企事业单位建立事前预防、事中监控、事后响应三位一体的综合性防护策略。

“实际上，数据保护是非常复杂的一项工作。光靠一味药，不能解决所有问题。我们要根据业务的不同，选择不同的解决方案。”据孙宪臣介绍，戴尔依据“黄金三角”模型，依据实际需求，为用户提供全方位、多层次的数据保护解决方案。

这一模型从RTO（恢复时间目标）和RPO（恢复点目标）的维度，对数据进行分类，并采用不同等级的保护手段（如图1所示）。比如：要求RPO=0、RTO=0的数据，属于连续可用数据，建议采用存储虚拟化解决方案；RPO、RTO要求均为秒级的数据，可归类为需要提供持续保护的数据，建议采用CDP连续数据保护设备，提供高等级保护，恢复时支持回滚至任意时间点。此外，RPO要求为小时级、RTO要求为分钟级的数据归类为需要备份与恢复的数据，用于长期保留的数据属于归档数据，均应采用不同层级的保护措施。

在这一模型指引下，戴尔为医疗行业的数据保护提供“防范网络攻击三步曲”。

首先是入门方案，目标是建立完善的备份和持续数据保护体系。孙宪臣给出了两个可选方案：其一是通过将备份设备的协议与备份软件进行整合，以非文件系统方式挂载至备份服务器，这样即使备份服务器或业务主机被感染，也能够保证备份数据的安全；其二是引入持续数据保护方案，可在灾难发生后将数据恢复到灾难发生前的任意一秒，从而恢复数据和业务，解决医院在日常业务中遇到的各种逻辑错误问题。

孙宪臣提醒到：“我们建议备份服务器应尽量使用Linux而非Windows，这可以在某种程度上降低被攻击的风险与难度；同时要选择专业的备份设备，最好是基于私有协议的。”

其次是进阶方案，也即建立不可修改、不可删除的备份储存副本。通过给备份数据“加锁”，任何人都不能在备份数据的保留期间更改备份数据，从而防范多种网络攻击。

不过，孙宪臣认为，以上两种方法在应对勒索病毒攻击的级别上，都还存在一定的不足和短板。戴尔提出的终级方案，也即“避风港计划”。“这是我们针对勒索病毒、恶意删除及其他严重的网络攻击，为数据保护竖起的坚实防线。”孙宪臣如是评价。

避风港计划的“关键四步”

什么是“避风港计划”？

2020年1月16日，为应对愈演愈烈的恶意攻击和勒索病毒等行为，美国通货监理署（OCC）和联邦存款保险公司（FDIC）总结了金融机构应采取的措施，计划实施一些标准，用以保护客户资料，以免发生金融数据无法还原的灾难性事件，并将其命名为“避风港计划”（Sheltered Harbor）。

“避风港计划”为重要数据的可移植性、数据的恢复和关键业务的连续性制定了行业标准。凭借在数据保护领域的多年耕耘与前瞻思考，戴尔成为第一家“避风港计划”解决方案合作伙伴。目前，在10家全球银行中，有8家已采用戴尔“避风港计划”解决方案；在美国15大银行中，有14家是戴尔“避风港计划”的客户。

据孙宪臣介绍，戴尔的“避风港计划”是一个逻辑上的Air-Gap（空气开关）解决方案，其用到的硬件非常简单，只需服务器、网络与专业的备份设备。服务器上需要安装两个软件，一个是Cyber Recovery（CR），用于建立一个独立、隔离、不可篡改、不可删除的“数据保险箱”，管理重要数据的安全副本；另一个是Cyber Sense，用于病毒遍历，也即沿着某条搜索路线，依次对其中每个节点均做一次访问搜索，直至找出病毒或得出“未找出”的结论为止。

那么，“避风港计划”如何对数据进行保护呢？孙宪臣介绍了其中的关键四步。

第一步，安全备份。将医院业务生产区的数据通过Air-Gap（空气开关）备份到隔离区。此时可以在CR上设定一个备份计划：到计划时间，空气开关自动打开；备份结束后，空气开关自动关闭。“可能有人会问：空气开关在开启期间，会不会存在风险？”孙宪臣进一步解释道：首先，戴尔的备份设备Data Domain之间的传输基于私有协议，破解起来相对困难；其次，Data Domain的去重比非常大，如果每天的数据增量不多，经去重后需要备份的数据量将会更少，在千兆网络下可实现瞬间完成、瞬间断开。“在如此短的时间内攻破私有协议，难度很大，成功的可能性比较低。”

第二步，副本锁定。完成数据备份后，在CR隔离区进行锁定并生成副本，并将其从攻击面中移除。在医院业务生产区，具有数据管理权限的人员不在少数；但在CR隔离区则实行单一管理路径，只有指定人员，比如CSO（首席安全官）具有唯一的管理权限，可以防止内部破坏分子利用物理安全薄弱环节进行数据破坏的行为，从而进一步提升了备份数据的可靠性和安全性。

第三步，病毒遍历。利用Cyber Sense进行病毒遍历。Cyber Sense的勒索软件及完整数据分析是基于机器学习模型组成的，可自动侦测避风港内的数据是否受到攻击。

第四步，沙箱推演。如果Cyber Sense侦测到数据受到攻击，鉴别分析工具将会协助判断出已被盗取的用户账号及可疑的恶意软件。

“我们建议：引入‘避风港计划’的客户，最少需要做到第一步和第二步。第三步和第四步，则可以根据自身业务数据的重要程度与投资成本，进行选择。”孙宪臣认为，“避风港计划”为数据提供的是“海陆空三位一体”的保护级别，堪称“数据保护的最后一道防线”，能够帮助医疗、金融等与国计民生息息相关的重要行业，在出现网络安全灾难性事件或者数据丢失时，以最快的速度恢复数据，确保业务的稳定运行。

【责任编辑：闻雨】