Pure Storage幫助醫(yī)院從勒索病毒的攻擊中快速恢復
2020年4月，隨著新冠肺炎疫情在美國蔓延，一家大型市立醫(yī)院的醫(yī)療人員正忙著為接診做準備。然而，當管理人員正準備登錄醫(yī)院的IT系統(tǒng)時，卻意外收到了一條信息：“This application is not available.”(此應(yīng)用程序無法使用)。當醫(yī)生和護士試圖訪問電子病歷或使用重要的應(yīng)用程序時也看到了相同的信息。
醫(yī)院的IT部門很快發(fā)現(xiàn)，多個Windows操作系統(tǒng)和服務(wù)器上的數(shù)據(jù)已經(jīng)被莫名地加密了。沒過多久，IT人員就在文件系統(tǒng)中發(fā)現(xiàn)了一個小型文本文件，里面寫著：“Your servers have been encrypted. If you want to decrypt them, email us and we'll tell you how.”(你的服務(wù)器已被加密，若想要解密，發(fā)郵件給我們，我們會告訴你怎么做。)同時，醫(yī)院的Pure Storage®FlashArray™數(shù)據(jù)存儲系統(tǒng)(即醫(yī)院四年前安裝的Purity操作環(huán)境)容量突然暴增到113%。隨著病毒程序的不斷自我復制，陸續(xù)有更多系統(tǒng)受到影響。
在此次攻擊發(fā)生之前，該醫(yī)院的存儲陣列數(shù)據(jù)縮減比大約是5：1。當醫(yī)院的數(shù)據(jù)受到加密和覆蓋的攻擊時，存儲陣列的寫入流量突然暴增50倍，直到存儲的實體空間耗盡后，數(shù)據(jù)的寫入請求便開始排入隊列等待。IT部門在意識到這是一起勒索病毒攻擊事件之后，并不打算與黑客談判，而是立即切斷了所有進出數(shù)據(jù)中心的網(wǎng)絡(luò)連接，并將被加密的服務(wù)器隔離以便進行取證調(diào)查。
在整個過程中，Pure Storage的存儲陣列依然維持在線運作(盡管無法寫入)，讓IT人員可以一邊監(jiān)控觀察實時狀況，一邊擬定復原計劃。這相當于IT團隊可以親自監(jiān)控犯罪現(xiàn)場，并觀察基礎(chǔ)設(shè)施所經(jīng)受的沖擊。
擬定計劃，從勒索病毒的攻擊中恢復
由于醫(yī)院的IT基礎(chǔ)設(shè)施老舊，整個數(shù)據(jù)中心只有一套存儲陣列，備份作業(yè)也通過同一個網(wǎng)絡(luò)進行，管理人員并無備份的系統(tǒng)數(shù)據(jù)可用。這使得醫(yī)院的IT系統(tǒng)與應(yīng)用程序直接癱瘓。在解決問題期間，醫(yī)療人員不得不因此啟動緊急應(yīng)變預(yù)案，采用紙面與電話溝通。
醫(yī)院向來分秒必爭，無法長時間依靠紙面與電話溝通的緊急應(yīng)變預(yù)案運行。因此，醫(yī)院的IT部門同時聯(lián)系了Pure Storage客戶支持團隊。
Pure的支持團隊立即響應(yīng)并指導醫(yī)院IT人員從Pure Storage快照中取得可用的應(yīng)用程序與數(shù)據(jù)備份。Pure Storage快照是FlashArray中免費自帶的功能，它會在完整備份之后產(chǎn)生只讀(read-only)的數(shù)據(jù)備份快照以及相關(guān)的元數(shù)據(jù)(metadata)目錄。由于快照是一種無法被修改的數(shù)據(jù)副本，因此就算是勒索病毒也無法竄改。對醫(yī)院來說，這意味著網(wǎng)絡(luò)中的數(shù)據(jù)還可以得到挽救。FlashArray的這個功能使系統(tǒng)重建不需花費幾星期，而可以在幾天甚至幾小時內(nèi)完成，讓醫(yī)院能夠更快地恢復運營。
醫(yī)院與Pure Storage迅速成立了一個聯(lián)合小組并擬定了一套計劃，在現(xiàn)有的存儲陣列中增加額外的容量，再運用第二臺陣列來支持數(shù)據(jù)復制與復原。Pure支持團隊當天迅速地運來一臺新的Pure Storage FlashArray，并指派一位工程師到醫(yī)院，徹夜將陣列安裝完成，并開始從快照中將數(shù)據(jù)復制到新的陣列?；谶@些快照，聯(lián)合小組得以快速重新建立并上線各項核心服務(wù)，如Active Directory、DNS、DHCP。
幾天內(nèi)修復至關(guān)重要的IT運營
在新設(shè)備到達之后的幾小時，IT團隊實現(xiàn)了醫(yī)院數(shù)據(jù)系統(tǒng)的恢復上線，結(jié)束了緊急應(yīng)變預(yù)案。
醫(yī)院的IT團隊發(fā)現(xiàn)，就算在數(shù)據(jù)受到攻擊的高峰時刻，原本的FlashArray仍維持了數(shù)據(jù)的完整性。盡管容量被硬撐至113%，但是其中的重要數(shù)據(jù)皆未受損，這證明了該存儲架構(gòu)的強大。
回顧這段經(jīng)歷，該醫(yī)院的IT主管表示：“感謝Pure Storage客戶支持團隊與Pure客戶管理團隊的幫助，我們才能夠在這么短的時間內(nèi)解決問題。Pure的迅速反應(yīng)以及雙方的團隊合作，讓我們的核心業(yè)務(wù)在幾天內(nèi)就恢復正常運作，并且完好如初。”
該IT主管進一步表示，此醫(yī)院的母公司很快會在一個更大的IT整合項目當中采用Purity操作環(huán)境，配合更現(xiàn)代化的網(wǎng)絡(luò)，將Purity部署在整個組織當中。
滿足當?shù)匦鹿诜窝滓咔槠陂g的醫(yī)療需求
如今，該醫(yī)院的醫(yī)生、護士、管理人員都能安心使用IT網(wǎng)絡(luò)中的資源照顧患者，進行新冠肺炎篩查，并有準備地應(yīng)對未來到此就診的新冠肺炎患者。
這一次從勒索病毒攻擊中恢復數(shù)據(jù)所積累的經(jīng)驗讓醫(yī)院IT主管深刻體會到，有了Pure Storage的FlashArray快照，再加上Pure支持團隊的幫助，未來即使再遇到類似的網(wǎng)絡(luò)安全事件，他們也能安然渡過危機，并將患者的需求永遠放在第一位。
數(shù)字化要一盤棋更要各自為戰(zhàn)
分享到微信 ×
打開微信，點擊底部的“發(fā)現(xiàn)”，
使用“掃一掃”即可將網(wǎng)頁分享至朋友圈。