引言医院被勒索停的不是一个系统是一条临床链路医院和一般企业不一样企业系统宕机损失的是效率与营收医院系统宕机停的是看诊、是检查、是手术排期。而勒索软件最爱的恰恰是医院——数据高度集中、系统多年不升级、终端数量庞大、且几乎没有停机窗口。近年国内外医院被勒索导致急诊停摆、影像无法调阅、手术推迟的案例屡见不鲜监管与卫健系统对医院网络安全的要求也逐年加码。医院里最该保护、也最怕被勒索的是两个终端场景。一是影像 PACS 工作站放射科、影像科医生调阅 CT、MRI、DR 的影像工作站要能快速加载动辄数百兆甚至上吉字节的序列图像对性能极其敏感——任何卡一下都会拖慢整个阅片与报告流程。二是医生办公终端门诊、病房医生的电脑既要连 HIS、电子病历写报告又要插 U 盘拷影像、用网盘或协作平台传资料外发行为频繁且难以管控。这两个场景的安全诉求看似不同实则可以同一套终端主动防护体系覆盖用进程白名单把谁能读影像明文卡死从根上让勒索软件加密不动用透明加密给影像与病历文件兜底用全量审计把每一次外发留痕满足事后追溯与等保取证。难点只有一个——医院终端不能因为上了安全而变慢尤其是 PACS 阅片性能是这条链路能不能落地的生死线。本文要讲清楚的是进程白名单防勒索在医院终端怎么落地才不拖慢阅片PACS 工作站与医生办公终端的策略差异怎么划以及医生终端的 U 盘、网盘外发怎么留痕、怎么可追责。背景医院终端的安全缺口藏在日常动作里谈防护之前先把医院终端的风险点列清楚。这些缺口大多不在黑客攻击里而在日常业务动作里。缺口一PACS 工作站的信任过载。影像工作站上跑的除了 PACS 阅片软件还常夹杂浏览器、办公套件、甚至医生自己装的插件与工具。工作站一旦被钓鱼或借 U 盘带入恶意程序勒索进程就能以当前用户身份启动读得到影像文件就加密得动。而传统杀毒依赖特征库对新变种与免杀样本常常慢半拍。缺口二医生终端的外发随意。医生要把影像拷给病人、要把报告发去协作医院、要把资料同步进网盘U 盘插拔、网盘同步、邮件附件、即时通讯传文件是常态。这些动作全是系统正常功能传统安全设备几乎不告警却正是数据外泄与勒索渗出的主通道。缺口三老旧系统的补丁空窗。医院大量设备带机多年、操作系统老旧、不能随便打补丁一打补丁影像软件就崩漏洞长期暴露。靠打补丁 杀毒永远补不完必须有一层不依赖补丁、不依赖特征库的防御。缺口四账号与权限粗放。很多医院终端是科室共用账号、或医生账号权限过宽谁登录都能读全部影像。一旦某个账号被盗影响面是整个科室的数据而不是一个人。把四个缺口合起来医院终端防护的目标就很明确让勒索进程在终端上启动即被拦进程白名单、让影像文件落盘即密文透明加密、让每一次外发可追溯全量审计、且全程不拖慢阅片。这正是主动防护体系相对杀毒 备份的增量价值。技术拆解一进程白名单为什么能防勒索且不依赖特征库进程白名单是防勒索的第一道、也是最硬的一道闸。它的底层逻辑和传统杀毒完全不同。传统杀毒的思路是认坏的。靠病毒特征库识别已知勒索样本新变种、免杀、改名的样本就认不出。医院终端补丁空窗大、样本更新慢这道闸经常漏。进程白名单的思路是认好的。默认拒绝一切未被明确授信的程序运行或读取受保护文件只有预先登记在白名单里的进程PACS 阅片软件、电子病历客户端、操作系统与驱动自身才被允许。勒索软件无论怎么改名、怎么免杀、用什么新框架都不在白名单里启动即被拦、读受保护目录只能读到密文。这是一种不依赖特征库的防御——它对未知样本天然免疫正好补上医院补丁空窗的短板。四阶段覆盖。勒索攻击通常走入侵 → 加密 → 提权 → 清理四阶段。进程白名单在最早阶段就拦入侵后放下的载荷、用于加密的工具、用于提权的程序全都不在白名单无法运行、无法读明文后续加密与清理无从发生。把防线前移到进程能不能跑比等它开始加密再救要稳得多。与透明加密的配合。即便有进程漏过白名单、开始改写文件透明加密层兜底受保护目录落盘即密文勒索进程读到的本就是密文、写回去的也是密文等于加密了个寂寞。更关键的是防二次加密——区分读写授信进程PACS、备份代理能写明文、勒索进程只能写密文勒索软件即便运行也改不动明文内容。两层叠加勒索在医院的命中率被压到极低。以安当RDM为例它以进程白名单、透明加密与全量审计构成三重主动防护不依赖病毒特征库覆盖入侵到清理四阶段并可防 LockBit 2.0/3.0/5.0 这类主流勒索即服务对接密钥管理系统实现密钥集中治理支撑等保与密评。技术拆解二PACS 工作站怎么上白名单而不拖慢阅片这是全篇最关键的工程问题。PACS 阅片对性能敏感任何方案如果让影像加载变慢临床一定否决。进程白名单要做到安全无感得在三个地方下功夫。功夫一白名单只管读写受保护目录不管能不能运行。一个常见误解是白名单 禁止所有未知程序运行这会把医生要用的浏览器、插件、临时工具全卡死体验灾难。正确做法是分层系统进程与驱动层白名单保证系统能启动对影像目录PACS 缓存、影像存储的读明文权限只授权给 PACS 阅片软件与相关服务进程。其他程序能运行但读影像目录只能读到密文。这样白名单的管控面收窄到谁读影像明文不影响医生开别的软件也不增加阅片路径的开销。功夫二透明加密走驱动层、低损耗。影像落盘即加密、读出即解密这一层在文件系统驱动实现吞吐可达 45 Gb/s、损耗低于 3%。对 PACS 加载数百兆序列图像而言3% 以内的开销在临床感知阈值以下阅片不卡。关键是加密不放任到应用层、不逐个文件类型处理驱动层一视同仁工程格式DICOM 及各类私有格式不再成为性能瓶颈。功夫三白名单与缓存策略协同。阅片慢常源于首次加载要从存储拉大量数据。白名单与透明加密都在本地完成不引入网络往返不像某些云查杀每次读文件都联网校验。本地缓存的影像解密在内存与磁盘间完成不增加网络延迟。只要把 PACS 缓存目录纳入加密域、把阅片进程加入白名单医生打开历史影像的体验与未加密时一致。功夫四灰度与基线先行。上线不一次性全开。先把 PACS 工作站的操作系统与阅片软件进程登记为基线白名单观察一周真实阅片行为补齐被漏掉的合法进程如某些厂商的影像后处理插件、报告插件确认无业务阻断后再开启清单外进程读影像目录只出密文的强策略。灰度期是性能无感与业务不阻断的双重保险。功夫五性能实测的硬指标。上线前后必须做对照同一序列影像的加载耗时、同一工作站的 CPU/IO 占用、同一医生的阅片吞吐量。若强策略开启后加载耗时上升超过可接受阈值建议单序列不超过数十毫秒级差异、整体主观无感就要回查白名单是否过宽触发了额外校验、或加密域是否误包含了非影像临时目录。性能这条红线靠实测守不靠承诺守。技术拆解三医生办公终端与 PACS 工作站的策略差异医生办公终端和 PACS 工作站虽然同属医院终端但业务形态不同白名单与外发策略要分开设计不能套同一套。PACS 工作站重读、轻发。工作站的核心动作是调阅与写报告外发需求低影像一般不从工作站直接外发。因此策略重心放在进程白名单 影像目录透明加密 防二次加密外发可以收得很紧默认禁止 U 盘写入影像、禁止网盘同步影像目录。它的验收标准是阅片不卡、勒索拦得住。医生办公终端重发、也要读。医生终端既要连 HIS/电子病历写报告又要频繁外发给病人拷影像、发协作医院、同步网盘。策略重心是白名单保底 外发留痕 透明加密兜底。它的验收标准是外发可追溯、明文外发受控、又能不耽误医生正常传资料。账号维度的差异。PACS 工作站建议走专机专用、固定账号白名单与账号绑定简单医生终端常是科室共用或移动登录账号权限要按角色收敛门诊医生、住院医生、主任看到的病历范围不同白名单之外还要配合按角色最小可见避免一个账号可读全部病历。性能容忍度的差异。PACS 工作站对性能零容忍医生终端写报告对瞬时性能不敏感外发管控的提示与审批窗口可以稍宽。两类终端的策略粒度要据此调整不能一刀切。技术拆解四终端外发留痕——U盘与网盘怎么管、怎么查得到医生终端的外发是数据泄露与勒索渗出的重合区。这里要做的不是禁而是分得清、批得快、查得到。U 盘管控的四层。移动存储是唯一能在设备层强控的通道。第一层全禁适合明确不需要 U 盘的岗位如某些只写报告的终端第二层只读允许拷入外部资料但不允许写出第三层加密写入允许拷出但落盘即密文、仅受控终端可打开这是医生给病人拷影像最实用的形态——盘丢了打不开第四层留痕每次插拔与读写都记设备序列号、责任人、文件清单与指纹。医院建议医生终端默认加密写入 序列号绑定责任人 全量留痕既方便传资料又防泄露。网盘与同步目录。医生常把资料同步进网盘或协作平台。正确打法不是禁客户端而是把同步目录纳入加密域写进去即密文同步出去的自然也是密文云端拿到不可解析内容同时配置跨域另存拦截——从加密域另存到桌面再拖进同步目录副本仍保持密文。网页上传路径靠进程授信授信的浏览器读到的是明文但要对大批量读取做频次告警未授信进程读加密域只出密文。留痕的五要素。一次外发记录至少包含主体账号、终端、资产编号、客体文件路径、大小、类型、文件指纹、行为读/写/上传、结果、通道与目的地设备序列号、网盘账号、收件地址、时间与策略依据命中规则、审批单号。没有目的地记录的外发日志事后只能回答有人发了答不了发给谁。五要素齐了才能反查某份影像被谁、什么时间、通过什么通道、发去了哪里。文件指纹与水印。对每次外发的文件计算国密 SM3 摘要并记录用途是反查当某份影像事后出现在不该出现的地方算出它的摘要就能精确反查到源头终端与账号。审批通过的明文外发叠加水印可见承载责任人、时间、审批单号隐式承载终端与账号让二次传播可追责。日志防篡改。日志存在终端本地就可能被清。必须做到本地只追加、每条带链式摘要、实时上报独立日志服务三件事日志才能作为证据提交等保与密评。这一条对医院尤其重要——发生安全事件后能不能拿出干净的日志直接决定责任认定与监管定性。技术拆解五接诊连续性——防勒索如何不误伤急救流程医院场景有个特殊约束安全方案不能影响急救与接诊连续性。这要在策略设计时就考虑。约束一白名单不能卡住急救软件。急诊、监护、影像相关的业务软件必须在基线白名单且上线前在真实急救流程里跑过确认不阻断。任何上线后可能卡的进程都要在灰度期补进白名单不能等出事再临时加。约束二离线应急。医院网络偶发中断时终端应能继续工作。透明加密与进程白名单在本地完成不依赖实时联网网络中断不影响阅片与外发管控的本地执行离线外发的审批可缓存、联网后补校验不因断网而放开管控。约束三单人单机应急。对关键岗位如值班医生、夜班放射科可提供单机版应急能力以 USBKey 作为第二因子与解密身份断网、无中心服务时仍能在本机正常打开影像与写报告避免中心服务一挂全员停工。这与个人单机版的思路一致把可用性作为安全的一部分而不是对立面。约束四备份与治疗连续性。影像与病历的备份必须可恢复参考前篇密文备份恢复思路且备份集本身受透明加密与进程白名单保护防勒索二次加密。医院演练要包含PACS 宕机后从密文备份恢复、且在恢复过程中不泄露明文这一条确保治疗连续性有兜底。技术拆解六与密钥管理系统对接以及等保密评落点医院终端防护不是孤立的要纳入全院密码体系。密钥归口。终端透明加密的文件密钥、进程白名单相关的密钥材料统一收口到密钥管理系统KSP根密钥由硬件密码机保护做密钥生成到销毁的全生命周期管理。满足密评对密钥集中管理的要求也让某终端丢失后吊销其密钥、某角色权限回收有统一管控面。等保落点。进程白名单对应入侵防范与恶意代码防范透明加密对应数据保密性全量审计对应安全审计最小可见与账号收敛对应访问控制与身份鉴别。这些条款在等保2.0 里都有明确项终端防护的证据材料直接对应。密评落点。国密 SM4 算法使用、密钥由密钥管理系统集中管理、根密钥硬件保护、密码产品检测认证是密评的核心项。终端防护把这四项落到实处密评取证时有据可依。改造路径六步落地医院终端防勒索最忌全院一刀切强开。建议按六步推进优先保临床连续性。第一步终端与资产盘点。列出 PACS 工作站、医生办公终端的数量、操作系统、运行的业务软件、影像存储位置、外发习惯。产出《终端资产清单》与《业务软件白名单基线表》。这步不做白名单一定误伤业务。第二步先建 PACS 基线白名单。把影像工作站的操作系统与阅片软件、后处理插件、报告插件登记为白名单基线灰度观察一周补齐漏掉的合法进程。产出经过真实阅片验证的白名单。第三步开启影像目录透明加密。把 PACS 缓存与影像存储目录纳入加密域验证阅片性能损耗在 3% 内、主观无感。这一步是防二次加密的地基。第四步医生终端外发策略上线。配置 U 盘加密写入与留痕、网盘同步目录加密域与跨域拦截、网页上传进程授信与频次告警。上线前让真实外发场景跑一遍测合规外发要多久。第五步全量审计与日志防篡改。把五要素、文件指纹、水印、链式摘要、集中上报全部跑通验证日志不可篡改、可反查。第六步性能与连续性演练。做阅片性能对照、急救流程不阻断验证、密文备份恢复演练归档证据迎等保与密评。配置示例以下示例用于说明策略形态具体参数以实际环境为准。PACS 工作站进程白名单与透明加密终端策略侧类 YAML 描述# 影像 PACS 工作站防勒索策略pacsStation:crypto:algorithm:SM4# 国密 SM4layer:filesystem_driver# 驱动层透明加密阅片无感cipherOnWrite:truedomain:[D:/PACS/cache,E:/PACS/store]# 影像缓存与存储目录processWhitelist:# 只这些进程可读影像目录明文trusted:-PacsViewer.exe# 阅片软件-PacsReport.exe# 报告插件-ReconPlugin.exe# 后处理插件-system_driver# 操作系统与驱动denyReadPlain:# 清单外进程读影像目录只出密文default:cipher_onlyantiRansom:defaultAction:deny# 默认拒绝未知进程preventSecondEncrypt:true# 区分读写防二次加密trustedWrite:[PacsViewer.exe,backup_agent]perfGuard:cacheLocal:true# 本地缓存不引入网络往返expectOverheadPct:3# 性能损耗硬指标超阈值回查医生办公终端外发与留痕clinicTerminal:usb:mode:encrypt_on_write# U盘加密写入盘丢打不开bindOwner:true# 设备序列号绑定责任人defaultForUnknown:deny_with_auditcloudSync:syncDirs:-path:C:/Users/%USER%/SyncFoldercryptoDomain:dm-cliniccrossDomainWrite:from:[dm-pacs,dm-emr]to:non_crypto_pathaction:keep_cipher# 出域保持密文browser:trusted:false# 浏览器默认不授信读到密文fileDialogGuard:extensions:[.dcm,.pdf,.docx]action:require_approvalaudit:fields:[account,terminal_id,file_path,size,sm3,action,channel,dest,ts,rule,approval_id]integrity:appendOnly:true# 只追加chainHash:SM3# 链式摘要reportTo:central_log# 实时上报独立日志服务watermark:visible:[owner,ts,approval_id]invisible:[terminal_id,account]审计记录样例服务端集中留存{event_id:RDM-20260912-007721,timestamp:2026-09-12T09:41:0808:00,subject:{account:dr_li,terminal_id:WS-RAD-0042,asset_no:AST-2026-0042},object:{path:E:/PACS/store/CT-2026-5521.dcm,size:268435456,sm3:9c1e...摘要,sensitivity:medical},action:{type:write_usb,result:allowed,mode:encrypt_on_write},channel:{type:removable_storage,device_serial:BB00000000007788,owner:dr_li},policy:{rule:usb.encrypt_on_write,approval_id:null},log_integrity:{seq:7721,prev_hash:d30a...,self_hash:1b9f...}}验证确认 PACS 防勒索与外发留痕生效# 1. 阅片性能对照开启强策略前后加载同一 CT 序列耗时差异应在感知阈值内Measure-Command{Start-ProcessPacsViewer.exe-ArgumentListCT-2026-5521-Wait}# 预期开启前后耗时差异主观无感整体损耗低于 3%# 2. 进程白名单验证用清单外进程读影像目录只见密文$env:SystemRoot\System32\notepad.exeE:\PACS\store\CT-2026-5521.dcm# 预期乱码同一文件用 PacsViewer.exe 打开正常# 3. U盘加密写入验证拷出影像插入未装客户端机器应打不开Get-ContentF:\CT-2026-5521.dcm-TotalCount 1-Encoding Byte|Format-Hex# 预期密文特征非 DICOM 文件头# 4. 日志防篡改验证尝试删改本地审计记录应不可行服务端链式摘要可识别断链验证方法六条实测阅片性能对照。开启强策略前后加载同一序列耗时差异主观无感、整体损耗低于 3%。证明不影响阅片这条红线。进程白名单验证。清单外进程读影像目录只见密文授信阅片软件正常未知勒索样本启动即被拦。证明防勒索成立。防二次加密验证。模拟勒索进程改写受保护文件应只写密文、改不动明文授信备份代理可写密文。证明兜底有效。U 盘可控验证。医生终端拷出影像未装客户端机器打不开设备序列号绑定责任人丢失可追。证明外发可控。网盘出域验证。加密域文件另存桌面再同步副本仍密文网页上传未授信进程只出密文。证明渗出通道被兜。日志可追验证。给定文件摘要反查外发源头尝试篡改本地日志应不可行、服务端链式摘要识别断链。证明证据可用。风险与误区误区一白名单 禁止所有未知程序运行。这会把医生要用的浏览器、插件全卡死体验灾难。正确做法是只管读受保护目录明文的权限其他程序能跑但读影像只出密文。误区二把加密放应用层。工程格式多、体量大应用层加密卡阅片。驱动层透明加密才兼顾性能与覆盖。误区三上线一刀切强开。医院终端必灰度先基线白名单、再透明加密、再外发策略每步观察真实业务周期避免误伤急救流程。误区四外发只禁不管。禁 U 盘医生就绕用私人网盘、手机拍照。正确做法是默认加密 例外审批让合规路径比违规路径更省事。误区五日志当本地文件。终端被攻陷第一动作就是清日志。必须只追加、链式摘要、实时上报三件缺一件证据就废。误区六忽略账号收敛。科室共用账号、医生权限过宽一个账号被盗影响全科室。白名单之外要配合按角色最小可见。误区七只防勒索不保连续性。应急软件不在白名单、断网就停工等于用安全制造新风险。急救软件必须进基线离线应急要可用。证据材料清单等保与密评取证用终端资产清单终端类型、数量、操作系统、业务软件、影像存储位置、外发习惯。业务软件白名单基线经真实阅片验证的授信进程清单、制定依据、版本与变更审批。透明加密存证影像目录密文抽样、算法说明国密 SM4、驱动层透明加密与性能损耗实测低于 3%。进程白名单配置与验证授信进程、清单外进程只见密文、未知样本启动即拦的测试记录。防二次加密说明读写区分规则、授信写与勒索写密文的处理、备份代理授信配置。外发管控记录U 盘加密写入与序列号绑定、网盘加密域与跨域拦截、网页上传授信与频次告警、明文外发审批与绑定。审计与留痕材料五要素字段、国密 SM3 文件指纹、水印样例、只追加加链式摘要的集中日志、三个反查入口。连续性保障材料急救软件进基线说明、离线应急USBKey 单机版配置、密文备份恢复演练。密钥归口说明终端密钥统一收口密钥管理系统、根密钥硬件保护、密钥生命周期管理。六条验证的实测记录与等保密评条款映射表。方案参考落地医院 PACS 工作站与医生办公终端防勒索建议按下面顺序推进先盘两张表终端资产清单类型—系统—业务软件—存储位置与业务软件白名单基线经真实阅片验证的授信进程这是白名单不误伤业务的前提。进程白名单走认好的思路默认拒绝未知进程只授权阅片软件与相关服务读影像目录明文清单外进程读到的都是密文不依赖病毒特征库对未知勒索样本天然免疫。透明加密走驱动层、国密 SM4、损耗低于 3%把加密域限定在影像缓存与存储目录不引入网络往返守住阅片性能这条红线并开启防二次加密区分读写兜底。PACS 工作站重读轻发策略重心在白名单 影像透明加密 防二次加密外发收很紧医生终端重发也要读白名单保底 外发留痕 透明加密兜底外发可追可责。U 盘默认加密写入 序列号绑定责任人 全量留痕盘丢打不开网盘同步目录纳入加密域并配跨域另存拦截网页上传靠进程授信与频次告警。留痕四件套五要素字段、国密 SM3 文件指纹、明文外发水印、只追加加链式摘要的集中日志并提前做好按文件、按人、按目的地三个反查入口。保临床连续性急救软件进白名单基线、断网不影响本地管控、关键岗位配 USBKey 单机应急、密文备份可恢复且恢复不泄露明文。账号按角色收敛配合最小可见避免科室共用账号与权限过宽带来的横向影响。密钥统一归口密钥管理系统根密钥硬件保护满足密评对密钥集中管理的要求也便于终端丢失后吊销与权限回收。上线先灰度基线白名单 → 透明加密 → 外发策略每步观察真实业务周期并做阅片性能对照再全院推广证据按十类归档迎等保与密评。以安当RDM为例其以进程白名单、透明加密与全量审计构成三重主动防护不依赖病毒特征库、覆盖勒索四阶段、可防 LockBit 主流变种在 PACS 工作站上以驱动层透明加密与进程双控做到阅片无感、防二次加密兜底在医生终端上以 U 盘加密写入与网盘加密域实现外发留痕并可对接密钥管理系统实现密钥全生命周期治理支撑医院等保与密评的终端安全与连续性要求。 安当RDM：医院PACS工作站与医生办公终端防勒索——进程白名单如何不拖慢阅片性能，终端外发U盘网盘留痕
引言医院被勒索停的不是一个系统是一条临床链路医院和一般企业不一样企业系统宕机损失的是效率与营收医院系统宕机停的是看诊、是检查、是手术排期。而勒索软件最爱的恰恰是医院——数据高度集中、系统多年不升级、终端数量庞大、且几乎没有停机窗口。近年国内外医院被勒索导致急诊停摆、影像无法调阅、手术推迟的案例屡见不鲜监管与卫健系统对医院网络安全的要求也逐年加码。医院里最该保护、也最怕被勒索的是两个终端场景。一是影像 PACS 工作站放射科、影像科医生调阅 CT、MRI、DR 的影像工作站要能快速加载动辄数百兆甚至上吉字节的序列图像对性能极其敏感——任何卡一下都会拖慢整个阅片与报告流程。二是医生办公终端门诊、病房医生的电脑既要连 HIS、电子病历写报告又要插 U 盘拷影像、用网盘或协作平台传资料外发行为频繁且难以管控。这两个场景的安全诉求看似不同实则可以同一套终端主动防护体系覆盖用进程白名单把谁能读影像明文卡死从根上让勒索软件加密不动用透明加密给影像与病历文件兜底用全量审计把每一次外发留痕满足事后追溯与等保取证。难点只有一个——医院终端不能因为上了安全而变慢尤其是 PACS 阅片性能是这条链路能不能落地的生死线。本文要讲清楚的是进程白名单防勒索在医院终端怎么落地才不拖慢阅片PACS 工作站与医生办公终端的策略差异怎么划以及医生终端的 U 盘、网盘外发怎么留痕、怎么可追责。背景医院终端的安全缺口藏在日常动作里谈防护之前先把医院终端的风险点列清楚。这些缺口大多不在黑客攻击里而在日常业务动作里。缺口一PACS 工作站的信任过载。影像工作站上跑的除了 PACS 阅片软件还常夹杂浏览器、办公套件、甚至医生自己装的插件与工具。工作站一旦被钓鱼或借 U 盘带入恶意程序勒索进程就能以当前用户身份启动读得到影像文件就加密得动。而传统杀毒依赖特征库对新变种与免杀样本常常慢半拍。缺口二医生终端的外发随意。医生要把影像拷给病人、要把报告发去协作医院、要把资料同步进网盘U 盘插拔、网盘同步、邮件附件、即时通讯传文件是常态。这些动作全是系统正常功能传统安全设备几乎不告警却正是数据外泄与勒索渗出的主通道。缺口三老旧系统的补丁空窗。医院大量设备带机多年、操作系统老旧、不能随便打补丁一打补丁影像软件就崩漏洞长期暴露。靠打补丁 杀毒永远补不完必须有一层不依赖补丁、不依赖特征库的防御。缺口四账号与权限粗放。很多医院终端是科室共用账号、或医生账号权限过宽谁登录都能读全部影像。一旦某个账号被盗影响面是整个科室的数据而不是一个人。把四个缺口合起来医院终端防护的目标就很明确让勒索进程在终端上启动即被拦进程白名单、让影像文件落盘即密文透明加密、让每一次外发可追溯全量审计、且全程不拖慢阅片。这正是主动防护体系相对杀毒 备份的增量价值。技术拆解一进程白名单为什么能防勒索且不依赖特征库进程白名单是防勒索的第一道、也是最硬的一道闸。它的底层逻辑和传统杀毒完全不同。传统杀毒的思路是认坏的。靠病毒特征库识别已知勒索样本新变种、免杀、改名的样本就认不出。医院终端补丁空窗大、样本更新慢这道闸经常漏。进程白名单的思路是认好的。默认拒绝一切未被明确授信的程序运行或读取受保护文件只有预先登记在白名单里的进程PACS 阅片软件、电子病历客户端、操作系统与驱动自身才被允许。勒索软件无论怎么改名、怎么免杀、用什么新框架都不在白名单里启动即被拦、读受保护目录只能读到密文。这是一种不依赖特征库的防御——它对未知样本天然免疫正好补上医院补丁空窗的短板。四阶段覆盖。勒索攻击通常走入侵 → 加密 → 提权 → 清理四阶段。进程白名单在最早阶段就拦入侵后放下的载荷、用于加密的工具、用于提权的程序全都不在白名单无法运行、无法读明文后续加密与清理无从发生。把防线前移到进程能不能跑比等它开始加密再救要稳得多。与透明加密的配合。即便有进程漏过白名单、开始改写文件透明加密层兜底受保护目录落盘即密文勒索进程读到的本就是密文、写回去的也是密文等于加密了个寂寞。更关键的是防二次加密——区分读写授信进程PACS、备份代理能写明文、勒索进程只能写密文勒索软件即便运行也改不动明文内容。两层叠加勒索在医院的命中率被压到极低。以安当RDM为例它以进程白名单、透明加密与全量审计构成三重主动防护不依赖病毒特征库覆盖入侵到清理四阶段并可防 LockBit 2.0/3.0/5.0 这类主流勒索即服务对接密钥管理系统实现密钥集中治理支撑等保与密评。技术拆解二PACS 工作站怎么上白名单而不拖慢阅片这是全篇最关键的工程问题。PACS 阅片对性能敏感任何方案如果让影像加载变慢临床一定否决。进程白名单要做到安全无感得在三个地方下功夫。功夫一白名单只管读写受保护目录不管能不能运行。一个常见误解是白名单 禁止所有未知程序运行这会把医生要用的浏览器、插件、临时工具全卡死体验灾难。正确做法是分层系统进程与驱动层白名单保证系统能启动对影像目录PACS 缓存、影像存储的读明文权限只授权给 PACS 阅片软件与相关服务进程。其他程序能运行但读影像目录只能读到密文。这样白名单的管控面收窄到谁读影像明文不影响医生开别的软件也不增加阅片路径的开销。功夫二透明加密走驱动层、低损耗。影像落盘即加密、读出即解密这一层在文件系统驱动实现吞吐可达 45 Gb/s、损耗低于 3%。对 PACS 加载数百兆序列图像而言3% 以内的开销在临床感知阈值以下阅片不卡。关键是加密不放任到应用层、不逐个文件类型处理驱动层一视同仁工程格式DICOM 及各类私有格式不再成为性能瓶颈。功夫三白名单与缓存策略协同。阅片慢常源于首次加载要从存储拉大量数据。白名单与透明加密都在本地完成不引入网络往返不像某些云查杀每次读文件都联网校验。本地缓存的影像解密在内存与磁盘间完成不增加网络延迟。只要把 PACS 缓存目录纳入加密域、把阅片进程加入白名单医生打开历史影像的体验与未加密时一致。功夫四灰度与基线先行。上线不一次性全开。先把 PACS 工作站的操作系统与阅片软件进程登记为基线白名单观察一周真实阅片行为补齐被漏掉的合法进程如某些厂商的影像后处理插件、报告插件确认无业务阻断后再开启清单外进程读影像目录只出密文的强策略。灰度期是性能无感与业务不阻断的双重保险。功夫五性能实测的硬指标。上线前后必须做对照同一序列影像的加载耗时、同一工作站的 CPU/IO 占用、同一医生的阅片吞吐量。若强策略开启后加载耗时上升超过可接受阈值建议单序列不超过数十毫秒级差异、整体主观无感就要回查白名单是否过宽触发了额外校验、或加密域是否误包含了非影像临时目录。性能这条红线靠实测守不靠承诺守。技术拆解三医生办公终端与 PACS 工作站的策略差异医生办公终端和 PACS 工作站虽然同属医院终端但业务形态不同白名单与外发策略要分开设计不能套同一套。PACS 工作站重读、轻发。工作站的核心动作是调阅与写报告外发需求低影像一般不从工作站直接外发。因此策略重心放在进程白名单 影像目录透明加密 防二次加密外发可以收得很紧默认禁止 U 盘写入影像、禁止网盘同步影像目录。它的验收标准是阅片不卡、勒索拦得住。医生办公终端重发、也要读。医生终端既要连 HIS/电子病历写报告又要频繁外发给病人拷影像、发协作医院、同步网盘。策略重心是白名单保底 外发留痕 透明加密兜底。它的验收标准是外发可追溯、明文外发受控、又能不耽误医生正常传资料。账号维度的差异。PACS 工作站建议走专机专用、固定账号白名单与账号绑定简单医生终端常是科室共用或移动登录账号权限要按角色收敛门诊医生、住院医生、主任看到的病历范围不同白名单之外还要配合按角色最小可见避免一个账号可读全部病历。性能容忍度的差异。PACS 工作站对性能零容忍医生终端写报告对瞬时性能不敏感外发管控的提示与审批窗口可以稍宽。两类终端的策略粒度要据此调整不能一刀切。技术拆解四终端外发留痕——U盘与网盘怎么管、怎么查得到医生终端的外发是数据泄露与勒索渗出的重合区。这里要做的不是禁而是分得清、批得快、查得到。U 盘管控的四层。移动存储是唯一能在设备层强控的通道。第一层全禁适合明确不需要 U 盘的岗位如某些只写报告的终端第二层只读允许拷入外部资料但不允许写出第三层加密写入允许拷出但落盘即密文、仅受控终端可打开这是医生给病人拷影像最实用的形态——盘丢了打不开第四层留痕每次插拔与读写都记设备序列号、责任人、文件清单与指纹。医院建议医生终端默认加密写入 序列号绑定责任人 全量留痕既方便传资料又防泄露。网盘与同步目录。医生常把资料同步进网盘或协作平台。正确打法不是禁客户端而是把同步目录纳入加密域写进去即密文同步出去的自然也是密文云端拿到不可解析内容同时配置跨域另存拦截——从加密域另存到桌面再拖进同步目录副本仍保持密文。网页上传路径靠进程授信授信的浏览器读到的是明文但要对大批量读取做频次告警未授信进程读加密域只出密文。留痕的五要素。一次外发记录至少包含主体账号、终端、资产编号、客体文件路径、大小、类型、文件指纹、行为读/写/上传、结果、通道与目的地设备序列号、网盘账号、收件地址、时间与策略依据命中规则、审批单号。没有目的地记录的外发日志事后只能回答有人发了答不了发给谁。五要素齐了才能反查某份影像被谁、什么时间、通过什么通道、发去了哪里。文件指纹与水印。对每次外发的文件计算国密 SM3 摘要并记录用途是反查当某份影像事后出现在不该出现的地方算出它的摘要就能精确反查到源头终端与账号。审批通过的明文外发叠加水印可见承载责任人、时间、审批单号隐式承载终端与账号让二次传播可追责。日志防篡改。日志存在终端本地就可能被清。必须做到本地只追加、每条带链式摘要、实时上报独立日志服务三件事日志才能作为证据提交等保与密评。这一条对医院尤其重要——发生安全事件后能不能拿出干净的日志直接决定责任认定与监管定性。技术拆解五接诊连续性——防勒索如何不误伤急救流程医院场景有个特殊约束安全方案不能影响急救与接诊连续性。这要在策略设计时就考虑。约束一白名单不能卡住急救软件。急诊、监护、影像相关的业务软件必须在基线白名单且上线前在真实急救流程里跑过确认不阻断。任何上线后可能卡的进程都要在灰度期补进白名单不能等出事再临时加。约束二离线应急。医院网络偶发中断时终端应能继续工作。透明加密与进程白名单在本地完成不依赖实时联网网络中断不影响阅片与外发管控的本地执行离线外发的审批可缓存、联网后补校验不因断网而放开管控。约束三单人单机应急。对关键岗位如值班医生、夜班放射科可提供单机版应急能力以 USBKey 作为第二因子与解密身份断网、无中心服务时仍能在本机正常打开影像与写报告避免中心服务一挂全员停工。这与个人单机版的思路一致把可用性作为安全的一部分而不是对立面。约束四备份与治疗连续性。影像与病历的备份必须可恢复参考前篇密文备份恢复思路且备份集本身受透明加密与进程白名单保护防勒索二次加密。医院演练要包含PACS 宕机后从密文备份恢复、且在恢复过程中不泄露明文这一条确保治疗连续性有兜底。技术拆解六与密钥管理系统对接以及等保密评落点医院终端防护不是孤立的要纳入全院密码体系。密钥归口。终端透明加密的文件密钥、进程白名单相关的密钥材料统一收口到密钥管理系统KSP根密钥由硬件密码机保护做密钥生成到销毁的全生命周期管理。满足密评对密钥集中管理的要求也让某终端丢失后吊销其密钥、某角色权限回收有统一管控面。等保落点。进程白名单对应入侵防范与恶意代码防范透明加密对应数据保密性全量审计对应安全审计最小可见与账号收敛对应访问控制与身份鉴别。这些条款在等保2.0 里都有明确项终端防护的证据材料直接对应。密评落点。国密 SM4 算法使用、密钥由密钥管理系统集中管理、根密钥硬件保护、密码产品检测认证是密评的核心项。终端防护把这四项落到实处密评取证时有据可依。改造路径六步落地医院终端防勒索最忌全院一刀切强开。建议按六步推进优先保临床连续性。第一步终端与资产盘点。列出 PACS 工作站、医生办公终端的数量、操作系统、运行的业务软件、影像存储位置、外发习惯。产出《终端资产清单》与《业务软件白名单基线表》。这步不做白名单一定误伤业务。第二步先建 PACS 基线白名单。把影像工作站的操作系统与阅片软件、后处理插件、报告插件登记为白名单基线灰度观察一周补齐漏掉的合法进程。产出经过真实阅片验证的白名单。第三步开启影像目录透明加密。把 PACS 缓存与影像存储目录纳入加密域验证阅片性能损耗在 3% 内、主观无感。这一步是防二次加密的地基。第四步医生终端外发策略上线。配置 U 盘加密写入与留痕、网盘同步目录加密域与跨域拦截、网页上传进程授信与频次告警。上线前让真实外发场景跑一遍测合规外发要多久。第五步全量审计与日志防篡改。把五要素、文件指纹、水印、链式摘要、集中上报全部跑通验证日志不可篡改、可反查。第六步性能与连续性演练。做阅片性能对照、急救流程不阻断验证、密文备份恢复演练归档证据迎等保与密评。配置示例以下示例用于说明策略形态具体参数以实际环境为准。PACS 工作站进程白名单与透明加密终端策略侧类 YAML 描述# 影像 PACS 工作站防勒索策略pacsStation:crypto:algorithm:SM4# 国密 SM4layer:filesystem_driver# 驱动层透明加密阅片无感cipherOnWrite:truedomain:[D:/PACS/cache,E:/PACS/store]# 影像缓存与存储目录processWhitelist:# 只这些进程可读影像目录明文trusted:-PacsViewer.exe# 阅片软件-PacsReport.exe# 报告插件-ReconPlugin.exe# 后处理插件-system_driver# 操作系统与驱动denyReadPlain:# 清单外进程读影像目录只出密文default:cipher_onlyantiRansom:defaultAction:deny# 默认拒绝未知进程preventSecondEncrypt:true# 区分读写防二次加密trustedWrite:[PacsViewer.exe,backup_agent]perfGuard:cacheLocal:true# 本地缓存不引入网络往返expectOverheadPct:3# 性能损耗硬指标超阈值回查医生办公终端外发与留痕clinicTerminal:usb:mode:encrypt_on_write# U盘加密写入盘丢打不开bindOwner:true# 设备序列号绑定责任人defaultForUnknown:deny_with_auditcloudSync:syncDirs:-path:C:/Users/%USER%/SyncFoldercryptoDomain:dm-cliniccrossDomainWrite:from:[dm-pacs,dm-emr]to:non_crypto_pathaction:keep_cipher# 出域保持密文browser:trusted:false# 浏览器默认不授信读到密文fileDialogGuard:extensions:[.dcm,.pdf,.docx]action:require_approvalaudit:fields:[account,terminal_id,file_path,size,sm3,action,channel,dest,ts,rule,approval_id]integrity:appendOnly:true# 只追加chainHash:SM3# 链式摘要reportTo:central_log# 实时上报独立日志服务watermark:visible:[owner,ts,approval_id]invisible:[terminal_id,account]审计记录样例服务端集中留存{event_id:RDM-20260912-007721,timestamp:2026-09-12T09:41:0808:00,subject:{account:dr_li,terminal_id:WS-RAD-0042,asset_no:AST-2026-0042},object:{path:E:/PACS/store/CT-2026-5521.dcm,size:268435456,sm3:9c1e...摘要,sensitivity:medical},action:{type:write_usb,result:allowed,mode:encrypt_on_write},channel:{type:removable_storage,device_serial:BB00000000007788,owner:dr_li},policy:{rule:usb.encrypt_on_write,approval_id:null},log_integrity:{seq:7721,prev_hash:d30a...,self_hash:1b9f...}}验证确认 PACS 防勒索与外发留痕生效# 1. 阅片性能对照开启强策略前后加载同一 CT 序列耗时差异应在感知阈值内Measure-Command{Start-ProcessPacsViewer.exe-ArgumentListCT-2026-5521-Wait}# 预期开启前后耗时差异主观无感整体损耗低于 3%# 2. 进程白名单验证用清单外进程读影像目录只见密文$env:SystemRoot\System32\notepad.exeE:\PACS\store\CT-2026-5521.dcm# 预期乱码同一文件用 PacsViewer.exe 打开正常# 3. U盘加密写入验证拷出影像插入未装客户端机器应打不开Get-ContentF:\CT-2026-5521.dcm-TotalCount 1-Encoding Byte|Format-Hex# 预期密文特征非 DICOM 文件头# 4. 日志防篡改验证尝试删改本地审计记录应不可行服务端链式摘要可识别断链验证方法六条实测阅片性能对照。开启强策略前后加载同一序列耗时差异主观无感、整体损耗低于 3%。证明不影响阅片这条红线。进程白名单验证。清单外进程读影像目录只见密文授信阅片软件正常未知勒索样本启动即被拦。证明防勒索成立。防二次加密验证。模拟勒索进程改写受保护文件应只写密文、改不动明文授信备份代理可写密文。证明兜底有效。U 盘可控验证。医生终端拷出影像未装客户端机器打不开设备序列号绑定责任人丢失可追。证明外发可控。网盘出域验证。加密域文件另存桌面再同步副本仍密文网页上传未授信进程只出密文。证明渗出通道被兜。日志可追验证。给定文件摘要反查外发源头尝试篡改本地日志应不可行、服务端链式摘要识别断链。证明证据可用。风险与误区误区一白名单 禁止所有未知程序运行。这会把医生要用的浏览器、插件全卡死体验灾难。正确做法是只管读受保护目录明文的权限其他程序能跑但读影像只出密文。误区二把加密放应用层。工程格式多、体量大应用层加密卡阅片。驱动层透明加密才兼顾性能与覆盖。误区三上线一刀切强开。医院终端必灰度先基线白名单、再透明加密、再外发策略每步观察真实业务周期避免误伤急救流程。误区四外发只禁不管。禁 U 盘医生就绕用私人网盘、手机拍照。正确做法是默认加密 例外审批让合规路径比违规路径更省事。误区五日志当本地文件。终端被攻陷第一动作就是清日志。必须只追加、链式摘要、实时上报三件缺一件证据就废。误区六忽略账号收敛。科室共用账号、医生权限过宽一个账号被盗影响全科室。白名单之外要配合按角色最小可见。误区七只防勒索不保连续性。应急软件不在白名单、断网就停工等于用安全制造新风险。急救软件必须进基线离线应急要可用。证据材料清单等保与密评取证用终端资产清单终端类型、数量、操作系统、业务软件、影像存储位置、外发习惯。业务软件白名单基线经真实阅片验证的授信进程清单、制定依据、版本与变更审批。透明加密存证影像目录密文抽样、算法说明国密 SM4、驱动层透明加密与性能损耗实测低于 3%。进程白名单配置与验证授信进程、清单外进程只见密文、未知样本启动即拦的测试记录。防二次加密说明读写区分规则、授信写与勒索写密文的处理、备份代理授信配置。外发管控记录U 盘加密写入与序列号绑定、网盘加密域与跨域拦截、网页上传授信与频次告警、明文外发审批与绑定。审计与留痕材料五要素字段、国密 SM3 文件指纹、水印样例、只追加加链式摘要的集中日志、三个反查入口。连续性保障材料急救软件进基线说明、离线应急USBKey 单机版配置、密文备份恢复演练。密钥归口说明终端密钥统一收口密钥管理系统、根密钥硬件保护、密钥生命周期管理。六条验证的实测记录与等保密评条款映射表。方案参考落地医院 PACS 工作站与医生办公终端防勒索建议按下面顺序推进先盘两张表终端资产清单类型—系统—业务软件—存储位置与业务软件白名单基线经真实阅片验证的授信进程这是白名单不误伤业务的前提。进程白名单走认好的思路默认拒绝未知进程只授权阅片软件与相关服务读影像目录明文清单外进程读到的都是密文不依赖病毒特征库对未知勒索样本天然免疫。透明加密走驱动层、国密 SM4、损耗低于 3%把加密域限定在影像缓存与存储目录不引入网络往返守住阅片性能这条红线并开启防二次加密区分读写兜底。PACS 工作站重读轻发策略重心在白名单 影像透明加密 防二次加密外发收很紧医生终端重发也要读白名单保底 外发留痕 透明加密兜底外发可追可责。U 盘默认加密写入 序列号绑定责任人 全量留痕盘丢打不开网盘同步目录纳入加密域并配跨域另存拦截网页上传靠进程授信与频次告警。留痕四件套五要素字段、国密 SM3 文件指纹、明文外发水印、只追加加链式摘要的集中日志并提前做好按文件、按人、按目的地三个反查入口。保临床连续性急救软件进白名单基线、断网不影响本地管控、关键岗位配 USBKey 单机应急、密文备份可恢复且恢复不泄露明文。账号按角色收敛配合最小可见避免科室共用账号与权限过宽带来的横向影响。密钥统一归口密钥管理系统根密钥硬件保护满足密评对密钥集中管理的要求也便于终端丢失后吊销与权限回收。上线先灰度基线白名单 → 透明加密 → 外发策略每步观察真实业务周期并做阅片性能对照再全院推广证据按十类归档迎等保与密评。以安当RDM为例其以进程白名单、透明加密与全量审计构成三重主动防护不依赖病毒特征库、覆盖勒索四阶段、可防 LockBit 主流变种在 PACS 工作站上以驱动层透明加密与进程双控做到阅片无感、防二次加密兜底在医生终端上以 U 盘加密写入与网盘加密域实现外发留痕并可对接密钥管理系统实现密钥全生命周期治理支撑医院等保与密评的终端安全与连续性要求。