文章总结： 本文描述某医院HIS系统因端口漏洞遭受DDoS攻击瘫痪后的应急响应案例。通过启动备用数据库、实施手工流程及封堵攻击源，系统在40分钟内恢复。复盘发现未及时关闭临时端口是根本原因，强调了隐患整改与常态化演练的重要性，文末附带CISAW认证介绍。
综合评分： 70
文章分类： 应急响应,实战经验,安全建设,安全培训
攻防演练中的“惊魂时刻”—被打穿后的应急启示（中篇）
网安培训
2026年2月13日 17:01
北京
被打穿后的应急启示（中篇）
周五下午3点，市第一人民医院的门诊收费处突然响起一片抱怨声。“电脑怎么卡住了？”“我的缴费单打不出来，住院手续没法办啊！”收费员小王反复重启系统，屏幕上却始终显示“数据库连接失败”——医院的核心HIS系统（医院信息系统）突然瘫痪了。
此时，住院部的护士站也传来紧急情况：一名心梗患者刚被送进急诊，需要立即调取既往病史和过敏史，但HIS系统无法登录，医生只能靠家属口述获取信息，风险陡增。信息科的赵主任接到通知时，正在参加网络安全应急培训，他立刻让培训讲师暂停课程，自己则通过手机登录应急指挥平台，下达第一道指令：“立即启动HIS系统一级应急响应，按预案执行‘三同步’操作——同步启动备用数据库，同步组织技术团队溯源，同步通知临床科室切换手工操作流程。”
医院的HIS系统应急预案是去年联合卫健部门和安全厂商共同制定的，针对的就是“系统瘫痪”这类极端情况。预案中明确，备用数据库每15分钟进行一次数据同步，确保数据丢失量控制在最小范围。技术组的工程师小张迅速插入备用数据库的密钥U盘——这个U盘平时存放在双锁保险柜中，由两名专人保管，就是为了防止应急时出现密钥丢失的问题。10分钟后，备用数据库成功启动，急诊、重症监护室等核心科室率先恢复了系统访问权限。
与此同时，溯源工作也在紧张进行。工程师小李通过流量分析工具发现，HIS系统的数据库服务器遭受了大量恶意访问请求，初步判断是分布式拒绝服务（DDoS）攻击。但奇怪的是，医院的防火墙明明开启了DDoS防护功能，为何没能阻断攻击？进一步排查发现，攻击者利用了防火墙的“端口映射”漏洞——为了方便外部专家远程维护设备，技术人员曾临时开放了一个管理端口，事后却忘记关闭，给了攻击者可乘之机。
“立即关闭违规开放的端口，启动防火墙的应急防护模式，将攻击流量引导至黑洞服务器！”赵主任的指令精准落地。应急防护模式是预案中专门针对大流量攻击的“特殊手段”，虽然会暂时屏蔽部分非核心外部访问，但能优先保障HIS、LIS（检验信息系统）等核心系统的运行。与此同时，临床协调组的刘护士长正在各科室巡查，确保医护人员严格按照预案中的“手工操作规范”执行——门诊收费用纸质单据登记，药房凭医生手写处方发药，护士站用专用应急本记录患者生命体征，这些流程都在平时的应急演练中反复实操过，此刻显得井然有序。
40分钟后，HIS系统完全恢复正常，所有数据通过备用数据库同步完成，未出现任何丢失或错误。那位心梗患者也顺利完成了术前准备，进入了手术室。复盘时，赵主任拿着应急演练的签到表说：“上个月我们刚做过HIS系统瘫痪的模拟演练，当时有3个科室的医生忘记了手工处方的填写规范，我们立刻调整了预案，增加了‘科室应急联络员’制度——每个科室指定一名专人负责应急流程的传达和执行，这才在这次演练中确保了信息传递无死角。”
更让大家警醒的是，那个被遗忘关闭的管理端口，早在月度安全巡检中就被发现并记录在《安全隐患整改清单》里，但因人手紧张，一直没来得及处理。赵主任当即提出：“应急预案不仅要管‘事发后’，更要管‘事发前’——我们要建立‘隐患整改台账’，明确整改责任人、整改时限，每周通报整改进度，把应急管理的关口前移，从源头减少安全事件的发生。”
*本文中涉及的单位名称、人物姓名均为艺术创作，所有安全事件及处置逻辑均源自行业真实攻防场景，旨在传递网络安全应急管理核心要点，无任何指向性。
——CISAW应急服务方向介绍——
信息安全保障人员认证（CISAW）应急服务方向是中国网络安全审查认证和市场监管大数据中心针对网络与信息安全应急管理与服务方向的中高级专业技术人员和管理人员开展的人员能力认证。通过应急服务方向认证，证明持证人员符合《信息安全保障人员认证准则》要求，具备《网络安全从业人员能力基本要求》（GB/T 42446）中规定的开展网络安全应急管理工作任务所需的知识和技能。
CISAW应急服务方向综合考查认证申请人员在网络与信息安全应急服务领域对应急响应相关法律法规、应急响应体系建立、网络层应急技术与实践、主机层应急技术与实践、应急技术综合演练等知识的掌握程度，以及运用应急服务方法解决实际问题的技术水平。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：网安培训 《攻防演练中的“惊魂时刻”—被打穿后的应急启示（中篇）》