引言：医院被勒索，停的不是一个系统，是一条临床链路
医院和一般企业不一样：企业系统宕机，损失的是效率与营收；医院系统宕机，停的是看诊、是检查、是手术排期。而勒索软件最爱的，恰恰是医院——数据高度集中、系统多年不升级、终端数量庞大、且几乎没有"停机窗口"。近年国内外医院被勒索导致急诊停摆、影像无法调阅、手术推迟的案例屡见不鲜，监管与卫健系统对医院网络安全的要求也逐年加码。
医院里最该保护、也最怕被勒索的，是两个终端场景。一是影像 PACS 工作站：放射科、影像科医生调阅 CT、MRI、DR 的影像，工作站要能快速加载动辄数百兆甚至上吉字节的序列图像，对性能极其敏感——任何"卡一下"都会拖慢整个阅片与报告流程。二是医生办公终端：门诊、病房医生的电脑，既要连 HIS、电子病历写报告，又要插 U 盘拷影像、用网盘或协作平台传资料，外发行为频繁且难以管控。
这两个场景的安全诉求看似不同，实则可以同一套终端主动防护体系覆盖：用进程白名单把"谁能读影像明文"卡死，从根上让勒索软件加密不动；用透明加密给影像与病历文件兜底；用全量审计把每一次外发留痕，满足事后追溯与等保取证。难点只有一个——医院终端不能因为上了安全而变慢，尤其是 PACS 阅片性能，是这条链路能不能落地的生死线。
本文要讲清楚的是：进程白名单防勒索在医院终端怎么落地才不拖慢阅片；PACS 工作站与医生办公终端的策略差异怎么划；以及医生终端的 U 盘、网盘外发怎么留痕、怎么可追责。
背景：医院终端的安全缺口，藏在日常动作里
谈防护之前，先把医院终端的风险点列清楚。这些缺口大多不在"黑客攻击"里，而在日常业务动作里。
缺口一，PACS 工作站的"信任过载"。影像工作站上跑的除了 PACS 阅片软件，还常夹杂浏览器、办公套件、甚至医生自己装的插件与工具。工作站一旦被钓鱼或借 U 盘带入恶意程序，勒索进程就能以当前用户身份启动，读得到影像文件就加密得动。而传统杀毒依赖特征库，对新变种与免杀样本常常慢半拍。
缺口二，医生终端的外发随意。医生要把影像拷给病人、要把报告发去协作医院、要把资料同步进网盘，U 盘插拔、网盘同步、邮件附件、即时通讯传文件是常态。这些动作全是系统正常功能，传统安全设备几乎不告警，却正是数据外泄与勒索渗出的主通道。
缺口三，老旧系统的补丁空窗。医院大量设备带机多年、操作系统老旧、不能随便打补丁（一打补丁影像软件就崩），漏洞长期暴露。靠"打补丁 + 杀毒"永远补不完，必须有一层不依赖补丁、不依赖特征库的防御。
缺口四，账号与权限粗放。很多医院终端是科室共用账号、或医生账号权限过宽，谁登录都能读全部影像。一旦某个账号被盗，影响面是整个科室的数据，而不是一个人。
把四个缺口合起来，医院终端防护的目标就很明确：让勒索进程在终端上启动即被拦（进程白名单）、让影像文件落盘即密文（透明加密）、让每一次外发可追溯（全量审计）、且全程不拖慢阅片。这正是主动防护体系相对"杀毒 + 备份"的增量价值。
技术拆解一：进程白名单为什么能防勒索，且不依赖特征库
进程白名单是防勒索的第一道、也是最硬的一道闸。它的底层逻辑和传统杀毒完全不同。
传统杀毒的思路是"认坏的"。靠病毒特征库识别已知勒索样本，新变种、免杀、改名的样本就认不出。医院终端补丁空窗大、样本更新慢，这道闸经常漏。
进程白名单的思路是"认好的"。默认拒绝一切未被明确授信的程序运行或读取受保护文件，只有预先登记在白名单里的进程（PACS 阅片软件、电子病历客户端、操作系统与驱动自身）才被允许。勒索软件无论怎么改名、怎么免杀、用什么新框架，都不在白名单里，启动即被拦、读受保护目录只能读到密文。这是一种"不依赖特征库"的防御——它对未知样本天然免疫，正好补上医院补丁空窗的短板。
四阶段覆盖。勒索攻击通常走"入侵 → 加密 → 提权 → 清理"四阶段。进程白名单在最早阶段就拦：入侵后放下的载荷、用于加密的工具、用于提权的程序，全都不在白名单，无法运行、无法读明文，后续加密与清理无从发生。把防线前移到"进程能不能跑"，比等它开始加密再救要稳得多。
与透明加密的配合。即便有进程漏过白名单、开始改写文件，透明加密层兜底：受保护目录落盘即密文，勒索进程读到的本就是密文、写回去的也是密文，等于"加密了个寂寞"。更关键的是"防二次加密"——区分读写：授信进程（PACS、备份代理）能写明文、勒索进程只能写密文，勒索软件即便运行也改不动明文内容。两层叠加，勒索在医院的命中率被压到极低。
以安当RDM为例，它以进程白名单、透明加密与全量审计构成三重主动防护，不依赖病毒特征库，覆盖入侵到清理四阶段，并可防 LockBit 2.0/3.0/5.0 这类主流勒索即服务，对接密钥管理系统实现密钥集中治理，支撑等保与密评。
技术拆解二：PACS 工作站怎么上白名单而不拖慢阅片
这是全篇最关键的工程问题。PACS 阅片对性能敏感，任何方案如果让影像加载变慢，临床一定否决。进程白名单要做到"安全无感"，得在三个地方下功夫。
功夫一，白名单只管"读写受保护目录"，不管"能不能运行"。一个常见误解是"白名单 = 禁止所有未知程序运行"，这会把医生要用的浏览器、插件、临时工具全卡死，体验灾难。正确做法是分层：系统进程与驱动层白名单保证系统能启动；对影像目录（PACS 缓存、影像存储）的"读明文"权限，只授权给 PACS 阅片软件与相关服务进程。其他程序能运行，但读影像目录只能读到密文。这样白名单的管控面收窄到"谁读影像明文"，不影响医生开别的软件，也不增加阅片路径的开销。
功夫二，透明加密走驱动层、低损耗。影像落盘即加密、读出即解密，这一层在文件系统驱动实现，吞吐可达 45 Gb/s、损耗低于 3%。对 PACS 加载数百兆序列图像而言，3% 以内的开销在临床感知阈值以下，阅片不卡。关键是加密不放任到应用层、不逐个文件类型处理，驱动层一视同仁，工程格式（DICOM 及各类私有格式）不再成为性能瓶颈。
功夫三，白名单与缓存策略协同。阅片慢常源于"首次加载要从存储拉大量数据"。白名单与透明加密都在本地完成，不引入网络往返（不像某些云查杀每次读文件都联网校验）。本地缓存的影像解密在内存与磁盘间完成，不增加网络延迟。只要把 PACS 缓存目录纳入加密域、把阅片进程加入白名单，医生打开历史影像的体验与未加密时一致。
功夫四，灰度与基线先行。上线不一次性全开。先把 PACS 工作站的操作系统与阅片软件进程登记为基线白名单，观察一周真实阅片行为，补齐被漏掉的合法进程（如某些厂商的影像后处理插件、报告插件），确认无业务阻断后再开启"清单外进程读影像目录只出密文"的强策略。灰度期是"性能无感"与"业务不阻断"的双重保险。
功夫五，性能实测的硬指标。上线前后必须做对照：同一序列影像的加载耗时、同一工作站的 CPU/IO 占用、同一医生的阅片吞吐量。若强策略开启后加载耗时上升超过可接受阈值（建议单序列不超过数十毫秒级差异、整体主观无感），就要回查白名单是否过宽触发了额外校验、或加密域是否误包含了非影像临时目录。性能这条红线，靠实测守，不靠承诺守。
技术拆解三：医生办公终端与 PACS 工作站的策略差异
医生办公终端和 PACS 工作站虽然同属医院终端，但业务形态不同，白名单与外发策略要分开设计，不能套同一套。
PACS 工作站：重"读"、轻"发"。工作站的核心动作是调阅与写报告，外发需求低（影像一般不从工作站直接外发）。因此策略重心放在"进程白名单 + 影像目录透明加密 + 防二次加密"，外发可以收得很紧（默认禁止 U 盘写入影像、禁止网盘同步影像目录）。它的验收标准是"阅片不卡、勒索拦得住"。
医生办公终端：重"发"、也要"读"。医生终端既要连 HIS/电子病历写报告，又要频繁外发（给病人拷影像、发协作医院、同步网盘）。策略重心是"白名单保底 + 外发留痕 + 透明加密兜底"。它的验收标准是"外发可追溯、明文外发受控、又能不耽误医生正常传资料"。
账号维度的差异。PACS 工作站建议走专机专用、固定账号，白名单与账号绑定简单；医生终端常是科室共用或移动登录，账号权限要按角色收敛（门诊医生、住院医生、主任看到的病历范围不同），白名单之外还要配合"按角色最小可见"，避免一个账号可读全部病历。
性能容忍度的差异。PACS 工作站对性能零容忍；医生终端写报告对瞬时性能不敏感，外发管控的提示与审批窗口可以稍宽。两类终端的策略粒度要据此调整，不能一刀切。
技术拆解四：终端外发留痕——U盘与网盘怎么管、怎么查得到
医生终端的外发是数据泄露与勒索渗出的重合区。这里要做的不是"禁"，而是"分得清、批得快、查得到"。
U 盘管控的四层。移动存储是唯一能在设备层强控的通道。第一层全禁，适合明确不需要 U 盘的岗位（如某些只写报告的终端）；第二层只读，允许拷入外部资料但不允许写出；第三层加密写入，允许拷出但落盘即密文、仅受控终端可打开，这是医生给病人拷影像最实用的形态——盘丢了打不开；第四层留痕，每次插拔与读写都记设备序列号、责任人、文件清单与指纹。医院建议医生终端默认"加密写入 + 序列号绑定责任人 + 全量留痕"，既方便传资料又防泄露。
网盘与同步目录。医生常把资料同步进网盘或协作平台。正确打法不是禁客户端，而是把同步目录纳入加密域：写进去即密文，同步出去的自然也是密文，云端拿到不可解析内容；同时配置"跨域另存拦截"——从加密域另存到桌面再拖进同步目录，副本仍保持密文。网页上传路径靠进程授信：授信的浏览器读到的是明文，但要对大批量读取做频次告警；未授信进程读加密域只出密文。
留痕的五要素。一次外发记录至少包含：主体（账号、终端、资产编号）、客体（文件路径、大小、类型、文件指纹）、行为（读/写/上传、结果）、通道与目的地（设备序列号、网盘账号、收件地址）、时间与策略依据（命中规则、审批单号）。没有目的地记录的外发日志，事后只能回答"有人发了"，答不了"发给谁"。五要素齐了，才能反查"某份影像被谁、什么时间、通过什么通道、发去了哪里"。
文件指纹与水印。对每次外发的文件计算国密 SM3 摘要并记录，用途是反查：当某份影像事后出现在不该出现的地方，算出它的摘要就能精确反查到源头终端与账号。审批通过的明文外发叠加水印（可见承载责任人、时间、审批单号；隐式承载终端与账号），让二次传播可追责。
日志防篡改。日志存在终端本地就可能被清。必须做到本地只追加、每条带链式摘要、实时上报独立日志服务三件事，日志才能作为证据提交等保与密评。这一条对医院尤其重要——发生安全事件后，能不能拿出"干净的日志"直接决定责任认定与监管定性。
技术拆解五：接诊连续性——防勒索如何不误伤急救流程
医院场景有个特殊约束：安全方案不能影响急救与接诊连续性。这要在策略设计时就考虑。
约束一，白名单不能卡住急救软件。急诊、监护、影像相关的业务软件必须在基线白名单，且上线前在真实急救流程里跑过，确认不阻断。任何"上线后可能卡"的进程，都要在灰度期补进白名单，不能等出事再临时加。
约束二，离线应急。医院网络偶发中断时，终端应能继续工作。透明加密与进程白名单在本地完成，不依赖实时联网，网络中断不影响阅片与外发管控的本地执行；离线外发的审批可缓存、联网后补校验，不因断网而放开管控。
约束三，单人单机应急。对关键岗位（如值班医生、夜班放射科），可提供单机版应急能力：以 USBKey 作为第二因子与解密身份，断网、无中心服务时仍能在本机正常打开影像与写报告，避免"中心服务一挂全员停工"。这与个人单机版的思路一致，把可用性作为安全的一部分而不是对立面。
约束四，备份与治疗连续性。影像与病历的备份必须可恢复（参考前篇密文备份恢复思路），且备份集本身受透明加密与进程白名单保护，防勒索二次加密。医院演练要包含"PACS 宕机后从密文备份恢复、且在恢复过程中不泄露明文"这一条，确保治疗连续性有兜底。
技术拆解六：与密钥管理系统对接，以及等保密评落点
医院终端防护不是孤立的，要纳入全院密码体系。
密钥归口。终端透明加密的文件密钥、进程白名单相关的密钥材料，统一收口到密钥管理系统（KSP），根密钥由硬件密码机保护，做密钥生成到销毁的全生命周期管理。满足密评对密钥集中管理的要求，也让"某终端丢失后吊销其密钥、某角色权限回收"有统一管控面。
等保落点。进程白名单对应"入侵防范"与"恶意代码防范"；透明加密对应"数据保密性"；全量审计对应"安全审计"；最小可见与账号收敛对应"访问控制"与"身份鉴别"。这些条款在等保2.0 里都有明确项，终端防护的证据材料直接对应。
密评落点。国密 SM4 算法使用、密钥由密钥管理系统集中管理、根密钥硬件保护、密码产品检测认证，是密评的核心项。终端防护把这四项落到实处，密评取证时有据可依。
改造路径：六步落地
医院终端防勒索，最忌"全院一刀切强开"。建议按六步推进，优先保临床连续性。
第一步，终端与资产盘点。列出 PACS 工作站、医生办公终端的数量、操作系统、运行的业务软件、影像存储位置、外发习惯。产出《终端资产清单》与《业务软件白名单基线表》。这步不做，白名单一定误伤业务。
第二步，先建 PACS 基线白名单。把影像工作站的操作系统与阅片软件、后处理插件、报告插件登记为白名单基线，灰度观察一周，补齐漏掉的合法进程。产出经过真实阅片验证的白名单。
第三步，开启影像目录透明加密。把 PACS 缓存与影像存储目录纳入加密域，验证阅片性能损耗在 3% 内、主观无感。这一步是"防二次加密"的地基。
第四步，医生终端外发策略上线。配置 U 盘加密写入与留痕、网盘同步目录加密域与跨域拦截、网页上传进程授信与频次告警。上线前让真实外发场景跑一遍，测"合规外发要多久"。
第五步，全量审计与日志防篡改。把五要素、文件指纹、水印、链式摘要、集中上报全部跑通，验证日志不可篡改、可反查。
第六步，性能与连续性演练。做阅片性能对照、急救流程不阻断验证、密文备份恢复演练，归档证据迎等保与密评。
配置示例
以下示例用于说明策略形态，具体参数以实际环境为准。
PACS 工作站进程白名单与透明加密（终端策略侧，类 YAML 描述）：
# 影像 PACS 工作站防勒索策略pacsStation:crypto:algorithm:SM4# 国密 SM4layer:filesystem_driver# 驱动层透明加密，阅片无感cipherOnWrite:truedomain:["D:/PACS/cache","E:/PACS/store"]# 影像缓存与存储目录processWhitelist:# 只这些进程可读影像目录明文trusted:-"PacsViewer.exe"# 阅片软件-"PacsReport.exe"# 报告插件-"ReconPlugin.exe"# 后处理插件-"system_driver"# 操作系统与驱动denyReadPlain:# 清单外进程读影像目录只出密文default:cipher_onlyantiRansom:defaultAction:deny# 默认拒绝未知进程preventSecondEncrypt:true# 区分读写，防二次加密trustedWrite:["PacsViewer.exe","backup_agent"]perfGuard:cacheLocal:true# 本地缓存，不引入网络往返expectOverheadPct:3# 性能损耗硬指标，超阈值回查医生办公终端外发与留痕：
clinicTerminal:usb:mode:encrypt_on_write# U盘加密写入，盘丢打不开bindOwner:true# 设备序列号绑定责任人defaultForUnknown:deny_with_auditcloudSync:syncDirs:-path:"C:/Users/%USER%/SyncFolder"cryptoDomain:dm-cliniccrossDomainWrite:from:[dm-pacs,dm-emr]to:non_crypto_pathaction:keep_cipher# 出域保持密文browser:trusted:false# 浏览器默认不授信，读到密文fileDialogGuard:extensions:[".dcm",".pdf",".docx"]action:require_approvalaudit:fields:[account,terminal_id,file_path,size,sm3,action,channel,dest,ts,rule,approval_id]integrity:appendOnly:true# 只追加chainHash:SM3# 链式摘要reportTo:central_log# 实时上报独立日志服务watermark:visible:[owner,ts,approval_id]invisible:[terminal_id,account]审计记录样例（服务端集中留存）：
{"event_id":"RDM-20260912-007721","timestamp":"2026-09-12T09:41:08+08:00","subject":{"account":"dr_li","terminal_id":"WS-RAD-0042","asset_no":"AST-2026-0042"},"object":{"path":"E:/PACS/store/CT-2026-5521.dcm","size":268435456,"sm3":"9c1e...（摘要）","sensitivity":"medical"},"action":{"type":"write_usb","result":"allowed","mode":"encrypt_on_write"},"channel":{"type":"removable_storage","device_serial":"BB00000000007788","owner":"dr_li"},"policy":{"rule":"usb.encrypt_on_write","approval_id":null},"log_integrity":{"seq":7721,"prev_hash":"d30a...","self_hash":"1b9f..."}}验证：确认 PACS 防勒索与外发留痕生效：
# 1. 阅片性能对照：开启强策略前后加载同一 CT 序列，耗时差异应在感知阈值内Measure-Command{Start-ProcessPacsViewer.exe-ArgumentList"CT-2026-5521"-Wait}# 预期：开启前后耗时差异主观无感，整体损耗低于 3%# 2. 进程白名单验证：用清单外进程读影像目录，只见密文&"$env:SystemRoot\System32\notepad.exe"E:\PACS\store\CT-2026-5521.dcm# 预期：乱码；同一文件用 PacsViewer.exe 打开正常# 3. U盘加密写入验证：拷出影像插入未装客户端机器，应打不开Get-ContentF:\CT-2026-5521.dcm-TotalCount 1-Encoding Byte|Format-Hex# 预期：密文特征，非 DICOM 文件头# 4. 日志防篡改验证：尝试删改本地审计记录应不可行，服务端链式摘要可识别断链验证方法：六条实测
- 阅片性能对照。开启强策略前后加载同一序列，耗时差异主观无感、整体损耗低于 3%。证明"不影响阅片"这条红线。
- 进程白名单验证。清单外进程读影像目录只见密文，授信阅片软件正常；未知勒索样本启动即被拦。证明防勒索成立。
- 防二次加密验证。模拟勒索进程改写受保护文件，应只写密文、改不动明文；授信备份代理可写密文。证明兜底有效。
- U 盘可控验证。医生终端拷出影像，未装客户端机器打不开；设备序列号绑定责任人，丢失可追。证明外发可控。
- 网盘出域验证。加密域文件另存桌面再同步，副本仍密文；网页上传未授信进程只出密文。证明渗出通道被兜。
- 日志可追验证。给定文件摘要反查外发源头；尝试篡改本地日志应不可行、服务端链式摘要识别断链。证明证据可用。
风险与误区
误区一，白名单 = 禁止所有未知程序运行。这会把医生要用的浏览器、插件全卡死，体验灾难。正确做法是只管"读受保护目录明文"的权限，其他程序能跑但读影像只出密文。
误区二，把加密放应用层。工程格式多、体量大，应用层加密卡阅片。驱动层透明加密才兼顾性能与覆盖。
误区三，上线一刀切强开。医院终端必灰度：先基线白名单、再透明加密、再外发策略，每步观察真实业务周期，避免误伤急救流程。
误区四，外发只禁不管。禁 U 盘医生就绕用私人网盘、手机拍照。正确做法是默认加密 + 例外审批，让合规路径比违规路径更省事。
误区五，日志当本地文件。终端被攻陷第一动作就是清日志。必须只追加、链式摘要、实时上报，三件缺一件证据就废。
误区六，忽略账号收敛。科室共用账号、医生权限过宽，一个账号被盗影响全科室。白名单之外要配合按角色最小可见。
误区七，只防勒索不保连续性。应急软件不在白名单、断网就停工，等于用安全制造新风险。急救软件必须进基线，离线应急要可用。
证据材料清单（等保与密评取证用）
- 终端资产清单：终端类型、数量、操作系统、业务软件、影像存储位置、外发习惯。
- 业务软件白名单基线：经真实阅片验证的授信进程清单、制定依据、版本与变更审批。
- 透明加密存证：影像目录密文抽样、算法说明（国密 SM4）、驱动层透明加密与性能损耗实测（低于 3%）。
- 进程白名单配置与验证：授信进程、清单外进程只见密文、未知样本启动即拦的测试记录。
- 防二次加密说明：读写区分规则、授信写与勒索写密文的处理、备份代理授信配置。
- 外发管控记录：U 盘加密写入与序列号绑定、网盘加密域与跨域拦截、网页上传授信与频次告警、明文外发审批与绑定。
- 审计与留痕材料：五要素字段、国密 SM3 文件指纹、水印样例、只追加加链式摘要的集中日志、三个反查入口。
- 连续性保障材料：急救软件进基线说明、离线应急（USBKey 单机版）配置、密文备份恢复演练。
- 密钥归口说明：终端密钥统一收口密钥管理系统、根密钥硬件保护、密钥生命周期管理。
- 六条验证的实测记录与等保密评条款映射表。
方案参考
落地医院 PACS 工作站与医生办公终端防勒索，建议按下面顺序推进：
- 先盘两张表：终端资产清单（类型—系统—业务软件—存储位置）与业务软件白名单基线（经真实阅片验证的授信进程），这是白名单不误伤业务的前提。
- 进程白名单走"认好的"思路：默认拒绝未知进程，只授权阅片软件与相关服务读影像目录明文，清单外进程读到的都是密文，不依赖病毒特征库，对未知勒索样本天然免疫。
- 透明加密走驱动层、国密 SM4、损耗低于 3%，把加密域限定在影像缓存与存储目录，不引入网络往返，守住阅片性能这条红线；并开启防二次加密（区分读写）兜底。
- PACS 工作站重"读"轻"发"：策略重心在白名单 + 影像透明加密 + 防二次加密，外发收很紧；医生终端重"发"也要"读"：白名单保底 + 外发留痕 + 透明加密兜底，外发可追可责。
- U 盘默认"加密写入 + 序列号绑定责任人 + 全量留痕"，盘丢打不开；网盘同步目录纳入加密域并配跨域另存拦截；网页上传靠进程授信与频次告警。
- 留痕四件套：五要素字段、国密 SM3 文件指纹、明文外发水印、只追加加链式摘要的集中日志，并提前做好按文件、按人、按目的地三个反查入口。
- 保临床连续性：急救软件进白名单基线、断网不影响本地管控、关键岗位配 USBKey 单机应急、密文备份可恢复且恢复不泄露明文。
- 账号按角色收敛，配合最小可见，避免科室共用账号与权限过宽带来的横向影响。
- 密钥统一归口密钥管理系统，根密钥硬件保护，满足密评对密钥集中管理的要求，也便于终端丢失后吊销与权限回收。
- 上线先灰度：基线白名单 → 透明加密 → 外发策略，每步观察真实业务周期并做阅片性能对照，再全院推广；证据按十类归档迎等保与密评。
以安当RDM为例，其以进程白名单、透明加密与全量审计构成三重主动防护，不依赖病毒特征库、覆盖勒索四阶段、可防 LockBit 主流变种，在 PACS 工作站上以驱动层透明加密与进程双控做到阅片无感、防二次加密兜底，在医生终端上以 U 盘加密写入与网盘加密域实现外发留痕，并可对接密钥管理系统实现密钥全生命周期治理，支撑医院等保与密评的终端安全与连续性要求。
