當(dāng)Heartbleed OpenSSL漏洞在4月份被發(fā)現(xiàn)時(shí)，安全社區(qū)很多專(zhuān)家都警告說(shuō)，該漏洞可能被用來(lái)暴露敏感數(shù)據(jù)，盡管當(dāng)時(shí)還沒(méi)有證據(jù)證明攻擊者正在積極利用Heartbleed漏洞。而現(xiàn)在，一家信息安全咨詢(xún)公司警告稱(chēng)，在最近的Community Health Systems公司的數(shù)據(jù)泄漏事故中，Heartbleed漏洞可能被作為最初的攻擊向量。

[[118881]]

Community Health在美國(guó)29個(gè)州經(jīng)營(yíng)著超過(guò)200家醫(yī)院，該公司在本周提交給美國(guó)證券交易委員會(huì)的申報(bào)表8-K中稱(chēng)，攻擊者在4月和6月攻擊了其安全系統(tǒng)，泄露了450萬(wàn)病人受HIPAA保護(hù)的數(shù)據(jù)。根據(jù)該申報(bào)表顯示，這些數(shù)據(jù)包括個(gè)人信息，例如姓名、生日、聯(lián)系方式和社會(huì)安全號(hào)碼，但該醫(yī)療服務(wù)提供商強(qiáng)調(diào)醫(yī)療信息和信用卡信息并未受到影響。

Community Health還指出他們已經(jīng)聘請(qǐng)外部取證公司Mandiant來(lái)協(xié)助調(diào)查。Mandiant認(rèn)為該泄漏事故與中國(guó)黑客組織“APT-18”有關(guān)，但并沒(méi)有提供進(jìn)一步的詳細(xì)信息，例如攻擊者所使用的戰(zhàn)術(shù)或者為什么他們竊取個(gè)人資料，而不是有價(jià)值的知識(shí)產(chǎn)權(quán)信息，這是攻擊組織的典型目標(biāo)。

信息安全咨詢(xún)公司TrustedSec LLC在博客文章中稱(chēng)，Community Health泄漏事故背后的攻擊者利用Heartbleed來(lái)在該公司的網(wǎng)絡(luò)獲得立足之地。TrustedSec表示這個(gè)信息來(lái)自參與該泄漏事故調(diào)查中匿名人士，而在接受彭博社的采訪時(shí)，該公司創(chuàng)始人兼首席安全顧問(wèn)David Kennedy表示三位不愿意透露姓名的人士告訴了他這個(gè)信息。

根據(jù)TrustedSec表示，這是迄今為止第一個(gè)使用Heartbleed漏洞作為數(shù)據(jù)泄漏事故的初始向量的實(shí)例。在Heartbleed被公布后不久，涉及該漏洞的安全事故并不多。CloudFlare、Akamai和其他公司的研究人員隨后證實(shí)，Heartbleed確實(shí)可以被用來(lái)收集私有SSL密鑰和其他敏感數(shù)據(jù)，不過(guò)非常耗時(shí)間。

該TrustedSec博客文章解釋說(shuō)，Community Health的攻擊者能夠從該公司網(wǎng)絡(luò)中的一臺(tái)瞻博網(wǎng)絡(luò)設(shè)備(當(dāng)時(shí)未打補(bǔ)丁)獲取用戶(hù)登錄憑證，然后他們能夠登錄到Community Health VPN。

“從那里，攻擊者通過(guò)其他攻擊手段來(lái)深入到網(wǎng)絡(luò)，直到從數(shù)據(jù)庫(kù)獲取約450萬(wàn)病人的記錄，”TrustedSec在博客文章中寫(xiě)道，“這并不奇怪，因?yàn)槿绻軌騼?nèi)部訪問(wèn)到任何計(jì)算機(jī)網(wǎng)絡(luò)，攻擊者幾乎可以100%成功地攻入系統(tǒng)和進(jìn)一步訪問(wèn)。”

目前有幾個(gè)瞻博網(wǎng)絡(luò)受到Heartbleed漏洞的影響，包括多個(gè)版本的SSL VPN和利用Junos OS 13.3R1的產(chǎn)品，但該公司在該OpenSSL漏洞被公開(kāi)后不久就修復(fù)了這些產(chǎn)品。TrustedSec并沒(méi)有進(jìn)一步說(shuō)明該漏洞事故中涉及哪個(gè)瞻博網(wǎng)絡(luò)的產(chǎn)品，也沒(méi)有透露該設(shè)備在多久時(shí)間內(nèi)未修復(fù)補(bǔ)丁，他們只是表示，該事故原本可以通過(guò)使用補(bǔ)償性控制直到補(bǔ)丁出現(xiàn)來(lái)避免。

“在攻擊發(fā)生時(shí)，能夠檢測(cè)和響應(yīng)攻擊是制定事件響應(yīng)和快速緩解威脅的關(guān)鍵，TrustedSec在博客文章中總結(jié)道，“我們?cè)谶@里可以學(xué)到的是，當(dāng)出現(xiàn)Heartbleed這樣的漏洞時(shí)(雖然很少)，我們需要專(zhuān)注于毫不拖延地立即解決安全問(wèn)題。”