當(dāng)Heartbleed OpenSSL漏洞在4月份被發(fā)現(xiàn)時，安全社區(qū)很多專家都警告說，該漏洞可能被用來暴露敏感數(shù)據(jù)，盡管當(dāng)時還沒有證據(jù)證明攻擊者正在積極利用Heartbleed漏洞。而現(xiàn)在，一家信息安全咨詢公司警告稱，在最近的Community Health Systems公司的數(shù)據(jù)泄漏事故中，Heartbleed漏洞可能被作為最初的攻擊向量。

[[118881]]

Community Health在美國29個州經(jīng)營著超過200家醫(yī)院，該公司在本周提交給美國證券交易委員會的申報表8-K中稱，攻擊者在4月和6月攻擊了其安全系統(tǒng)，泄露了450萬病人受HIPAA保護的數(shù)據(jù)。根據(jù)該申報表顯示，這些數(shù)據(jù)包括個人信息，例如姓名、生日、聯(lián)系方式和社會安全號碼，但該醫(yī)療服務(wù)提供商強調(diào)醫(yī)療信息和信用卡信息并未受到影響。

Community Health還指出他們已經(jīng)聘請外部取證公司Mandiant來協(xié)助調(diào)查。Mandiant認為該泄漏事故與中國黑客組織“APT-18”有關(guān)，但并沒有提供進一步的詳細信息，例如攻擊者所使用的戰(zhàn)術(shù)或者為什么他們竊取個人資料，而不是有價值的知識產(chǎn)權(quán)信息，這是攻擊組織的典型目標(biāo)。

信息安全咨詢公司TrustedSec LLC在博客文章中稱，Community Health泄漏事故背后的攻擊者利用Heartbleed來在該公司的網(wǎng)絡(luò)獲得立足之地。TrustedSec表示這個信息來自參與該泄漏事故調(diào)查中匿名人士，而在接受彭博社的采訪時，該公司創(chuàng)始人兼首席安全顧問David Kennedy表示三位不愿意透露姓名的人士告訴了他這個信息。

根據(jù)TrustedSec表示，這是迄今為止第一個使用Heartbleed漏洞作為數(shù)據(jù)泄漏事故的初始向量的實例。在Heartbleed被公布后不久，涉及該漏洞的安全事故并不多。CloudFlare、Akamai和其他公司的研究人員隨后證實，Heartbleed確實可以被用來收集私有SSL密鑰和其他敏感數(shù)據(jù)，不過非常耗時間。

該TrustedSec博客文章解釋說，Community Health的攻擊者能夠從該公司網(wǎng)絡(luò)中的一臺瞻博網(wǎng)絡(luò)設(shè)備(當(dāng)時未打補丁)獲取用戶登錄憑證，然后他們能夠登錄到Community Health VPN。

“從那里，攻擊者通過其他攻擊手段來深入到網(wǎng)絡(luò)，直到從數(shù)據(jù)庫獲取約450萬病人的記錄，”TrustedSec在博客文章中寫道，“這并不奇怪，因為如果能夠內(nèi)部訪問到任何計算機網(wǎng)絡(luò)，攻擊者幾乎可以100%成功地攻入系統(tǒng)和進一步訪問。”

目前有幾個瞻博網(wǎng)絡(luò)受到Heartbleed漏洞的影響，包括多個版本的SSL VPN和利用Junos OS 13.3R1的產(chǎn)品，但該公司在該OpenSSL漏洞被公開后不久就修復(fù)了這些產(chǎn)品。TrustedSec并沒有進一步說明該漏洞事故中涉及哪個瞻博網(wǎng)絡(luò)的產(chǎn)品，也沒有透露該設(shè)備在多久時間內(nèi)未修復(fù)補丁，他們只是表示，該事故原本可以通過使用補償性控制直到補丁出現(xiàn)來避免。

“在攻擊發(fā)生時，能夠檢測和響應(yīng)攻擊是制定事件響應(yīng)和快速緩解威脅的關(guān)鍵，TrustedSec在博客文章中總結(jié)道，“我們在這里可以學(xué)到的是，當(dāng)出現(xiàn)Heartbleed這樣的漏洞時(雖然很少)，我們需要專注于毫不拖延地立即解決安全問題。”