搜索

[13227] 2018-09-25_当心跳能被他人控制，我们拿什么来谈医疗安全？

文档创建者：s7ckTeam
浏览次数：38
最后更新：2025-01-18
2018-09-25_当心跳能被他人控制，我们拿什么来谈医疗安全？ 当 心 跳 能 被 他 人 控 制 ， 我 们 拿 什 么 来 谈 医 疗 安 全 ？ A n g e l a Y   F r e e B u f   2 0 1 8 - 0 9 - 2 5 8   月 底 ， 飞 利 浦 心 血 管 系 统 产 品 出 现 安 全 漏 洞 ， 泄 露 患 者 隐 私 并 造 成 进 一 步 安 全 威 胁 的 新 闻 再 次 引 起 了 人 们 对 月 底 ， 飞 利 浦 心 血 管 系 统 产 品 出 现 安 全 漏 洞 ， 泄 露 患 者 隐 私 并 造 成 进 一 步 安 全 威 胁 的 新 闻 再 次 引 起 了 人 们 对 于 联 网 医 疗 设 备 安 全 性 的 关 注 与 探 讨 。 这 已 经 不 是 医 疗 设 备 第 一 次 爆 出 漏 洞 了 ， 每 一 次 漏 洞 都 意 味 着 大 量 患 者 于 联 网 医 疗 设 备 安 全 性 的 关 注 与 探 讨 。 这 已 经 不 是 医 疗 设 备 第 一 次 爆 出 漏 洞 了 ， 每 一 次 漏 洞 都 意 味 着 大 量 患 者 信 息 泄 露 以 及 部 分 不 幸 患 者 面 临 的 生 命 威 胁 。 信 息 泄 露 以 及 部 分 不 幸 患 者 面 临 的 生 命 威 胁 。 心 脏 心 脏 “ 滴 血 滴 血 ” 早 在 2 0 0 7   年 ， 美 国 前 副 总 统 迪 克 · 切 尼 就 曾 为 防 止 刺 客 通 过 干 扰 起 搏 器 进 行 攻 击 ， 而 让 医 生 将 其 心 脏 起 搏 器 的 无 线 功 能 关 闭 。 2 0 0 8   年 ， 密 歇 根 大 学 的 安 全 研 究 人 员 曾 发 现 ， 可 以 从 起 搏 器 中 提 取 敏 感 信 息 行 ， 甚 至 可 以 通 过 改 变 起 搏 规 可 以 通 过 改 变 起 搏 规 律 或 关 闭 起 搏 器 威 胁 生 命 。 律 或 关 闭 起 搏 器 威 胁 生 命 。 2 0 1 6   年 ， 网 络 安 全 公 司   M e d S e c   H o l d i n g s   与 做 空 机 构   M u d d y   W a t e r s   合 作 公 开 了 一 份 安 全 漏 洞 报 告 ， 声 称 美 国 老 牌 医 疗 器 械 制 造 商   S t .   J u d e   M e d i c a l   制 造 的 心 脏 起 搏 器 存 在 漏 洞 ， 可 能 被 黑 客 入 侵 。 后 来 这 两 家 公 司 却 遭 到   S t .   J u d e M e d i c a l   的 起 诉 ， 罪 名 是 不 实 报 道 和 诽 谤 。 同 年   1 0   月 ， S t .   J u d e   制 造 的 心 脏 去 颤 器 电 池 提 早 没 电 ， 造 成 两 起 死 亡 案 造 成 两 起 死 亡 案 例 例 。 公 司 宣 布 召 回   4 0 0 0   件 产 品 。 最 终 ， 还 是 美 国 食 品 药 品 管 理 局 （ F D A ） 确 认 了 报 告 的 真 实 性 。 2 0 1 7   年   5   月   W h i t e   S c o p e   安 全 公 司 研 究 人 员 发 现 ， 四 家 知 名 厂 商 的 家 用 监 控 系 统 、 植 入 设 备 、 起 搏 器 编 程 器 和 病 患 支 持 网 络 都 存 在 安 全 问 题 。 四 款 起 搏 器 编 程 器 所 使 用 的 第 三 方 库 总 共 存 在   8 0 0 0   多 个 漏 洞 。 攻 击 者 可 以 利 用 起 搏 器 漏 洞 编 写 并 远 程 运 行 代 码 ， 导 致 心 脏 跳 动 频 率 修 改 甚 至 停 止 。 到   9   月 份 ， F D A   也 发 布 安 全 公 告 称 ， A b b o t t   L a b o r a t o r i e s （ 原 S t .   J u d e   M e d i c a l ） 所 生 产 的 心 脏 起 搏 器 存 在 安 全 漏 洞 ， 这 些 漏 洞 可 被 黑 客 利 用 ， 篡 改 设 备 设 置 并 将 其 关 闭 ， 对 病 人 造 成 致 命 威 胁 。 美 国 国 内 有   4 6 . 5   万 台 设 备 受 影 响 ， 国 外 有   2 8   万 台 受 影 响 。 患 者 必 须 要 找 医 生 或 者 供 应 商 才 能 修 复 漏 洞 ， 进 行 固 件 更 新 。 上 述 只 是 心 脏 起 搏 器 等 心 血 管 系 统 产 品 所 出 现 的 安 全 问 题 。 放 眼 整 个 医 疗 系 统 ， 网 络 被 黑 、 电 脑 感 染 勒 索 病 毒 、 设 备 本 身 存 在 漏 洞 等 问 题 近 年 来 不 断 增 加 ， 牵 动 着 医 院 和 患 者 的 神 经 。 此 外 ， 运 动 手 环 等 医 疗 穿 戴 设 备 的 风 靡 也 带 来 了 安 全 隐 患 。 2 0 1 8   年 上 半 年 的 热 播 日 本 电 视 剧 《 非 正 常 死 亡 》 的 第   6   集 中 ， 凶 手 在 戴 在 耳 后 、 用 于 监 控 心 率 等 健 康 指 标 的 运 动 设 备 上 动 了 手 脚 ， 随 后 通 过 调 整 电 流 实 施 谋 杀 。 这 无 疑 是 现 实 的 缩 影 。 医 疗 系 统 面 临 的 攻 击 面 不 断 扩 大 医 疗 系 统 面 临 的 攻 击 面 不 断 扩 大
医 疗 系 统 容 易 遭 受 攻 击 的 一 大 原 因 是 医 疗 网 络 边 界 不 断 开 放 ， 而 医 疗 机 构 所 使 用 的 电 脑 等 终 端 很 多 都 是 尚 未 更 新 的 老 旧 设 备 ， w e b 服 务 器 、 D N S 服 务 器 、 m a i l 服 务 器 等 端 口 和 服 务 往 往 因 为 被 忽 视 而 长 期 开 放 ， 容 易 被 攻 击 者 利 用 。 2 0 1 7 年 大 规 模 爆 发 的   W a n n a C r y   勒 索 病 毒 就 是 通 过   4 4 5   端 口 传 播 ， 当 时 也 影 响 了 很 多 医 疗 机 构 。 由 于 医 疗 机 构 的 业 务 与 患 者 的 人 身 安 全 直 接 相 关 且 资 料 高 度 重 要 ， 因 此 很 容 易 成 为 勒 索 攻 击 的 对 象 。 此 外 ， 包 括 心 脏 起 搏 器 在 内 的 医 疗 设 备 大 多 通 过 一 些 无 线 协 议 （ 如   M Q T T   等 ） 直 接 与 其 他 设 备 连 接 并 通 信 ， 这 就 意 味 着 攻 击 者 可 以 通 过 这 些 协 议 的 通 信 代 理 组 件 找 到 相 关 的 医 疗 设 备 ， 发 起 攻 击 。 还 有 一 些 医 疗 系 统 或 平 台 的 访 问 限 制 不 够 严 格 ， 直 接 向 警 方 等 执 法 机 构 开 放 权 限 ， 导 致 患 者 信 息 极 易 泄 露 。 截 至   2 0 1 8   年   9   月 份 ， 共 有 约   9 0   万 澳 大 利 亚 居 民 选 择 退 出 其 政 府 的 “ 我 的 健 康 记 录 （ M y   H e a l t h c a r e   R e c o r d ） ” 系 统 ， 就 是 因 为 这 个 系 统 向 警 察 开 放 权 限 ， 存 在 信 息 滥 用 风 险 。 近 年 来 ， 利 用 软 件 供 应 链 漏 洞 发 起 攻 击 收 到 了 很 多 攻 击 者 的 青 睐 ， 医 疗 机 构 也 无 法 幸 免 。 医 疗 行 业 高 度 依 赖 合 作 机 构 的 网 络 ， 如 果 攻 击 者 无 法 直 接 攻 击 医 疗 组 织 ， 就 会 通 过 供 应 商 等 其 他 渠 道 下 手 。 攻 击 者 还 可 以 通 过 供 应 商 或 供 应 链 来 瞄 准 较 大 的 行 业 ， 甚 至 潜 伏 很 长 时 间 ， 形 成   A P T   攻 击 。 2 0 1 8   年   7   月 底 ， 新 家 坡 卫 生 部 医 疗 系 统 网 络 遭 遇 入 侵 ， 1 5 0 万 公 民 健 康 数 据 泄 露 ， 新 家 坡 国 家 总 理 李 显 龙 的 医 疗 信 息 也 包 括 在 内 。 当 时 的 分 析 认 为 ， 这 是 一 起 来 自 “ 民 族 国 家 ” 的 有 针 对 性 的   A P T   攻 击 ， 获 取 的 数 据 将 用 于 对 个 人 或 组 织 进 行 进 一 步 威 胁 。 来 自 供 应 链 的 攻 击 对 医 疗 机 构 而 言 是 一 个 重 大 威 胁 。 一 方 面 ， 攻 击 链 暴 露 的 薄 弱 点 更 多 ， 更 容 易 被 利 用 ； 另 一 方 面 ， 攻 击 者 可 以 通 过 一 些 原 本 可 信 的 渠 道 进 入 敏 感 区 域 ， 甚 至 躲 过 监 控 。 利 用 供 应 链 漏 洞 的 黑 客 通 常 会 采 用 以 下 三 种 形 式 发 起 攻 击 ： 劫 持 供 应 商 的 域 并 将 流 量 引 导 到 另 一 个 受 感 染 的 域 ； 直 接 入 侵 供 应 商 的 签 署 证 书 软 件 ； 这 种 方 式 一 般 很 难 预 防 ， 软 件 被 感 染 ， 供 应 商 的 证 书 签 名 也 难 以 幸 免 ， 这 意 味 着 任 何 检 查 证 书 有 效 性 的 接 收 系 统 都 可 能 被 暴 露 。 攻 击 第 三 方 主 机 服 务 ， 与 主 机 相 关 的 网 站 可 能 会 被 感 染 并 将 病 毒 传 播 到 供 应 链 上 的 其 他 机 构 中 。 由 于 医 疗 机 构 大 量 依 赖 第 三 方 服 务 ， 且 近 年 来 越 来 越 多 的 医 疗 设 备 开 始 联 网 ， 因 此 很 容 易 受 到 攻 击 。 医 疗 机 构 安 全 实 施 现 状 医 疗 机 构 安 全 实 施 现 状 美 国   卫 生 与 公 众 服 务 部   ( D e p a r t m e n t   o f   H e a l t h   a n d   H u m a n   s e r v i c e s )   的 调 查 结 果 显 示 ， 9 0 %   的 医 疗 机 构 入 侵 事 件 都 是 因 为 供 应 商 出 现 了 问 题 。 H I M S S   A n a l y t i c s   与   S y m a n t e c   的 共 同 研 究 结 果 则 表 明 ， 8 2 %   的 受 访 医 疗 机 构 都 表 示 曾 在 董
事 会 层 面 讨 论 了 网 络 安 全 政 策 ， 但 只 有   4 0 ％   的 人 认 为 网 络 安 全 是 需 要 定 期 安 排 实 施 的 事 项 。 而 推 动 医 疗 机 构 网 络 安 全 投 资 的 三 大 主 要 原 因 都 是 与 合 规 或 审 查 有 关 的 风 险 评 估 、 H I P A A 合 规 性 以 及 安 全 或 财 务 审 计 。 此 外 ， 7 5 %   的 医 疗 机 构 在 安 全 方 面 的 预 算 不 超 过   6 % ， 明 显 低 于 安 全 业 务 更 成 熟 的 金 融 行 业 的 投 入 。 其 中 ， 预 算 、 人 员 短 缺 和 技 能 不 足 是 阻 碍 医 疗 机 构 部 署 安 全 措 施 的 三 大 要 素 ， 与 其 他 行 业 网 络 安 全 建 设 所 面 临 的 难 题 相 似 。 这 些 调 查 结 果 表 明 ， 虽 然 网 络 安 全 问 题 已 经 得 到 了 医 疗 机 构 的 重 视 ， 但 在 实 际 落 地 中 仍 有 待 发 展 。 联 网 医 疗 设 备 带 来 更 大 安 全 挑 战 联 网 医 疗 设 备 带 来 更 大 安 全 挑 战 正 如 开 头 所 说 ， 越 来 越 多 的 医 疗 设 备 联 网 带 来 了 医 疗 领 域 中 新 的 安 全 问 题 。 根 据   P o n e m o n   I n s t i t u t e   最 近 的 一 项 研 究 ， 8 0 ％   的 设 备 制 造 商 和 医 疗 机 构 认 为 医 疗 设 备 的 安 全 很 重 要 。 与 此 同 时 ， 6 7 ％   的 设 备 制 造 商 和   5 6 ％   的 医 疗 机 构 预 计 在 未 来   1 2   个 月 内 会 出 现 设 备 安 全 漏 洞 。 黑 客 控 制 医 疗 设 备 并 影 响 其 功 能 ， 进 而 获 取 患 者 资 料 甚 至 危 及 患 者 生 命 的 后 果 式 医 疗 设 备 安 全 无 比 重 要 的 一 大 原 因 。 此 外 ， 医 疗 设 备 上 的 恶 意 软 件 还 可 能 导 致 医 疗 服 务 中 断 ， 设 备 漏 洞 给 网 络 带 来 的 感 染 和 入 侵 或 可 能 严 重 影 响 其 他 医 疗 服 务 业 务 。 虽 然 医 疗 设 备 和 设 备 网 络 本 身 十 分 复 杂 ， 导 致 相 关 安 全 建 设 面 临 重 重 挑 战 ， 但 由 于 与 患 者 安 全 息 息 相 关 ， 因 此 这 将 成 为 未 来 医 疗 系 统 安 全 建 设 的 一 大 重 点 。 医 疗 机 构 应 该 怎 么 办 医 疗 机 构 应 该 怎 么 办 近 年 来 ， 医 院 、 知 名 企 业 甚 至 政 府 都 接 连 受 到 勒 索 软 件 的 攻 击 以 及 一 些 成 熟 黑 客 组 织 的   A P T   攻 击 。 这 也 迫 使 医 疗 机 构 正 视 网 络 安 全 问 题 ， 实 实 在 在 做 出 防 御 。 毕 竟 不 论 是 病 毒 勒 索 还 是 医 疗 设 备 被 远 程 控 制 ， 都 是 人 命 关 天 的 事 。 面 对 当 前 的 重 大 挑 战 ， 医 疗 机 构 应 该 ： 将 网 络 安 全 视 为 商 业 风 险 ， 而 不 仅 仅 是 技 术 挑 战 ； 让 董 事 会 层 面 和 管 理 层 意 识 到 安 全 问 题 的 严 重 性 并 定 期 实 施 安 全 检 查 和 防 御 ； 提 升 员 工 安 全 意 识 ， 并 根 据 员 工 的 角 色 和 职 责 进 行 培 训 ； 招 聘 并 留 住 懂 安 全 的 员 工 ；
设 立 医 疗 安 全 官 或 医 疗 设 备 安 全 专 家 等 安 全 相 关 的 新 职 务 ， 以 解 决 特 定 的 安 全 挑 战 ； 在 购 买 设 备 时 考 虑 安 全 隐 患 ； 测 试 并 实 施 网 络 安 全 事 件 响 应 协 议 如 果 能 将 这 些 实 践 纳 入 整 个 网 络 安 全 建 设 体 系 ， 医 疗 机 构 将 更 优 能 力 应 对 安 全 风 险 。 当 然 ， 对 于 为 了 钱 而 不 考 虑 设 备 安 全 性 的 供 应 商 ， 还 是 需 要 监 管 机 构 出 台 更 严 厉 的 措 施 ， 用 合 规 促 进 安 全 。 参 考 来 源 ： 参 考 来 源 ： h t t p : / / w w w . f r e e b u f . c o m / n e w s / 1 4 8 8 0 . h t m l h t t p s : / / w w w . r e u t e r s . c o m / a r t i c l e / u s - s t - j u d e - m e d i c a l - c y b e r - i d U S K C N 1 1 D 1 F R h t t p : / / w w w . f r e e b u f . c o m / n e w s / 1 3 5 8 9 9 . h t m l h t t p s : / / w w w . h a c k r e a d . c o m / 4 6 5 k - p a c e m a k e r s - v u l n e r a b l e - u s e r s - m u s t - g o - t o - d o c t o r s - f o r - f i x / h t t p s : / / h e a l t h t e c h m a g a z i n e . n e t / a r t i c l e / 2 0 1 8 / 0 8 / h e a l t h c a r e - c y b e r s e c u r i t y - h o w - p r o v i d e r s - c a n - c a t c h * 本 文 作 者 ： 本 文 作 者 ： A n g e l a Y ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理