搜索

[4945] 2018-03-21_威胁生命：10余款医疗设备存在高危漏洞

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2018-03-21_威胁生命：10余款医疗设备存在高危漏洞 威 胁 生 命 ： 1 0 余 款 医 疗 设 备 存 在 高 危 漏 洞 原 创   E 安 全   E 安 全   2 0 1 8 - 0 3 - 2 1 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 3 月 2 1 日 讯     美 国 国 土 安 全 部 （ D H S ） 在 2 0 1 8 年 3 月 1 3 号 发 布 的   I C S - C E R T   咨 询 报 告 中 警 告 ， 美 国 通 用 电 气 医 疗 公 司 G E 旗 下 的 某 些 特 定 医 学 造 影 产 品 存 在 安 全 漏 洞 ， O p t i m a   5 4 0   医 学 造 影 系 统 等 多 个   G E   医 学 造 影 产 品 当 中 可 能 使 用 默 认 或 硬 编 码 凭 证 。 这 份 警 告 指 出 ， “ 成 功 利 用 此 项 漏 洞 可 能 允 许 攻 击 者 以 远 程 方 式 绕 过 验 证 机 制 ， 并 获 取 对 受 感 染 设 备 的 访 问 权 。 ” 美 国 新 泽 西 州 卡 姆 登 库 珀 大 学 医 疗 卫 生 首 席 信 息 保 障 官 兼 首 席 隐 私 官 菲 尔 · 卡 伦 指 出 ， 硬 编 码 与 默 认 密 码 给 医 疗 设 备 带 来 巨 大 风 险 ， 根 据 代 码 当 中 利 用 用 户   I D / p n d c   所 提 供 的 具 体 功 能 ， 这 些 漏 洞 或 将 影 响 设 备 正 常 运 行 ， 允 许 恶 意 攻 击 者 访 问 病 患 信 息 ， 篡 改 数 据 、 破 坏 数 据 完 整 性 ， 甚 至 彻 底 关 闭 设 备 给 患 者 带 来 安 全 威 胁 等 。 ” 什 么 是 硬 编 码 ？ 什 么 是 硬 编 码 ？ 在 计 算 机 程 序 或 文 本 编 辑 中 ， 只 有 硬 编 码 和 软 编 码 两 种 方 式 。 他 们 的 区 别 在 于 ： 软 编 码 可 以 在 运 行 时 确 定 ， 修 改 ； 而 硬 编 码 是 不 能 够 改 变 的 。 硬 编 码 是 指 将 可 变 变 量 用 一 个 固 定 值 来 代 替 的 方 法 ， 采 用 硬 编 码 编 译 后 如 果 需 要 更 改 此 变 量 就 非 常 困 难 了 。 受 影 响 的 产 品 受 影 响 的 产 品 根 据 研 究 人 员 提 供 的 调 查 报 告 结 果 ， 通 用 电 气 方 面 进 行 了 自 我 评 估 ， 并 证 实 部 分 造 影 产 品 确 实 使 用 默 认 或 硬 编 码 凭 证 。
I C S - C E R T   方 面 表 示 ， 通 用 电 气 公 司 已 经 审 查 了 研 究 人 员 在 调 查 报 告 中 发 现 的 密 码 安 全 问 题 ， 并 建 议 用 户 联 系 官 方 支 持 服 务 以 获 取 密 码 变 更 指 导 。 此 次 受 到 影 响 的 设 备 涉 及   G E 医 疗 旗 下 推 出 的 多 款 产 品 ， 具 体 包 括 ： O p t i m a 、 D i s c o v e r y 、 R e v o l u t i o n 、 C e n t r i c i t y 、 T H U N I S 、 e N T E G R A 、 C A D S t r e a m 、 G E M N e t 、 I n f i n i a 、 M i l l e n i u m 、 P r e c i s i o n   M P / i   以 及 X e l e r i s 产 品 家 族 。 不 受 此 次 漏 洞 影 响 的 产 品 分 别 为   O p t i m a   6 8 0 、 R e v o l u t i o n   X Q / i   以 及   T H U N I S - 8 0 0 +   系 统 。 I C S - C E R T 方 面 在 报 告 中 指 出 ， 根 据 通 用 电 气 公 司 的 说 法 ， 目 前 受 影 响 的 各 产 品 已 被 广 泛 部 署 至 全 球 医 疗 行 业 当 中 ， 但 强 调 此 次 列 出 的 部 分 受 影 响 产 品 — — 例 如   O p t i m a   6 8 0 、 I m a g e   V a u l t   3 . x   以 及   T H U N I S - 8 0 0 + 等 在 美 国 及 加 拿 大 的 使 用 范 围 非 常 有 限 ， 甚 至 并 未 实 际 部 署 。 G E   医 疗 在 一 份 面 向 媒 体 的 声 明 当 中 表 示 ， 其 已 经 了 解 到 近 期 … … I C S - C E R T   发 布 的 咨 询 报 告 ， 其 中 包 含 对 此 前 发 布 的   U S - C E R T   公 告 的 内 容 更 新 ， 后 者 同 样 提 到 某 些 产 品 当 中 存 在 使 用 默 认 凭 证 的 问 题 。 漏 洞 医 疗 设 备 容 易 漏 洞 医 疗 设 备 容 易 “ 被 僵 尸 被 僵 尸 ” 医 疗 设 备 网 络 安 全 研 究 人 员 比 利 · 里 奥 斯 在 采 访 中 表 示 ， “ 硬 编 码 密 码 是 医 疗 网 络 安 全 当 中 的 一 个 大 问 题 。 ” 里 奥 斯 和 另 一 位 来 自 安 全 厂 商   C y l a n c e   公 司 的 研 究 员 泰 瑞 · 麦 考 科 在 几 年 前 就 曾 经 发 现 ， 来 自 4 0 家 供 应 商 的 医 疗 设 备 中 包 含 3 0 0 条 硬 编 码 密 码 ， 这 些 设 备 已 被 美 国 食 品 与 药 物 管 理 局 （ 简 称 F D A ） 审 查 出 存 在 问 题 ， 并 已 被 纳 入 上 市 前 整 改 指 导 名 单 。 与 此 同 时 ， I C S - C E R T   也 曾 发 布 一 份 警 告 ， 强 调 了 里 奥 斯 与 麦 考 科 发 现 的 医 疗 设 备 硬 编 码 密 码 问 题 。 F D A   方 面 亦 出 台 相 关 草 案 ， 建 议 各 制 造 商 在 其 医 疗 设 备 的 设 计 与 构 建 方 面 引 入 网 络 安 全 考 量 。
里 奥 斯 在 采 访 中 表 示 ， 我 们 已 经 观 察 到   M i r a i   僵 尸 网 络 等 恶 意 软 件 会 利 用 设 备 中 的 默 认 密 码 对 其 实 施 入 侵 。 在 大 多 数 情 况 下 ， 维 修 技 术 人 员 会 利 用 这 些 密 码 来 维 修 医 疗 设 备 。 为 了 解 决 这 个 问 题 ， 医 院 可 以 利 用 厄 文 提 供 的 研 究 结 果 以 及 相 关 数 据 以 禁 用 与 技 术 接 口 相 关 的 接 口 。 如 果 设 备 需 要 维 修 ， 医 院 可 以 在 维 修 过 程 当 中 启 用 技 术 人 员 接 口 ， 并 在 维 修 完 成 后 禁 用 相 关 接 口 。 如 何 避 免 受 到 漏 洞 影 响 ？ 如 何 避 免 受 到 漏 洞 影 响 ？ I C S - C E R T   在 其 发 布 的   G E   医 疗 设 备 咨 询 报 告 当 中 还 提 到 ， 该 制 造 商 已 经 发 布 了 可 根 据 要 求 进 行 交 付 的 产 品 更 新 ； 他 们 已 经 面 向 大 部 分 受 影 响 产 品 （ 除 其 中 三 款 ） 发 布 用 于 替 代 默 认 或 硬 编 码 凭 证 的 定 制 化 凭 证 。 I C S - C E R T   方 面 同 时 指 出 ， 用 户 也 可 以 采 取 其 它 防 御 措 施 ， 从 而 尽 量 减 少 此 漏 洞 遭 到 实 际 利 用 的 风 险 。 相 关 举 措 具 体 包 括 ： 在 受 影 响 系 统 上 关 闭 所 有 未 使 用 端 口 ;   停 止 或 限 制 在 受 影 响 系 统 上 使 用 第 三 方 软 件 的 行 为 （ 例 如 电 子 邮 件 及 网 络 浏 览 器 软 件 ） ， 因 为 这 可 能 进 一 步 增 大 医 疗 设 备 的 攻 击 面 ; 确 保 受 影 响 系 统 已 经 安 装 供 应 商 提 供 的 最 新 补 丁 程 序 ; 限 制 对 受 影 响 系 统 的 网 络 访 问 ， 并 确 保 其 不 可 通 过 互 联 网 进 行 直 接 访 问 ;
遵 循 最 佳 网 络 设 计 实 践 ， 例 如 进 行 网 络 分 区 ， 利 用 经 过 适 当 配 置 的 防 火 墙 保 护 网 络 边 界 ， 同 时 有 选 择 性 地 控 制 并 监 视 不 同 分 区 及 系 统 间 的 全 部 往 来 流 量 ; 监 控 并 记 录 所 有 对 受 影 响 产 品 的 访 问 尝 试 ， 同 时 查 看 可 疑 的 异 常 网 络 流 量 ; 当 需 要 进 行 远 程 访 问 时 ， 请 使 用 虚 拟 专 用 网 络 等 方 法 ;   但 请 注 意 ， V P N 同 样 可 能 存 在 漏 洞 ， 因 此 请 确 保 将 其 更 新 至 最 新 版 本 。 硬 编 码 与 默 认 密 码 问 题 广 泛 存 在 硬 编 码 与 默 认 密 码 问 题 广 泛 存 在 卡 伦 表 示 ， 硬 编 码 与 默 认 密 码 问 题 绝 不 仅 限 于 医 疗 设 备 内 ， 他 指 出 ， 这 个 问 题 不 仅 困 扰 着 医 疗 设 备 ， 我 们 在 其 它 代 码 当 中 也 看 到 了 大 量 此 类 以 硬 编 码 形 式 存 在 的 用 户   I D   与 密 码 ， 我 们 所 能 采 取 的 措 施 非 常 有 限 。 而 恶 意 用 户 可 以 通 过 物 理 访 问 或 未 经 授 权 的 逻 辑 访 问 来 接 入 设 备 本 身 存 在 的 漏 洞 。 组 织 可 以 管 理 物 理 访 问 途 径 ， 即 仅 允 许 授 权 人 员 访 问 设 备 — — 例 如 护 送 病 患 并 及 时 锁 门 。 此 外 ， 各 类 组 织 机 构 还 可 通 过 及 时 更 新 所 有 设 备 （ 包 括 医 疗 设 备 ） 并 对 存 在 漏 洞 的 设 备 进 行 隔 离 等 方 式 提 升 安 全 水 平 。 对 医 疗 设 备 进 行 补 丁 修 复 一 直 是 项 艰 巨 的 挑 战 ， 尤 其 是 那 些 陈 旧 软 件 的 设 备 。 这 需 要 供 应 商 持 续 提 供 系 统 补 丁 来 保 障 患 者 安 全 。 在 一 份 声 明 中 ， F D A   方 面 指 出 其 是 通 过 医 疗 设 备 制 造 商 与 独 立 研 究 人 员 共 同 建 立 的 “ 协 调 披 露 流 程 ” 知 晓   G E   设 备 中 存 在 网 络 安 全 漏 洞 。 F D A   鼓 励 医 疗 设 备 制 造 商 及 研 究 人 员 以 切 实 保 护 患 者 的 方 式 开 展 协 作 ， 从 而 解 决 网 络 安 全 漏 洞 。 F D A   方 面 在 采 访 中 表 示 ， 2 0 1 6 年 其 已 经 发 布 了 关 于 医 疗 设 备 网 络 安 全 的 销 售 后 管 理 指 导 终 稿 ， 其 中 概 述 了 关 于 协 调 披 露 工 作 的 最 佳 实 践 。 这 份 声 明 指 出 ， F D A   鼓 励 医 疗 设 备 制 造 商 及 研 究 人 员 以 切 实 保 护 患 者 的 方 式 开 展 协 作 ， 从 而 解 决 网 络 安 全 漏 洞 。 扩 展 阅 读 扩 展 阅 读 2 0 1 3 年 ， “ 全 球 最 牛 ” 黑 客 巴 纳 拜 · 杰 克 离 奇 死 亡 。 杰 克 去 世 前 曾 向 外 界 宣 布 ： 他 要 在 7 月 3 1 日 开 幕 的 “ 黑 帽 ” 黑 客 会 议 上 ， 展 示 在 9 米 之 外 入 侵 植 入 式 心 脏 起 搏 器 等 无 线 医 疗 装 置 ， 然 后 向 其 发 出 一 系 列   8 3 0 V   高 压 电 击 ， 从 而 令 “ 遥 控 杀 人 ” 成 为 现 实 。 当 时 ， 杰 克 声 称 已 经 发 现 了 多 家 厂 商 生 产 的 心 脏 起 搏 器 的 安 全 漏 洞 。
巴 纳 拜 · 杰 克 离 奇 死 亡 后 ， 美 国 警 方 拒 绝 透 露 杰 克 死 亡 细 节 ， 这 引 发 了 各 种 疯 狂 阴 谋 论 。 有 阴 谋 论 者 指 出 ， 杰 克 最 新 针 对 医 疗 设 备 的 “ 遥 控 杀 人 ” 技 术 不 仅 会 对 公 众 的 生 活 安 全 构 成 威 胁 ， 也 将 令 生 产 这 些 存 在 漏 洞 的 医 疗 设 备 的 厂 商 的 名 誉 和 经 济 利 益 遭 到 重 创 ， 不 排 除 杰 克 因 此 遭 人 灭 口 的 可 能 。 在 2 0 1 0 年 “ 黑 帽 ” 黑 客 会 议 上 ， 杰 克 独 创 黑 客 技 术 令 自 动 提 款 机 狂 吐 钞 票 ， 使 其 一 跃 成 为 全 球 最 牛 的 “ 明 星 黑 客 ” 。 类 似 的 让 A T M 机 吐 钞 票 的 黑 客 攻 击 及 其 相 关 研 究 仍 在 继 续 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 5 3 8 3 5 4 6 1 3 . s h t m l 推 荐 阅 读 ： 物 联 网 带 动 医 疗 服 务 升 级 ： 六 大 原 则 守 护 网 路 安 全 中 加 双 重 国 籍 知 识 产 权 律 师 被 指 控 窃 取 美 国 公 司 下 一 代 医 疗 机 器 人 技 术 西 门 子 医 疗 扫 描 仪 存 在 多 项 漏 洞 可 被 远 程 利 用 医 疗 保 健 行 业 的 C I S O 在 当 前 安 全 形 势 下 如 何 强 化 自 身 ？ 一 条 短 信 远 程 启 动 B i c h o 后 门 ， C A N 总 线 汽 车 无 一 幸 免 E x i m 最 新 漏 洞 影 响 全 球 过 半 邮 件 服 务 器 披 露 1 3 个 漏 洞 ！ 安 全 公 司 不 守 行 规 让 A M D 很 受 伤
▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理