在保護(hù)物聯(lián)網(wǎng)（IoT）設(shè)備安全性方面，醫(yī)院面臨著獨(dú)特的挑戰(zhàn)。對(duì)于一些醫(yī)療機(jī)構(gòu)而言，由于Covid-19大流行使工作量和壓力增加，這種情況下，面臨的挑戰(zhàn)將變得更加嚴(yán)峻。
有什么危險(xiǎn)？
就在最近，國(guó)土安全部（DHS）和網(wǎng)絡(luò)安全與基礎(chǔ)設(shè)施安全局（CISA）發(fā)布了關(guān)于流行醫(yī)療設(shè)備中21個(gè)漏洞。大多數(shù)問(wèn)題都與電子保護(hù)健康信息（ePHI）的保密性有關(guān)。
這對(duì)于患者來(lái)說(shuō)是一個(gè)巨大的問(wèn)題，同時(shí)醫(yī)院也需要為攻擊事件買(mǎi)單，而醫(yī)療機(jī)構(gòu)面臨的成本是最高的，平均每起事故約645萬(wàn)美元，比行業(yè)平均水平高出65%。
而攻擊對(duì)其產(chǎn)生的影響還不僅限于ePHI和修復(fù)成本。DHS CISA報(bào)告的其中一個(gè)漏洞可能允許攻擊者更改治療狀態(tài)信息，從而影響治療過(guò)程本身。
CyberMDX的網(wǎng)絡(luò)安全研究人員已經(jīng)證明，利用某些為“輸液泵提供安裝、供電和通信支持”的設(shè)備中的漏洞，攻擊者可能會(huì)實(shí)現(xiàn)禁用設(shè)備、安裝惡意軟件或報(bào)告錯(cuò)誤信息等操作。在極端情況下，攻擊者甚至可以直接與連接到網(wǎng)關(guān)的泵通信，從而改變藥物劑量和輸注速率。
醫(yī)院是物聯(lián)網(wǎng)安全的獨(dú)角獸
醫(yī)院的物聯(lián)網(wǎng)安全性為何與眾不同？以下是一些顯著的特點(diǎn)和注意事項(xiàng)。
· 不安全的生命支持設(shè)備——每張床有10到15個(gè)醫(yī)療設(shè)備，新的智能床可監(jiān)控多達(dá)35個(gè)數(shù)據(jù)點(diǎn)，包括血液、氧氣和壓力傳感器等。然而這些設(shè)備中的許多在設(shè)計(jì)時(shí)幾乎沒(méi)有考慮到安全性，為方便使用，它們可能有硬編碼的密碼，故此，任何人都可以通過(guò)物理或網(wǎng)絡(luò)訪問(wèn)進(jìn)行篡改。其他可能不存在的安全因素還包括用戶認(rèn)證和無(wú)線通信中缺少加密。
· 舊版操作系統(tǒng)（OS）——據(jù)統(tǒng)計(jì)，幾乎近一半的醫(yī)療設(shè)備運(yùn)行在不受支持的操作系統(tǒng)上，并且不再接收安全更新。這些設(shè)備包括超聲波機(jī)、核磁共振成像儀等，這樣會(huì)使它們成為勒索軟件等網(wǎng)絡(luò)攻擊的最佳目標(biāo)。事實(shí)上，Check Point的研究人員已經(jīng)證明了運(yùn)行在舊Windows操作系統(tǒng)上的超聲波機(jī)器很容易被破壞，從而暴露出病人圖像的整個(gè)數(shù)據(jù)庫(kù)。然而，最近幾個(gè)月，針對(duì)醫(yī)療機(jī)構(gòu)的勒索軟件攻擊激增了75%。
· 有利可圖的健康記錄——在暗網(wǎng)上每條記錄的出售價(jià)格高達(dá)1000美元，受到破壞的電子健康記錄非常容易成為目標(biāo)。醫(yī)院平均每條記錄要花費(fèi) 430美元，以減輕每個(gè)被盜的醫(yī)療身份。
· 多種物聯(lián)網(wǎng)設(shè)備類型——不僅醫(yī)院的醫(yī)療設(shè)備容易受到攻擊，智能辦公和樓宇管理系統(tǒng)（BMS）資產(chǎn)也是主要目標(biāo)。這些設(shè)備包括IP攝像頭、智能電梯、打印機(jī)，以及連接的BMS資產(chǎn)，如HVAC系統(tǒng)、備用發(fā)電機(jī)，甚至可以幫助減少泄漏的智能水管。
加強(qiáng)醫(yī)院設(shè)備和網(wǎng)絡(luò)
好消息是，醫(yī)院和醫(yī)療保健制造商都可以采取預(yù)防措施以最大程度地降低其安全風(fēng)險(xiǎn)。
在網(wǎng)絡(luò)方面，建議醫(yī)院：
· 確保對(duì)其所有醫(yī)療設(shè)備的可見(jiàn)性，并識(shí)別高風(fēng)險(xiǎn)設(shè)備
· 與制造商一起解決關(guān)鍵漏洞或使用正確的網(wǎng)絡(luò)配置
· 將IT網(wǎng)絡(luò)從IoT網(wǎng)絡(luò)或IoT設(shè)備區(qū)域分段，并將設(shè)備群集分段到IoT設(shè)備區(qū)域，以便僅相關(guān)設(shè)備相互通信
· 使用虛擬補(bǔ)丁程序防止已知漏洞的利用
· 利用安全規(guī)則和威脅情報(bào)來(lái)防止惡意攻擊IoT設(shè)備，并且要防止受感染的設(shè)備破壞其他網(wǎng)絡(luò)元素
· 旨在進(jìn)行集中監(jiān)視和警報(bào)，以加快檢測(cè)和響應(yīng)速度
在設(shè)備方面，建議醫(yī)療設(shè)備制造商：
· 評(píng)估其設(shè)備固件的安全性以發(fā)現(xiàn)漏洞并進(jìn)行補(bǔ)救
· 使用納米代理添加設(shè)備上運(yùn)行時(shí)保護(hù)，以防止設(shè)備級(jí)別的0 day攻擊，包括控制流劫持，內(nèi)存損壞和外殼注入。
