物联网设备发展快速且”高危“ 如何确保医疗机构物联网安全? – 作者:中科天齐软件安全中心

医疗保健一直处于技术发展的前沿，医院和医疗保健提供者通常会迅速接受任何将转化为更好、更高效、更实惠的护理的创新。从微型药丸和可植入设备到激光手术和先进的监测技术，医疗技术都是为了患者创造最佳的治疗效果。

但是，每当有新的物联网 (IoT) 技术提供创新产品时，使用者越来越担心安全问题会给医疗机构或患者造成影响。在某些情况下，这些设备的脆弱性令人震惊。一位女士为了证明物联网存在风险，并让制造商关注系统安全问题，侵入了她自己的心脏起搏器。

物联网对医学的重要性

预测显示，到2025年全球物联网市场将增长到5343亿美元。目前在医疗保健领域使用的约6.46亿个物联网设备主要包括三个种类：

① 可穿戴设备，包括像超轻可穿戴生物传感器这样的设备，可以密切关注患者情况，以及有助于保持糖尿病患者健康的可穿戴血糖监测仪。

② 可植入设备，包括任何插入体内的设备，例如智能起搏器、胰岛素输液泵和除颤器。

③ 医疗保健环境中使用的其他设备，从安全摄像头到温度计和智能笔，这些设备与医疗记录系统相互传输患者数据。

除了专门用于医疗应用的设备外，大多数医院和医疗机构也受益于其他企业的物联网设备类型：

智能办公设备，如胸卡阅读器、摄像头和路由器

智能建筑基础设施，如互联电梯、暖通空调等

员工携带的可以访问医院网络的个人设备

显然，物联网设备在医疗环境中大有作为。他们通过简化治疗和监测为患者提供更多自由并确保更好的依从性。它们还提供对医疗数据的持续监控和分析，这在没有技术的情况下是不可能实现的。此外，它们使医疗保健者能够即时访问最新信息，从而提供更好的护理并取得更好的结果。

尽管如此，对于任何企业(医疗或其他行业)网络上的每一个智能设备都引入一定程度的风险。目前世界上每个医疗保健组织都面临的挑战是弄清楚如何从物联网技术中获得最大的患者护理利益，同时降低这种来自网络安全的风险。

哪些因素导致物联网设备存在安全风险?

当然，每台使用网络的设备都会增加所谓的“攻击面”。但对于大多数设备(手机、计算机)来说，这个漏洞很容易控制，但物联网设备的情况就没那么简单。以下是该技术带来更大安全风险的几个原因：

1、与 Windows计算机或Android手机等主流端点不同，多数物联网设备在设计时并未将安全放在首位(它们通常是无人值守和无人管理的)。

2、多达一半的连接设备(如超声波和MRI机器)在不再受支持或维护的旧操作系统上运行，这意味着它们没有安全支持或补丁可用。

3、医疗设备的网络安全没有认证和标准化。(考虑到医疗器械安全是世界上最严格的监管领域之一，这具有讽刺意味。)

4、当使用多种设备时很难手动清点每台设备并及时跟踪它在做什么。

5、物联网设备缺乏标准化的接口和控制，因此如果没有专门为物联网安全设计的解决方案，几乎不可能创建统一的安全策略、升级软件，甚至实施强密码。

由于这些原因，黑客很容易在医疗环境中破坏物联网设备。

黑客如何利用这些弱点进行攻击

那么当黑客能够入侵医院或其他医疗设施时会发生什么?他们通常遵循一个标准程序：

第 1 步：损害作为医疗保健网络中最薄弱环节的物联网设备。

第 2 步：访问设备上的任何数据并拦截其通信。

第 3 步：利用已知漏洞，横向移动到网络内的其他计算机和设备。

第 4 步：窃取机密医疗信息，或攻击关键任务功能，甚至两者兼而有之。

就对财务和患者护理的影响而言攻击的代价是惊人的：

服务暂停：2020年11月，佛蒙特大学健康网络遭到攻击，导致化疗和胸部x光检查服务被关闭。

赎金支付：医院平均花费430美元来赎回泄漏信息。

总体成本：2019年，针对医疗保健机构的一次物联网网络攻击的平均成本为346,205美元。

除此之外，如果不能提供一个足够安全的网络环境，越来越多的隐私和遵从标准也可能增加高额罚款。

物联网设备无疑是医疗保健IT网络中最薄弱的环节。正如我们所见，受攻击面越大，就越容易受到攻击。连接的设备越多，黑客入侵网络的”门“就越多。

那么如何阻止黑客入侵?

以下是确保您阻止黑客入侵的三个建议：

1、掌握网络全局。只有完全了解所访问网络的所有设备时，才能启动更全面的确保网络安全方法。许多企业仍然依赖手动更新和识别设备，这在物联网安全方面略显逊色，物联网需要自动化解决方案来实现全覆盖。

2、减少漏洞。修补程序和实时威胁情报是任何安全计划的核心，大多数组织都有修补程序。但大多数物联网设备几乎不可能保持最新状态，如果依靠软件更新来保证安全，将会遗漏关键漏洞。因此对软件进行静态代码安全检测等可以排查一定系统漏洞，防患于未然，确保数据安全。

3、网络分段管理。发生横向移动意味着一旦黑客进入您的网络，通常可以自由移动，针对某些设备(例如邮件服务器)进行破坏或访问安全信息。因此对不同区域网络实行分段管理，仅授予合法业务需求的访问权限。

参读链接：

https://blog.checkpoint.com/2021/06/21/how-to-tighten-iot-security-for-healthcare-organization/

来源：freebuf.com 2021-07-08 11:10:09 by: 中科天齐软件安全中心