Analýza dat z více než 200 000 síťově připojených infuzních pump používaných v nemocnicích a zdravotnických zařízeních odhalila, že 75 % těchto zdravotnických prostředků obsahuje bezpečnostní slabiny, které by je mohly vystavit riziku potenciálního zneužití. Mezi hrozby patřilo vystavení alespoň jedné ze 40 známých kybernetických zranitelností. Pro ty, kteří to možná nevědí, infuzní pumpy jsou intravenózní systémy, které pacientům dodávají tekutiny, léky a živiny.
Hrozby a zranitelnosti
Tým pro analýzu hrozeb společnosti Palo Alto Networks uvedl, že získal skeny od sedmi výrobců zdravotnických prostředků. Kromě toho bylo 52.11 % všech skenovaných infuzních pump náchylných ke dvěma známým zranitelnostem, které byly odhaleny v roce 2019 jako součást 11 chyb souhrnně označovaných jako „ URGENT/11 “:
CVE-2019-12255 (Skóre CVSS: 9.8) – Chyba způsobující přetečení vyrovnávací paměti v komponentě TCP systému Wind River VxWorks.
CVE-2019-12264 (Skóre CVSS: 7.1) – Problém s nesprávným řízením přístupu v klientské komponentě Dynamic Host Control Protocol (DHCP) produktu Wind River VxWorks.
Další důležité nedostatky ovlivňující infuzní pumpy jsou uvedeny níže:
CVE-2016-9355 (Skóre CVSS: 5.3) – Neoprávněný uživatel s fyzickým přístupem k jednotce Alaris 8015 Point of Care může být schopen zařízení rozebrat a získat přístup k vyjímatelné flash paměti, což umožní přístup k paměti zařízení pro čtení a zápis.
CVE-2016-8375 (Skóre CVSS: 4.9) – Chyba správy přihlašovacích údajů v jednotkách Alaris 8015 Point of Care, která by mohla být zneužita k získání nešifrovaných přihlašovacích údajů pro bezdrátovou síť a dalších citlivých technických dat.
CVE-2020-25165 (Skóre CVSS: 7.5) – Zranitelnost umožňující nesprávné ověřování relace v jednotkách Alaris 8015 Point of Care, která by mohla být zneužita k provedení útoku typu denial-of-service na zařízeních.
CVE-2020-12040 (Skóre CVSS: 9.8) – Přenos citlivých informací v otevřeném textu v infuzním systému Sigma Spectrum
CVE-2020-12047 (Skóre CVSS: 9.8) – Použití pevně zakódovaných přihlašovacích údajů FTP v Baxter Spectrum WBM
CVE-2020-12045 (Skóre CVSS: 9.8) – Použití pevně zakódovaných přihlašovacích údajů Telnet v Baxter Spectrum WBM
CVE-2020-12043 (Skóre CVSS: 9.8) – FTP služba Baxter Spectrum WBM zůstává funkční i po očekávaném vypršení platnosti, dokud není restartována.
CVE-2020-12041 (Skóre CVSS: 9.8) – Bezdrátový bateriový modul Baxter Spectrum (WBM) umožňuje přenos dat a rozhraní příkazového řádku přes Telnet
Tímto se zranitelnostmi to ale nekončí. Věřte nebo ne, o 2 roky později, v listopadu 2021, společnost Forescout dokončila jiný projekt zkoumající zdravotnické prostředky (ne infuzní pumpy) a identifikovala 13 nových zranitelností TCP/IP v zdravotnických prostředcích, přičemž tento výzkumný projekt nazvala Nucleus:13 . Nepoučíme se z historie? Je pravděpodobnější, že výrobci a nemocnice tato rizika jednoduše ignorují.
Co to znamená?
Úspěšné zneužití těchto zranitelností by mohlo vést k úniku citlivých informací o pacientech a umožnit útočníkovi získat neoprávněný přístup ke zdravotnickým prostředkům, jako jsou infuzní pumpy. V roce 2021 společnost McAfee odhalila bezpečnostní zranitelnosti ovlivňující systémy „Infusomat Space Large Volume Pump“ a „SpaceStation“ od společnosti B. Braun, které by mohly být zneužity zlými úmysly k manipulaci s dávkami léků bez předchozího ověření.
V podstatě jsou tyto neopravené nebo nepodporované systémy náchylné k zneužití hackery. Pokud mohou ovládat infuzní pumpy, mohou ovlivnit osud pacienta změnou množství léků dodávaných do krevního oběhu nebo zabráněním v příjmu tekutin. Teoreticky by hackeři mohli pacienty zabíjet na dálku předávkováním nebo omezením léků, které jim zachraňují život.
Pokud jste malá a střední firma pracující ve zdravotnictví, v následující části se dozvíte, jak zmírnit a minimalizovat rizika, kterým čelíte v souvislosti se svými zdravotnickými prostředky a pacienty. Pokud nepůsobíte ve zdravotnictví, přejděte k níže uvedené části „další doporučení pro kybernetickou bezpečnost“.
Co by měly dělat nemocnice a zdravotnická zařízení?
Objev výzkumníků ukazuje, jak kriticky zranitelné jsou určité aspekty zdravotnictví. Vzhledem k potenciálně smrtelným následkům těchto útoků je nezbytné, aby zdravotnická zařízení dělala vše pro to, aby zabránila útokům na tyto systémy a systémy související se zdravotní péčí, o kterých se nemluví.
V současné době existuje šest hlavních oblastí rizika pro zdravotnické prostředky.
Starší zařízení a operační systémy (OS)Zdravotnické přístroje jsou jako počítače. Dodavatelé přestávají podporovat stará zařízení a očekávají, že nemocnice budou postupně přecházet na nová zařízení a nové operační systémy. Nemocnice musí sledovat nepodporovaná zařízení a operační systémy a podle plánu je nahrazovat.
Patchování: pomocí analogie s počítači, i podporované zdravotnické prostředky potřebují během své životnosti opravy a záplaty. Ujistěte se, že máte Proces správy upozornění na zranitelnosti (VAMP) na místě, aby bylo možné jasně rozhodnout, kdy pro danou zranitelnost nebo ohrožení nainstalovat záplatu.
Expozice externí komunikaceZdravotnická zařízení komunikují přes sítě TCP/IP. Jak ukázali bezpečnostní výzkumníci, nejprve v sítích Palo Alto a poté o 2 roky později Forescount, zranitelnosti v těchto starých protokolech TCP/IP jsou rozšířené a musí být prozkoumány, testovány a opraveny. Omezení expozice vaší externí sítě a komunikace, aby se zabránilo útokům na vaše zdravotnická zařízení, je nezbytné.
Nezabezpečené a nešifrované protokolyKdyž odesíláte dopis poštou, zalepíte ho, aby si vaši zprávu nemohl přečíst nikdo mezi nimi. To je to, co šifrování zajišťuje v protokolech, které spravují zařízení. Příkaz vydaný lékařem nelze při cestě přes šifrované zabezpečené protokoly pozměnit ani změnit. Problém je v tom, že některá zdravotnická zařízení komunikují s nezapečetěnými obálkami, což hackerům umožňuje upravovat požadavky cestou. Představte si, že byste změnili dávku morfinu pro pacienta z 5 mg na 50 mg. Smrt by byla rychlá, ale bezbolestná.
Výchozí, slabá, pevně zakódovaná heslaCyberHoot psal o Internet věcí a slabiny v heslech pro jejich správu. Zdravotnické přístroje jsou zařízení internetu věcí a často vykazují špatnou hygienu hesel. Výrobci zařízení se musí učit od výrobců zařízení Wi-Fi a na každé zařízení vkládat jedinečná silná hesla namísto výchozích, slabých a opakovaně používaných hesel.
Efektivní segmentaceA konečně, nemocnice by měly segmentovat své sítě zdravotnických prostředků od veškerého ostatního provozu. Není důvod, proč by někdo, kdo čte e-mail na nemocničním počítači a je nakažen malwarem v důsledku phishingového útoku, měl mít přístup k síti zdravotnických prostředků. Segmentujte vše a chraňte se. Představte si ponorku versus Titanic a segmentaci sítě okamžitě pochopíte.
Další doporučení pro kybernetickou bezpečnost
Kromě toho vám a vaší firmě pomohou tato níže uvedená doporučení zůstat v bezpečí před různými hrozbami, kterým můžete denně čelit. Všechna níže uvedená doporučení můžete získat najmutím služeb vývoje programu vCISO od společnosti CyberHoot.
Říďte zaměstnance pomocí zásad a postupů. Potřebujete minimálně zásady pro hesla, zásady pro přijatelné použití, zásady pro nakládání s informacemi a písemný program zabezpečení informací (WISP).
Školte zaměstnance, jak je rozpoznat a jak se jim vyhnout phishingové útokyZaveďte systém pro řízení vzdělávání, jako je CyberHoot, abyste zaměstnancům poskytli dovednosti, které potřebují k větší sebedůvěrě, produktivitě a bezpečí.
Otestujte zaměstnance phishingovými útoky pro procvičení. Phishingové testování od CyberHootu umožňuje firmám otestovat zaměstnance věrohodnými phishingovými útoky a ty, kteří neuspějí, zařadit do nápravného phishingového školení.
Nasaďte kritické technologie kybernetické bezpečnosti, včetně dvoufaktorová autentizace na všech kritických účtech. Povolte filtrování spamu v e-mailech, ověřte zálohy, nasaďte ochranu DNS, antivirusa antimalwarovou ochranu na všech vašich koncových bodech.
V moderní éře práce z domova se ujistěte, že spravujete osobní zařízení připojující se k vaší síti ověřením jejich zabezpečení (záplaty, antivirový program, ochrana DNS atd.) nebo jejich používání zcela zakážete.
Pokud jste v posledních 2 letech neprovedli posouzení rizik třetí stranou, měli byste ho provést nyní. Zavedení rámce pro řízení rizik ve vaší organizaci je zásadní pro řešení nejzávažnějších rizik s vaším omezeným časem a penězi.
Pořiďte si kybernetické pojištění, které vás ochrání v případě katastrofického selhání. Kybernetické pojištění se neliší od pojištění auta, požáru, povodně nebo životního pojištění. Je tu pro vás, když ho nejvíce potřebujete.
Všechna tato doporučení jsou součástí produktu CyberHoot nebo služeb vCISO od CyberHoot. S CyberHootem můžete řídit, školit, hodnotit a testovat své zaměstnance. Navštivte CyberHoot.com a zaregistrujte se k odběru našich služeb ještě dnes. Minimálně se můžete i nadále vzdělávat přihlášením k odběru našich měsíčních newsletterů o kybernetické bezpečnosti , abyste byli informováni o aktuálních aktualizacích v oblasti kybernetické bezpečnosti.
Chcete-li se dozvědět více, podívejte se na tuto přednášku Ted Talk o konektivitě a rizicích zdravotnických prostředků:
