Eine Analyse der Daten von mehr als 200,000 netzwerkverbundenen Infusionspumpen Die Untersuchung von in Krankenhäusern und Gesundheitseinrichtungen eingesetzten medizinischen Geräten ergab, dass 75 % dieser Geräte Sicherheitslücken aufweisen, die eine potenzielle Ausnutzung gefährden könnten. Zu den Bedrohungen gehörte die Anfälligkeit für mindestens eine von 40 bekannten Cybersicherheitslücken. Für alle, die es vielleicht noch nicht wissen: Infusionspumpen sind Infusionssysteme, die Patienten Flüssigkeiten, Medikamente und Nährstoffe zuführen.
Die Bedrohungen und Schwachstellen
Das Threat Intelligence Team von Palo Alto Networks gab an, die Scans von sieben Herstellern medizinischer Geräte erhalten zu haben. Darüber hinaus waren 52.11 % aller gescannten Infusionspumpen anfällig für zwei bekannte Schwachstellen, die 2019 als Teil von elf Schwachstellen bekannt wurden, die zusammenfassend als „DRINGEND/11"
CVE-2019-12255 (CVSS-Score: 9.8) – Ein Pufferüberlauffehler in der TCP-Komponente von Wind River VxWorks.
CVE-2019-12264 (CVSS-Score: 7.1) – Ein Problem mit falscher Zugriffskontrolle in der Dynamic Host Control Protocol (DHCP)-Clientkomponente von Wind River VxWorks.
Weitere wichtige Mängel, die Infusionspumpen betreffen, sind unten aufgeführt:
CVE-2016-9355 (CVSS-Score: 5.3) – Ein nicht autorisierter Benutzer mit physischem Zugriff auf eine Alaris 8015 Point of Care-Einheit kann das Gerät möglicherweise zerlegen, um auf den entfernbaren Flash-Speicher zuzugreifen und so Lese- und Schreibzugriff auf den Gerätespeicher zu erhalten.
CVE-2016-8375 (CVSS-Punktzahl: 4.9) – Ein Anmeldedatenverwaltungsfehler in Alaris 8015 Point-of-Care-Geräten, der ausgenutzt werden könnte, um unverschlüsselte Anmeldedaten für die drahtlose Netzwerkauthentifizierung und andere sensible technische Daten zu erhalten
CVE-2020-25165 (CVSS-Ergebnis: 7.5) – Eine Schwachstelle bei unsachgemäßer Sitzungsauthentifizierung in Alaris 8015 Point-of-Care-Einheiten, die missbraucht werden könnte, um einen Denial-of-Service-Angriff auf die Geräte durchzuführen
CVE-2020-12040 (CVSS-Bewertung: 9.8) – Klartextübertragung sensibler Informationen im Sigma Spectrum Infusion System
CVE-2020-12047 (CVSS-Bewertung: 9.8) – Verwendung von fest codierten FTP-Anmeldeinformationen in Baxter Spectrum WBM
CVE-2020-12045 (CVSS-Bewertung: 9.8) – Verwendung von fest codierten Telnet-Anmeldeinformationen in Baxter Spectrum WBM
CVE-2020-12043 (CVSS-Bewertung: 9.8) – Der Baxter Spectrum WBM FTP-Dienst bleibt nach seiner erwarteten Ablaufzeit betriebsbereit, bis er neu gestartet wird
CVE-2020-12041 (CVSS-Bewertung: 9.8) – Baxter Spectrum Wireless Battery Module (WBM) ermöglicht Datenübertragung und Befehlszeilenschnittstellen über Telnet
Doch damit nicht genug der Schwachstellen. Ob Sie es glauben oder nicht, 2 Jahre später, im November 2021 Vorausschau schloss ein anderes Projekt zur Untersuchung medizinischer Geräte (keine Infusionspumpen) ab und identifizierte 13 neue TCP/IP-Schwachstellen in medizinischen Geräten und nannte dieses Forschungsprojekt das Kern: 13. Lernen wir nicht aus der Geschichte? Es ist wahrscheinlicher, dass Hersteller und Krankenhäuser diese Risiken einfach ignorieren.
Was bedeutet das?
Die erfolgreiche Ausnutzung dieser Schwachstellen könnte zum Verlust sensibler Patientendaten führen und eine Angreifer um unbefugten Zugriff auf medizinische Geräte wie Infusionspumpen zu erhalten. Im Jahr 2021 offengelegt Sicherheitslücken bei B. Brauns „Infusomat Space Large Volume Pump“ und „SpaceStation“, die von böswilligen Dritten missbraucht werden könnten, um Medikamentendosen ohne vorherige Authentifizierung zu manipulieren.
Diese ungepatchten oder nicht unterstützten Systeme können von Hackern ausgenutzt werden. Wenn sie die Infusionspumpen kontrollieren, können sie das Schicksal eines Patienten beeinflussen, indem sie die Medikamentenmenge in seinem Blutkreislauf verändern oder die Flüssigkeitszufuhr verhindern. Theoretisch könnten Hacker Patienten aus der Ferne töten, indem sie ihnen eine Überdosis verabreichen oder die Verabreichung lebensrettender Medikamente einschränken.
Wenn Sie ein KMU im Gesundheitswesen sind, finden Sie im nächsten Abschnitt Anregungen, wie Sie die Risiken für Ihre medizinischen Geräte und Patienten minimieren können. Wenn Sie nicht im Gesundheitswesen tätig sind, fahren Sie mit dem Abschnitt „Weitere Empfehlungen zur Cybersicherheit“ unten fort.
Was sollten Krankenhäuser und Gesundheitseinrichtungen tun?
Die Entdeckung der Forscher zeigt, wie gefährdet bestimmte Bereiche des Gesundheitswesens sind. Da diese Angriffe potenziell tödliche Folgen haben können, ist es für Gesundheitseinrichtungen unerlässlich, alles zu tun, um Angriffe auf diese und nicht erwähnte gesundheitsbezogene Systeme zu verhindern.
Heutzutage gibt es für medizinische Geräte sechs Hauptrisikobereiche.
Legacy-Geräte und Betriebssysteme (OS)Medizinische Geräte sind wie Computer. Hersteller stellen den Support für alte Geräte ein und erwarten von Krankenhäusern, dass sie zeitnah auf neue Geräte und Betriebssysteme umsteigen. Krankenhäuser müssen nicht mehr unterstützte Geräte und Betriebssysteme im Blick behalten und planmäßig ersetzen.
Patchen: Um die Computeranalogie zu verwenden: Auch unterstützte medizinische Geräte müssen während ihrer Lebensdauer repariert und gepatcht werden. Stellen Sie sicher, dass Sie über eine Vulnerability Alert Management Process (VAMP) vorhanden, um klare Entscheidungen darüber zu treffen, wann für eine bestimmte Sicherheitslücke oder Gefährdung ein Patch bereitgestellt werden soll.
Externe KommunikationspräsenzMedizinische Geräte kommunizieren über TCP/IP-Netzwerke. Wie Sicherheitsforscher – zunächst Palo Alto Networks und zwei Jahre später Forescount – zeigten, sind Schwachstellen in diesen alten TCP/IP-Stacks weit verbreitet und müssen untersucht, getestet und behoben werden. Um Angriffe auf Ihre medizinischen Geräte zu verhindern, ist es unerlässlich, die Gefährdung Ihres externen Netzwerks und Ihrer Kommunikation zu begrenzen.
Unsichere und unverschlüsselte ProtokolleWenn Sie einen Brief verschicken, versiegeln Sie ihn, sodass niemand dazwischenkommt. Genau das ermöglicht die Verschlüsselung von Protokollen zur Gerätesteuerung. Ein Befehl eines Arztes kann nicht manipuliert oder geändert werden, wenn er über verschlüsselte, sichere Protokolle übertragen wird. Das Problem ist jedoch, dass manche medizinischen Geräte mit unversiegelten Umschlägen kommunizieren, sodass Hacker die Anweisungen unterwegs ändern können. Stellen Sie sich vor, Sie ändern die Morphiumdosis eines Patienten von 5 mg auf 50 mg. Der Tod wäre schnell, aber schmerzlos.
Standardmäßige, schwache, fest codierte Passwörter: CyberHoot hat über die Internet der Dinge und Schwächen in Passwörtern, um sie zu verwalten. Medizinische Geräte sind IoT-Geräte und weisen oft eine mangelhafte Passworthygiene auf. Gerätehersteller müssen von den Herstellern von WLAN-Geräten lernen und jedem Gerät eindeutige, sichere Passwörter aufprägen, anstatt standardmäßige, schwache und wiederverwendete Passwörter.
Effektive SegmentierungKrankenhäuser sollten ihre medizinischen Gerätenetzwerke vom gesamten übrigen Datenverkehr isolieren. Es gibt keinen Grund, warum jemand, der eine E-Mail auf einem Krankenhauscomputer liest und durch einen Phishing-Angriff mit Malware infiziert wird, Zugriff auf ein medizinisches Gerätenetzwerk haben sollte. Segmentieren Sie alles und schützen Sie sich. Vergleichen Sie die Situation mit einem U-Boot und der Titanic, und Sie verstehen die Netzwerksegmentierung sofort.
Zusätzliche Empfehlungen zur Cybersicherheit
Darüber hinaus helfen Ihnen die folgenden Empfehlungen dabei, sich und Ihr Unternehmen vor den verschiedenen Bedrohungen zu schützen, denen Sie tagtäglich ausgesetzt sein können. Alle unten aufgeführten Vorschläge können durch die Beauftragung der vCISO-Programmentwicklungsdienste von CyberHoot umgesetzt werden.
Kontrollieren Sie Ihre Mitarbeiter mit Richtlinien und Verfahren. Sie benötigen mindestens eine Kennwortrichtlinie, eine Richtlinie zur akzeptablen Nutzung, eine Richtlinie zum Umgang mit Informationen und ein schriftliches Informationssicherheitsprogramm (WISP).
Schulen Sie Ihre Mitarbeiter darin, wie sie Phishing-Attacken. Führen Sie ein Lernmanagementsystem wie CyberHoot ein, um Ihren Mitarbeitern die Fähigkeiten beizubringen, die sie benötigen, um selbstbewusster, produktiver und sicherer zu sein.
Testen Sie Ihre Mitarbeiter mit Phishing-Angriffen. Mit den Phishing-Tests von CyberHoot können Unternehmen ihre Mitarbeiter mit glaubwürdigen Phishing-Angriffen testen und diejenigen, die scheitern, einem Phishing-Training unterziehen.
Einsatz kritischer Cybersicherheitstechnologie, einschließlich Zwei-Faktor-Authentifizierung auf allen kritischen Konten. Aktivieren Sie E-Mail-SPAM-Filter, validieren Sie Backups, implementieren Sie DNS-Schutz, Antivirusund Anti-Malware auf allen Ihren Endpunkten.
Stellen Sie im modernen Homeoffice-Zeitalter sicher, dass Sie die Verbindung zu Ihrem Netzwerk herstellende private Geräte verwalten, indem Sie deren Sicherheit (Patches, Virenschutz, DNS-Schutz usw.) validieren oder ihre Verwendung vollständig verbieten.
Wenn Sie in den letzten zwei Jahren keine Risikobewertung durch Dritte durchführen ließen, sollten Sie jetzt eine durchführen lassen. Die Etablierung eines Risikomanagement-Rahmens in Ihrem Unternehmen ist entscheidend, um Ihre größten Risiken mit der begrenzten Zeit und dem begrenzten Geld zu bewältigen.
Schließen Sie eine Cyber-Versicherung ab, um sich im Ernstfall abzusichern. Eine Cyber-Versicherung unterscheidet sich nicht von einer Auto-, Feuer-, Hochwasser- oder Lebensversicherung. Sie ist für Sie da, wenn Sie sie am meisten brauchen.
Alle diese Empfehlungen sind in CyberHoot, dem Produkt oder den vCISO-Services von CyberHoot, integriert. Mit CyberHoot können Sie Ihre Mitarbeiter steuern, schulen, bewerten und testen. Besuchen Sie CyberHoot.com und melden Sie sich noch heute für unsere Dienste an. Lernen Sie zumindest weiter, indem Sie sich für unseren monatlichen Newsletter zur Cybersicherheit um über aktuelle Updates zur Cybersicherheit auf dem Laufenden zu bleiben.
Um mehr zu erfahren, sehen Sie sich diesen Ted Talk über die Konnektivität und Risiken medizinischer Geräte an:
Bleiben Sie auf dem Laufenden mit den neuesten Sicherheitseinblicke
Entdecken und teilen Sie die neuesten Trends, Tipps und Best Practices zur Cybersicherheit – sowie neue Bedrohungen, vor denen Sie sich in Acht nehmen sollten.
Die Steuersaison hält Buchhalter auf Trab – und Betrüger ebenfalls. Anfang dieses Sommers geriet eine Wirtschaftsprüfungsgesellschaft in die Schlagzeilen…
