Eine Analyse von Daten aus über 200,000 vernetzten Infusionspumpen in Krankenhäusern und Gesundheitseinrichtungen hat ergeben, dass 75 % dieser Medizinprodukte Sicherheitslücken aufweisen, die sie potenziell angreifbar machen. Zu den Bedrohungen zählt die Anfälligkeit für mindestens eine von 40 bekannten Cybersicherheitslücken. Infusionspumpen sind Infusionssysteme, die Patienten Flüssigkeiten, Medikamente und Nährstoffe verabreichen.
Die Bedrohungen und Schwachstellen
Das Threat-Intelligence-Team von Palo Alto Networks gab an, die Scans von sieben Herstellern medizinischer Geräte erhalten zu haben. Darüber hinaus waren 52.11 % aller gescannten Infusionspumpen anfällig für zwei bekannte Schwachstellen, die 2019 als Teil von elf Sicherheitslücken unter der Bezeichnung „ URGENT/11 “ offengelegt wurden:
CVE-2019-12255 (CVSS-Score: 9.8) – Ein Pufferüberlauffehler in der TCP-Komponente von Wind River VxWorks.
CVE-2019-12264 (CVSS-Score: 7.1) – Ein Problem mit falscher Zugriffskontrolle in der Dynamic Host Control Protocol (DHCP)-Clientkomponente von Wind River VxWorks.
Weitere wichtige Mängel, die Infusionspumpen betreffen, sind unten aufgeführt:
CVE-2016-9355 (CVSS-Score: 5.3) – Ein nicht autorisierter Benutzer mit physischem Zugriff auf eine Alaris 8015 Point of Care-Einheit kann das Gerät möglicherweise zerlegen, um auf den entfernbaren Flash-Speicher zuzugreifen und so Lese- und Schreibzugriff auf den Gerätespeicher zu erhalten.
CVE-2016-8375 (CVSS-Punktzahl: 4.9) – Ein Anmeldedatenverwaltungsfehler in Alaris 8015 Point-of-Care-Geräten, der ausgenutzt werden könnte, um unverschlüsselte Anmeldedaten für die drahtlose Netzwerkauthentifizierung und andere sensible technische Daten zu erhalten
CVE-2020-25165 (CVSS-Ergebnis: 7.5) – Eine Schwachstelle bei unsachgemäßer Sitzungsauthentifizierung in Alaris 8015 Point-of-Care-Einheiten, die missbraucht werden könnte, um einen Denial-of-Service-Angriff auf die Geräte durchzuführen
CVE-2020-12040 (CVSS-Bewertung: 9.8) – Klartextübertragung sensibler Informationen im Sigma Spectrum Infusion System
CVE-2020-12047 (CVSS-Bewertung: 9.8) – Verwendung von fest codierten FTP-Anmeldeinformationen in Baxter Spectrum WBM
CVE-2020-12045 (CVSS-Bewertung: 9.8) – Verwendung von fest codierten Telnet-Anmeldeinformationen in Baxter Spectrum WBM
CVE-2020-12043 (CVSS-Bewertung: 9.8) – Der Baxter Spectrum WBM FTP-Dienst bleibt nach seiner erwarteten Ablaufzeit betriebsbereit, bis er neu gestartet wird
CVE-2020-12041 (CVSS-Bewertung: 9.8) – Baxter Spectrum Wireless Battery Module (WBM) ermöglicht Datenübertragung und Befehlszeilenschnittstellen über Telnet
Doch damit nicht genug. Unglaublich, aber wahr: Zwei Jahre später, im November 2021, schloss Forescout ein anderes Projekt ab, in dem medizinische Geräte (keine Infusionspumpen) untersucht wurden. Dabei wurden 13 neue TCP/IP-Schwachstellen in medizinischen Geräten identifiziert. Dieses Forschungsprojekt trug den Namen Nucleus:13 . Lernen wir denn gar nichts aus der Geschichte? Wahrscheinlicher ist, dass Hersteller und Krankenhäuser diese Risiken einfach ignorieren.
Was bedeutet das?
Die erfolgreiche Ausnutzung dieser Sicherheitslücken könnte zum Abfluss sensibler Patientendaten führen und Angreifern unbefugten Zugriff auf medizinische Geräte wie Infusionspumpen ermöglichen. Im Jahr 2021 veröffentlichte McAfee Sicherheitslücken in den Infusionspumpen „Infusomat Space Large Volume Pump“ und „SpaceStation“ von B. Braun, die von Angreifern missbraucht werden könnten, um ohne vorherige Authentifizierung Medikamentendosen zu manipulieren.
Diese ungepatchten oder nicht unterstützten Systeme können von Hackern ausgenutzt werden. Wenn sie die Infusionspumpen kontrollieren, können sie das Schicksal eines Patienten beeinflussen, indem sie die Medikamentenmenge in seinem Blutkreislauf verändern oder die Flüssigkeitszufuhr verhindern. Theoretisch könnten Hacker Patienten aus der Ferne töten, indem sie ihnen eine Überdosis verabreichen oder die Verabreichung lebensrettender Medikamente einschränken.
Wenn Sie ein KMU im Gesundheitswesen sind, finden Sie im nächsten Abschnitt Anregungen, wie Sie die Risiken für Ihre medizinischen Geräte und Patienten minimieren können. Wenn Sie nicht im Gesundheitswesen tätig sind, fahren Sie mit dem Abschnitt „Weitere Empfehlungen zur Cybersicherheit“ unten fort.
Was sollten Krankenhäuser und Gesundheitseinrichtungen tun?
Die Entdeckung der Forscher zeigt, wie gefährdet bestimmte Bereiche des Gesundheitswesens sind. Da diese Angriffe potenziell tödliche Folgen haben können, ist es für Gesundheitseinrichtungen unerlässlich, alles zu tun, um Angriffe auf diese und nicht erwähnte gesundheitsbezogene Systeme zu verhindern.
Heutzutage gibt es für medizinische Geräte sechs Hauptrisikobereiche.
Legacy-Geräte und Betriebssysteme (OS)Medizinische Geräte sind wie Computer. Hersteller stellen den Support für alte Geräte ein und erwarten von Krankenhäusern, dass sie zeitnah auf neue Geräte und Betriebssysteme umsteigen. Krankenhäuser müssen nicht mehr unterstützte Geräte und Betriebssysteme im Blick behalten und planmäßig ersetzen.
Patchen: Um die Computeranalogie zu verwenden: Auch unterstützte medizinische Geräte müssen während ihrer Lebensdauer repariert und gepatcht werden. Stellen Sie sicher, dass Sie über eine Vulnerability Alert Management Process (VAMP) vorhanden, um klare Entscheidungen darüber zu treffen, wann für eine bestimmte Sicherheitslücke oder Gefährdung ein Patch bereitgestellt werden soll.
Externe KommunikationspräsenzMedizinische Geräte kommunizieren über TCP/IP-Netzwerke. Wie Sicherheitsforscher – zunächst Palo Alto Networks und zwei Jahre später Forescount – zeigten, sind Schwachstellen in diesen alten TCP/IP-Stacks weit verbreitet und müssen untersucht, getestet und behoben werden. Um Angriffe auf Ihre medizinischen Geräte zu verhindern, ist es unerlässlich, die Gefährdung Ihres externen Netzwerks und Ihrer Kommunikation zu begrenzen.
Unsichere und unverschlüsselte ProtokolleWenn Sie einen Brief verschicken, versiegeln Sie ihn, sodass niemand dazwischenkommt. Genau das ermöglicht die Verschlüsselung von Protokollen zur Gerätesteuerung. Ein Befehl eines Arztes kann nicht manipuliert oder geändert werden, wenn er über verschlüsselte, sichere Protokolle übertragen wird. Das Problem ist jedoch, dass manche medizinischen Geräte mit unversiegelten Umschlägen kommunizieren, sodass Hacker die Anweisungen unterwegs ändern können. Stellen Sie sich vor, Sie ändern die Morphiumdosis eines Patienten von 5 mg auf 50 mg. Der Tod wäre schnell, aber schmerzlos.
Standardmäßige, schwache, fest codierte Passwörter: CyberHoot hat über die Internet der Dinge und Schwächen in Passwörtern, um sie zu verwalten. Medizinische Geräte sind IoT-Geräte und weisen oft eine mangelhafte Passworthygiene auf. Gerätehersteller müssen von den Herstellern von WLAN-Geräten lernen und jedem Gerät eindeutige, sichere Passwörter aufprägen, anstatt standardmäßige, schwache und wiederverwendete Passwörter.
Effektive SegmentierungKrankenhäuser sollten ihre medizinischen Gerätenetzwerke vom gesamten übrigen Datenverkehr isolieren. Es gibt keinen Grund, warum jemand, der eine E-Mail auf einem Krankenhauscomputer liest und durch einen Phishing-Angriff mit Malware infiziert wird, Zugriff auf ein medizinisches Gerätenetzwerk haben sollte. Segmentieren Sie alles und schützen Sie sich. Vergleichen Sie die Situation mit einem U-Boot und der Titanic, und Sie verstehen die Netzwerksegmentierung sofort.
Zusätzliche Empfehlungen zur Cybersicherheit
Darüber hinaus helfen Ihnen die folgenden Empfehlungen, sich und Ihr Unternehmen vor den vielfältigen Bedrohungen des täglichen Lebens zu schützen. Alle unten aufgeführten Vorschläge erhalten Sie durch die Inanspruchnahme der vCISO-Programmentwicklungsdienste von CyberHoot.
Kontrollieren Sie Ihre Mitarbeiter mit Richtlinien und Verfahren. Sie benötigen mindestens eine Kennwortrichtlinie, eine Richtlinie zur akzeptablen Nutzung, eine Richtlinie zum Umgang mit Informationen und ein schriftliches Informationssicherheitsprogramm (WISP).
Schulen Sie Ihre Mitarbeiter darin, wie sie Phishing-Attacken. Führen Sie ein Lernmanagementsystem wie CyberHoot ein, um Ihren Mitarbeitern die Fähigkeiten beizubringen, die sie benötigen, um selbstbewusster, produktiver und sicherer zu sein.
Testen Sie Ihre Mitarbeiter mit Phishing-Angriffen. Mit den Phishing-Tests von CyberHoot können Unternehmen ihre Mitarbeiter mit glaubwürdigen Phishing-Angriffen testen und diejenigen, die scheitern, einem Phishing-Training unterziehen.
Einsatz kritischer Cybersicherheitstechnologie, einschließlich Zwei-Faktor-Authentifizierung auf allen kritischen Konten. Aktivieren Sie E-Mail-SPAM-Filter, validieren Sie Backups, implementieren Sie DNS-Schutz, Antivirusund Anti-Malware auf allen Ihren Endpunkten.
Stellen Sie im modernen Homeoffice-Zeitalter sicher, dass Sie die Verbindung zu Ihrem Netzwerk herstellende private Geräte verwalten, indem Sie deren Sicherheit (Patches, Virenschutz, DNS-Schutz usw.) validieren oder ihre Verwendung vollständig verbieten.
Wenn Sie in den letzten zwei Jahren keine Risikobewertung durch Dritte durchführen ließen, sollten Sie jetzt eine durchführen lassen. Die Etablierung eines Risikomanagement-Rahmens in Ihrem Unternehmen ist entscheidend, um Ihre größten Risiken mit der begrenzten Zeit und dem begrenzten Geld zu bewältigen.
Schließen Sie eine Cyber-Versicherung ab, um sich im Ernstfall abzusichern. Eine Cyber-Versicherung unterscheidet sich nicht von einer Auto-, Feuer-, Hochwasser- oder Lebensversicherung. Sie ist für Sie da, wenn Sie sie am meisten brauchen.
Alle diese Empfehlungen sind in CyberHoot (Produkt oder vCISO-Services) integriert. Mit CyberHoot können Sie Ihre Mitarbeiter steuern, schulen, beurteilen und testen. Besuchen Sie CyberHoot.com und registrieren Sie sich noch heute für unsere Services. Bleiben Sie außerdem mit unseren monatlichen Cybersicherheits-Newslettern stets auf dem Laufenden.
Um mehr zu erfahren, sehen Sie sich diesen Ted Talk über die Konnektivität und Risiken medizinischer Geräte an:
Bleiben Sie auf dem Laufenden mit den neuesten Sicherheitseinblicke
Entdecken und teilen Sie die neuesten Trends, Tipps und Best Practices zur Cybersicherheit – sowie neue Bedrohungen, vor denen Sie sich in Acht nehmen sollten.
