अस्पतालों और स्वास्थ्य सेवा संस्थानों में इस्तेमाल होने वाले 200,000 से अधिक नेटवर्क से जुड़े इन्फ्यूजन पंपों के डेटा के विश्लेषण से पता चला है कि इनमें से 75% चिकित्सा उपकरणों में सुरक्षा संबंधी खामियां हैं, जिनसे उनके संभावित दुरुपयोग का खतरा हो सकता है। इन खतरों में 40 ज्ञात साइबर सुरक्षा कमजोरियों में से कम से कम एक के संपर्क में आना शामिल है। जो लोग नहीं जानते, उनके लिए बता दें कि इन्फ्यूजन पंप वे IV सिस्टम हैं जो मरीजों को तरल पदार्थ, दवाएं और पोषक तत्व पहुंचाते हैं।
खतरे और कमजोरियाँ
पालो अल्टो नेटवर्क्स की थ्रेट इंटेलिजेंस टीम ने कहा कि उसने सात चिकित्सा उपकरण निर्माताओं से स्कैन प्राप्त किए हैं। इसके अलावा, स्कैन किए गए सभी इन्फ्यूजन पंपों में से 52.11% दो ज्ञात कमजोरियों के प्रति संवेदनशील थे, जिनका खुलासा 2019 में " URGENT/11 " नामक 11 खामियों के हिस्से के रूप में किया गया था।
CVE-2019-12255 (सीवीएसएस स्कोर: 9.8) - विंड रिवर वीएक्सवर्क्स के टीसीपी घटक में बफर ओवरफ्लो दोष।
CVE-2019-12264 (सीवीएसएस स्कोर: 7.1) - विंड रिवर वीएक्सवर्क्स के डायनामिक होस्ट कंट्रोल प्रोटोकॉल (डीएचसीपी) क्लाइंट घटक में गलत एक्सेस नियंत्रण से संबंधित समस्या।
इन्फ्यूजन पंपों को प्रभावित करने वाली अन्य महत्वपूर्ण खामियां नीचे सूचीबद्ध हैं:
CVE-2016-9355 (सीवीएसएस स्कोर: 5.3) - अलारिस 8015 पॉइंट ऑफ केयर यूनिट तक भौतिक पहुंच रखने वाला एक अनधिकृत उपयोगकर्ता डिवाइस को अलग करके हटाने योग्य फ्लैश मेमोरी तक पहुंच सकता है, जिससे डिवाइस मेमोरी तक पढ़ने और लिखने की सुविधा मिल सकती है।
CVE-2016-8375 (सीवीएसएस स्कोर: 4.9) - अलारिस 8015 पॉइंट ऑफ केयर इकाइयों में एक क्रेडेंशियल प्रबंधन त्रुटि जिसका उपयोग अनएन्क्रिप्टेड वायरलेस नेटवर्क प्रमाणीकरण क्रेडेंशियल और अन्य संवेदनशील तकनीकी डेटा प्राप्त करने के लिए किया जा सकता है
CVE-2020-25165 (सीवीएसएस स्कोर: 7.5) - अलारिस 8015 पॉइंट ऑफ केयर इकाइयों में एक अनुचित सत्र प्रमाणीकरण भेद्यता जिसका दुरुपयोग उपकरणों पर सेवा अस्वीकार करने वाले हमले को अंजाम देने के लिए किया जा सकता है
CVE-2020-12040 (सीवीएसएस स्कोर: 9.8) - सिग्मा स्पेक्ट्रम इन्फ्यूजन सिस्टम में संवेदनशील जानकारी का क्लियरटेक्स्ट ट्रांसमिशन
CVE-2020-12047 (सीवीएसएस स्कोर: 9.8) – बैक्सटर स्पेक्ट्रम डब्ल्यूबीएम में हार्ड-कोडेड एफटीपी क्रेडेंशियल्स का उपयोग
CVE-2020-12045 (सीवीएसएस स्कोर: 9.8) – बैक्सटर स्पेक्ट्रम डब्ल्यूबीएम में हार्ड-कोडेड टेलनेट क्रेडेंशियल्स का उपयोग
CVE-2020-12043 (सीवीएसएस स्कोर: 9.8) - बैक्सटर स्पेक्ट्रम डब्ल्यूबीएम एफटीपी सेवा अपने अपेक्षित समाप्ति समय के बाद भी तब तक चालू रहती है जब तक इसे रीबूट नहीं किया जाता
CVE-2020-12041 (सीवीएसएस स्कोर: 9.8) - बैक्सटर स्पेक्ट्रम वायरलेस बैटरी मॉड्यूल (डब्ल्यूबीएम) टेलनेट पर डेटा ट्रांसमिशन और कमांड-लाइन इंटरफेस की अनुमति देता है
बात यहीं खत्म नहीं होती। यकीन मानिए या नहीं, दो साल बाद नवंबर 2021 में फोरस्काउट ने मेडिकल उपकरणों (इंफ्यूजन पंप नहीं) की जांच करते हुए एक अलग प्रोजेक्ट पूरा किया और उसमें 13 नई TCP/IP कमजोरियों की पहचान की। इस शोध प्रोजेक्ट को उन्होंने न्यूक्लियस:13 नाम दिया । क्या हम इतिहास से सबक नहीं सीखते? ऐसा लगता है कि निर्माता और अस्पताल इन जोखिमों को नजरअंदाज कर रहे हैं।
इसका क्या मतलब है?
इन खामियों का सफलतापूर्वक फायदा उठाने से मरीज़ों की संवेदनशील जानकारी लीक हो सकती है और हमलावर को इन्फ्यूजन पंप जैसे चिकित्सा उपकरणों तक अनधिकृत पहुंच मिल सकती है। 2021 में, मैक्फी ने बी. ब्रौन के 'इन्फ़्यूसोमैट स्पेस लार्ज वॉल्यूम पंप' और 'स्पेसस्टेशन' में सुरक्षा खामियों का खुलासा किया , जिनका दुरुपयोग दुर्भावनापूर्ण तत्वों द्वारा बिना किसी पूर्व प्रमाणीकरण के दवा की खुराक में हेरफेर करने के लिए किया जा सकता है।
मूलतः, इन बिना पैच वाले या असमर्थित सिस्टम का हैकर्स द्वारा शोषण किया जा सकता है। अगर वे इन्फ्यूजन पंपों को नियंत्रित कर सकते हैं, तो वे मरीज़ों के रक्तप्रवाह में पहुँचाई जाने वाली दवा की मात्रा बदलकर या उन्हें तरल पदार्थ मिलने से रोककर उनके भाग्य को नियंत्रित कर सकते हैं। सिद्धांत रूप में, हैकर्स जीवन रक्षक दवाओं की अधिक खुराक देकर या उन्हें प्रतिबंधित करके दूर से ही मरीज़ों को मार सकते हैं।
यदि आप स्वास्थ्य सेवा क्षेत्र में कार्यरत एक SMB हैं, तो यह अगला भाग आपको अपने चिकित्सा उपकरणों और रोगियों के लिए जोखिम को कम करने और न्यूनतम करने के तरीके बताएगा। यदि आप स्वास्थ्य सेवा क्षेत्र में कार्यरत नहीं हैं, तो नीचे दिए गए "अतिरिक्त साइबर सुरक्षा सुझाव" अनुभाग पर जाएँ।
अस्पतालों और स्वास्थ्य सेवा संस्थाओं को क्या करना चाहिए?
शोधकर्ताओं की यह खोज दर्शाती है कि स्वास्थ्य सेवा उद्योग के कुछ पहलू कितने गंभीर रूप से असुरक्षित हैं। इन हमलों के संभावित रूप से घातक होने के कारण, यह ज़रूरी है कि स्वास्थ्य सेवा केंद्र इन प्रणालियों और स्वास्थ्य सेवा से जुड़ी उन प्रणालियों पर हमलों को रोकने के लिए हर संभव प्रयास करें जिनका ज़िक्र नहीं किया गया है।
आज चिकित्सा उपकरणों के लिए जोखिम के छह मुख्य क्षेत्र हैं।
लीगेसी डिवाइस और ऑपरेटिंग सिस्टम (OS)चिकित्सा उपकरण कंप्यूटर की तरह होते हैं। विक्रेता पुराने उपकरणों का समर्थन करना बंद कर देते हैं और अस्पतालों से अपेक्षा करते हैं कि वे समय-समय पर नए उपकरणों और नए ऑपरेटिंग सिस्टम में अपग्रेड करें। अस्पतालों को असमर्थित उपकरणों और ऑपरेटिंग सिस्टम पर नज़र रखनी चाहिए और उन्हें एक निश्चित समय पर बदलना चाहिए।
पैचकंप्यूटर के उदाहरण से समझें तो, समर्थित चिकित्सा उपकरणों को भी अपने जीवनकाल के दौरान मरम्मत और पैचिंग की ज़रूरत होती है। सुनिश्चित करें कि आपके पास भेद्यता चेतावनी प्रबंधन प्रक्रिया (VAMP) किसी भेद्यता या जोखिम के लिए कब पैच लगाना है, इस पर स्पष्ट निर्णय लेने के लिए यह व्यवस्था लागू की गई है।
बाहरी संचार जोखिमचिकित्सा उपकरण TCP/IP नेटवर्क के ज़रिए संचार करते हैं। जैसा कि सुरक्षा शोधकर्ताओं ने पहले पालो ऑल्टो नेटवर्क और फिर दो साल बाद फ़ोर्सकाउंट द्वारा दिखाया, इन पुराने TCP/IP स्टैक में कमज़ोरियाँ बहुत ज़्यादा हैं और इनकी जाँच, परीक्षण और पैचिंग ज़रूरी है। अपने चिकित्सा उपकरणों पर हमलों को रोकने के लिए अपने बाहरी नेटवर्क और संचार के संपर्क को सीमित करना ज़रूरी है।
असुरक्षित और अनएन्क्रिप्टेड प्रोटोकॉलजब आप कोई पत्र भेजते हैं, तो उसे सील कर देते हैं ताकि बीच में कोई भी आपका संदेश न पढ़ सके। उपकरणों को प्रबंधित करने वाले प्रोटोकॉल में एन्क्रिप्शन यही प्रदान करता है। डॉक्टर द्वारा जारी किए गए आदेश को एन्क्रिप्टेड सुरक्षित प्रोटोकॉल पर प्रसारित होने पर न तो छेड़छाड़ की जा सकती है और न ही बदला जा सकता है। समस्या यह है कि कुछ चिकित्सा उपकरण बिना सील वाले लिफाफों से बात करते हैं, जिससे हैकर्स अनुरोधों को संशोधित कर सकते हैं। कल्पना कीजिए कि किसी मरीज के लिए मॉर्फिन की खुराक 5 मिलीग्राम से 50 मिलीग्राम कर दी जाए। मौत तुरंत होगी, लेकिन दर्द रहित।
डिफ़ॉल्ट, कमज़ोर, हार्डकोडेड पासवर्ड: साइबरहूट ने इसके बारे में लिखा है चीजों की इंटरनेट पासवर्ड की कमज़ोरियों और कमज़ोरियों को प्रबंधित करने के लिए उन्हें प्रबंधित करें। चिकित्सा उपकरण IoT उपकरण होते हैं और अक्सर इनमें पासवर्ड की स्वच्छता ठीक नहीं होती। उपकरण निर्माताओं को वाई-फ़ाई उपकरण निर्माताओं से सीख लेनी चाहिए और प्रत्येक उपकरण पर डिफ़ॉल्ट, कमज़ोर और बार-बार इस्तेमाल किए जाने वाले पासवर्ड के बजाय अद्वितीय और मज़बूत पासवर्ड अंकित करने चाहिए।
प्रभावी विभाजनअंत में, अस्पतालों के लिए अपने मेडिकल डिवाइस नेटवर्क को बाकी सभी ट्रैफ़िक से अलग करना समझदारी होगी। अस्पताल के कंप्यूटर पर ईमेल पढ़ने वाले किसी व्यक्ति के फ़िशिंग हमले से मैलवेयर से संक्रमित होने पर मेडिकल डिवाइस नेटवर्क तक पहुँच पाना कोई ज़रूरी नहीं है। सब कुछ अलग-अलग करके देखें और अपनी सुरक्षा करें। एक पनडुब्बी बनाम टाइटैनिक के बारे में सोचें और आपको नेटवर्क विभाजन तुरंत समझ आ जाएगा।
अतिरिक्त साइबर सुरक्षा अनुशंसाएँ
इसके अतिरिक्त, नीचे दिए गए सुझाव आपको और आपके व्यवसाय को रोज़मर्रा के विभिन्न खतरों से सुरक्षित रखने में मदद करेंगे। नीचे सूचीबद्ध सभी सुझाव साइबरहूट की vCISO प्रोग्राम विकास सेवाओं का लाभ उठाकर प्राप्त किए जा सकते हैं।
नीतियों और प्रक्रियाओं के ज़रिए कर्मचारियों को नियंत्रित करें। आपको कम से कम एक पासवर्ड नीति, एक स्वीकार्य उपयोग नीति, एक सूचना प्रबंधन नीति और एक लिखित सूचना सुरक्षा कार्यक्रम (WISP) की आवश्यकता होगी।
कर्मचारियों को प्रशिक्षित करें कि वे कैसे पहचानें और कैसे बचें फ़िशिंग हमलेकर्मचारियों को अधिक आत्मविश्वासी, उत्पादक और सुरक्षित बनने के लिए आवश्यक कौशल सिखाने के लिए साइबरहूट जैसी लर्निंग मैनेजमेंट प्रणाली को अपनाएं।
अभ्यास के लिए कर्मचारियों को फ़िशिंग हमलों के साथ परीक्षण करें। साइबरहूट का फ़िश परीक्षण व्यवसायों को विश्वसनीय फ़िशिंग हमलों के साथ कर्मचारियों का परीक्षण करने और विफल होने वालों को सुधारात्मक फ़िश प्रशिक्षण में रखने की अनुमति देता है।
महत्वपूर्ण साइबर सुरक्षा प्रौद्योगिकी को तैनात करना, जिसमें शामिल हैं दो तरीकों से प्रमाणीकरण सभी महत्वपूर्ण खातों पर। ईमेल स्पैम फ़िल्टरिंग सक्षम करें, बैकअप सत्यापित करें, DNS सुरक्षा लागू करें, एंटीवायरस, और आपके सभी एंडपॉइंट्स पर एंटी-मैलवेयर।
आधुनिक वर्क-फ्रॉम-होम युग में, सुनिश्चित करें कि आप अपने नेटवर्क से कनेक्ट होने वाले व्यक्तिगत उपकरणों का प्रबंधन उनकी सुरक्षा (पैचिंग, एंटीवायरस, डीएनएस सुरक्षा, आदि) को सत्यापित करके या उनके उपयोग को पूरी तरह से प्रतिबंधित करके कर रहे हैं।
अगर आपने पिछले 3 सालों में किसी तीसरे पक्ष से जोखिम मूल्यांकन नहीं करवाया है, तो आपको अब करवा लेना चाहिए। अपने संगठन में एक जोखिम प्रबंधन ढाँचा स्थापित करना आपके सीमित समय और धन के साथ आपके सबसे गंभीर जोखिमों से निपटने के लिए बेहद ज़रूरी है।
किसी भी भयावह दुर्घटना की स्थिति में अपनी सुरक्षा के लिए साइबर बीमा खरीदें। साइबर बीमा कार, आग, बाढ़ या जीवन बीमा से अलग नहीं है। यह तब काम आता है जब आपको इसकी सबसे ज़्यादा ज़रूरत होती है।
ये सभी सुझाव CyberHoot उत्पाद या CyberHoot की vCISO सेवाओं में अंतर्निहित हैं। CyberHoot के साथ आप अपने कर्मचारियों का प्रबंधन, प्रशिक्षण, मूल्यांकन और परीक्षण कर सकते हैं। CyberHoot.com पर जाएं और आज ही हमारी सेवाओं के लिए साइन अप करें। कम से कम , नवीनतम साइबर सुरक्षा अपडेट से अवगत रहने के लिए हमारे मासिक साइबर सुरक्षा न्यूज़लेटर की सदस्यता लेकर सीखते रहें ।
अधिक जानकारी के लिए, मेडिकल डिवाइस कनेक्टिविटी और जोखिमों पर यह टेड टॉक देखें:
