En analyse av data fra mer enn 200 000 nettverkstilkoblede infusjonspumper som brukes på sykehus og i helseforetak, har avslørt at 75 % av disse medisinske enhetene inneholder sikkerhetssvakheter som kan sette dem i fare for potensiell utnyttelse. Truslene inkluderte eksponering for minst én av 40 kjente sårbarheter innen nettsikkerhet. For de som kanskje ikke vet det, er infusjonspumper IV-systemer som leverer væsker, medisiner og næringsstoffer til pasienter.
Truslene og sårbarhetene
Trusselintelligensteamet til Palo Alto Networks sa at de innhentet skanningene fra syv produsenter av medisinsk utstyr. I tillegg til dette var 52.11 % av alle skannede infusjonspumper utsatt for to kjente sårbarheter som ble avslørt i 2019 som en del av 11 feil samlet kalt « URGENT/11 »:
CVE-2019-12255 (CVSS-poengsum: 9.8) – En bufferoverløpsfeil i TCP-komponenten til Wind River VxWorks.
CVE-2019-12264 (CVSS-poengsum: 7.1) – Et problem med feil tilgangskontroll i klientkomponenten Dynamic Host Control Protocol (DHCP) i Wind River VxWorks.
Andre viktige feil som påvirker infusjonspumper er listet opp nedenfor:
CVE-2016-9355 (CVSS-poengsum: 5.3) – En uautorisert bruker med fysisk tilgang til en Alaris 8015 Point of Care-enhet kan være i stand til å demontere enheten for å få tilgang til det flyttbare flashminnet, noe som gir lese- og skrivetilgang til enhetsminnet.
CVE-2016-8375 (CVSS-score: 4.9) – En feil ved administrasjon av legitimasjon i Alaris 8015 Point of Care-enheter som kan utnyttes til å få ukryptert autentiseringslegitimasjon for trådløst nettverk og andre sensitive tekniske data
CVE-2020-25165 (CVSS-poengsum: 7.5) – Et sikkerhetsproblem med feil øktautentisering i Alaris 8015 Point of Care-enheter som kan misbrukes til å utføre et tjenestenektangrep på enhetene
CVE-2020-12040 (CVSS-score: 9.8) – Klartekstoverføring av sensitiv informasjon i Sigma Spectrum Infusion System
CVE-2020-12047 (CVSS-poengsum: 9.8) – Bruk av hardkodet FTP-legitimasjon i Baxter Spectrum WBM
CVE-2020-12045 (CVSS-poengsum: 9.8) – Bruk av hardkodet Telnet-legitimasjon i Baxter Spectrum WBM
CVE-2020-12043 (CVSS-score: 9.8) – Baxter Spectrum WBM FTP-tjeneste forblir operativ etter forventet utløpstid til den startes på nytt
CVE-2020-12041 (CVSS-score: 9.8) – Baxter Spectrum Wireless Battery Module (WBM) tillater dataoverføring og kommandolinjegrensesnitt over Telnet
Det stopper ikke her med sårbarhetene. Tro det eller ei, to år senere, i november 2021, fullførte Forescout et annet prosjekt som undersøkte medisinsk utstyr (ikke infusjonspumper) og identifiserte 13 nye TCP/IP-sårbarheter i medisinsk utstyr, som kalte dette forskningsprosjektet Nucleus:13 . Lærer vi ikke av historien? Det er mer sannsynlig at produsenter og sykehus rett og slett ignorerer disse risikoene.
Hva betyr dette?
Vellykket utnyttelse av disse sårbarhetene kan føre til lekkasje av sensitiv pasientinformasjon og gi en angriper uautorisert tilgang til medisinsk utstyr som infusjonspumper. I 2021 avslørte McAfee sikkerhetssårbarheter som påvirket B. Brauns «Infusomat Space Large Volume Pump» og «SpaceStation», som kunne misbrukes av ondsinnede parter til å tukle med medisindoser uten forutgående godkjenning.
I hovedsak er disse uoppdaterte eller ustøttede systemene åpne for å bli utnyttet av hackere. Hvis de kan kontrollere infusjonspumpene, kan de kontrollere en pasients skjebne ved å endre mengden medisiner som leveres i blodet deres, eller forhindre dem i å motta væske. I teorien kan hackere drepe pasienter eksternt ved å overdosere eller begrense livreddende medisiner.
Hvis du er en SMB som jobber innen helsevesenet, vil denne neste delen gi deg ideer om hvordan du kan redusere og minimere risikoen du står overfor for medisinsk utstyr og pasienter. Hvis du ikke jobber innen helsevesenet, kan du gå til delen om «ytterligere anbefalinger for nettsikkerhet» nedenfor.
Hva bør sykehus og helseforetak gjøre?
Forskernes oppdagelse viser hvor kritisk sårbare visse aspekter ved helsevesenet er. Siden resultatene av disse angrepene potensielt kan være dødelige, er det viktig at helseinstitusjoner gjør alt de kan for å forhindre angrep på disse systemene og helserelaterte systemer som ikke er nevnt.
Det er seks hovedrisikoområder for medisinsk utstyr i dag.
Eldre enheter og operativsystemer (OS)Medisinsk utstyr er som datamaskiner. Leverandører slutter å støtte gammelt utstyr og forventer at sykehus oppgraderer til nytt utstyr og nye operativsystemer etter en viss tid. Sykehus må spore utstyr og operativsystemer som ikke støttes, og erstatte dem etter en tidsplan.
patchingHvis vi bruker datamaskinanalogien, trenger selv støttede medisinske enheter reparasjon og oppdatering i løpet av levetiden. Sørg for at du har en Prosess for håndtering av sårbarhetsvarsler (VAMP) på plass, for å ta klare beslutninger om når man skal installere en oppdatering for en gitt sårbarhet eller eksponering.
Eksponering for ekstern kommunikasjonMedisinske enheter kommuniserer over TCP/IP-nettverk. Som vist av sikkerhetsforskere, først Palo Alto-nettverk, deretter to år senere av Forescount, er sårbarheter i disse gamle TCP/IP-stablene utbredt og må undersøkes, testes og oppdateres. Det er et must å begrense eksponeringen for eksterne nettverk og kommunikasjon for å forhindre angrep på medisinske enheter.
Usikre og ukrypterte protokollerNår du sender et brev i posten, forsegler du det slik at alle i mellom ikke kan lese meldingen din. Det er det kryptering gir i protokoller som administrerer enheter. En kommando utstedt av en lege kan ikke tukles med og endres når den sendes over krypterte, sikre protokoller. Problemet er at noe medisinsk utstyr kommuniserer med uforseglede konvolutter, slik at hackere kan endre forespørslene underveis. Tenk deg å endre morfindosen for en pasient fra 5 mg til 50 mg. Døden ville komme rask, men smertefri.
Standard, svake, hardkodede passordCyberHoot har skrevet om Tingenes Internett og svakheter i passord for å håndtere dem. Medisinsk utstyr er IoT-enheter og har ofte dårlig passordhygiene. Enhetsprodusenter må lære av produsenter av Wi-Fi-enheter og prege unike, sterke passord på hver enhet i stedet for standard, svake og gjenbrukte passord.
Effektiv segmenteringTil slutt bør sykehus segmentere sine medisinske utstyrsnettverk fra all annen trafikk. Det er ingen grunn til at noen som leser en e-post på en sykehusdatamaskin og blir infisert av skadelig programvare fra et phishing-angrep, da skal ha tilgang til et medisinsk utstyrsnettverk. Segmenter alt og beskytt deg selv. Tenk på en ubåt kontra Titanic, så forstår du nettverkssegmentering umiddelbart.
Ytterligere anbefalinger for nettsikkerhet
I tillegg vil disse anbefalingene nedenfor hjelpe deg og bedriften din med å holde seg sikre mot de ulike truslene dere kan møte på daglig basis. Alle forslagene nedenfor kan oppnås ved å leie CyberHoots vCISO-programutviklingstjenester.
Styr ansatte med retningslinjer og prosedyrer. Du trenger som et minimum en passordpolicy, en policy for akseptabel bruk, en policy for informasjonshåndtering og et skriftlig informasjonssikkerhetsprogram (WISP).
Lær opp ansatte i hvordan de kan oppdage og unngå phishing-angrepTa i bruk et læringsplattform som CyberHoot for å lære de ansatte ferdighetene de trenger for å bli mer selvsikre, produktive og sikre.
Test ansatte med phishing-angrep for å øve. CyberHoots phishing-testing lar bedrifter teste ansatte med troverdige phishing-angrep og gi de som mislykkes opplæring i korrigerende phishing.
Implementer kritisk cybersikkerhetsteknologi, inkludert tofaktorautentisering på alle kritiske kontoer. Aktiver filtrering av søppelpost i e-post, valider sikkerhetskopier, distribuer DNS-beskyttelse, antivirusog anti-skadelig programvare på alle endepunktene dine.
I den moderne hjemmekontortiden bør du sørge for at du administrerer personlige enheter som kobler seg til nettverket ditt ved å validere sikkerheten deres (oppdateringer, antivirus, DNS-beskyttelse osv.) eller forby bruken av dem helt.
Hvis du ikke har hatt en risikovurdering fra en tredjepart de siste to årene, bør du ha en nå. Å etablere et rammeverk for risikostyring i organisasjonen din er avgjørende for å håndtere de mest alvorlige risikoene dine med begrenset tid og penger.
Kjøp cyberforsikring for å beskytte deg i en katastrofal situasjon med ulykke. Cyberforsikring er ikke annerledes enn bil-, brann-, flom- eller livsforsikring. Den er der når du trenger den som mest.
Alle disse anbefalingene er innebygd i CyberHoot-produktet eller CyberHoots vCISO-tjenester. Med CyberHoot kan du styre, lære opp, vurdere og teste dine ansatte. Besøk CyberHoot.com og registrer deg for tjenestene våre i dag. Fortsett i det minste å lære ved å registrere deg for våre månedlige nyhetsbrev om cybersikkerhet for å holde deg oppdatert på de siste oppdateringene om cybersikkerhet.
For å lære mer, se denne Ted-talken om tilkobling og risikoer for medisinsk utstyr:
