Isang pagsusuri ng datos mula sa mahigit 200,000 network-connected infusion pump na ginagamit sa mga ospital at mga entidad ng pangangalagang pangkalusugan ang nagsiwalat na 75% ng mga medikal na aparatong iyon ay may mga kahinaan sa seguridad na maaaring maglagay sa mga ito sa panganib ng potensyal na pagsasamantala. Kabilang sa mga banta ang pagkakalantad sa kahit isa sa 40 kilalang kahinaan sa cybersecurity. Para sa mga hindi nakakaalam, ang mga infusion pump ay ang mga IV system na naghahatid ng mga likido, gamot, at sustansya sa mga pasyente.
Ang mga Banta at Mga Kahinaan
Sinabi ng pangkat ng paniktik sa banta ng Palo Alto Networks na nakuha nito ang mga scan mula sa pitong tagagawa ng mga medikal na aparato. Bukod pa rito, 52.11% ng lahat ng na-scan na mga infusion pump ay madaling kapitan ng dalawang kilalang kahinaan na isiniwalat noong 2019 bilang bahagi ng 11 depekto na sama-samang tinatawag na " URGENT/11 ":
CVE-2019-12255 (CVSS score: 9.8) – Isang buffer overflow na depekto sa TCP component ng Wind River VxWorks.
CVE-2019-12264 (CVSS score: 7.1) – Isang isyu sa maling access control sa bahagi ng kliyente ng Dynamic Host Control Protocol (DHCP) ng Wind River VxWorks.
Ang iba pang mahahalagang depekto na nakakaapekto sa mga infusion pump ay nakalista sa ibaba:
CVE-2016-9355 (CVSS score: 5.3) – Ang isang hindi awtorisadong user na may pisikal na access sa isang Alaris 8015 Point of Care unit ay maaaring i-disassemble ang device para ma-access ang naaalis na flash memory, na nagbibigay-daan sa read-and-write na access sa device memory
CVE-2016-8375 (CVSS score: 4.9) – Isang error sa pamamahala ng kredensyal sa mga unit ng Alaris 8015 Point of Care na maaaring samantalahin upang makakuha ng hindi naka-encrypt na mga kredensyal sa pagpapatotoo ng wireless network at iba pang sensitibong teknikal na data
CVE-2020-25165 (CVSS score: 7.5) – Isang hindi tamang session authentication vulnerability sa Alaris 8015 Point of Care unit na maaaring abusuhin para magsagawa ng denial-of-service attack sa mga device
CVE-2020-12040 (CVSS score: 9.8) – Cleartext transmission ng sensitibong impormasyon sa Sigma Spectrum Infusion System
CVE-2020-12047 (CVSS score: 9.8) – Paggamit ng mga hard-coded na FTP na kredensyal sa Baxter Spectrum WBM
CVE-2020-12045 (CVSS score: 9.8) – Paggamit ng mga hard-coded na kredensyal ng Telnet sa Baxter Spectrum WBM
CVE-2020-12043 (CVSS score: 9.8) – Ang serbisyo ng Baxter Spectrum WBM FTP ay nananatiling gumagana pagkatapos ng inaasahang oras ng pag-expire nito hanggang sa ma-reboot ito
CVE-2020-12041 (CVSS score: 9.8) – Pinapahintulutan ng Baxter Spectrum Wireless Battery Module (WBM) ang paghahatid ng data at mga interface ng command-line sa Telnet
Hindi ito natatapos dito sa mga kahinaan. Maniwala ka man o hindi, pagkalipas ng 2 taon noong Nobyembre 2021, nakumpleto ng Forescout ang isang kakaibang proyekto na sumusuri sa mga medikal na aparato (hindi mga infusion pump) at natukoy ang 13 bagong kahinaan ng TCP/IP sa mga medikal na aparato na tinatawag na Nucleus:13 . Hindi ba tayo natututo mula sa kasaysayan? Mas malamang na binabalewala lamang ng mga tagagawa at ospital ang mga panganib na ito.
Ano ang ibig sabihin nito?
Ang matagumpay na pagsasamantala sa mga kahinaang ito ay maaaring magresulta sa pagtagas ng sensitibong impormasyon ng pasyente at payagan ang isang umaatake na makakuha ng hindi awtorisadong pag-access sa mga medikal na aparato tulad ng mga infusion pump. Noong 2021, isiniwalat ng McAfee ang mga kahinaan sa seguridad na nakakaapekto sa 'Infusomat Space Large Volume Pump' at 'SpaceStation' ng B. Braun na maaaring abusuhin ng mga malisyosong partido upang pakialaman ang mga dosis ng gamot nang walang anumang paunang pagpapatotoo.
Sa esensya, ang mga hindi na-patch o hindi sinusuportahang system na ito ay bukas sa pagsasamantala ng mga hacker. Kung makokontrol nila ang mga infusion pump, makokontrol nila ang kapalaran ng isang pasyente sa pamamagitan ng pagpapalit ng dami ng gamot na inihahatid sa kanilang daluyan ng dugo, o pagpigil sa kanila sa pagtanggap ng mga likido. Sa teorya, maaaring patayin ng mga hacker ang mga pasyente nang malayuan sa pamamagitan ng labis na dosis o paghihigpit sa mga gamot na nagliligtas-buhay.
Kung isa kang SMB na nagtatrabaho sa Healthcare, ang susunod na seksyong ito ay magbibigay sa iyo ng mga ideya kung paano pagaanin at bawasan ang mga panganib na kinakaharap mo sa iyong mga medikal na device at mga pasyente. Kung hindi ka nagpapatakbo sa Healthcare, lumaktaw sa seksyong "mga karagdagang rekomendasyon sa cybersecurity" sa ibaba.
Ano ang Dapat Gawin ng Mga Ospital at Entidad ng Pangangalagang Pangkalusugan?
Ang pagtuklas ng mga mananaliksik ay nagpapakita kung gaano kritikal na mahina ang ilang aspeto ng industriya ng pangangalagang pangkalusugan. Sa mga resulta ng mga pag-atakeng ito na posibleng nakamamatay, mahalagang ginagawa ng mga pasilidad ng pangangalagang pangkalusugan ang lahat ng kanilang magagawa para maiwasan ang mga pag-atake sa mga system na ito at mga sistemang nauugnay sa pangangalagang pangkalusugan na hindi nabanggit.
Mayroong anim na pangunahing lugar ng panganib sa mga medikal na kagamitan ngayon.
Mga Legacy na Device at Operating System (OS): Ang mga medikal na kagamitan ay parang mga kompyuter. Ang mga vendor ay huminto sa pagsuporta sa mga lumang kagamitan at inaasahan ang mga ospital na mag-upgrade sa bagong kagamitan at bagong OS sa isang sukat ng oras. Kailangang subaybayan ng mga ospital ang hindi sinusuportahang kagamitan at OS at palitan ang mga ito sa isang iskedyul.
Patching: gamit ang pagkakatulad ng computer, kahit na ang mga sinusuportahang medikal na device ay nangangailangan ng pag-aayos at pag-patch sa panahon ng kanilang buhay. Tiyaking mayroon kang a Proseso ng Pamamahala ng Alerto sa Paghihina (VAMP) sa lugar, upang makagawa ng malinaw na mga pagpapasya kung kailan dapat tumalon sa isang patch para sa isang partikular na kahinaan o pagkakalantad.
Exposure sa Komunikasyon sa labas: nakikipag-usap ang mga medikal na device sa mga TCP/IP network. Tulad ng ipinakita ng mga mananaliksik sa seguridad, una sa mga Palo Alto network, pagkatapos 2 taon mamaya sa pamamagitan ng Forescount, ang mga kahinaan sa mga lumang TCP/IP stack na ito ay laganap at dapat suriin, subukan, at i-patch. Ang paglilimita sa iyong panlabas na network at pagkakalantad sa mga komunikasyon upang maiwasan ang mga pag-atake sa iyong mga medikal na aparato ay kinakailangan.
Mga Insecure at Hindi Naka-encrypt na Protocol: Kapag nag-mail ka ng isang sulat, tinatakan mo ito upang hindi mabasa ng lahat ng nasa pagitan ang iyong mensahe. Iyan ang ibinibigay ng pag-encrypt sa mga protocol na namamahala ng mga device. Ang isang utos na ibinigay ng isang Doktor, ay hindi maaaring pakialaman at baguhin kapag naglalakbay ito sa mga naka-encrypt na secure na protocol. Ang problema ay, ang ilang mga medikal na aparato ay nakikipag-usap sa mga hindi naka-sealed na sobre, na nagpapahintulot sa mga hacker na baguhin ang mga kahilingan sa daan. Isipin na baguhin ang dosis ng morphine para sa isang pasyente mula 5mg hanggang 50mg. Ang kamatayan ay magiging mabilis, ngunit walang sakit.
Default, Mahina, Mga Hardcoded na Password: Sumulat ang CyberHoot tungkol sa Internet ng mga bagay at mga kahinaan sa mga password upang pamahalaan ang mga ito. Ang mga medikal na device ay mga IoT device at kadalasang naglalaman ng hindi magandang kalinisan ng password. Kailangang matuto ng mga manufacturer ng device mula sa mga gumagawa ng Wi-Fi device at mag-imprint ng mga natatanging malalakas na password sa bawat device sa halip na mga default, mahina, at ginamit na mga password.
Epektibong Segmentation: Sa wakas, magiging matalino ang mga ospital na i-segment ang kanilang mga network ng medikal na device mula sa lahat ng iba pang trapiko. Walang dahilan ang isang taong nagbabasa ng email sa isang computer ng ospital na nahawahan ng Malware mula sa isang phishing na pag-atake, ay dapat magkaroon ng access sa isang network ng medikal na device. I-segment ang lahat at protektahan ang iyong sarili. Mag-isip ng isang submarino kumpara sa Titanic at mauunawaan mo kaagad ang segmentasyon ng network.
Mga Karagdagang Rekomendasyon sa Cybersecurity
Bukod pa rito, ang mga rekomendasyong ito sa ibaba ay makakatulong sa iyo at sa iyong negosyo na manatiling ligtas laban sa iba't ibang banta na maaaring kaharapin mo sa araw-araw. Lahat ng mga mungkahing nakalista sa ibaba ay makukuha sa pamamagitan ng pagkuha ng mga serbisyo sa pagbuo ng vCISO Program ng CyberHoot.
Pamahalaan ang mga empleyado na may mga patakaran at pamamaraan. Kailangan mo ng isang patakaran sa password, isang katanggap-tanggap na patakaran sa paggamit, isang patakaran sa pangangasiwa ng impormasyon, at isang nakasulat na programa sa seguridad ng impormasyon (WISP) sa pinakamababa.
Sanayin ang mga empleyado kung paano makita at iwasan atake ng phishing. Mag-adopt ng Learning Management system tulad ng CyberHoot para ituro sa mga empleyado ang mga kasanayang kailangan nila para maging mas kumpiyansa, produktibo, at secure.
Subukan ang mga empleyado sa mga pag-atake ng Phishing upang magsanay. Ang pagsubok sa Phish ng CyberHoot ay nagbibigay-daan sa mga negosyo na subukan ang mga empleyado ng mga mapagkakatiwalaang pag-atake ng phishing at ilagay ang mga nabigo sa remedial na pagsasanay sa phish.
I-deploy ang kritikal na teknolohiya sa cybersecurity kasama ang dalawang-factor na pagpapatotoo sa lahat ng kritikal na account. Paganahin ang pag-filter ng SPAM ng email, patunayan ang mga backup, i-deploy ang proteksyon ng DNS, antivirus, at anti-malware sa lahat ng iyong endpoint.
Sa modernong panahon ng Work-from-Home, tiyaking pinamamahalaan mo ang mga personal na device na kumokonekta sa iyong network sa pamamagitan ng pag-validate ng kanilang seguridad (pag-patch, antivirus, mga proteksyon ng DNS, atbp) o ganap na pagbabawal sa paggamit ng mga ito.
Kung hindi ka pa nagkaroon ng risk assessment ng isang 3rd party sa nakalipas na 2 taon, dapat ay mayroon ka na ngayon. Ang pagtatatag ng isang balangkas ng pamamahala sa peligro sa iyong organisasyon ay mahalaga sa pagtugon sa iyong mga pinakamatinding panganib sa iyong limitadong oras at pera.
Bumili ng Cyber-Insurance para protektahan ka sa isang sitwasyon ng kabiguan. Ang Cyber-Insurance ay walang pinagkaiba sa Car, Fire, Flood, o Life insurance. Nandiyan kapag kailangan mo ito.
Ang lahat ng mga rekomendasyong ito ay nakapaloob sa produkto ng CyberHoot o sa mga Serbisyo ng vCISO ng CyberHoot. Gamit ang CyberHoot, maaari mong pamahalaan, sanayin, suriin, at subukan ang iyong mga empleyado. Bisitahin ang CyberHoot.com at mag-sign up para sa aming mga serbisyo ngayon. Kahit papaano ay patuloy na matuto sa pamamagitan ng pag-enroll sa aming buwanang mga newsletter ng Cybersecurity upang manatiling updated sa mga kasalukuyang update sa cybersecurity.
Para Matuto Pa, Panoorin ang Ted Talk na Ito sa Pagkakakonekta at Mga Panganib sa Medikal na Device:
