想像一下你正在做CT 而惡意軟件攻擊卻導致過量輻射
?
WannaCry已經敲響了警鐘，但醫療行業依舊對攻擊毫無防備。去年5月爆發的WannaCry網絡攻擊印象漸淡，醫療行業和英國國民醫療服務(NHS)仍在埋首學習。
?
10月的英國國家審計辦公室(NAO)報告顯示，英格蘭和威爾士的81個NHS信托基金、603個基層醫療機構和595個全科醫療服務都感染了WannaCry，還有很多其他機構的系統遭鎖定，醫護人員無法讀取患者數據。
?
???? WannaCry的最終結果是使工作人員無法使用Windows計算機，雖然能給以當頭棒喝的方式讓人意識到不更新老舊設備會有嚴重后果，但代價太過慘重。而且，WannaCry攻擊還有另一個不太明顯的結果：醫學成像設備(MID)，比如核磁共振造影機(MRI)、計算機斷層掃描儀(CT)和數字成像及通信工作站(DICOM)也被破壞了，甚至當其他系統恢復后都還對醫院工作流有連帶影響。
?
今天的NHS體系中，或者說，英國的整個醫療行業里，MID的數量與其重要性完全不成比例。有些醫院甚至僅靠不到半打的MID來應付為數眾多的疾病、癌癥、術前和術后診斷。很難想象缺了MID的幫助，醫院運營還怎么繼續。
?
從價值15萬英鎊的小型CT掃描儀到花費數百萬英鎊的最新型MRI機都很難防護。NHS的很多MID都是通過 Windows XP 或 Windows 7 上運行的應用程序來控制的，而前者會被WannaCry搞藍屏，陷入無法避免的拒絕服務狀態。
?
正如NAO指出的：“這些設備基本上是被系統供應商管理著的，本地信托基金無法自行更新?！庇t療行業安全負責機構 NHS Digital 證實：制造商支持往往很糟，信托基金除了斷開掃描儀與內網的連接這種造成成像數據無法讀取的極端方式，就沒有別的方法可以防護MID了。
?
拒絕掃描
?
就目前所知，WannaCry的制作者甚至沒有特意去做就已經有了震驚世界的效果。如果他們本就是要搞癱一家醫院，或者有計劃地攻擊MID，會是個什么景象呢？英國當局嚴重低估了醫療行業被攻擊的可能性。
?
美國IoT安全公司ZingBox共同創始人兼CTO就表示，對醫療行業的概念驗證攻擊是2008年的Conficker，而不是2017年的WannaCry。
“ ? 雖然難以置信，但事實就是如此：感染全球醫院近10年之后，針對老舊Windows系統漏洞的蠕蟲依然在醫療行業的待辦事項列表中。 ? ?ZingBox調查了50家美國醫院的醫療設備安全狀況，發現MID貢獻了半數的高危安全漏洞。其中的深層原因是什么呢？這些系統幾乎全都通過Windows工作站控制，而且大多是漏洞密布的XP系統甚至遠古的98系統，也從側面反映出這些掃描硬件的年齡。 “ ? 至少在美國，醫院往往用虛擬局域網(VLAN)實現MID的部分隔離，但隨著越來越多的設備加入同個網段，這一策略也就迅速降級了。 ? ZingBox發現，VLAN中的設備僅1/4是醫療設備，其他都是PC、打印機和移動設備之類可供惡意軟件當做跳板染指MID工作站的東西。 ? 更糟的是，聯網設備和IoT醫療設備的增長速度遠超生物醫學IT員工的適應能力。很多情況下醫院甚至都沒有審計這些設備，更遑論保護了。 ? 乘人之危 ? 以色列本古里安大學的研究人員也注意到了同樣的問題，決定測試驗證一下MID究竟會不會受到針對性惡意軟件的直接攻擊。 ? 該團隊在2月公布了一份報告，指認CT掃描儀是頭號風險。CT掃描儀控制輻射量的配置文件是通過工作站應用程序設置的。 “ ? 只要操作該配置文件，攻擊者就可以控制CT的每一步動作。而這是十分危險的，可能導致接受檢查的患者輻射過量、受傷甚至死亡。 另外，攻擊者還可以混淆掃描結果，導致張三的治療方案被用在李四身上。而且CT操作員還未必會注意到哪里不對。 ? 雖然MID制造商基本都用的是定制的掃描程序，但針對某家制造商的MID設計攻擊方法卻不算太難。 ? 該研究團隊測試了23種針對MID的概念驗證攻擊，并準備在2018年的安全大會上做演示。 ? 該研究早于WannaCry的爆發，但WannaCry的出現無疑暴露出了MID和普通醫療設備的脆弱性。 “ ? 除了本古里安大學的研究人員，共同執行這項MID概念驗證攻擊研究的，還有以色列最大的醫療提供商 Clalit Health Services。其成像信息學主管認為，WannaCry被低估了。 “ ? 之所以會出現這種局面，制造公司安全意識欠缺、老舊的操作系統和設備架構，還有成本收益方面的考量是主要原因，而這些只有一整套全新的網絡安全策略才能拯救了。 ? ?IoT輸液泵 ? 不僅僅是MID，ZingBox還在某品牌的IoT輸液泵中發現了一大堆安全漏洞。 ? 比如可以隨意修改的硬編碼憑證、糟糕的加密，甚至還有漏洞可以讓黑客彈出勒索信息告訴你本設備已鎖定。 ? 也就是說，說到醫療安全的時候，我們主要談論的是信息泄露問題，是生與死的問題，是手術中斷病人垂危的問題。 ? 醫療設備安全問題就是另一個版本的發電廠SCADA漏洞問題，只不過，更為嚴重。 ? “
