Freeman Health System公司在密蘇里州、俄克拉荷馬州和堪薩斯州的30家機構中有大約8000臺聯(lián)網(wǎng)的醫(yī)療設備。許多醫(yī)療設備在任何時候如果遭到網(wǎng)絡攻擊有可能讓患者面臨致命危險，這家連鎖醫(yī)院的首席信息官Skip Rollins表示，“這是所有人都害怕的世界末日?！?/p>

Rollins希望能夠掃描這些設備的漏洞，并在上面安裝安全軟件，以確保它們不被黑客攻擊。但是很難做到。

他說，“醫(yī)療領域的供應商通常不會很好地合作，他們都有專有的操作系統(tǒng)和專有工具。我們無法掃描這些設備，也不能在這些設備上安裝安全軟件。我們看不到他們在做什么，供應商是故意這么設置的?！?/p>

他說，“供應商聲稱他們的產(chǎn)品和系統(tǒng)不會受到網(wǎng)絡攻擊。然后我們會說，‘讓我們把這些承諾寫進合同。’但他們通常拒絕。”

這是因為這些設備可能充滿漏洞。根據(jù)醫(yī)療網(wǎng)絡安全商Cynerio公司今年早些時候發(fā)布的一份調(diào)查報告，53%的醫(yī)療設備至少存在一個嚴重漏洞。例如，設備通常帶有默認密碼和設置，網(wǎng)絡攻擊者可以很容易地在網(wǎng)上找到這些密碼或設置，或者運行的是不受支持的Windows舊版本。

網(wǎng)絡攻擊者一直在不斷進行攻擊，根據(jù)波洛蒙研究所在去年秋天發(fā)布的研究報告，對物聯(lián)網(wǎng)或醫(yī)療設備的攻擊占所有醫(yī)療保健漏洞的21%，與網(wǎng)絡釣魚攻擊的比例相同。

和其他醫(yī)療保健提供商一樣，F(xiàn)reeman Health Systems公司正試圖讓設備供應商更認真地對待安全問題，但到目前為止還沒有取得成功。Rollins說，“我們的供應商并不會和我們一起解決這個問題，這是他們的專有商業(yè)模式?！?/p>

因此，有些設備位于公眾可訪問的區(qū)域，有些設備具有可訪問的USB端口，連接到網(wǎng)絡，但無法直接解決安全問題。

在預算緊張的情況下，即使有更新、更安全的替代品可用，醫(yī)院也無法要求供應商更換新設備。因此，F(xiàn)reeman Health Systems公司使用基于網(wǎng)絡的緩解策略和其他解決方案來幫助降低風險。

Rollins說，“我們監(jiān)控進出的流量。”他們使用的是Ordr公司提供的流量監(jiān)控工具。與可疑地點的通信可能會被防火墻阻斷，而向其他醫(yī)院系統(tǒng)的橫向移動則會受到網(wǎng)絡分割的限制。

他說：“但這并不意味著醫(yī)療設備在照顧病人的過程中不會被破壞?！?/p>

讓事情更加復雜的是，阻止這些設備與其他國家和地區(qū)通信，可能會導致關鍵更新無法安裝。

他表示：“來自其他國家的設備并不罕見，因為有些零部件都是在世界各地生產(chǎn)的?！?/p>

Rollins說，在現(xiàn)實生活中，他沒有遇到試圖通過入侵醫(yī)療設備對患者造成身體傷害的事例。他說;“至少在今天，大多數(shù)黑客都是為了獲利，而不是為了傷害他人?！钡愃朴赟olarWinds針對醫(yī)療設備的民族國家攻擊，有可能造成難以估量的破壞。

他說:“大多數(shù)醫(yī)療設備都連接回一個中心設備，形成一種輪輻式的網(wǎng)絡。如果他們破壞了這些網(wǎng)絡，就會破壞我們用來照顧病人的工具。這是一個真正的威脅?！?/p>

物聯(lián)網(wǎng)可見性斗爭

物聯(lián)網(wǎng)安全的第一個挑戰(zhàn)是識別企業(yè)環(huán)境中存在哪些設備。但設備通常是由單個業(yè)務單位或員工安裝的，它們屬于運營、建筑和維護以及其他部門的權限。

許多企業(yè)沒有一個單獨的人負責物聯(lián)網(wǎng)設備的安全。安永公司負責美洲OT和IT業(yè)務的Doug Clifton表示，任命某個人是控制問題的第一步。

第二步是找到適合的設備。Forrester公司分析師Paddy Harrington表示，有幾家供應商提供網(wǎng)絡掃描服務，以幫助企業(yè)做到這一點。來自Checkpoint、PaloAlto和其他公司的設備可以持續(xù)運行被動掃描，當檢測到新設備時，會自動對其應用安全策略。他說，“這不會解決所有問題，但這是朝著正確方向邁出的一步?！?/p>

不過，有些設備并不完全屬于已知的類別，也難以指導。Clifton說：“這有一個二八法則。80%的設備可以通過技術收集。對于另外20%的人，需要做一些調(diào)查工作?！?/p>

Harrington說，尚未擁有物聯(lián)網(wǎng)掃描工具的企業(yè)應該與他們已經(jīng)合作的安全供應商協(xié)商。他說，“可以了解他們是否有安全產(chǎn)品，雖然可能不是同類產(chǎn)品中的佼佼者，但它有助于縮小差距，而且用戶不必擁有大量的新基礎設施?！?/p>

Palo Alto公司物聯(lián)網(wǎng)安全首席技術官May Wang表示，企業(yè)通常使用電子表格來跟蹤物聯(lián)網(wǎng)設備。每個業(yè)務領域可能都有自己的列表。她說：“當患者去醫(yī)院看病時，會收到IT部門、設施部門和生物醫(yī)療設備部門的電子表格，這三個電子表格都是不同的，顯示的是不同的設備?！?/p>

當Palo Alto公司對設備運營環(huán)境進行掃描時，這些列表通常都達不到要求——有時相差超過一個數(shù)量級。May Wang表示，許多設備都是老舊設備，是在物聯(lián)網(wǎng)設備被認為是安全威脅之前安裝的。她說，“傳統(tǒng)的網(wǎng)絡安全系統(tǒng)看不到這些設備，而保護這些設備的傳統(tǒng)方法不起作用。”

但在設備全部被識別出來之前，企業(yè)不能將終端安全或漏洞管理策略應用到設備上。Palo Alto公司現(xiàn)在將機器學習驅(qū)動的物聯(lián)網(wǎng)設備檢測集成到下一代防火墻中。

May Wang說，“我們可以告訴用戶有什么樣的設備、硬件、軟件、操作系統(tǒng)，以及正在使用什么協(xié)議。Palo Alto公司的系統(tǒng)無法檢測并獲取每臺設備的全部信息。對于其中一些設備可能沒有那么詳細，但我們可以獲得大多數(shù)設備的大部分信息。這為了解設備提供了可見性。”

根據(jù)技術的部署方式，Palo Alto公司還可以根據(jù)設備的內(nèi)部、橫向通信接收設備，并為新發(fā)現(xiàn)的設備建議或自動實現(xiàn)安全策略。

當物聯(lián)網(wǎng)設備使用蜂窩通信時，這就產(chǎn)生了一個更大的問題。她說，“很多物聯(lián)網(wǎng)設備都是5G設備，使用蜂窩通信將成為更大的問題，我們因此有一個負責5G安全的部門，這無疑帶來了更多的挑戰(zhàn)。”

物聯(lián)網(wǎng)的內(nèi)部窺視

一旦物聯(lián)網(wǎng)設備被可靠地發(fā)現(xiàn)和清點，它們需要像其他網(wǎng)絡設備一樣嚴格地管理和保護。這需要配置管理、漏洞掃描、流量監(jiān)控和其他功能。

即使是沒有連接到外部網(wǎng)絡的設備，也可能成為在企業(yè)內(nèi)部橫向移動的攻擊者的中間集結點或藏身之處。

一年前，H.I.G.Capital公司首席信息官Marcos Marrero就面臨著這樣的困境。

該公司是一家全球投資商，管理著超過500億美元的股本，在全球各地有26個辦事處。該公司在其網(wǎng)絡運行數(shù)百個設備，例如攝像頭、物理安全設備和監(jiān)控機房內(nèi)溫度和電源的傳感器。Marrero說，物聯(lián)網(wǎng)設備安全是一個巨大的問題，而且它還在不斷發(fā)展壯大。

作為一家金融公司，H.I.G.Capital公司的安全意識非常強，其安全團隊會監(jiān)督安裝在其網(wǎng)絡上的每一個設備。Marrero說，“好在我們還沒有在運營環(huán)境中遇到任何物聯(lián)網(wǎng)威脅。但能夠定位設備只是這段旅程的開始，然后是漏洞和配置的可見性?！?/p>

大約一年前，Marrero對其中一個房間警報設備進行了漏洞掃描，發(fā)現(xiàn)了不需要身份驗證的開放端口。該公司聯(lián)系了警報設備制造商，并獲得了如何加強設備安全的說明。他說：“但我們必須要求制造商提供更詳細的信息。”

他說，該公司運行的漏洞掃描只從外部查看了設備，發(fā)現(xiàn)了開放的端口和操作系統(tǒng)類型，但其他內(nèi)容很少。他說，“這些設備中使用的開源軟件存在大量漏洞。”

為了解決這個問題，H.I.G.Capital公司求助于Netrise公司的固件掃描工具。

Marrero說，“我們做了一個概念驗證，上傳了一張固件圖像，它返回了所有的漏洞數(shù)據(jù)和其他信息?！?/p>

上傳圖片是一個人工操作的過程，上傳每張圖片需要幾分鐘的時間。由于同一類型的設備是很多重復的圖像，該公司總共上傳了不到20張圖片。其掃描的結果是，該公司的漏洞清單增加了28%。

他說，“我們不知道它們存在于我們的運營環(huán)境中，因此出現(xiàn)了大量漏洞?！?/p>

發(fā)現(xiàn)漏洞之后，H.I.G.Capital公司聯(lián)系了設備供應商，并采取了其他解決措施。他說?！叭绻O備太危險，對我們的環(huán)境造成了太大的風險，那么可能會將其拆除，或者對它進行額外的控制。”

例如，一些設備在網(wǎng)絡上被分割開來，使用訪問控制列表來限制其他系統(tǒng)和用戶可以訪問該設備的內(nèi)容。他說。“例如，安全攝像頭只能與支持該設備的技術資產(chǎn)通話，這限制了任何不當利用的風險。”

然后，任何未來的固件更新都會在部署之前通過Netrise工具運行，以防制造商引入新的漏洞。該公司的其他物聯(lián)網(wǎng)管理政策包括在最初的購買決定期間進行安全檢查。

他說：“在我們購買任何資產(chǎn)之前，需要確保它們有某種級別的日志記錄，我可以將它們發(fā)送到集中日志記錄環(huán)境中?！彼傅氖窃摴镜陌踩畔⒑褪录芾?SIEM)系統(tǒng)。

他說，“我們的SIEM所做的是收集我們發(fā)送給它的所有不同日志，并將它們關聯(lián)起來，以降低錯誤警報的水平?！?/p>

他說，該公司偶爾會遇到記錄水平非常不成熟的設備。

監(jiān)測和監(jiān)督

一旦所有設備都被識別、按風險分類，并盡可能地進行修補和更新，下一步就是圍繞可能對企業(yè)造成最大傷害的設備創(chuàng)建一個監(jiān)控框架。

在某些情況下，企業(yè)可能能夠在物聯(lián)網(wǎng)設備上安裝端點保護軟件，以保護它們免受惡意攻擊，監(jiān)控配置和設置，確保它們已經(jīng)打了完整的補丁，并監(jiān)控異?；顒?。對于一些較舊的設備或?qū)Ｓ性O備(如醫(yī)療設備)，這可能是不可能的。

當設備連接到企業(yè)網(wǎng)絡時，這些通信可以被監(jiān)控以防止可疑活動。

一些企業(yè)在物聯(lián)網(wǎng)安全方面獲得了突破。根據(jù)Palo Alto公司發(fā)布的數(shù)據(jù)，98%的物聯(lián)網(wǎng)流量是未加密的。此外，物聯(lián)網(wǎng)設備通常會重復地做同樣的事情。

Palo Alto公司的May Wang說，“以恒溫器為例，它的功能只是用來記錄溫度，僅此而已。它不應該與其他服務器對話。這是一件好事——它讓人工智能模型更容易建立行為基線?！?/p>

物聯(lián)網(wǎng)和零信任的未來

隨著企業(yè)轉(zhuǎn)向零信任架構，重要的是不要忘記連接的設備。

零信任原則和設計上的安全性應用于加固設備和相關應用程序。安全供應商DigiCert公司物聯(lián)網(wǎng)解決方案副總裁Srinivas Kumar表示，這首先要從保護控制開始，例如設備識別和認證，以及具有供應鏈防篡改功能的可信設備更新。他補充說，通信也需要安全。

WI-SUN是通過創(chuàng)建認證和加密標準來保護物聯(lián)網(wǎng)設備的行業(yè)組織之一，成立于大約10年前，專門專注于公用事業(yè)公司、智慧城市和農(nóng)業(yè)使用的設備。

WI-SUN標準中內(nèi)置的安全措施包括：在設備連接到網(wǎng)絡時驗證設備的證書、確保所有消息都是私有的加密以及防止中間人攻擊的消息完整性檢查。

地緣政治緊張局勢的加劇意味著，保護這些儀表以及關鍵基礎設施運營的其他關鍵設備越來越緊迫。WI-SUN總裁兼首席執(zhí)行官Phil Beecher表示：“如果在橋梁或鐵路軌道上安裝了結構完整性檢查傳感器，如果有人破壞了所有傳感器，那么將會讓城市陷入巨大的混亂?！?/p>

UL Solutions公司平臺解決方案負責人兼SafeCyber項目負責人David Nosibor表示，這只是一個開始。他說，“從供應鏈中斷到食物、水或電力的損失，這些影響可能十分廣泛。”

他說，與此同時，網(wǎng)絡攻擊者正變得越來越老練，而且很多企業(yè)的工作人員缺乏網(wǎng)絡安全專業(yè)知識。除此之外，隨著立法者意識到風險，一波監(jiān)管浪潮即將到來。

Nosibor說，“這些挑戰(zhàn)是相互關聯(lián)的。不幸的是，許多企業(yè)難以應對這種復雜性。”