[論文レビュー] Security of Medical Cyber-physical Systems: An Empirical Study on Imaging Devices

Zhiqiang Wang, Pingchuan Ma+2 more|arXiv (Cornell University)|Mar 30, 2019

Wireless Body Area Networks参考文献 15被引用数 4

ひとこと要約

本論文は、医療サイバーフィジカルシステム（MICPS）における医療画像デバイスのセキュリティに関する実証的調査を提示し、脅威モデル、攻撃手法、保護メカニズムを提案する。9社の製品から15台のデバイスを評価した結果、暗号化、アクセス制御、システムハードニングにおいて広範な脆弱性が判明し、すべてのデバイスがセキュリティ要件を満たしておらず、市場前評価およびライフサイクル保護の改善が急務であることが浮き彫りになった。

ABSTRACT

Recent years have witnessed a boom of connected medical devices, which brings security issues in the meantime. Medical imaging devices, an essential part of medical cyber-physical systems, play a vital role in modern hospitals and are often life-critical. However, security and privacy issues in these medical cyber-physical systems are sometimes ignored. In this paper, we perform an empirical study on imaging devices to analyse the security of medical cyber-physical systems. To be precise, we design a threat model and propose prospective attack techniques for medical imaging devices. To tackle potential cyber threats, we introduce protection mechanisms, evaluate the effectiveness and efficiency of protection mechanisms as well as its interplay with attack techniques. To scoring security, we design a hierarchical system that provides actionable suggestions for imaging devices in different scenarios. We investigate 15 devices from 9 manufacturers to demonstrate empirical comprehension and real-world security issues.

研究の動機と目的

• 医療サイバーフィジカルシステム（MICPS）における医療画像デバイスの現実世界のセキュリティおよびプライバシー上の脆弱性を特定すること。
• 医療画像デバイスを標的とした包括的な脅威モデルおよび将来の攻撃手法を開発すること。
• 特定の脅威に対して、既存の保護メカニズムの有効性と効率性を評価すること。
• 異なる展開シナリオに応じた実行可能な推奨事項を提供する階層的セキュリティスコアリングシステムを設計すること。
• 9社の製品から選ばれた15台の代表的医療画像デバイスの、現実世界の環境におけるセキュリティポリシーを評価すること。

提案手法

• 病院のPACS/RISおよび外部ベンダーサーバーとのデバイス相互作用に基づき脅威モデルを設計し、リモートサーバーの汚染と内部ネットワークへの侵入を主な攻撃ベクトルとして同定する。
• 未パッチ適用のオープンソースソフトウェア（例：OpenSSH、Samba）の悪用や、不十分なバックアップメカニズムの悪用といった具体的な攻撃手法を提案する。
• ストレージ暗号化、通信暗号化、物理ロック、システムハードニング、セキュリティガイドラインの遵守を評価する階層的セキュリティスコアリングシステムを実装する。
• 15台の医療画像デバイスを9社の製品から実証的にテストし、デフォルト設定の分析とセキュリティ基準への適合性を評価する。
• 提案された攻撃手法に対する保護メカニズムの有効性を測定し、パフォーマンスと使いやすさのトレードオフを評価する。
• 標準化された基準に従い、各デバイスを暗号化（完全／部分／なし）、システムハードニング、セキュリティガイドライン適合性の観点からスコア化する。

実験結果

リサーチクエスチョン

• RQ1 病院ネットワークにおける医療画像デバイスを標的とする主な脅威ベクトルは何か？
• RQ2 現在の保護メカニズム（例：暗号化、アクセス制御）は、現実世界のサイバー脅威を緩和するためにどの程度効果的か？
• RQ3 既存の医療画像デバイスは、ストレージ、通信、システムハードニングの各分野で、セキュリティベストプラクティスにどの程度適合しているか？
• RQ4 デフォルト設定と遅延したソフトウェア更新の欠如が、医療画像システムにおけるセキュリティリスクにどのように寄与しているか？
• RQ5 階層的セキュリティスコアリングシステムは、開発者および規制当局に対して、実行可能でシナリオ固有の推奨事項を提供できるか？

主な発見

• 評価対象の15台の医療画像デバイスすべてが、提案されたセキュリティ要件のすべてのカテゴリで完全に満たされておらず、システム的なセキュリティ上の欠陥が判明した。
• 完全なストレージおよび通信暗号化を実装しているデバイスはわずかにしかおらず、大多数は部分的または暗号化なしで、機微な健康データが露出している。
• 多くのデバイスが古く、脆弱なオープンソースソフトウェア（例：OpenSSH、Samba）を搭載しており、CVE-2016-10010 や CVE-2017-0143 といった既知のCVEに影響を受けるものも存在した。
• バックアップメカニズムは頻繁に不十分で、大多数が平文でデータを保存し、検証や整合性チェックが行われていなかった。
• 監査機能は多くのデバイスで弱く、または欠落しており、不完全で重複する、または欠落したログが原因で、責任の追及やインcidnet対応が損なわれた。
• デフォルト設定は、たとえより高いセキュリティレベルが利用可能であっても、常に最低限のセキュリティレベルに設定されており、予防可能な脅威にさらされていた。