[论文解读] Security of Medical Cyber-physical Systems: An Empirical Study on Imaging Devices

Zhiqiang Wang, Pingchuan Ma+2 more|arXiv (Cornell University)|Mar 30, 2019

Wireless Body Area Networks参考文献 15被引用 4

一句话总结

本文针对医疗网络物理系统（MICPS）中的医学影像设备安全问题开展实证研究，提出威胁模型、攻击技术与防护机制。研究评估了来自9家厂商的15台设备，发现其在加密、访问控制与系统加固方面普遍存在广泛漏洞，无一设备完全符合安全要求，凸显了亟需加强上市前安全评估与全生命周期防护。

ABSTRACT

Recent years have witnessed a boom of connected medical devices, which brings security issues in the meantime. Medical imaging devices, an essential part of medical cyber-physical systems, play a vital role in modern hospitals and are often life-critical. However, security and privacy issues in these medical cyber-physical systems are sometimes ignored. In this paper, we perform an empirical study on imaging devices to analyse the security of medical cyber-physical systems. To be precise, we design a threat model and propose prospective attack techniques for medical imaging devices. To tackle potential cyber threats, we introduce protection mechanisms, evaluate the effectiveness and efficiency of protection mechanisms as well as its interplay with attack techniques. To scoring security, we design a hierarchical system that provides actionable suggestions for imaging devices in different scenarios. We investigate 15 devices from 9 manufacturers to demonstrate empirical comprehension and real-world security issues.

研究动机与目标

• 识别医疗网络物理系统（MICPS）中医学影像设备在现实世界中的安全与隐私漏洞。
• 构建全面的威胁模型，并提出针对医学影像设备的前瞻性攻击技术。
• 评估现有防护机制对已识别威胁的有效性与效率。
• 设计一种分层安全评分系统，为不同部署场景提供可操作的建议。
• 在真实环境中评估来自9家厂商的15台代表性医学影像设备的安全状况。

提出的方法

• 基于设备与医院PACS/RIS系统及外部厂商服务器的交互，设计威胁模型，识别远程服务器投毒与内部网络渗透作为关键攻击向量。
• 提出具体攻击技术，包括利用未修补的开源软件（如OpenSSH、Samba）以及不安全的备份机制。
• 实施一种分层安全评分系统，评估存储加密、传输加密、物理锁、系统加固与安全指导合规性。
• 对来自9家厂商的15台医学影像设备开展实证测试，分析配置默认值与对安全标准的符合程度。
• 通过测量防护机制对所提攻击技术的有效性，并评估其在性能与可用性之间的权衡，评估保护机制。
• 使用标准化标准对每台设备在加密（完整/部分/无）、系统加固与安全指导合规性方面进行评分。

实验结果

研究问题

• RQ1 医学影像设备在医院网络中面临的主要威胁向量是什么？
• RQ2 当前防护机制（如加密、访问控制）在缓解现实世界网络威胁方面的有效性如何？
• RQ3 现有医学影像设备在存储、传输与系统加固方面对安全最佳实践的符合程度如何？
• RQ4 默认配置与缺乏及时软件更新在多大程度上加剧了医学影像系统的安全风险？
• RQ5 分层安全评分系统能否为开发者与监管机构提供可操作的、场景特定的建议？

主要发现

• 评估的15台医学影像设备中，无一在所有类别中完全满足所提出的各项安全要求，表明存在系统性安全缺陷。
• 仅有少数设备实现了完整的存储与传输加密，大多数设备采用部分或无加密，导致敏感健康数据暴露。
• 许多设备出厂时搭载过时或存在漏洞的开源软件（如OpenSSH、Samba），部分受已知CVE影响，如CVE-2016-10010与CVE-2017-0143。
• 备份机制通常不安全，大多数设备以明文形式存储数据，且缺乏验证或完整性检查。
• 许多设备的审计功能薄弱或缺失，日志存在不完整、重复或缺失情况，削弱了可问责性与事件响应能力。
• 默认配置通常仅启用最低安全级别，即使更高级别可用，也使系统暴露于可预防的威胁之下。