物联网设备攻击的实例：医用输液泵攻击

慢性病的患病率随着老年人口的增加而增加，便携式输液泵越来越多地被用于减少医院支出，手术程序量的稳步增加以及输液泵在疼痛管理中的应用越来越多，这些都是推动这一市场增长的关键因素。全球输液泵市场预计从2016年到2021年复合年增长率为6.0％，到2021年将从2016年的81.2亿美元增长到108.4亿美元。

图1-输液泵的使用

图2 输液泵的用户界面

作为特殊的物联网设备，远程改变输液泵的配置剂量会导致并发症甚至死亡也不再是遥不可及，黑客未经授权能够直接进入你的血液循环系统，最新的发现是针对BD公司Alaris 8015输液泵的问题：

?● 输液泵的用户界面可能会改变，导致输入的剂量不准确

● 黑客可以访问泵连接到的中央服务器，并可能访问受保护的健康信息（PHI）或电子病历（EHR）

● 输液泵和泵服务器之间的在线通信信息的解密

● 输液泵可以作为进入医院基础设施的通道

● 内部闪存（芯片）可以更改，防止重新启动，更换小型闪存卡等措施无效

图1显示了输液泵的使用场景，图2是BD公司Alaris 8015输液泵的用户界面，该泵与Alaris系统连接，支持Guardrails应用程序。图3显示了泵暴露其电路板的内部视图。请注意插入电路板的小型闪存卡。这是攻击所利用的入口点。另一个可访问的设备（图3中未示出）是用于连接到医院网络的WiFi卡。

输液泵的漏洞

「缺乏安全的启动保护」

一旦移除泵前挡板的螺钉，就可以替换现有的闪存卡。没有任何物理或数字保护来防止这种行为。通常的安全指示或加密策略没有被采用。

「薄弱的系统完整性保护」

利用读卡器就可以读出从输液泵取出闪存卡存储的文件，在这个案例中，可以用两种方法规避完整性检查，并且存储更新和攻击者控制的文件通过这一步骤，攻击者可以做到：

图3 输液泵内部电路板

◇ 覆盖PIN码（访问网络的设置）

◇ 用自定义的消息替换启动图像（比如“你的设备已被锁定，直至你支付赎金）

◇ 蓄意改变输液设置引发意想不到的用药剂量（见图4，其中RATE和VTBI位置被互换）

图4 用户界面修改(1)

图4 用户界面修改(2)

「硬编码证书」

根据维护手册，需要使用PIN来访问泵的网络配置。32221的默认值是硬编码的，一旦识别ose.elf文件中的特定偏移量，允许攻击者可以用想要的任何值覆盖PIN。不出所料，许多医院都使用这个值不变。并且，在ose.elf文件中可以找到其它硬编码的证书，内部的闪存也发现了相同的证书。

「缺乏静态敏感数据的加密」

在对闪存卡进行详细的检查之后，研究者发现了除“启动”以外的其他shell命令。除此之外，这种功能使我们能够识别泵中运行的进程列表（见图5），这样通过访问文件系统，可以得到与FlashFx通用块设备驱动程序相关的分区，该分区链接系统和硬件。该链接允许以类似于传统硬盘或RAM盘的方式访问内部闪存。更糟的是，链接提供了读写访问权限。

「敏感数据的披露」

通过分析内部闪存可以获得包含敏感信息的配置文件，包括：主机名，端口和凭据来访问泵服务器；用来保护输液泵和泵服务器之间通信的AES加密密钥；包括用于访问医院本地网络的RADIUS凭证的无线配置

一旦黑客获得无线配置的详细信息，就可以无线访问医院网络。网络上的任何设备（包括连接的医疗设备以及传统的PC和笔记本电脑）现在都容易受到攻击。此外，泵服务器的证书被暴露，这可能导致未经授权的访问和/或PHI或EHR数据的丢失。

图5 正在运行的进程列表

另一个攻击媒介是注入欺骗/恶意接入点冒充合法的接入点。结合已经获得的加密密钥，攻击者可以解密网络流量。需要注意的是，对内部存储器所做的任何更改都会被写回到非易失性芯片，从而使重新启动后的更改保持不变。由于容纳该值的文件是可写的，所以用于防止更改内部闪存的CRC检查很容易被绕过。

结束语

从上面的物联网设备安全漏洞的案例，我们可以推测在各个行业中的物联网设备面临的网络安全挑战是巨大的，特别是针对像医疗行业的攻击后果是灾难性的。有些措施，那怕是最基本的物理安全对物联网设备的强制保护是必须的，安全控制手段必须是以攻击者能够用敏感和关键设备的访问能力假设为基本假设。

通过部署立思辰全网监测预警平台对医院内部信息网络、控制网络和物联网等全网监测，发现医院内部网络中的各类异常流量和异常操作行为，及时对有可能出现的网络入侵攻击、信息盗取等网络安全事件采取有效的规避或者防御措施，从而保证医院内部网络的畅通、有效和安全。