当前位置:神童网二中二精准平码_香港神童网永久免费 > 锻炼方式 >

科学家们展示了如何远程修改医学检测结果

发布时间:2019-06-24 19:53:26

科学家们展示了如何远程修改医学检测结果 评论人:Alina Shrourou,BScAug 29 2018 加利福尼亚大学的一个医生和计算机科学家团队表明,通过攻击医院实验室设备和医疗记录系统之间的连

  科学家们展示了如何远程修改医学检测结果

  评论人:Alina Shrourou,BScAug 29 2018

  加利福尼亚大学的一个医生和计算机科学家团队表明,通过攻击医院实验室设备和医疗记录系统之间的连接,可以轻松地远程修改医疗测试结果。

  这些类型的攻击可能更多地用于对抗高调目标,例如国家元首和名人,而不是针对普通公众。但它们也可能被一个民族国家用来削弱美国的医疗基础设施。

  来自加州大学圣地亚哥分校和加州大学戴维斯分校的研究人员于8月9日在拉斯维加斯举行的Black Hat 2018会议上详细介绍了他们的研究结果被称为Pestilence的攻击只是概念验证,不会向公众发布。虽然研究人员利用的漏洞并不新鲜,但这是研究团队第一次展示如何利用这些漏洞来危害患者的健康。

  这些漏洞来自用于在医院网络内传输患者数据的标准,称为Health Level Seven标准,或HL7。基本上是允许医疗机构中的所有设备和系统进行通信的语言,HL7是在20世纪70年代开发的,并且在过去四十年中仍然没有受到许多网络安全进步的影响。

  由很少或没有网络安全培训的人员实施老化医疗设备标准,导致大量患者数据以不安全的方式传播。具体而言,数据在不需要任何密码或其他形式的身份验证的网络上作为未加密的纯文本传输。

  近年来,医院的数据黑客一直处于新闻中。但研究人员希望提请注意这些数据一旦受到损害,如何被操纵。 “医疗保健与其他部门的区别在于,关键基础设施的操纵有可能直接影响人的生命,无论是通过直接操纵设备本身还是通过连接它们的网络,”研究人员在与他们的黑帽演示一起发布的白皮书中写道。

  用于创建Pestilence工具的漏洞和方法以前已经发布过。这里的创新是结合计算机科学知识和临床医生的知识来利用HL7标准中的弱点来对患者护理过程产生负面影响。

  该团队包括急诊医师和临床信息学研究员Christian Dameff博士,加州大学圣地亚哥分校计算机科学硕士生Maxwell Bland和加州大学戴维斯分校医学中心麻醉科医生Jeffrey Tully博士。塔利说,医生需要能够相信他们的数据是准确的。 “作为一名医生,我的目标是教育我的同事们,我们对用于照顾病人的技术和基础设施所隐含的信任可能是错误的,并且对这些威胁模型的认识和警惕对于实践至关重要在21世纪的医学,“他说。

  保护数据不受操纵是必要的。 “我们正在讨论这个问题,因为我们正试图在医疗系统遭遇重大故障之前确保医疗设备和基础设施的安全,”达梅夫说。 “我们现在需要解决这个问题。”

  研究人员概述了医疗系统可以采取的对策,以保护自己免受这些类型的攻击。

  瘟疫工具

  研究人员使用了所谓的“中间人攻击”,计算机在实验室机器和医疗记录系统之间插入的地方。加州大学圣地亚哥分校的计算机科学研究生布兰德将攻击自动化,以便远程处理大量数据。当然,研究人员没有渗透到现有的医院系统中。相反,他们建立了一个由医学实验室测试设备,计算机和服务器组成的测试平台。

  这允许团队进行测试,例如血液和尿液分析,拦截测试结果,更改它们,然后将修改后的信息发送到医疗记录系统。

  相关故事开发用于测量疼痛的爆破测试奥斯通医疗和上海仁济医院合作开展呼吸活检肺癌试验抗抑郁药物可以拯救人们免于致命的败血症,研究表明,研究人员采取了正常的血液检测结果并对其进行了修改,使患者看起来患有糖尿病酮症酸中毒,或DKA,糖尿病的严重并发症。这种诊断会导致医生开出胰岛素滴注,这在健康的患者身上会导致昏迷,甚至死亡。

  

  研究人员还修改了正常的血液检测结果,看起来患者的钾含量极低。对健康的患者使用四氢呋喃治疗会导致心脏病发作,这可能是致命的。

  对策

  研究人员详细介绍了医院和政府机构在黑帽白皮书中采取的保护医疗基础设施的若干步骤。

  医院需要改善他们的安全措施。具体而言,医疗记录系统和医疗设备需要受密码保护并在防火墙后面进行保护。网络上的每个设备和系统都需要限制为只与一台服务器通信,以限制黑客进入医院网络的机会。这被称为“网络分段”。加州大学圣地亚哥分校雅各布斯工程学院的计算机科学研究生布兰德说,这是保护医疗基础设施的最佳方式。

  研究人员还希望提高对可取代HL7的新标准的认识:快速医疗保健互操作性资源(FHIR)将允许医院网络内的加密通信。

  研究人员表示,需要让医院的IT人员了解网络安全问题并接受培训,以防范潜在的攻击。例如,IT人员需要知道如何配置网络和服务器以支持加密。研究人员指出健康与人类服务工作组2017年的一份报告指出,80%的医院IT人员未接受网络安全培训。

  研究人员表示,此外,网络安全需要成为医疗保健设备FDA批准程序的一部分。应鼓励制造商采用最新,最安全的操作系统。例如,今天,许多医疗设备仍在Windows XP上运行,这是一种在2001年发布的操作系统,不再受Microsoft支持;这意味着漏洞不是固定的。这些设备无法轻松升级,因为它们需要脱机,这会影响患者护理。此外,一些设备也被告知要升级。

  “通过共同努力,我们能够提高对可能影响患者护理的安全漏洞的认识,然后制定解决方案来修复它们,”加州大学戴维斯分校的塔利说。

  出处:http://jacobsschool.ucsd.edu/news/news_releases/release.sfe ID = 2619