使用连接设备的人的物联网安全策略

Freeman Health System 在其位于密苏里州、俄克拉荷马州和堪萨斯州的 30 个设施中拥有约 8,000 台联网医疗设备。其中许多设备随时都有可能致命。“这是每个人都害怕的世界末日情景，”这家连锁医院的首席信息官兼首席信息安全官斯基普·罗林斯 (Skip Rollins) 说。

罗林斯希望能够扫描设备以查找漏洞并在其上安装安全软件以确保它们不会被黑客入侵。但他不能。

“这个领域的供应商非常不合作，”他说。“他们都有专有的操作系统和专有工具。我们无法扫描这些设备。我们不能在这些设备上安装安全软件。我们看不到他们在做什么。供应商故意以这种方式提供它们。 "

他说，供应商声称他们的系统是不可破解的。“我们说，'让我们把它写进合同里。' 他们不会。”

这可能是因为这些设备可能充满漏洞。根据医疗网络安全公司 Cynerio今年早些时候发布的一份报告，53% 的医疗设备至少存在一个严重漏洞。例如，设备通常带有默认密码和设置，攻击者可以很容易地在网上找到，或者运行旧的、不受支持的 Windows 版本。

攻击者没有睡觉。根据去年秋天发布的 Ponemon 研究，对物联网或医疗设备的攻击占所有医疗保健漏洞的 21%，与网络钓鱼攻击的百分比相同。

与其他医疗保健提供商一样，Freeman Health Systems 正试图让设备供应商更加重视安全性，但到目前为止，它还没有成功。“我们的供应商不会与我们合作解决问题，”罗林斯说。“这是他们专有的商业模式。”

因此，有些设备位于公众可访问的区域，其中一些具有可访问的 USB 端口，连接到网络，并且无法直接解决安全问题。

由于预算紧张，即使有更新、更安全的替代品，医院也不能威胁供应商他们将淘汰旧设备并用新设备替换它们。因此，Freeman Health 使用基于网络的缓解策略和其他变通方法来帮助降低风险。

“我们监控进出的流量，”Rollins 使用 Ordr 的流量监控工具说。防火墙可以阻止与可疑位置的通信，并且横向移动到其他医院系统受到网络分段的限制。

“但这并不意味着该设备在照顾病人时不会受到损害，”他说。

更复杂的是，阻止这些设备与其他国家通信，可以阻止安装关键更新。

“设备进入中国、韩国甚至俄罗斯并不罕见，因为组件是在世界所有这些地区制造的，”他说。

罗林斯说，他不知道在现实生活中通过入侵医疗设备来伤害人们的行为。“至少在今天，大多数黑客都在寻找发薪日，而不是为了伤害他人，”他说。但是，类似于SolarWinds 网络攻击 的针对医疗设备的民族国家攻击，有可能造成无法估量的破坏。

“大多数医疗设备都连接回中心设备，采用中心辐射型网络，”他说。“如果他们破坏了这些网络，就会破坏我们用来照顾病人的工具。这是一个真正的威胁。”

物联网可见性斗争

物联网安全的第一个挑战是识别企业环境中存在哪些设备。但设备往往由单个业务单位或员工安装，属于运营、楼宇和维护等部门的职权范围。

许多公司没有一个实体负责保护物联网设备。Ernst & Young 负责美洲 OT 和 IT 工作的 Doug Clifton 说，任命某人是控制问题的第一步。

第二步是实际找到设备。

根据 Forrester 分析师 Paddy Harrington 的说法，一些供应商提供网络扫描来帮助公司做到这一点。Checkpoint、Palo Alto 和其他公司的 Gear 可以连续运行被动扫描，当检测到新设备时，自动对其应用安全策略。“它不会解决所有问题，”他说，“但这是朝着正确方向迈出的一步。”

尽管如此，一些设备并没有完全归入已知类别并且难以指导。“有一个 80-20 的规则，”克利夫顿说。“80% 的设备可以通过技术收集。另外 20% 的设备需要进行一些调查工作。”

Harrington 说，还没有物联网扫描工具的公司应该首先与他们已经合作的安全供应商交谈。“看看他们是否有产品。它可能不是同类产品中最好的，但它会帮助跨越差距，而且你不必拥有大量的新基础设施。”

Palo Alto 物联网安全首席技术官 May Wang 表示，企业通常使用电子表格来跟踪物联网设备。业务的每个领域都可能有自己的清单。“当我们去医院时，我们会从 IT 部门、设施部门和生物医学设备部门获得一份电子表格——这三个电子表格都是不同的，并且显示不同的设备，”她说。

而当帕洛阿尔托对环境进行扫描时，这些列表通常会达不到要求——有时甚至超过一个数量级。王说，许多是较旧的设备，安装在物联网设备被认为是安全威胁之前的几天。“传统的网络安全看不到这些设备，”她说。“而且保护这些设备的传统方法不起作用。”

但是公司不能将端点安全或漏洞管理策略应用于设备，直到它们都被识别出来。Palo Alto 现在包括集成在其下一代防火墙中的机器学习驱动的 IoT 设备检测。

“我们可以告诉你你有什么样的设备，什么样的硬件、软件、操作系统，你正在使用什么协议，”王说。Palo Alto 系统无法检测并获取每台设备的完整信息。“对于其中一些人来说，它可能没有那么详细，但我们可以获得大多数设备的大部分信息。这为设备发现提供了可见性。”

根据技术的部署方式，Palo Alto 还可以根据内部、横向通信来选择设备，并为新发现的设备建议或自动实施安全策略。

当物联网设备使用蜂窝通信时，这会产生更大的问题。“很多物联网设备都是 5G，这将成为一个更大的问题，”她说。“我们有一个部门致力于 5G 安全。它肯定会带来更多挑战。”

窥视物联网内部

一旦物联网设备被可靠地发现和清点，就需要像其他网络设备一样严格管理和保护它们。这需要配置管理、漏洞扫描、流量监控和其他功能。

即使是未连接到外部网络的设备也可能成为坚定的攻击者在公司横向移动的中间集结点或藏身之处。

HIG Capital 的首席信息安全官 Marcos Marrero 一年前就面临着这个困境。

HIG 是一家全球投资公司，管理着超过 500 亿美元的股权资本，在四大洲设有 26 个办事处。该公司的网络上有数百个设备，例如摄像头、物理安全设备和传感器，用于监控其机房内的温度、湿度和电力。物联网设备安全“是一个大问题，”Marrero 说。“而且它在不断发展并变得越来越大。”

作为一家金融公司，HIG 非常注重安全，安全团队对其网络上安装的每台设备进行监督。“敲木头，我们在我们的环境中没有遇到任何流氓物联网，”Marrero 说。

但能够定位设备只是旅程的开始。“然后是漏洞和配置的可见性，”他说。

大约一年前，Marrero 对其中一个房间警报设备进行了漏洞扫描，发现了不需要身份验证的开放端口。该公司联系了制造商，并获得了有关如何硬化设备的说明。“但我们不得不提出要求——这不是立即提供给我们的信息，”他说。

他说，该公司运行的漏洞扫描只从外部查看设备，发现开放端口和操作系统类型，但几乎没有其他内容。“这些设备中使用的开源软件存在大量漏洞，”他说。

为了解决这个问题，HIG 求助于 Netrise 的固件扫描工具。

“我们进行了概念验证并上传了一个固件映像，它返回了所有这些漏洞数据和其他信息，”他说。“这就是为我们密封它的原因。”

上传图像是一个手动过程，每张图像需要几分钟。由于同一类型的重复设备很多，该公司总共上传的图片少于 20 张。作为扫描的结果，该公司的漏洞清单增加了 28%。

“我们不知道它们存在于我们的环境中，”他说。“是的，我们的漏洞趋势出现了飙升，但成功的一半是你一开始就知道你有这些漏洞。”

发现漏洞后，HIG 联系了设备供应商并采取了其他缓解措施。“如果它太危险并且对我们的环境构成太大风险，它可能会关闭设备，”他说，“或者在它周围增加额外的控制。”

例如，一些设备在网络上被分段