Rynek inteligentnych biosensorów medycznych w Europie - szanse i zagrożenia. Protokół HL7 w ochronie zdrowia: cyberzagrożenia i sposoby zabezpieczenia. Wskazówki dotyczące bezpieczeństwa w placówkach medycznych.

Wymiana danych pomiędzy placówkami ochrony zdrowia odbywa się głównie za pośrednictwem standardowego protokołu HL7 (Health Level Seven protocol). Jeśli jednak urządzenia zgodne z tym standardem zostaną nieprawidłowo skonfigurowane, mogą być szczególnie podatne na zagrożenia. Dlatego należy regularne aktualizować oprogramowanie.

Dynamiczny rozwój techniki stwarza nowe możliwości w sektorze ochrony zdrowia. Między innymi szybki wzrost przeżywa rynek inteligentnych biosensorów medycznych w Europie. Według danych firmy badawczej Statista w tym roku przychody tej branży mają sięgnąć 2,89 mld dolarów.

Na przykład inteligentne pompy insulinowe, elektrokardiografy czy ciśnieniomierze zapewniają pacjentom lepszą opiekę i ułatwiają komunikację z placówkami medycznymi. Jednak wraz z postępem technicznym pojawiają się też cyberzagrożenia. Dla przestępców każde takie inteligentne urządzenie może być furtką do szpitala czy przychodni.

Wymiana danych pomiędzy placówkami ochrony zdrowia odbywa się głównie za pośrednictwem standardowego protokołu HL7 (Health Level Seven protocol). Pozwala on na bezpieczne i szybkie przesyłanie informacji takich jak wyniki badań czy dawkowanie leków. Dzięki temu możliwa jest błyskawiczna reakcja personelu medycznego na zmieniający się stan pacjenta.

Szanse i zagrożenia

- Powszechne wykorzystanie protokołu HL7 sprawia jednak, że stanowi on atrakcyjny cel dla cyberprzestępców – podkreśla Leszek Tasiemski, Vice President w firmie WithSecure. – Ataki mogą prowadzić do poważnych konsekwencji, takich jak wyciek i kradzież informacji o pacjentach, manipulacja danymi medycznymi, a nawet paraliż działania krytycznych systemów medycznych. Podobnie jak w innych branżach, cyberataki na placówki ochrony zdrowia są ciągle doskonalone i dopasowywane do ich specyfiki, a więc skala zagrożeń rośnie.

Jeśli urządzenia zgodne ze standardem HL7 zostaną nieprawidłowo skonfigurowane, mogą być szczególnie podatne na zagrożenia. Gdy został on stworzony, zakładano, że zabezpieczenia będą implementowane w aplikacjach lub sprzęcie. Takie podejście otworzyło jednak cyberprzestępcom możliwość wykorzystania luk w samym protokole. Jedną z nich jest brak konieczności uwierzytelniania przed wysłaniem wiadomości. Każde urządzenie może wysyłać informacje do dowolnego serwera lub aplikacji pod warunkiem, że znajdują się w tej samej sieci, zaś uwierzytelnianie jest opcjonalne.

Pierwsza wersja protokołu została wydana w 1979 roku i obecnie uważana jest za nieaktualną. W ostatnich latach pojawiło się kilka luk w zabezpieczeniach, które mają wpływ na starsze wersje protokołu HL7 i/lub nowszą nazywaną FHIR (Fast Healthcare Interoperability Resources), takie jak CVE-2023-24057, które umożliwiają wyodrębnienie poufnych plików na urządzeniu. Ponieważ większość luk jest wynikiem błędnej konfiguracji urządzenia, prawdopodobieństwo ich wykorzystania jest w rzeczywistości stosunkowo niskie. Wynika to z faktu, że atakujący musiałby znajdować się w sieci szpitalnej, aby móc je skutecznie wykorzystać. Większość głośnych incydentów, które dotknęły branżę ochrony zdrowia to w rzeczywistości ataki ransomware i naruszenia bezpieczeństwa w wyniku wycieku danych lub działania złośliwego oprogramowania, na przykład atak ransomware przeprowadzony przez grupę BlackCat w lutym tego roku na amerykańską firmę Change Healthcare, która dostarcza rozwiązania technologiczne dla sektora zdrowotnego. Zaobserwowano również wzrost liczby ataków na aplikacje pośredniczące, które przyjmują ruch HL7, takie jak Mirth Connect.

Omawiany standard umożliwia też zmianę komunikatów, a więc po włamaniu się do szpitalnej sieci przestępcy mogą przechwytywać i zmieniać przesyłane między urządzeniami wiadomości. Komunikaty HL7 są również domyślnie przekazywane jako zwykły tekst. Jeśli przestępca przechwyci ruch do lub z urządzeń medycznych, może łatwo pozyskać poufne informacje – dane pacjenta czy kontakt do jego bliskich. Protokół może też być podatny na tak zwane ataki DoS (Denial of Service), czyli odmowy dostępu.

Jak się chronić?

- Protokół HL7 jest niestandardowy, a istniejące narzędzia bezpieczeństwa nie zostały stworzone do obsługi tego typu wiadomości – wyjaśnia Katie Inns, Head of Attack Surface Management w firmie WithSecure. – Urządzenia korzystające z tego protokołu zachowują się w różny sposób, co oznacza, że trudno przewidzieć, jak będą wyglądać kluczowe wzorce (fingerprints) związane z HL7. Dlatego nie ma łatwego sposobu skanowania w poszukiwaniu konkretnych portów lub cech. Komunikaty HL7 są również zazwyczaj bardzo długie i zawierają wiele różnych znaków, których odczytanie nie jest łatwym zadaniem.

Jak wskazuje Katie Inns, testowanie protokołu HL7 pod kątem bezpieczeństwa może być problematyczne. Istnieje też niewiele narzędzi, które to umożliwiają. Niektóre z nich (na przykład Pestilence) nie zostały upublicznione z pwowodów etycznych - ze względu na wpływ, jaki mogłoby mieć ich przedostanie się w niepowołane ręce. Ekspertka stworzyła więc własne narzędzie – HL7Magic – które ułatwia testowanie protokołu HL7 i pomaga testerom bezpieczeństwa zajmującym się identyfikacją luk w urządzeniach medycznych.

Polityka bezpieczeństwa

- Do najważniejszych kroków w zabezpieczaniu inteligentnych urządzeń medycznych oraz sieci placówek ochrony zdrowia należy regularne aktualizowanie oprogramowania. Warto też stosować silne reguły polityki uwierzytelniania, aby zapobiegać nieautoryzowanemu dostępowi do systemu czy urządzeń. Placówki powinny również inwestować w szkolenia pracowników zwiększające poziom świadomości cyberzagrożeń. Ważne jest, aby personel rozumiał ryzyko i wiedział, jak zachować się w przypadku podejrzanej aktywności. Niemniej istotne jest ciągłe monitorowanie zagrożeń, by móc szybko reagować na potencjalne ataki i je blokować – radzi Leszek Tasiemski.