Para os hackers, os dispositivos médicos conectados à Internet tornaram-se um alvo atraente, com vulnerabilidades que permanecem sem correção em comparação com os computadores.
Para os hackers, os dispositivos médicos conectados à Internet tornaram-se um alvo atraente. Comparados aos computadores, eles tendem a ter mais vulnerabilidades que permanecem sem correção. Mas o Congresso está agora a considerar legislação que daria à Food and Drug Administration mais autoridade para exigir que os fabricantes de dispositivos médicos os tornem mais seguros. John Pescatore é diretor de tendências emergentes de segurança no SANS Institute. Ele conversou com Jared Serbu no Federal Drive com Tom Temin sobre essas fraquezas e como mitigar os riscos enquanto isso.
John Pescatore: Há uma longa história por trás desse problema. No mundo médico, nada costumava ter conectividade com a Internet. Na verdade, ele tinha conectividade de rede muito proprietária. Mas há cerca de 15 anos, a maioria das coisas começou a ter alguma forma de conectividade com a Internet, incluindo também dispositivos médicos. Quando você está conectado apenas a um fio, você realmente não se preocupa com o que os bandidos podem fazer e invadir. E depois que você começa a se conectar à Internet, você realmente precisa se preocupar com isso. Outra coisa é que no mundo dos equipamentos médicos, a Food and Drug Administration, há muitos anos, tem um programa de certificação. Então, se alguma coisa fosse usada para fins médicos, na verdade, para humanos ou animais, tinha que ser inspecionada quanto à qualidade e segurança, o que naquela época significava, não queremos eletrocutar a pessoa, ou se for uma bomba de infusão, não quero deixá-lo bombear com muita força ou começar a bombear para trás e remover todo o sangue. Portanto, o mundo médico tinha um programa de certificação que realmente não abordava a segurança, mas sim a segurança. A parte ruim desse programa de certificação é que ele era muito complexo e caro para os fabricantes. Mas isso é bom, as coisas devem estar seguras. Mas essa complexidade significava que, uma vez lançado um produto no mercado, não queriam alterá-lo, porque se alterassem o produto pelo qual tinham de passar, pensavam que teriam de passar novamente pelo processo de certificação. Então, uma vez que esses produtos começaram a ter software, pense em uma bomba de infusão, uma máquina de ressonância magnética ou um scanner CAT hoje em dia, surgiu a questão do patch. Todo software é construído com vulnerabilidades. A humanidade nunca construiu mais de uma linha de código que não tivesse pelo menos uma vulnerabilidade. Então o fabricante disse que não podemos corrigir nossos dispositivos. Sim, sabemos que eles são vulneráveis ​​por aí e qualquer um pode encontrar essa vulnerabilidade e, como ela está conectada à Internet, é explorada, mas o processo de certificação de qualidade e segurança significa que, no momento em que a corrigirmos e passarmos pela certificação, haverá será outro patch, então não podemos fazer isso. E há 15 anos, em 2006, a FDA divulgou orientações dizendo não, você pode corrigir por motivos de segurança e não precisa passar pela certificação. Mas foram necessários 15 anos até que eles dessem algum impulso a isso. Portanto, esse é um breve motivo: a maioria dos equipamentos médicos foi construída primeiro, sem ser exposta à Internet, não precisava se preocupar com software e patches e, por muito tempo, pensei que não conseguiria consertar. E finalmente estamos começando a ver essa mudança.
Junte-se a nós nos dias 26 e 27 de março às 13h. EST para o DoD Cloud Exchange da Federal News Network, onde receberemos líderes de toda a defesa, juntamente com especialistas em tecnologia do setor, para conhecer as mais recentes iniciativas políticas, implementações no mundo real e os mais recentes desenvolvimentos tecnológicos. | Registre-se hoje!
Jared Serbu: Vai levar muito tempo, acho que é o resultado final antes que alguns dos fundamentos aqui comecem a mudar, e em termos da superfície de ataque desses dispositivos. E parece que até então cabe realmente aos usuários finais, aos operadores do sistema de saúde, mitigar algumas dessas vulnerabilidades. O que eles podem fazer nessa área? E, especificamente para o nosso público, não sei até que ponto você observou os usuários federais, especificamente no DoD e VA, eles estão se saindo melhor?
John Pescatore: Bem, primeiro, há uma coisa importante que eles podem fazer antes de chegarmos à proteção dessas coisas vulneráveis. Os CISOs de segurança e as agências governamentais que estão comprando equipamentos médicos precisam garantir que estejam envolvidos no processo de aquisição e que a equipe de segurança esteja representada. Quase sempre há compras competitivas para essas coisas. E garantir que os requisitos de segurança estejam na RFP e sejam critérios de avaliação altamente ponderados é realmente fundamental. E o FDA realmente ajudará em parte disso, mas para os CISOs e o governo que têm responsabilidades médicas, na verdade, essa é a primeira coisa que é fundamental. Então, a próxima coisa a que chegamos é o que temos feito historicamente: se você tem algo vulnerável, você o protege do perigo e o coloca em um segmento de rede separado. A primeira coisa é nunca conectar nada à Internet que realmente não precise estar conectado. Então, o que descobrimos foi que muita manutenção remota de fornecedores pode acontecer pela Internet, muitas vezes a TI diz: “Oh, podemos telenetar essa coisa para que possamos fazer uma verificação de status na rede, ter certeza de que está funcionando quando alguém reclama.” Então, vamos deixar isso em aberto. Portanto, a primeira coisa é garantir que todos os dispositivos médicos estejam em segmentos de rede separados. E o que cria o segmento é essencialmente um firewall que implementa a política da velha escola de que nenhuma conexão é permitida, a menos que seja explicitamente autorizada, em vez disso, vamos apenas tentar impedir coisas ruins. O modelo de segurança negativo tem que ser o modelo de segurança positivo. Somente conexões em que sabemos que confiamos podem passar, nada mais passa. Porque quando você pensa sobre isso, a maioria das máquinas médicas reais não precisa ser muito comunicada. E se for necessário haver conexões remotas de Internet para essas redes segmentadas, todas elas terão autenticação multifator. Portanto, o maior risco hoje é que os invasores obtenham a senha de alguém com privilégios, obtenham acesso de administrador ou obtenham uma senha na conta VPN e entrem remotamente. Isso não acontece se você estiver usando autenticação forte, que tem sido um requisito para acesso remoto. E por muitos anos, o que temos visto, infelizmente, tanto no governo quanto na indústria privada, é um afastamento muito lento das senhas.
Jared Serbu: Sim, e correndo o risco de afirmar o óbvio aqui, o fascínio para um invasor entrar em um desses dispositivos é apenas como uma base para uma rede corporativa mais ampla. Eu diria que uma máquina de diálise por si só não é tão interessante para um hacker.
John Pescatore: Bem, com o tempo, sempre vimos uma progressão do hacking. A primeira são apenas pessoas interessadas em ver o que podem fazer e invadir as coisas. E então, invariavelmente, eles causam acidentes só porque entraram e tocaram na máquina e ela parou de funcionar. Então você tem negação de serviço. Portanto, um risco é a negação de serviço. Então, por exemplo, o que é que a Gronelândia neste momento, em todo o país, teve um ataque onde não conseguem trazer a maquinaria novamente, e realmente não foi um ataque contra os sistemas de cuidados médicos. Foi apenas um ataque. Aí vimos uma onda de “Quero invadir tudo que puder, porque aí vou roubar informações de identidade. E posso vender esses nomes, essas identificações de saúde e as informações que encontrar.” Acontece que, nos mercados hackers, esse tipo de informação era mais valiosa do que as informações do cartão de crédito porque o setor financeiro havia implementado muitos controles e estava ficando mais difícil de invadir. Mas se eu tivesse todas essas informações em alguns formulários médicos que você preencheu e que incluíam seu endereço, e isso significava muitas informações, eu poderia falsificar sua identidade e talvez responder às suas perguntas de segurança e obter sua senha e quando eu entrar na identidade roubo. Então, sim, é verdade que, nos últimos anos, muito disso tem sido para conseguir uma posição segura. Mas quando você vê ataques de ransomware, basicamente são ataques onde eles dizem que estou indo, quebrei seus sistemas e não vou deixar você trazê-los de volta até que me pague. E isso é um grande medo com ataques contra este equipamento médico, porque você está destruindo todas as tomografias e máquinas de ressonância magnética e um hospital inteiro e mantendo-os sob pedido de resgate. Isso tem impacto na vida e na segurança, não apenas financeiro.
Jared Serbu: Tudo bem, nos últimos minutos aqui, vamos falar sobre as possíveis soluções de longo prazo. Eu entendo que há legislação no projeto de lei de reautorização da FDA que faria algumas coisas para dar à FDA alguma nova autoridade regulatória especificamente sobre cibernética, como isso funcionaria? Quanto tempo levaria para realmente fazer a diferença aqui?
John Pescatore: Bem, acho que isso levará tempo, porque o que o FDA está fazendo é dizer que, quando vocês fabricantes, ao solicitarem a certificação, devem incluir essas informações de segurança. E avaliaremos isso como parte da aprovação da certificação. Então isso levará tempo. Mais imediatamente. Já falamos sobre duas coisas, o que chamo de “manter os bandidos afastados”, a segmentação. A outra coisa real é perceber mais rapidamente, quando os bandidos entram, é como se fossem formigas em sua casa. Você faz tudo o que quiser para manter as formigas ou os cupins afastados. Mais cedo ou mais tarde eles entram. Quanto mais rápido você notar, menos danos haverá. Portanto, existem muitas técnicas e coisas chamadas ferramentas e técnicas de caça a ameaças para descobrir rapidamente algo anômalo em sua rede ou algo que parece ser algo malicioso acontecendo. E em meio a todas essas máquinas médicas. Outra é que pressionamos o SANS, chamado de “equipe roxa”, que é onde muitas empresas têm o que chamam de equipe vermelha, tentam invadir, fazem testes de penetração. E o time azul são os zagueiros que tentam mantê-los afastados. Se eles trabalharem juntos, e a equipe azul aprender com a equipe vermelha e apresentar melhores defesas e a equipe vermelha tentar maneiras melhores de invadir, uma vez que entendam as defesas, as empresas e as agências melhorarão a segurança dessas redes. muito mais rapidamente e ser capaz de encontrar coisas, tempo para detectar em horas ou dias em vez de meses.
Jared Serbu: Voltando à autoridade reguladora da FDA aqui, se eles vão exigir algum tipo de fortalecimento cibernético como parte do processo de certificação daqui para frente, me parece que provavelmente é importante que eles façam isso de uma forma que os fabricantes possam acompanhar o futuro ameaças e fazer as alterações necessárias sem ter que passar pelo processo de certificação do proprietário novamente, voltando ao que você disse no início.
John Pescatore: A NSA, os australianos, os britânicos e vários outros países acabaram de divulgar um comunicado de segurança cibernética lembrando a todos que a grande maioria dos ataques é possibilitada pela falta de higiene básica de segurança. O que a NSA divulgou anos atrás e se transformou no que hoje é chamado de controles críticos de segurança. Existem oito a dez coisas que são muito conhecidas, que devem ser feitas em todos os equipamentos e que podem ser incorporadas na maioria. Finalmente estamos começando a ver isso acontecer no Windows, por exemplo, nos sistemas operacionais de telefones celulares. Então, acho que enquanto os fabricantes e as orientações do FDA persistirem, começando com isso, com os princípios básicos de segurança, crie segurança de tal forma que, se você estiver minimizando a superfície de ataque, estará tornando muito mais difícil para os maus pessoal, mas na verdade não é tão difícil para os mocinhos usarem o equipamento. Então, acho que eles estão adotando uma boa abordagem nisso. Esse é o começo, é claro, o que sempre acontece é que quando você eleva o nível ao nível básico, então surgem os verdadeiros ataques sofisticados, e é aí que coisas como a caça às ameaças entram em jogo.
Jared Serbu: Última pergunta, John, não consigo pensar em muitos outros exemplos, talvez você consiga, de agências federais que tenham qualquer tipo de autoridade regulatória sobre o setor privado em termos de imposição de requisitos cibernéticos em dispositivos IoT. Se a FDA fizer isso bem, poderia fornecer algumas lições e como fortalecer os dispositivos IoT fora da indústria médica?
John Pescatore: Sim, acho que pode. Quero dizer, quando você olha para todas as agências que fazem compras, podem colocar requisitos em RFPs e apontar para especificações ou padrões da indústria e assim por diante, para dispositivos da Internet das Coisas, coisas em edifícios inteligentes, por exemplo, edifícios governamentais estão sendo construídos com internet -calor conectado ou CA de alta tensão e sistemas de energia e elevadores e vídeo que muitas vezes são vulneráveis. Então, sim, não há, a GSA ainda não possui requisitos de segurança nos contratos do tipo edifício inteligente. Mas acho que isso é muito importante. Eu fazia parte de um comitê que assessorava um novo Congresso há cerca de 10, 15 anos, e essa é uma das coisas que recomendamos: todas as compras governamentais para qualquer coisa, porque tudo que vem com software, tudo é vulnerável, pode ser atacado. As considerações de segurança cibernética devem ser incluídas em toda a linguagem de aquisição.
Copyright © 2024 Federal News Network. Todos os direitos reservados. Este website não se destina a utilizadores localizados no Espaço Económico Europeu.