软件供应链与医疗物联网安全

特写

2017年8月 7网络安全

一个物联网设备包含超过500个组件。虽然其中许多组件由开发人员选择，但也有许多是通过Maven或Yocto等仓库管理器自动引入的。这些顶层组件及其依赖项是团队最常跟踪和管理的内容，但也会使用其他组件。接下来最常见的组件是被复制到代码库中的单体源代码树。这通常是像OpenSSL或zlib这样的库被下载并引入代码库的方式。这些组件通常通过视觉检查，或通过grep或搜索许可证文件、自述文件、已知文件名或已知嵌入字符串来发现。其他形式的组件使用包括来自论坛或教程网站的源代码。这一级别的组件最终也应被跟踪。无论是源代码形式还是二进制形式的组件都应进行审查，对于以二进制形式存在的组件，应检查其生成所用的源代码是否可用。

软件供应链

通常，来自外部来源的代码在几乎没有质疑或审查的情况下被接受进入代码库——尤其是当这些代码来自商业供应商时。开发人员对于从他人引入的代码应持有与自己编写的代码相同高的要求。如果他们不这样做，则可能面临风险。

在代码中包含物料清单时，应将其视为软件缺陷。

企业正在通过几种方式将这种意识融入其采购流程中。第一种方式是加入合同条款，明确对第三方组件披露的期望，以及接收与第三方漏洞相关的补丁或升级通知的流程。此外，开发团队正在对源代码和二进制材料进行针对性分析，以查找未披露内容。通常，发现两到三个未披露的组件，尤其是这些组件存在已报告漏洞或许可问题时，就足以与外部软件供应商展开对话。

关于未披露组件的这一讨论旨在强调获取完整物料清单的重要性，同时也表明公司正在关注自身利益。对于无法提供预期披露水平的供应商，不应再用于未来的工作。“我们发货时是安全的”这种理念已不再足够，特别是当代码最终进入具有全天候网络连接且监控不足的设备时。供应商越早发出警报，就能越早向设备和已安装基础推送经过测试的升级。

整合所有内容

通过改变关于谁应对第三方安全负责的态度，通过规范组件使用，对团队进行培训以发现、管理和修复这些组件相关的问题，并对供应商和供应商提出同等期望，现代软件开发者可以在其使用的代码有一半由组织外部人员编写的情况下，在开发环境中构建安全性。

作者简介
杰夫·卢斯齐是Flexera软件公司（www.flexerasoftware.com）的产品管理副总裁。此前，他是Palamida的创始人兼首席技术官。他帮助软件公司在遵守许可义务的同时使用开源软件，并持续关注安全问题。在他的职业生涯中，他一直活跃于Java、Macintosh和开源软件社区。卢斯齐还开发了多款知名的Macintosh软件工具，并曾担任Wrox出版社的技术编辑。

医疗保健与数字化转型

艾琳·哈格蒂

医疗行业也受到了蓬勃发展的物联网的影响 物联网（IoT），随着联网设备的采用日益广泛，随着技术和连接性的提升而扩大。

全球医疗行业将投资近4100亿美元于物联网市场，该市场包括医疗设备——如可穿戴设备、植入式设备和固定设备——以及系统与软件和服务，根据Grand Research Review的一份报告。

数据的价值

过去十年中，全球各行业经历了转变，数据和数字服务的价值不断增长，这些数字服务、应用程序和软件 increasingly 被依赖以推动新的商业模式和增长。医疗行业也不例外。

近年来，医疗专业人员能够持续、安全地访问患者数据已成为实现安全、及时和高效的治疗的必要条件。患者记录应用程序（电子健康记录，EHR）以及后续的信息数据库由医疗IT组织在本地数据中心或云中部署和维护。

这些数据包括病历和影像、医生笔记、检验结果、电子处方、保险理赔和政策，以及由物联网设备生成的大量信息。

医疗服务的业务因此发生了变化。在当前的环境中，医疗服务提供者比以往任何时候都更容易获取患者数据（包括历史和实时数据）和应用程序，这无疑有助于提供更安全、更一致的医疗服务。然而，支撑当今医疗机构的IT网络日益复杂，以及在网络中传输的数据量巨大，使得确保网络安全和数据安全的挑战进一步加大。

根据埃森哲的报告，每八名英国消费者中就有一人的个人医疗信息从技术系统中被盗。此外，尚不清楚原始数据持有者（包括药店、医院、急诊诊所、医生诊所和零售诊所）是否意识到这些安全漏洞，因为超过三分之一的消费者是自己发现漏洞，或通过健康记录或信用卡账单上的错误才得知。这凸显了医疗IT网络的安全性不足，以及负责管理这些网络的人员可能缺乏足够的洞察力和可见性。

最近的WannaCry勒索软件攻击也说明了网络安全漏洞对医疗行业可能造成的毁灭性影响。尽管英国政府官员表示没有患者数据丢失，但此次攻击的后果严重地影响了该行业的服务能力——更重要的是，影响了患者获取医疗服务的能力。英国境内约有45个NHS站点受到影响，导致出现延迟或取消的预约和手术，以及病历访问受限或无法访问等问题：X光和医生警报系统也受到了影响。

当今医疗机构所依赖的IT网络日益复杂，以及在这些网络中传输的数据量巨大，使得确保网络安全和数据安全面临更多挑战。

此类数据泄露是一个普遍性问题，任何医疗机构都无法幸免。例如，2017年3月，一起涉及697,800份患者记录的数据泄露事件被上报至美国卫生与公共服务部（HHS）。在其他行业，网络安全漏洞可能导致交易被取消或出现延迟，或个人数据丢失；但在医疗行业，其影响和损失可能要严重得多。

保护数据

对于医疗IT专业人员而言，保护和监控网络应是首要任务。然而，这是一项复杂的任务，因为正在引入下一代技术，同时遗留系统通常需要持续更新，以期提高网络的整体效率、速度和安全性。此外，软件定义数据中心、网络虚拟化、云和移动性方面的持续发展进一步增加了这一环境的复杂性。

这些因素共同推动了各方对实时服务保障监控的需求，横跨整个医疗行业。

保护数据的需求不仅对于确保运营和服务效率至关重要，在许多国家，这也是法律的要求。在英国，医疗保健数据需要符合《数据保护法》。这包括要求“采取适当的技术和组织措施，以防止个人数据的未经授权或非法处理，以及防止个人数据的意外丢失或损毁或损坏”。

因此，采取主动方法并确保端到端网络可视性以检测和识别异常，必须成为所有医疗机构网络安全和业务保障策略的重要组成部分。

欧盟成员国必须遵守类似准则，因为《欧盟通用数据保护条例（GDPR）》即将生效，并须于2018年5月6日之前转化为欧盟各国的国家法律。欧盟消费者在使用欧洲健康保险卡于成员国境内旅行时，已享有获得国家提供医疗服务的权利。通过在整个欧盟范围内标准化数据保护，这项更新后的法规应有助于促进跨境数据访问和传输，同时加强数据安全。

除了确保不同技术的安全性和互操作性外，对电子健康记录应用的持续监控对医疗服务提供者也至关重要。评估性能指标以及电子健康记录交易状态活动（例如响应时间分析）的能力，对于成功的临床实践和医疗服务至关重要，同时也是某些国家的监管要求。例如，在美国，《经济与临床健康卫生信息技术法（HITECH法案）》可对未实施电子健康记录的医疗机构处以处罚。同样，对患者数据保护不力也可能导致医疗机构面临高额处罚。

违反1996年通过的《健康保险可携性和责任法案（HIPAA）》可能带来重大后果，每次违规罚款可达5万美元，尽管去年，倡导健康护理网络因导致四百万患者的数据泄露，被处以550万美元的罚款，这是迄今为止记录的最大金额的罚款。

尽管法律并未强制要求，但诸如健康层7（HL7）等标准也在推动医疗行业互操作性和更高运营效率方面发挥了重要作用。这一国际标准体系已被包括美国国家标准协会和国际标准化组织在内的机构采纳。HL7提供了“旨在提高互操作性的标准，以改善医疗服务交付、优化工作流程、减少歧义，并加强所有利益相关者（包括医疗服务提供者、政府机构、供应商社区、其他标准制定组织以及患者）之间的知识传递。”

承受压力的网络

医疗网络面临的需求不断增加，这意味着有效管理这些系统比以往任何时候都更加重要，尤其是在近期发生网络安全漏洞的背景下。然而，造成问题的不仅有非法访问网络的行为，还有网络内部所包含的海量数据。数字技术虽然为医疗行业提供了帮助，但在这方面也同样带来了阻碍。

例如，许多放射科和类似部门已用影像归档和通信系统（PACS）取代了基于胶片的设备，以在部门和组织之间电子化存储、显示和传输数字图像。在医疗机构的网络上，很容易出现大量数据流量导致手术室中MRI扫描影像查看延迟的情况。此类数据必须立即访问和传输。在其他行业中，几分钟的延迟可能只是带来不便，但在医疗行业，这种延迟可能导致严重后果，影响患者的健康或生存率。

软件即服务（SaaS）已成为许多组织部署医疗应用的一种选择，员工可以通过订阅方式在任何地点访问软件，无需在现场安装和更新硬件系统。电子健康记录（EHR）的日益普及加剧了IT网络的压力，需要对网络基础设施、数据仓库和应用服务器进行全面改造，或转向医疗机构对云服务的使用。尽管后一种策略可能减轻医疗机构自身IT系统在数据管理和存储方面的负担，但其网络仍需足够强大，以高效地与所使用的任何虚拟化服务进行数据访问、通信和共享。

人工智能和机器学习也已被众多行业成功采用，医疗保健领域也不例外。例如，机器学习可用于分析和预测患者数据中的模式，识别处方中的错误，并实现数据交换的自动化和标准化。理论上这非常理想，但同样，添加更多的数字工具和技术只会增加医疗组织所需承担的IT管理负担。

每个新连接的设备、应用程序、终端和数字服务添加到网络中时，都会增加复杂性，并需要业务保障。这包括防范网络延迟、应用程序可用性问题以及网络威胁漏洞的服务保障。需要采用协同方法，以提供服务器、服务、应用程序和网络性能与健康的统一视图。这种对网络管理的整体方法还意味着可以快速定位并解决问题，并在问题影响网络及患者护理和福祉之前主动识别。

特写

整体方法

提供有效且高效的患者护理依赖于保护和优化各种服务所运行的有线和无线网络。这包括对数据采集、传输和存储的实时洞察与保护，以及确保这些相同因素适用于医疗行业中的大量历史数据。

与其等待未来不可避免的网络攻击发生、异构系统之间出现无效通信，或网络变慢或崩溃，医疗机构必须立即采用业务保障和网络可见性策略。这些方法将使整个医疗行业的网络用户能够全面获取有关网络以及IT基础设施堆栈中各项服务的应用性能的实时洞察。

许多医疗机构组织目前缺乏实现网络和应用性能全面可见性所需的工具。这可能导致医疗保健网络无法达到最佳水平，且诸如数据泄露等问题容易被忽视。此外，如果没有这些工具，美国以及其他许多地区的公司都将无法遵守法规，并因此面临更多问题。

医疗行业数字化转型的步伐也可能危及一个组织收集其网络的实时洞察、管理数据和网络流量以及评估应用程序性能的能力。当医疗机构（或其内部的某个部门或单位）不可避免地升级或替换传统IT基础设施时，这一问题尤为突出。

问题可能会因医疗机构的性质而加剧，这些机构通常涉及多个用户全天候登录IT系统，添加和访问新的患者信息，这意味着对网络和服务的需求多种多样且不可预测。

在这些情况下，需要一种能够监控和验证与电子健康记录相关的流量、在检测到响应时间问题时向组织的IT团队发出警报并缩短排查重要服务故障时间的IT解决方案。

互联医院

数字化转型促使许多医疗机构朝着实现“互联医院”的理想迈进。许多医疗机构已开始践行这一愿景，将包括推车、故障监测器、病床和静脉输液架在内的大量互联网连接设备与电子健康记录和医护人员智能手机相连接，并通过传感器实时监测患者的活动和生命体征。这种持续监测不仅提供准确数据，节省医护人员的时间和资源，还能及时向医疗团队发出潜在患者问题的警报。

随着物联网技术的发展，网络犯罪分子的策略也在不断演变，这意味着许多攻击无法提前预防。

连接性也超越了医疗机构的围墙；可靠、强大的互联网基础设施使医疗服务提供者能够与患者进行有效且高效的沟通。例如，可以向患者发送自动消息，从而减少代价高昂的爽约情况，同时患者也可以配备智能监测设备带回家，释放医疗机构资源。最后，对于接受住院治疗的患者而言，有效的Wi-Fi连接提供了与家中亲友沟通的宝贵方式，同时也可提供OTT视频流等休闲娱乐服务。

然而，联网设备的涌入也增加了面临安全漏洞风险的网络节点数量。

因此，医疗服务提供者除了持续监控网络性能外，还必须确保支撑互联医院的连接技术——无线网络的性能与安全。随着物联网技术的发展，网络犯罪分子的策略也在不断演变，这意味着许多攻击无法提前预防。

随着医疗服务提供者采用越来越多的无线网络连接的联网设备，他们还必须采用相应的工具，持续主动地测试和验证从无线链路到应用服务器或互联网的整个无线连接。安全问题可以被快速检测到，并立即向工作人员发出警报，同时提供有关问题确切根本原因的详细信息。这将使工作人员和IT团队能够迅速响应，在问题影响用户和关键业务应用之前进行管理和解决。

未来

数字化转型对医疗行业产生了巨大且积极的影响。然而，随着联网设备、IT环境和数据量的不断增加，管理和确保服务的持续可用性已成为许多医疗机构的主要关切。此外，网络安全漏洞的威胁日益加剧，受损的IT服务可能对患者造成影响，进一步加重了这一问题。

全面监控和服务保障对于在混合网络环境中管理多个地点的分散服务和大量用户至关重要。这有助于监控并排查网络变慢问题，将实时数据转化为可操作的洞察，并检测和识别异常情况，旨在主动防止数据泄露。

数字化转型是一个持续且多方面的过程。可见性和保障应该是所有医疗机构在数字化转型过程中及以后的先决条件。与许多其他正在进行这一转型的行业不同，未能实施这些解决方案不仅可能导致业务和财务损失，还可能导致患者护理不安全和不足。

关于作者
艾琳·哈格蒂是Netscout的企业业务运营高级总监，负责管理一支产品和技术营销经理团队，该团队负责为企业及产品信息传递与定位制定对外营销内容，开发并交付定向客户网络研讨会、inbound销售培训，开展有效的竞争分析，并参与市场营销活动和事件。她在与网络和应用性能管理、服务交付保障以及特定垂直行业主题相关的印刷和在线媒体文章中广泛发表文章并被引用。艾琳·哈格蒂拥有 Fairfield 大学的历史学学士学位，以及波士顿学院沃尔拉斯·E·卡罗尔管理学院的市场营销 MBA 学位。

利用威胁情报数据作为武器

汤姆·梅杰

对访问公司数据的需求导致每年发生越来越多的复杂且有针对性的网络攻击。去年，网络犯罪从第四大最常报告的经济犯罪跃升至第二大，因此超过60%的首席执行官对网络安全表示担忧。此外，随着物联网（IoT）的发展，网络攻击不仅来自和针对传统的个人电脑，还来自和针对连接到企业网络的各种设备。

随着针对公司数据和基础设施的威胁数量和种类持续演变，所产生的威胁数据量使得传统的观察和报告方法已无法跟上步伐。此外，网络安全支出不断上升，而海量的数据也使得难以确定哪些信息真正相关且可操作。在此复杂的环境中，首席信息官和首席信息安全官理所当然地需要了解与自身企业相关的威胁的可见性，以便能够以合理的准确度预测网络攻击，并优先安排其IT投资。

“与其让IT经理费力地筛选大量恶意IP地址，不如使用复杂的威胁情报工具将这些数据与企业网络进行关联”

当考虑到2016年平均每秒就会发现四到五个新的恶意软件变种时，IT领导者需要的是广泛且深入的可操作的威胁情报，以使这些信息具有可读性和相关性。威胁情报工具能够将数据与企业网络进行关联分析，从而避免IT经理不得不费力地筛选大量恶意IP地址。这意味着可以减少调查时间，而有更多时间用于缓解和防范威胁。这些工具利用机器学习技术和数据分析，自动识别网络中的可疑行为指标（IOCs）。

关键是识别攻击者何时何地会发动攻击。类似于法医调查中，有效的威胁情报工具会审查数据以查找数字指纹，并分析特定的行为模式。为了抵御网络犯罪分子，组织需要能够发现攻击者在策划攻击时表现出的某些行为和特征，以便检测到攻击的早期阶段。

发现早期迹象

让我们回顾2016年10月对Dyn发起的分布式拒绝服务（DDoS）攻击。这次网络攻击导致包括Netflix、Twitter、Reddit、CNN和The Guardian在内的众多欧美热门网站一度瘫痪。此次攻击的主要源头是一种名为Mirai僵尸网络的新式武器，它感染了计算机和网络摄像头等物联网设备。攻击者针对Dyn的服务器，是因为该公司是一家DNS服务商，相当于互联网总机。攻击DNS服务商影响巨大，因为该服务商连接着大量企业的网络。

攻击者通常会先对目标发起小规模测试攻击，以此作为更大规模行动的前兆。

尽管Dyn未能阻止Mirai僵尸网络攻击，但安全专家可以从中吸取经验教训。