Patiëntenmonitors in ziekenhuizen kwetsbaar voor spoofing
Onderzoekers van securitybedrijf McAfee hebben aangetoond hoe ze patiëntenmonitors die in ziekenhuizen worden gebruikt kunnen spoofen, zodat verplegend personeel verkeerde informatie over de vitale functies van een patiënt te zien krijgt. De patiëntenmonitors worden weer via een centraal monitorstation in de gaten gehouden.
Op deze manier kan verplegend personeel zien welke patiënt hulp nodig heeft of wanneer er afwijkingen zijn. Voor hun onderzoek keken onderzoekers van McAfee naar een centraal monitorsysteem dat Windows XP Embedded draait en uit 2004 stamt. Ook de onderzochte patiëntenmonitor is veertien jaar geleden gemaakt en beide systemen worden nog in ziekenhuizen gebruikt. De systemen blijken tijdens het communiceren geen gebruik van authenticatie of encryptie te maken.
Zodoende is het mogelijk om een kwaadaardig apparaat op het ziekenhuisnetwerk aan te sluiten dat zich als de patiëntenmonitor voordoet. Via Address Resolution Protocol (ARP) spoofing is het mogelijk om dit kwaadaardige apparaat informatie van het centrale monitoringstation te laten ontvangen, in plaats van de patiëntenmonitor. Vervolgens kan het kwaadaardige apparaat zich als de patiëntenmonitor voordoen en verkeerde informatie naar het centrale monitoringsstation sturen.
Zo is het bijvoorbeeld mogelijk om de waarde van de hartslag die op het monitoringsstation wordt getoond aan te passen. De informatie die de patiëntenmonitor weergeeft is niet op deze manier aan te passen en zal nog steeds de correcte waarde weergeven. Volgens McAfee baseren zorgverleners zich bij het maken van beslissingen juist op het centrale monitoringssysteem, in plaats van dat ze bij elke patiënt individueel langsgaan om daar op de patiëntenmonitor te kijken.
Fabrikanten krijgen dan ook het advies om netwerkverkeer tussen de apparaten te versleutelen en authenticatie toe te voegen. Verder wordt aangeraden om dergelijke systemen op een gescheiden netwerk te plaatsen. In dit geval heeft een aanvaller namelijk fysieke toegang tot het netwerk nodig om de aanval uit te kunnen voeren.
2. Geen authenticatie
3. Geen versleuteling
4. Gebruik maken van het standaardnetwerk
... 4x zucht...
2. Geen authenticatie
3. Geen versleuteling
4. Gebruik maken van het standaardnetwerk
... 4x zucht...
Niet zo heel erg, het is algemeen iets bij embedded systemen welke een zeer lange gebruiksduur moeten hebben.
Stop jij een dongel in de obc van je auto terwijl je rijdt of laat je voor tesla alles open?
Embedded systemen moet je niet ongecontroleerd aan het standaardnetwerk hangen.
Wat dat betreft is een fax erger als IOT ding, die moet publiekelijk aan het telefoonnetwerk als je fax functies wil.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
