3. 医疗设备网络安全威胁与漏洞来源

医疗设备网络安全的核心矛盾在于：设备往往以“可用性优先”设计，生命周期长达 10～15 年，而攻击面却随着联网、远程运维和第三方组件不断扩张。理解威胁类型、漏洞从哪里来、如何评级、如何建模，是后续补丁工程与安全更新的前提。

一、常见威胁类型：按攻击目标与路径分类

医疗设备面临的威胁不宜只按“病毒、木马”罗列，更实用的分类是按攻击者目标与进入路径划分：

• 网络暴露类：设备直接暴露在互联网或跨网段可达，攻击者通过开放端口、默认口令、未加密协议进入。典型如 DICOM 服务、HL7 接口、HTTP 管理页面。
• 供应链类：设备内置的第三方库、操作系统、驱动或固件组件存在已知漏洞，厂商未及时同步修复。
• 物理与接口类：USB、串口、调试口、维护口被利用，攻击者可在设备旁植入恶意固件或读取数据。
• 身份与权限类：弱口令、共享账号、无多因素认证，导致越权访问设备配置或患者数据。
• 拒绝服务类：通过流量洪泛或资源耗尽使监护、输液、影像设备不可用，直接影响临床。
• 数据完整性类：篡改报警阈值、剂量参数、影像数据，属于最危险的一类，因为可能直接危害患者安全。

这些威胁并非孤立存在，常见组合是“先通过弱口令进入网络，再利用未修补的第三方库提权，最后篡改设备参数”。因此威胁分析要关注链路，而不是单点。

二、漏洞披露渠道：从哪里获得可信信息

医疗设备漏洞信息有明确的公开与半公开渠道，工程上应建立固定跟踪机制：

• CVE / NVD：通用漏洞编号与评分，适合跟踪第三方组件漏洞。
• ICS-CERT / CISA 医疗公告：针对医疗设备和工业控制系统的安全公告，常包含受影响型号、固件版本和缓解措施。
• 厂商安全公告：设备原厂发布的安全补丁、固件更新说明和临时缓解方案，是最贴近设备实际的信息源。
• FDA 安全通信：针对已上市设备的网络安全预警，常与召回或强制更新关联。
• 漏洞赏金与安全研究社区：部分厂商通过众测或合作研究提前获知漏洞，披露前会有协调期。

实际工作中，建议把“厂商公告 + CISA 公告 + CVE”三者交叉核对：CVE 给出通用编号，CISA 给出医疗场景影响，厂商公告给出可执行的修复版本。只依赖单一渠道容易漏掉设备专属风险。

三、医疗设备攻击案例：从事件中提炼教训

公开报道中较有代表性的案例包括：某类输液泵因默认口令和未加密通信被远程访问，攻击者可修改输液速率；某影像归档系统因未修补的第三方组件漏洞导致患者影像数据泄露；某医院网络因监护设备使用旧版操作系统，被勒索软件横向移动后导致设备离线。这些案例的共同点是：漏洞本身不一定在设备核心功能，而在其运行环境、接口或供应链。

从案例中可提炼三条工程教训：第一，设备联网前必须做资产与端口梳理；第二，第三方组件漏洞要纳入补丁跟踪；第三，临床可用性与安全性需要平衡，不能因打补丁导致设备停机而放弃修复。

四、风险评级方法：把漏洞放到临床语境中

通用 CVSS 评分只反映技术严重性，医疗设备还需要叠加临床影响。常用做法是“CVSS 基础分 + 临床影响修正 + 利用难度修正”。例如：

示例：某监护设备存在 CVSS 7.5 的远程漏洞，临床影响为“高”（可能中断监护），利用难度“低”（无需认证），暴露面为“内网”。综合评级应为“紧急”，优先安排厂商补丁或网络隔离。若同一漏洞出现在仅用于科研、不接触患者的设备上，临床影响为“低”，则可降级为“中”。

五、威胁建模入门：用数据流图找入口

威胁建模不是写文档，而是把设备的数据流画出来，再逐条问“谁能改、谁能读、谁能阻断”。入门可用简化 STRIDE 方法：欺骗、篡改、否认、信息泄露、拒绝服务、权限提升。对医疗设备，建议先画三层：设备内部、设备与网络边界、设备与临床系统接口。

画完数据流后，对每条边和每个节点套用 STRIDE 提问，就能得到一份可执行的威胁清单。例如“通信模块”这条边，若使用未加密 TCP，则存在信息泄露与篡改风险；“本地接口”节点若允许未签名固件升级，则存在权限提升与持久化风险。威胁建模的输出不是风险列表本身，而是修复优先级与验证方法：哪些漏洞必须立即隔离，哪些可以等厂商补丁，哪些需要网络层补偿控制。

综合来看，医疗设备网络安全威胁与漏洞来源不是单一技术问题，而是“威胁类型—披露渠道—案例教训—风险评级—威胁建模”的闭环。只有把漏洞放回临床语境中评估，才能让补丁工程既安全又不影响诊疗。