1. 医疗设备安全监控与响应工程导论
医疗设备早已不是孤立运行的硬件。一台监护仪通过院内网络把生命体征推送到中央站，一台输液泵接受医嘱服务器下发的输注方案，一台CT机在完成扫描后把影像写入PACS，同时把运行日志上传到厂商的远程运维平台。设备、网络、数据与人被紧密连接在一起，这带来了效率，也带来了新的攻击面。本课程讨论的，正是如何在这样的环境中持续发现异常、判断风险并做出有效响应。
为什么医疗设备安全形势正在变化
传统观念里，医疗设备的安全主要指电气安全与生物相容性，关注的是漏电流、接地阻抗、报警失效等。而今天，一台设备的"安全"至少包含三个层面：患者安全（设备功能是否正确执行）、数据安全（患者信息是否被泄露或篡改）、可用性安全（设备是否在需要时可用）。三者相互牵连——勒索软件加密了影像服务器，手术可能被迫延期；输液泵的固件被篡改，患者直接面临用药风险。
造成形势变化的几个现实因素值得注意。第一，设备生命周期极长，很多在用设备的操作系统已停止安全更新，却因临床依赖而无法下线。第二，厂商远程维护通道往往由厂商掌握，医院侧可见性有限，一旦凭据泄露，攻击者可绕过边界直达设备。第三，医疗网络普遍存在"扁平化"问题，办公网、 guest 网与设备网之间缺乏严格隔离，一台被钓鱼的办公电脑可能成为跳板。第四，设备资产台账常常不完整，安全团队甚至不知道院内有多少台联网设备、分别开放了哪些端口。
监控与响应工程的定义
医疗设备安全监控与响应工程，是指围绕医疗设备及其支撑网络，建立持续可见性、异常检测、事件研判、遏制处置与恢复改进的工程化能力。它不等同于买一套流量探针，也不等同于写一份应急预案，而是把"看见—判断—行动—验证"变成可重复、可度量、可审计的流程。
可以用一个更具体的视角理解：监控解决"现在发生了什么"，响应解决"接下来做什么、做到什么程度算结束"。两者之间靠"研判"衔接——不是所有告警都是事件，也不是所有事件都需要停机隔离。例如，某台监护仪突然向一个陌生IP发起大量连接，可能是固件升级失败重试，也可能是被植入后门后的回连。此时需要结合设备型号、正常通信基线、当前临床状态来判断。
核心挑战：为什么这件事比一般IT安全更难
第一是可见性不足。很多医疗设备是"黑盒"，不能安装代理，不支持标准日志输出，甚至不允许主动扫描——因为扫描可能导致设备重启或功能异常。安全团队只能依赖网络侧被动流量分析，而加密流量又进一步压缩了可观测内容。
第二是不能轻易停机。IT环境中发现主机被入侵，标准动作是断网隔离。但一台正在维持患者呼吸的呼吸机、一台正在术中导航的设备，不能因为一条告警就切断连接。响应动作必须与临床团队共同决策，并准备降级运行方案。
第三是责任边界模糊。设备由临床科室使用、由医学工程科维护、由厂商提供远程支持、由信息科接入网络。安全事件发生时，谁有权查看设备日志、谁有权修改配置、谁负责与厂商沟通，往往没有预先定义清楚。
第四是基线难以建立。同一型号设备在不同科室、不同使用场景下的通信行为可能不同。手术室的麻醉机与ICU的麻醉机，通信对端和频次可能不一样。因此"正常"需要按设备、按位置、按业务分别刻画，不能一刀切。
本课程的知识框架与学习目标
基于上述挑战，本课程按"看得见—判得准—动得快—恢复得好—管得住"组织内容。具体包括：医疗设备资产发现与网络拓扑梳理；流量采集与正常通信基线建模；异常检测规则设计与告警降噪；事件分级与临床影响评估；遏制、取证、根除、恢复的工程化操作；厂商协同与漏洞管理；制度、培训、演练与度量指标。
学完本课程，你应当能够独立完成以下任务：给定一个医院网络片段，识别其中医疗设备及其通信关系；为典型设备建立可用的通信基线；针对"设备异常外联"这类场景设计检测规则并说明误报来源；在不停机的前提下制定遏制方案；撰写一份可执行的医疗设备安全事件响应记录。
一个贯穿课程的示例场景
为便于理解，后续章节会反复引用一个示例场景：某三甲医院ICU的一台监护仪，正常应只与中央监护站（10.20.30.15）和NTP服务器（10.20.0.5）通信，使用HL7协议，端口2575，每分钟约12次心跳。某日监控平台发现该设备在凌晨2:17向一个境外IP的443端口发起持续连接，每次约30秒，间隔5分钟，共持续40分钟。
这个场景中，资产台账告诉你设备型号与位置；流量基线告诉你"正常通信对端只有两个"；异常检测规则触发"非基线外联"告警；研判需要确认该设备是否正在被临床使用、是否处于维护窗口、厂商是否有远程升级计划；响应则要在不影响监护的前提下，通过交换机ACL限制该IP出站，同时保留流量镜像用于取证，并联系厂商确认固件版本。整个过程涉及本课程多个模块，也是后续练习的起点。
医疗设备安全监控与响应工程的价值，不在于堆砌工具，而在于把临床风险、网络行为与工程动作连接起来。当你能清楚回答"这台设备正常时是什么样、现在哪里不一样、这个不一样会不会伤到患者、我下一步做什么"这四个问题时，你就已经具备了这项工作的核心能力。