醫(yī)療行業(yè)Web應(yīng)用安全:全面了解應(yīng)用層安全風(fēng)險(xiǎn)

責(zé)任編輯:editor006

作者:aqniu

2018-01-09 17:44:02

摘自:安全牛

隨著越來(lái)越多的數(shù)據(jù)通過(guò)網(wǎng)絡(luò)傳輸,醫(yī)療部門(mén)很難實(shí)時(shí)部署解決數(shù)字化帶來(lái)的復(fù)雜性所需的安全策略、技術(shù)和資源。由于醫(yī)療行業(yè)中存在更多的加密流量,因此針對(duì)應(yīng)用層的加密(SSL TLS)威脅和攻擊很令人擔(dān)憂(yōu)。

醫(yī)療行業(yè)由很多部門(mén)組成:保險(xiǎn)公司等付款方;醫(yī)院和醫(yī)生等提供商:制藥以及醫(yī)療設(shè)備和器械制造商。由于該行業(yè)要處理各種各樣的生命質(zhì)量問(wèn)題,訪問(wèn)實(shí)時(shí)數(shù)據(jù),尤其是患者記錄等敏感數(shù)據(jù),因此需要內(nèi)部、Web、移動(dòng)或云應(yīng)用的安全性和可用性。

為了了解首席安全高管們?nèi)绾卧诠芾磉^(guò)程和人員的同時(shí)克服這些技術(shù)挑戰(zhàn),Radware對(duì)來(lái)自六大洲的600多名首席信息安全官(CISO)及其他安全領(lǐng)袖進(jìn)行了調(diào)查。本文概述了Radware Web應(yīng)用安全報(bào)告:數(shù)字連接領(lǐng)域的Web安全的主要發(fā)現(xiàn)。

數(shù)字化病人

數(shù)字轉(zhuǎn)型導(dǎo)致醫(yī)療行業(yè)生成了大量的視頻和圖像。醫(yī)療行業(yè)創(chuàng)建了一個(gè)虛擬的實(shí)時(shí)醫(yī)療設(shè)備連接,可以24/7/365不間斷地傳輸非結(jié)構(gòu)化和潛在的不安全數(shù)據(jù)。除了數(shù)據(jù)爆炸之外,醫(yī)療行業(yè)還必須遵守一系列特定的,由政府和行業(yè)主導(dǎo)的法規(guī)和標(biāo)準(zhǔn)(如:HIPAA、GDPR、美國(guó)FDA指導(dǎo)方針等地方性法規(guī)),這些法規(guī)和標(biāo)準(zhǔn)可以控制敏感的個(gè)人信息和臨床信息的的采集、使用、共享和傳輸。

醫(yī)療提供商在復(fù)雜醫(yī)療設(shè)備上進(jìn)行了大量的CAPEX投資。由于生命周期很長(zhǎng),很多設(shè)備連接的依然是老舊的未打過(guò)補(bǔ)丁的系統(tǒng)。事實(shí)上,某些設(shè)備仍然運(yùn)行在Windows XP上。

通常,由于害怕設(shè)備保修會(huì)失效,IT管理員不會(huì)更新或?yàn)檫@些系統(tǒng)打補(bǔ)丁,因此在涉及到保護(hù)環(huán)境安全時(shí),設(shè)備制造商就成為了醫(yī)療行業(yè)中的薄弱環(huán)節(jié)。

隨著越來(lái)越多的數(shù)據(jù)通過(guò)網(wǎng)絡(luò)傳輸,醫(yī)療部門(mén)很難實(shí)時(shí)部署解決數(shù)字化帶來(lái)的復(fù)雜性所需的安全策略、技術(shù)和資源。僅在2017年,數(shù)據(jù)泄露、勒索軟件以及易受攻擊的網(wǎng)站、未加密移動(dòng)應(yīng)用和網(wǎng)絡(luò)釣魚(yú)等安全漏洞就曝光了數(shù)千萬(wàn)的患者和醫(yī)療記錄。

這就意味著,醫(yī)療行業(yè)必須進(jìn)行技術(shù)、工具和解決方案投資,用以保護(hù)他們的應(yīng)用和環(huán)境。然而,接受醫(yī)療部門(mén)調(diào)查的近200名安全高管(將近90%的高管都有權(quán)直接進(jìn)行安全活動(dòng)和投資)發(fā)現(xiàn),在緩解風(fēng)險(xiǎn)方面,醫(yī)療行業(yè)明顯落后于零售和金融服務(wù)等其他行業(yè)。只有27%的受訪者明確表示可以保護(hù)患者的醫(yī)療記錄,盡管近80%的記錄都必須符合政府法規(guī)。

信心和緩解風(fēng)險(xiǎn)

對(duì)調(diào)查反饋的分析可以反映一個(gè)部門(mén)在面對(duì)日益增長(zhǎng)的安全需求時(shí)表現(xiàn)出來(lái)的不安狀態(tài)。近三分之二的受訪者不確信他們能否在不影響運(yùn)維的前提下快速采用安全補(bǔ)丁和更新,而70%的受訪者則表示,在過(guò)去兩年間,他們只能完全追蹤到不到50%的數(shù)據(jù)丟失事件并進(jìn)行修復(fù)。

在發(fā)生重大行業(yè)數(shù)據(jù)泄露或攻擊后,68%的受訪者都會(huì)在安全控制方面進(jìn)行了一定程度或重大投資,21%的受訪者采用了API網(wǎng)關(guān),23%的企業(yè)采用了WAF,只有29%的企業(yè)部署了這兩種。此外,在集成之前,只有不到40%的企業(yè)可以分析API漏洞,而不到40%的企業(yè)表示可以檢測(cè)或緩解暴力破解、Web抓取、加密Web攻擊或API篡改等攻擊。

只有25%的受訪者可以完全意識(shí)到軟件開(kāi)發(fā)環(huán)境中的內(nèi)部應(yīng)用和API的改變。

在數(shù)據(jù)離開(kāi)公司網(wǎng)絡(luò)之后,61%的企業(yè)無(wú)法追蹤與第三方共享的數(shù)據(jù),57%的企業(yè)不會(huì)檢查通過(guò)API傳輸/返回的數(shù)據(jù)。

新興威脅的崛起

除了應(yīng)對(duì)多年以來(lái)影響醫(yī)療行業(yè)的現(xiàn)有威脅和漏洞之外,許多受訪者都認(rèn)為,新興技術(shù)的威脅越來(lái)越大。與其他行業(yè)一樣,從生成流量的角度來(lái)看,計(jì)算機(jī)機(jī)器人程序在醫(yī)療行業(yè)中越來(lái)越占據(jù)主導(dǎo)地位,36%的網(wǎng)絡(luò)流量都來(lái)自于計(jì)算機(jī)機(jī)器人程序。然而,只有20%的受訪者能夠確定這36%的流量來(lái)自于良性計(jì)算機(jī)機(jī)器人程序還是不良機(jī)器人程序。

由于醫(yī)療行業(yè)中存在更多的加密流量,因此針對(duì)應(yīng)用層的加密(SSL/TLS)威脅和攻擊很令人擔(dān)憂(yōu)。在所有攻擊中,41%的受訪者表示,過(guò)去一年間,L7層DDoS攻擊發(fā)生的頻率更高,但只有30%的人確信能緩解某種針對(duì)應(yīng)用層的攻擊。62%的人則表示,防御、檢測(cè)并控制此類(lèi)攻擊是最困難的。

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號(hào)-6京公網(wǎng)安備 11010502049343號(hào)