醫(yī)療器械網(wǎng)絡(luò)安全漏洞掃描-精正檢測技術(shù)
醫(yī)療器械網(wǎng)絡(luò)安全漏洞掃描-精正檢測技術(shù)
在進(jìn)行醫(yī)療器械網(wǎng)絡(luò)安全漏洞掃描時，首要任務(wù)是了解目標(biāo)設(shè)備所在的網(wǎng)絡(luò)部署環(huán)境。針對主機(jī)掃描，我們的策略側(cè)重于從用戶角度出發(fā)，探測醫(yī)療設(shè)備的潛在安全隱患。鑒于這些設(shè)備常配備應(yīng)用軟件并需用戶登錄操作，掃描將重點檢查系統(tǒng)軟件、中間件、注冊表等部分的安全漏洞。同時，對于非網(wǎng)絡(luò)連接的醫(yī)療器械，如體外診斷設(shè)備，我們也需特別考慮其漏洞掃描的適用性。
對于嵌入式系統(tǒng)的掃描，我們采用靜態(tài)分析程序特征的方法，無需執(zhí)行程序代碼即可發(fā)現(xiàn)潛在的安全漏洞。在此過程中，除了應(yīng)用程序本身，我們還需關(guān)注引導(dǎo)加載程序、文件系統(tǒng)等環(huán)境因素。
漏洞掃描工具的工作原理是基于目標(biāo)系統(tǒng)的操作系統(tǒng)平臺和提供的網(wǎng)絡(luò)服務(wù)，結(jié)合已知的漏洞數(shù)據(jù)庫，對系統(tǒng)進(jìn)行逐一檢測。目前市場上常見的商用漏洞掃描工具包括Webinspect、AppScan、Nessus、Fortify SCA等。在進(jìn)行漏洞掃描時，申請人或評估機(jī)構(gòu)應(yīng)明確掃描工具及漏洞庫的基本信息，包括名稱、版本、發(fā)布日期等。
根據(jù)醫(yī)療器械網(wǎng)絡(luò)安全注冊審查指導(dǎo)原則（2022年修訂版），網(wǎng)絡(luò)安全漏洞評估報告應(yīng)包含CVSS漏洞等級、漏洞掃描報告、漏洞總數(shù)和剩余漏洞數(shù)、剩余漏洞的維護(hù)方案等內(nèi)容。其中，CVSS（Common Vulnerability Scoring System）是一個行業(yè)公開標(biāo)準(zhǔn)，用于評估漏洞的嚴(yán)重程度和確定相應(yīng)的緊急度和重要度。在評估過程中，申請人應(yīng)明確漏洞風(fēng)險等級的評定標(biāo)準(zhǔn)，并根據(jù)CVSS的評分標(biāo)準(zhǔn)進(jìn)行判定。
對于中等級別的漏洞，建議申請人將網(wǎng)絡(luò)安全漏洞評估工作委托給第三方檢測機(jī)構(gòu)進(jìn)行。這是因為大部分單機(jī)版產(chǎn)品需要專業(yè)的掃描工具，并且能確保漏洞庫的實時更新。在確定漏洞總數(shù)和剩余漏洞數(shù)時，申請人可以通過訪問國家信息安全漏洞庫，獲取外部軟件環(huán)境（如操作系統(tǒng)）的漏洞庫信息。建議使用專用漏洞掃描工具對外部軟件環(huán)境和應(yīng)用程序進(jìn)行掃描，以獲取準(zhǔn)確的漏洞情況。
在描述漏洞信息時，申請人或評估機(jī)構(gòu)應(yīng)明確指出漏洞出現(xiàn)的端口、協(xié)議、服務(wù)以及具體的漏洞名稱、類別和對應(yīng)的CVE信息。對于剩余漏洞的維護(hù)方案，申請人應(yīng)根據(jù)掃描結(jié)果和已知的剩余漏洞信息，分析其對產(chǎn)品安全性的影響，并制定相應(yīng)的網(wǎng)絡(luò)安全策略和漏洞維護(hù)計劃。
對于軟件二進(jìn)制文件的安全評估，當(dāng)發(fā)現(xiàn)組件漏洞時，建議進(jìn)行滲透測試或模糊測試。滲透測試是通過模擬黑客攻擊手法和技巧對目標(biāo)系統(tǒng)進(jìn)行攻擊，以獲取信息和權(quán)限等。通過滲透測試報告，可以更直觀地反映系統(tǒng)面臨的風(fēng)險和漏洞利用情況。在醫(yī)療器械網(wǎng)絡(luò)安全領(lǐng)域，美國FDA和UL 2900等標(biāo)準(zhǔn)對滲透測試有明確的要求。模糊測試則是一種自動化的軟件測試技術(shù)，通過向程序提供隨機(jī)輸入來識別潛在漏洞。在醫(yī)療器械網(wǎng)絡(luò)安全中，模糊測試可分為軟件模糊測試和硬件模糊測試兩類。在進(jìn)行模糊測試時，需要選擇適合的測試工具和方法，制定測試計劃和方案，并采取相應(yīng)的安全措施以確保測試不會對系統(tǒng)造成損害或泄露敏感信息。同時，需要對測試結(jié)果進(jìn)行分析和評估，及時發(fā)現(xiàn)和修復(fù)安全漏洞和問題。為確保系統(tǒng)的安全性和穩(wěn)定性，建議定期進(jìn)行模糊測試。