最后更新于2023年10月11日星期三15:29:07 GMT

介绍

医学数字成像和通信(DICOM)是国际标准的传输, 存储, 检索, 打印, 并显示医学图像和相关信息. 虽然DICOM已经彻底改变了医疗成像行业, 通过轻松交换成像数据，增强患者护理, 当暴露在开放的互联网上时，它也会出现潜在的漏洞.

大约五年前，我在医院给我怀孕的妻子做超声波检查. 当医生做影像的时候, 屏幕上的一条小信息引起了我的注意:“写入映像到磁盘-传输DICOM。.“当时对DICOM标准的深入研究使我们能够在互联网上发现暴露的系统, 检索医学图像, 使用演示软件, 3d打印骨盆. 这项研究的一个例子仍然可以在网上找到 在这里. 五年过去了, 所以我很好奇事情是否发生了变化(不用担心，我不会3d打印另一个身体部位😉).

本文将深入研究与意外暴露DICOM数据相关的风险，以及保护这些数据的重要性.

了解日本

DICOM is more than just an image format; it encompasses a suite of protocols that allow different medical imaging devices 和 systems, 比如核磁共振成像仪, x射线设备, 计算机工作站, 互相交流. 典型的DICOM文件不仅包含映像，还包含相关的元数据, 哪些可能有患者的人口统计信息, 临床数据。, 有时甚至是病人的全名, 出生日期, 以及其他个人标识符.

暴露风险有哪些?

  1. 违反患者保密:最紧迫的问题是违反患者保密. 如果DICOM数据在线暴露, 未经授权访问敏感患者信息的风险很高. 这种违规行为有可能导致法律后果, 经济处罚, 也会损害医疗机构的声誉.
  2. 数据操纵:未受保护的系统可能允许恶意实体不仅查看而且更改医疗数据. 这样的操作有可能导致误诊, 不恰当的治疗, 或者其他医疗事故.
  3. 勒索软件攻击:近年来, 医疗机构已成为勒索软件攻击的主要目标. 暴露DICOM数据可能会为网络犯罪分子加密重要医疗信息并索要赎金提供一个通道.
  4. 数据丢失:没有适当的安全措施, 数据可能被意外或恶意删除, 导致重要的医疗记录丢失.
  5. 服务中断:未受保护的DICOM服务器可能容易受到拒绝服务(DoS)攻击, 扰乱医疗服务，干扰病人护理.

研究

而之前我专注于协议的成像部分, 这一次，我研究了从公开的DICOM服务器检索PII数据*的可能性.

使用声纳, Rapid7的专有互联网扫描引擎, 进行了一项研究，以扫描暴露在互联网上的DICOM端口. 使用扫描的输出, 创建了一个简单的Python脚本，使用发现的IP地址作为输入, 从而查询来自“PATIENT”根级的一组基本DICOM描述符. 该标准本身非常广泛，包含许多可以检索的字段, 例如PII相关数据，包括姓名, 出生日期, 对治疗的评论, 还有更多.

不幸的是，我们能够快速检索敏感的患者信息. No need for authentication; we received the information simply by requesting it. 下面的屏幕截图是我们检索到的一个示例, 出于隐私目的而更改的PII.


在某些情况下，我们能够获得有关患者研究和状态的更多细节:


重要的是, 我们的结果不仅发现了医院, 还有私人诊所和兽医诊所.

当扫描连接到互联网的系统时, 我们主要关注两个主要的TCP端口:TCP端口104和TCP端口11112. 我们忽略了TCP端口4242，因为它主要用于发送图像. 我们总共发现了3600多个回复这两个端口的结果.

虽然定位这些系统的位置可能会很有趣, 我们认为，最好是调查哪些系统是真正可能的候选者，我们可以从中检索数据并对其进行定位.

TCP端口104统计信息

在检索响应开放端口并匹配DICOM应答的IP地址列表之后, 我们通过使用自定义脚本扫描列表，该脚本将查询是否可以建立连接. 下图显示了扫描的结果.

在45%的情况下, 远程服务器正在接受可用于检索信息的连接.

TCP端口11112状态

接下来，我们使用对TCP端口1112上的DICOM ping应答作出响应的IP地址列表. 我们再次使用脚本来查询是否可以建立连接. 下图显示了这个特定扫描的结果.

在响应DICOM连接验证脚本的已发现系统总数的1921中, 这些系统中有43%接受可用于检索数据的连接.

因为我们现在知道有多少个系统连接在一起, 接受连接以检索信息, 让我们在全球地图上标出这些, 每个橙色的国家都是系统被发现的国家:


Not much seems to have changed since my initial research in 2018; even searching for medical images using a fairly simple Google query results in the ability to download images from DICOM systems, 包括全套核磁共振成像设备. 下面的图片展示了一个来自兽医诊所的无辜例子，在那里为一只不幸的宠物拍摄了x光片.

结论

虽然DICOM在医学成像领域已被证明是无价之宝, 它与互联网的接触带来了巨大的风险. Healthcare institutions are the prime targets of threat actors; t在这里fore, 这些风险对患者的医疗保健服务和消费者信任产生了不利影响, 它们还会给医疗服务提供者造成法律和经济损失.

医疗机构必须认识到这些风险，并实施强有力的措施来保护患者数据及其声誉. 随着网络环境的不断发展, 防范潜在威胁的防御措施也必须如此. 医疗保健组织应该将其作为业务战略的一部分 定期扫描他们的暴露 并针对潜在风险制定强有力的保护措施.

*注:如有可能, Rapid7利用他们与国家cert的联系将我们的发现告知他们. 所有被发现的数据都已安全地从研究人员的系统中删除.