医疗器械网络安全漏洞评估报告

2024年3月，医疗某三甲医院心内科一台联网的器械输液泵突然出现通讯中断，屏幕上跳出一行乱码。网络护士长拔掉电源重启，安全设备恢复正常，漏洞但当天下午，评估同型号的报告另外七台泵在半小时内相继报错——最后查明，是医疗医院内网里一台被植入勒索软件的影像归档服务器，在横向扫描时触发了这些输液泵的器械TCP/IP协议栈漏洞。没人知道那台服务器是网络什么时候被攻破的，也没人统计过那次事件造成的安全实际损失，但有一点很清楚：医疗器械早已不是漏洞孤立的“铁盒子”，它们是评估网络上的节点，而节点的报告安全系数，往往取决于最薄弱的医疗那台设备。

先看一个更糟的案例。某厂商的远程心电监护仪，出厂时预置了硬编码管理员账号“admin/admin”，且关闭了固件签名校验——这意味着任何能访问该设备网络端口的人，都能用公开的默认口令登录，修改心率报警阈值，甚至向患者体内植入虚假的心律数据。更麻烦的是，该设备使用MQTT协议向云端推送数据，但消息未加密，且不校验设备身份。攻击者只要伪造一个客户端，就能冒充任意一台监护仪向医院服务器发送伪造的生理参数。这不是理论推演。2023年，美国FDA就因类似问题召回了超过4万台输液泵，原因是其无线模块存在未认证的调试接口，可被远程触发过量输注。

现实中的漏洞分布比很多人想的更“偏门”。你以为高风险都在植入式设备或大型影像系统里，其实大量风险藏在那些不起眼的小东西里——血糖仪、体温贴、智能药盒。这些设备往往由消费电子厂商代工，使用通用蓝牙芯片和开源协议栈，却缺乏医疗级的安全设计。比如某款智能药盒，通过手机App同步服药记录，其蓝牙广播包中直接包含设备序列号和今日服药状态。攻击者只需在10米内被动嗅探，就能判断某位老人今天是否吃过降压药。这已经不只是隐私泄露，而是实实在在的人身安全威胁。

漏洞评估这件事，难点不在“发现”，而在“修复”。医疗器械的固件更新不像手机App那样一键升级。它需要重新验证电磁兼容性、生物相容性、软件安全性，甚至要重新走一遍注册审批流程。一台老式CT机如果发现心脏起搏器干扰相关的漏洞，厂商可能要花18个月才能发布补丁——而这段时间里，医院只能靠防火墙规则和网络隔离来“硬扛”。有些医院干脆把相关设备从内网断开，结果医生只能手动抄录数据，效率大跌，还容易出错。这种“安全与可用性”的拉锯，是每个医院信息科主任都头疼的事。

我个人的观察是：多数漏洞不是被“黑客”发现的，而是被运维人员“撞见”的。比如某医院信息科在例行日志审计时，发现一台麻醉机在非手术时段频繁向外部IP发送心跳包。查下来才知道，该设备的远程维护功能默认开启，且使用明文传输登录凭据。厂商解释这是为了方便远程调试，但医院根本没签远程维护合同——也就是说，那台设备一直在“裸奔”，只是没人注意到而已。

所以，评估报告不能只列CVE编号和CVSS得分，更该追问：这台设备接入网络时，医院是否清楚它开放了哪些端口？厂商是否提供完整的软件物料清单？设备报废后，存储的患者数据能否彻底清除？这些问题，比任何技术细节都更决定实际风险。安全不是一次扫描能解决的，它是个持续博弈的过程——今天修好了这台输液泵，明天那台除颤仪又可能因为证书过期而拒绝通讯。真正的评估，应该像医生查房一样，天天看，时时问，而不是等到出事了才做一次“尸检”。