03 Ekim 2015 00:22

Medikalde ağ güvenliği

Fotoğraf: Envato

Paylaş

İsmail Gökhan Bayram

Tüm yazıları

Bu yıl beşincisi düzenlenen DerbyCon güvenlik konferansının en ilginç sunumlarından biri internete bağlı medikal cihazların güvenliği üzerineydi. Scott Erven ve Mark Collao’nun ortaya çıkarttığı sonuçlar nete bağlı medikal cihazların güvenliğinin endişe verici düzeyde zayıf olduğunu ve binlerce medikal cihaza neredeyse hiç uğraşmadan erişilebildiğini ortaya koydu.
Shodan, nete bağlı cihazları aramak üzere geliştirilmiş bir arama motoru. Shodan’da çeşitli medikal terimleri aratan Erven ve Collao nete bağlı pek çok medikal cihazı listelemeyi başarmış. Üstelik sadece listelemekle de kalmamışlar. İkili cihaz üreticilerinin sitelerinden kolayca bulabildikleri cihazlara ait varsayılan kullanıcı adı ve parolaları denediklerinde pek çok cihazın yönetim panellerine erişebilmiş. Çalışma salt bununla da sınırlı değil. Collao, nete bağlı medikal cihazların ne oranda saldırı altında kaldığını gözlemleyebilmek için Shodan ve benzeri tarama çabalarında medikal cihaz olarak görünen on adet sanal makine kurmuş: 10 sanal makinede 55 başarılı giriş, 299 kötü amaçlı yazılım... Söz konusu saldırılar medikal cihazlara özgü değil. Yani saldırganlar büyük olasılıkla cihazların medikal amaçlı kullanıldığının farkında bile değil.
Bir kısmı işleyişinin bir gereği olarak nete bağlı olması gereken bir kısmı da lüzumsuzca nete bağlı olan medikal cihazlar hem hastaların sağlığı açısından hem de hastalara ait bilgilerin güvenliği açısından ciddi bir risk.
Medikal cihazların yazılımlarını geliştirenler büyük olasılıkla kendi alanlarında uzmandır. Ancak ağ güvenliği başlı başına bir uzmanlık alanı. Ve medikal cihaz firmalarının yazılımlarını ve donanımlarını ağ güvenliği için ne gibi testlerden geçirdiği tartışmalı. Mesele sadece hastanın verilerinin ya da tarama sonuçlarının ortaya çıkması değil. Ağa bağlı bir medikal cihazın hacklenmesinin ölümcül sonuçları olabilir. Hastaların verilerinin takibini kolaylaştırmak üzere ağa bağlanmış bir yaşam destek ünitesi düşünün. Ya da hastalara verilen dozajın hekimler tarafından uzaktan kolayca ayarlanabildiği ilaç enjektörleri. Hem hekimler hem hastalar açısından büyük kolaylıklar sağlayabilecek bu tip cihazların bilerek ya da bilmeden saldırı altında kalmasının doğuracağı sonuçları ve alabileceği canları “Yeterli düzeyde ağ güvenliği tedbiri alınmamış” ile açıklamamak için sağlık ve bilişim alanının meslek örgütlerine büyük rol düşüyor.

YAZARIN DİĞER YAZILARI