首頁(yè) > 關(guān)于我們 > 安恒動(dòng)態(tài) > 2024 > 正文

醫(yī)院 API 安全危機(jī)重重，安恒信息筑牢數(shù)字防護(hù)盾

閱讀量：次 文章來(lái)源：安恒信息

近日，《中國(guó)數(shù)字醫(yī)學(xué)》雜志刊發(fā)文章：《?醫(yī)院網(wǎng)絡(luò)環(huán)境中，OWASP公布的十大API接口安全漏洞！》在全社會(huì)引起熱議。

當(dāng)前醫(yī)療信息化的快速發(fā)展中，醫(yī)院信息系統(tǒng)API安全構(gòu)成了維護(hù)個(gè)人健康信息保護(hù)的前沿陣地。在醫(yī)療殿堂里，API接口如同錯(cuò)綜復(fù)雜的血管網(wǎng)絡(luò)，無(wú)聲地輸送著寶貴的數(shù)據(jù)血液——患者的隱私信息與醫(yī)院的核心運(yùn)營(yíng)資料。

然而，在這看似平靜的內(nèi)網(wǎng)環(huán)境下，隱藏著不容小覷的安全隱患，它們?nèi)缤瑵摲牟≡?，隨時(shí)可能引發(fā)數(shù)據(jù)的“出血”危機(jī)。因此，嚴(yán)格執(zhí)行API安全規(guī)范，不僅是遵循如HIPAA、GDPR等國(guó)際安全標(biāo)準(zhǔn)的法律義務(wù)，也是維系醫(yī)患信任、社會(huì)穩(wěn)定的技術(shù)倫理要求。

醫(yī)院網(wǎng)絡(luò)環(huán)境中API的安全問(wèn)題

在醫(yī)療信息系統(tǒng)內(nèi)，可提供廣泛醫(yī)療服務(wù)的醫(yī)院內(nèi)網(wǎng)環(huán)境通常具有大量的第三方集成接口，這些服務(wù)目前嚴(yán)重依賴各類API接口收集數(shù)據(jù)并展示在信息前臺(tái)界面或直接面向患者。

目前，相較于外網(wǎng)環(huán)境，內(nèi)網(wǎng)環(huán)境更封閉，所以醫(yī)院較少重視生產(chǎn)環(huán)境中API存在的數(shù)據(jù)泄露風(fēng)險(xiǎn)。而解決醫(yī)院API接口暴露問(wèn)題，實(shí)際上是需要解決OWASP所提出的4個(gè)漏洞分類中的十大安全漏洞。

數(shù)據(jù)泄露

數(shù)據(jù)泄露一方面是因?yàn)槟承┸浖_(kāi)發(fā)廠商在沒(méi)有采用基于白名單等防護(hù)機(jī)制進(jìn)行適當(dāng)過(guò)濾的情況下，為加快軟件開(kāi)發(fā)周期而自動(dòng)綁定用戶輸入與內(nèi)部對(duì)象或代碼變量。

另一方面是因?yàn)橐恍╅_(kāi)發(fā)人員依賴客戶端自動(dòng)過(guò)濾敏感信息功能，忽略對(duì)API接口響應(yīng)，只包含合法的數(shù)據(jù)檢查，未對(duì)敏感信息進(jìn)行必要的加密，造成過(guò)度的數(shù)據(jù)暴露（API3-2019），例如患者個(gè)人信息和病程手術(shù)記錄等。這種數(shù)據(jù)泄露不僅會(huì)損害患者隱私權(quán)，還會(huì)嚴(yán)重影響醫(yī)院的聲譽(yù)。

身份驗(yàn)證問(wèn)題

醫(yī)院內(nèi)網(wǎng)環(huán)境中API接口的身份驗(yàn)證機(jī)制很容易被攻擊者繞過(guò)，攻擊者可以利用這個(gè)漏洞冒充合法用戶獲取API接口的訪問(wèn)權(quán)限，然后利用API接口進(jìn)行惡意操作，如刪除、修改、篡改等。出現(xiàn)身份驗(yàn)證攻擊問(wèn)題的常見(jiàn)原因有以下4點(diǎn)：

一、開(kāi)發(fā)人員沒(méi)有針對(duì)某個(gè)用戶場(chǎng)景對(duì)查詢對(duì)象的內(nèi)容進(jìn)行明確的權(quán)限精細(xì)劃分，例如，某個(gè)科研平臺(tái)只需要對(duì)CT報(bào)告的數(shù)據(jù)進(jìn)行分析，但實(shí)際上可以查詢包括病例、超聲等所有檢查記錄，這通常是失效的對(duì)象級(jí)別授權(quán)（API1-2019）；

二、對(duì)于對(duì)象的控制，主要指功能級(jí)的控制，例如，限制第三方運(yùn)維人員對(duì)HIS系統(tǒng)HTTP POST的權(quán)限，但實(shí)際上開(kāi)發(fā)人員沒(méi)有做明確的權(quán)限限制，而是將GET、DELETE等權(quán)限都開(kāi)放給運(yùn)維人員，造成失效的功能級(jí)授權(quán)（API5-2019）；

三、因?yàn)殚_(kāi)發(fā)人員習(xí)慣性使用常見(jiàn)默認(rèn)密碼或弱密碼等原因，明文傳輸臨時(shí)令牌（Token），給攻擊者可乘之機(jī)，引發(fā)失效的用戶身份認(rèn)證（API2-2019）；

四、大部分API接口因?yàn)殚_(kāi)發(fā)人員沒(méi)有基本的安全意識(shí)而使用默認(rèn)配置，導(dǎo)致基本安全性操作配置（API7-2019）。

拒絕服務(wù)攻擊

開(kāi)發(fā)人員在沒(méi)有經(jīng)過(guò)嚴(yán)格壓力測(cè)試與試運(yùn)行的情況下，盲目對(duì)API接口隨意調(diào)整一個(gè)調(diào)用和載荷大?。ˋPI4-2019），攻擊者便可以通過(guò)大量請(qǐng)求來(lái)消耗API接口服務(wù)端資源，導(dǎo)致服務(wù)端接近崩潰或無(wú)法正常工作，醫(yī)院內(nèi)網(wǎng)環(huán)境中的其他應(yīng)用程序也會(huì)受到牽連，影響醫(yī)院的正常運(yùn)行。

資產(chǎn)日志管理不足

由于醫(yī)院內(nèi)網(wǎng)系統(tǒng)業(yè)務(wù)量多而復(fù)雜，可能存在監(jiān)控資產(chǎn)管理不當(dāng)（API9-2019）。

安恒API安全解決之道

醫(yī)院網(wǎng)絡(luò)環(huán)境中API接口的安全性問(wèn)題突出，主要原因是涉及用戶的隱私數(shù)據(jù)以及醫(yī)院網(wǎng)絡(luò)環(huán)境通常較為復(fù)雜，存在受到網(wǎng)絡(luò)攻擊的風(fēng)險(xiǎn)。

為避免API接口遭受攻擊與威脅，應(yīng)當(dāng)優(yōu)先解決API資產(chǎn)管理的問(wèn)題。

由于API數(shù)量快速增加，復(fù)雜性日益提升，API資產(chǎn)管理變得越來(lái)越困難。安恒信息API風(fēng)險(xiǎn)監(jiān)測(cè)系統(tǒng)是一款集簡(jiǎn)單易用、風(fēng)險(xiǎn)監(jiān)測(cè)準(zhǔn)確、場(chǎng)景覆蓋全面、資產(chǎn)運(yùn)營(yíng)高效、數(shù)據(jù)操作全面留痕特點(diǎn)于一身的API數(shù)據(jù)安全產(chǎn)品。該產(chǎn)品不侵入業(yè)務(wù)，通過(guò)旁路部署即可輕松實(shí)現(xiàn)API 資產(chǎn)動(dòng)態(tài)梳理和 API 風(fēng)險(xiǎn)監(jiān)測(cè)。

2023年，安恒信息API風(fēng)險(xiǎn)監(jiān)測(cè)系統(tǒng)已通過(guò)信通院全面測(cè)試評(píng)估，在 API 資產(chǎn)管理、API 安全監(jiān)測(cè)、API 安全防護(hù)、API 審計(jì)四大安全模塊的成熟度評(píng)測(cè)中均達(dá)到“先進(jìn)級(jí)（最高級(jí)）”要求，成為全國(guó)首批通過(guò)API安全能力評(píng)估的產(chǎn)品。

通過(guò)部署安恒API安全網(wǎng)關(guān)系統(tǒng)，可統(tǒng)一為API提供訪問(wèn)身份認(rèn)證、權(quán)限控制、訪問(wèn)監(jiān)控、數(shù)據(jù)脫敏、流量管控、流量加密等機(jī)制，通過(guò)阻止大部分潛在攻擊流量，使其無(wú)法到達(dá)真正的API服務(wù)側(cè)，并對(duì)API訪問(wèn)進(jìn)行全程監(jiān)控，保障API的安全調(diào)用及訪問(wèn)可視。

安恒API安全網(wǎng)關(guān)系統(tǒng)還可定期更新病毒庫(kù)與安全防御規(guī)則，及時(shí)修復(fù)潛在漏洞和缺陷，在不斷完善API接口安全風(fēng)險(xiǎn)防范的同時(shí)，最大程度地保障API接口的穩(wěn)定運(yùn)行，為醫(yī)院信息化建設(shè)提供有力支持。

安恒信息API安全解決方案，在API風(fēng)險(xiǎn)監(jiān)測(cè)系統(tǒng)和API安全網(wǎng)關(guān)系統(tǒng)的共同加持之下，如同為醫(yī)院的“血管”安裝了智能監(jiān)控與防御系統(tǒng)，不僅強(qiáng)化了數(shù)據(jù)的“血栓”預(yù)防，確保了身份驗(yàn)證的“抗體”充足，還筑起了抗洪的“堤壩”，有效抵御拒絕服務(wù)攻擊的沖擊波，并通過(guò)建立全面的日志管理體系，做好醫(yī)療系統(tǒng)24小時(shí)待命的“安全衛(wèi)士”，時(shí)刻守護(hù)數(shù)據(jù)的安寧與醫(yī)院的名譽(yù)。