一台正在ICU里维持病人血压的医疗输液泵，可能同时连着Wi-Fi。器械这事听起来挺方便，网络护士站能远程调参数，安全厂家能推送固件更新。漏洞但去年某三甲医院做渗透测试时，识别安全团队用一台笔记本在走廊里就截获了输液泵与服务器之间的评估未加密指令。改流速、医疗改报警阈值，器械全程不到三分钟。网络这不是安全电影桥段，是漏洞真实发生的漏洞利用。
医疗器械的识别网络安全问题，跟普通IT设备完全两码事。评估普通服务器被黑了，医疗最坏结果是数据泄露。输液泵被黑了，病人直接没了。所以识别漏洞的第一步，不是上来就扫端口，而是先搞清楚这台设备的“临床风险权重”。它直接控制给药剂量吗？它影响生命支持参数吗？如果答案都是否，那漏洞优先级可以往后放。如果是，哪怕只是一个默认密码没改，也得当成高危处理。
识别漏洞的具体手段其实不复杂，但得按顺序来。先做资产画像：设备型号、操作系统版本、开放端口、通信协议、有没有无线模块。这些信息通常藏在说明书里，但厂家往往写得含糊。实际做法是抓包。把设备接入隔离网络，用Wireshark跑24小时，看它跟谁说话、说什么话、有没有加密。很多老设备用的是明文HTTP或者未加密的DICOM协议，抓包就能看见患者姓名和检查结果在网络上裸奔。
接着做静态分析。把固件从设备里提取出来，用Binwalk拆包，找硬编码的密钥、后门账户、过时的开源库。某款国产监护仪就出过这种事：固件里藏着一个出厂调试账户，密码是“service123”，而且没法从界面删除。厂家说“设计如此”，但安全团队用这个账户直接拿到了root权限。
动态测试更直接。上Burp Suite或者专门做医疗设备测试的MedSec工具，模拟中间人攻击、重放攻击、模糊测试。重点看设备在异常输入下会不会崩溃、会不会绕过认证、会不会把错误信息泄露成攻击线索。有个案例是呼吸机的Web管理界面，输入超长参数后返回了完整的堆栈跟踪，里面包含了数据库连接字符串。
评估漏洞不能只看CVSS评分。通用漏洞评分系统对医疗设备不太适用。一个CVSS 9.8的远程代码执行漏洞，如果设备物理隔离且从不联网，实际风险可能低于一个CVSS 5.0的本地权限提升漏洞——因为后者能让护士站的恶意U盘直接改设备参数。所以评估时要叠加三个维度：可利用性（攻击者需要什么条件）、临床影响（病人伤害程度）、现有缓解措施（网络分段、物理锁、操作日志审计）。
我见过最离谱的评估错误，是把所有漏洞都按“厂家修复”来排期。但很多老设备根本等不到补丁，厂家早停产了。这时候得靠补偿控制：把设备关进独立VLAN，只允许特定IP访问；用单向网关做数据二极管；甚至最简单的一招——把无线模块拆了，改回有线。这些手段不优雅，但管用。
最后说个观察。很多医院的信息科和临床科室是脱节的。信息科发现漏洞，发工单让厂家修，厂家说“这是设计特性”。临床科室根本不知道设备有漏洞，继续用。真正有效的做法是让生物医学工程师参与评估，他们懂设备也懂临床，能判断一个漏洞到底该不该连夜停机修复。网络安全不是IT部门的独角戏，在医疗场景里，它得跟临床风险挂上钩才算数。