Cyber Threat Intelligence for Hospitals a A Systematic Literature Review

医院是社会在身体衰竭时寻求依靠的地方，提供着维持生命不息的持续护理。由于这些机构持有大量的敏感个人数据，并运行着维持生命的复杂机械，它们已成为数字攻击者的首要目标。当医院的计算机系统受到干扰时，其后果不仅仅是财务上的损失，更可能导致生命的消逝。为了保护这些关键设施，安全专家越来越多地建议采用一种被称为“网络威胁情报”的主动防御方法。这种方法并非仅仅通过加高围墙来将攻击者拒之门外，而是通过收集关于攻击者是谁、他们使用什么工具以及如何运作的信息，然后利用这些知识在他们发起攻击之前进行预判并阻止他们。这是一种从“对漏洞做出反应”向“在敌人到来前了解敌人”的转变。

尽管迫切需要此类保护，但近期的一项科学研究综述揭示了一个惊人的差距：关于如何在医院应用这些情报方法，目前几乎缺乏专门的知识。来自德国勃兰登堡应用科学大学的研究人员致力于理解为何会出现这种情况。他们对科学文献进行了系统性检索，寻找在 2020 年至 2025 年 5 月期间发表的、专门针对医院网络威胁情报的研究。他们撒下了一张大网，在主要科学数据库中搜索了数百万条记录，使用了与医院、医疗设备和数字健康相关的术语。在剔除重复项并过滤掉不符合其严格标准的的研究后，他们仅剩下了七篇直接探讨该主题的论文。

这七篇论文的稀缺性本身就说明了问题。研究人员发现，现有的大多数研究都过度集中于数据的技术性收集——即收集有关攻击的原始信息——但往往止步于未能解释如何将这些数据转化为对医院环境有用的情报。虽然这些研究提出了各种获取信息的方法，例如监控网络流量或分析黑客论坛，但它们很少讨论医院的实际情况。这七篇论文中，没有一篇考虑过医院的具体规模、内部的不同部门，或是构成现代医院网络中标准计算机与专业医疗设备独特组合的细节。研究往往将医院视为通用的目标，忽略了使其具有独特性的关键细微差别。

现有研究的很大一部分还面临着对基本术语定义缺乏共识的问题。在网络威胁情报领域，不同的作者对同一概念使用不同的定义，这造成了混乱并减缓了进展。有些论文将这一过程定义为一种“产品”，而另一些则将其视为一个“团队”或一系列“活动”。这种缺乏统一语言的现象使得研究人员难以在彼此的研究成果基础上进行深入。本综述的作者提出了一个更清晰、统一的定义，以帮助未来的研究能够使用同一种语言，强调情报是一个将原始数据转化为可操作知识的过程，旨在帮助防御者做出更好的决策。

该综述还强调了数字世界与患者赖以生存的物理医疗设备之间存在的严重脱节。虽然研究中提到了医疗设备，但很少考察医院中发现的具体设备类型，例如可穿戴式监护仪、固定式成像机或植入式设备。这些设备通常运行在较旧的软件上，并且具有严格的安全要求，使其无法像标准办公电脑那样进行更新或监控。现有的研究往往忽视了这些限制，提出的解决方案可能适用于银行或大学，但在生命支持环境中可能会产生危险或根本无法实施。此外，研究很少探讨医院如何在不违反严格的患者隐私法的前提下，安全地与邻近机构（如急救服务部门或医疗用品公司）共享威胁信息。

最终，该综述得出结论：虽然利用网络威胁情报来保护医院的想法是正确的，但目前的研究过于有限且过于抽象，无法在现实世界中发挥真正的作用。现有的少数研究大多是理论证明或模拟实验，而非基于实际医院运营的测试。作者认为，要使该领域成熟，未来的研究必须超越通用的计算机科学概念，深入参与到医院特定的、高风险的现实中。这意味着要理解独特的医疗设备、严格的隐私法规以及医疗提供者的组织文化。在研究人员专注于这些现实世界的细节之前，主动保护的承诺将仅仅停留于承诺，而非为那些守护社会安全的医院提供实际的保障。