En el sector sanitario, los problemas de ciberseguridad tienen consecuencias que van mucho más allá de la pérdida de datos. Recientemente, el FBI y otras agencias federales han advertido de una amenaza creíble de «aumento e inminencia de la ciberdelincuencia» contra los hospitales y los proveedores de asistencia sanitaria de EE. UU. Los grupos delictivos se centran en el sector sanitario para llevar a cabo «robos de datos y la interrupción de los servicios sanitarios».
A principios de este año, un ataque de ransomware contra un hospital en Alemania puso de manifiesto lo peligrosos que son realmente los ciberataques. Según las noticias, una paciente del Hospital Universitario de Düsseldorf falleció tras un ataque de ransomware que paralizó los sistemas informáticos del hospital y obligó a los médicos a trasladarla a otro centro.
En Estados Unidos, Universal Health Services (UHS) confirmó el 3 de octubre que unataque de ransomwarea finales de septiembre afectó a todos sus centros asistenciales y hospitales de Estados Unidos, lo que le obligó a desconectar sistemas y apagar su red temporalmente. Aunque hay evidencia de que el número de violaciones de datos en la industria disminuyó durante la primera mitad de 2020 en comparación con la última mitad de 2019, los eventos de ransomware en la atención médica aumentaron dramáticamente. La gestión de la ciberseguridad para las instituciones sanitarias no se está volviendo más fácil. Con ese pronóstico, el sector sanitario debe replantearse la seguridad centrándose en el acceso y la identidad.
Entonces, ¿qué medidas pueden tomar los responsables de la seguridad para evitar convertirse en víctimas del ransomware? Tuve el privilegio de unirme a Scott Breece, director de seguridad de la información (CISO) de Community Health Systems, el jueves 19 de noviembre, en un coloquio sincero y una ronda de preguntas y respuestas con el público. Hablamos del Marco de Ciberseguridad del NIST, de la gestión de múltiples sistemas de identidad en entornos informáticos del sector sanitario y, por supuesto, del ransomware. Te invitamos a verlo.
Por una confianza cero
Incluso antes de que la pandemia de COVID-19 aumentara la presión sobre hospitales y clínicas médicas, la gestión de la seguridad en el sector sanitario era compleja. Mantener el cumplimiento de requisitos normativos como HIPAA, HITECH, SOX, PCI y otros es sólo uno de los retos a los que se enfrenta el departamento de TI. Otro reto menos citado es la gran rotación de personal, acompañada de la realidad de que los sustitutos entrantes tendrán que ser incorporados y formados. Además, hay que tener en cuenta el número relativamente alto de fusiones y adquisiciones (M&A), que las organizaciones de TI tienen que incorporar a la infraestructura de TI existente.
Además, la creciente adopción de servicios de telesalud presenta un nuevo vector de ataque. Segúnun informe deSecurity Scorecard y DarkOwla medida que ha crecido el uso de la telesalud, también se han disparado los ataques dirigidos contra los proveedores de telesalud. Algunos de los problemas más destacados descubiertos en el informe son la seguridad de los puntos finales y los problemas de FTP y RDP. Además, la investigación de DarkOwl reveló la aparición de agentes de amenazas que venden historiales médicos electrónicos (HCE) y conjuntos de herramientas de malware diseñados específicamente para atacar tecnologías de telesalud y ransomware configurado para derribar infraestructuras sanitarias.
Esta realidad ha llevado a muchas organizaciones a buscar arquitecturas de confianza cero como solución. La confianza es un bien preciado en TI, demasiado preciado para concederlo a ciegas en un entorno en el que muchos puntos finales no tienen parches ni están gestionados. Muchos de ellos son dispositivos personales y móviles que deben compartir datos para atender eficazmente a los pacientes. Sin embargo, debido a la posibilidad de que se produzcan ataques de phishing, ransomware y de otro tipo, no se puede dar por sentado que un dispositivo es seguro sólo porque está detrás del cortafuegos. Cada operación desde cada dispositivo debe ser evaluada y debidamente autenticada y autorizada.
Cuando se implementa correctamente, el modelo «Zero Trust» reduce el alcance de la vulneración tras una intrusión exitosa. Lo consigue exigiendo un paso de autorización específico para cada transacción de la aplicación, con una autenticación adicional del usuario y del dispositivo en función de la sensibilidad y el contexto de la operación. La implementación de estos pasos adicionales puede realizarse dentro de la propia aplicación, en la infraestructura de software subyacente —por ejemplo, la plataforma de identidad— o incluso en la estructura de red mediante microsegmentación. El reto del modelo «Zero Trust» es garantizar una autorización y autenticación suficientes sin que ello afecte al rendimiento ni a la facilidad de uso de la aplicación.
Centrarse en la seguridad de Active Directory
Para casi todas las empresas, la «fuente de verdad» subyacente para la autenticación y la autorización tanto en entornos heredados como en el modelo Zero Trust sigue siendo Active Directory. Active Directory almacena las identidades y credenciales de usuarios y equipos, así como las políticas y permisos que se utilizan en la mayoría, si no en todos, los sistemas locales. Por último, Active Directory también proporciona datos a servicios de identidad externos en la nube.
Mantener la seguridad de Active Directory es vital para limitar el impacto del ransomware y otros ataques contra la integridad de los sistemas empresariales. Los ataques de ransomware evolucionan rápidamente y se han vuelto más sofisticados incluso en los últimos seis meses. Los actores de las amenazas intentan robar datos y explotar Active Directory para mantener la persistencia y propagar el ransomware por todo el entorno. Endurecer Active Directory y hacerlo más resistente a los ataques es una empresa importante, pero dividir el problema en mejoras antes, durante y después del ataque puede simplificar el proceso.
Como el Zerologon vulnerabidemuestra , Active Directory es vulnerable a los atacantes que buscan escalar privilegios. La aplicación oportuna de parches, la evaluación continua de la configuración de Active Directory y la supervisión de los cambios en los objetos y atributos a nivel de directorio ayudan a reducir la capacidad de los atacantes para conseguir un punto de acceso inicial dentro de su red.
Si un atacante logra establecer una presencia inicial en tu red, es imprescindible que cuentes con sistemas para detectar actividades maliciosas y revertir cualquier cambio que el atacante pueda realizar en Active Directory. Por ejemplo, los atacantes suelen otorgar privilegios elevados a las cuentas de usuario comprometidas modificando las pertenencias a grupos o el atributo SIDHistory . Detectar estos cambios y revertirlos automáticamente reduce la capacidad del atacante para desplazarse lateralmente y comprometer otros sistemas.
En el caso de que un atacante logre comprometer completamente su Active Directory a través de ransomware o wiperware, debe tener la capacidad de recuperarse de la copia de seguridad de forma rápida y rápida y fiable. El proceso de recuperación debe estar altamente automatizado y ser capaz de restaurar Active Directory únicamente en servidores Windows instalados de forma limpia y que se sepa que no tienen malware infectando los binarios del sistema.
Cura para el compromiso común
Puede que no exista una cura para el resfriado común, pero hay una forma de defenderse contra los tipos de ataques dirigidos al sector sanitario. Al adoptar un enfoque de confianza cero y proteger Active Directory, las organizaciones pueden mejorar su seguridad y reducir su nivel de riesgo.
Scott Breece, CISO de Community Health Systems, y yo charlamos recientemente sobre los retos únicos a los que se enfrentan cada día los CISO del sector sanitario y otras personas encargadas de la seguridad en primera línea.
Vea la sesión enhttps://bit.ly/3mBYC5x.
