Dans le secteur de la santé, les problèmes de cybersécurité ont des conséquences qui vont bien au-delà de la simple perte de données. Récemment, le FBI et d’autres agences fédérales ont mis en garde contre une menace crédible de « recrudescence imminente de la cybercriminalité » visant les hôpitaux et les prestataires de soins de santé américains. Des groupes criminels ciblent le secteur de la santé pour se livrer à « des vols de données et à des perturbations des services de santé ».
Au début de cette année, une attaque par ransomware contre un hôpital en Allemagne a montré à quel point les cyberattaques sont réellement dangereuses. Selon les médias, une patiente de l'hôpital universitaire de Düsseldorf est décédée à la suite d'une attaque par ransomware qui a paralysé les systèmes informatiques de l'établissement et contraint les médecins à la transférer vers un autre établissement.
Aux États-Unis, Universal Health Services (UHS) a confirmé le 3 octobre qu'une attaque par ransomware avait eu lieu.attaque par ransomwareà la fin du mois de septembre avait touché tous ses sites de soins et hôpitaux aux États-Unis, l'obligeant à déconnecter les systèmes et à fermer temporairement son réseau. Bien qu'il soit prouvé que le nombre de violations de données dans le secteur a diminué au cours du premier semestre 2020 par rapport au dernier semestre 2019, les événements liés aux ransomwares dans le secteur de la santé ont augmenté de façon spectaculaire. La gestion de la cybersécurité pour les établissements de santé ne devient pas plus facile. Avec ce pronostic, le secteur de la santé doit repenser la sécurité en se concentrant sur l'accès et l'identité.
Alors, quelles mesures les responsables de la sécurité peuvent-ils prendre pour éviter d’être victimes d’un rançongiciel ? J’ai eu le privilège de m’entretenir avec Scott Breece, RSSI chez Community Health Systems, jeudi 19 novembre, pour une discussion franche et une séance de questions-réponses avec le public. Nous avons abordé le cadre de cybersécurité du NIST, la gestion de plusieurs systèmes d’identité dans les environnements informatiques du secteur de la santé, et bien sûr, les rançongiciels. N’hésitez pas à regarder la vidéo.
Les arguments en faveur de la confiance zéro
Même avant que la pandémie de COVID-19 n'accroisse la pression sur les hôpitaux et les cliniques médicales, la gestion de la sécurité dans le secteur des soins de santé était complexe. Le maintien de la conformité avec les exigences réglementaires telles que HIPAA, HITECH, SOX, PCI et autres n'est qu'un des défis que doivent relever les services informatiques. Un autre défi moins cité est le taux de rotation du personnel, accompagné de la réalité que les remplaçants devront être intégrés et formés. Il faut également tenir compte du nombre relativement élevé de fusions et d'acquisitions, que les services informatiques doivent intégrer dans l'infrastructure informatique existante.
En outre, l'adoption croissante des services de télésanté constitue un nouveau vecteur d'attaque. Selon unun rapport deSecurity Scorecard et DarkOwlles attaques ciblées contre les fournisseurs de services de télésanté se sont multipliées avec l'augmentation de l'utilisation de la télésanté. Parmi les problèmes les plus importants mis au jour dans le rapport figurent la sécurité des points finaux et les problèmes FTP et RDP. En outre, la recherche de DarkOwl a révélé l'émergence d'acteurs menaçants qui vendent des dossiers médicaux électroniques (EHR) et des boîtes à outils de logiciels malveillants spécialement conçus pour cibler les technologies de télésanté, ainsi que des ransomwares configurés pour détruire les infrastructures de soins de santé.
Cette réalité a conduit de nombreuses organisations à chercher une solution dans les architectures de confiance zéro. La confiance est une denrée précieuse dans l'informatique, trop précieuse pour être accordée aveuglément dans un environnement où de nombreux terminaux ne sont pas corrigés et ne sont pas gérés. Il s'agit souvent d'appareils personnels et mobiles qui doivent partager des données pour servir efficacement les patients. Pourtant, en raison des risques de phishing, de ransomware et d'autres attaques, on ne peut pas simplement supposer qu'un appareil est sûr simplement parce qu'il se trouve derrière le pare-feu. Chaque opération effectuée à partir de chaque appareil doit être évaluée et faire l'objet d'une authentification et d'une autorisation appropriées.
Lorsqu’il est correctement mis en œuvre, le modèle « Zero Trust » réduit l’ampleur des conséquences d’une intrusion réussie. Pour ce faire, il impose une étape d’autorisation distincte pour chaque transaction applicative, accompagnée d’une authentification supplémentaire de l’utilisateur et du terminal, en fonction de la sensibilité et du contexte de l’opération. La mise en œuvre de ces étapes supplémentaires peut s’effectuer au sein même de l’application, au sein de l’infrastructure logicielle sous-jacente (par exemple, la plateforme d’identité), ou même au sein de la structure réseau via la microsegmentation. Le défi lié au modèle « Zero Trust » consiste à de garantir une autorisation et une authentification suffisantes sans pour autant nuire aux performances ou à la facilité d’utilisation de l’application.
Se concentrer sur la sécurisation d'Active Directory
Pour la quasi-totalité des entreprises, Active Directory reste la « source de vérité » sous-jacente pour l’authentification et l’autorisation, tant dans les environnements traditionnels que dans ceux basés sur le modèle Zero Trust. Active Directory contient les identités et les identifiants des utilisateurs et des machines, ainsi que les politiques et les autorisations utilisées dans la plupart, voire la totalité, des systèmes sur site. Enfin, Active Directory transmet également des données à des services d’identité cloud externes.
La sécurisation d'Active Directory est essentielle pour limiter l'impact des ransomwares et autres attaques d'intégrité sur les systèmes d'entreprise. Les attaques par ransomware évoluent rapidement et sont devenues plus sophistiquées au cours des six derniers mois. Les acteurs de la menace tentent de voler des données et d'exploiter Active Directory pour maintenir la persistance et propager le ransomware dans l'environnement. Renforcer Active Directory et le rendre plus résistant aux attaques est une entreprise de taille, mais diviser le problème en améliorations avant, pendant et après l'attaque peut simplifier le processus.
Comme l' Zerologon vulnerabile le montre, Active Directory est vulnérable aux acteurs malveillants cherchant à élever leurs privilèges. L'application rapide des correctifs, l'évaluation continue de la configuration d'Active Directory et la surveillance des modifications d'objets et d'attributs au niveau de l'annuaire contribuent à réduire la capacité des acteurs malveillants à prendre pied au sein de votre réseau.
Si un attaquant parvient à s'introduire dans votre réseau, il est impératif que vous disposiez de systèmes permettant de détecter toute activité malveillante et d'annuler toute modification apportée à Active Directory par l'attaquant. Par exemple, les attaquants accordent souvent des privilèges élevés aux comptes utilisateurs compromis en modifiant les appartenances à des groupes ou le SIDHistory . La détection de ces modifications et leur annulation automatique limitent la capacité de l’attaquant à se déplacer latéralement et à compromettre d’autres systèmes.
Si un pirate parvient à compromettre complètement votre Active Directory par le biais d'un ransomware ou d'un wiperware, vous devez être en mesure de récupérer les données sauvegardées rapidement et de manière fiable. rapidement et de manière fiable. Le processus de récupération doit être hautement automatisé et capable de restaurer Active Directory uniquement sur des serveurs Windows installés proprement et dont on sait que les binaires du système ne sont pas infectés par des logiciels malveillants.
Remède au compromis commun
Il n'y a peut-être pas de remède au rhume, mais il existe un moyen de se défendre contre les types d'attaques qui ciblent le secteur de la santé. En adoptant une approche de confiance zéro et en protégeant Active Directory, les organisations peuvent améliorer leur posture de sécurité et réduire leur niveau de risque.
Scott BreeceCISO de Community Health Systems, et moi avons récemment discuté des défis uniques auxquels les CISO du secteur de la santé et les autres personnes chargées de la sécurité en première ligne sont confrontés chaque jour.
Regardez la session sur,https://bit.ly/3mBYC5x.
