Nel settore sanitario, i problemi di sicurezza informatica hanno conseguenze che vanno ben oltre la semplice perdita di dati. Recentemente, l’FBI e altre agenzie federali hanno segnalato una minaccia credibile di “aumento e imminenza dei crimini informatici” nei confronti degli ospedali e degli operatori sanitari statunitensi. I gruppi criminali prendono di mira il settore sanitario per compiere “furti di dati e interruzioni dei servizi sanitari”.
All’inizio di quest’anno, un attacco ransomware contro un ospedale in Germania ha dimostrato quanto siano realmente pericolosi gli attacchi informatici. Secondo quanto riportato dai media, una paziente dell’Ospedale Universitario di Düsseldorf è deceduta in seguito a un attacco ransomware che ha paralizzato i sistemi informatici dell’ospedale e costretto i medici a trasferirla in un’altra struttura.
Negli Stati Uniti, la Universal Health Services (UHS) ha confermato il 3 ottobre che un attacco ransomwareattacco ransomwarea fine settembre ha colpito tutti i suoi siti di cura e ospedali statunitensi, costringendola a scollegare i sistemi e a chiudere temporaneamente la rete. Sebbene sia dimostrato che il numero di violazioni di dati nel settore sia diminuito nella prima metà del 2020 rispetto alla seconda metà del 2019, gli eventi di ransomware nel settore sanitario sono aumentati drasticamente. La gestione della sicurezza informatica per le istituzioni sanitarie non sta diventando più semplice. Con questa previsione, il settore sanitario deve ripensare la sicurezza concentrandosi su accesso e identità.
Allora, quali misure possono adottare gli amministratori di sistema per evitare di diventare vittime di un ransomware? Ho avuto il privilegio di partecipare insieme a Scott Breece, CISO presso Community Health Systems, giovedì 19 novembre, per una discussione schietta e una sessione di domande e risposte con il pubblico. Abbiamo trattato il quadro di riferimento per la sicurezza informatica del NIST, la gestione di più sistemi di identità negli ambienti IT del settore sanitario e, naturalmente, il ransomware. Siete invitati a seguire.
Il caso della fiducia zero
Anche prima che la pandemia COVID-19 aumentasse la pressione su ospedali e cliniche mediche, la gestione della sicurezza nel settore sanitario era complessa. Il mantenimento della conformità ai requisiti normativi come HIPAA, HITECH, SOX, PCI e altri è solo una delle sfide per l'IT. Un'altra sfida, meno citata, è la quantità di turnover del personale, accompagnata dalla realtà che i sostituti in arrivo devono essere imbarcati e formati. A ciò si aggiunge il numero relativamente elevato di fusioni e acquisizioni (M&A), che le organizzazioni IT devono incorporare nell'infrastruttura IT esistente.
Inoltre, la crescente adozione di servizi di teleassistenza rappresenta un nuovo vettore di attacco. Secondoun rapporto diSecurity Scorecard e DarkOwlcon l'aumento dell'uso della teleassistenza, anche gli attacchi mirati contro i fornitori di teleassistenza sono saliti alle stelle. Alcuni dei problemi più importanti rilevati nel rapporto sono la sicurezza degli endpoint e i problemi FTP e RDP. Inoltre, la ricerca di DarkOwl ha rivelato l'emergere di attori che vendono cartelle cliniche elettroniche (EHR) e kit di malware specificamente progettati per colpire le tecnologie di teleassistenza e ransomware configurati per distruggere le infrastrutture sanitarie.
Questa realtà ha portato molte organizzazioni a guardare alle architetture Zero Trust come soluzione. La fiducia è un bene prezioso nell'IT, troppo prezioso per essere concesso alla cieca in un ambiente in cui molti endpoint sono privi di patch e non gestiti. Molti di questi sono dispositivi personali e mobili che devono condividere i dati per servire efficacemente i pazienti. Tuttavia, a causa della prospettiva di phishing, ransomware e altri attacchi, non si può semplicemente presumere che un dispositivo sia sicuro solo perché si trova dietro il firewall. Ogni operazione da ogni dispositivo deve essere valutata e opportunamente autenticata e autorizzata.
Se implementato correttamente, l’approccio Zero Trust riduce l’entità del danno in caso di violazione riuscita. Ciò avviene richiedendo una fase di autorizzazione distinta per ogni transazione dell’applicazione, con un’autenticazione aggiuntiva dell’utente e del dispositivo in base alla sensibilità e al contesto dell’operazione. L’implementazione di queste fasi aggiuntive può avvenire all’interno dell’applicazione stessa, nell’infrastruttura software sottostante (ad esempio, la piattaforma di identità) o persino all’interno del fabric di rete tramite microsegmentazione. La sfida dell’approccio Zero Trust consiste nel garantire un’autorizzazione e un’autenticazione sufficienti senza compromettere le prestazioni o l’usabilità dell’applicazione.
Concentrarsi sulla protezione di Active Directory
Per quasi tutte le aziende, la “fonte di verità” di riferimento per l’autenticazione e l’autorizzazione sia nei sistemi legacy che in quelli Zero Trust rimane ancora Active Directory. Active Directory contiene le identità e le credenziali degli utenti e dei dispositivi, nonché le politiche e le autorizzazioni utilizzate nella maggior parte, se non in tutti, i sistemi on-premise. Infine, Active Directory fornisce dati anche ai servizi di identità cloud esterni.
Mantenere la sicurezza di Active Directory è fondamentale per limitare l'impatto del ransomware e di altri attacchi all'integrità dei sistemi aziendali. Gli attacchi ransomware si evolvono rapidamente e sono diventati sempre più sofisticati anche solo negli ultimi sei mesi. Gli attori delle minacce cercano di rubare i dati e di sfruttare Active Directory per mantenere la persistenza e diffondere il ransomware in tutto l'ambiente. L'hardening di Active Directory e la sua maggiore resilienza agli attacchi è un'impresa significativa, ma dividere il problema in prima, durante e dopo i miglioramenti dell'attacco può semplificare il processo.
Come il Zerologon vulnerabidimostra , Active Directory è vulnerabile agli autori di minacce che cercano di ottenere privilegi più elevati. L'applicazione tempestiva delle patch, la valutazione continua della configurazione di Active Directory e il monitoraggio delle modifiche agli oggetti e agli attributi a livello di directory contribuiscono a ridurre la capacità degli autori di minacce di ottenere un primo punto d'appoggio all'interno della rete.
Se un malintenzionato riesce a ottenere una presenza iniziale nella rete, è fondamentale disporre di sistemi in grado di rilevare attività dannose e di annullare eventuali modifiche ad Active Directory che il malintenzionato potrebbe apportare. Ad esempio, spesso i malintenzionati concedono privilegi elevati agli account utente compromessi modificando le appartenenze ai gruppi o il SIDHistory . Rilevare queste modifiche e annullarle automaticamente riduce la capacità dell’autore dell’attacco di muoversi lateralmente e compromettere altri sistemi.
Nel caso in cui un aggressore riesca a compromettere completamente la vostra Active Directory tramite ransomware o wiperware, dovete essere in grado di ripristinare il backup in modo rapido e affidabile. affidabile. Il processo di ripristino deve essere altamente automatizzato e in grado di ripristinare Active Directory solo su server Windows installati in modo pulito e che non presentano malware che infettano i binari del sistema.
Cura per il compromesso comune
Forse non esiste una cura per il raffreddore comune, ma esiste un modo per difendersi dai tipi di attacchi che colpiscono il settore sanitario. Sfruttando un approccio Zero Trust e proteggendo Active Directory, le organizzazioni possono migliorare la loro posizione di sicurezza e ridurre il livello di rischio.
Scozia BreeceScott Brece, CISO di Community Health Systems, e io abbiamo recentemente parlato delle sfide uniche che i CISO del settore sanitario e gli altri addetti alla sicurezza in prima linea devono affrontare ogni giorno.
Guarda la sessione su,https://bit.ly/3mBYC5x.
