No setor da saúde, os problemas de cibersegurança têm consequências que vão muito além da perda de dados. Recentemente, o FBI e outras agências federais alertaram para uma ameaça credível de «aumento e iminência de cibercriminalidade» contra hospitais e prestadores de cuidados de saúde dos EUA. Grupos criminosos têm como alvo o setor da saúde para levar a cabo «roubo de dados e perturbação dos serviços de saúde».
No início deste ano, um ataque de ransomware contra um hospital na Alemanha demonstrou o quão perigosos os ciberataques realmente são. De acordo com notícias divulgadas pela imprensa, uma doente do Hospital Universitário de Düsseldorf faleceu na sequência de um ataque de ransomware que paralisou os sistemas informáticos do hospital e obrigou os médicos a transferi-la para outra unidade de saúde.
Nos Estados Unidos, a Universal Health Services (UHS) confirmou, a 3 de Outubro, que um ataque deataque de ransomwareno final de setembro afetou todos os seus locais de atendimento e hospitais nos EUA, forçando-o a desconectar sistemas e desligar sua rede temporariamente. Embora existam provas de que o número de violações de dados no sector diminuiu durante o primeiro semestre de 2020 em comparação com o segundo semestre de 2019, os eventos de ransomware nos cuidados de saúde aumentaram drasticamente. A gestão da cibersegurança das instituições de saúde não está a ficar mais fácil. Com esse prognóstico, o setor de saúde precisa repensar a segurança, concentrando-se no acesso e na identidade.
Então, que medidas podem os defensores tomar para evitar tornarem-se vítimas de ransomware? Tive o privilégio de me juntar ao Scott Breece, CISO da Community Health Systems, na quinta-feira, 19 de novembro, para uma discussão franca e uma sessão de perguntas e respostas com o público. Abordámos o Quadro de Cibersegurança do NIST, a gestão de múltiplos sistemas de identidade em ambientes de TI na área da saúde e, claro, o ransomware. Estão convidados a acompanhar.
O caso da Confiança Zero
Mesmo antes de a pandemia da COVID-19 aumentar a pressão sobre os hospitais e clínicas médicas, a gestão da segurança no sector dos cuidados de saúde era complexa. Manter a conformidade com os requisitos regulamentares como HIPAA, HITECH, SOX, PCI e outros é apenas um dos desafios para as TI. Outro desafio menos citado é a quantidade de rotatividade de pessoal, acompanhada pela realidade de que os substitutos que entram terão de ser integrados e formados. Além disso, há que ter em conta o número relativamente elevado de fusões e aquisições (M&A), que as organizações de TI têm de incorporar na infra-estrutura de TI existente.
Além disso, a crescente adopção de serviços de telesaúde apresenta um novo vector de ataque. De acordo comum relatório daSecurity Scorecard e DarkOwlà medida que a utilização dos serviços de telessaúde tem vindo a crescer, os ataques dirigidos contra os fornecedores de serviços de telessaúde também aumentaram rapidamente. Alguns dos problemas mais proeminentes revelados no relatório foram a segurança dos terminais e os problemas de FTP e RDP. Além disso, a investigação da DarkOwl revelou o aparecimento de agentes de ameaças que vendem registos electrónicos de saúde (EHR) e kits de ferramentas de malware especificamente concebidos para visar tecnologias de telessaúde e ransomware configurado para derrubar infra-estruturas de saúde.
Essa realidade levou muitas organizações a buscar arquiteturas Zero Trust como uma solução. A confiança é um bem precioso em TI, demasiado precioso para ser concedido cegamente num ambiente em que muitos terminais não estão corrigidos e não são geridos. Muitos deles são dispositivos pessoais e móveis que têm de partilhar dados para servir eficazmente os doentes. No entanto, devido à perspectiva de ataques de phishing, ransomware e outros, não se pode simplesmente assumir que um dispositivo é seguro só porque está atrás da firewall. Cada operação de cada dispositivo precisa de ser avaliada e devidamente autenticada e autorizada.
Quando implementado corretamente, o Zero Trust reduz o âmbito do impacto após uma violação bem-sucedida. Isto é conseguido ao exigir um passo de autorização distinto para cada transação da aplicação, com autenticação adicional do utilizador e do dispositivo, conforme determinado pela sensibilidade e pelo contexto da operação. A implementação destes passos adicionais pode ocorrer na própria aplicação, na infraestrutura de software subjacente — por exemplo, a plataforma de identidade — ou mesmo na malha de rede através da microsegmentação. O desafio do Zero Trust consiste em garantir autorização e autenticação suficientes, sem comprometer o desempenho ou a usabilidade da aplicação.
Foco na segurança do Active Directory
Para quase todas as empresas, a «fonte de verdade» subjacente à autenticação e autorização em sistemas legados e no modelo Zero Trust continua a ser o Active Directory. O Active Directory armazena as identidades e credenciais dos utilizadores e dos equipamentos, bem como as políticas e permissões utilizadas na maioria, se não em todos, os sistemas locais. Por fim, o Active Directory também fornece dados a serviços de identidade externos na nuvem.
Manter o Active Directory seguro é vital para limitar o impacto do ransomware e de outros ataques de integridade nos sistemas empresariais. Os ataques de ransomware evoluem rapidamente e tornaram-se mais sofisticados mesmo nos últimos seis meses. Os agentes de ameaças tentam roubar dados e explorar o Active Directory para manter a persistência e espalhar o ransomware pelo ambiente. Fortalecer o Active Directory e torná-lo mais resistente a ataques é uma tarefa significativa, mas dividir o problema em melhorias antes, durante e depois do ataque pode simplificar o processo.
Como o Zerologon vulnerabidemonstra, demonstra, o Active Directory está suscetível a agentes maliciosos que procuram escalar privilégios. A aplicação atempada de correções, a avaliação contínua da configuração do Active Directory e a monitorização de alterações de objetos e atributos ao nível do diretório ajudam a reduzir a capacidade dos agentes maliciosos de obterem um ponto de entrada inicial na sua rede.
Se um atacante conseguir estabelecer uma presença inicial na sua rede, é imperativo que disponha de sistemas para detetar atividades maliciosas e reverter quaisquer alterações ao Active Directory que o atacante possa vir a efetuar. Por exemplo, os atacantes costumam conceder privilégios elevados a contas de utilizador comprometidas, modificando as filiações a grupos ou o atributo SIDHistory . Detetar estas alterações e revertê-las automaticamente reduz a capacidade do invasor de se deslocar lateralmente e comprometer sistemas adicionais.
Na eventualidade de um atacante conseguir comprometer completamente o seu Active Directory através de ransomware ou wiperware, tem de ter a capacidade de recuperar da cópia de segurança de forma rápida e fiável. de forma fiável. O processo de recuperação deve ser altamente automatizado e capaz de restaurar o Active Directory apenas para servidores Windows instalados de forma limpa e que não tenham malware a infectar os binários do sistema.
Cura para o compromisso comum
Pode não haver uma cura para o resfriado comum, mas há uma maneira de se defender contra os tipos de ataques que visam o setor de saúde. Ao utilizar uma abordagem Zero Trust e proteger o Active Directory, as organizações podem melhorar a sua postura de segurança e reduzir o seu nível de risco.
Scott BreeceScott Bre ece, CISO da Community Health Systems, e eu conversámos recentemente sobre os desafios únicos que os CISO dos cuidados de saúde e outros responsáveis pela segurança na linha da frente enfrentam todos os dias.
Ver a sessão em,https://bit.ly/3mBYC5x.
