Veszélyben az amerikai egészségügy: a zsarolóvírus-támadásokkal szembeni rugalmasság megerősítése

Egy kiberbűnöző támadása jellemzően két lépésben történik: először hozzáférést szerez a hálózathoz, gyakran adathalászattal vagy sebezhetőségek kihasználásával, ezután pedig a zsarolóvírust bevetve titkosítja a kritikus rendszereket és adatokat. Ezek a taktikák fejlődésük során, ideértve a legitim eszközök használatát és az RaaS egyre elérhetőbbé válását is, a támadásokat könnyebbé és gyakoribbá tették.

Az egészségügyi szervezeteket célzó kampányok gyakran nagyon specifikus csalikat használnak. Mott kiemeli például azt, hogy a fenyegető szereplők hogyan írnak egészségügyi szakzsargont tartalmazó e-maileket, amelyek például boncolási jegyzőkönyvekre hivatkoznak, így növelve hitelességüket és sikeresen becsapva az egészségügyi szakembereket. 

Mott azt is megjegyzi, hogy a támadók egyre kifinomultabb módszereket alkalmaznak, és gyakran "valódi neveket, legitim szolgáltatásokat és az informatikai osztályok által általánosan használt eszközöket (pl. távfelügyeleti eszközök)" használnak ahhoz, hogy elkerüljék a lelepleződést. Ezek miatt a taktikák miatt nehéz feladat a biztonsági rendszerek számára az, hogy különbséget tegyenek a rosszindulatú és legitim tevékenységek között. 

A Microsoft Veszélyforrás-intelligencia adatai azt is mutatják, hogy a támadók gyakran a szervezet szoftvereinek vagy rendszereinek olyan ismert sebezhetőségeit használják ki, melyeket már korábban azonosítottak. Ezek a közös sebezhetőségek és kitettségek jól dokumentálva vannak, és rendelkezésre állnak javítócsomagok és egyéb eszközök a megszüntetésükre, és a támadók gyakran azért veszik célba az ilyen régebbi sebezhetőségeket, mert tudják, hogy sok szervezet nem foglalkozott még ezekkel a gyenge pontokkal.¹⁸

Miután megszerezték a kezdeti hozzáférést, a támadók gyakran felderítik a hálózatot, ami különböző jelek, például szokatlan pásztázási tevékenység alapján azonosítható. Ezek a műveletek segítik a fenyegető szereplőket abban, hogy feltérképezzék a hálózatot, azonosítsák a kritikus rendszereket, és felkészüljenek a támadás következő fázisára, amikor bevetik a zsarolóvírust.

Az egyre kifinomultabb zsarolóvírus-támadásokkal szemben az egészségügyi szervezeteknek többszintű megközelítést kell használniuk a kiberbiztonságban. Fel kell készülniük arra, hogy ellenálljanak a kiberbiztonsági incidenseknek, válaszoljanak rájuk, és helyreállítsák a rendszereiket utánuk, miközben fenn kell tartaniuk a folyamatos betegellátást.

A következő útmutató átfogó keretrendszert nyújt a rugalmasság javításához, a gyors helyreállítás biztosításához és olyan munkaerő létrehozásához, melynek a biztonság a legfontosabb, és elősegíti az egészségügy ágazat egészére kiterjedő együttműködést.

A hatékony vezetés az egészségügyi kiberbiztonság terén elengedhetetlen ahhoz, hogy az intézmények felkészüljenek és válaszoljanak a zsarolóvírus-támadásokra. Dameff és Tully a UC San Diego Center for Healthcare Cybersecurity központtól azt javasolja, hogy robusztus kormányzati keretrendszert kell létrehozni világosan meghatározott szerepkörökkel, rendszeres továbbképzéssel és interdiszciplináris együttműködéssel. Ez segíti az egészségügyi szervezeteket abban, hogy javítsák a rugalmasságukat a zsarolóvírus-támadásokkal szemben, és biztosíthassák a folytonos betegellátást, akár komolyabb üzemzavarok esetén is.

E keretrendszer egyik fontos összetevője az, hogy le kell bontani az akadályokat a klinikai személyzet, az informatikai részleg biztonsági csapatai és a vészhelyzeteket kezelő szakemberek között, hogy átfogó incidenselhárítási terveket lehessen kidolgozni. Ez az osztályok közötti együttműködés kulcsfontosságú ahhoz, hogy fenn lehessen tartani a betegek biztonságát és az ellátás minőségét, ha a technológiai rendszereket feltörik.

Dameff és Tully arra is felhívja a figyelmet, hogy szükség van egy dedikált kormányzati testületre vagy tanácsra, mely rendszeresen összeül az incidenselhárítási tervek áttekintésére és aktualizálására. Azt javasolják, hogy ezeket a kormányzati testületeket képessé kell tenni arra, hogy a reagálási terveket realisztikus szimulációkkal és gyakorlatokkal tesztelhessék, biztosítva, hogy minden munkatárs – ideértve a fiatalabb klinikai orvosokat is, akik esetleg nem ismerik a papíralapú nyilvántartásokat – fel legyen készülve arra, hogy digitális eszközök nélkül is hatékonyan működjön.

Ezenkívül Dameff és Tully hangsúlyozza a külső együttműködés jelentőségét is. Olyan regionális és országos keretrendszerek mellett érvelnek, melyek lehetővé teszik, hogy a kórházak támogassák egymást nagy léptékű incidensek esetén, visszhangozva azt az igényt, hogy "szükség van egy stratégiai nemzeti tartalék" technológiára, mely képes átmenetileg helyettesíteni a feltört rendszereket.

A mélységi védelmet biztosító stratégia alkalmazása kritikus fontosságú ahhoz, hogy többrétegű védelmi állásokat hozhassunk létre, melyek hatékonyan semlegesítik a zsarolóvírus-támadásokat. Ez a stratégia az egészségügyi infrastruktúra minden rétegének biztosítására kiterjed, a hálózattól a végpontokon át a felhőig. Ha biztosítjuk a többszintű védelmet, az egészségügyi szervezetek csökkenthetik a sikeres zsarolóvírus-támadások kockázatát.

Ennek a többrétegű megközelítésnek a részeként a Microsoft ügyfelei részére a Microsoft Veszélyforrás-intelligencia csapatai aktívan figyelik az ellenséges viselkedést. Ha ilyen tevékenységet észlelnek, közvetlen értesítést küldenek erről.

Ez nem fizetős vagy többszintű szolgáltatás, a legkisebb vállalkozás is ugyanolyan figyelmet kap. A célunk az, hogy gyorsan riasztást tudjunk küldeni egy esetleges fenyegetés észlelése esetén, ideértve a zsarolóvírusokat is, és segítséget nyújtsunk a szervezet védelméhez szükséges lépések megtételéhez.

Azonkívül, hogy kiépítjük ezeket a védelmi rétegeket, nagyon fontos az is, hogy legyen egy hatékony incidenselhárítási és -észlelési terv. Az azonban kevés, ha pusztán van egy terv; az egészségügyi szervezeteknek fel kell készülniük a hatékony végrehajtására egy tényleges támadás során, hogy minimalizálhassák a kárt, és biztosíthassák a gyors helyreállítást.

Végül pedig egy robusztus incidenselhárító keretrendszer nélkülözhetetlen elemét képezik a folyamatos ellenőrzési és valós idejű észlelési képességek, melyek biztosítják a potenciális fenyegetések azonosítását és gyors kezelését.

Az Egészségügyi és Szociális Minisztérium további információkat biztosított azzal, hogy önkéntes egészségügyi kiberbiztonsági teljesítménycélokat tett közzé, ezzel segítve az egészségügyi szervezeteket abban, hogy prioritásokat határozzanak meg a nagy hatású kiberbiztonsági gyakorlatok bevezetéséhez.

A kiberbiztonsági teljesítménycélok a köz- és magánintézmények együttműködésével létrehozott közös iparági kiberbiztonsági keretrendszerekkel, irányelvekkel, legjobb gyakorlatokkal és stratégiákkal a kiberbiztonsági gyakorlatok olyan gyűjteményét alkotják, melyeket az egészségügyi szervezetek felhasználhatnak ahhoz, hogy erősítsék felkészültségüket és rugalmasságukat a kibertérben, és védjék a betegek egészségügyi információit és biztonságát.

Ahhoz, hogy olyan munkaerőt hozhasson létre, melynek a biztonság a legfontosabb, folyamatos interdiszciplináris együttműködésre van szükség. Fontos, hogy le kell bontani az akadályokat az informatikai részleg biztonsági csapatai, a vészhelyzeteket kezelő vezetők és a klinikai személyzet között, hogy átfogó incidenselhárítási terveket lehessen kidolgozni. Ilyen együttműködés nélkül a kórház többi része esetleg nem lesz megfelelően felkészült ahhoz, hogy hatékonyan reagálhasson egy kiberincidens esetén.

Dameff és Tully hangsúlyozza annak fontosságát, hogy egyesíteni kell a belső csapatokat, például az orvosokat, a vészhelyzeteket kezelő menedzsereket és az informatikai részlegek biztonsági alkalmazottait, akik gyakran egymástól elszigetelve dolgoznak. Ha mindezeket a csoportokat összehozzuk az átfogó incidenselhárítási tervek kialakításához és megvalósításához, megakadályozhatjuk, hogy a támadások során káosz alakuljon ki az üzemeltetésben.

Regionális szinten az egészségügyi szervezeteknek olyan partneri kapcsolatokat kell kialakítaniuk, melyek lehetővé teszik a kapacitások és erőforrások megosztását, biztosítva, hogy a betegellátás még akkor is folytatódhasson, ha néhány kórházat zsarolóvírus-támadás ért. Ez a fajta kollektív védelem egy kórház befogadóképességénél több beteg érkezésére is megoldást jelent, és eloszthatja a terhelést az egészségügyi szolgáltatók között.

A regionális együttműködésen túl az országos és globális információmegosztó hálózatok is sarkalatos pontok. Az ISAC (információmegosztó és -elemző központ, Information Sharing and Analysis Centers) intézmények, például Health-ISAC platformot biztosítanak ahhoz, hogy az egészségügyi szervezetek megoszthassák egymással a fenyegetésekre vonatkozó kulcsfontosságú információkat. Errol Weiss, a Health-ISAC biztonsági igazgatója ezeket a szervezeteket "virtuális szomszédsági figyelőprogramokhoz"hasonlítja, melyekben a tagok gyorsan megoszthatják a támadásokkal kapcsolatos információkat és jól bevált mérséklő technikákat. Az információk megosztása segíti a többieket abban, hogy felkészüljenek a hasonló fenyegetésekre vagy megakadályozzák őket, nagyobb léptékben erősítve a kollektív védelmet.