Il ransomware è un attacco complesso, articolato in più fasi.
Non esiste una soluzione miracolosa in grado di tutelare gli operatori sanitari.
Devono invece mettere a punto una serie completa di misure di sicurezza contro questa minaccia.
E devono sviluppare tali capacità in tempi rapidi.
Questo articolo illustrerà agli operatori sanitari come procedere in tal senso.
Questo articolo del blog costituisce la Parte 2 di una serie in tre parti dedicata alla minaccia rappresentata dal ransomware nel settore sanitario.
Nella prima parte di questa serie, intitolata “ ” (), abbiamo approfondito:
- Perché i criminali prendono di mira gli operatori sanitari con il ransomware.
- Perché l'attuale approccio alla lotta contro il ransomware non funziona.
- Perché gli operatori sanitari devono adottare un approccio proattivo nei confronti del ransomware.
In questo articolo approfondiremo i seguenti argomenti:
- Come si presenta un tipico attacco ransomware e come si svolge.
- Quali misure deve adottare un operatore per risolvere un attacco ransomware senza pagare il riscatto.
- Come i fornitori possono mettere in atto una difesa efficace contro il ransomware in cinque passaggi.
Continuiamo la nostra conversazione.
Comprendere il ransomware: guardare oltre la richiesta di riscatto
A prima vista, un attacco ransomware sembra semplice.
Un operatore sanitario cerca di accedere alla propria postazione di lavoro.
I loro sistemi sono bloccati. Non riescono ad accedere. Vedono invece una notifica.
La notifica proviene da un malintenzionato. Il messaggio informa il fornitore che potrà ripristinare i propri sistemi e salvare i propri dati qualora paghi un riscatto all'autore dell'attacco.
Il fornitore può scegliere se pagare il riscatto oppure tentare di ripristinare i servizi da un backup recente, il che comporta ulteriori difficoltà, quali ad esempio la data dell’ultimo backup o la recuperabilità dei dati.
Questa forma di attacco ransomware è comune, ma l’approccio può evolversi, poiché l’autore dell’attacco potrebbe dover compiere un numero significativo di passaggi alternativi per raggiungere il proprio obiettivo finale.
In alcuni casi, abbiamo constatato che gli autori degli attacchi hanno proseguito la loro campagna anche dopo aver ricevuto il riscatto richiesto.
Ecco come si presenta un quadro più dettagliato di un attacco ransomware.
Prima dell’attacco: “Low & Slow”
L'autore dell'attacco acquisisce le informazioni, il controllo e il potere di cui ha bisogno per mettere il fornitore in una situazione difficile.
A tal fine, essi:
- Eseguire una scansione della rete del provider alla ricerca di vulnerabilità.
- Lanciare attacchi standard — come le truffe di phishing del tipo “ ” — oppure sfruttare vulnerabilità note — come le risorse prive di patch.
- Si muovano lateralmente all’interno dei loro sistemi vulnerabili.
- Conquistare una posizione di rilievo nel loro ambiente.
- Raccogliete informazioni sui loro sistemi critici.
- Sottrarre quanti più dati sensibili possibile.
- Sviluppare la capacità di assumere il controllo dei propri sistemi.
Durante l'attacco
L'autore dell'attacco crea il maggior numero possibile di problemi al fornitore e gli invia la richiesta di riscatto.
A tal fine, essi:
- Blocchino tutti i sistemi critici di cui hanno assunto il controllo.
- Minacciano di divulgare i dati sensibili che hanno rubato.
Dopo l'attacco
L'autore dell'attacco potrebbe sferrare ulteriori attacchi. In molti casi, il pagamento di un riscatto aumenta la probabilità che l’autore dell’attacco colpisca nuovamente.
A tal fine, essi:
- Mantenere una presenza discreta nell’ambiente.
- Sfruttare altre vulnerabilità individuate nella rete.
- Estraete una maggiore quantità di dati.
- Alla fine, i sistemi di blocco minacciano nuovamente di cancellare i dati e di esigere un altro riscatto.
In sintesi: quando un malintenzionato richiede un riscatto, spesso è già troppo tardi.
Hanno già dedicato giorni, settimane o addirittura mesi a prepararsi per quel momento.
E in quel momento, l’operatore sanitario deve fare i conti con una dura realtà.
Non disponevano della visibilità necessaria per comprendere come difendersi man mano che l’attacco procedeva.
Molto probabilmente non dispongono della visibilità né dei dati utilizzabili per respingere l’autore dell’attacco con sicurezza.
E dovranno pagare, sperando che l'autore dell'attacco non colpisca di nuovo.
Ecco come gli operatori sanitari possono evitare che ciò accada.
Difesa contro il ransomware: non esiste una soluzione miracolosa
Non esiste una singola strategia in grado di proteggere dal ransomware.
Qualsiasi difesa efficace deve essere complessa e articolata in più fasi quanto l’attacco stesso.
Gli operatori sanitari devono predisporre e avvalersi di un’ampia gamma di misure di controllo offensive e difensive in ogni fase della campagna dell’autore dell’attacco.
Una strategia di sicurezza efficace contro il ransomware deve includere quanto segue:
Prima dell'attacco
Il fornitore deve rendere più difficile l'accesso alla propria rete e ridurre il rischio di subire un attacco opportunistico.
A tal fine, devono:
- Garantire in ogni momento la visibilità su tutti gli endpoint — comprese le relative applicazioni — e su tutte le attività che vi si svolgono.
- Eliminare tutte le vulnerabilità note su tutte le risorse applicando regolarmente le patch, effettuando gli aggiornamenti e configurandole.
- Cercare in modo proattivo gli indicatori di compromissione relativi ad attacchi in corso prima che questi si aggravino eccessivamente.
Durante l'attacco
Devono porre rimedio all’attacco ed espellere l’autore dell’attacco con sufficiente rapidità da non sentirsi costretti a pagare il riscatto.
A tal fine, devono:
- Indagare sull'attacco per individuarne la causa principale, la diffusione laterale e tutti gli elementi con cui l'autore dell'attacco è entrato in contatto.
- Risolvano tutte le vulnerabilità residue presenti nell'ambiente per contenere l'ulteriore diffusione dell'attacco.
- Risolvere l'attacco, allontanare l'autore dell'attacco e riprendere il controllo dei propri sistemi senza perdite significative di dati.
Dopo l'attacco
Devono rafforzare la sicurezza del proprio ambiente e assicurarsi che l’autore dell’attacco sia effettivamente stato eliminato e non possa mai più compromettere la loro rete.
A tal fine, devono:
- Individuate tutte le occorrenze di ciascuna vulnerabilità sfruttata dall’autore dell’attacco e risolvete tali vulnerabilità su tutte le vostre risorse.
- Individuate qualsiasi punto d’appoggio residuo che l’autore dell’attacco possa ancora avere nel proprio ambiente e eliminatelo completamente.
- Migliorare costantemente lo stato generale di integrità e sicurezza del proprio ambiente endpoint al fine di prevenire nuovi attacchi.
In sintesi: gli operatori sanitari hanno molto lavoro da svolgere per proteggersi dal ransomware.
Molti operatori sanitari non sono in grado di mettere in pratica almeno alcune di queste strategie.
Alcuni operatori sanitari non sono in grado di eseguire nessuna di queste procedure.
Tuttavia, tutti gli operatori sanitari devono — come minimo — dedicare qualche istante a verificare di disporre di tutte le risorse necessarie per difendersi dal ransomware.
Ecco come gli operatori sanitari possono avviare tale processo.
Cosa fare: cinque passaggi per mettere in atto una difesa efficace contro il ransomware
Se seguirà questi passaggi, potrà:
- Individuate le lacune nelle vostre attuali capacità di difesa contro il ransomware.
- Colmi le lacune più rilevanti che dovesse individuare.
- Sviluppi una solida strategia di difesa contro il ransomware, anche se parte da zero.
Cominciamo.
Fase 1: Valutate le vostre attuali misure di difesa contro il ransomware
Innanzitutto, si ponga alcune domande per valutare la Sua attuale capacità di difendersi dalle minacce ransomware in ogni fase dell’attacco.
Si chieda:
- Disponiamo di un inventario accurato di tutte le risorse presenti nel nostro ambiente?
- È possibile monitorare tali risorse e cercare specifici indicatori di compromissione (IOC) al loro interno?
- Tali risorse sono sempre dotate di tutte le patch, aggiornate e configurate correttamente?
- Con quale rapidità siamo in grado di Detect un asset compromesso o un’altra minaccia?
- È possibile individuare tutte le risorse e tutti i dati con cui un malintenzionato è entrato in contatto?
- In quanto tempo potremmo contenere e risolvere un incidente?
- È possibile allontanare un aggressore con una certezza del 100% che se ne sia andato definitivamente?
- Con quale rapidità potremmo rafforzare la sicurezza del nostro sistema contro attacchi simili?
Infine, si chieda:
- Saremmo in grado di Detect e porre rimedio a un attacco ransomware prima che comprometta la nostra capacità di fornire assistenza ai pazienti — oppure saremmo costretti a pagare il riscatto?
Fase due: ottenere una visione completa delle proprie risorse
In termini di priorità, è necessario innanzitutto colmare eventuali lacune di visibilità che si individuano.
La visibilità costituisce una base fondamentale e un moltiplicatore di efficacia per tutte le altre attività.
In pratica, è necessario acquisire la visibilità necessaria per:
- Identifichi tutti gli endpoint presenti nel Suo ambiente e il software su di essi installato.
- Individuare lo stato attuale delle patch, delle versioni software, delle impostazioni di configurazione, dei diritti amministrativi e delle vulnerabilità note su ciascuna di tali risorse.
- Monitorate costantemente il comportamento di tali risorse e dei vostri utenti.
- Si definisca il rischio misurabile associato a ciascuna risorsa e si analizzino la traiettoria potenziale e l’impatto nel caso in cui si verificasse effettivamente un attacco ransomware riuscito.
È necessario sviluppare la capacità di farlo sia per le risorse gestite che per quelle non gestite, nonché per tutte le risorse, indipendentemente dal fatto che si trovino in sede o in remoto.
Fase tre: ottimizzate la vostra igiene informatica
Successivamente, dovrete concentrarvi sul miglioramento delle vostre pratiche di sicurezza informatica.
La maggior parte degli attacchi ransomware sfrutta le vulnerabilità note presenti nell'ambiente.
È necessario garantire una buona igiene informatica e un elevato livello di protezione.
In pratica, per garantire una buona igiene informatica, è necessario essere in grado di:
- Garantire un elevato livello di conformità alle patch e applicare rapidamente le nuove patch a tutte le risorse.
- Si raccomanda di mantenere aggiornati tutti i software e i sistemi operativi alle versioni più recenti.
- Applicare le politiche, i diritti di accesso e le configurazioni su tutte le risorse.
- Garantisca il rispetto di tutti i requisiti normativi.
Un’organizzazione deve eseguire tali azioni da remoto, su larga scala e nell’ambito di un sistema di verifica a ciclo chiuso che garantisca l’adeguata applicazione dei Suoi controlli.
Fase quattro: Definire le proprie capacità di risposta agli incidenti
Successivamente, si assicuri che i Suoi meccanismi di visibilità e controllo vadano oltre la prevenzione.
Dovete inoltre essere in grado di sfruttarli per bloccare gli attacchi ed espellere rapidamente gli aggressori.
In pratica, per far fronte a un incidente causato da un ransomware, è necessario essere in grado di:
- Si raccomanda di adottare standard igienici adeguati per contribuire a migliorare il monitoraggio di tutti i sistemi al fine di individuare eventuali segnali di attacchi in corso.
- Combina i dati in tempo reale e quelli a lungo termine per definire catene di attacco complete.
- Risolvere gli incidenti prima che l’autore dell’attacco blocchi i sistemi e sottragga i dati.
- Si traggano insegnamenti dagli incidenti e si rafforzino in modo proattivo le difese contro modelli simili.
È necessario essere in grado di eseguire ciascuna di queste azioni quasi in tempo reale per rispondere in modo efficace alla rapida diffusione della maggior parte degli attacchi ransomware moderni.
Fase cinque: rivalutare la propria dotazione di utensili
Infine, esamini attentamente i Suoi strumenti di endpoint .
I Suoi strumenti costituiscono il motore fondamentale di ogni funzionalità trattata nel presente articolo.
Se presenta delle lacune in una qualsiasi di queste competenze, molto probabilmente:
- Non è stato implementato alcun strumento per fornire tale funzionalità.
Oppure
- Avete implementato lo strumento sbagliato per il vostro ambiente moderno.
Esamini gli strumenti che utilizza per garantire visibilità, igiene informatica e risposta agli incidenti.
Stili un elenco di tutti gli strumenti che non apportano alcun valore aggiunto nel corso della Sua attività quotidiana.
A questo punto — per ogni strumento — si ponga un’ultima domanda:
«Se questi strumenti non sono in grado di fornire valore in circostanze normali, saranno in grado di fornire il valore di cui ho bisogno nel bel mezzo di un attacco ransomware?»
Qualsiasi strumento che riceva un “no” come risposta è da sostituire.
Deploy gli strumenti adeguati per contrastare gli attacchi ransomware
Nel prossimo — e ultimo — articolo di questa serie, tratteremo in modo approfondito gli strumenti.
Vi spiegheremo perché gli strumenti tradizionali spesso non riescono a bloccare il ransomware e quali tipi di strumenti dovete utilizzare per difendervi efficacemente da questa minaccia moderna.
Se avete bisogno di assistenza immediata e mirata per sviluppare le vostre difese contro il ransomware, visitate il sito , contattateci oggi stesso all’indirizzo e per fissare una consulenza gratuita e un’analisi delle lacune.
