Die bevorstehende Bedrohung, Teil 2: Wie Gesundheitsdienstleister sich gegen Ransomware schützen können

Ransomware ist ein komplexer, mehrstufiger Angriff.

Es gibt kein Patentrezept, das Gesundheitsdienstleister schützen kann.

Stattdessen müssen sie ein umfassendes Bündel von Sicherheitsmaßnahmen gegen diese Bedrohung entwickeln.

Und sie müssen diese Fähigkeiten rasch ausbauen.

In diesem Artikel erfahren Gesundheitsdienstleister, wie sie genau das umsetzen können.

Dieser Blogbeitrag ist Teil 2 einer dreiteiligen Serie über die Bedrohung des Gesundheitswesens durch Ransomware.

In „ , Teil 1“ dieser Reihe haben wir uns mit folgenden Themen befasst:

• Warum Kriminelle Anbieter im Gesundheitswesen mit Ransomware ins Visier nehmen.
• Warum der derzeitige Ansatz zur Bekämpfung von Ransomware nicht funktioniert.
• Warum Gesundheitsdienstleister proaktiv gegen Ransomware vorgehen müssen.

In diesem Artikel werden wir uns mit folgenden Themen befassen:

• Wie ein typischer Ransomware-Angriff aussieht und wie er abläuft.
• Welche Maßnahmen muss ein Anbieter ergreifen, um eine Ransomware-Attacke zu beheben, ohne zu zahlen?
• Wie Anbieter in fünf Schritten einen wirksamen Schutz vor Ransomware aufbauen können.

Lassen Sie uns unser Gespräch fortsetzen.

Ransomware verstehen: Ein Blick hinter die Lösegeldforderung

Auf den ersten Blick erscheint ein Ransomware-Angriff recht einfach.

Ein Mitarbeiter des Gesundheitswesens versucht, sich an seinem Arbeitsplatzrechner anzumelden.

Ihre Systeme sind gesperrt. Sie können sich nicht anmelden. Stattdessen wird ihnen eine Benachrichtigung angezeigt.

Die Benachrichtigung stammt von einem Angreifer. In der Nachricht wird dem Anbieter mitgeteilt, dass er seine Systeme wiederherstellen und seine Daten retten kann, wenn er dem Angreifer ein Lösegeld zahlt.

Der Anbieter zahlt entweder das Lösegeld oder versucht, die Dienste anhand einer aktuellen Sicherung wiederherzustellen, was zusätzliche Herausforderungen mit sich bringt, z. B. hinsichtlich des Zeitpunkts der letzten Sicherung oder der Wiederherstellbarkeit.

Diese Form eines Ransomware-Angriffs ist weit verbreitet, doch die Vorgehensweise kann sich weiterentwickeln, da der Angreifer unter Umständen eine beträchtliche Anzahl alternativer Schritte ausführen muss, um sein Endziel zu erreichen.

In einigen Fällen haben wir beobachtet, dass Angreifer ihre Angriffskampagne sogar noch fortsetzten, nachdem ihnen das geforderte Lösegeld gezahlt worden war.

Ein detaillierterer Überblick über einen Ransomware-Angriff sieht wie folgt aus.

Vor dem Angriff: „Low & Slow“

Der Angreifer verschafft sich die Informationen, die Kontrolle und den Einfluss, die er benötigt, um den Anbieter in eine schwierige Lage zu bringen.

Zu diesem Zweck gehen sie wie folgt vor:

• Überprüfen Sie das Netzwerk des Anbieters auf Schwachstellen.
• Führen Sie Standardangriffe durch – wie beispielsweise Phishing-Betrugsversuche vom Typ „ “ – oder nutzen Sie bekannte Sicherheitslücken aus – wie beispielsweise nicht gepatchte Systeme.
• Bewegen Sie sich seitlich durch deren anfällige Systeme.
• Verschaffen Sie sich in ihrem Umfeld einen Standpunkt.
• Sammeln Sie Informationen über deren kritische Systeme.
• So viele sensible Daten wie möglich abzugreifen.
• Entwickeln Sie die Fähigkeit, die Kontrolle über ihre Systeme zu übernehmen.

Während des Angriffs

Der Angreifer bereitet dem Anbieter so viele Probleme wie möglich und übermittelt ihm seine Lösegeldforderung.

Zu diesem Zweck gehen sie wie folgt vor:

• Sperren Sie jedes kritische System, über das sie die Kontrolle erlangt haben.
• Sie drohen damit, die gestohlenen sensiblen Daten zu veröffentlichen.

Nach dem Angriff

Der Angreifer könnte weitere Angriffe starten. In vielen Fällen erhöht die Zahlung eines Lösegelds die Wahrscheinlichkeit, dass ein Angreifer erneut zuschlägt.

Zu diesem Zweck gehen sie wie folgt vor:

• Behalten Sie einen verdeckten Stützpunkt in der Umgebung bei.
• Nutzen Sie weitere Schwachstellen aus, die sie im Netzwerk entdeckt haben.
• Schöpfen Sie weitere Daten ab.
• Schließlich drohen die Verschlüsselungsprogramme erneut, Daten zu löschen und ein weiteres Lösegeld zu fordern.

Kurz gesagt: Wenn ein Angreifer Lösegeld fordert, ist es oft bereits zu spät.

Sie haben bereits Tage, Wochen oder sogar Monate damit verbracht, sich auf diesen Moment vorzubereiten.

Und in diesem Moment muss sich der Gesundheitsdienstleister einer bitteren Wahrheit stellen.

Ihnen fehlte der Überblick, um Erkenntnisse darüber zu gewinnen, wie sie sich im Verlauf des Angriffs verteidigen konnten.

Sie verfügen höchstwahrscheinlich nicht über die nötige Transparenz oder verwertbare Daten, um den Angreifer zuverlässig zu entfernen.

Und sie werden zahlen müssen und hoffen, dass der Angreifer nicht erneut zuschlägt.

So können Gesundheitsdienstleister dies verhindern.

Schutz vor Ransomware: Es gibt kein Patentrezept

Es gibt keine einzelne Maßnahme, mit der man sich gegen Ransomware schützen kann.

Jede wirksame Abwehr muss ebenso komplex und mehrstufig sein wie der Angriff selbst.

Gesundheitsdienstleister müssen in jeder Phase der Angriffskampagne eine breite Palette an offensiven und defensiven Kontrollmaßnahmen einrichten und nutzen.

Eine wirksame Sicherheitsstrategie zum Schutz vor Ransomware muss Folgendes umfassen:

Vor dem Angriff

Der Anbieter muss die Eintrittsbarriere in sein Netzwerk erhöhen und das Risiko eines opportunistischen Angriffs verringern.

Dazu müssen sie:

• Schaffen Sie jederzeit Transparenz über alle Endpunkte – einschließlich der darauf ausgeführten Anwendungen – sowie über alle darauf stattfindenden Aktivitäten.
• Beseitigen Sie alle bekannten Sicherheitslücken in allen Systemen, indem Sie diese regelmäßig mit Patches versorgen, aktualisieren und konfigurieren.
• Suchen Sie proaktiv nach Anzeichen für Kompromittierungen bei laufenden Angriffen, bevor diese zu weit fortgeschritten sind.

Während des Angriffs

Sie müssen den Angriff beheben und den Angreifer so schnell wie möglich vertreiben, damit sie sich nicht gezwungen sehen, das Lösegeld zu zahlen.

Dazu müssen sie:

• Untersuchen Sie den Angriff, um dessen Grundursache, die Ausbreitung innerhalb des Netzwerks sowie alle vom Angreifer betroffenen Bereiche zu ermitteln.
• Schließen Sie alle verbleibenden Sicherheitslücken in der Umgebung, um eine weitere Ausbreitung des Angriffs einzudämmen.
• Beheben Sie den Angriff, entfernen Sie den Angreifer und erlangen Sie die Kontrolle über Ihre Systeme zurück, ohne dass dabei nennenswerte Datenverluste entstehen.

Nach dem Angriff

Sie müssen ihre Umgebung absichern und sicherstellen, dass der Angreifer tatsächlich beseitigt ist und ihr Netzwerk nie wieder gefährden kann.

Dazu müssen sie:

• Ermitteln Sie alle Vorkommen der einzelnen Sicherheitslücken, die der Angreifer ausgenutzt hat, und schließen Sie diese auf allen Ihren Systemen.
• Ermitteln Sie alle verbleibenden Einfallstore, über die der Angreifer möglicherweise noch in Ihrer Umgebung verfügt, und beseitigen Sie diese vollständig.
• Die allgemeine Sicherheit und Integrität ihrer Endgeräteumgebung kontinuierlich verbessern, um neuen Angriffen vorzubeugen.

Kurz gesagt: Gesundheitsdienstleister haben noch viel zu tun, um sich gegen Ransomware zu schützen.

Viele Gesundheitsdienstleister sind nicht in der Lage, zumindest einige dieser Maßnahmen umzusetzen.

Einige Gesundheitsdienstleister können keine dieser Leistungen erbringen.

Doch alle Gesundheitsdienstleister müssen sich – zumindest – einen Moment Zeit nehmen, um sicherzustellen, dass sie über alle erforderlichen Mittel verfügen, um sich gegen Ransomware zu schützen.

So können Gesundheitsdienstleister diesen Prozess in Gang setzen.

Vorgehensweise: Fünf Schritte zum Aufbau eines wirksamen Schutzes vor Ransomware

Wenn Sie diese Schritte befolgen, werden Sie:

• Ermitteln Sie die Lücken in Ihren derzeitigen Abwehrmaßnahmen gegen Ransomware.
• Schließen Sie die wichtigsten Lücken, die Sie möglicherweise aufdecken.
• Entwickeln Sie eine wirksame Strategie zum Schutz vor Ransomware, auch wenn Sie ganz von vorne anfangen.

Lassen Sie uns beginnen.

Schritt 1: Bewerten Sie Ihre derzeitigen Abwehrmaßnahmen gegen Ransomware

Stellen Sie sich zunächst einige Fragen, um festzustellen, inwieweit Sie derzeit in der Lage sind, sich in jeder Phase eines Angriffs gegen Ransomware-Bedrohungen zu verteidigen.

Fragen Sie sich selbst:

• Verfügen wir über einen genauen Bestandskatalog aller Ressourcen in unserer Umgebung?
• Können wir diese Ressourcen überwachen und sie auf bestimmte IOCs überprüfen?
• Sind diese Systeme stets vollständig gepatcht, auf dem neuesten Stand und ordnungsgemäß konfiguriert?
• Wie schnell können wir eine kompromittierte Ressource oder eine andere Bedrohung erkennen?
• Können wir alle Ressourcen und Daten ermitteln, auf die ein Angreifer zugegriffen hat?
• Wie schnell könnten wir einen Vorfall eindämmen und beheben?
• Können wir einen Angreifer so vertreiben, dass wir zu 100 % sicher sein können, dass er vollständig verschwunden ist?
• Wie schnell könnten wir unsere Infrastruktur gegen ähnliche Angriffe absichern?

Und schließlich – fragen Sie sich selbst:

• Könnten wir einen Ransomware-Angriff erkennen und beheben, bevor er unsere Fähigkeit zur Patientenversorgung beeinträchtigt – oder müssten wir das Lösegeld zahlen?

Schritt 2: Schaffen Sie einen umfassenden Überblick über Ihre Vermögenswerte

Was die Prioritäten angeht, müssen Sie zunächst alle von Ihnen festgestellten Lücken in der Transparenz schließen.

Transparenz bildet die Grundlage und wirkt als Kraftverstärker für alle anderen Aktivitäten.

Praktisch gesehen müssen Sie die Sichtbarkeit ausbauen, um:

• Ermitteln Sie alle Endgeräte in Ihrer Umgebung sowie die darauf installierte Software.
• Ermitteln Sie den aktuellen Status von Patches, Softwareversionen, Konfigurationseinstellungen, Administratorrechten und bekannten Sicherheitslücken für jede dieser Ressourcen.
• Überwachen Sie das Verhalten dieser Ressourcen und Ihrer Nutzer kontinuierlich.
• Definieren Sie das messbare Risiko für jedes System und stellen Sie den möglichen Verlauf sowie die Auswirkungen dar, falls es tatsächlich zu einem erfolgreichen Ransomware-Angriff kommen sollte.

Sie müssen die Fähigkeit entwickeln, dies sowohl für verwaltete als auch für nicht verwaltete Ressourcen sowie für alle Ressourcen zu tun, unabhängig davon, ob diese vor Ort oder remote bereitgestellt werden.

Schritt 3: Bringen Sie Ihre IT-Sicherheit auf Vordermann

Als Nächstes müssen Sie sich darauf konzentrieren, Ihre IT-Sicherheit zu verbessern.

Die meisten Ransomware-Angriffe nutzen bekannte Sicherheitslücken in der Umgebung aus.

Sie müssen auf eine gute IT-Hygiene achten und hohe Zugangsbarrieren aufrechterhalten.

In der Praxis müssen Sie, um eine gute IT-Hygiene zu gewährleisten, in der Lage sein:

• Sorgen Sie für eine hohe Patch-Compliance und spielen Sie neue Patches zügig auf allen Systemen ein.
• Halten Sie alle Softwareprogramme und Betriebssysteme auf dem neuesten Stand.
• Setzen Sie Richtlinien, Zugriffsrechte und Konfigurationen auf allen Systemen durch.
• Stellen Sie sicher, dass alle Ihre gesetzlichen Anforderungen eingehalten werden.

Ein Unternehmen muss diese Maßnahmen aus der Ferne und in großem Umfang sowie im Rahmen eines geschlossenen Verifizierungssystems durchführen, das sicherstellt, dass Ihre Kontrollmaßnahmen ordnungsgemäß angewendet werden.

Schritt 4: Bauen Sie Ihre Fähigkeiten zur Reaktion auf Vorfälle auf

Stellen Sie als Nächstes sicher, dass Ihre Transparenz- und Kontrollmechanismen über die Prävention hinausgehen.

Sie müssen zudem in der Lage sein, diese zu nutzen, um Angriffe abzuwehren und Angreifer rasch zu entfernen.

In der Praxis müssen Sie zur Bewältigung eines Ransomware-Vorfalls in der Lage sein:

• Führen Sie angemessene Hygienestandards ein, um die Überwachung aller Systeme hinsichtlich möglicher Anzeichen für beginnende Angriffe zu verbessern.
• Kombinieren Sie Echtzeit- und Langzeitdaten, um vollständige Angriffsketten zu definieren.
• Beheben Sie Vorfälle, bevor der Angreifer Systeme sperrt und Daten entwendet.
• Lernen Sie aus Vorfällen und stärken Sie proaktiv Ihre Abwehrmaßnahmen gegen ähnliche Muster.

Sie müssen in der Lage sein, jede dieser Maßnahmen nahezu in Echtzeit durchzuführen, um wirksam auf die rasante Ausbreitung der meisten modernen Ransomware-Angriffe reagieren zu können.

Schritt 5: Überprüfen Sie Ihren Werkzeugbestand

Schauen Sie sich abschließend Ihre Endpunkt-Tools einmal genau an.

Ihre Werkzeuge sind die grundlegende Triebkraft für jede in diesem Artikel behandelte Fähigkeit.

Sollten Sie in einem dieser Bereiche Defizite aufweisen, dann wird es höchstwahrscheinlich sein, dass Sie:

• Es wurde noch kein Tool zur Bereitstellung dieser Funktion eingeführt.

Oder

• Sie haben das falsche Tool für Ihre moderne Umgebung eingesetzt.

Betrachten Sie die Tools, die Sie einsetzen, um Transparenz, IT-Sicherheit und die Reaktion auf Vorfälle zu gewährleisten.

Erstellen Sie eine Liste aller Tools, die Ihnen bei Ihrer täglichen Arbeit keinen Nutzen bringen.

Stellen Sie sich dann – für jedes Werkzeug – eine letzte Frage:

„Wenn diese Tools unter normalen Umständen keinen Nutzen bieten, werden sie dann mitten in einem Ransomware-Vorfall den Nutzen liefern, den ich benötige?“

Jedes Werkzeug, bei dem die Antwort „nein“ lautet, sollte ersetzt werden.

Setzen Sie die richtigen Tools ein, um Ransomware-Angriffe abzuwehren

Im nächsten – und letzten – Artikel dieser Reihe werden wir uns eingehend mit den Werkzeugen befassen.

Wir werden erläutern, warum herkömmliche Tools Ransomware in der Regel nicht abwehren können und welche Art von Tools Sie einsetzen müssen, um sich wirksam gegen diese moderne Bedrohung zu schützen.

Sollten Sie sofortige, fachkundige Unterstützung beim Aufbau Ihrer Abwehrmaßnahmen gegen Ransomware benötigen, wenden Sie sich noch heute an unter und , um eine kostenlose Beratung und eine Lückenanalyse zu vereinbaren.