El sector de la salud ha sido visto durante mucho tiempo como un objetivo lucrativo para los ciberdelincuentes. A medida que el panorama actual de amenazas continúa evolucionando, los ciberdelincuentes están aprovechando las capacidades nuevas y viejas para explotar las vulnerabilidades de la red de la manera más eficiente posible. Para mantener una postura de seguridad efectiva en este complejo ecosistema cibernético, los equipos de ciberseguridad de salud deben estar al tanto de las amenazas actuales más prevalentes dentro del sector de la salud, así como las medidas de seguridad y las capacidades necesarias para abordarlas adecuadamente.
Dada la gran cantidad de valiosa información de salud protegida (PHI), personal y de propiedad de las organizaciones e instalaciones de salud, tiene sentido que el sector representara más de la mitad de todos los ataques cibernéticos en 2017. Hoy en día, los ciberdelincuentes están buscando atención médica el sector como una forma fácil de aprovechar los datos, extorsionar a las redes para pedir rescate, lixiviar los elementos de la red para obtener ganancias financieras, y más.
Tal como lo revela nuestro último informe Global Threat Landscape Report para la Q1 , los ciberdelincuentes están adoptando una variedad de capacidades que abarcan toda la cadena de asesinatos, desde el reconocimiento y la militarización hasta el comando y el control posteriores al ataque. Si estas amenazas explotan con éxito las vulnerabilidades de la red, las consecuencias pueden ser graves.
Amenazas de ciberseguridad que enfrenta el sector de la salud
El aumento actual de las capacidades de ciberataque está impulsando al sector sanitario a superar los $ 65 mil millones en seguridad de TI en los próximos cinco años. Sin embargo, no debería sorprender que a medida que el gasto en seguridad cibernética siga aumentando, los esfuerzos de los ciberdelincuentes para adaptarse y encontrar nuevas formas de aprovechar las vulnerabilidades crezcan en conjunto. Recientemente, hemos notado una variedad de amenazas que deberían estar en el radar del personal de TI de atención médica:
Variantes de malware sin archivos:
A diferencia de los ataques de malware tradicional que requieren que los ciberdelincuentes instalen un ejecutable malicioso en el disco para infectar una máquina, el malware sin archivos permite que un cibercriminal aproveche herramientas que ya están en muchos equipos como PowerShell y WMI para infectar directamente en la memoria. Además de mantener la persistencia, estos scripts se pueden instalar en la configuración de registro de ejecución automática, lo que garantiza que el malware se cargue cada vez que se reinicie la máquina infectada. El uso de estas técnicas hace que sea cada vez más difícil de detectar.
Cryptomining Malware: Cryptomining Malware, también conocido como cryptojacking, se enfoca en inyectar maliciosamente exploits en los buscadores de computadoras o distribuir malware entre servidores y dispositivos IoT con el objetivo de filtrar los recursos de la CPU. Los ciberdelincuentes luego usan estos recursos para extraer criptomonedas para obtener ganancias financieras. Estos ataques pueden causar fallas en el sistema, poca eficiencia de la red y una fuerte caída en la velocidad de la máquina para aquellos dentro de la red infectada.
El malware Cryptomining también está mostrando un aumento en la capacidad de propagación tipo gusano, aprovechando las hazañas de EternalBlue que llegaron a los titulares para su uso en los ataques de ransomware WannaCry a gran escala . Conocida como WannaMine, esta forma única de malware cryptomining tiene la capacidad de moverse lateralmente a través de una red, identificando y explotando vulnerabilidades y sistemas heredados que no han sido adecuadamente parcheados.
Hazañas persistentes: el panorama actual de las amenazas también indica que los ataques cibernéticos son cada vez más persistentes, y continúan actuando dentro de una red infectada después de reiniciar el sistema. Los ciberdelincuentes ahora están aprovechando los ASEP, Reemplazo de servicios, Tareas programadas y ataques de orden de búsqueda de DLL para seguir siendo funcionales, por lo que es necesario limpiar adecuadamente una red después de un ataque identificado.
Ataques de diseño: a diferencia de muchas formas de ciberataques donde los ciberdelincuentes incorporan un enfoque de “rociar y orar”, generalmente relacionado con una gran campaña de phishing con la esperanza de encontrar un usuario que haga clic en un enlace o archivo adjunto, los ataques de diseñador son altamente sofisticados y se dirigen a la red específica seguridad y vulnerabilidades de una organización. Los ciberdelincuentes ahora investigan exhaustivamente sus objetivos, aprovechando el escaneo de vulnerabilidades externo y los métodos de detección automatizados para identificar información empresarial básica, datos de alto valor y áreas donde se pueden obtener valiosas credenciales de red.
Como se demostró en las variantes de malware SamSam y Orangeworm , estos ataques de “manos en el teclado” se llevan a cabo metódicamente. Esta variante de malware, particularmente eficaz en la explotación de sistemas heredados prevalecientes en el sector sanitario, tiene la capacidad de eludir la detección basada en hash y propagarse rápidamente dentro de una red infectada.
Medición y priorización de las defensas para mitigar las amenazas cibernéticas
Para que la industria de la salud pueda protegerse eficazmente de las ciberamenazas en evolución y mitigar el impacto de los ataques exitosos, es importante practicar una conciencia cibernética efectiva. Para organizar mejor los esfuerzos para una conciencia cibernética efectiva, es importante considerar los siguientes pilares organizacionales:
· Metas de la misión empresarial: identificar los procesos comerciales críticos, y cuál de ellos ayuda a alcanzar los objetivos comerciales, lo ayuda a comprender qué es importante para el funcionamiento diario de la empresa. Desde allí, puede priorizar sus esfuerzos de seguridad para mitigar efectivamente la posibilidad de que un ataque cibernético pueda afectarlos.
· Activos cibernéticos: dado el alcance de las redes dentro de una organización de atención médica, y la gran cantidad de activos dentro de la red, es importante tener la capacidad de comprender efectivamente qué activos están dentro de su red en un momento dado. Al aprovechar los controles de inventario y la inteligencia artificial , los profesionales de TI pueden identificar todos los activos y todas las vulnerabilidades relacionadas, especialmente los activos críticos para facilitar los objetivos comerciales.
· Infraestructura de red: después de identificar todos los activos cibernéticos clave necesarios para facilitar e impulsar los objetivos comerciales, es fundamental que los profesionales de TI identifiquen cómo esos activos están conectados dentro y a través de la infraestructura de red distribuida. Esto proporciona una visión crítica de las avenidas de ataque que los ciberdelincuentes pueden utilizar para atravesar y explotar las vulnerabilidades que puedan existir dentro de la red.
· Amenazas cibernéticas: por último, es importante comprender las amenazas cibernéticas a las que el entorno de red es más vulnerable. El personal de TI también debería centrarse en comprender a los actores amenazados que estarían motivados para robar datos dentro de la red, y los tipos de métodos y herramientas que generalmente utilizan para lograr sus objetivos. Esto proporciona una visión crítica no solo de las áreas de red y las entradas más atractivas para los ciberdelincuentes, sino que también proporciona una descripción general de alto nivel del alcance de la postura de seguridad de una organización frente a estas amenazas específicas.
Una vez establecidos los cimientos de la conciencia cibernética, es importante medir activamente su postura de seguridad existente con pruebas defensivas. Esto incluye evaluaciones de seguridad que garantizan que los controles se implementen correctamente, pruebas de penetración que examinan el alcance, las herramientas y las técnicas de amenazas cibernéticas actuales, y la búsqueda de amenazas para determinar si las amenazas están presentes activamente dentro de una red.
Desafortunadamente, muchas estrategias de prueba defensivas están limitadas a estrategias y procedimientos conocidos de amenazas cibernéticas, y como resultado, a menudo no representan ataques del mundo real. Esto se debe a que las partes que realizan pruebas de pluma, por ejemplo, tienden a usar las herramientas y técnicas con las que se sienten cómodos, lo que significa que no pueden medir las capacidades actuales de ataque y las amenazas contra el sistema de salud que se analiza.
Para ayudar a llenar este vacío, la organización sin ánimo de lucro Mitre Corporation lanzó un recurso ATT & CK Matrix que recopila las técnicas reales utilizadas por los ciberdelincuentes en un solo lugar. Esta información permite a las organizaciones verificar sus controles contra escenarios de ataque documentados, ayudando a proporcionar información real sobre la postura de seguridad de las organizaciones e instalaciones de salud.
