El ransomware es un ataque complejo y multietapa.
No hay una viñeta plateada que defienda a los proveedores de atención médica.
En cambio, deben desarrollar un conjunto integral de controles de seguridad contra esta amenaza.
Y deben desarrollar estas capacidades rápidamente.
Este artículo mostrará a los proveedores de atención médica cómo hacer exactamente eso.
Esta publicación de blog es la Parte 2 de una serie de tres partes sobre la amenaza del ransomware contra la atención médica.
En la Parte 1 de esta serie, exploramos:
- Por qué los delincuentes apuntan a los proveedores de atención médica con ransomware.
- Por qué el enfoque actual para combatir el ransomware no funciona.
- Por qué los proveedores de atención médica deben adoptar una respuesta proactiva al ransomware.
En este artículo, exploraremos:
- Qué aspecto tiene un ataque de ransomware típico y cómo progresa.
- Qué tácticas debe realizar un proveedor para resolver el ransomware sin pagar.
- Cómo los proveedores pueden crear una defensa efectiva contra el ransomware en cinco pasos.
Continuemos nuestra conversación.
Comprender el ransomware: mirar más allá de la nota de rescate
En la superficie, un ataque de ransomware parece simple.
Un proveedor de atención médica intenta iniciar sesión en su estación de trabajo.
Sus sistemas están bloqueados. No pueden iniciar sesión. En cambio, ven una notificación.
La notificación es de un atacante. El mensaje informa al proveedor que puede restaurar sus sistemas y guardar sus datos si le pagan un rescate al atacante.
El proveedor paga el rescate o intenta restaurar los servicios de una copia de seguridad reciente, que presenta desafíos adicionales, p. ej., antigüedad de la última copia de seguridad o recuperabilidad.
Esta forma de ataque de ransomware es común, pero el enfoque puede evolucionar a medida que el atacante tenga que realizar una cantidad significativa de pasos alternativos para lograr su objetivo final.
En algunos casos, hemos sido testigos de atacantes que extienden su campaña de ataque incluso después de que se les haya pagado el rescate solicitado.
Un panorama más detallado de un ataque de ransomware se ve así.
Antes del ataque “Baja y lenta”
El atacante desarrolla la inteligencia, el control y el aprovechamiento que necesita para poner al proveedor en una posición difícil.
Para hacerlo, ellos:
- Escanee la red del proveedor en busca de vulnerabilidades.
- Inicie ataques estándar, como estafas de phishing , o explote vulnerabilidades conocidas, como activos sin parches.
- Muévase lateralmente a través de sus sistemas vulnerables.
- Desarrolle una presencia en su entorno.
- Recopile inteligencia sobre sus sistemas críticos.
- Exfiltre tantos datos confidenciales como puedan.
- Desarrollar la capacidad de tomar el control de sus sistemas.
Durante el ataque
El atacante crea tantos problemas para el proveedor como sea posible y envía al proveedor su nota de rescate.
Para hacerlo, ellos:
- Bloquee todos los sistemas críticos sobre los que obtuvieron control.
- Amenazar con descargar los datos confidenciales que robaron.
Después del ataque
El atacante puede iniciar ataques adicionales. En muchos casos, pagar un rescate hace que un atacante sea más propenso a atacar nuevamente.
Para hacerlo, ellos:
- Mantenga una posición oculta en el entorno.
- Explote otras vulnerabilidades que encontraron en la red.
- Exfiltrar más datos.
- Eventualmente, bloquee los sistemas nuevamente, amenace con descargar datos y exija otro rescate.
En resumen: Para el momento en que un atacante exige un rescate, a menudo es demasiado tarde.
Ya han pasado días, semanas o incluso meses preparándose para ese momento.
Y en ese momento, el proveedor de atención médica debe enfrentar una verdad dura.
Carecían de visibilidad para obtener información sobre cómo defenderse durante la progresión del ataque.
Lo más probable es que no tengan la visibilidad o los datos procesables para expulsar al atacante con confianza.
Y tendrán que pagar y esperar que el atacante no vuelva a atacar.
Así es como los proveedores de atención médica pueden evitar que esto suceda.
Defensa contra el ransomware: No hay una solución positiva
Ninguna táctica puede defenderse contra el ransomware.
Cualquier defensa efectiva debe ser tan compleja y multietapa como el ataque en sí.
Los proveedores de atención médica deben establecer y aprovechar una amplia gama de controles ofensivos y defensivos en cada paso de la campaña del atacante.
Una postura de seguridad efectiva contra el ransomware debe incluir lo siguiente:
Antes del ataque
El proveedor debe elevar la barrera para ingresar a su red y reducir la posibilidad de sufrir un ataque oportunista.
Para hacerlo, deben:
- Establezca visibilidad de todos los puntos finales, incluidas sus aplicaciones, y toda la actividad en ellos en todo momento.
- Elimine todas las vulnerabilidades conocidas en todos los activos mediante parches, actualizaciones y configuración regulares.
- Busque proactivamente indicadores de compromiso para ataques en curso antes de que se desarrollen demasiado lejos.
Durante el ataque
Deben corregir el ataque y expulsar al atacante lo suficientemente rápido como para no sentirse obligados a pagar el rescate.
Para hacerlo, deben:
- Investigue el ataque para identificar su causa raíz, su propagación lateral y todo lo que tocó el atacante.
- Cierre todas las vulnerabilidades restantes en el entorno para contener la propagación adicional del ataque.
- Corregir el ataque, expulsar al atacante y recuperar el control de sus sistemas sin una pérdida de datos significativa.
Después del ataque
Deben fortalecer su entorno y asegurarse de que el atacante realmente se haya ido y nunca puedan volver a comprometer su red.
Para hacerlo, deben:
- Encuentre todas las instancias de cada vulnerabilidad que explotó el atacante y ciérrelas en todos sus activos.
- Encuentre cualquier punto de apoyo restante que el atacante aún pueda tener en su entorno y desaloje completamente.
- Mejore continuamente la salud y seguridad general de su entorno de endpoint para evitar nuevos ataques.
En resumen: los proveedores de atención médica tienen mucho trabajo que hacer para defenderse contra el ransomware.
Muchos proveedores de atención médica no pueden realizar al menos algunas de estas tácticas.
Algunos proveedores de atención médica no pueden realizar ninguno de ellos.
Pero todos los proveedores de atención médica deben, al menos, tomarse unos minutos para asegurarse de tener todas las capacidades que necesitan para defenderse contra el ransomware.
Así es como los proveedores de atención médica pueden iniciar ese proceso.
Qué hacer: Cinco pasos para crear una defensa efectiva contra el ransomware
Si sigue estos pasos, hará lo siguiente:
- Identifique las brechas en sus capacidades actuales de defensa contra el ransomware.
- Complete las brechas más críticas que pueda descubrir.
- Desarrolle una sólida estrategia de defensa contra el ransomware, incluso si no comienza desde nada.
Comencemos.
Paso uno: Evalúe sus defensas actuales contra el ransomware
Primero, hágase algunas preguntas para determinar su capacidad actual de defenderse contra las amenazas de ransomware en cada etapa de su ataque.
Pregúntese:
- ¿Tenemos un catálogo preciso de cada activo en nuestro entorno?
- ¿Podemos monitorear esos activos y buscar IOC específicos en ellos?
- ¿Estos activos están completamente parchados, actualizados y configurados en todo momento?
- ¿Con qué rapidez podemos detectar un activo comprometido u otra amenaza?
- ¿Podemos determinar cada activo y dato que tocó un atacante?
- ¿Con qué rapidez podríamos contener y corregir un incidente?
- ¿Podemos expulsar a un atacante con el 100 % de confianza de que se ha ido por completo?
- ¿Con qué rapidez podríamos fortalecer nuestro entorno contra ataques similares?
Finalmente, pregúntese:
- ¿Podríamos detectar y corregir un ataque de ransomware antes de que comprometiera nuestra capacidad de proporcionar atención al paciente, o tendríamos que pagar el rescate?
Paso dos: Desarrolle una visibilidad integral de sus activos
En términos de prioridad, primero debe llenar cualquier brecha de visibilidad que identifique.
La visibilidad proporciona una base y un multiplicador de fuerza para todas las demás actividades.
En la práctica, debe desarrollar la visibilidad para:
- Identifique todos los puntos finales de su entorno y el software en ellos.
- Identifique el estado actual de los parches, las versiones de software, los ajustes de configuración, los derechos administrativos y las vulnerabilidades conocidas en cada uno de esos activos.
- Monitoree continuamente el comportamiento de esos activos y de sus usuarios.
- Defina el riesgo medible de cada activo y mapee la trayectoria potencial y el impacto si se produjo un ataque de ransomware exitoso.
Debe desarrollar la capacidad de hacer esto tanto para activos administrados como no administrados y todos los activos, independientemente de si viven en las instalaciones o de forma remota.
Paso tres: abotonar su protección de TI
Luego, debe enfocarse en mejorar su higiene de TI.
La mayoría de los ataques de ransomware explotan las vulnerabilidades conocidas en el entorno.
Debe mantener una buena higiene de TI y una alta barrera para el ingreso.
En la práctica, para mantener una buena higiene de TI, debe ser capaz de:
- Mantenga un cumplimiento de alto parche y aplique rápidamente nuevos parches a todos los activos.
- Mantenga todo el software y los sistemas operativos actualizados con las versiones más recientes.
- Aplicar políticas, derechos de acceso y configuraciones en todos los activos.
- Mantenga el cumplimiento de todos sus requisitos normativos.
Una organización debe realizar estas acciones de forma remota y a escala y dentro de un sistema de verificación de bucle cerrado que garantice que sus controles se apliquen adecuadamente.
Paso cuatro: Establezca sus capacidades de respuesta a incidentes
Luego, asegúrese de que sus mecanismos de visibilidad y control se extiendan más allá de la prevención.
También debe poder aprovecharlos para detener ataques y expulsar a los atacantes rápidamente.
En la práctica, para responder a un incidente de ransomware, debe ser capaz de:
- Implementar estándares de higiene saludables para ayudar a mejorar el monitoreo de todos los sistemas para posibles indicaciones de ataques iniciados.
- Combine datos en tiempo real y a largo plazo para definir cadenas de ataque completas.
- Corregir incidentes antes de que el atacante bloquee los sistemas y exfiltre los datos.
- Aprenda de los incidentes y genere proactivamente defensas contra patrones similares.
Debe poder realizar cada una de estas acciones casi en tiempo real para responder eficazmente a la rápida propagación de la mayoría de los ataques de ransomware modernos.
Paso cinco: Reevalúe sus herramientas
Finalmente, eche un vistazo a sus herramientas de endpoint.
Sus herramientas son el impulsor fundamental para cada capacidad analizada en este artículo.
Si tiene una brecha en cualquiera de estas capacidades, lo más probable es que:
- No ha implementado ninguna herramienta para ofrecer esa capacidad.
O
- Ha implementado la herramienta incorrecta para su entorno moderno.
Observe las herramientas que implementa para ofrecer visibilidad, higiene de TI y respuesta a incidentes.
Haga una lista de las herramientas que no ofrecen valor durante su trabajo diario.
Luego, para cada herramienta, hágase una pregunta final:
“Si estas herramientas no pueden entregar valor en circunstancias normales, ¿entregarán el valor que necesito en medio de un incidente de ransomware?”
Cualquier herramienta que reciba un “no” para una respuesta está lista para su reemplazo.
Implemente las herramientas adecuadas para detener los ataques de ransomware
En el siguiente, y último, artículo de esta serie, analizaremos las herramientas en profundidad.
Explicaremos por qué las herramientas heredadas generalmente no detienen el ransomware y qué tipo de herramientas debe aprovechar para defenderse de esta amenaza moderna de manera efectiva.
Si necesita asistencia inmediata y guiada para desarrollar sus defensas contra el ransomware, comuníquese hoy mismo y programe una consulta gratuita y un análisis de brechas.
