El ransomware es un ataque complejo que se desarrolla en varias fases.
No existe ninguna solución milagrosa que proteja a los profesionales sanitarios.
En su lugar, deben desarrollar un conjunto completo de controles de seguridad para hacer frente a esta amenaza.
Y deben desarrollar estas capacidades con rapidez.
En este artículo se explicará a los profesionales sanitarios cómo hacerlo.
Esta entrada del blog es la parte 2 de una serie de tres partes sobre la amenaza del ransomware para el sector sanitario.
En la primera parte de esta serie de « » (), analizamos:
- Por qué los delincuentes atacan a los proveedores de asistencia sanitaria con ransomware.
- Por qué el enfoque actual para combatir el ransomware no funciona.
- Por qué los profesionales sanitarios deben adoptar una respuesta proactiva ante el ransomware.
En este artículo, analizaremos:
- Cómo es un ataque típico de ransomware y cómo se desarrolla.
- ¿Qué medidas debe adoptar un proveedor para resolver un ataque de ransomware sin tener que pagar?
- Cómo pueden los proveedores crear una defensa eficaz contra el ransomware en cinco pasos.
Continuemos con nuestra conversación.
Entender el ransomware: más allá de la nota de rescate
A primera vista, un ataque de ransomware parece sencillo.
Un profesional sanitario intenta iniciar sesión en su estación de trabajo.
Sus sistemas están bloqueados. No pueden iniciar sesión. En su lugar, ven una notificación.
La notificación procede de un atacante. El mensaje informa al proveedor de que puede restaurar sus sistemas y recuperar sus datos si paga un rescate al atacante.
El proveedor, o bien paga el rescate, o bien intenta restablecer los servicios a partir de una copia de seguridad reciente, lo que plantea dificultades adicionales, como, por ejemplo, la antigüedad de la última copia de seguridad o la viabilidad de la recuperación.
Este tipo de ataque de ransomware es habitual, pero la estrategia puede evolucionar, ya que es posible que el atacante tenga que llevar a cabo un número considerable de pasos alternativos para alcanzar su objetivo final.
En algunos casos, hemos observado cómo los atacantes prolongaban su campaña de ataque incluso después de que se les hubiera abonado el rescate solicitado.
Un panorama más detallado de un ataque de ransomware se presenta de la siguiente manera.
Antes del ataque: «A baja intensidad y lentamente»
El atacante desarrolla la información, el control y la influencia que necesita para poner al proveedor en una situación complicada.
Para ello, ustedes:
- Analice la red del proveedor en busca de vulnerabilidades.
- Lanzar ataques habituales —como las estafas de phishing del tipo « » — o aprovechar vulnerabilidades conocidas —como los activos sin parches—.
- Desplácese lateralmente a través de sus sistemas vulnerables.
- Establezca una presencia en su entorno.
- Recopile información sobre sus sistemas críticos.
- Sustrajan tantos datos confidenciales como puedan.
- Desarrollar la capacidad de tomar el control de sus sistemas.
Durante el ataque
El atacante causa tantos problemas como puede al proveedor y le envía su nota de rescate.
Para ello, ustedes:
- Bloqueen todos los sistemas críticos de los que hayan tomado el control.
- Amenazan con filtrar los datos confidenciales que han sustraído.
Tras el ataque
Es posible que el atacante lance ataques adicionales. En muchos casos, el pago de un rescate aumenta la probabilidad de que el atacante vuelva a actuar.
Para ello, ustedes:
- Mantenga una presencia discreta en el entorno.
- Aprovechen otras vulnerabilidades que hayan detectado en la red.
- Extraiga más datos.
- Con el tiempo, estos sistemas de bloqueo vuelven a amenazar con borrar los datos y a exigir otro rescate.
En resumen: cuando un atacante exige un rescate, a menudo ya es demasiado tarde.
Ya llevan días, semanas o incluso meses preparándose para ese momento.
Y en ese momento, el profesional sanitario debe afrontar una cruda realidad.
Carecían de la información necesaria para comprender cómo defenderse a medida que avanzaba el ataque.
Es muy probable que no dispongan de la visibilidad ni de los datos útiles para expulsar al atacante con seguridad.
Y tendrán que pagar y esperar que el atacante no vuelva a actuar.
A continuación se explica cómo pueden los profesionales sanitarios evitar que esto ocurra.
Defensa frente al ransomware: no existe una solución milagrosa
No existe una única táctica que permita defenderse del ransomware.
Cualquier defensa eficaz debe ser tan compleja y constar de tantas fases como el propio ataque.
Los proveedores de asistencia sanitaria deben establecer y aprovechar una amplia gama de controles ofensivos y defensivos en cada fase de la campaña del atacante.
Una estrategia de seguridad eficaz contra el ransomware debe incluir lo siguiente:
Antes del ataque
El proveedor debe aumentar las barreras de acceso a su red y reducir la probabilidad de sufrir un ataque oportunista.
Para ello, deben:
- Consiga una visión clara de todos los dispositivos finales —incluidas sus aplicaciones— y de toda la actividad que se desarrolla en ellos en todo momento.
- Elimine todas las vulnerabilidades conocidas en todos los activos mediante la aplicación periódica de parches, actualizaciones y configuraciones.
- Busque de forma proactiva indicios de compromiso en los ataques en curso antes de que avancen demasiado.
Durante el ataque
Deben solucionar el ataque y expulsar al atacante con la suficiente rapidez como para que no se vean obligados a pagar el rescate.
Para ello, deben:
- Investigue el ataque para identificar su causa raíz, su propagación lateral y todo aquello a lo que haya tenido acceso el atacante.
- Corrija todas las vulnerabilidades restantes en el entorno para contener la propagación del ataque.
- Solucione el ataque, expulse al atacante y recupere el control de sus sistemas sin una pérdida significativa de datos.
Tras el ataque
Deben reforzar la seguridad de su entorno y asegurarse de que el atacante haya desaparecido definitivamente y de que nunca más pueda comprometer su red.
Para ello, deben:
- Identifique todas las instancias de cada vulnerabilidad que haya aprovechado el atacante y subsánelas en todos sus activos.
- Identifique cualquier punto de acceso que el atacante pueda seguir teniendo en su entorno y elimínelo por completo.
- Mejorar de forma continua la seguridad y el estado general de su entorno de terminales para prevenir nuevos ataques.
En resumen: los centros sanitarios tienen mucho trabajo por delante para protegerse contra el ransomware.
Muchos profesionales sanitarios no son capaces de poner en práctica al menos algunas de estas estrategias.
Algunos profesionales sanitarios no pueden realizar ninguna de ellas.
No obstante, todos los proveedores de asistencia sanitaria deben —como mínimo— dedicar unos minutos a asegurarse de que cuentan con todos los recursos necesarios para protegerse contra el ransomware.
A continuación se explica cómo pueden iniciar ese proceso los profesionales sanitarios.
Qué hacer: Cinco pasos para crear una defensa eficaz contra el ransomware
Si sigue estos pasos, conseguirá:
- Identifique las deficiencias en sus capacidades actuales de defensa contra el ransomware.
- Subsane las deficiencias más importantes que pueda detectar.
- Desarrolle una estrategia sólida de defensa contra el ransomware, incluso si parte de cero.
Empecemos.
Paso uno: Evalúe sus medidas actuales de protección contra el ransomware
En primer lugar, hágase algunas preguntas para determinar su capacidad actual para defenderse de las amenazas de ransomware en cada fase de su ataque.
Pregúntese:
- ¿Disponemos de un catálogo preciso de todos los activos de nuestro entorno?
- ¿Podemos supervisar esos activos y buscar en ellos indicadores de compromiso (IOC) específicos?
- ¿Están estos activos siempre al día con los parches, las actualizaciones y la configuración?
- ¿Con qué rapidez podemos detectar un activo comprometido u otra amenaza?
- ¿Podemos identificar todos los activos y todos los datos a los que ha tenido acceso un atacante?
- ¿Con qué rapidez podríamos contener y solucionar un incidente?
- ¿Podemos expulsar a un atacante con un 100 % de certeza de que ha desaparecido por completo?
- ¿Con qué rapidez podríamos reforzar la seguridad de nuestro entorno frente a ataques similares?
Por último, pregúntese:
- ¿Podríamos detectar y solucionar un ataque de ransomware antes de que comprometiera nuestra capacidad para prestar asistencia a los pacientes, o tendríamos que pagar el rescate?
Paso dos: Obtenga una visión global de sus activos
En cuanto a las prioridades, debe subsanar en primer lugar cualquier laguna de visibilidad que detecte.
La visibilidad constituye una base y un multiplicador de efectos para todas las demás actividades.
En la práctica, debe desarrollar la visibilidad necesaria para:
- Identifique todos los dispositivos finales de su entorno y el software que tienen instalado.
- Determine el estado actual de los parches, las versiones de software, los parámetros de configuración, los derechos de administración y las vulnerabilidades conocidas en cada uno de esos activos.
- Supervise de forma continua el comportamiento de dichos activos y de sus usuarios.
- Defina el riesgo cuantificable de cada activo y analice la posible evolución y el impacto en caso de que se produjera un ataque de ransomware con éxito.
Debe desarrollar la capacidad de hacerlo tanto con activos gestionados como con activos no gestionados, así como con todos los activos, independientemente de si se encuentran en las propias instalaciones o de forma remota.
Tercer paso: Mejore sus prácticas de seguridad informática
A continuación, debe centrarse en mejorar su higiene informática.
La mayoría de los ataques de ransomware aprovechan vulnerabilidades conocidas del entorno.
Debe mantener unas buenas prácticas de seguridad informática y establecer un alto nivel de protección.
En la práctica, para mantener una buena higiene informática, debe ser capaz de:
- Mantenga un alto nivel de cumplimiento en la aplicación de parches y aplique rápidamente los nuevos parches a todos los activos.
- Mantenga todo el software y los sistemas operativos actualizados con las versiones más recientes.
- Aplicar las políticas, los derechos de acceso y las configuraciones en todos los activos.
- Garantice el cumplimiento de todos sus requisitos normativos.
Una organización debe llevar a cabo estas acciones de forma remota y a gran escala, y dentro de un sistema de verificación de ciclo cerrado que garantice que sus controles se aplican adecuadamente.
Paso cuatro: Establezca sus capacidades de respuesta ante incidentes
A continuación, asegúrese de que sus mecanismos de visibilidad y control vayan más allá de la prevención.
Asimismo, debe ser capaz de aprovecharlos para detener los ataques y expulsar a los atacantes con rapidez.
En la práctica, para hacer frente a un incidente de ransomware, debe ser capaz de:
- Aplique normas de higiene adecuadas para contribuir a mejorar la supervisión de todos los sistemas con el fin de detectar posibles indicios de ataques en curso.
- Combine datos en tiempo real y a largo plazo para definir cadenas de ataque completas.
- Solucione los incidentes antes de que el atacante bloquee los sistemas y sustraiga datos.
- Aprenda de los incidentes y refuerce de forma proactiva las defensas frente a patrones similares.
Debe ser capaz de llevar a cabo cada una de estas acciones casi en tiempo real para responder de manera eficaz a la rápida propagación de la mayoría de los ataques de ransomware actuales.
Paso 5: Reevalúe sus herramientas
Por último, analice detenidamente sus herramientas para dispositivos finales.
Sus herramientas son el motor fundamental de todas las capacidades que se analizan en este artículo.
Si presenta alguna carencia en alguna de estas competencias, lo más probable es que:
- No se ha implementado ninguna herramienta para ofrecer esa funcionalidad.
O bien
- Ha implementado una herramienta inadecuada para su entorno moderno.
Analice las herramientas que utiliza para garantizar la visibilidad, la higiene informática y la respuesta ante incidentes.
Elabore una lista de todas aquellas herramientas que no aportan ningún valor en su trabajo diario.
A continuación, para cada herramienta, hágase una última pregunta:
«Si estas herramientas no pueden aportar valor en circunstancias normales, ¿aportarán el valor que necesito en medio de un incidente de ransomware?»
Cualquier herramienta cuya respuesta sea «no» debe ser sustituida sin más.
Implemente las herramientas adecuadas para detener los ataques de ransomware
En el próximo —y último— artículo de esta serie, analizaremos las herramientas en profundidad.
Le explicaremos por qué las herramientas tradicionales suelen ser ineficaces a la hora de detener el ransomware y qué tipo de herramientas debe utilizar para defenderse de esta amenaza moderna de forma eficaz.
Si necesita ayuda inmediata y especializada para desarrollar sus medidas de protección contra el ransomware, visite , póngase en contacto hoy mismo a través de y para concertar una consulta gratuita y un análisis de deficiencias.
