Les rançongiciels sont une attaque complexe en plusieurs étapes.
Il n’existe pas de solution miracle qui défende les prestataires de soins de santé.
Au lieu de cela, ils doivent développer une suite complète de contrôles de sécurité contre cette menace.
Et ils doivent développer ces capacités rapidement.
Cet article montrera aux prestataires de soins de santé comment le faire.
Cet article de blog est la Partie 2 d’une série en trois parties sur la menace de ransomware contre les soins de santé.
Dans la Partie 1 de cette série, nous avons exploré :
- Pourquoi les criminels ciblent les prestataires de soins de santé avec des rançongiciels.
- Pourquoi l’approche actuelle de lutte contre les rançongiciels ne fonctionne pas.
- Pourquoi les prestataires de soins de santé doivent adopter une réponse proactive aux rançongiciels.
Dans cet article, nous explorerons :
- À quoi ressemble une attaque de ransomware typique et comment elle progresse.
- Les tactiques qu’un fournisseur doit mettre en œuvre pour résoudre les rançongiciels sans payer.
- Comment les fournisseurs peuvent construire une défense efficace contre les rançongiciels en cinq étapes.
Poursuivons notre conversation.
Comprendre les rançongiciels : regarder au-delà de la note de rançon
À première vue, une attaque par rançongiciel semble simple.
Un prestataire de soins de santé essaie de se connecter à son poste de travail.
Leurs systèmes sont verrouillés. Ils ne peuvent pas se connecter. Au lieu de cela, ils voient une notification.
La notification provient d’un pirate informatique. Le message informe le fournisseur qu’il peut restaurer ses systèmes et enregistrer ses données s’il paie une rançon à l’attaquant.
Le fournisseur paie la rançon ou tente de restaurer des services à partir d’une sauvegarde récente, ce qui présente des défis supplémentaires, par exemple, l’âge de la dernière sauvegarde ou de la récupération.
Cette forme d’attaque par rançongiciel est courante, mais l’approche peut évoluer car l’attaquant peut devoir effectuer un nombre important d’étapes alternatives pour atteindre son objectif final.
Dans certains cas, nous avons vu des attaquants étendre leur campagne d’attaque même après avoir reçu la rançon demandée.
Une image plus détaillée d’une attaque par ransomware ressemble à ceci.
Avant l’attaque « faible et lente »
L’attaquant développe les informations, le contrôle et l’exploitation dont il a besoin pour mettre le fournisseur dans une position difficile.
Pour ce faire, ils :
- Analysez le réseau du fournisseur pour détecter les vulnérabilités.
- Lancez des attaques standard, telles que des escroqueries par hameçonnage , ou exploitez des vulnérabilités connues, telles que des actifs non corrigés.
- Se déplacer latéralement dans leurs systèmes vulnérables.
- Développer une présence dans leur environnement.
- Recueillir des informations sur leurs systèmes critiques.
- Exfiltrez autant de données sensibles que possible.
- Développer la capacité à prendre le contrôle de leurs systèmes.
Pendant l’attaque
L’attaquant crée autant de problèmes que possible pour le fournisseur et envoie au fournisseur sa note de rançon.
Pour ce faire, ils :
- Verrouillez tous les systèmes critiques sur lesquels ils ont pris le contrôle.
- Menacer de déverser les données sensibles qu’ils ont volées.
Après l’attaque
L’attaquant peut lancer des attaques supplémentaires. Dans de nombreux cas, payer une rançon rend un pirate informatique plus susceptible de frapper à nouveau.
Pour ce faire, ils :
- Maintenez une présence cachée dans l’environnement.
- Exploitez d’autres vulnérabilités qu’ils ont trouvées sur le réseau.
- Exfiltrez plus de données.
- Finalement, verrouillez à nouveau les systèmes, menacez de vider les données et demandez une autre rançon.
En bref : lorsqu’un pirate informatique demande une rançon, il est souvent trop tard.
Ils ont déjà passé des jours, des semaines, voire des mois à se préparer à ce moment-là.
Et à ce moment-là, le prestataire de soins de santé doit faire face à une dure vérité.
Ils manquaient de visibilité pour obtenir des informations sur la manière de se défendre pendant la progression de l’attaque.
Ils n’ont probablement pas la visibilité ou les données exploitables pour évincer l’attaquant en toute confiance.
Et ils devront payer et espérer que l’attaquant ne frappe plus.
Voici comment les prestataires de soins de santé peuvent empêcher cela de se produire.
Se défendre contre les rançongiciels : il n’y a pas de solution miracle
Aucune tactique unique ne peut se défendre contre les rançongiciels.
Toute défense efficace doit être aussi complexe et en plusieurs étapes que l’attaque elle-même.
Les prestataires de soins de santé doivent établir et tirer parti d’un large éventail de contrôles offensants et défensifs à chaque étape de la campagne de l’attaquant.
Une posture de sécurité anti-rançongiciel efficace doit inclure les éléments suivants :
Avant l’attaque
Le fournisseur doit lever la barrière pour pénétrer dans son réseau et réduire les risques d’attaque opportuniste.
Pour ce faire, ils doivent :
- Établir une visibilité sur tous les endpoints, y compris leurs applications, et sur toutes les activités qu’ils exercent à tout moment.
- Supprimez toutes les vulnérabilités connues sur tous les actifs en les corrigeant, les mettant à jour et les configurant régulièrement.
- Recherchez de manière proactive les indicateurs de compromission des attaques en cours avant qu’elles ne se développent trop loin.
Pendant l’attaque
Ils doivent remédier à l’attaque et expulser l’attaquant suffisamment rapidement pour ne pas se sentir obligé de payer la rançon.
Pour ce faire, ils doivent :
- Étudiez l’attaque pour identifier sa cause profonde, sa propagation latérale et tout ce que l’attaquant a touché.
- Fermez toutes les vulnérabilités restantes dans l’environnement pour contenir la propagation supplémentaire de l’attaque.
- Corrigez l’attaque, expulsez l’attaquant et retrouvez le contrôle de leurs systèmes sans perte de données significative.
Après l’attaque
Ils doivent renforcer leur environnement et s’assurer que l’attaquant a vraiment disparu et ne peut plus jamais compromettre leur réseau.
Pour ce faire, ils doivent :
- Trouvez toutes les instances de chaque vulnérabilité exploitée par l’attaquant et fermez-les sur tous leurs actifs.
- Trouvez toute empreinte restante que l’attaquant pourrait encore avoir dans son environnement et expulsez-le complètement.
- Améliorez continuellement l’intégrité et la sécurité globales de leur environnement d’endpoints pour prévenir les nouvelles attaques.
En bref, les prestataires de soins de santé ont beaucoup de travail à faire pour se défendre contre les rançongiciels.
De nombreux prestataires de soins de santé ne peuvent pas effectuer au moins quelques-unes de ces tactiques.
Certains prestataires de soins de santé ne peuvent effectuer aucun d’entre eux.
Mais tous les prestataires de soins de santé doivent, au moins, prendre quelques instants pour s’assurer qu’ils disposent de toutes les capacités dont ils ont besoin pour se défendre contre les rançongiciels.
Voici comment les prestataires de soins de santé peuvent démarrer ce processus.
Que faire : cinq étapes pour construire une défense efficace contre les rançongiciels
Si vous suivez ces étapes, vous :
- Identifiez les lacunes dans vos capacités actuelles de défense contre les rançongiciels.
- Remplissez les lacunes les plus critiques que vous pourriez découvrir.
- Développez une stratégie de défense robuste contre les rançongiciels, même si vous ne partez de rien.
Commençons.
Première étape : évaluer vos défenses actuelles contre les rançongiciels
Tout d’abord, posez-vous quelques questions pour déterminer votre capacité actuelle à vous défendre contre les menaces de ransomware à chaque étape de leur attaque.
Demandez-vous :
- Avons-nous un catalogue précis de chaque actif dans notre environnement ?
- Pouvons-nous surveiller ces actifs et rechercher des IOC spécifiques sur ceux-ci ?
- Ces actifs sont-ils entièrement corrigés, mis à jour et configurés à tout moment ?
- À quelle vitesse pouvons-nous détecter un actif compromis ou une autre menace ?
- Pouvons-nous déterminer chaque actif et chaque donnée qu’un attaquant a touché ?
- À quelle vitesse pourrions-nous contenir et remédier à un incident ?
- Pouvons-nous expulser un pirate informatique avec 100 % de confiance qu’il a complètement disparu ?
- À quelle vitesse pourrions-nous renforcer notre environnement contre des attaques similaires ?
Enfin, posez-vous les questions suivantes :
- Pouvons-nous détecter et remédier à une attaque par ransomware avant qu’elle ne compromette notre capacité à fournir des soins aux patients, ou devrons-nous payer la rançon ?
Deuxième étape : développer une visibilité complète de vos actifs
En termes de priorité, vous devez d’abord combler les lacunes de visibilité que vous identifiez.
La visibilité fournit une base et un multiplicateur de force pour toutes les autres activités.
En pratique, vous devez développer la visibilité pour :
- Identifiez tous les endpoints de votre environnement et le logiciel qui y est installé.
- Identifiez le statut actuel des correctifs, des versions logicielles, des paramètres de configuration, des droits administratifs et des vulnérabilités connues sur chacun de ces actifs.
- Surveillez en permanence le comportement de ces actifs et de vos utilisateurs.
- Définissez le risque mesurable de chaque actif et cartographiez la trajectoire potentielle et l’impact si une attaque par ransomware réussie s’est produite.
Vous devez développer la capacité de le faire pour les actifs gérés et non gérés et tous les actifs, qu’ils vivent sur site ou à distance.
Troisième étape : renforcer votre hygiène informatique
Ensuite, vous devez vous concentrer sur l’amélioration de votre hygiène informatique.
La plupart des attaques par ransomware exploitent des vulnérabilités connues dans l’environnement.
Vous devez maintenir une bonne hygiène informatique et une barrière élevée à l’entrée.
En pratique, pour maintenir une bonne hygiène informatique, vous devez être en mesure de :
- Maintenez une conformité élevée des correctifs et appliquez rapidement de nouveaux correctifs à tous les actifs.
- Maintenez tous les logiciels et systèmes d’exploitation à jour avec les dernières versions.
- Appliquez la politique, les droits d’accès et les configurations sur tous les actifs.
- Maintenez la conformité à toutes vos exigences réglementaires.
Une organisation doit effectuer ces actions à distance, à grande échelle et dans un système de vérification en boucle fermée qui garantit que vos contrôles sont appliqués de manière appropriée.
Étape 4 : Établir vos capacités de réponse aux incidents
Ensuite, assurez-vous que vos mécanismes de visibilité et de contrôle s’étendent au-delà de la prévention.
Vous devez également être en mesure de les exploiter pour arrêter les attaques et expulser rapidement les attaquants.
En pratique, pour répondre à un incident de rançongiciel, vous devez être en mesure de :
- Mettre en œuvre des normes d’hygiène saines pour aider à améliorer la surveillance de tous les systèmes pour les indications potentielles d’attaques initiées.
- Combinez des données en temps réel et à long terme pour définir des chaînes d’attaque complètes.
- Corrigez les incidents avant que l’attaquant ne verrouille les systèmes et n’exfiltre les données.
- Apprenez des incidents et renforcez de manière proactive les défenses contre des modèles similaires.
Vous devez être en mesure d’effectuer chacune de ces actions en temps quasi réel pour répondre efficacement à la propagation rapide de la plupart des attaques de ransomware modernes.
Cinquième étape : réévaluer vos outils
Enfin, examinez attentivement vos outils d’endpoint.
Vos outils sont le moteur fondamental de chaque capacité abordée dans cet article.
Si vous avez un écart dans l’une de ces capacités, vous êtes très probablement :
- N’ont déployé aucun outil pour fournir cette capacité.
Ou
- Vous avez déployé le mauvais outil pour votre environnement moderne.
Examinez les outils que vous déployez pour offrir visibilité, hygiène informatique et réponse aux incidents.
Faites une liste de tous les outils qui n’offrent pas de valeur pendant votre travail quotidien.
Puis, pour chaque outil, posez-vous une dernière question :
« Si ces outils ne peuvent pas fournir de valeur dans des circonstances normales, fourniront-ils la valeur dont j’ai besoin au milieu d’un incident de rançongiciel ? »
Tout outil qui reçoit un « non » pour une réponse est prêt à être remplacé.
Déployez les bons outils pour arrêter les attaques par ransomware
Dans le prochain article, et dernier article, de cette série, nous discuterons en détail des outils.
Nous expliquerons pourquoi les outils existants ne parviennent généralement pas à arrêter les rançongiciels et quel type d’outils vous devez utiliser pour vous défendre efficacement contre cette menace moderne.
Si vous avez besoin d’une assistance immédiate et guidée pour développer vos défenses contre les rançongiciels, contactez-nous dès aujourd’hui et planifiez une consultation gratuite et une analyse des lacunes.
