Ransomware i reagowanie na incydenty

Zagrożenie, które zatrzymuje szpitale

Ransomware szyfruje dane i systemy, a atakujący żądają okupu za ich odblokowanie. Szpitale należą do najczęściej atakowanych miejsc. Z raportu ENISA o sektorze ochrony zdrowia w Unii Europejskiej (2023), obejmującego 215 incydentów, wynika, że ransomware stanowił 54% z nich, a szpitale były celem w 42% przypadków. Powód jest prosty: bez systemu szpitalnego placówka nie może pracować normalnie, a czas działa na niekorzyść pacjentów.

Jak zwykle wygląda atak

• Phishing — e-mail z załącznikiem lub linkiem, który ktoś otwiera w pośpiechu.
• Niezałatane systemy — znane luki, które producent już naprawił, a placówka jeszcze nie zainstalowała poprawek.
• Zdalny dostęp bez dodatkowego zabezpieczenia — konto serwisu lub pracownika, do którego wystarczy hasło.
• Płaska sieć — po przejęciu jednego komputera atakujący przechodzi do serwerów medycznych bez przeszkód.

Obrona warstwowa

Żadne jedno zabezpieczenie nie wystarcza. Skuteczna ochrona to kilka warstw, z których każda utrudnia atak lub ogranicza jego skutki:

• segmentacja sieci: ransomware z komputera w administracji nie dociera do serwerów medycznych,
• regularne aktualizacje systemów i aplikacji, z planem dla aparatury, której nie da się aktualizować,
• uwierzytelnianie wieloskładnikowe dla zdalnego dostępu i kont administracyjnych,
• ochrona stacji roboczych i serwerów narzędziami klasy EDR lub XDR,
• kopie zapasowe offline lub niezmienialne, niedostępne z zaatakowanej sieci (szczegóły),
• ograniczenie uprawnień: nikt nie pracuje codziennie na koncie administratora.

Pierwsze godziny po wykryciu ataku

1. Odizoluj zainfekowane urządzenia od sieci, najlepiej odłączając kabel lub wyłączając WiFi. Nie kasuj plików i nie formatuj dysków.
2. Powiadom osoby z planu reagowania: kierownictwo, IT, inspektora ochrony danych.
3. Włącz procedurę pracy bez systemów na oddziałach, na które atak wpłynął.
4. Zabezpiecz dowody: logi, zrzuty ekranu, nośniki. Będą potrzebne do analizy i zgłoszeń.
5. Zgłoś incydent — do CSIRT, jeśli placówka podlega KSC, i do Prezesa UODO w ciągu 72 godzin, jeśli doszło do naruszenia ochrony danych osobowych (art. 33 RODO).
6. Odtwarzaj w ustalonej kolejności, z czystych kopii, po upewnieniu się, że atakujący nie ma już dostępu do sieci.

Płacenie okupu nie daje gwarancji odzyskania danych. Zanim ktokolwiek je rozważy, decyzję trzeba omówić z kierownictwem, prawnikiem i odpowiednimi organami.

Plan reagowania na incydenty

Dobry plan mieści się na kilku stronach i odpowiada na pytania, które w chwili ataku nikt nie ma czasu rozstrzygać: kto decyduje, kto dzwoni, kto odłącza, kto odtwarza, kto rozmawia z mediami i pacjentami. Pomagamy taki plan napisać, wdrożyć i przećwiczyć w ćwiczeniu, w którym uczestniczą nie tylko informatycy, ale też oddziały i dyrekcja. Powiązane wymagania opisaliśmy na stronie NIS2 i KSC w ochronie zdrowia.