Cyberataki na polskie szpitale. Są zalecenia dla ochrony zdrowia

W ostatnich miesiącach w Polsce doszło do wielu incydentów cyberbezpieczeństwa związanych z placówkami ochrony zdrowia. Na naszych łamach tylko w marcu informowaliśmy o kilku przypadkach tego rodzaju:

• na początku miesiąca doszło do ataku ransomware na szpital w Szczecinie;
• w połowie marca jeden z maili placówki w Krakowie został zhackowany;
• zaledwie kilka dni po krakowskim przypadku, przeprowadzono udany atak ransomware na Bonifraterskie Centrum Medyczne.

Odpowiedź na cyberataki na szpitale

Działania po tych zdarzeniach podjęły nie tylko służby i eksperci. W poniedziałek 23 marca Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa, którym jest wicepremier Krzysztof Gawkowski, wydał komunikat dotyczący zabezpieczeń w podmiotach krajowego systemu cyberbezpieczeństwa, z uwzględnieniem sektora ochrony zdrowia.

W dokumencie znalazły się dwie propozycje działań. Pierwszym jest dokonanie przeglądu zasobów teleinformatycznych przez podmioty pod kątem obecności hakerów w ich systemach. Do tego celu załączono wskaźniki kompromitacji (IoC), zawierające m.in. listę adresów IP połączeń do VPN-ów, z którymi mogą się łączyć aktorzy zagrożeń, a także SHA256 (hashe) malware’u oraz narzędzia wykorzystywane przez cyberprzestępców.

Monitoring, analiza logów i dyscyplina administratorska

Znacznie dłuższe są zalecenia, które umieszczono jako Załącznik nr 2 do komunikatu. Jak czytamy, oprócz aktualizacji systemów do najnowszej wersji, zabezpieczenia dostępu zdalnego pod kątem VPN, połączeń RDP czy wdrożenia uwierzytelniania wieloskładnikowego, poleca się m.in. przeprowadzenie audytu kont, analizy anomalii logowań czy monitorowanie ruchu sieciowego, zwłaszcza wychodzącego.

Istotnym punktem jest zalecenie dotyczące analizy logów bezpieczeństwa AV/EDR, określone jako krytyczne. Podkreślono, że powinny one być przeprowadzane codziennie pod kątem detekcji malware.

„Ignorowanie tych alertów jest najczęstszą przyczyną udanych ataków ransomware” – czytamy w załączniku.

Zaznaczono jednocześnie, że dostęp administracyjny do urządzeń powinien być realizowany z wydzielonej sieci zarządzającej. Z kolei same konta administratorskie nie powinny być wykorzystywane do logowania na stacjach roboczych.