Co się wydarzyło?
Na konferencji jubileuszowej dyrektorów IT szpitali w Berlinie prof. Sebastian Schinzel i Nico Brüggemann z Instytutu Bezpiecznej Technologii Informacyjnej Fraunhofera (SIT) zaprezentowali symulację kryzysową dotyczącą cyberataku na fikcyjny, typowy dla Niemiec szpital. W ramach seminarium 23 uczestników wcieliło się w 12 ról – od działu IT i zarządu, przez kierownictwo medyczne i personel pielęgniarski, po dział bezpieczeństwa informacji i sztab kryzysowy. Celem było sprawdzenie, czy placówka zachowuje zdolność do działania, gdy infrastruktura IT ulega całkowitej awarii.
Symulowano przy tym nie samą technikę, lecz reakcję organizacyjną – z realistycznymi wyciągami z firewalla, odpowiednimi nazwami, domenami i sieciami, a także tzw. injectami, czyli wprowadzanymi na bieżąco zdarzeniami, takimi jak zapytania prasowe czy awarie systemów.
Szczegóły
Symulowany atak zaczyna się niepozornie: za pomocą klasycznego wywiadu OSINT (Open Source Intelligence) atakujący zbiera za pośrednictwem strony internetowej szpitala adresy e-mail, nazwiska, funkcje oraz informacje o systemach zewnętrznych. Na tej podstawie tworzona jest precyzyjnie dopasowana wiadomość phishingowa. W scenariuszu daje się na nią nabrać pracownik lub pracownica IT z uprawnieniami administracyjnymi. Atakujący wykorzystuje następnie dostęp VPN, skanuje sieć, znajduje serwer Exchange i wykrada stamtąd dane dostępowe. Od tego momentu, jak wyjaśnia Brüggemann, w zasadzie cała usługa Active Directory uznawana jest za skompromitowaną.
Następuje eskalacja: podejrzane logi, wyciek danych, awarie systemów, takich jak szpitalny system informacyjny, systemy radiologiczne i laboratoryjne – a na końcu list z żądaniem okupu.
W ćwiczeniu łańcuch eskalacji – od administratora, przez kierownictwo IT i pełnomocnika ds. bezpieczeństwa informacji (ISB), aż po zarząd – zadziałał dobrze, podobnie jak jasne decyzje zasadnicze, takie jak niepłacenie okupu i odłączenie placówki od internetu. Trudniejsza okazała się droga powrotna: sztab kryzysowy stał się ulicą jednokierunkową, informacje do niego napływały, lecz rzadko wracały. Pracownicy IT częściowo siedzieli w sąsiednim pomieszczeniu, nie znając podjętych decyzji.
Jednym z kluczowych wniosków była kwestia dokumentacji: podczas ćwiczenia ktoś zapytał o działanie, które zostało już dawno uzgodnione – tylko nikt go nie zapisał. Problematyczna okazała się też odruchowa reakcja natychmiastowego wyłączenia wszystkiego: niekontrolowane zamknięcie systemów niszczy ślady kryminalistyczne, a ponadto często nie wiadomo, które systemy są akurat pilnie potrzebne, na przykład podczas operacji. Lepszym rozwiązaniem jest zazwyczaj celowe odizolowanie sieci.
Gdy IT przestaje działać, zanikają też niewidoczne procesy: przyjęcia pacjentów, wyniki badań, archiwum obrazów, podawanie leków, grafik dyżurów, zaopatrzenie w posiłki. W ćwiczeniu chodziło więc także o organizację posłańców, zmiany dyżurów oraz pragmatyczne rozwiązania, takie jak wypłata wynagrodzeń w wysokości z poprzedniego miesiąca, ponieważ nowe obliczenie nie było możliwe.
Ocena
Schinzel, który od ponad 20 lat działa w branży bezpieczeństwa IT i wcześniej sam pracował jako pentester, podkreślił: „Nigdy wcześniej nie widziałem takiej dynamiki”. Zwrócił uwagę na możliwe przyszłe zagrożenie ze strony złośliwego oprogramowania korzystającego z modelu LLM i samodzielnie się adaptującego – wtedy klasyczny środek zaradczy, czyli odcięcie połączenia internetowego, mógłby już nie zadziałać, na przykład gdy atakujący znajdą wewnątrz sieci kartę graficzną (GPU), na której mogą uruchomić mały model.
Własne doświadczenie Schinzel wyniósł z ataku ransomware na FH Münster w 2022 roku. Od innych dotkniętych uczelni słyszał, jak kryzysy mogą wymknąć się spod kontroli: zawieszeni dyrektorzy IT, działy, które przestają ze sobą rozmawiać właśnie wtedy, gdy komunikacja jest kluczowa dla przetrwania.
Szczególnie pouczający jest wniosek dotyczący czasu przywracania systemów: zespoły często szacują powrót do normalnego funkcjonowania na dni, podczas gdy realistycznie trwa to tygodnie, a nawet miesiące. Przypadek z okolic Frankfurtu, znany Brüggemannowi, wymagał około roku, by przywrócić pierwotny stan – a przecież nie doszło nawet do zaszyfrowania danych, lecz jedynie do kompromitacji Active Directory. Kopie zapasowe pozostają niezbędne, ale nie rozwiązują problemu skompromitowanej infrastruktury.
Wskazówki praktyczne
- Zorganizować sztab kryzysowy jako komunikację dwukierunkową: potrzebni są ludzie, którzy stale przemieszczają się między pomieszczeniami i informują wszystkich zaangażowanych o aktualnym stanie.
- Zdefiniować stałe role dla protokołu i obrazu sytuacji: kto dokumentuje decyzje, kto prowadzi listę działań, kto informuje wewnątrz i na zewnątrz?
- Przypisywać role do funkcji z zastępstwem, a nie do konkretnych nazwisk, ponieważ osoby mogą być niedostępne.
- Nie wyłączać wszystkiego odruchowo – zamiast tego rozważyć celowe odizolowanie sieci i zachować ślady kryminalistyczne.
- Przygotować analogowe procesy awaryjne dla przyjęć, podawania leków, grafiku dyżurów i zaopatrzenia w posiłki na wypadek awarii poczty, komunikatorów i telefonii.
- Planować realistyczne horyzonty czasowe przywracania systemów – tygodnie do miesięcy, a nie tylko dni.
Perspektywy
Symulacje mają charakter naukowy: analizowane są przebiegi i decyzje, a uczestniczące placówki otrzymują raport końcowy. Fraunhofer SIT poszukuje obecnie kolejnych szpitali jako uczestników badania. Scenariusze są wcześniej dostosowywane za pomocą kwestionariusza do danego środowiska IT, pozostając jednocześnie porównywalne między sobą. Brüggemann podkreślił w rozmowie z heise online, że dopiero większa liczba ćwiczeń pozwoli uzyskać wiarygodne dane. Informacje zwrotne od uczestników bezpośrednio wpływają na dalszy rozwój symulacji i procesów awaryjnych.
Dla branży IT szpitalnej ćwiczenie to dostarcza ważnych impulsów: bezpieczeństwa informacji nie da się po prostu zdelegować do działu IT – dotyczy ono całej organizacji, od personelu pielęgniarskiego po zarząd. Zwłaszcza w przypadku grup szpitali obejmujących kilka lokalizacji sytuacja w razie rzeczywistego ataku szybko staje się złożona, jak podsumowała jedna z uczestniczek ćwiczenia.
