Benešovská nemocnice byla napadena kryptovirem

Bezpečnost se v praxi odsouvá na vedlejší kolej. Nevím jak v benešovské nemocnici.

Vím ale, že když se zákazníkovi předloží bezpečnostní koncept, protočí se mu panenky z ceny, co bude představovat úprava všech "doposud dobře fungujících" systémů. Zákazníci žijí v přesvědčení, že když je patnáct let nepotkal průšvih, tak dalších patnáct let je zase nepotká - tak proč vytahovat bubáky.

Málokdo je ochotný si naprojektovat havarijní stavy, náklady s jejich řešením, sankce a reputační rizika. Přitom pojistku na auto nebo nemovitost považují za samozřejmou.

Do hry vstupuje také fenomén sociální lenosti: na to přeci máme dodavatele, který za to ručí. Dodavatel ručí za prd, maximálně dá slevu na svoje služby, ale škody nezahladí.

Bezpečnost něco stojí.
Co je v tomto oboru extrémně blbé je to, že se vždycky najde nový chytrolín, který to za levno zbastlí. Takže ti, kteří by o bezpečnost rádi pečovali, prohrávají "konkurenční" boj proti IT-čuňátkům.

Tak bezpečnost už z principu je o kompromisu mezi cenou a úrovní zabezpečení. Ale jsou věci, co nic prakticky nic nestojí a pořeší plno věcí:
1) Politika hesel - stojí jenom vypracování směrnice, 2h proškolení a sesbírání podpisů, že dotyčný porozuměl a zodpovídá za porušení. Řeší, že nikde na stroji nebude heslo "ABC123" a ztíží přístup. A pokud ne, je daný viník, na kterým se exemplárně zahojí pro inspiraci ostatním.
2) Uživatel nemá právo cokoliv instalovat. Náklady jsou max. 1 zaměstnanec, co to bude instalovat, snižuje riziko zavirování.
3) Rozdělení sítě na segmenty. Náklady - nakonfigorování souteru a switche ( třeba řada ZyXEL 1900 není výrazně dražší, než nemanagovaný switch a pro pár ordinací na chodbě je to OK ). Přinese to, že se třeba účetní nedostane ke kartě pacienta, rentgenolog do daňovýho přiznání očaře a soukromníkovi se nikdo nehrabe v komplu v jeho věcech.
4) Zařízení bez záplatovanýho OS a možnosti upgrade (RTG, CT,...) ve vlastní síti za nějakou proxinou a bez přístupu ven. Náklady - jeden starší stroj, pár hodin IT oddělení na konfiguraci + starý PC se dvěma síťovkama. V provnání s cenou CT, FMR, ... je to nic. Řeší stav, kdy například díky ransomware stroj týden stojí, pojišťovny neproplácí výkony na něm a čeká na placený servis v ceně 10 těchhle proxyn.
5) Nesdílet data na úrovni sdílení file systému, ale např. pomocí DB + klientské aplikace. Náklady - server v DMZ + aplikace (ta může klidně i reportovat na pojišťovnu atd. - náklady se dají napsat na něco jinýho). Řeší, že PC z chirdy nezaviruje radiologii a je evidence, kdo se kdy dostal ke kartě pacienta (legislativní požadavky na ochranu osobních údajů, centrální zálohování,...). Jenom to zadat do výběrovky při budování infrastruktury.

Atd.

ad 1) odpovědnost za porušení: zaměstnance postihnete do dvojnásobku průměrné mzdy - to nenahradí škody; zaměstnanec se odvolá k soudu a s velkou šancí to vyhraje
ad 2) spousta aplikací takto neumí funovat a nikdo nemá koule říct, že taková aplikace do sítě nesmí
ad 3) jestli je pro Vás ZyXEL řešením bezpečnosti, tak potěš koště
ad 4) utopie - pracujete s tím, co vedení nakoupí
ad 5) kdo zabezpečí aplikaci? kdo ověří její bezpečnost teď a v budoucnu?

Aby byla politika hesel k něčemu, musí být za prvé rozumná – pokud ji bude navrhovat někdo za nejnižší cenu, určitě se tam objeví skvosty jako pravidelná změna hesel. A za druhé musí být implementovaná v celém IT, všude musí fungovat SSO. Bez toho je politika hesel jen cár papíru a zahojíte se maximálně na někom, kdo nebude vědět, že se může bránit.

Bohužel se ale bavíme o českém zdravotnictví, které celé jede v režimu „hlavně, aby to teď vypadalo co nejlevněji“. Všichni vědí, jak jsou ve zdravotnictví neustále porušovány normy o bezpečnosti práce – IT bezpečnost je jenom jiný důsledek téhož problému. Vlastně je s podivem, že se těch průšvihů reálně děje tak málo.

Hned prvni bod politika hesel je neco cemu ja rikam profesionalni arogance.
My sice vime ze je to pitomost protoze to v realu nema sanci skoro nikdo dodrzovat ale budeme delat ze to tak ma byt abychom meli priste vymluvu.

Zpráva v mainstreamovém tisku je značně zjednodušená a ono to asi jen o kryptoviru nebude.

Formulace jako ...virus překonal firewall a dva různé antiviry... to mě hodně zamrazí.

Což může v praxi znamenat: jeden firewall na hraničním routeru (packet filter), druhý firewall formou proxy pro HTTP přístupy. Dva antiviry mohou znamenat: na polovině ESET, na polovině Avast, oba bez centrální správy. Taková informace většinou vzniká tím, že se položí dotaz adminovi, který v tom dotazu cítí svoji odpovědnost a proto dá kulantní až spektakulární odpověď. Takové situace by měl zhodnotit nezávislý bezpečnostní pracovní, který nemám nejmenší motivaci ji zahlazovat, ale naopak nezávisle zhodnotit slabá místa.

11. 12. 2019, 11:29 editováno autorem komentáře

Já v tom čtu, že měli celý špitál v jednom segmentu sítě a na Widlích. Bez jakýhokoliv zabezpečení. Pak stačí, když pacoš přinese flash disk s obrázkama z CT z jinýho špitálu, kde je i nějaká potvora, kterou si MUDr stáhne, a je vymalováno.

To o hackerovi a překonání firewallu je jenom pohádka, aby nemuseli přiznat, že to zvorali oni a zdálo se, že za to může někdo zvenčí...

Přitom by stačilo, kdyby měli několik oddělených LAN + sdílení přes server v DMZ na jiné platformě a sestřelí to maximálně jedno oddělení. A kolik by to dalo práce? Kolik miliard by to stálo, když jenom doma používám tři LAN? Fakt je při těchhle nákladech nutný, aby problém jednoho stroje sestřelil celou firmu?

Přesně takto fungují admini, kteří si koledují o podobný průšvih.
Jedním jediným opatřením bezpečnost nevyřešíte, maximálně vyřešíte jeden druh rizik.

Ale začněme:
1. musí mít uživatel oprávnění místního správce (na svůj počítač)?
2. musí mít možnost spouště něco víc, než podepsané programy?
3. musí mít ze svého počítače neomezené prostupy ven?

Na všechny tři otázky by ve specializovaném prostředí měla být odpověď NE.

Bohužel v praxi zjistíte, že kdejaký přístroj má specifické požadavky na NEzabezepečení a musel byste vyměňovat staré, funkční přístroje za novější, plnící stejný úkol.

Dále zjistíte, že polovina informačních systémů potřebuje prostupy na licenční servery, na sdílená úložiště, do neomezeného internetu (cloudové služby, aktualizace, ...) atd.

Ve výběrových řízeních na dodavatele techniky IT oddělení selhávají. Nejsou schopni popsat podmínky běhu - např. požadavek na běh bez pověření správce, požadavek na izolaci od síťových služeb, ... A když už se to koupí, tak se po IT oddělení chce aby to "JEN" zprovoznili.

I když vypíšete výběr správně, do pěti let už máte IT požadavky jinde - a těžko prosadíte obměnu starých, funkčních přístrojů.

Takže děláte kompromisy a kompromisy - protože Vás nic nenutí je nedělat. Odpovědnost z Vašeho pohledu nese vedení, které to dalo jako pokyn i přes Vaše varování. Vedení má zase doporučení od dodavatele, který tvrdí, že má bezpečnost navrženou jinak.

Pak nastupuje řešení compliance - zkombinovat různé křížící se požadavky. Máte na to čas a rozpočet? Chcete budget na bezpečnostní audit? Ten možná ještě vyškemráte. Chcete budget na řešení hrozeb? Ten už zřídka kdy dostanete.

Často jsou v ambulancích lékaři na vlastní účet. Mají vlastní vybavení, ale potřebují přístupy k centrálním službám (evidenci). Tam jste ještě víc v háji, protože byste přikazoval soukromníkům, co smějí a co nesmějí dělat na počítači, který si zaplatili.

Vymyslíte bezpečné řešení. Zkombinujete externím lékařům přístup přes VPN, na switchích nastavíte MAC zámky, zakážete komunikaci mezi porty a rozchodíte 802.1X. Co to přinese? Z pohledu managementu jen problémy, protože při každé výměně HW bude potřeba zásah IT oddělení a provoz stojí. IT oddělení bude potřebovat víc pracovníků a kvalifikovaných v technologiích, které neumí zdaleka každý => náklady navíc.

Postavíte se k tomu statečně: řeknete vedení že buďto to bude bezpečně, nebo končíte. Kolik lidí to udělá, třeba s dětmi a hypotékou na krku? A když to někdo udělá, jak to dopadne? Prostě odejde a najde se nový, přizpůsobivější zaměstnanec, často díky tomu, že nevidí do hloubky.

Jasně, soukromník je v nájmu, využívá vlastní techniku a nikdo mu do toho nemá co kecat. Takže může mít RTG v místnosti, která má zdi do vedlejší ordinace z papundeklu. Tři přístroje s odběrem 20MW tam, kde je 1000VA trafo. Nebo mašinu o váze 35t v pátým patře, tavící pec na hliníkový odlitky v dřevěné boudě atd.

Pokud jsem někde v nájmu a používám infrastrukturu pronajímatele, mám někde (ve smlouvě nebo v dodatku) nějakou specifikaci. Pokud ji poruším, mám smůlu a pořízení vybavení tomu musím přizpůsobit... Platí to pro právníka, doktora i automechanika.

Jenže na ten rentgen existují závazné normy, na záření a ochranu proti němu.
Na IT žádné závazné normy neexistují, je to pouze na smluvní volnosti - a o smlouvě rozhodují manažeři.

zpráva

„...Nelze spustit žádný přístroj...“
„...V ordinacích podle něj nelze provést vyšetření...“

Tak s takovým zdravotnictvím, kdy se nejcitlivější osobní údaje povalují v nezabezpečených sítích a bez jedoucích počítačů nelze provést ani vyšetření v ordinaci, jděte do ...

Toto nemá řešení v oblasti s obrovskou regulací (a ta je na místě - proti té nebrojím).

V komerční sféře by od takového poskytovatele utekli zákazníci. Nemocnici pacienti neutečou a pojišťovna za neposkytování péče nezkrouhne peníze - a to by přitom byl jediný smysluplný tlak na zdravotnická zařízení, aby investovaly do bezpečnosti. Prevence je nutná.

Když už ale prevence selže a k mimořádné události dojde, pak opravdu není jiná možnost, než nejdřív zjistit rozsah škod, sanovat je, a teprve pak se vrátit do řádného provozu.

Obávám se, že jediným výsledkem bývá jen to, že se koupí nová zázračná firewallovací škatule a koupí se nový antivir. Koncepční rizika se většinou ani po průšvihu neřeší.

Hrůza mě jímá vždycky, když si vzpomenu, jak si mezi sebou okresní nemocnice s poliklinikou posílá zdravotní dokumentaci a rentgeny sofistikovanou aplikací napsanou na míru externí firmou. Aplikace je klient-server na FTP. Upozorňoval jsem na to jak správce v nemocnici, tak správce polikliniky a je jim to úplně u prdele...

Jediné řešení by bylo zákonem stanovit povinnou odpovědnost konkrétních odborníků. Lékař, když ublíží pacientovi, tak může být odpovědný za náhradu škody a k tomu jde před trestní soud. Admin, když nekvalifikovaným postupem ublíží lidem, se maximálně soudí o náhradu škody, ale trest nehrozí. Náhradu škody limituje forma společností s ručením omezeným.

Nespadají nemocnice náhodou do kritické infrastruktury státu? Podle mého mohou dostat za případná pochybení pokuty od NBÚ.

Myslím, že zatím nikdo opravdu vážně nevnímá digitální ohrožení. Pro každého je představitelné fyzické poškození nemocnice, každý si umí představit pomatence s pistolí v čekárně. Důsledky jsou zjevné a vidí je i laik (a politici a manažeři jsou v tomto oboru laici). Na tyto situace umíme reagovat a umíme si i srovnat "v hlavách", že se nelze bránit se 100% účinností (kulometná hnízda u nemocnic, bezpečnostní rámy u vstupu, ...).

U nul a jedniček si umíme představit, že uniknou data - a přiznejme si, že všichni starou bačkoru dbají o to, aby se chránila data Pepy Vyskočila z Horní dolní - o tom nevyjde v novinách ani řádek. Když potřeboval prezident rekondičně pobýt v nemocnici, nemocnice si byla rizik vědoma a kartu mu vedli pouze papírově - a pozastavil se někdo nad tím, že přístup k osobním informacím zjevně není dostatečně chráněn a přístupy auditovány? Nikdo, maximálně se všichni smáli tomu, že ÚVN rekondiční pobyty na uvolněném patře poskytuje. Jiný prezident raději jezdil za léčbou do zahraničí, kde jeho pobyt nevyvolal takový poprask a značně se tím snížila motivace zaměstnance pikanterii vynést na veřejnost.

I kdyby nemocnice dostala flastr od NBÚ. Zaplatí ho, ale peníze budou chybět jinde - ty doplní zřizovatel (obec, kraj), které jsou závislé na rozpočtovém určení daní. Obec a kraj to možná zaplatí, ale další rok budou chybět zase tam. V extrémním případě se nemocnice "položí" - což v praxi znamená, že právní subjekt půjde do úpadku. Budovy a majetek se vykoupí do nového subjektu, který na činnost naváže. A za čí peníze se majetek vykoupí? Opět za obecní či krajské peníze. Pokud ho nikdo nevykoupí, zruší se zdravotnické zařízení úplně; škodu odnesou věřitělé (dodavatelé služeb a materiálu). Obec přijde o nemocnici, kterou v dalších volbách někdo znovu zřídí.

...prostě v takovém oboru to vždy odnese nepřímo daňový poplatník. Proto je jediným možným řešením nastavit a průběžně aktualizovat normy - např. skrz profesní komoru, tak jako to mají lékaři, advokáti, notáři a další (normy nemůže vytvářet zákonodárce, hlavně kvůli nepružnosti). Admin pak má být přímo osobně odpovědný, že dodržuje minimální stavovská pravidla. Musí skončit mnohostranné výmluvy. Zadavatel si přeci najal odborníka, tak nenese odpovědnost. Dodavatel dal řešení odsouhlasit zadavateli, a ten chtěl levné řešení - tak přece taky nenese odpovědnost, že? Nový ředitel nemocnici převzal po předchozím neschopném vedení, tak ani on nenese odpovědnost.

Není důvod vymýšlet takové hovadiny.
To se dá klidně řešit právě na úrovní nařízení NBÚ. Pro daná strategická zařízení (v tomto případě nemocnice) musí být takové a takové řešení. Dodavatel, které se do takové zakázky přihlásí, musí poskytnout řešení v rámci těchto nařízení a s tím, že klidně může být následně i auditováno. Pokud vedení bude tlačit na IT k obcházení některých bezpečnostních pravidel, bude to kladivo i na toto.

S požadavky na bezpečnost zdrav. zařízení souhlasím, ale nemíchejte do toho pořád adminy, je to požadavek na nemocnici a její systém IT, ne na admina! Je úplně u ( ! ), zda dané požadavky splní admin, uklízečka nebo topič. To je problém nemocnice, a odpovědnost pověřené osoby je jejím vnitřním problémem.

Pod kritickou infrastrukturu spadají nemocnice s více než 2500 lůžky (viz nařízení vlády č. 432/2010 Sb.). Benešov nemá ani 500.

Buďme realisti, zdravotnícke zariadenia sú ľahkým cieľom. Kvantum rôzne nekompatibilnej techniky. Občas prehistorické verzie OS. Samozrejme vždy sa dá povedať... keby ste mali to a to tak by sa to nestalo. Fakt nezávidím správcom. O koľkých reálnych systémoch ktoré sme v živote videli bližšie by sa dalo povedať že ,,tu neviem o žiadnej diere''. Tu aspoň nikto neprišiel o život. U nás v krajskom meste s najväčšou vrtuľníkovou základňou uhoreli ľudia lebo ich celé desiatky minút nemal kto dostať dole. A na začiatku stačili traja flákači.

Tak náklady... Pokud jednou za čas udělají odstávku na zálohy (v NTFS to jinak nejde), co jim brání po jednom házet během čekání na konec záloh jednotlivý oddělení do izolace na extra VLAN? Materiál 0 a chlap u toho stejně sedí, srká kafe a čumí na progress bar nebo na redtube. A podobně, malý kroky, postupně a zvládne se to. Řím taky nepostavili za den. Jenom na to nekašlat.

Ale houbelec. NTFS lze zálohovat bez výpadku (Shadow Volume Copy), lze zálohovat na úrovni VPS (s využitím funkce Quiesce).

U ransomwaru je nebezpečné to, že si dlouho nemusíte všimnout nákazy, takže už všechny zálohy můžete mít poškozené. Mnoho adminů má zálohy jen online a nemají nastavenou retenci dat. I kdyby měli, tak pro nemocnici je dost průšvih vrátit se byť i o dva dny nazpět.

VLAN nic neřeší to je překážka tak pro dítě co si zrovna nainstalovalo kali linux a ukazuje kamarádům jaký je borec.

Tak to by mě zajímalo, co tím myslíte.

Přesně, opravdoví hrdinové mají síť v jenom segmentu, VLANy jsou pro posery...

je jedno, akym vektorom sa to dnu dostalo. hovori to o tom, ze v CR a aj SR su nemocnice podvyzivene. a to je dovod, preco veci koncia tak, ako v Benesove.

To iste sa deje v USA, Kanade.

Peněz není nikdy přebytek. Bezpečnost má tu nevýhodu, že není viditelná.
Ředitel raději udělá nový vstup a recepci v nemocnici, než aby ty samé peníze vložil do toho, co pacient nevidí (a považuje za samozřejmé).

Ale *****, již tu padlo, že některá opatření jsou zadarmo. Příčinou je především mentální postoj lékařů (z řízení i výkonu), že nemocnice by měly léčit a ne se starat o podpůrné záležitosti.

Či nakoniec na tom stará nepružná, ale decentralizovaná papierová evidencia nebude predsa len lepšie?

Minimálne, čo sa týka chápania možných rizík. Že človek nemá papier stratiť a že skriňu treba zamykať, to pochopí aj mierne mentálne retardovaný. A keď vyhorí ambulancia, stratí sa len časť dát (a ich veľká časť je duplicitná, aj v "karte" u všeobecného lekára, aj u špecialistu).

Těch výhod je pochopitelně více: Např. papír nepotřebuje elektřinu, funguje vždy. Jeho nevýhoda obtížné distribuce je zároveň mechanismem pro obtížné odcizení. Snadno se dlouhodobě zálohuje. Nepodléhá vývoji technologií. Atd.
Prostě mnoho lidí vidí jen ty nevýhody papíru a výhody počítačů, ale výhody papíru a nevýhody počítačů je schopno viděl velmi málo lidí.

Pořád nevěřím tomu, že se Microsoftu opravdu podařilo lidi zblbnout natolik, že si myslím, že antivir má být běžnou součástí pracovního počítače. Kdyby měl uživatel právo spouštět (a třeba i instalovat) software jen z povolených repozitářů, žádný antivir na stanici nepotřebuje, protože software bude zkontrolovaný už v tom repozitáři.

Tohle ale podle mě nebyl ten případ. Jednak se mi moc nezdá, že by na takovou věc někdo použil 0day, ale samozřejmě nevíme, jak přesně k napadení došlo. Ale především, i kdybys přes díru ve VLC napadl účet jednoho uživatele (bavíme se o doktorech na noční, ne o adminech, že?), tak to nesmí mít takovýto dopad na celou síť -- maximální dopad může být rozbití toho jednoho počítače (což se opraví za pět minut přehráním nového systému z image) a zašifrování/smazání dat na síťovém disku, ke kterým má daný uživatel přístup pro zápis (což se opraví za dalších pět minut obnovením poslední zálohy, a nejhorší dopad je, že se přijde o několik hodin práce (čas od poslední pravidelné zálohy), nikoli znefunkčnění celé nemocnice)

Jenže těch několik hodin práce je třeba 15 pacientů. Ano, většinou se ty zprávy i tisknou, ale není to pravidlem.

„o noční si nesou na flash film a jedou“
Na to má být extra koukadlo, buďto erární, nebo nejlépe vlastní, pro případ připojení výhradně oddělená wifi.

Ted uz to urcite budou mit.

Zdaleka nemusí. Na Windows lze spouštět aplikace podepsané důvěryhodnými vydavateli. Jenže v praxi to není dosažitelné. Repozitář musí někdo spravovat a zadarmo to dělat nebude. Do repozitáře komerční platformy se jako vendor taky nedostanete zadarmo. A i do repozitářů se malware dostává, těch případů už bylo víc.

Proto je zcela na místě kombinovat více různých metod ochrany. Jednou z nich je kontrola proti hrozbám (tradičně nazývaná antivir). Firewall je ten samý případ - i Linux se v důsledku chyb dal několikrát vzdáleně minimálně shodit a v některých případech se tomu dalo zabránit firewallem.

V ideálním světě by se dalo bez antivirů i firewallů fungovat, svět ale ideální není.

Chocolatey
https://chocolatey.org/

Pokud nám jde o prevenci, ano měl by být jak antivirus, tak firewall. Tady se nebavíme o sofistikovaných útocích, ale o tom, že Franta z Horní Dolní donese doktorovi flashku, kde je rentgen který mu dali v nemocnici vedle. Protože byl zvědavý, doma strčil flashku do jeho Windows XP, kde se na ni přidalo pár dárečků, a ty odchytí právě antivir.

Máš nějak podložené, jak často se 0daye šíří takovýmto způsobem, a jaká je úspěšnost jejich heuristické detekce běžnými antiviry? (ano, mluvím o 0dayích, protože pokud je ten útok už známý, vyšla na něj záplata)

11. 12. 2019, 22:10 editováno autorem komentáře

0day jsou problém a na ně funguje v podstatě jen kladení bariér formou kombinace ochran. 0day většinou vede vektor útoku přes nově objevenou chybu plus přes kombinaci s některou starší. Když do cesty postavíte firewall, antivirus, podnikovou proxy, odeberete uživateli možnosti správy počítače, případně omezíte i vyměnitelná média, velkou část 0day eliminujete. Jde jen o to se dožít dne 1, pak už riziko klesá.

Může to souviset s tou střelbou včera?

ne, nema

Co je to zas za blábol?

Zatím existuje podezření, že tmavý muž v červené bundě ještě před střelbou pustil do celosvětové počítačové červa. Policie prošetřuje.

To je ten, co s tím neměl nic společného? Fotka skutečného útočníka na místě existuje? Uvidíme, co ještě vyplave na povrch.

Neblábol.

co to je? novinky ze sputniku?

z idnesu

Zašifrování je nuda a navíc si toho okamžitě všimnou, takže to hned skončí. Mnohem zábavnější je občas nějaký záznam změnit. Občas se sejdeme s kamarády mediky, vylosujeme náhodnou dokumentaci, a pak ve stylu hry "Cards against humanity" vymýšlíme, jak ji upravit.