Die Renaissance der Logs

Wer schodashboardn etwas länger dabei ist, mag sich an die 90er erinnern. Wenn man seinerzeit das Logging einschaltete, waren die Platten in Kürze gefüllt, mit der Folge, dass man es umgehend wieder ausschaltete 😉

Zehn Jahre später, in 00ern, war der Speicherplatz vorhanden, doch brauchbare Tools zur Auswertung fehlten gänzlich. Wer wollte schon Millionen von Events „zu Fuß“ auswerten?

Nochmal zehn Jahre später sind die Auswertetools wie ElasticSearch oder Splunk endgültig in der Breite verfügbar, Big Data sei Dank!

Folglich können die lange gehegten Wünsche eines Leiters IT-Sicherheit heute in Erfüllung gehen, als da sind:

Continue reading

„Opinion Audit“ – Ihr nächster Schritt zur zertifizierbaren IT-Sicherheit im Krankenhaus

siegel

In der Presse hat sich der Wirbel rund um die zahlreichen gezielten Angriffe auf deutsche Krankenhäuser der vergangenen Monate gelegt. Auch um das IT-Sicherheitsgesetz ist es still geworden.

Etwas Aufregung. Ein paar installierte Virenscanner und Firewalls. Ist das nötigste für den Erhalt eines ausreichend hohen IT-Sicherheitsniveaus somit getan und erreicht?

Mitnichten. Doch wie sieht der nächste Schritt in Richtung IT-Sicherheit und Konformität zum IT-Sicherheitsgesetz aus?

Continue reading

Die Ruhe nach dem Sturm

Die Ruhe nach dem Sturm <1mbNachdem einer breiteren Öffentlichkeit Anfang des Jahres die IT-Sicherheitsprobleme deutscher Krankenhäuser vor Augen geführt wurden, ist inzwischen eine (trügerische) Ruhe eingekehrt, die in solchen Fällen  leider typisch ist. Tatsächlich haben die Täter nach (inoffiziellen) Angaben des BSI allein in den USA $200.000.000 eingenommen. Es braucht keine hellseherischen Fähigkeiten, um vorauszusagen, dass ein Teil davon in die weitere Professionalisierung der Tools und das Beseitigen von Kinderkrankheiten „investiert“ wird.

So sollte man sich bei der Planung der Schutzmassnahmen besser nicht darauf verlassen, dass der Trojaner beispielsweise die Dateien weiterhin wie bisher in alphabetischer Reihenfolge verschlüsselt und gut sichtbar seine Dateiendung anfügt. Folgende Generationen von Ransomware werden sicher zufälliger und  besser getarnt vorgehen. Auch die Dauer der Verschlüsselung großer Datenmengen geht durch einige Optimierungen inzwischen so schnell, dass ein manuelles Eingreifen in den meisten Fällen zu spät sein dürfte.

Was also tun?

Continue reading

conhIT 2016: Ein Fazit aus IT-Sicherheitsperspektive

conhit2016

conhIT 2016, Berlin
© 2008-2016 Dahamoo GmbH

Letzte Woche fand die conhIT 2016 in Berlin statt. Neben zahlreichen Produkten und Vorträgen aus der Medizin- und Krankenhaus-IT war eines der zentralen Themen die IT-Sicherheit im Krankenhausumfeld.

Was wurde diskutiert? Welche Lösungen wurden präsentiert? Es folgt ein kurzer Überblick durch die IT-Sicherheitsbrille.

Continue reading

conhIT 2016 oder „Security is a process, not a product“

© 2016 Messe Berlin

© 2016 Messe Berlin

Die conhIT wirft Ihre Schatten voraus. Als wir uns im Herbst mit einem guten Kunden für einen Vortrag zum Thema IT-Sicherheit bewarben, waren wir überrascht, von den Veranstaltern ausgewählt worden zu sein. Schließlich gab und gibt es eine Reihe anderer spannender Themen in der Gesundheits-IT, die seinerzeit weiter oben auf der Agenda standen.

Als Anfang des Jahres die (in Fachkreisen seit langem bekannten) IT-Sicherheits-Probleme in Krankenhäusern einer breiteren Öffentlichkeit bewusst wurden, versuchte natürlich auch die Messe das Thema aufzugreifen. Angesichts des großen Nachholbedarfs der Branche ist dies ausdrücklich zu begrüßen!

Natürlich fühlen sich – wie immer in solchen Fällen – auch eine Menge „Glücksritter“ aufgerufen, um ein Stück vom Kuchen abzuhaben und bieten Geschäftsführern tolle IT-Sicherheits-Produkte an. Continue reading

Ransomware-Angriffswelle schlägt weiter aus

ransomwareDie jüngste Angriffswelle von Verschlüsselungstrojanern nimmt nicht ab. Wie wir bereits im Februar berichteten sind von der Schadsoftware, die sich in Computersysteme einnistet und diese dann komplett verschlüsselt, nicht nur Privatleute sondern insbesondere Krankenhäuser, Behörden und Unternehmen betroffen.

Der neueste bekannte Fall zwang das Aachener Marienhospital in die Knie.

Continue reading

Locky, Teslacrypt und Co. Sind wir noch sicher?

blackmarketZurzeit überfällt die sogenannte „Ransomware“ die ganze Welt. Krankenhäuser, Institute und Privatleute werden am laufenden Band mit Malware überhäuft. Das Luxemburgische CERT meldet in ihrem Honeypot 500 Muster der Malware innerhalb von 30 Minuten. Deutschland liegt dabei mit über 5000 Neuinfektionen pro Stunde vor den USA und den Niederlanden.  Malware per Emailanhang ist nichts neues. Doch was ist anders als damals? Continue reading

Neuss: Lukaskrankenhaus durch Computer-Virus lahmgelegt!

gesundheitskontextIm Westen (leider) nichts Neues“ – ist man geneigt zu sagen, wenn das Thema nicht so ernst wäre. In der Tat dürfte dem geneigten Beobachter in den letzten Jahren nicht entgangen sein, dass die Verwundbarkeit von Medizintechnik und IT in unseren medizinischen Einrichtungen in den letzten Jahren stark zugenommen hat. Die Gründe sind aus unserer Sicht vielfältig, beginnend mit mangelndem Verständnis der Risiken auf Leitungsebene und der daraus folgenden Unterfinanzierung der IT/IT-Security. Weiterhin werden den Anwendern häufig Freiheitsgrade in der Nutzung der IT zugestanden, die andernorts seit langem nicht mehr erlaubt sind, z.B. private Hardware, private Software. Schlussendlich sind viele Medizingeräte im Grunde für einen Standalone-Betrieb konzipiert und sollten nicht ohne zusätzlichen Schutz vernetzt werden.

Was also tun? Continue reading

HIV Patienten durch falschen Umgang mit E-Mail „geoutet“

 Picture: D. Spura, Some rights reservedIn Unternehmen ist das Problem bekannt: Ein falscher Klick auf „Allen antworten“ statt „Antworten“ im E-Mail-Client und schon werden hunderte Arbeitskollegen mit einer belanglosen Antwort belästigt. Ebenfalls ist vielen der Unterschied zwischen „To“,“CC“ und „BCC“ nicht bekannt.

Leider wurde genau dies den Patienten von einem Londoner Krankenhaus zum Verhängnis. Dort wurden 780 Patienten, die hauptsächlich aufgrund Ihrer HIV-Infektion behandelt werden, per E-Mail über neue Telefonnummern zur Beratung informiert. Dabei standen im „An“-Feld alle Patienten mit vollem Namen, sodass alle Empfänger sehen konnten welche Personen ebenfalls diese E-Mail erhalten haben.

Continue reading

Finally! Ein zeitgemäßer Cyber Security Standard für die Praxis („SANS-CSC“)

Global Threats - (c) 2008-2015 Dahamoo GmbH

Global Threats – (c) 2008-2015 Dahamoo GmbH

IT-Sicherheit ist schon wegen des Internets ein grenzenloses, weltweites Thema, weswegen sich der Blick auf das Geschehen außerhalb Deutschlands in der Regel lohnt.

Dort hat die aus dem Britischen Standard BS7799 hervorgegangen Serie der ISO Standards 27xxx zwar in den letzten 10 Jahren eine gewisse Verbreitung gefunden – speziell wenn es um die Zertifizierung eines Information Security Management Systems (ISMS) ging; in der Praxis haben sich jedoch aus unserer Erfahrung die dort zahlreich, aber lose aufgelisteten Kontrollen als zu abstrakt erwiesen, um mit vernünftigem Aufwand eine wirkungsvolle Cyber Defense aufzubauen. Sicher, wenn alle Risiken mittels des ISMS ermittelt und adressiert werden könnten, käme man theoretisch nach einer gewissen Zeit zu einem angemessenen Maß an Sicherheit. Und wenn man alle Kontrollen der ISO 27002 implementieren würde, hätte man sicher einen guten Grundschutz.

Nur, welche Firma hat die Zeit und das Geld, diesen Aufwand einmalig und dauerhaft zu stemmen? Und wo fange ich eigentlich an, was ist wichtig, welche Lösungen/Produkte gibt es? Wie kann ich die Wirksamkeit der Kontrollen messen?

Diese Fragen werden in einem Cyber Security Framework besser adressiert, das sich nach unserer Beobachtung auf internationaler Ebene immer mehr durchsetzt, und zwar die „Critical Security Controls for Effective Cyber Defense“ vom SANS Institute. Die Kontrollen sind zeitgemäß und bauen systematisch aufeinander auf, so dass man die Priorisierung bei der Umsetzung quasi „geschenkt“ bekommt, d.h. man arbeitet sich einfach durch die Step-by-Step Beschreibungen.

Des weiteren sind alle Kontrollen mit Kosten/Nutzen Kategorien versehen. Das heißt, der Anwender kann sich zunächst auf die sogenannten QuickWins konzentrieren und die technologisch aufwendigen, sprich teuren, Kontrollen („advanced“) hinten anstellen.

Ebenso gibt es eine komplette Übersicht von Tools und Programmen, OpenSource wie kommerziell, die zur Umsetzung der Kontrollen herangezogen werden können. Schlussendlich sind Wirksamkeitmetriken und Wirksamkeitstest beschrieben, so dass sich die Umsetzung einheitlich messen lässt, d.h. alle nutzen den selben Maßstab und die selben Messverfahren, was eine gute Vergleichbarkeit ermöglicht!

Bei eine zweistelligen Anzahl von Anwendungen in der Kundenberatung in den letzten 12 Monaten wurden diese Eigenschaften ausnahmslos geschätzt. Alles in allem lassen die SANS-Critical Security Controls also kaum Wünsche für den IT-Security Professional offen.