Greebone - Schwachstellenmanagement in Krankenhäusern

Wer hat es letztes Jahr nicht mitbekommen? Der aufsehenerregende Hacker-Angriff auf das Uniklinikum Düsseldorf. Über eine Woche lang konnte die Klinik keine neuen Patienten aufnehmen, oder Operationen durchführen. Die Angreifer kamen über eine bereits bekannte Schwachstelle in das Netzwerk der Klinik und konnten wichtige Systeme übernehmen und verschlüsseln. Dass die Klinik bereits nach einer Woche bereits wieder einen Normalbetrieb aufnehmen konnte, war nur dem Umstand zu verdanken, dass die Klinik versehentlich angegriffen wurde und nicht das eigentliche Ziel der Angreifer war. Diese wollten eigentlich die Heinrich-Heine-Universität treffen. Nachdem die Angreifer erfahren hatten, was wirklich angegriffen wurde, haben diese die Codes für die Entschlüsselung übergeben und den Angriff beendet.

Allerdings hat nicht jeder Cyberkriminelle dieses Level von Ethik, Kliniken nicht anzugreifen. Am 10. Februar 2016 wurde das Lukaskrankenhaus in Neuss angegriffen. Die IT war für über einen Monat nicht funktionsfähig. Die Prozesse im Krankenhaus waren massiv beeinträchtigt.

Eine Studie welche von drei Sicherheitsforschern von Alpha Strike Labs, der Universität der Bundewehr und Limes Security verfasst wurde und im Mai auf der Cycon der NATO komplett veröffentlicht werden soll, zeigt, dass bei einem Scan von 1500 deutschen Krankenhäusern 36% angreifbar waren. Dabei wurden mehr als 900 kritische Schwachstellen identifiziert. Dabei waren vergleichsweise kleine Krankenhäuser nicht per se weniger siccher, häufig waren große Krankenhäuser sogar angreifbarer als kleinere. Das heißt, dass bei den Krankenhäusern, welche mehr als 30.000 Behandlungen pro Jahr durchführen, und von dem Bundesamt für Sicherheit in der Informationstechnik (BSI) als Teil der kritischen Infrastruktur (KRITIS) eingestuft werden, einem großen Risiko ausgesetzt sind.

So waren zum Beispiel weiterhin Windows Server 2003 Instanzen aktiv, welche seit 2015 keinerlei Sicherheitsupdates mehr von Microsoft erhalten. Eine Einladung für jeden Angreifer, da offene Sicherheitslücken nicht über Updates des Betriebssystems beseitigt werden können.

Häufig haben viele Krankenhäuser zwar ein großes Budget für Ärzte, aber für die IT-Abteilungen bleibt nur vergleichsweise wenig Budget übrig. Dementsprechend sind die IT-Abteilungen auch eher unterbesetzt und können häufig keine größeren Maßnahmen ergreifen um strukturelle Probleme anzugehen.

Dabei ist das Hauptproblem überhaupt zu wissen, wo man Schwachstellen hat. Netzwerke, auch in Krankenhäusern, sind mit den Jahren immer größer und unübersichtlicher geworden.

In Krankenhäusern ist mittlerweile ja auch nahezu alles digitalisiert worden. Vom einfachen Infusionstropf, über Geräte die Vitalwerte überwachen, bis hin zu großen Geräten wie Röntgenapparaten, OP-Robotern oder Magnetresonanztomographen. Auch die elektronischen Akten dürfen bei der Aufzählung nicht fehlen, enthalten sie diese doch äußerst intime Details über eine Person und könnten unter Umständen genutzt werden um jemanden zu erpressen. Sei es das Krankenhaus selber, wenn die Daten verschlüsselt wurden, oder den Patienten, damit eventuelle pikante Details nicht veröffentlicht werden. Zusätzlich drohen hier hohe Strafen bei Verstößen gegen die DSGVO, sollten die Informationen unzureichend vor unerlaubtem Zugriff geschützt sein.

Um überhaupt eine Übersicht über die vorhandenen Schwachstellen zu bekommen, sowie Lösungsmöglichkeiten diese entweder zu schließen oder durch entsprechende Maßnahmen abzuschwächen, bietet sich ein Schwachstellenscanner an. Dieser kann nicht nur eine Liste vorhandener Assets (Geräte) erstellen, sondern diese auch selbstständig auf Schwachstellen prüfen. Dadurch erhalten Sie nicht nur eine Übersicht, was im Netzwerk überhaupt alles vorhanden ist, sondern können auch gleich sehen wo der Schuh drückt.

Dies müssen nicht nur ungepatchte Sicherheitslücken sein, sondern auch fehlerhafte Konfigurationen oder ungeänderte Standardpasswörter. Die gefundenen Probleme werden dann anhand Ihrer Schwere kategorisiert und ein entsprechender Bericht generiert.

Scannen kann man hier auf vielfältige Weise. Zum Beispiel von außen nach innen, also aus der Sicht eines Angreifers. Aber auch ein Scan innerhalb der Infrastruktur ist möglich, damit so viele Systeme wie möglich erfasst werden können.

Diese Scans können auch automatisch in regelmäßigen Abständen durchgeführt werden, damit man immer auf dem aktuellsten Stand ist. Dadurch sieht man auch gleich, ob die bisherigen Änderungen einen tatsächlichen Erfolg mit sich gebracht haben. Sollten in der Zwischenzeit neue Geräte im Netzwerk eingebunden werden, oder neue Sicherheitslücken bekannt werden, wird der Scan auch auf diese ausgeweitet, vollautomatisch.

Wir arbeiten hier eng mit dem Hersteller Greenbone Networks zusammen. Greenbone ist ein deutsches Unternehmen welches 2008 in Osnabrück gegründet wurde.

Der Greenbone Security Manager, welcher von Greenbone Networks entwickelt wird, ist zu großen Teilen OpenSource (GNU GPL). Die OpenSource Version ist unter dem Namen OpenVAS bekannt. Durch diese große Transparenz genießt diese Lösung auch ein hohes Vertrauen, da die Funktionsfähigkeit für jedermann überprüfbar ist.

Der Greenbone Security Manager kann auf über 87.000 verschiedene Schwachstellen scannen. Dabei spielt bei der Lizenzierung keine Rolle, wie viele IPs sich in Ihrem Unternehmen befindet, da nach der Leistung des Greenbone Security Managers lizenziert wird.

Sollten Sie also beispielsweise 10.000 IPs haben und jeden Tag nur 2.000 IPs scannen wollen, müssten Sie auch nur für 2.000 IPs lizenzieren. Ein Vorteil gegenüber anderen Lösungen auf dem Markt.

Den Schwachstellenmanager gibt es sowohl als physikalische Appliance, aber auch als virtuelle Maschine für die gängigen VM-Hypervisoren.

Sollen sie ein Interesse an dem Greenbone Security Manager haben und eine kostenfreie Erstberatung oder sogar eine Teststellung wünschen, können Sie uns über Telefon, E-Mail oder unser Kontaktformular erreichen.