- Anzeigen -


Sie sind hier: Home » Markt » Invests

Erfolgreicher Proof of Concept


LogRhythm schützt das Klinikum Arnsberg vor Cyber-Angriffen
Um die Verfügbarkeit seiner IT sicherzustellen und die Daten der Patienten optimal zu schützen, hat sich das Klinikum Arnsberg zum Aufbau eines Frühwarnsystems gegen Cyber-Attacken entschieden. Kern der Lösung ist das Security-Information-und-Event-Management (SIEM) von LogRhythm

- Anzeigen -





IT im Krankenhaus hat eine besonders kritische Bedeutung. Sie muss zuverlässig funktionieren, damit ihr Betreiber Leben retten kann. Im Februar 2016 verzeichnete das Klinikum Arnsberg einen Vorfall, bei dem Angreifer die bereits vorhandenen Sicherheitssysteme überwinden konnten. Malware hatte sich ihren Weg über Links in Social-Engineering-Mails in die IT-Landschaft des Klinikverbunds gebahnt, der aus dem Marienhospital in Arnsberg, dem Karolinen-Hospital in Hüsten und dem St. Johannes-Hospital in Neheim besteht. Um Schäden zu vermeiden, entschloss sich die IT-Leitung, die IT herunterzufahren – auch auf Anraten des eilends konsultierten Landeskriminalamts.

Da die wesentlichen medizinischen Geräte auch ohne Anbindung ans Netz funktionieren, war die Versorgung der Patienten jederzeit uneingeschränkt sichergestellt. Die Klinik-internen Kommunikationsprozesse allerdings mussten fast zwei Tage lang mit erhöhtem Aufwand manuell abgewickelt werden. "In unserem Fall haben es die Mitarbeiter mit gewaltigem Engagement geschafft, den Betrieb mittels ‚Zettelwirtschaft‘ über die Ausfallzeit zu retten", erinnert sich Stefan Peters, Leitung Geschäftsbereich IT beim Klinikum Arnsberg, "aber über einen längeren Zeitraum hinweg hätten wir unsere Arbeit so nicht bewältigen können." Neue Patienten etwa konnten nur noch in dringenden Fällen aufgenommen werden. Am Ende verzeichnete das Klinikum einen Schaden in siebenstelliger Höhe.

Um weiteren Attacken dieser Art künftig besser begegnen zu können, entschied sich das Klinikum, neben einer Vielzahl anderer Maßnahmen, in ein Frühwarn-System gegen Cyber-Angriffe zu investieren. Ziel war es, Attacken schneller aufdecken und eingrenzen zu können, etwa um Bereiche der Technik in Zukunft auch sektorenweise außer Betrieb nehmen zu können. Die Aktions- und Kommunikationsfähigkeit sollte in zukünftigen schwierigen Situationen so weit wie möglich erhalten bleiben. Als mögliche Lösung prüfte man früh die Implementierung eines Security-Information-und-Event-Management-Systems (SIEM).

Lösungen dieser Art sammeln die Logdaten der verschiedenen IT-Systeme zentral ein und setzen Daten, die auf mögliche Angriffe schließen lassen, zueinander in Beziehung (Korrelation). Aus dieser Perspektive werden auch komplexe schädliche Vorgänge erkennbar, die den Einzelsensoren möglicherweise entgehen – dazu gehören gezielte, direkte Angriffe durch Cyber-Kriminelle oder komplexe Malware-Aktivitäten, wie sie bei Ransomware-Attacken auftreten. Der SIEM-Einsatz hilft, die Angriffsmuster ohne zusätzliches Personal und unter geschickter Auswertung der Daten bereits vorhandener Security-Systeme schnell zu entdecken, effizient zu bewerten und automatisiert zu neutralisieren.

Da bereits eine Geschäftsbeziehung zwischen dem Dienstleistungspartner DTS und dem Klinikum Arnsberg bestand und man sich häufiger über Security-Themen ausgetauscht hatte, nahm die IT des Krankenhaus-Verbunds Kontakt mit DTS auf. Die nächsten Schritte folgten schnell: Erste gemeinsame Gespräche zusammen mit dem SIEM-Anbieter LogRhythm fanden 2016 während der CeBIT statt, wo eine mögliche Lösung andiskutiert wurde, und im April 2016 traf man sich in Arnsberg, wo bereits ein konkreter Evaluationsprozess vereinbart werden konnte.

Erfolgreicher Proof of Concept
Stefan Peters prüfte die angebotene Lösung schließlich auf Herz und Nieren. "Man hört immer, SIEM-Einführungen seien endlos und hoch komplex", erinnert er sich, "aber das können wir nun wirklich nicht bestätigen: Wir hatten innerhalb kürzester Zeit Resultate vorzuweisen!" Das LogRhythm-System selbst etwa konnte innerhalb von vier Stunden in Betrieb genommen werden, anschließend begannen die Security-Spezialisten der DTS und des Kunden sofort mit der Anbindung der zuvor ausgewählten Logquellen. Bereits am zweiten Tag war es dann möglich, die ersten Korrelationsregeln einzuschalten und Mehrwerte zu liefern. Die derart kurzfristig einsetzbaren Erkennungsmechanismen betreffen Bedrohungen, die heute viele Organisationen beschäftigen: So erkennt LogRhythm Ransomware unabhängig von Version oder Variante der Malware anhand des Verschlüsselungsmusters, alarmiert dann die Security-Teams und ermöglich es ihnen, die Attacke innerhalb von wenigen Sekunden weitgehend automatisiert zu stoppen.

Bereits mit dem Alarm erhalten die Security-Analysten genaue und übersichtlich aufbereitete Informationen über die festgestellten schädlichen Vorgänge – dazu gehören der Name des bösartigen Prozesses sowie die Namen bereits infizierter Dateien. Auf Knopfdruck sind weitere Informationen abrufbar, darunter Hinweise auf mögliche andere infizierte Hosts. "Solche Informationen sind es, die es uns bei der ursprünglichen Attacke erlaubt hätten, gezielter zu reagieren und der Malware entweder komplett einen Riegel vorzuschieben oder beispielsweise Systeme in Betrieb zu halten, die mit Sicherheit noch nicht betroffen waren", beschreibt Peters den Vorteil der schnellen Bereitstellung von Angriffsdetails.

Flexibler Umgang mit außergewöhnlicher Architektur
LogRhythm erwies sich auch als flexibel darin, auf Besonderheiten der Kunden-IT einzugehen. So stellte es sich als echte Herausforderung heraus, auf das Golden-Image-Verfahren der Server im Klinikum zu reagieren. Die Images werden wöchentlich mehrfach kopiert und die Systeme anschließend gestartet, was die Log-Auswertung nicht stören darf. Hier machte es die Agentenfunktionalität von LogRhythm möglich, einmalig einen Log Collection Agent per Server zu installieren und zu konfigurieren. Anschließend wurde die Agenten-/Logquellen-Konfiguration jeder Server-Kopie automatisiert zentral gespeichert und bei jedem Neustart neu auf das Zielsystem gepusht. Damit entfällt im Klinikum eine komplizierte manuelle wöchentliche Neuinstallation und Konfiguration der Logquellen der Image-Server. "Die ganze LogRhythm-Architektur ist daraufhin optimiert, auch mit modernen dynamischen Umgebungen oder Cloud-Konstrukten zu arbeiten", erklärt Dominik Hempel, Enterprise Account Manager bei DTS das Verfahren. "Auch das ist ein Alleinstellungsmerkmal, das die früher so schwierige SIEM-Implementation und den darauf folgenden IT Security-Tagesbetrieb nun deutlich vereinfacht".

Ebenfalls schnell gelöst wurden Detail-Probleme – so erforderte die klare Definition erster Use Cases zunächst einige klärende Diskussionen zwischen dem Kunden und den Anbietern, und für einige Logquellen mussten eigene Parser geschrieben werden

Insgesamt standen für das Klinikum Arnsberg zwar technische Aspekte bei der Lösungswahl im Vordergrund – aber die Anforderungen des Betriebs spielten ebenfalls eine wichtige Rolle. Das Frühwarnsystem sollte vom bestehenden IT-Team problemlos genutzt werden können. Außerdem wollte man in der Lage sein, Use Cases – also die Erkennungslogik für bestimmte Bedrohungen – selbst erstellen zu können, um sich gegebenenfalls auch gegen zukünftige neue Attacken zu schützen. Benutzerfreundlichkeit war somit ebenfalls Teil des Anforderungskatalogs.

Schnelle Entscheidung – überschaubares Projekt

Schon im Juni 2016 fiel schließlich die Entscheidung, LogRhythm produktiv einzusetzen. So konnte das Einführungsprojekt inklusive der individuellen Anpassungen mit einem Aufwand von gerade 8 Tagen abgeschlossen werden, wobei das Finetuning des Systems noch andauert.

"Die Investition lohnt sich – sie erhöht die Schlagkraft unseres Security-Teams zu vertretbaren Kosten ungemein", zieht Stefan Peters Resümee.
(LogRhythm: ra)

eingetragen: 14.05.17
Home & Newsletterlauf: 08.06.17


LogRhythm: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Hintergrund

  • Die zwei Gesichter des IoT

    Im IT-Bereich gibt es ein hohes Bedrohungspotential durch Hacker und Cyberkriminelle. Die Sicherheitsspezialisten von F5 Networks haben die aktuellen Gefahren für Unternehmen und mögliche Gegenmaßnahmen zusammengefasst. Im Cloud-Zeitalter reicht die Absicherung des Netzwerk-Perimeters nicht mehr aus. Eine wirksame Cloud-Architektur sorgt nicht nur für die notwendige Flexibilität, sondern auch über Web Application Firewalls (WAF) für stärkere Transparenz in Bezug auf den Netzwerk-Traffic. Dabei müssen Risiken über dynamische, zentrale, anpassungsfähige Zugangssteuerung sowie umfassende Multi-Cloud-Ansätze für alle Anwendungen unabhängig von ihrem Standort minimiert werden. Zudem schützen nur moderne DDoS-Lösungen vor gezielten Angriffen.

  • Das Ende der VPN-Netze wird eingeläutet

    Die europäischen Unternehmen modernisieren im Zuge der Digitalisierung ihrer Geschäftsprozesse ihre Arbeitsplätze. Diese fünf Themen stehen dabei in der zweiten Jahreshälfte 2017 im Vordergrund: Security, Servicifizierung, Device-Vielfalt, die Abschaffung der VPN-Netze und die Einführung eines kontinuierlichen Software Asset Managements. Die Modernisierung der Arbeitsplätze in den europäischen Unternehmen ist in vollem Gange. Die Prioritäten bei der Umsetzung werden in vielen Unternehmen aber im zweiten Halbjahr 2017 etwas anders gesetzt als bislang.

  • Dramatischer Anstieg der Cyberkriminalität

    Seit 2013 haben sich die Technik und die Sicherheitslage in der Europäischen Union rasend schnell verändert. Digitale Technologien sind inzwischen fester Bestandteil unseres täglichen Lebens und das Rückgrat unserer Wirtschaft. Die durch das Internet der Dinge ausgelöste Revolution ist heute Alltagsrealität, und bis 2020 werden wohl Zigmilliarden Geräte online sein. Gleichzeitig gibt es immer mehr Cyberbedrohungen unterschiedlichster Art. Angesichts der jüngsten Ransomware-Attacken, des dramatischen Anstiegs der Cyberkriminalität, der immer stärkeren Nutzung von Cyberinstrumenten durch Staaten, die damit ihre geopolitischen Ziele erreichen wollen, und der immer vielfältigeren Cybersicherheitsvorfälle muss die EU in der Lage sein, besser auf Cyberattacken zu reagieren und eine wirksame - auch strafrechtliche - Abschreckungsstrategie verfolgen, um Bürgerinnen und Bürger, Unternehmen sowie öffentliche Einrichtungen in der EU besser zu schützen. Deshalb schlagen die Kommission und die Hohe Vertreterin - wie von Kommissionspräsident Juncker in seiner Rede zur Lage der Union am 13. September bereits angekündigt - heute vor, die Abwehrfähigkeit und Reaktion der EU bei Cyberattacken zu verbessern, indem die Agentur der Europäischen Union für Netz- und Informationssicherheit (ENISA) gestärkt, ein EU-weiter Rahmen für die Cybersicherheitszertifizierung eingeführt, ein Konzeptentwurf für die Reaktion auf große Cybersicherheitsvorfälle und -krisen vorgestellt und ein Europäisches Forschungs- und Kompetenzzentrum für Cybersicherheit gegründet werden soll.

  • Debatte zu Screen Scraping und PSD2

    Soll das Screen Scraping als Fallback-Option im Rahmen der EU-Richtlinie über Zahlungsdienste (Payment Services Directive 2; PSD2) erlaubt werden? Die FIDO Alliance hat die Diskussionen zu diesem Thema zwischen der Europäischen Kommission (EC) und der Europäischen Bankenaufsichtsbehörde (EBA) aufmerksam verfolgt, insoweit sie die Regularien der technischen Standards (RTS) für eine starke Kundenauthentifizierung unter PSD2 betrifft. Ich habe Kernpunkte der Antwort der FIDO Alliance auf diese Frage folgend zusammengefasst.

  • Sicherheitsrisiken nicht auf Kunden abwälzen

    Software, die schlecht programmiert, schlecht gewartet oder schlecht konfiguriert ist, führt zu den meisten Cyber-Angriffen - das zeigen Cyberbedrohungen wie WannaCry, Locky oder das Mirai-Botnet. "Es lassen sich viele Kosten senken, wenn Hersteller von Software die Sicherheit von Anfang an stärker berücksichtigen, statt ständig neue Patches zur Verfügung zu stellen", sagt Cyber-Security-Experte Felix von Leitner. "Stattdessen haben wir eine resignative Grundhaltung eingenommen: Ein Weltbild, in dem Software halt Sicherheitslöcher hat, und Hacker diese halt ausnutzen."