Nebraska Medicine nutzt Elastic auf Microsoft Azure, um Ransomware, DDOS und andere Cyberbedrohungen abzuwehren

Gesundheitseinrichtungen fallen zunehmend Cyberangriffen zum Opfer. Die Zahl der Ransomware-Vorfälle, die die Störung medizinischer Dienste und die Offenlegung geschützter Patientendaten zur Folge haben, hat sich zwischen 2016 und 2021 mehr als verdoppelt. Und die Tatsache, dass immer mehr Medizingeräte mit Krankenhausnetzwerken verbunden sind, sodass die Krankenhauseinrichtung potenziell für Hacker erreichbar wird, macht das Risiko nicht kleiner und bedeutet eine Gefahr für die Patient:innen.

Nebraska Medicine arbeitet proaktiv daran, die zunehmende Zahl von Bedrohungen durch Cyberkriminalität abzuwehren. Das Unternehmen, das es 2021 in die Top 50 der Liste der besten Krankenhäuser der Welt des Nachrichtenmagazins „Newsweek“ geschafft hat, betreibt zwei Krankenhäuser: das Nebraska Medical Center und das Bellevue Medical Center. Ein weiterer Bestandteil des Unternehmensverbunds ist das University of Nebraska Medical Center (UNMC), an dem gelehrt und geforscht wird. Für den Schutz der Daten und IT-Netzwerke des Unternehmens sind Gary Roth, Senior IT Security Engineer bei Nebraska Medicine, und seine Mitstreiter:innen im Enterprise Security Team verantwortlich. Ihnen obliegt die Sicherheit von 70.000 Endpoints, wie Servern, Workstations, Laptops, angeschlossenen Medizingeräten und Druckern in Krankenhäusern, Forschungsabteilungen und verschiedenen Klinikeinrichtungen im Bundesstaat Nebraska.

Als Roth 2020 zum Unternehmen stieß, hatte die IT keine Möglichkeit, von einer zentralen Stelle aus Einblick in diese Umgebungen zu nehmen. Stattdessen mussten sich die Teammitglieder bei mehreren Tools einloggen und überall dieselben Suchen durchführen. „Diese Tools arbeiteten unabhängig voneinander, aber das war ineffizient und zeitraubend“, so Roth.

Nebraska Medicine setzte ein Proof-of-Concept auf, das zur Bereitstellung von Elastic Cloud auf Microsoft Azure führte.

„Elastic ist die erste und einzige Plattform, die Nebraska Medicine für das zentralisierte Logging einsetzt. Mit ihrer Hilfe können wir Logdaten aus unserer gesamten IT-Infrastruktur ingestieren“, so Roth.

Vorher wurden für die Log-Ingestion für O365 und Azure eigenständige Filebeat-Module verwendet. Seither ist Nebraska Medicine auf Elastic Agent mit seinen vorkonfigurierten Integrationen zum Erfassen von Endpoint- und Cloud-Logdaten umgestiegen.

Elastic Security wirkt sich auch positiv auf die ILM-Strategie (Identity Lifecycle Management) des Unternehmens aus. Nebraska Medicine bewahrt jetzt neuere Indizes zwei Tage lang in Speichern für „heiße“ Daten auf, bevor sie erst in Speicher für „kalte“ Daten verschoben und schließlich „eingefroren“ werden. „Bei Elastic können wir unsere Logdaten-Speicherung und ‑Aufbewahrung ganz einfach an unsere Anforderungen anpassen“, erklärt Roth.

Außerdem profitiert Nebraska Medicine davon, dass Elastic Security Funktionen für die Erstellung von Security-Regeln und die Bedrohungserkennung bietet.

Die Nutzung von Elastic Security bedeutet für die Security Analysts des Unternehmens eine große Entlastung. Da die Logdaten jetzt an einem zentralen Ort zusammengeführt und dort einfach durchsucht werden können, lassen sich Alerts schneller untersuchen.

Nebraska Medicine profitiert auch von der Workflow-Automatisierung in Elastic Security. Roth und sein Team haben das zentralisierte Security Alerting in Elastic mit dem ServiceNow-Ticketing-System des Unternehmens verbunden und können so die ServiceNow-Playbooks zur Reaktion auf Sicherheitsvorfälle weiter nutzen.

Nebraska Medicine macht ausgiebig Gebrauch von Kibana-Dashboards, um Daten zu visualisieren und auf Alerts zu reagieren. Dazu gehören vorkonfigurierte Windows-Ereignis-Dashboards für Nutzer-Logins, die Verwaltung von Nutzer:innen und Gruppen und die PowerShell-Nutzung. Serveradministrator:innen verwenden diese Oberflächen, um Änderungen an Konten, die nicht autorisierte Verwendung von Administratorkonten und andere Anomalien zu erkennen.

Einige Teams haben eigene Dashboards für ihre ganz spezifischen Anforderungen erstellt. „Ein gutes Beispiel dafür ist die Konsolidierung der verschiedenen WLAN-SSIDs, die sich im Laufe der Jahre angesammelt haben“, so Roth. „Unsere für die Netzwerksicherheit zuständigen Engineers haben ein Dashboard konfiguriert, das Geräte identifiziert, die versuchen, sich mit nicht mehr aktuellen Netzwerken zu verbinden.“

Roth wird nicht müde zu betonen, wie sehr Elastic Security sein Team in die Lage versetzt, die allgemeinen strategischen Ziele des Unternehmens zu unterstützen.

Roth geht davon aus, dass das Unternehmen auch in Zukunft Elastic Security-Tools verwenden und weitere Dashboards für individuelle Datenquellen erstellen wird. Er plant, Alerts für Performance-Metriken einzurichten, und prüft gerade den möglichen Einsatz der Endpoint Security-Integration im Erkennungsmodus neben den aktuellen Endpoint-Security-Agents. Diese Schritte helfen Nebraska Medicine, sich auf die Zukunft des Gesundheitswesens vorzubereiten, in der Online-Patiententermine, Robotik, Remote-Geräte und KI-Diagnosen eine immer größere Rolle spielen werden.