Защита медицинских систем на примере продуктов UserGate

Медицинские информационные системы содержат конфиденциальные данные и обеспечивают процессы оказывающие непосредственное влияние на жизнь и здоровье населения. Рассмотрим релевантные требования законодательства по обеспечению информационной безопасности и способы организации комплексной системы защиты медицинских систем с помощью решений UserGate.

1. Введение
2. Требования по безопасности для медицинских учреждений
3. Системы от UserGate в медицинских учреждениях
4. UserGate NGFW
5. Средства защиты ЦОД
6. UserGate Client
   
   1. 6.1. Функции UserGate Client
7. Управление межсетевыми экранами
8. Мониторинг событий по безопасности
9. Выводы

Введение

Сфера здравоохранения относится к числу наиболее технологичных, уровень использования информационных технологий здесь стабильно рос все последние годы. В России функционирует Единая государственная информационная система в сфере здравоохранения (ЕГИСЗ), которая служит для обмена различными данными между медицинскими организациями — историями болезни пациентов, результатами лабораторных исследований. Эти данные относятся к наиболее конфиденциальным.

Вместе с тем разнообразие информационных систем в разных лечебно-профилактических учреждениях (ЛПУ), которые могут быть государственными, частными или ведомственными, ведёт к тому, что применяются разные подходы к защите информации. Часто защита систем в ЛПУ фрагментирована.

При этом в 2021 году медицина попала в тройку лидеров по количеству получаемых кибератак, уступая только правительственным учреждениям и промышленности. Кроме хакерских атак ради кражи персональных данных беспокойство вызывает уязвимость медицинского оборудования. В начале 2022 года аналитики Cynerio выпустили отчёт, согласно которому более половины подключённых к сетям медицинских устройств в больницах представляют угрозу безопасности из-за критических уязвимостей, создающих риск для обслуживания пациентов.

Текущая ситуация с активизацией хакерских группировок и сложностями с оборудованием западных вендоров заостряет вопрос о необходимости добиться реальной защищённости для медицинских организаций, причём защищённости проактивной, которая позволяла бы предотвращать разного рода инциденты в безопасности, включая утечки данных и нарушения бесперебойной работы всех систем.

Требования по безопасности для медицинских учреждений

Прежде всего, медицинские учреждения обязаны охранять врачебную тайну. Её определение впервые было дано в законе «Основы законодательства Российской Федерации об охране здоровья граждан» от 1993 года. В этом акте устанавливались гарантии конфиденциальности и был наложен запрет на разглашение конфиденциальных данных о пациентах. В настоящее время действует закон № 223-ФЗ «Об основах охраны здоровья граждан в Российской Федерации». В нём медучреждения обязали соблюдать законодательство о персональных данных при обработке врачебной тайны. При этом в профильном законе № 152-ФЗ «О персональных данных» особо отмечается, что сведения о состоянии здоровья могут обрабатываться исключительно в определённых случаях. Сами же медицинские данные отнесены к тем, оборот которых регламентируется наиболее жёстко.

Требования по информационной безопасности к медицинским учреждениям можно разделить на три группы:

1. Законодательство о персональных данных. Постановление Правительства РФ № 1119 регламентирует правила категорирования информационных систем, в которых обрабатываются данные о здоровье субъекта персональных данных. При этом медицинская информация относится к уровню не ниже 3-го. Приказ ФСТЭК России № 21 определяет перечень технических и организационных мер защиты.
2. Медицинские и государственные информационные системы. Приказ Министерства здравоохранения РФ № 911н и постановление Правительства РФ № 1236 определяют специальные требования к медицинским информационным системам медицинской организации (МИС МО). Они, в частности, прямо запрещают использование иностранной продукции и размещение данных за рубежом. Если медучреждение взаимодействует с государственной информационной системой (ГИС), для защиты этого взаимодействия будут применяться меры согласно приказу ФСТЭК России № 17. Эти же меры должны использоваться для интегрированных с МИС МО информационных систем (постановление Правительства РФ № 447 от 12.04.2018).
3. Критическая информационная инфраструктура (КИИ). После ввода в действие в 2017 г. закона № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации», если медицинская организация является субъектом критической информационной инфраструктуры и одной из её информационных систем присвоена категория значимости объекта КИИ (ЗОКИИ), необходимо выполнять дополнительные требования по информационной безопасности, которые установлены приказом ФСТЭК России № 239. Используемые средства защиты информации (СЗИ) должны быть сертифицированы ФСТЭК России. Если же используются средства криптозащиты (СКЗИ), то необходима сертификация ещё и от ФСБ России. Программные или программно-аппаратные средства защиты должны находиться в реестре отечественного ПО Минцифры.

Системы от UserGate в медицинских учреждениях

Решения от UserGate полностью соответствуют всем требованиям, которые предъявляются к системам обеспечения информационной безопасности для медицинских учреждений.

В основе продуктов UserGate лежит собственная операционная система UGOS, не использующая открытый код. C марта 2022 г. все ключевые сервисы компании UserGate размещены на территории РФ. В текущих реалиях эти факторы позволяют обеспечить стабильную работу, активацию и обновление решений.

Продукты от UserGate реализуют полный комплекс мер по защите информации, содержащейся в государственных информационных системах (ГИС) и информационных системах персональных данных (ИСПДн):

• Идентификация и аутентификация субъектов и объектов доступа (ИАФ) (полностью).
• Антивирусная защита (АВЗ) (полностью).
• Обнаружение вторжений (IDS / СОВ) (полностью).
• Управление доступом субъектов к объектам (УПД).
• Регистрация событий по безопасности (РСБ).
• Обеспечение доступности (ОДТ).
• Защита информационной системы, её средств, систем связи и передачи данных (3ИС).
• Обеспечение целостности информационной системы (ОЦЛ).
• Защита среды виртуализации (ЗСВ).
• Выявление инцидентов и реагирование на них (ИНЦ).
• Управление конфигурацией (УКФ).

Применительно к защите критической инфраструктуры реализация технических требований приказа ФСТЭК России № 31 закрывается следующими мерами:

• Обнаружение вторжений (СОВ) (полностью).
• Идентификация и аутентификация субъектов и объектов доступа (ИАФ).
• Управление доступом субъектов к объектам (УПД).
• Аудит безопасности (АУД).
• Антивирусная защита (АВЗ).
• Обеспечение доступности (ОДТ).
• Защита информационной системы и её компонентов (ЗИС).
• Реагирование на компьютерные инциденты (ИНЦ).
• Управление конфигурацией (УКФ).
• Управление обновлениями программного обеспечения (ОПО).

Детальный перечень выполняемых с помощью продуктов UserGate требований регуляторов можно получить написав на sales@usergate.ru.

В экосистеме продуктов кибербезопасности UserGate SUMMA центральным компонентом является межсетевой экран нового поколения (NGFW, UTM) от UserGate.

UserGate NGFW имеет следующие сертификаты ФСТЭК России:

• По 4-му уровню доверия к средствам технической защиты информации.
• По требованиям к профилям защиты межсетевых экранов типа «А», «Б» и «Д» 4-го класса защиты.
• По системам обнаружения вторжений 4-го класса защиты.

UserGate NGFW занесён в реестр отечественного ПО Минцифры (№ записи — 1194).

Соответственно, при использовании UserGate NGFW в информационной системе её можно будет аттестовать по требованиям безопасности информации как ГИС и / или ИСПДн по всем уровням защиты вплоть до 4-го.

Любая организация нуждается в практической безопасности, а не в «бумажной». UserGate NGFW предоставляет следующие функции:

• Межсетевое экранирование. В правилах, на основе которых блокируется или пропускается трафик, в качестве условий может быть задан большой набор L3-, L4- и L7-параметров, в UserGate NGFW определяется также инициировавший соединение пользователь, аутентифицированный через различные системы и конкретное приложение. Также проверяются и приложения, работающие по протоколу HTTPS. Доступом к определённым сайтам и приложениям можно управлять для разных групп пользователей, например ограничить скорость соединений, запретить трафик из «опасной» страны или в неё.
• Обнаружение и предотвращение вторжений (IDS / IPS). Выполняются поиск и блокировка подозрительных соединений (следов вредоносной активности, попыток эксплуатации уязвимостей) с возможностью гибко настроить включённые сигнатуры и реакцию UserGate на них. Работа функций безопасности решения основана на постоянном взаимодействии с центром безопасности UserGate с минимальным временем реакции на различные угрозы, в том числе неизвестные. Разработчики UserGate обладают уникальным и специфическим опытом по работе с интернет-ресурсами и угрозами, особенно актуальными для русскоязычного сегмента интернета.
• Защита от DoS-атак и сетевого флуда. Чтобы один хост не мог парализовать работу всей сети из-за отправки большого количества пакетов, в UserGate NGFW можно включить счётчик количества запросов / сессий от одного источника, чтобы в случае превышения уведомить администраторов или заблокировать его.
• Защита от вредоносных программ и угроз «нулевого дня» (zero-day). Помимо традиционного сигнатурного антивируса, проверяющего скачиваемые и загружаемые файлы, UserGate NGFW отслеживает репутацию источника и может отправить файл для анализа во внешнюю песочницу, чтобы обезвредить неизвестную вредоносную программу.
• Защита веб-трафика и почты. UserGate NGFW разбирает загружаемые пользователями страницы, обнаруживая потенциально опасные скрипты и прочий код. Может проводиться морфологический анализ с поиском ключевых слов (и блокировкой страницы, если слова были найдены). Почтовые сообщения также анализируются, причём проверке подвергаются не только вложения, но и само письмо — на предмет фишинга и спама.
• Контроль мобильных устройств. UserGate NGFW позволяет обеспечивать безопасность при использовании в организации концепции BYOD (Bring Your Own Device). Если во внутренней сети есть портативные устройства работников (ноутбуки, планшеты и т. п.), им можно разрешать или запрещать доступ в сеть, ограничивая, например, максимальное количество одновременно активных устройств для одного пользователя.
• Гостевой портал. UserGate NGFW предоставляет специальный портал, с помощью которого внешние пользователи могут после регистрации (по электронной почте, SMS) получить доступ в сеть. Для внутренних пользователей Captive Portal будет дополнительным средством аутентификации, проверяющим SMS / OTP.
• Кластеризация. UserGate NGFW поддерживает возможность кластеризации как в режиме «active — passive» (переключение на запасное устройство при нештатной работе или выходе из строя основного), так и в режиме «active — active» (распределение нагрузки на все устройства кластера одновременно).
• Защита медицинского оборудования. Новая версия UserGate NGFW поддерживает технологические промышленные протоколы, позволяя обнаружить атаки или подозрительные операции в сетях. Особенно важно это для лечебно-профилактических и диагностических учреждений, в которых медицинское оборудование работает в общей сети, а не в изолированном сегменте, как это обычно делается в промышленных компаниях.

Рисунок 1. Интеграция решений UserGate

UserGate NGFW

UserGate обеспечивает межсетевое экранирование, поддерживая высокую скорость обработки трафика, многоуровневую безопасность, применение гранулярных политик к пользователям и прозрачную эксплуатацию интернет-канала. Аппаратные и виртуальные межсетевые экраны UserGate предоставляют многочисленные возможности по управлению функциями безопасности, обеспечивают прозрачность относительно использования трафика и интернета со стороны пользователей, устройств и приложений.

Особая архитектура UserGate и лежащая в его основе операционная система UGOS позволяют обрабатывать и анализировать сетевой трафик на самых высоконагруженных каналах связи и добиваться эффективного масштабирования. Интеграция множества функций безопасности на единой платформе и применение «модульного» подхода дают возможность удобной настройки решения под специфические запросы медицинских организаций.

UserGate NGFW может поставляться в виде не только физических комплексов, но и преднастроенных образов виртуальных машин. Производительность будет определяться только выделенными для такой машины ресурсами.

Возможен также вариант поставки в виде облачного сервиса по принципу SecaaS. Функции облачного сервиса полностью совпадают с локальным вариантом поставки, как аппаратным, так и виртуальным.

Модель Security-as-a-Service в исполнении UserGate — это способ быстро внедрить и масштабировать необходимые модули кибербезопасности организации и при этом сократить расходы и время на развёртывание и собственноручное поддержание аппаратных средств и ПО. Виртуальный межсетевой экран UserGate позволяет быстро развернуть виртуальную машину с уже настроенными компонентами.

UserGate-as-a-Service (UGaaS) распространяется по подписке и является облачной альтернативой аппаратным решениям в условиях сокращения поставок «железа». Вы оплачиваете услугу SecaaS ровно столько, сколько ей пользуетесь, и исходя из реальных потребностей.

В целях предотвращения ранее неизвестных атак и уязвимостей «нулевого дня», в UserGate осуществляется разработка аппаратного ускорителя для межсетевых экранов UserGate Security Gateway. Работа ускорителя будет основана на использовании инструментов машинного обучения, искусственного интеллекта и аппаратного ускорения, что позволит увеличить производительность и пропускную способность межсетевых экранов, а также повысить степень обнаружения киберугроз, для которых еще не созданы сигнатуры. Разработка UserGate Security Gateway ведется при грантовой поддержке Фонда «Сколково».

Средства защиты ЦОД

Медицинские информационные системы регионального масштаба требуют значительных серверных мощностей, для размещения которых необходим центр обработки данных (ЦОД). При этом объёмы трафика в ЦОД таковы, что традиционные средства защиты не в состоянии их обработать. Для решения этой задачи через некоторое время можно будет использовать находящийся в разработке высокопроизводительный межсетевой экран UserGate FG. Производительность одного устройства может достигать 80 Гбит/с с поддержкой кластеризации. Высокая производительность достигается благодаря специальным FPGA (ПЛИС), обеспечивающим параллельную аппаратную обработку трафика. Также в UserGate FG предусмотрены скоростные интерфейсы QSFP28 (100 Гбит/с) и 10 Гбит/с SFP.

UserGate Client

Очень часто «слабым звеном» являются рабочие места сотрудников. К примеру, Ascend Clinical была взломана в результате фишинговой атаки. Соответственно, в таких условиях растёт значимость систем защиты рабочих мест. В экосистеме продуктов UserGate эту роль играет UserGate Client. Он позволяет обнаруживать и блокировать на автоматизированных рабочих местах (АРМ) сложные угрозы, включая шифровальщики или вредоносную активность легитимного ПО.

Функции UserGate Client

• Защита рабочего места от сложных угроз. Специальное ядро отслеживает происходящие на АРМ процессы, используя индикаторы компрометации (IoC) и индикаторы атак (IoA). Также собираются и анализируются дополнительные сведения: запуск или остановка антивирусного ПО, активный пользователь, установленные программы и обновления ОС и т. п. Эти сведения соотносятся с другими событиями по безопасности (например, обращениями к различным сетевым ресурсам). Тем самым можно выявлять целевые угрозы, распределённые по времени и инфраструктуре атаки.
• Управление безопасностью АРМ. UserGate Client предоставляет возможность, обнаружив угрозу, немедленно на неё отреагировать (установить обновления безопасности, изолировать потенциально заражённый ПК от сети и т. д.).
• Хостовый межсетевой экран. Блокировка нежелательных сетевых соединений на уровне рабочего места.
• VPN-клиент. Для безопасной удалённой работы в UserGate Client встроен VPN-клиент, использующий протокол L2TP.

Управление межсетевыми экранами

Даже лучшее и самое функциональное средство защиты информации может стать «дырой» в информационном периметре, если таких средств много и они плохо управляются (или не управляются вовсе) — особенно когда СЗИ размещены на нескольких площадках, например в разных филиалах сети частных клиник или лабораторий сбора анализов. Для удобного централизованного управления UserGate NGFW был создан UserGate Management Center. Управление осуществляется на основе шаблонов политик безопасности — наборов параметров и правил, применяемых для групп устройств.

Для работы UserGate Management Center лицензируются количество управляемых устройств и модуль получения обновлений ПО.

Возможности управления:

• Создание областей безопасности. Для разных подразделений (функциональных или территориальных) можно создавать свои области безопасности и администраторов этих областей. При этом можно обойтись одной стандартной областью.
• Группы шаблонов безопасности. Управление подчинёнными устройствами реализуется с помощью шаблона безопасности, в котором выстраиваются необходимые политики, правила и настройки. Можно применять шаблон для одного или нескольких устройств и комбинировать их.
• Обновление ПО и библиотек. Программы и обновления (сигнатуры IPS, списки сайтов и т. п.) могут быть загружены на UserGate Management Center и установлены на все устройства.
• Мониторинг и управление питанием. Для подчинённых устройств доступна информация о лицензии (используемые модули и количество активных подключений), аптайме, занятых ресурсах ОЗУ и ЦП. В этой же консоли есть кнопки перезагрузки и выключения устройств.

Мониторинг событий по безопасности

Для повышения уровня безопасности подведомственных учреждений Минздрав России создаёт отраслевой центр реагирования на компьютерные атаки и инциденты в информационной безопасности. Одной из главных функций этой системы является регистрация событий по безопасности с их последующей передачей в этот центр. Если в сети ЛПУ несколько источников событий, удобнее всего будет использовать централизованную систему сбора, например UserGate Log Analyzer.

UserGate Log Analyzer при наличии подсистемы анализа событий становится полноценной SIEM-системой. С его помощью вполне возможно организовать обработку событий по безопасности для всех филиалов территориально распределённой медорганизации в одном месте. Важно отметить, что источниками данных могут быть не только устройства от UserGate, но и любые другие, поддерживающие сбор данных по протоколу SNMP.

Рисунок 2. Мониторинг событий по безопасности

Возможности UserGate Log Analyzer включают в себя:

• Сбор и хранение журналов. UserGate Log Analyzer собирает события по безопасности с устройств UserGate (по проприетарному протоколу) и с других устройств (по SNMP). При этом высвобождаются ресурсы конечных устройств и увеличивается срок хранения данных об этих событиях. Могут сохраняться журнал событий (изменение настроек целевых серверов, обновления и т. д.), журнал веб-доступа пользователей, журнал трафика (срабатывания правил межсетевого экрана, NAT, маршрутизации), журнал IPS, история перехваченных поисковых запросов пользователей в поисковиках.
• Анализ событий и автоматическое реагирование. Поступающие журналы автоматически проверяются на соответствие встроенным правилам UserGate Log Analyzer, и при совпадении создаётся срабатывание. После этого система может выполнить действия, которые настроены в правиле создания инцидента. Можно отправить электронное письмо или SMS-сообщение, создать правило на межсетевом экране с задаваемыми параметрами или сгенерировать сервисный запрос (тикет) в системе.
• Создание отчётов. В UserGate Log Analyzer доступны фильтрация, сортировка и группировка по журналам событий, веб-доступа, трафика, IPS. Отчёты могут предоставить подробный список всех посещённых веб-сайтов, топ блокируемых доменов, топ пользователей по URL-категориям и по заблокированным сайтам, топ заблокированных приложений, топ сработавших правил; топ IP-адресов источников атак, IP-адреса целей атакующих, топ протоколов, используемых в атаках; используемые в организации устройства, топ сигнатур устройств. Можно настроить генерацию отчёта по расписанию и отправку по протоколу SNMP.

Выводы

Вопросы эффективной защиты информационных систем в медицине актуальны как никогда.

Используя UserGate NGFW, медицинские учреждения не только выполняют требования регуляторов, но и получают дополнительные функции в области обеспечения безопасности, очистки интернет-трафика при высокой производительности и удобстве администрирования. В результате использование доступа в интернет пользователями, устройствами и приложениями становится более прозрачным и контролируемым.

При наличии EDR-решения UserGate Client многократно снижается вероятность проникновения в сеть любой вредоносной программы, включая разного рода вымогательское ПО. Log Analyzer и Management Center позволяют эффективно организовать процессы управления устройствами и анализа событий.

Собственная операционная система, отказ от использования открытого кода, размещение всех основных сервисов на территории России обеспечат стабильную работу решений UserGate, их активацию и обновления в период, когда возможны перебои с работой или отключение различных зарубежных сервисов.