ໃຫ້ຂ້າມໄປຫາເນື້ອໃນຕົ້ນຕໍ

Health-ISAC Hacking Healthcare 8-23-2022

|

TLP ສີຂາວ

ໃນອາທິດນີ້, Hacking Healthcare ເລີ່ມຕົ້ນໂດຍການກວດສອບບົດລາຍງານໃຫມ່ຂອງກົມຄວາມປອດໄພຂອງ Homeland ທີ່ເຮັດຫນ້າທີ່ຂອງ Cybersecurity and Infrastructure Security Agency (CISA) ດ້ວຍການດໍາເນີນການເພີ່ມເຕີມເພື່ອປັບປຸງການແບ່ງປັນຂໍ້ມູນທາງອິນເຕີເນັດຂອງພວກເຂົາກັບຄູ່ຮ່ວມງານຂອງພາກເອກະຊົນ. ຕໍ່ໄປ, ພວກເຮົາຫຼີ້ນການແຍກຫົກລະດັບໃນຂະນະທີ່ພວກເຮົາສະແດງໃຫ້ເຫັນວ່າ Janet Jackson ກ່ຽວຂ້ອງກັບຄວາມຢືດຢຸ່ນຂອງ cyber ແນວໃດ. ບໍ່, ແທ້.

ໃນຖານະເປັນການເຕືອນ, ນີ້ແມ່ນສະບັບສາທາລະນະຂອງ blog Hacking Healthcare. ສໍາລັບການວິເຄາະແລະຄວາມຄິດເຫັນໃນຄວາມເລິກເພີ່ມເຕີມ, ກາຍເປັນສະມາຊິກຂອງ Health-ISAC ແລະໄດ້ຮັບສະບັບ TLP Amber ຂອງ blog ນີ້ (ມີຢູ່ໃນສະມາຊິກ Portal.)

ຍິນດີຕ້ອນຮັບກັບມາ Hacking Healthcare.

ສະບັບ pdf:

ສະບັບຂໍ້ຄວາມ:

1. DHS Inspector General ບອກ CISA ປັບປຸງການແບ່ງປັນຂໍ້ມູນ

ການແບ່ງປັນຂໍ້ມູນຍັງຄົງເປັນໜຶ່ງໃນລັກສະນະທີ່ສຳຄັນທີ່ສຸດຂອງຄວາມປອດໄພທາງອິນເຕີເນັດ, ແຕ່ຫຼາຍອົງການພາກເອກະຊົນໄດ້ວິພາກວິຈານວ່າ ຂໍ້ມູນທີ່ສຳຄັນໄດ້ໄວ, ຖືກຕ້ອງ ແລະ ຄົບຖ້ວນໄດ້ຫລອກລວງຈາກໜ່ວຍງານຂອງລັດຖະບານແນວໃດ. ບົດລາຍງານທີ່ຜ່ານມາຈາກກົມກວດກາຄວາມປອດໄພພາຍໃນ (DHS) ຂອງກົມກວດກາທົ່ວໄປ (OIG) ໃຫ້ຄວາມເຊື່ອຫມັ້ນຕໍ່ຄໍາຮ້ອງທຸກເຫຼົ່ານັ້ນຍ້ອນວ່າພວກເຂົາກ່ຽວຂ້ອງກັບອົງການຄວາມປອດໄພທາງອິນເຕີເນັດແລະໂຄງສ້າງພື້ນຖານ (CISA).

ສໍາລັບຜູ້ທີ່ບໍ່ຄຸ້ນເຄີຍກັບ OIG, ຫ້ອງການໄດ້ກາຍເປັນເວລາດຽວກັນກັບ DHS ໃນປີ 2002, ແລະຖືກນໍາພາໂດຍຜູ້ກວດກາໂດຍວຽງຈັນຝົນທີ່ໄດ້ຮັບການຢືນຢັນໂດຍຜູ້ທີ່ຖືກມອບຫມາຍໃຫ້ "[ສະຫນອງ] ການຄວບຄຸມເອກະລາດແລະ [ສົ່ງເສີມ] ຄວາມເປັນເລີດ, ຄວາມຊື່ສັດ, ແລະຄວາມຮັບຜິດຊອບ. ພາຍໃນ DHS.”[1] ບົດ​ລາຍ​ງານ​ທີ່​ໄດ້​ພິມ​ເຜີຍ​ແຜ່​ໃນ​ວັນ​ອັງຄານ​ຜ່ານ​ມາ​ນີ້ ມີ​ຫົວ​ຂໍ້​ທີ່​ບໍ່​ຖືກຕ້ອງ ຄວາມຄືບໜ້າເພີ່ມເຕີມທີ່ຈຳເປັນເພື່ອປັບປຸງການແບ່ງປັນຂໍ້ມູນພາຍໃຕ້ກົດໝາຍວ່າດ້ວຍຄວາມປອດໄພທາງໄຊເບີປີ 2015, ແລະ 36 ຫນ້າຂອງມັນປະກອບດ້ວຍ "ສີ່ຄໍາແນະນໍາເພື່ອແນໃສ່ປັບປຸງການແບ່ງປັນຂໍ້ມູນ."[2] ໂດຍສະເພາະ, ບົດລາຍງານເຮັດໃຫ້ຊັດເຈນວ່າ CISA ເຫັນດີກັບການຄົ້ນພົບເບື້ອງຕົ້ນຂອງຮ່າງບົດລາຍງານຂອງ OIG ກ່ຽວກັບເລື່ອງນີ້, ແລະ OIG ໄດ້ຮັບຮູ້ວ່າສາມຂໍ້ສະເຫນີແນະໄດ້ຖືກປະຕິບັດແລະຖືກແກ້ໄຂ, ໃນຂະນະທີ່ຫນຶ່ງຍັງບໍ່ໄດ້ຮັບການແກ້ໄຂ.

ດັ່ງນັ້ນ, ຄວາມລົ້ມເຫລວໃນການແບ່ງປັນຂໍ້ມູນທີ່ຖືກລະບຸແມ່ນຫຍັງ?

ບົດລາຍງານ OIG ໄດ້ສະຫຼຸບວ່າໃນຂະນະທີ່ CISA ໄດ້ "ແກ້ໄຂຂໍ້ກໍານົດການແບ່ງປັນຂໍ້ມູນພື້ນຖານຂອງ Cybersecurity Act of 2015," ພວກເຂົາເຈົ້າໄດ້ "ມີຄວາມຄືບຫນ້າຈໍາກັດໃນການປັບປຸງຄຸນນະພາບໂດຍລວມຂອງຂໍ້ມູນໄພຂົ່ມຂູ່."[3] OIG ພົບວ່າການຂາດຄຸນນະພາບ "ບໍ່ພຽງພໍເພື່ອກໍານົດແລະຫຼຸດຜ່ອນໄພຂົ່ມຂູ່ທາງອິນເຕີເນັດ," ແລະວ່າ "ຕົວຊີ້ວັດໄພຂົ່ມຂູ່ທາງອິນເຕີເນັດສ່ວນໃຫຍ່ບໍ່ມີຂໍ້ມູນສະພາບການພຽງພໍເພື່ອຊ່ວຍໃຫ້ຜູ້ຕັດສິນໃຈດໍາເນີນການ."[4] ບົດລາຍງານດັ່ງກ່າວໄດ້ສະຫຼຸບຕື່ມອີກວ່າບັນຫານີ້ສົ່ງຜົນກະທົບທາງລົບຕໍ່ພາກສ່ວນເອກະຊົນແລະ "ອາດຈະຂັດຂວາງຄວາມສາມາດຂອງລັດຖະບານກາງໃນການກໍານົດແລະຫຼຸດຜ່ອນຄວາມສ່ຽງແລະໄພຂົ່ມຂູ່ທາງອິນເຕີເນັດທີ່ອາດຈະເກີດຂື້ນ."[5]

ໃນທີ່ສຸດ OIG ໄດ້ກໍານົດວ່າມີຫຼາຍສາເຫດສໍາລັບບັນຫາເຫຼົ່ານີ້:[6]

ຟັງຊັນການແບ່ງປັນຕົວຊີ້ບອກອັດຕະໂນມັດ (AIS).:

AIS ແມ່ນຄວາມສາມາດທີ່ສ້າງຂຶ້ນເມື່ອ 6 ປີກ່ອນເພື່ອ “ເປີດການແລກປ່ຽນຂໍ້ມູນໄພຂົ່ມຂູ່ທາງໄຊເບີທີ່ບໍ່ມີການຈັດປະເພດ ແລະ ມາດຕະການປ້ອງກັນໃນເວລາຈິງ.” ຢ່າງໃດກໍຕາມ, OIG ສັງເກດເຫັນວ່າ "AIS ມີຈໍານວນຈໍາກັດຂອງຊ່ອງຂໍ້ມູນແລະຄຸນລັກສະນະທີ່ສາມາດນໍາໃຊ້ໄດ້ໂດຍຜູ້ເຂົ້າຮ່ວມແບ່ງປັນຂໍ້ມູນໄພຂົ່ມຂູ່ທາງອິນເຕີເນັດ," ແລະວ່າ "ບາງຂົງເຂດທີ່ຈະສະຫນອງຂໍ້ມູນສະພາບການເພີ່ມເຕີມສໍາລັບແຕ່ລະຕົວຊີ້ວັດໄພຂົ່ມຂູ່ທາງອິນເຕີເນັດໄດ້ຖືກຈໍາກັດຫຼືບໍ່ຈໍາເປັນ. ”

ພະນັກງານບໍ່ພຽງພໍ:

OIG ພົບວ່າ "ການນໍາພາຂອງ DHS ບໍ່ໄດ້ສະຫນອງທຶນຫຼືອຸທິດຕົນຈໍານວນພະນັກງານເຕັມເວລາທີ່ພຽງພໍກັບຄວາມພະຍາຍາມນີ້."

ປັດໃຈພາຍນອກ:

ບົດລາຍງານດັ່ງກ່າວໄດ້ພົບເຫັນປັດໃຈພາຍນອກທີ່ລວມເຖິງຄວາມລົ້ມເຫຼວຂອງບາງຫນ່ວຍງານຂອງລັດຖະບານກາງໃນການປະຕິບັດຕາມ "ເຄື່ອງຫມາຍການຄວບຄຸມການເຂົ້າເຖິງເພື່ອກໍານົດຕົວຊີ້ວັດໄພຂົ່ມຂູ່ທາງອິນເຕີເນັດທີ່ໃຊ້ຮ່ວມກັນ", ການຂາດພະນັກງານພາຍໃນແລະຊັບພະຍາກອນຂອງຫນ່ວຍງານຂອງລັດຖະບານກາງຂະຫນາດນ້ອຍແລະຫນ່ວຍງານຂອງພາກເອກະຊົນ ". ແບ່ງປັນຕົວຊີ້ວັດໄພຂົ່ມຂູ່ທາງອິນເຕີເນັດ;” ແລະ "ຄວາມບໍ່ເຕັມໃຈ" ຂອງບາງຫນ່ວຍງານຂອງລັດຖະບານກາງທີ່ຈະແບ່ງປັນຂໍ້ມູນພາຍນອກຂອງບາງ "ຊຸມຊົນ", ເຊັ່ນ: ອົງການຈັດຕັ້ງສາກົນ.

ຈາກບັນຫາທີ່ໄດ້ກໍານົດເຫຼົ່ານີ້, OIG ໄດ້ສະເຫນີຄໍາແນະນໍາດັ່ງຕໍ່ໄປນີ້:[7]

ຄຳ ແນະ ນຳ 1:

ພວກເຮົາແນະນໍາໃຫ້ຜູ້ອໍານວຍການຂອງ CISA ພັດທະນາແລະປະຕິບັດຂະບວນການທີ່ເປັນທາງການເພື່ອກວດສອບຈໍານວນຂອງຕົວຊີ້ວັດໄພຂົ່ມຂູ່ທາງອິນເຕີເນັດແລະມາດຕະການປ້ອງກັນທີ່ແບ່ງປັນໂດຍຜ່ານຄວາມສາມາດໃນການແບ່ງປັນຕົວຊີ້ວັດອັດຕະໂນມັດຂອງ CISA ເພື່ອເຮັດໃຫ້ການລາຍງານແລະການກວດສອບທີ່ຖືກຕ້ອງ.

ຄຳ ແນະ ນຳ 2:

ພວກເຮົາແນະນໍາໃຫ້ຜູ້ອໍານວຍການ CISA ພັດທະນາແລະປະຕິບັດວິທີການເພື່ອຊຸກຍູ້ໃຫ້ອົງການຂອງລັດຖະບານກາງແລະພາກເອກະຊົນປະຕິບັດຕາມຂໍ້ຕົກລົງແລະຂໍ້ກໍານົດກ່ຽວກັບການແລກປ່ຽນຂໍ້ມູນ, ແລະລາຍງານການປະຕິບັດຂໍ້ຕົກລົງແລະຂໍ້ກໍາຫນົດສໍາລັບການແບ່ງປັນຕົວຊີ້ວັດອັດຕະໂນມັດ.

ຄຳ ແນະ ນຳ 3:

ພວກເຮົາແນະນຳໃຫ້ຜູ້ອຳນວຍການ CISA ອັບເກຣດການແບ່ງປັນຕົວຊີ້ວັດອັດຕະໂນມັດ (AIS) 2.0.

ຄຳ ແນະ ນຳ 4:

ພວກເຮົາແນະນໍາໃຫ້ຜູ້ອໍານວຍການຂອງ CISA ວາງບູລິມະສິດກ່ຽວກັບການຈ້າງພະນັກງານບໍລິຫານແລະການດໍາເນີນງານເພື່ອດໍາເນີນການວາງແຜນຍຸດທະສາດ, ການປະສານງານ, ການວິເຄາະ, ແລະການວັດແທກການປະຕິບັດທີ່ຈໍາເປັນເພື່ອຫຼຸດຜ່ອນຄວາມສ່ຽງດ້ານຄວາມປອດໄພ cyber.

ຄໍາແນະນໍາເຫຼົ່ານີ້ມີຢູ່ໃນບົດລາຍງານສະບັບຮ່າງກ່ອນຫນ້ານີ້ທີ່ສະຫນອງໃຫ້ CISA, ຜູ້ທີ່ເຫັນດີກັບຄໍາແນະນໍາທັງຫມົດສີ່ຢ່າງ, ແລະໃນເວລາທີ່ບົດລາຍງານສຸດທ້າຍ OIG ໄດ້ແກ້ໄຂສອງຂໍ້ສະເຫນີແນະທັງຫມົດ.

ອີງຕາມບົດລາຍງານສຸດທ້າຍ, OIG ມີຄວາມພໍໃຈທີ່ CISA ໄດ້ປະຕິບັດຂັ້ນຕອນທີ່ຈໍາເປັນເພື່ອແກ້ໄຂຄໍາແນະນໍາສອງແລະສາມ; ຢ່າງໃດກໍຕາມ, ຄໍາຖາມຍັງຄົງຢູ່ໃນຄໍາແນະນໍາຫນຶ່ງແລະສີ່. ບົດລາຍງານ CISA ໄດ້ເພີ່ມຊັບພະຍາກອນເພີ່ມເຕີມຢ່າງບໍ່ຊັດເຈນເພື່ອສະຫນັບສະຫນູນຄໍາແນະນໍາສີ່, ແລະວາງແຜນກ່ຽວກັບການປະເມີນການຈັດສັນຫຼາຍ, ແຕ່ປະຈຸບັນພວກເຂົາບໍ່ໄດ້ຄາດຫວັງວ່າຈະສໍາເລັດກ່ອນວັນທີ 31 ມັງກອນ 2023. ຄໍາແນະນໍາຫນຶ່ງຍັງມີບັນຫາກັບ OIG ລາຍງານວ່າການກະທໍາຂອງ CISA ແມ່ນ. "ບໍ່ຕອບສະຫນອງຕໍ່ຄໍາແນະນໍານີ້."[8]

ການກະທຳ ແລະການວິເຄາະ*
* ຕ້ອງ​ການ​ສະ​ມາ​ຊິກ **

2. ສິ່ງທີ່ Janet Jackson ສາມາດສອນພວກເຮົາກ່ຽວກັບ Cyber ​​Resiliency

ໃນສິ່ງທີ່ເປັນໜຶ່ງໃນເລື່ອງຂ່າວດ້ານຄວາມປອດໄພທາງໄຊເບີທີ່ດັງຂຶ້ນຂອງປີ, “Janet Jackson's Rhythm Nation ມິວສິກວີດີໂອປີ 1989 ໄດ້ຖືກປະກາດຢ່າງເປັນທາງການວ່າເປັນຊ່ອງໂຫວ່ດ້ານຄວາມປອດໄພ.”[9] ໃນຂະນະທີ່ມັນເປັນຫົວຂໍ້ຂ່າວທີ່ທ່ານອາດຈະຄາດຫວັງວ່າຈະອ່ານໃນມື້ April Fool's Day, ບັນຫາດັ່ງກ່າວໄດ້ຖືກມອບຫມາຍເປັນຕົວເລກ CVE ຢ່າງເປັນທາງການແລະເປັນຈຸດອ່ອນແທ້ໆ, ເຖິງແມ່ນວ່າມີຂໍ້ຈໍາກັດ.[10]

ສໍາລັບຈິດໃຈທາງດ້ານເຕັກນິກ, CVE ອະທິບາຍເຖິງຊ່ອງໂຫວ່ເປັນ “[ອະນຸຍາດໃຫ້] ຜູ້ໂຈມຕີທີ່ໃກ້ຄຽງທາງຮ່າງກາຍເຮັດໃຫ້ເກີດການປະຕິເສດການບໍລິການ (ອຸປະກອນຜິດປົກກະຕິ ແລະລະບົບຂັດຂ້ອງ) ຜ່ານການໂຈມຕີດ້ວຍຄື້ນຄວາມຖີ່. ໃນຄໍາສັບທີ່ງ່າຍກວ່າ, ສໍາລັບຮາດດິດ OEM 5400 RPM ທີ່ "ສົ່ງກັບຄອມພິວເຕີໂນດບຸກໃນປະມານ 2005," ເພງປະກອບມີ "ຫນຶ່ງໃນຄວາມຖີ່ຂອງການສະທ້ອນທໍາມະຊາດ" ທີ່ຮາດດິດໃຊ້ເຊິ່ງຂັດຂວາງການເຮັດວຽກປົກກະຕິຂອງມັນ.[11], [12]

ຜູ້ຂຽນຂອງບົດຄວາມ blog ຂອງ Microsoft ທີ່ສ້າງຄວາມສົນໃຈຫຼາຍໃນເລື່ອງນີ້ລາຍງານວ່າບັນຫາດັ່ງກ່າວໄດ້ຖືກແກ້ໄຂໂດຍຜູ້ຜະລິດ "ເພີ່ມຕົວກອງທີ່ກໍາຫນົດເອງໃນທໍ່ສຽງທີ່ກວດພົບແລະເອົາຄວາມຖີ່ຂອງການກະທໍາຜິດໃນລະຫວ່າງການຫຼິ້ນສຽງ."[13]

ການປະຕິບັດ & ການວິເຄາະ
** ຕ້ອງ​ການ​ສະ​ມາ​ຊິກ **

ກອງປະຊຸມ

ວັນອັງຄານ 23 ສິງຫາ:

- ບໍ່ມີການໄຕ່ສວນທີ່ກ່ຽວຂ້ອງ

ວັນພຸດ, ວັນທີ 24 ສິງຫາ:

- ບໍ່ມີການໄຕ່ສວນທີ່ກ່ຽວຂ້ອງ

ວັນພະຫັດ, ວັນທີ 25 ສິງຫາ:

- ບໍ່ມີການໄຕ່ສວນທີ່ກ່ຽວຂ້ອງ

ການໄຕ່ສວນ/ກອງປະຊຸມສາກົນ

- ບໍ່​ມີ​ກອງ​ປະ​ຊຸມ​ທີ່​ກ່ຽວ​ຂ້ອງ​

EU -

- ບໍ່​ມີ​ກອງ​ປະ​ຊຸມ​ທີ່​ກ່ຽວ​ຂ້ອງ​

ກອງປະຊຸມ, Webinars, ແລະກອງປະຊຸມສຸດຍອດ

https://h-isac.org/events/

ຕິດຕໍ່ພວກເຮົາ: ຕິດຕາມ @HealthISAC, ແລະອີເມລ໌ທີ່ contact@h-isac.org

ກ່ຽວກັບຜູ້ຂຽນ

Hacking Healthcare ແມ່ນລາຍລັກອັກສອນໂດຍ John Banghart, ຜູ້ທີ່ເປັນທີ່ປຶກສາຕົ້ນຕໍກ່ຽວກັບເຫດການຄວາມປອດໄພທາງອິນເຕີເນັດແລະການກຽມພ້ອມແລະນໍາພາຄວາມພະຍາຍາມຂອງສະພາຄວາມຫມັ້ນຄົງແຫ່ງຊາດເພື່ອແກ້ໄຂເຫດການຄວາມປອດໄພທາງອິນເຕີເນັດທີ່ສໍາຄັນ, ລວມທັງຜູ້ທີ່ຢູ່ໃນ OPM ແລະທໍານຽບຂາວ. ປະຈຸບັນ John ເປັນຜູ້ອໍານວຍການອາວຸໂສຂອງບໍລິການຄວາມປອດໄພທາງໄຊເບີຢູ່ Venable. ປະຫວັດຄວາມເປັນມາຂອງລາວລວມມີການເປັນຜູ້ອໍານວຍການສະພາຄວາມໝັ້ນຄົງແຫ່ງຊາດຂອງ Federal Cybersecurity, ເປັນທີ່ປຶກສາອາວຸໂສ Cybersecurity ສໍາລັບສູນບໍລິການ Medicare ແລະ Medicaid, ແລະເປັນນັກຄົ້ນຄວ້າດ້ານຄວາມປອດໄພທາງອິນເຕີເນັດ ແລະຜູ້ຊ່ຽວຊານດ້ານນະໂຍບາຍຂອງສະຖາບັນມາດຕະຖານ ແລະເຕັກໂນໂລຊີແຫ່ງຊາດ (NIST) ແລະໃນຫ້ອງການ. ຂອງຮອງລັດຖະມົນຕີການຄ້າມາດຕະຖານ ແລະ ເຕັກໂນໂລຊີ.

John ສາມາດຕິດຕໍ່ໄດ້ທີ່ jbanghart@h-isac.org ແລະ jfbanghart@venable.com.

[1] https://www.oig.dhs.gov/about

[2] https://www.oig.dhs.gov/sites/default/files/assets/2022-08/OIG-22-59-Aug22.pdf

[3] https://www.oig.dhs.gov/sites/default/files/assets/2022-08/OIG-22-59-Aug22.pdf

[4] https://www.oig.dhs.gov/sites/default/files/assets/2022-08/OIG-22-59-Aug22.pdf

[5] https://www.oig.dhs.gov/sites/default/files/assets/2022-08/OIG-22-59-Aug22.pdf

[6] https://www.oig.dhs.gov/sites/default/files/assets/2022-08/OIG-22-59-Aug22.pdf

[7] https://www.oig.dhs.gov/sites/default/files/assets/2022-08/OIG-22-59-Aug22.pdf

[8] https://www.oig.dhs.gov/sites/default/files/assets/2022-08/OIG-22-59-Aug22.pdf

[9] https://www.bleepingcomputer.com/news/security/janet-jacksons-music-video-is-now-a-vulnerability-for-crashing-hard-disks/

[10] https://nvd.nist.gov/vuln/detail/CVE-2022-38392

[11] https://devblogs.microsoft.com/oldnewthing/20220816-00/?p=106994

[12] https://arstechnica.com/gadgets/2022/08/janet-jacksons-rhythm-nation-is-officially-a-security-threat-for-some-old-laptops/

[13] https://devblogs.microsoft.com/oldnewthing/20220816-00/?p=106994

ຄວາມຊັບຊ້ອນຂອງການຄຸ້ມຄອງຄວາມສ່ຽງດ້ານຄວາມປອດໄພອຸປະກອນການແພດ
ບັນດານັກກົດໝາຍຊຸກຍູ້ໃຫ້ມີການປັບປຸງຄວາມປອດໄພທາງອິນເຕີເນັດໃນຂະແໜງສາທາລະນະສຸກທ່າມກາງໄພຂົ່ມຂູ່ທາງອິນເຕີເນັດທີ່ເພີ່ມຂຶ້ນ