Больничные кибератаки стоят 600 тысяч долларов/час. Вот как ИИ меняет математику

В прошлые годы медицинские учреждения не были такими уязвимыми, как сейчас; Хакеры имели неписаное правило не нацелиться на учреждения или услуги, где нарушение может подвергнуть людей физической опасности.

Но это больше не так: вымогатели-как услуги пролиферировали, а украденная медицинская информация стала очень монетизируемой, что стимулируя актеры угроз, чтобы атаковать больницы на беспрецедентных уровнях.

Alberta Health Services (AHS) не собирается оставаться уязвимой — медицинская система поддерживает свою защиту с помощью ИИ.

Развертывая AI-reincered Cyber ​​Ops с платформы кибербезопасности SecuroNix, AHS сократила свое среднее время для реагирования на инциденты с высоким приоритетом более чем на 30%. Это также сократило ложные оповещения на 90% и рабочие нагрузки на 2-3 часа в день, что привело к сбережениям сотни тысяч долларов.

«Многие больничные сети — это большие толстые, легкие цели», — сказал VentureBeat Ричард Хендерсон, исполнительный директор AHS и CISO. «Я не очень много сплю, потому что я просто в ужасе от того, что позвонил в 2 часа ночи, говоря, что вся в нашей среде снизилась из -за вымогателей».

Выполнять работу 1000 (или значительно больше) аналитиков SOC

AHS является второй по величине больничной сетью в Северной Америке и крупнейшим в мире единственным экземпляром платформы электронных записей здравоохранения (EHR) EPIC.

Хендерсон объяснил, что он и его команда несут ответственность за кибербезопасность для 106 больниц, 800 клиник, 20 000 врачей и 150 000 сотрудников, обслуживающих от 4,5 до 5 миллионов Альбертанов. Он описал AHS как «масштабную в громкую организацию», причем все средства, подключенные к одной и той же эпической установке.

Итак, Хендерсон отметил: «Если он упадет, это падает для всех. И для меня это не гипербола, чтобы сказать, что, если он снизится, это вполне может повлиять на жизнь пациента».

Также не является преувеличением сказать, что полный отключение EPIC-независимо от того, связано ли это или нет-может легко стоить провинции Альберты где-то от 500 000 до 600 000 долларов в час, сказал он.

Чтобы избежать таких ситуаций, AHS развернул «полное распространение» платформы SecuroNix в своей среде. Это включает в себя возможности обнаружения, расследования и реагирования (TDIR) компании по кибербезопасности посредством своей платформы управления информацией и управлением безопасности (SIEM) (SIEM) (SIEM) (SIEM). Это обеспечивает управление журналами, поведенческую аналитику и озеро данных безопасности в одном пакете.

Хендерсон объяснил, что медицинская сеть потребляет терабайты данных в свой SIEM и полагается на облачную архитектуру SecuroNix для обработки нормализации и маршрутизации данных. Снежинка способствует большой части этого бэкэнда.

Поведенческая аналитика является важной частью стратегии обнаружения AHS. Хендерсон объяснил, что платформа SecuroNix постоянно узнает, как нормальное выглядит для своих пользователей, конечных точек и систем, что помогает его команде поймать «тонкие вещи», как надежный аккаунт, ведущий «просто немного».

«Он ищет узоры и объединять вещи вместе», — сказал Хендерсон. «Вы можете нанять 1000 аналитиков безопасности, и у вас все еще не будет достаточно людей, чтобы иметь возможность просеять все телеметрические, которые потребляют современные цифровые предприятия».

AHS — это время разрешения, улучшая время отклика

Например, инструменты AHS, управляемые AI, узнают, как выглядит обычное поведение сети в своих больницах. Когда происходит что -то необычное — например, устройство, внезапно разговаривающее с внешним сервером, с ним никогда не связывалось раньше — оно сразу его помечает. Это может привести команды безопасности к неправильно настроенным инструментам, который мог быть использован, если бы он иначе остался незамеченным.

«Эти типы неправильных сборов привели к катастрофическим вспышкам вымогателей в других больничных сетях в прошлом», — сказал Хендерсон.

Или, в качестве другого примера, полезная нагрузка может возникнуть как потенциально подозрительная, но она запутана, что означает, что люди должны попытаться точно выяснить, что это такое и что он делает, отметил Хендерсон. Теперь они могут попросить платформу деобеобразовать полезную нагрузку и определить, что пытался сделать злоумышленник, и в «буквально секундах» она выполняет всю работу.

«Эти последние пару лет возможности общаться с компьютером, как вы разговариваете с человеком, только что изменили то, как люди думают об искусственном интеллекте», — сказал он. «Обработка естественного языка существует в течение долгого времени, но не на этом уровне, и она продолжает поражать меня, насколько она хороша».

В результате AWS смог существенно сократить время для разрешения и улучшения своей способности реагировать быстрее. Хендерсон сказал, что среднее время для реагирования на инциденты с высоким приоритетом снизился более чем на треть по сравнению с прошлым годом.

Это связано с тем, что ИИ делает тяжелую работу, помогая аналитикам понять, что происходит и чего пытается достичь злоумышленник, отметил Хендерсон. В современной кибербезопасности ИИ стал критически важным для обнаружения сети, защиты конечных точек, фильтрации электронной почты и других функций кибербезопасности. «Мои люди экономят часы в день, используя инструменты искусственного интеллекта», — сказал он.

Платформа SecuroNix также помогла сократить шум, когда AHS увидел значительное падение ложных срабатываний, достигнув своих младших аналитиков, что «действительно помогает с фокусом и избегает выгорания», — сказал Хендерсон.

Он отметил, что вокруг ИИ много обсуждений, заменяющих нижние уровни безопасности. Но с его точки зрения: «ИИ не собирается заменить младшего персонала. Что он собирается сделать, так это помогать им учиться быстрее, лучше выполнять свою работу и защищать среду предприятия».

Повышенные атаки делают образование критически важным

Поскольку AHS настолько велик, имея много средств, охватывающих провинцию, команде Хендерсона должна отслеживать, где происходит наибольший объем инцидентов. Это может помочь им сделать вывод, нацелен ли один конкретный географический регион над другой.

Хендерсон отметил, что Калгари и Эдмонтон являются двумя крупнейшими городами в Альберте, поэтому, естественно, можно подумать, что они будут иметь существенный удар по объему атаки. Но это не всегда так; Меньшие сельские больницы часто подвергаются целью, потому что субъекты угроз предполагают, что их защита слабее.

ИИ позволяет ему и его команде сохранить управляющую панелью, где происходят инциденты, чтобы спланировать дополнительную аутрич, если это необходимо. По его словам, Хендерсон проводит значительное количество времени на человеческую сторону безопасности, обучая медсестер и врачей AHS на предыдущие кампании атаки, чтобы они понимали, что искать.

«Поэтому, если мы увидим рост в наших сельских больницах, я абсолютно строю образовательную кампанию, чтобы сказать:« Они нацелены на сельские больницы, потому что они думают, что вы легче цель. Это те виды вещей, которые вы должны искать », — объяснил он.