Solutions SOAR et EDR : l'Automatisation pour la Santé

Les solutions SOAR et EDR pour la sécurité des hôpitaux deviennent indispensables pour contrer les cyberattaques qui menacent la continuité des soins. L’actualité d’octobre 2024 montre que les cyberattaques, en particulier les attaques par ransomware, ciblent de plus en plus le secteur de la santé, où les conséquences sur les patients et le fonctionnement des services peuvent être désastreuses.

Exemples d’attaques récentes : L’urgence de la cybersécurité dans la santé

Les cyberattaques récentes illustrent combien il est urgent d’adopter des solutions SOAR et EDR pour l'automatisation en santé, en particulier pour réagir efficacement aux ransomwares. Début octobre 2024, l'UMC Health System au Texas, a été la cible d’une attaque de ransomware qui a paralysé ses systèmes. Le personnel a dû rediriger les ambulances vers d’autres hôpitaux, provoquant une pression accrue sur les autres centres de soins de la région. Dans ce cas, l’automatisation par des outils SOAR aurait permis de coordonner la détection et la réponse immédiate, limitant l’interruption des soins en identifiant les systèmes affectés et en les isolant pour éviter la propagation​.

De même, le Hospital Clínic de Barcelona a été frappé par une attaque de ransomware début octobre, entraînant l’annulation de milliers de rendez-vous et de nombreuses interventions non urgentes. Dans un contexte où les établissements de santé sont vulnérables et où la continuité des soins est primordiale, l’intégration d’un EDR pourrait sécuriser les terminaux en identifiant et bloquant automatiquement les comportements suspects, tandis que le SOAR permettrait une coordination automatisée des réponses pour contenir l’attaque plus efficacement​

Automatisation avec EDR : Une protection proactive des terminaux

Les solutions EDR (Endpoint Detection and Response) sont conçues pour surveiller en continu les activités sur les terminaux connectés (ordinateurs, tablettes, etc.). Elles permettent de détecter les comportements anormaux pour les isoler instantanément. Lors des récentes attaques comme celle contre l’hôpital de Corbeil-Essonnes en France, les pirates avaient exigé une rançon de 10 millions USD. L’EDR aurait permis une réponse immédiate, évitant la paralysie des systèmes. Avec un EDR, l’hôpital aurait pu isoler les terminaux compromis sans interrompre les autres systèmes​.

Avec des solutions EDR comme celles d'Harfang Lab, les établissements de santé peuvent renforcer leur sécurité de manière proactive. L'EDR d'Harfang Lab offre une surveillance continue qui détecte et isole les comportements anormaux en temps réel, idéal pour éviter que des incidents ne perturbent l'ensemble du réseau hospitalier. Cette solution est particulièrement adaptée aux environnements de santé, car elle permet de répondre immédiatement aux menaces sans nécessiter de connaissances techniques avancées.

Conçue pour être intuitive, la solution EDR d'Harfang Lab s'intègre facilement aux infrastructures existantes et automatise la détection des menaces. En cas d'incident, elle permet de minimiser l'impact en isolant rapidement les appareils compromis, ce qui est crucial pour garantir la continuité des soins. Pour les responsables de la sécurité dans le secteur médical, cette approche assure une protection optimale tout en limitant les interventions humaines.

SOAR : Orchestration et réponse automatique pour des actions rapides

Le SOAR (Security Orchestration, Automation and Response) permet de coordonner et automatiser les réponses aux incidents en regroupant les informations des outils de cybersécurité comme l’EDR et le SIEM. En automatisant les alertes et en orchestrant les actions, le SOAR permet de gagner un temps précieux lors des attaques.

- Oui, mais de combien de pourcents d'efficacité peut-on parler en moyenne?

Un SOAR (Security Orchestration, Automation, and Response) bien configuré peut améliorer l'efficacité des opérations de sécurité de 60 à 80 % en moyenne, selon les cas d'usage et la maturité de l'infrastructure existante. Voici quelques aspects où l’augmentation d’efficacité se manifeste :

1. Réduction du temps de réponse : Grâce à l'automatisation des tâches répétitives, le temps de réponse peut être réduit jusqu'à 80 %. Les analystes de sécurité peuvent ainsi réagir plus vite aux incidents critiques, voire en temps réel pour certains types de menaces.
2. Automatisation des processus : Les SOAR automatisent des workflows complexes, réduisant le besoin d'intervention humaine pour les tâches de faible valeur ajoutée. On observe jusqu'à 70 % de tâches en moins pour les analystes de niveau 1.
3. Précision des alertes : Les capacités de corrélation et de contextualisation d'un SOAR améliorent la précision et réduisent les faux positifs, ce qui permet de se concentrer sur les incidents réellement critiques.
4. Efficacité dans la collaboration : Les SOAR facilitent la collaboration entre les équipes SOC (Security Operations Center) et IT, permettant des échanges plus fluides et une meilleure coordination, ce qui, indirectement, accroît la productivité.

En somme, un SOAR permet aux équipes de sécurité d’être plus réactives, précises, et efficaces, contribuant significativement à une posture de sécurité proactive et à une gestion des incidents optimisée.

Vous cherchez à intégrer un SOAR ? BECYCURE vous accompagne dans le choix et le déploiement des solutions les mieux adaptées à vos besoins.

Dans le cas du ransomware LockBit, qui a publié des données sensibles volées de l’hôpital Simone Veil à Cannes, un SOAR aurait permis d’activer un plan de réponse pour bloquer les accès non autorisés dès la détection initiale de l’incident, réduisant ainsi les risques de fuite de données​.

Avantages pour les établissements de santé

Les établissements de santé, souvent exposés aux cyberattaques, bénéficient particulièrement de l’automatisation pour garantir une continuité de service. Grâce aux solutions SOAR et EDR, ces structures peuvent :

• Assurer une continuité des soins en limitant les interruptions dues aux cyberincidents.
• Accélérer la détection et la réponse pour les incidents critiques, évitant ainsi des dommages prolongés.
• Réduire la pression sur les équipes de sécurité, qui peuvent se concentrer sur des interventions stratégiques et non sur des tâches répétitives.