Praktische Erfahrungen mit dem Attack Analyser (gematik)
0 gefällt mir22 aufrufe
Splunk Public Sector Summit Germany April 2025 Präsentation: Praktische Erfahrungen mit dem Attack Analyser
![01.04.2025 Splunk Public Sector Summit [TLP GREEN]
Elektronische
Patientenakte (ePA)
E-Rezept E-Medikationsplan
Notfalldaten-
management
ISiK DEMIS TI-Messenger
KIM
Anwendungen
2](https://image.slidesharecdn.com/gematikerfahrungenmitdemsplunkattackanalyserfinal-250425080956-7ef17d68/85/Praktische-Erfahrungen-mit-dem-Attack-Analyser-gematik-2-320.jpg)
![Stellungnahme zum CCC-Vortrag zur ePA für alle
https://www.gematik.de/newsroom/news-detail/aktuelles-stellungnahme-zum-ccc-vortrag-
zur-epa-fuer-alle
… vor dem bundesweiten Rollout werden weitere technische Lösungen umgesetzt und
abgeschlossen sein. Die zusätzlichen Sicherungsmaßnahmen sind bereits in Erarbeitung und
haben folgenden Fokus:
• Verhinderung, dass Ausweise der Telematikinfrastruktur missbräuchlich verwendet werden
können.
• Schließung der Sicherheitslücke durch eine zusätzliche Verschlüsselung der
Krankenversichertennummer.
• Sensibilisierung der Nutzerinnen und Nutzer der Telematikinfrastruktur im Umgang und
Schutz der technischen Infrastruktur, Ausweisen und Karten.
• Ausweitung der Überwachungsmaßnahmen wie Monitoring und Anomalie-
Erkennung.
5
Splunk Public Sector Summit [TLP GREEN]
01.04.2025](https://image.slidesharecdn.com/gematikerfahrungenmitdemsplunkattackanalyserfinal-250425080956-7ef17d68/85/Praktische-Erfahrungen-mit-dem-Attack-Analyser-gematik-5-320.jpg)
![1. "Allowliste" im ePA Aktensystem
Implementierung einer Liste, welche die Befugung durch Stecken der eGK auf die Teilnehmenden
in den Modellregionen einschränkt. Kriterium ist die Telematik-ID.
2. Überwachung der Institutionskarten
Prüfung aller Erprobungsteilnehmer, ob diese im Besitz aller ihnen zugeordneten SMC-B sind.
3. Sensibilisierung der Praxen
zur Handhabung der SMC-B und allg. zur Einhaltung der gesetzlichen Vorgaben und der IT-
Sicherheitsrichtlinie
01.04.2025 Splunk Public Sector Summit [TLP GREEN] 6
In der Erprobung](https://image.slidesharecdn.com/gematikerfahrungenmitdemsplunkattackanalyserfinal-250425080956-7ef17d68/85/Praktische-Erfahrungen-mit-dem-Attack-Analyser-gematik-6-320.jpg)
![4. Anpassung des Nachweises für den Behandlungskontext
Zur Mitigation der Sicherheitsrisiken wird die im Prüfnachweis übertragene KVNR zusammen
mit einem kartenindividuellen Merkmal verschlüsselt
5. Mengenbegrenzung Zugriffe auf ePA
Anzahl an Behandlungskontexten pro SMC-B begrenzt, die pro Stunde bzw. pro Monat eröffnet
werden können.
6. Umsetzung von Detektionsmaßnahmen
Nutzung VPN Zugangsdienst (bspw. Neuverträge mit bekannten SMC-B), Monitoring des
Gebrauchtmarktes, verbesserte Reaktion auf Praxisschließungen, Reaktion auf
sicherheitsrelevantes Nutzungsverhalten und weitere Maßnahmen
01.04.2025 Splunk Public Sector Summit [TLP GREEN] 7
Zum bundesweitem Rollout](https://image.slidesharecdn.com/gematikerfahrungenmitdemsplunkattackanalyserfinal-250425080956-7ef17d68/85/Praktische-Erfahrungen-mit-dem-Attack-Analyser-gematik-7-320.jpg)
![01.04.2025 Splunk Public Sector Summit [TLP GREEN] 8
Zusammenfassung
Die Darstellungen des CCC sind nachvollziehbar, wenn auch eine rein theoretische
Demonstration. Die Hinweise haben wir dennoch ernst genommen und in Abstimmung
mit BSI und BfDI die passenden Gegenmaßnahmen ergriffen.
Die gematik hat eine Reihe Maßnahmen beschrieben und mit dem BSI
abgestimmt. Die Maßnahmen sind geeignet, um in Stufen sowohl die Pilotierung als
auch den Rollout angemessen abzusichern.](https://image.slidesharecdn.com/gematikerfahrungenmitdemsplunkattackanalyserfinal-250425080956-7ef17d68/85/Praktische-Erfahrungen-mit-dem-Attack-Analyser-gematik-8-320.jpg)
![Erfahrungen mit dem Splunk Attack Analyzer
01.04.2025 Splunk Public Sector Summit [TLP GREEN] 9
Robin Avci
Security Analyst @ gematik
Cyber Threath Intel & Phishing Analyse](https://image.slidesharecdn.com/gematikerfahrungenmitdemsplunkattackanalyserfinal-250425080956-7ef17d68/85/Praktische-Erfahrungen-mit-dem-Attack-Analyser-gematik-9-320.jpg)
![Überblick Splunk Attack Analyzer
01.04.2025 Splunk Public Sector Summit [TLP GREEN] 10
Startseite Report
Automatisierte Bedrohungsanalyse](https://image.slidesharecdn.com/gematikerfahrungenmitdemsplunkattackanalyserfinal-250425080956-7ef17d68/85/Praktische-Erfahrungen-mit-dem-Attack-Analyser-gematik-10-320.jpg)
![Integration des Splunk Attack Analyzers (SAA)
01.04.2025 Splunk Public Sector Summit [TLP GREEN] 11
Eingangskanäle
Phishing Meldungen
USB-Untersuchungen
Meldungen Dritter
Analyse
automatisiert &
Manuell
Ticket
Dokumentation &
Zuweisung
Normalisierung
Vereinheitlichung
Bereinigung
Erkennung](https://image.slidesharecdn.com/gematikerfahrungenmitdemsplunkattackanalyserfinal-250425080956-7ef17d68/85/Praktische-Erfahrungen-mit-dem-Attack-Analyser-gematik-11-320.jpg)
![Übertragung der Phishingmails
01.04.2025 Splunk Public Sector Summit [TLP GREEN] 12
Weiterleitung verdächtiger E-Mails
Einfache Benutzung für First Level
Weniger Medienbrüche](https://image.slidesharecdn.com/gematikerfahrungenmitdemsplunkattackanalyserfinal-250425080956-7ef17d68/85/Praktische-Erfahrungen-mit-dem-Attack-Analyser-gematik-12-320.jpg)
![Interaktive Untersuchung
01.04.2025 Splunk Public Sector Summit [TLP GREEN] 13
Nützlich bei Credential Phishing
Angriffskette nachvollziehbar
Visuelle Darstellung
Automatische Report-Erstellung
Effiziente IOC Erfassung](https://image.slidesharecdn.com/gematikerfahrungenmitdemsplunkattackanalyserfinal-250425080956-7ef17d68/85/Praktische-Erfahrungen-mit-dem-Attack-Analyser-gematik-13-320.jpg)
![Reports
01.04.2025 Splunk Public Sector Summit [TLP GREEN] 14
Ampelsystem zur Bewertung
Interaktives Baumdiagramm
Chronologische Darstellung
Einfacher PDF Export](https://image.slidesharecdn.com/gematikerfahrungenmitdemsplunkattackanalyserfinal-250425080956-7ef17d68/85/Praktische-Erfahrungen-mit-dem-Attack-Analyser-gematik-14-320.jpg)
![Forensik und Artefakte
01.04.2025 Splunk Public Sector Summit [TLP GREEN] 15
Normalized Forensics zur einfachen Verarbeitung Rohdaten zur Automatisierten Weiterverarbeitung](https://image.slidesharecdn.com/gematikerfahrungenmitdemsplunkattackanalyserfinal-250425080956-7ef17d68/85/Praktische-Erfahrungen-mit-dem-Attack-Analyser-gematik-15-320.jpg)
![Ausblick
01.04.2025 Splunk Public Sector Summit [TLP GREEN] 16
Normalisierung der IOCs durch AI
SIEM Cloud Migration
Automatisiertes IOC sharing](https://image.slidesharecdn.com/gematikerfahrungenmitdemsplunkattackanalyserfinal-250425080956-7ef17d68/85/Praktische-Erfahrungen-mit-dem-Attack-Analyser-gematik-16-320.jpg)
![Gibt es noch Fragen?
01.04.2025 Splunk Public Sector Summit [TLP GREEN] 17](https://image.slidesharecdn.com/gematikerfahrungenmitdemsplunkattackanalyserfinal-250425080956-7ef17d68/85/Praktische-Erfahrungen-mit-dem-Attack-Analyser-gematik-17-320.jpg)
Praktische Erfahrungen mit dem Attack Analyser (gematik)
- 1. Praktische Erfahrungen mit dem Attack Analyser Inkl. Überblick über Stand der Digitalisierung im Gesundheitswesen Mainz, den 17.03.2025
- 2. 01.04.2025 Splunk Public Sector Summit [TLP GREEN] Elektronische Patientenakte (ePA) E-Rezept E-Medikationsplan Notfalldaten- management ISiK DEMIS TI-Messenger KIM Anwendungen 2
- 3. ePA für alle KIM eAU Arztbriefe E Rezept
- 5. Stellungnahme zum CCC-Vortrag zur ePA für alle https://www.gematik.de/newsroom/news-detail/aktuelles-stellungnahme-zum-ccc-vortrag- zur-epa-fuer-alle … vor dem bundesweiten Rollout werden weitere technische Lösungen umgesetzt und abgeschlossen sein. Die zusätzlichen Sicherungsmaßnahmen sind bereits in Erarbeitung und haben folgenden Fokus: • Verhinderung, dass Ausweise der Telematikinfrastruktur missbräuchlich verwendet werden können. • Schließung der Sicherheitslücke durch eine zusätzliche Verschlüsselung der Krankenversichertennummer. • Sensibilisierung der Nutzerinnen und Nutzer der Telematikinfrastruktur im Umgang und Schutz der technischen Infrastruktur, Ausweisen und Karten. • Ausweitung der Überwachungsmaßnahmen wie Monitoring und Anomalie- Erkennung. 5 Splunk Public Sector Summit [TLP GREEN] 01.04.2025
- 6. 1. "Allowliste" im ePA Aktensystem Implementierung einer Liste, welche die Befugung durch Stecken der eGK auf die Teilnehmenden in den Modellregionen einschränkt. Kriterium ist die Telematik-ID. 2. Überwachung der Institutionskarten Prüfung aller Erprobungsteilnehmer, ob diese im Besitz aller ihnen zugeordneten SMC-B sind. 3. Sensibilisierung der Praxen zur Handhabung der SMC-B und allg. zur Einhaltung der gesetzlichen Vorgaben und der IT- Sicherheitsrichtlinie 01.04.2025 Splunk Public Sector Summit [TLP GREEN] 6 In der Erprobung
- 7. 4. Anpassung des Nachweises für den Behandlungskontext Zur Mitigation der Sicherheitsrisiken wird die im Prüfnachweis übertragene KVNR zusammen mit einem kartenindividuellen Merkmal verschlüsselt 5. Mengenbegrenzung Zugriffe auf ePA Anzahl an Behandlungskontexten pro SMC-B begrenzt, die pro Stunde bzw. pro Monat eröffnet werden können. 6. Umsetzung von Detektionsmaßnahmen Nutzung VPN Zugangsdienst (bspw. Neuverträge mit bekannten SMC-B), Monitoring des Gebrauchtmarktes, verbesserte Reaktion auf Praxisschließungen, Reaktion auf sicherheitsrelevantes Nutzungsverhalten und weitere Maßnahmen 01.04.2025 Splunk Public Sector Summit [TLP GREEN] 7 Zum bundesweitem Rollout
- 8. 01.04.2025 Splunk Public Sector Summit [TLP GREEN] 8 Zusammenfassung Die Darstellungen des CCC sind nachvollziehbar, wenn auch eine rein theoretische Demonstration. Die Hinweise haben wir dennoch ernst genommen und in Abstimmung mit BSI und BfDI die passenden Gegenmaßnahmen ergriffen. Die gematik hat eine Reihe Maßnahmen beschrieben und mit dem BSI abgestimmt. Die Maßnahmen sind geeignet, um in Stufen sowohl die Pilotierung als auch den Rollout angemessen abzusichern.
- 9. Erfahrungen mit dem Splunk Attack Analyzer 01.04.2025 Splunk Public Sector Summit [TLP GREEN] 9 Robin Avci Security Analyst @ gematik Cyber Threath Intel & Phishing Analyse
- 10. Überblick Splunk Attack Analyzer 01.04.2025 Splunk Public Sector Summit [TLP GREEN] 10 Startseite Report Automatisierte Bedrohungsanalyse
- 11. Integration des Splunk Attack Analyzers (SAA) 01.04.2025 Splunk Public Sector Summit [TLP GREEN] 11 Eingangskanäle Phishing Meldungen USB-Untersuchungen Meldungen Dritter Analyse automatisiert & Manuell Ticket Dokumentation & Zuweisung Normalisierung Vereinheitlichung Bereinigung Erkennung
- 12. Übertragung der Phishingmails 01.04.2025 Splunk Public Sector Summit [TLP GREEN] 12 Weiterleitung verdächtiger E-Mails Einfache Benutzung für First Level Weniger Medienbrüche
- 13. Interaktive Untersuchung 01.04.2025 Splunk Public Sector Summit [TLP GREEN] 13 Nützlich bei Credential Phishing Angriffskette nachvollziehbar Visuelle Darstellung Automatische Report-Erstellung Effiziente IOC Erfassung
- 14. Reports 01.04.2025 Splunk Public Sector Summit [TLP GREEN] 14 Ampelsystem zur Bewertung Interaktives Baumdiagramm Chronologische Darstellung Einfacher PDF Export
- 15. Forensik und Artefakte 01.04.2025 Splunk Public Sector Summit [TLP GREEN] 15 Normalized Forensics zur einfachen Verarbeitung Rohdaten zur Automatisierten Weiterverarbeitung
- 16. Ausblick 01.04.2025 Splunk Public Sector Summit [TLP GREEN] 16 Normalisierung der IOCs durch AI SIEM Cloud Migration Automatisiertes IOC sharing
- 17. Gibt es noch Fragen? 01.04.2025 Splunk Public Sector Summit [TLP GREEN] 17