Ang tanan nimong mga pag-analisar magamit sa publiko

Hello usab! Nakakita na usab ako usa ka bukas nga database nga adunay medikal nga datos alang kanimo. Pahinumdoman ko ikaw nga bag-o lang adunay tulo sa akong mga artikulo bahin niini nga hilisgutan: leak sa personal nga datos sa mga pasyente ug doktor gikan sa online nga serbisyong medikal nga DOC+, pagkahuyang sa serbisyo sa "Doctor Nearby". и leak sa datos gikan sa mga istasyon sa ambulansya.

Niining higayona, ang Elasticsearch server nga adunay mga troso gikan sa medikal nga IT system sa laboratoryo nga network magamit sa publiko.Center alang sa Molecular Diagnostics"(CMD, www.cmd-online.ru).

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.

Ang server nadiskobrehan sa buntag sa Abril 1 ug kini dili ingon kataw-anan kanako sa tanan. Usa ka pahibalo bahin sa problema miadto sa CMD sa gibana-bana nga 10 am (oras sa Moscow) ug sa mga 15:00 ang database nahimong dili ma-access.

Sumala sa search engine sa Shodan, kini nga server una nga gihimo nga magamit sa publiko kaniadtong 09.03.2019/XNUMX/XNUMX. Mahitungod niana kung giunsa pag-ila sa Elasticsearch ang bukas nga mga database, misulat kog bulag nga artikulo.

Ang sensitibo kaayo nga impormasyon mahimong makuha gikan sa mga troso, lakip na Tibuok nga ngalan, gender, petsa sa pagkatawo sa mga pasyente, tibuok nga ngalan sa mga doktor, gasto sa panukiduki, datos sa panukiduki, mga file nga adunay mga resulta sa screening ug daghan pa.

Pananglitan sa usa ka log nga adunay mga resulta sa pagsulay sa pasyente:

"<Message FromSystem="CMDLis" ToSystem="Any" Date="2019-02-26T14:40:23.773"><Patient ID="9663150" Code="A18196930" Family="XXX" Name="XXX" Patronymic="XXX" BornDate="XXX-03-29" SexType="F"><Document>Паспорт</Document><Order ID="11616539" Number="DWW9867570" State="normal" Date="2017-11-29T12:58:26.933" Department="1513" DepartmentAltey="13232" DepartmentName="Смайл Элит" FullPrice="1404.0000" Price="1404.0000" Debt="1404.0000" NaprOrdered="2" NaprCompleted="2" ReadyDate="2017-12-01T07:30:01" FinishDate="2017-11-29T20:39:52.870" Registrator="A759" Doctor="A75619" DoctorFamily="XXX" DoctorName="XXX" DoctorPatronymic="XXX"><OrderInfo Name="TEMP_CODE">0423BF97FA5E</OrderInfo><OrderInfo Name="Беременность">-1</OrderInfo><OrderInfo Name="Пин">DWW98675708386841791</OrderInfo><OrderInfo Name="СкидкаНаЗаказ">0</OrderInfo><OrderInfo Name="СМКдействителенДо">18.03.2019</OrderInfo><OrderInfo Name="СМКсертификат">РОСС RU.13СК03.00601</OrderInfo><Serv Link="1" PathologyServ="1" Code="110101" Name="Общий анализ мочи (Urine test) с микроскопией осадка" Priority="NORMAL" FullPrice="98.0000" Price="98.0000" ReadyDate="2017-11-30T07:30:01" FinishDate="2017-11-29T20:14:22.160" State="normal"/><Serv Link="2" Code="300024" Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Priority="NORMAL" FullPrice="1306.0000" Price="1306.0000" ReadyDate="2017-12-01T07:30:01" FinishDate="2017-11-29T20:39:52.870" State="normal"/><Probe ID="64213791" Number="3716965325" Date="2017-11-29T00:00:00" OuterNumber="66477805" Barcode="3716965325" Biomater="66" BiomaterName="Кровь (сыворотка)" Type="physical"><Probe ID="64213796" Number="P80V0018" Date="2017-11-29T12:58:26.933" Biomater="66" BiomaterName="Кровь (сыворотка)" WorkList="80" WorkListName="Пренатальный скрининг" Type="virtual"><Param State="Valid" User="A872" UserFIO="XXX" UserStaff="Врач КЛД" Code="3005" guid="7BA0745FD502A80C73C2CAD341610598" Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Group="ПРЕНАТАЛЬНЫЙ СКРИНИНГ" GroupCode="80" GroupSort="0" Page="1" Sort="2"><LinkServ IsOptional="0">2</LinkServ><Result Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Value="Готов (см.приложение)" User="A872" UserFIO="XXX" Date="2017-11-29T20:39:03.370" isVisible="1" HidePathology="0" IsNew="0"><File Name="Пренатальный скрининг 2 триместр_page1.png" Type="image" Format="png" Title="3716965325_prenetal2_page1" Description="Пренатальный скрининг 2 триместр_page1" Sort="1">iVBORw0KGgoAAAANSUhEUgAABfoAAAfuCAIAAAArOR8rAAD//0lEQVR4Xuy9P7BtQ7u+/e3oECF6iRAhQoQI0SZCtIkQIdpEiBCxI0SIECFiV50qRKg6VYgQIUKEiDfiRL7rnPtXz+nqHnPMsfb6s+cc61rBqjl79Oh++uoe/eceT/c8888///

Gipuno nako ang tanan nga sensitibo nga datos nga adunay "X". Sa pagkatinuod, ang tanan nagpabiling bukas.

Gikan sa ingon nga mga troso dali ra (pinaagi sa pag-convert gikan sa Base64) aron makuha ang mga file nga PNG nga adunay mga resulta sa screening, na sa dali basahon nga porma:

Ang kinatibuk-ang gidak-on sa mga troso milapas sa 400 MB ug sa kinatibuk-an sila adunay labaw pa sa usa ka milyon nga mga entry. Klaro nga dili tanang rekord nagrepresentar sa talagsaong datos sa pasyente.

Opisyal nga tubag gikan sa CMD:

Gusto namon nga magpasalamat kanimo sa dali nga pagpadala sa kasayuran kaniadtong Abril 01.04.2019, XNUMX bahin sa presensya sa usa ka pagkahuyang sa Elasticsearch error logging ug database sa pagtipig.

Pinasukad sa kini nga kasayuran, ang among mga empleyado, kauban ang mga may kalabutan nga mga espesyalista, limitado ang pag-access sa piho nga database. Ang sayop sa pagbalhin sa kompidensyal nga impormasyon ngadto sa teknikal nga database naayo na.

Atol sa pag-analisar sa insidente, posible nga mahibal-an nga ang hitsura sa gitakda nga database nga adunay mga error log sa publiko nga domain tungod sa usa ka rason nga may kalabutan sa tawhanong hinungdan. Ang pag-access sa datos dali nga gisirhan kaniadtong 01.04.2019/XNUMX/XNUMX.

Sa pagkakaron, ang mga internal ug eksternal nga mga espesyalista naghimog mga lakang aron madugangan ang pag-audit sa imprastraktura sa IT alang sa pagpanalipod sa datos.

Ang among organisasyon nakahimo og espesyal nga mga regulasyon alang sa pagtrabaho sa personal nga datos ug usa ka sistema sa lebel sa responsibilidad sa kawani.

Ang kasamtangan nga imprastraktura sa software naggamit sa usa ka database sa Elasticsearch sa pagtipig sa mga sayup. Aron mapauswag ang pagkakasaligan sa pipila ka mga sistema, ang mga katugbang nga mga server ibalhin sa sentro sa datos sa among kauban, sa usa ka sertipikado nga software ug hardware nga palibot.

Salamat sa tukma sa panahon nga impormasyon nga gihatag.

Ang mga balita bahin sa mga pagtulo sa impormasyon ug mga insider kanunay nga makit-an sa akong Telegram channel "Mga pagtulo sa kasayuran".

Source: www.habr.com