تمام تحلیل های شما در دسترس عموم است

دوباره سلام! من دوباره یک پایگاه داده باز با داده های پزشکی برای شما پیدا کردم. اجازه دهید یادآوری کنم که اخیراً سه مقاله از من در مورد این موضوع وجود داشت: نشت اطلاعات شخصی بیماران و پزشکان از خدمات پزشکی آنلاین DOC+, آسیب پذیری سرویس "Doctor Nearby". и نشت اطلاعات از ایستگاه های آمبولانس.

این بار سرور Elasticsearch با لاگ هایی از سیستم فناوری اطلاعات پزشکی شبکه آزمایشگاه در دسترس عموم قرار گرفت.مرکز تشخیص مولکولی(CMD، www.cmd-online.ru).

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.

سرور در صبح روز اول آوریل کشف شد و به نظر من اصلا خنده دار نبود. یک اطلاعیه در مورد مشکل تقریباً در ساعت 1 صبح (به وقت مسکو) به CMD ارسال شد و در حدود ساعت 10:15 پایگاه داده از دسترس خارج شد.

به گزارش موتور جستجوی شدان، این سرور برای اولین بار در تاریخ 09.03.2019/XNUMX/XNUMX در دسترس عموم قرار گرفت. در مورد آن چگونه Elasticsearch پایگاه های داده باز را تشخیص می دهد، مقاله جداگانه ای نوشتم.

اطلاعات بسیار حساس را می توان از سیاهههای مربوط به دست آورد، از جمله نام کامل، جنسیت، تاریخ تولد بیماران، نام کامل پزشکان، هزینه تحقیق، داده های تحقیق، فایل های با نتایج غربالگری و خیلی بیشتر

نمونه ای از گزارش با نتایج آزمایش بیمار:

"<Message FromSystem="CMDLis" ToSystem="Any" Date="2019-02-26T14:40:23.773"><Patient ID="9663150" Code="A18196930" Family="XXX" Name="XXX" Patronymic="XXX" BornDate="XXX-03-29" SexType="F"><Document>Паспорт</Document><Order ID="11616539" Number="DWW9867570" State="normal" Date="2017-11-29T12:58:26.933" Department="1513" DepartmentAltey="13232" DepartmentName="Смайл Элит" FullPrice="1404.0000" Price="1404.0000" Debt="1404.0000" NaprOrdered="2" NaprCompleted="2" ReadyDate="2017-12-01T07:30:01" FinishDate="2017-11-29T20:39:52.870" Registrator="A759" Doctor="A75619" DoctorFamily="XXX" DoctorName="XXX" DoctorPatronymic="XXX"><OrderInfo Name="TEMP_CODE">0423BF97FA5E</OrderInfo><OrderInfo Name="Беременность">-1</OrderInfo><OrderInfo Name="Пин">DWW98675708386841791</OrderInfo><OrderInfo Name="СкидкаНаЗаказ">0</OrderInfo><OrderInfo Name="СМКдействителенДо">18.03.2019</OrderInfo><OrderInfo Name="СМКсертификат">РОСС RU.13СК03.00601</OrderInfo><Serv Link="1" PathologyServ="1" Code="110101" Name="Общий анализ мочи (Urine test) с микроскопией осадка" Priority="NORMAL" FullPrice="98.0000" Price="98.0000" ReadyDate="2017-11-30T07:30:01" FinishDate="2017-11-29T20:14:22.160" State="normal"/><Serv Link="2" Code="300024" Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Priority="NORMAL" FullPrice="1306.0000" Price="1306.0000" ReadyDate="2017-12-01T07:30:01" FinishDate="2017-11-29T20:39:52.870" State="normal"/><Probe ID="64213791" Number="3716965325" Date="2017-11-29T00:00:00" OuterNumber="66477805" Barcode="3716965325" Biomater="66" BiomaterName="Кровь (сыворотка)" Type="physical"><Probe ID="64213796" Number="P80V0018" Date="2017-11-29T12:58:26.933" Biomater="66" BiomaterName="Кровь (сыворотка)" WorkList="80" WorkListName="Пренатальный скрининг" Type="virtual"><Param State="Valid" User="A872" UserFIO="XXX" UserStaff="Врач КЛД" Code="3005" guid="7BA0745FD502A80C73C2CAD341610598" Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Group="ПРЕНАТАЛЬНЫЙ СКРИНИНГ" GroupCode="80" GroupSort="0" Page="1" Sort="2"><LinkServ IsOptional="0">2</LinkServ><Result Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Value="Готов (см.приложение)" User="A872" UserFIO="XXX" Date="2017-11-29T20:39:03.370" isVisible="1" HidePathology="0" IsNew="0"><File Name="Пренатальный скрининг 2 триместр_page1.png" Type="image" Format="png" Title="3716965325_prenetal2_page1" Description="Пренатальный скрининг 2 триместр_page1" Sort="1">iVBORw0KGgoAAAANSUhEUgAABfoAAAfuCAIAAAArOR8rAAD//0lEQVR4Xuy9P7BtQ7u+/e3oECF6iRAhQoQI0SZCtIkQIdpEiBCxI0SIECFiV50qRKg6VYgQIUKEiDfiRL7rnPtXz+nqHnPMsfb6s+cc61rBqjl79Oh++uoe/eceT/c8888///

من تمام داده های حساس را با یک "X" پر کرده ام. در واقعیت، همه چیز باز نگه داشته شد.

از چنین گزارش‌هایی، به راحتی (با تبدیل از Base64) به دست آوردن فایل‌های PNG با نتایج غربالگری، از قبل به شکلی آسان برای خواندن، بود:

حجم کل لاگ ها از 400 مگابایت فراتر رفت و در مجموع شامل بیش از یک میلیون ورودی بودند. واضح است که هر رکورد اطلاعات منحصر به فرد بیمار را نشان نمی دهد.

پاسخ رسمی از CMD:

مایلیم از شما برای انتقال سریع اطلاعات در تاریخ 01.04.2019 آوریل XNUMX در مورد وجود یک آسیب پذیری در پایگاه داده ثبت و ذخیره سازی خطا Elasticsearch تشکر کنیم.

بر اساس این اطلاعات، کارکنان ما به همراه متخصصان مربوطه، دسترسی به پایگاه داده مشخص شده را محدود کردند. خطای انتقال اطلاعات محرمانه به بانک اطلاعاتی فنی رفع شد.

در جریان تجزیه و تحلیل این حادثه، این امکان وجود داشت که ظاهر شدن پایگاه داده مشخص شده با لاگ های خطا در حوزه عمومی به دلیلی مرتبط با عامل انسانی بوده است. دسترسی به داده ها به سرعت در 01.04.2019/XNUMX/XNUMX بسته شد.

در حال حاضر، متخصصان داخلی و خارجی اقداماتی را برای ممیزی اضافی زیرساخت فناوری اطلاعات برای حفاظت از داده ها انجام می دهند.

سازمان ما مقررات ویژه ای را برای کار با داده های شخصی و سیستم سطح مسئولیت پرسنل ایجاد کرده است.

زیرساخت نرم افزار فعلی از پایگاه داده Elasticsearch برای ذخیره خطاها استفاده می کند. برای بهبود قابلیت اطمینان برخی از سیستم ها، سرورهای مربوطه به مرکز داده شریک ما، به یک محیط نرم افزاری و سخت افزاری تایید شده منتقل می شوند.

با تشکر از شما برای اطلاعات به موقع ارائه شده.

اخبار مربوط به درز اطلاعات و خودی ها را همیشه می توانید در کانال تلگرام من پیدا کنید.نشت اطلاعات'.

منبع: www.habr.com