כל הניתוחים שלך זמינים לציבור

שוב שלום! שוב מצאתי עבורך מאגר מידע פתוח עם נתונים רפואיים. הרשו לי להזכיר לכם שלאחרונה היו שלושה מאמרים שלי בנושא זה: דליפת נתונים אישיים של מטופלים ורופאים מהשירות הרפואי המקוון DOC+, פגיעות של שירות "דוקטור בקרבת מקום". и דליפת נתונים מתחנות אמבולנס.

הפעם, שרת Elasticsearch עם יומנים ממערכת ה-IT הרפואית של רשת המעבדות היה זמין לציבור.המרכז לאבחון מולקולרי"(CMD, www.cmd-online.ru).

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.

השרת התגלה בבוקר ה-1 באפריל וזה לא נראה לי מצחיק בכלל. הודעה על הבעיה הגיעה ל-CMD בערך בשעה 10 בבוקר (שעון מוסקבה) ובערך בשעה 15:00 הפך בסיס הנתונים לבלתי נגיש.

לפי מנוע החיפוש Shodan, שרת זה הפך לזמין לציבור לראשונה ב-09.03.2019/XNUMX/XNUMX. בקשר לזה כיצד Elasticsearch מזהה מסדי נתונים פתוחים, כתבתי מאמר נפרד.

מידע רגיש מאוד יכול להתקבל מהיומנים, כולל שם מלא, מין, תאריכי לידה של חולים, שמות מלאים של רופאים, עלות מחקר, נתוני מחקר, קבצים עם תוצאות סקר ועוד הרבה יותר.

דוגמה ליומן עם תוצאות בדיקות המטופל:

"<Message FromSystem="CMDLis" ToSystem="Any" Date="2019-02-26T14:40:23.773"><Patient ID="9663150" Code="A18196930" Family="XXX" Name="XXX" Patronymic="XXX" BornDate="XXX-03-29" SexType="F"><Document>Паспорт</Document><Order ID="11616539" Number="DWW9867570" State="normal" Date="2017-11-29T12:58:26.933" Department="1513" DepartmentAltey="13232" DepartmentName="Смайл Элит" FullPrice="1404.0000" Price="1404.0000" Debt="1404.0000" NaprOrdered="2" NaprCompleted="2" ReadyDate="2017-12-01T07:30:01" FinishDate="2017-11-29T20:39:52.870" Registrator="A759" Doctor="A75619" DoctorFamily="XXX" DoctorName="XXX" DoctorPatronymic="XXX"><OrderInfo Name="TEMP_CODE">0423BF97FA5E</OrderInfo><OrderInfo Name="Беременность">-1</OrderInfo><OrderInfo Name="Пин">DWW98675708386841791</OrderInfo><OrderInfo Name="СкидкаНаЗаказ">0</OrderInfo><OrderInfo Name="СМКдействителенДо">18.03.2019</OrderInfo><OrderInfo Name="СМКсертификат">РОСС RU.13СК03.00601</OrderInfo><Serv Link="1" PathologyServ="1" Code="110101" Name="Общий анализ мочи (Urine test) с микроскопией осадка" Priority="NORMAL" FullPrice="98.0000" Price="98.0000" ReadyDate="2017-11-30T07:30:01" FinishDate="2017-11-29T20:14:22.160" State="normal"/><Serv Link="2" Code="300024" Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Priority="NORMAL" FullPrice="1306.0000" Price="1306.0000" ReadyDate="2017-12-01T07:30:01" FinishDate="2017-11-29T20:39:52.870" State="normal"/><Probe ID="64213791" Number="3716965325" Date="2017-11-29T00:00:00" OuterNumber="66477805" Barcode="3716965325" Biomater="66" BiomaterName="Кровь (сыворотка)" Type="physical"><Probe ID="64213796" Number="P80V0018" Date="2017-11-29T12:58:26.933" Biomater="66" BiomaterName="Кровь (сыворотка)" WorkList="80" WorkListName="Пренатальный скрининг" Type="virtual"><Param State="Valid" User="A872" UserFIO="XXX" UserStaff="Врач КЛД" Code="3005" guid="7BA0745FD502A80C73C2CAD341610598" Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Group="ПРЕНАТАЛЬНЫЙ СКРИНИНГ" GroupCode="80" GroupSort="0" Page="1" Sort="2"><LinkServ IsOptional="0">2</LinkServ><Result Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Value="Готов (см.приложение)" User="A872" UserFIO="XXX" Date="2017-11-29T20:39:03.370" isVisible="1" HidePathology="0" IsNew="0"><File Name="Пренатальный скрининг 2 триместр_page1.png" Type="image" Format="png" Title="3716965325_prenetal2_page1" Description="Пренатальный скрининг 2 триместр_page1" Sort="1">iVBORw0KGgoAAAANSUhEUgAABfoAAAfuCAIAAAArOR8rAAD//0lEQVR4Xuy9P7BtQ7u+/e3oECF6iRAhQoQI0SZCtIkQIdpEiBCxI0SIECFiV50qRKg6VYgQIUKEiDfiRL7rnPtXz+nqHnPMsfb6s+cc61rBqjl79Oh++uoe/eceT/c8888///

מילאתי ​​את כל הנתונים הרגישים עם "X". במציאות הכל נשמר פתוח.

מיומנים כאלה היה קל (על ידי המרה מ-Base64) להשיג קבצי PNG עם תוצאות הקרנה, כבר בצורה קלה לקריאה:

הגודל הכולל של היומנים עלה על 400 MB ובסך הכל הם הכילו יותר ממיליון ערכים. ברור שלא כל רשומה ייצגה נתוני מטופל ייחודיים.

תגובה רשמית מ-CMD:

ברצוננו להודות לך על העברת מידע מיידי ב-01.04.2019 באפריל XNUMX על נוכחות של פגיעות במסד הנתונים של רישום השגיאות והאחסון של Elasticsearch.

בהתבסס על מידע זה, העובדים שלנו, יחד עם מומחים רלוונטיים, הגבילו את הגישה למסד הנתונים שצוין. השגיאה בהעברת מידע סודי למאגר הטכני תוקנה.

במהלך ניתוח האירוע ניתן היה לגלות כי הופעת המאגר המצוין עם יומני שגיאות ברשות הרבים נבעה מסיבה הקשורה בגורם האנושי. הגישה לנתונים נסגרה מיידית ב-01.04.2019/XNUMX/XNUMX.

נכון לעכשיו, מומחים פנימיים וחיצוניים נוקטים באמצעים לביקורת נוספת של תשתית ה-IT להגנת נתונים.

הארגון שלנו פיתח תקנות מיוחדות לעבודה עם נתונים אישיים ומערכת של רמת אחריות כוח אדם.

תשתית התוכנה הנוכחית משתמשת במסד נתונים של Elasticsearch כדי לאחסן שגיאות. כדי לשפר את האמינות של מערכות מסוימות, השרתים המתאימים יועברו למרכז הנתונים של השותף שלנו, לסביבת תוכנה וחומרה מאושרת.

תודה על המידע שנמסר בזמן.

חדשות על דליפות מידע ומקורבים תמיד ניתן למצוא בערוץ הטלגרם שלי "דליפות מידע".

מקור: www.habr.com