Kabeh analisis sampeyan kasedhiya kanggo umum

Halo maneh! Aku wis maneh nemokake database mbukak karo data medical kanggo sampeyan. Ayo kula ngelingake sampeyan yen bubar ana telung artikel babagan topik iki: bocor data pribadhi pasien lan dokter saka layanan medis online DOC +, kerentanan layanan "Dokter Nearby". и bocor data saka stasiun ambulans.

Wektu iki, server Elasticsearch kanthi log saka sistem IT medis jaringan laboratorium kasedhiya kanggo umum.Pusat Diagnostik Molekul"(CMD, www.cmd-online.ru).

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.

Server ditemokaké ing esuk 1. April lan iku ora koyone lucu kanggo kula ing kabeh. Kabar babagan masalah kasebut menyang CMD kira-kira jam 10 am (wektu Moscow) lan kira-kira jam 15:00 database dadi ora bisa diakses.

Miturut mesin telusur Shodan, server iki pisanan kasedhiya kanggo umum ing 09.03.2019/XNUMX/XNUMX. Babagan kuwi carane Elasticsearch ndeteksi database mbukak, Aku nulis artikel kapisah.

Informasi sing sensitif banget bisa dipikolehi saka log, kalebu Jeneng lengkap, jenis kelamin, tanggal lair pasien, jeneng lengkap dokter, biaya riset, data riset, file kanthi asil skrining lan luwih akeh.

Conto log kanthi asil tes pasien:

"<Message FromSystem="CMDLis" ToSystem="Any" Date="2019-02-26T14:40:23.773"><Patient ID="9663150" Code="A18196930" Family="XXX" Name="XXX" Patronymic="XXX" BornDate="XXX-03-29" SexType="F"><Document>Паспорт</Document><Order ID="11616539" Number="DWW9867570" State="normal" Date="2017-11-29T12:58:26.933" Department="1513" DepartmentAltey="13232" DepartmentName="Смайл Элит" FullPrice="1404.0000" Price="1404.0000" Debt="1404.0000" NaprOrdered="2" NaprCompleted="2" ReadyDate="2017-12-01T07:30:01" FinishDate="2017-11-29T20:39:52.870" Registrator="A759" Doctor="A75619" DoctorFamily="XXX" DoctorName="XXX" DoctorPatronymic="XXX"><OrderInfo Name="TEMP_CODE">0423BF97FA5E</OrderInfo><OrderInfo Name="Беременность">-1</OrderInfo><OrderInfo Name="Пин">DWW98675708386841791</OrderInfo><OrderInfo Name="СкидкаНаЗаказ">0</OrderInfo><OrderInfo Name="СМКдействителенДо">18.03.2019</OrderInfo><OrderInfo Name="СМКсертификат">РОСС RU.13СК03.00601</OrderInfo><Serv Link="1" PathologyServ="1" Code="110101" Name="Общий анализ мочи (Urine test) с микроскопией осадка" Priority="NORMAL" FullPrice="98.0000" Price="98.0000" ReadyDate="2017-11-30T07:30:01" FinishDate="2017-11-29T20:14:22.160" State="normal"/><Serv Link="2" Code="300024" Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Priority="NORMAL" FullPrice="1306.0000" Price="1306.0000" ReadyDate="2017-12-01T07:30:01" FinishDate="2017-11-29T20:39:52.870" State="normal"/><Probe ID="64213791" Number="3716965325" Date="2017-11-29T00:00:00" OuterNumber="66477805" Barcode="3716965325" Biomater="66" BiomaterName="Кровь (сыворотка)" Type="physical"><Probe ID="64213796" Number="P80V0018" Date="2017-11-29T12:58:26.933" Biomater="66" BiomaterName="Кровь (сыворотка)" WorkList="80" WorkListName="Пренатальный скрининг" Type="virtual"><Param State="Valid" User="A872" UserFIO="XXX" UserStaff="Врач КЛД" Code="3005" guid="7BA0745FD502A80C73C2CAD341610598" Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Group="ПРЕНАТАЛЬНЫЙ СКРИНИНГ" GroupCode="80" GroupSort="0" Page="1" Sort="2"><LinkServ IsOptional="0">2</LinkServ><Result Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Value="Готов (см.приложение)" User="A872" UserFIO="XXX" Date="2017-11-29T20:39:03.370" isVisible="1" HidePathology="0" IsNew="0"><File Name="Пренатальный скрининг 2 триместр_page1.png" Type="image" Format="png" Title="3716965325_prenetal2_page1" Description="Пренатальный скрининг 2 триместр_page1" Sort="1">iVBORw0KGgoAAAANSUhEUgAABfoAAAfuCAIAAAArOR8rAAD//0lEQVR4Xuy9P7BtQ7u+/e3oECF6iRAhQoQI0SZCtIkQIdpEiBCxI0SIECFiV50qRKg6VYgQIUKEiDfiRL7rnPtXz+nqHnPMsfb6s+cc61rBqjl79Oh++uoe/eceT/c8888///

Aku wis ngisi kabeh data sensitif karo "X". Ing kasunyatan, kabeh tetep mbukak.

Saka log kasebut, gampang (kanthi ngowahi saka Base64) entuk file PNG kanthi asil saringan, wis ana ing wangun sing gampang diwaca:

Ukuran total log ngluwihi 400 MB lan total ngemot luwih saka yuta entri. Cetha yen ora saben rekaman nuduhake data pasien sing unik.

Tanggapan resmi saka CMD:

Kita arep matur nuwun amarga cepet ngirim informasi tanggal 01.04.2019 April XNUMX babagan anané kerentanan ing database logging lan panyimpenan kesalahan Elasticsearch.

Adhedhasar informasi kasebut, karyawan kita, bebarengan karo spesialis sing relevan, diwatesi akses menyang database kasebut. Kesalahan nalika nransfer informasi rahasia menyang basis data teknis wis didandani.

Sajrone analisis kedadeyan kasebut, bisa ditemokake yen tampilan database sing ditemtokake kanthi log kesalahan ing domain umum amarga ana alesan sing ana gandhengane karo faktor manungsa. Akses menyang data kasebut langsung ditutup ing 01.04.2019/XNUMX/XNUMX.

Saiki, spesialis internal lan eksternal njupuk langkah-langkah kanggo nambah audit infrastruktur IT kanggo proteksi data.

Organisasi kita wis nggawe peraturan khusus kanggo nggarap data pribadhi lan sistem tingkat tanggung jawab personel.

Infrastruktur piranti lunak saiki nggunakake database Elasticsearch kanggo nyimpen kesalahan. Kanggo nambah linuwih sawetara sistem, server sing cocog bakal dipindhah menyang pusat data partner kita, menyang lingkungan piranti lunak lan hardware sing disertifikasi.

Matur nuwun kanggo informasi pas wektune diwenehake.

Warta babagan bocor informasi lan wong njero mesthi bisa ditemokake ing saluran Telegramku "Informasi bocor".

Source: www.habr.com