ყველა თქვენი ანალიზი ხელმისაწვდომია საჯაროდ

Გამარჯობა კიდევ! მე ისევ ვიპოვე თქვენთვის ღია მონაცემთა ბაზა სამედიცინო მონაცემებით. შეგახსენებთ, რომ ცოტა ხნის წინ იყო ჩემი სამი სტატია ამ თემაზე: პაციენტებისა და ექიმების პერსონალური მონაცემების გაჟონვა ონლაინ სამედიცინო სერვისიდან DOC+, "ექიმთან ახლოს" სერვისის დაუცველობა и სასწრაფო დახმარების სადგურებიდან მონაცემების გაჟონვა.

ამჯერად, Elasticsearch სერვერი ლაბორატორიული ქსელის სამედიცინო IT სისტემის ლოგებით იყო საჯარო.მოლეკულური დიაგნოსტიკის ცენტრი(CMD, www.cmd-online.ru).

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.

სერვერი 1 აპრილის დილას აღმოაჩინეს და საერთოდ არ მომეჩვენა სასაცილო. პრობლემის შესახებ შეტყობინება CMD-ში მივიდა დაახლოებით დილის 10 საათზე (მოსკოვის დროით) და დაახლოებით 15:00 საათზე მონაცემთა ბაზა მიუწვდომელი გახდა.

Shodan-ის საძიებო სისტემის მიხედვით, ეს სერვერი პირველად გახდა საჯაროდ ხელმისაწვდომი 09.03.2019/XNUMX/XNUMX. ამის შესახებ როგორ ამოიცნობს Elasticsearch ღია მონაცემთა ბაზებს, დავწერე ცალკე სტატია.

ძალიან მგრძნობიარე ინფორმაციის მიღება შესაძლებელია ჟურნალებიდან, მათ შორის სრული სახელი, სქესი, პაციენტების დაბადების თარიღები, ექიმების სრული სახელები, კვლევის ღირებულება, კვლევის მონაცემები, ფაილები სკრინინგის შედეგებით და ბევრად უფრო.

ჟურნალის მაგალითი პაციენტის ტესტის შედეგებით:

"<Message FromSystem="CMDLis" ToSystem="Any" Date="2019-02-26T14:40:23.773"><Patient ID="9663150" Code="A18196930" Family="XXX" Name="XXX" Patronymic="XXX" BornDate="XXX-03-29" SexType="F"><Document>Паспорт</Document><Order ID="11616539" Number="DWW9867570" State="normal" Date="2017-11-29T12:58:26.933" Department="1513" DepartmentAltey="13232" DepartmentName="Смайл Элит" FullPrice="1404.0000" Price="1404.0000" Debt="1404.0000" NaprOrdered="2" NaprCompleted="2" ReadyDate="2017-12-01T07:30:01" FinishDate="2017-11-29T20:39:52.870" Registrator="A759" Doctor="A75619" DoctorFamily="XXX" DoctorName="XXX" DoctorPatronymic="XXX"><OrderInfo Name="TEMP_CODE">0423BF97FA5E</OrderInfo><OrderInfo Name="Беременность">-1</OrderInfo><OrderInfo Name="Пин">DWW98675708386841791</OrderInfo><OrderInfo Name="СкидкаНаЗаказ">0</OrderInfo><OrderInfo Name="СМКдействителенДо">18.03.2019</OrderInfo><OrderInfo Name="СМКсертификат">РОСС RU.13СК03.00601</OrderInfo><Serv Link="1" PathologyServ="1" Code="110101" Name="Общий анализ мочи (Urine test) с микроскопией осадка" Priority="NORMAL" FullPrice="98.0000" Price="98.0000" ReadyDate="2017-11-30T07:30:01" FinishDate="2017-11-29T20:14:22.160" State="normal"/><Serv Link="2" Code="300024" Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Priority="NORMAL" FullPrice="1306.0000" Price="1306.0000" ReadyDate="2017-12-01T07:30:01" FinishDate="2017-11-29T20:39:52.870" State="normal"/><Probe ID="64213791" Number="3716965325" Date="2017-11-29T00:00:00" OuterNumber="66477805" Barcode="3716965325" Biomater="66" BiomaterName="Кровь (сыворотка)" Type="physical"><Probe ID="64213796" Number="P80V0018" Date="2017-11-29T12:58:26.933" Biomater="66" BiomaterName="Кровь (сыворотка)" WorkList="80" WorkListName="Пренатальный скрининг" Type="virtual"><Param State="Valid" User="A872" UserFIO="XXX" UserStaff="Врач КЛД" Code="3005" guid="7BA0745FD502A80C73C2CAD341610598" Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Group="ПРЕНАТАЛЬНЫЙ СКРИНИНГ" GroupCode="80" GroupSort="0" Page="1" Sort="2"><LinkServ IsOptional="0">2</LinkServ><Result Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Value="Готов (см.приложение)" User="A872" UserFIO="XXX" Date="2017-11-29T20:39:03.370" isVisible="1" HidePathology="0" IsNew="0"><File Name="Пренатальный скрининг 2 триместр_page1.png" Type="image" Format="png" Title="3716965325_prenetal2_page1" Description="Пренатальный скрининг 2 триместр_page1" Sort="1">iVBORw0KGgoAAAANSUhEUgAABfoAAAfuCAIAAAArOR8rAAD//0lEQVR4Xuy9P7BtQ7u+/e3oECF6iRAhQoQI0SZCtIkQIdpEiBCxI0SIECFiV50qRKg6VYgQIUKEiDfiRL7rnPtXz+nqHnPMsfb6s+cc61rBqjl79Oh++uoe/eceT/c8888///

მე შევავსე ყველა სენსიტიური მონაცემი "X"-ით. სინამდვილეში ყველაფერი ღიად ინახებოდა.

ასეთი ჟურნალებიდან ადვილი იყო (Base64-დან კონვერტაციით) PNG ფაილების მიღება სკრინინგის შედეგებით, უკვე ადვილად წასაკითხი ფორმით:

ჟურნალების საერთო ზომა აღემატებოდა 400 მბ-ს და მთლიანობაში ისინი შეიცავდნენ მილიონზე მეტ ჩანაწერს. ცხადია, რომ ყველა ჩანაწერი არ წარმოადგენს პაციენტის უნიკალურ მონაცემებს.

CMD-ის ოფიციალური პასუხი:

გვსურს მადლობა გადაგიხადოთ 01.04.2019 წლის XNUMX აპრილს ინფორმაციის დაუყოვნებლად გადაცემისთვის Elasticsearch შეცდომების აღრიცხვისა და შენახვის მონაცემთა ბაზაში დაუცველობის არსებობის შესახებ.

ამ ინფორმაციის საფუძველზე ჩვენმა თანამშრომლებმა შესაბამის სპეციალისტებთან ერთად შეზღუდეს წვდომა მითითებულ მონაცემთა ბაზაზე. ტექნიკურ მონაცემთა ბაზაში კონფიდენციალური ინფორმაციის გადაცემისას შეცდომა დაფიქსირდა.

ინციდენტის ანალიზის დროს შესაძლებელი გახდა იმის გარკვევა, რომ საჯარო დომენში შეცდომის ჟურნალებით მითითებული მონაცემთა ბაზის გამოჩენა ადამიანურ ფაქტორთან დაკავშირებული მიზეზით იყო განპირობებული. მონაცემებზე წვდომა სასწრაფოდ დაიხურა 01.04.2019/XNUMX/XNUMX.

ამ დროისთვის შიდა და გარე სპეციალისტები იღებენ ზომებს მონაცემთა დაცვის IT ინფრასტრუქტურის დამატებითი აუდიტის მიზნით.

ჩვენმა ორგანიზაციამ შეიმუშავა პერსონალურ მონაცემებთან მუშაობის სპეციალური რეგულაციები და პერსონალის პასუხისმგებლობის დონის სისტემა.

მიმდინარე პროგრამული ინფრასტრუქტურა იყენებს Elasticsearch მონაცემთა ბაზას შეცდომების შესანახად. ზოგიერთი სისტემის საიმედოობის გასაუმჯობესებლად, შესაბამისი სერვერები გადაინაცვლებს ჩვენი პარტნიორის მონაცემთა ცენტრში, სერტიფიცირებულ პროგრამულ და აპარატურულ გარემოში.

გმადლობთ დროული ინფორმაციისთვის.

სიახლეები ინფორმაციის გაჟონვისა და ინსაიდერების შესახებ ყოველთვის შეგიძლიათ ნახოთ ჩემს Telegram არხზე.ინფორმაციის გაჟონვა".

წყარო: www.habr.com