Дахин сайн уу! Би танд эмнэлгийн мэдээлэл бүхий нээлттэй мэдээллийн санг дахин олсон. Саяхан энэ сэдвээр миний гурван нийтлэл байсныг сануулъя. , и .
Энэ удаад лабораторийн сүлжээний эмнэлгийн мэдээллийн технологийн системээс бүртгэлтэй Elasticsearch сервер олон нийтэд нээлттэй боллоо.Молекулын оношлогооны төв"(CMD, www.cmd-online.ru).
Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.
Серверийг 1-р сарын 10-ний өглөө нээсэн бөгөөд энэ нь надад тийм ч хөгжилтэй санагдсангүй. Асуудлын тухай мэдэгдэл CMD-д өглөөний 15 цагт (Москвагийн цагаар) ирсэн бөгөөд 00:XNUMX цагийн үед мэдээллийн санд хандах боломжгүй болсон.
Shodan хайлтын системийн мэдээлснээр энэ серверийг 09.03.2019 оны XNUMX-р сарын XNUMX-нд олон нийтэд нээлттэй болгосон. Энэ тухай , Би тусдаа нийтлэл бичсэн.
Бүртгэлээс маш эмзэг мэдээллийг авах боломжтой Өвчтөнүүдийн овог нэр, хүйс, төрсөн он, сар, өдөр, эмч нарын овог нэр, судалгааны зардал, судалгааны мэдээлэл, үзлэгийн үр дүн бүхий файл ба түүнээс дээш.
Өвчтөний шинжилгээний хариу бүхий бүртгэлийн жишээ:
"<Message FromSystem="CMDLis" ToSystem="Any" Date="2019-02-26T14:40:23.773"><Patient ID="9663150" Code="A18196930" Family="XXX" Name="XXX" Patronymic="XXX" BornDate="XXX-03-29" SexType="F"><Document>Паспорт</Document><Order ID="11616539" Number="DWW9867570" State="normal" Date="2017-11-29T12:58:26.933" Department="1513" DepartmentAltey="13232" DepartmentName="Смайл Элит" FullPrice="1404.0000" Price="1404.0000" Debt="1404.0000" NaprOrdered="2" NaprCompleted="2" ReadyDate="2017-12-01T07:30:01" FinishDate="2017-11-29T20:39:52.870" Registrator="A759" Doctor="A75619" DoctorFamily="XXX" DoctorName="XXX" DoctorPatronymic="XXX"><OrderInfo Name="TEMP_CODE">0423BF97FA5E</OrderInfo><OrderInfo Name="Беременность">-1</OrderInfo><OrderInfo Name="Пин">DWW98675708386841791</OrderInfo><OrderInfo Name="СкидкаНаЗаказ">0</OrderInfo><OrderInfo Name="СМКдействителенДо">18.03.2019</OrderInfo><OrderInfo Name="СМКсертификат">РОСС RU.13СК03.00601</OrderInfo><Serv Link="1" PathologyServ="1" Code="110101" Name="Общий анализ мочи (Urine test) с микроскопией осадка" Priority="NORMAL" FullPrice="98.0000" Price="98.0000" ReadyDate="2017-11-30T07:30:01" FinishDate="2017-11-29T20:14:22.160" State="normal"/><Serv Link="2" Code="300024" Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Priority="NORMAL" FullPrice="1306.0000" Price="1306.0000" ReadyDate="2017-12-01T07:30:01" FinishDate="2017-11-29T20:39:52.870" State="normal"/><Probe ID="64213791" Number="3716965325" Date="2017-11-29T00:00:00" OuterNumber="66477805" Barcode="3716965325" Biomater="66" BiomaterName="Кровь (сыворотка)" Type="physical"><Probe ID="64213796" Number="P80V0018" Date="2017-11-29T12:58:26.933" Biomater="66" BiomaterName="Кровь (сыворотка)" WorkList="80" WorkListName="Пренатальный скрининг" Type="virtual"><Param State="Valid" User="A872" UserFIO="XXX" UserStaff="Врач КЛД" Code="3005" guid="7BA0745FD502A80C73C2CAD341610598" Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Group="ПРЕНАТАЛЬНЫЙ СКРИНИНГ" GroupCode="80" GroupSort="0" Page="1" Sort="2"><LinkServ IsOptional="0">2</LinkServ><Result Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Value="Готов (см.приложение)" User="A872" UserFIO="XXX" Date="2017-11-29T20:39:03.370" isVisible="1" HidePathology="0" IsNew="0"><File Name="Пренатальный скрининг 2 триместр_page1.png" Type="image" Format="png" Title="3716965325_prenetal2_page1" Description="Пренатальный скрининг 2 триместр_page1" Sort="1">iVBORw0KGgoAAAANSUhEUgAABfoAAAfuCAIAAAArOR8rAAD//0lEQVR4Xuy9P7BtQ7u+/e3oECF6iRAhQoQI0SZCtIkQIdpEiBCxI0SIECFiV50qRKg6VYgQIUKEiDfiRL7rnPtXz+nqHnPMsfb6s+cc61rBqjl79Oh++uoe/eceT/c8888///Би бүх нууц мэдээллийг "X"-ээр бөглөсөн. Бодит байдал дээр бүх зүйл нээлттэй байсан.
Ийм бүртгэлээс (Base64-ээс хөрвүүлснээр) скринингийн үр дүн бүхий PNG файлуудыг уншихад хялбар хэлбэрээр олж авахад хялбар байсан:
Бүртгэлийн нийт хэмжээ 400 МБ-аас давсан бөгөөд нийтдээ нэг сая гаруй оруулгатай байв. Бүртгэл бүр өвчтөний өвөрмөц мэдээллийг төлөөлдөггүй нь тодорхой байна.
CMD-ээс албан ёсны хариулт:
01.04.2019 оны XNUMX-р сарын XNUMX-ний өдөр Elasticsearch алдааны бүртгэл болон хадгалалтын мэдээллийн санд сул тал байгаа талаар мэдээллийг шуурхай дамжуулсанд баярлалаа.
Эдгээр мэдээлэлд үндэслэн манай ажилтнууд холбогдох мэргэжилтнүүдтэй хамтран заасан мэдээллийн санд нэвтрэх эрхийг хязгаарласан. Нууц мэдээллийг техникийн мэдээллийн санд шилжүүлэхэд гарсан алдааг зассан.
Хэрэг явдалд дүн шинжилгээ хийх явцад алдааны бүртгэлтэй заасан мэдээллийн сан олон нийтэд ил болсон нь хүний хүчин зүйлтэй холбоотой шалтгаантай болохыг олж мэдэх боломжтой байв. Мэдээллийн хандалтыг 01.04.2019-нд шууд хаасан.
Одоогийн байдлаар дотоод болон гадаад мэргэжилтнүүд мэдээлэл хамгаалах мэдээллийн технологийн дэд бүтцэд нэмэлт аудит хийх арга хэмжээ авч байна.
Манай байгууллага хувийн мэдээлэлтэй ажиллах тусгай журам, боловсон хүчний хариуцлагын тогтолцоог боловсруулсан.
Одоогийн програм хангамжийн дэд бүтэц нь алдааг хадгалахын тулд Elasticsearch мэдээллийн санг ашигладаг. Зарим системийн найдвартай байдлыг сайжруулахын тулд холбогдох серверүүдийг манай түншийн дата төв, баталгаажуулсан программ хангамж, техник хангамжийн орчин руу шилжүүлнэ.
Цаг тухайд нь мэдээлэл өгсөнд баярлалаа.
Мэдээлэл алдагдсан болон инсайдеруудын талаарх мэдээг миний Telegram сувгаас үргэлж авах боломжтой "".
Эх сурвалж: www.habr.com