Всі ваші аналізи у відкритому доступі

І знову здрастуйте! У мене знову знайшлася для вас відкрита база із медичними даними. Нагадаю, що зовсім недавно тут було три мої статті на цю тему: витік персональних даних пацієнтів та лікарів з медичного онлайн-сервісу DOC+, вразливість сервісу «Доктор поруч» и витік даних станцій швидкої медичної допомоги.

На цей раз у відкритому доступі опинився сервер Elasticsearch з логами медичної IT-системи мережі лабораторій.Центр молекулярної діагностики»(CMD, www.cmd-online.ru).

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.

Сервер був знайдений вранці 1 квітня і це мені зовсім не здалося смішним. Оповіщення про проблему пішло в CMD приблизно о 10-й ранку (МСК) і близько 15:00 база стала недоступною.

За даними пошукача Shodan цей сервер вперше потрапив у відкритий доступ 09.03.2019. Про те, як виявляють відкриті бази даних Elasticsearchя писав окрему статтю.

З ліг можна було отримати дуже чутливу інформацію, включаючи ПІБ, стать, дати народження пацієнтів, ПІБ лікарів, вартість досліджень, дані досліджень, файли з результатами скринінгу і багато іншого.

Приклад лога з результатами аналізів пацієнта:

"<Message FromSystem="CMDLis" ToSystem="Any" Date="2019-02-26T14:40:23.773"><Patient ID="9663150" Code="A18196930" Family="XXX" Name="XXX" Patronymic="XXX" BornDate="XXX-03-29" SexType="F"><Document>Паспорт</Document><Order ID="11616539" Number="DWW9867570" State="normal" Date="2017-11-29T12:58:26.933" Department="1513" DepartmentAltey="13232" DepartmentName="Смайл Элит" FullPrice="1404.0000" Price="1404.0000" Debt="1404.0000" NaprOrdered="2" NaprCompleted="2" ReadyDate="2017-12-01T07:30:01" FinishDate="2017-11-29T20:39:52.870" Registrator="A759" Doctor="A75619" DoctorFamily="XXX" DoctorName="XXX" DoctorPatronymic="XXX"><OrderInfo Name="TEMP_CODE">0423BF97FA5E</OrderInfo><OrderInfo Name="Беременность">-1</OrderInfo><OrderInfo Name="Пин">DWW98675708386841791</OrderInfo><OrderInfo Name="СкидкаНаЗаказ">0</OrderInfo><OrderInfo Name="СМКдействителенДо">18.03.2019</OrderInfo><OrderInfo Name="СМКсертификат">РОСС RU.13СК03.00601</OrderInfo><Serv Link="1" PathologyServ="1" Code="110101" Name="Общий анализ мочи (Urine test) с микроскопией осадка" Priority="NORMAL" FullPrice="98.0000" Price="98.0000" ReadyDate="2017-11-30T07:30:01" FinishDate="2017-11-29T20:14:22.160" State="normal"/><Serv Link="2" Code="300024" Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Priority="NORMAL" FullPrice="1306.0000" Price="1306.0000" ReadyDate="2017-12-01T07:30:01" FinishDate="2017-11-29T20:39:52.870" State="normal"/><Probe ID="64213791" Number="3716965325" Date="2017-11-29T00:00:00" OuterNumber="66477805" Barcode="3716965325" Biomater="66" BiomaterName="Кровь (сыворотка)" Type="physical"><Probe ID="64213796" Number="P80V0018" Date="2017-11-29T12:58:26.933" Biomater="66" BiomaterName="Кровь (сыворотка)" WorkList="80" WorkListName="Пренатальный скрининг" Type="virtual"><Param State="Valid" User="A872" UserFIO="XXX" UserStaff="Врач КЛД" Code="3005" guid="7BA0745FD502A80C73C2CAD341610598" Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Group="ПРЕНАТАЛЬНЫЙ СКРИНИНГ" GroupCode="80" GroupSort="0" Page="1" Sort="2"><LinkServ IsOptional="0">2</LinkServ><Result Name="Пренатальный скрининг II триместра беременности, расчет риска хромосомных аномалий плода, программа LifeCycle (DELFIA)" Value="Готов (см.приложение)" User="A872" UserFIO="XXX" Date="2017-11-29T20:39:03.370" isVisible="1" HidePathology="0" IsNew="0"><File Name="Пренатальный скрининг 2 триместр_page1.png" Type="image" Format="png" Title="3716965325_prenetal2_page1" Description="Пренатальный скрининг 2 триместр_page1" Sort="1">iVBORw0KGgoAAAANSUhEUgAABfoAAAfuCAIAAAArOR8rAAD//0lEQVR4Xuy9P7BtQ7u+/e3oECF6iRAhQoQI0SZCtIkQIdpEiBCxI0SIECFiV50qRKg6VYgQIUKEiDfiRL7rnPtXz+nqHnPMsfb6s+cc61rBqjl79Oh++uoe/eceT/c8888///

Я забив усі чутливі дані символом X. Насправді все зберігалося у відкритому вигляді.

З таких логів легко (перекодуванням з Base64) можна було отримати PNG-файли з результатами скринінгу, вже у зручному для читання вигляді:

Загальний розмір логів перевищував 400 Мб і сумарно у них містилося понад мільйон записів. Зрозуміло, що не кожен запис являв собою дані унікального пацієнта.

Офіційна відповідь від CMD:

Бажаємо подякувати Вам, за оперативно передану 01.04.2019 інформацію про наявність вразливості в базі даних логування та зберігання помилок Elasticsearch.

На основі цієї інформації, нашими співробітниками спільно з профільними фахівцями був обмежений доступ до зазначеної бази. Помилка передачі конфіденційної інформації на технічну базу виправлена.

У ході аналізу інциденту вдалося з'ясувати, що поява у відкритому доступі вказаної бази з логами помилок сталася з причини, пов'язаної з людським фактором. Доступ до даних оперативно закрито 01.04.2019.

На даний момент внутрішніми та залученими зовнішніми фахівцями проводяться заходи для додаткового аудиту ІТ-інфраструктури щодо захисту даних.

Нашою організацією розроблено спеціальний регламент роботи з персональними даними та системою рівневої відповідальності персоналу.

Поточна програмна інфраструктура передбачає використання бази Elasticsearch для зберігання помилок. Для підвищення надійності роботи деяких систем буде здійснено міграцію відповідних серверів у ЦОД нашого партнера на сертифіковане програмно-апаратне оточення.

Дякуємо Вам за вчасно надану інформацію.

Новини про виток інформації та інсайдерів завжди можна знайти на моєму Telegram-каналі «Виток інформації».

Джерело: habr.com