موقع إلكتروني في مجال الرعاية الصحية يتعرض للهجوم؟ لقد رأيت ذلك يحدث عدة مرات. في الشهر الماضي، أصيب نظام الحجز في مستشفى خاص بالشلل بسبب DDoS، لم يتمكن المرضى حتى من تصفح صفحة التسجيل، كان المستشفى قلقًا للغاية. هذا الشيء المتعلق بالبيانات الطبية، بمجرد وقوع الحادث ليس مجرد انقطاع بسيط في العمل - تسرب خصوصية المريض، داس الخط الأحمر للامتثال على المنجم، وانهارت سمعة المؤسسة، وهذا ليس مزحة.
لماذا يستهدف القراصنة دائمًا أنظمة الرعاية الصحية؟ السبب بسيط للغاية: القيمة العالية للبيانات وضعف الدفاعات. يمكن بيع معلومات السجلات الطبية في السوق السوداء بأسعار باهظة للغاية، ولا تزال العديد من مؤسسات الرعاية الصحية تستخدم نفس الحلول الأمنية القديمة، معتقدةً أن مجموعة من شبكات CDN الأساسية يمكن أن تريحها. لا تكن ساذجًا، فشبكات CDN العادية مثل الجدران الورقية أمام هجمات CC المستهدفة، ناهيك عن متطلبات الامتثال لقانون HIPAA واللائحة العامة لحماية البيانات.
لقد تعاملت مع أكثر من اثني عشر مشروع تصحيح CDN للعملاء الطبيين، وجدت أننا في معظم الأحيان خطوة على ثلاث حفر: الأول هو السعي الأعمى للحلول منخفضة السعر، لا يمكن أن تحمل نتيجة الهجوم؛ والثاني هو تجاهل متطلبات التشفير الخاصة للبيانات الطبية؛ والثالث هو تكوين لنسيان ترك سجلات التدقيق، لا يمكن للحادث حتى القيام بالتتبع. اليوم، سوف نكسر اليوم فرك قال، كيفية استخدام CDN عالية الأمان ليس فقط لحماية الحد الأدنى من الأمان، ولكن أيضًا بما يتماشى مع قواعد الصناعة.
الوصول إلى جوهر حماية بيانات الرعاية الصحية
يمكن أن تكون البيانات الطبية أكثر من مجرد نص السجل الطبي، لذا يجب حماية ملفات الصور البسيطة ومعلومات التأمين الصحي وبيانات المراقبة في الوقت الفعلي. وهذا يعني أن شبكة CDN الخاصة بك يجب أن تقوم بثلاثة أشياء: تشفير الإرسال بالكامل، والفصل الديناميكي الثابت للموارد، وإمكانية تتبع رابط الوصول. لا تصدق أولئك الذين يزعمون أن “مفتاح الحماية الشاملة” للبرنامج الرخيص، لقد اختبرت التكوين الافتراضي لأحد البائعين، حتى TLS 1.2 الأساسي ليس إلزاميًا لفتحه، يمكن أن يتسرب رأس الاستجابة أيضًا عنوان IP الخاص بالخادم.
في العام الماضي، عندما ساعدنا مستشفى من الدرجة الثالثة على إجراء اختبار الاختراق، وجدنا أن نظام تخزين الصور السحابية الخاص به كان ينقل ملفات DICOM عبر HTTP. يمكن للمهاجم أن يعترض صور الأشعة المقطعية للمرضى عن طريق الاستنشاق على شبكة الواي فاي العامة - إذا تم اكتشاف ذلك من قبل هيئة الصحة، يمكن أن تصدر غرامة على المستشفى المفلس. في وقت لاحق، قمنا باستبدال المستشفى بالعقد الطبية CDN07، وفرضنا تمكين التشفير من طرف إلى طرف، وحتى تخصيص سياسة التخزين المؤقت وفقًا لتنسيق ملف الصورة.
راقب هذه المقاييس لاختيار شبكة CDN عالية الدفاع عن النفس
هناك عدد غير قليل من شبكات CDN في السوق التي تركز على القطاع الطبي، ولكن لا يمكن للكثير منها أن تقاتل حقاً. وبقياس عشوائي لثلاثة مزودي خدمة نموذجيين: حماية CDN5 من DDoS جيدة، ولكنها تفتقر إلى شهادة الامتثال الطبي؛ عقد 08Host في آسيا والمحيط الهادئ لديها زمن استجابة منخفض، ولكن قاعدة قواعد WAF لا تغطي ما يكفي من الثغرات الخاصة بالرعاية الصحية (على سبيل المثال، حقن واجهة FHIR)؛ وأخيراً CDN07، وهي شبكة CDN التي نركز على اختبارها، بدلاً من ذلك تؤدي أفضل أداء بطريقة شاملة، ليس فقط اجتياز شهادات HIPAA و HITRUST، ولكن أيضًا القدرة على توفير استراتيجيات مخصصة لتنظيف ذاكرة التخزين المؤقت.
هذا مثال على تكوين المفتاح الذي قمنا به في CDN07:
لاحظ هذا الجزء الأخير من تصفية المعلمات - ستكشف العديد من أنظمة الرعاية الصحية عن غير قصد معرّفات المرضى في عنوان URL، وهو ما يعادل إعطاء الرأس لبرامج الزحف. نحن نستخدم التعبيرات العادية لمسح المعلمات الحساسة مباشرةً، مما يحد من خطر التسريب من المصدر.
يجب أن تكون قواعد WAF مصممة خصيصًا لسيناريوهات الرعاية الصحية
لا تحمي قواعد WAF العامة ببساطة من الهجمات الخاصة بمجال الرعاية الصحية. على سبيل المثال، سيقوم المخترقون بتزييف طلبات استعلام FHIR API لسحب السجلات الطبية بشكل مجمّع، أو تحميل ملفات خبيثة من خلال بوابة DICOM لنظام PACS. قمنا بنشر هذه المجموعة من القواعد المخصصة على CDN07:
كلمة تحذير خاصة، لا تنسخ هذه القواعد مباشرةً! يختلف منطق العمل في كل نظام طبي عن الآخر، لذا أوصي بتشغيلها في وضع التعلّم لمدة أسبوعين، ثم تشغيل الحظر بعد أن يتعرف WAF على أنماط حركة المرور العادية. كان هناك مستشفى قام في إحدى المرات بتشغيل الوضع الصارم وحظر جميع الطلبات من أخصائيي الأشعة لتحميل الصور - والسبب هو أن القواعد لم تكن تتناسب مع القائمة البيضاء لمحطة عمل PACS الخاصة بهم.
لا يقتصر الامتثال على مجرد لصق شهادة عليه.
لقد رأيت الكثير من المؤسسات التي تعتقد أن بإمكانها اجتياز التدقيق من خلال شراء “شبكة CDN متوافقة”، إلا أنها تفاجأ بأن رؤوسها قد انقلبت. يحتاج الامتثال الحقيقي إلى تشغيل الامتثال خلال دورة حياة البيانات بأكملها: تشفير TLS 1.3 للإرسال، وإخفاء الهوية للتخزين، والتسجيل لمدة 6 سنوات على الأقل دون تلاعب. لقد قام CDN07 بعمل جيد في هذا الصدد، حيث يقوم تلقائيًا بإنشاء تقارير إثبات تشفير الإرسال، وتوفير علامة مائية لسجلات الامتثال.
هذا هو قالب تكوين سجل التدقيق الخاص بنا:
لاحظ الحقلين المخصصين الأخيرين: يتم استخدام معرف المريض لتتبع الوصول إلى البيانات المرتبطة بمريض معين، ويسجل حقل التشفير بروتوكول التشفير المستخدم لكل طلب. وقد ساعد هذا التكوين ثلاثة من عملائنا على اجتياز عمليات التفتيش التي تجريها هيئة الصحة بنجاح.
الحيل الخفية في العالم الحقيقي
مشاركة تجربتين لن تكتب عنهما الكتب المدرسية: الأولى هي الاستخدام الذكي لسياسات جدولة النطاق الترددي. فالصناعة الطبية لديها ذروة وصول واضحة (على سبيل المثال، ذروة المواعيد في الساعة 9 صباحًا)، قمنا بتكوين استراتيجية ديناميكية لتوسيع النطاق الترددي على CDN07، والتي تقوم تلقائيًا بتشغيل خطة الحماية عند اكتشاف زيادة في حركة المرور بمقدار 501 تيرابايت 3 تيرابايت، مما يوفر المال ويمنع هجمات حركة المرور المفاجئة.
والثاني هو تزييف 404 صفحات للقبض على المخترقين. لقد نشرنا صفحة 404 متخفية في شكل تقرير خطأ في قاعدة البيانات في البوابة الخلفية للإدارة، والتي تطلق تنبيهًا كلما دخل إليها شخص ما:
في الشهر الماضي، أوقع هذا الفخ بمجموعة هجومية حاولت التسلل إلى نظام HIS - لقد شاهدوا الصفحة المزيفة “فشل الاتصال بقاعدة البيانات” وظنوا أنها ناجحة بالفعل، لكنها في الواقع كانت قد أطلقت إنذار التتبع بالفعل.
كلمة أخيرة من الحقيقة
ما هو الخوف الأكبر في مسألة السلامة الطبية هذه؟ الخوف من عقلية الحظ. هناك دائمًا أناس يشعرون بأن “مستشفياتنا الصغيرة، لا أحد يراقب”، “البيانات لا تساوي المال”، حتى أن المريض الذي كان يحمل تسريب الخصوصية في لائحة الاتهام إلى الباب على العيون السخيفة. الآن وقد تم ترقية وسائل الهجوم، سيستخدم المتسللون هجمات CC منخفضة التدفق تستهلك مواردك ببطء، واختيار الساعة الثانية صباحًا وقت تسوية التأمين الصحي اندلاع وقت تسوية التأمين الصحي.
أنصحك بإخلاص: على الأقل قم بإجراء اختبار اختراق كامل، مع التركيز على التحقق من النقاط العمياء لتكوين CDN. انظر إلى ذاكرة التخزين المؤقت للموارد الثابتة لم يتم خلطها بالبيانات الحساسة، وتحقق من أن واجهة واجهة واجهة برمجة التطبيقات لم تكشف عن معرف المريض، وتحقق من أن WAF لا يمكنه تحديد هجوم مستند الرأس الأحمر المزور للجنة الصحة - في هذه الأيام حتى CDN لديها “مضادات هجومية”، بعض سوء استخدام المطلعين أكثر ضررًا من المتسللين.
في النهاية، الحلول التقنية هي أدوات، والأمان الحقيقي ينبع من تقديس البيانات الطبية. إن تكوين شبكة CDN الأكثر تقدمًا، إذا لم يتم حتى تصنيف البيانات الأساسية وتصنيفها، فإنها لا تزال لا شيء. تذكر مبدأ: التشفير يمكن تشفيره، لا يمكن تخزينه على غير المخزن، يمكن تتبعه يجب تتبعه. لا يمكن للصناعة الطبية أن تتحمل المقامرة الأمنية، فبعد كل شيء، من لا يريد أن تظهر تقاريره الطبية على مبيعات الخصم على الشبكة المظلمة، أليس كذلك؟
