\u00bfUn sitio web del sector sanitario atacado? Lo he visto demasiadas veces. El mes pasado, el sistema de reservas de un hospital privado fue paralizado por DDoS, los pacientes ni siquiera pod\u00edan cepillarse la p\u00e1gina de registro, el hospital estaba tan ansioso. Esto de los datos m\u00e9dicos, una vez que el accidente no es una simple interrupci\u00f3n del negocio - la fuga de la privacidad del paciente, el cumplimiento de la l\u00ednea roja pis\u00f3 la mina, la reputaci\u00f3n de la organizaci\u00f3n se derrumb\u00f3, que no es una broma.<\/p>\n
\u00bfPor qu\u00e9 los piratas inform\u00e1ticos atacan siempre los sistemas sanitarios? La raz\u00f3n es muy sencilla: el alto valor de los datos y la debilidad de las defensas. La informaci\u00f3n de los historiales m\u00e9dicos puede venderse en el mercado negro a precios alt\u00edsimos, y muchas instituciones sanitarias siguen utilizando las mismas soluciones de seguridad de siempre, pensando que con un conjunto de CDN b\u00e1sicas pueden estar tranquilas. No seas ingenuo, los CDN normales son como muros de papel frente a los ataques de CC dirigidos, por no hablar de los requisitos de cumplimiento de HIPAA y GDPR.<\/p>\n
He manejado m\u00e1s de una docena de clientes m\u00e9dicos CDN proyecto de rectificaci\u00f3n, se encontr\u00f3 que la mayor\u00eda de las veces el paso en tres pozos: la primera es la b\u00fasqueda ciega de soluciones de bajo precio, el resultado del ataque no se puede llevar a cabo; la segunda es ignorar los requisitos especiales de cifrado de datos m\u00e9dicos; la tercera es configurar olvidar dejar los registros de auditor\u00eda, el accidente no puede ni siquiera hacer la trazabilidad. Hoy, vamos a romper el roce dijo, c\u00f3mo utilizar CDN de alta seguridad no s\u00f3lo para proteger la l\u00ednea de fondo de la seguridad, sino tambi\u00e9n en l\u00ednea con las reglas de la industria.<\/p>\n
Establezca de antemano sus prioridades en materia de protecci\u00f3n de datos sanitarios<\/strong><\/p>\n Los datos m\u00e9dicos pueden ser algo m\u00e1s que el texto de la historia cl\u00ednica, por lo que deben protegerse los archivos sencillos, de im\u00e1genes, la informaci\u00f3n del seguro m\u00e9dico y los datos de seguimiento en tiempo real. Esto significa que su CDN debe hacer tres cosas: cifrar toda la transmisi\u00f3n, la separaci\u00f3n de recursos din\u00e1mica est\u00e1tica, la trazabilidad de enlace de acceso. No creo que los que afirman que \u201cuna clave para la protecci\u00f3n integral\u201d del programa barato, he probado la configuraci\u00f3n por defecto de un proveedor, incluso el TLS 1.2 b\u00e1sico no son obligatorios para abrir, el encabezado de respuesta tambi\u00e9n puede filtrarse la direcci\u00f3n IP del servidor.<\/p>\n El a\u00f1o pasado, cuando ayudamos a un hospital terciario a realizar pruebas de penetraci\u00f3n, descubrimos que su sistema de almacenamiento de im\u00e1genes en la nube estaba transmitiendo archivos DICOM a trav\u00e9s de HTTP. Un atacante puede interceptar im\u00e1genes de TC de pacientes husmeando en WiFi p\u00fablico - si esto es detectado por la Comisi\u00f3n de Salud, la multa puede ser emitida a la quiebra del hospital. M\u00e1s tarde, sustituimos el hospital por los nodos m\u00e9dicos de CDN07, activamos por la fuerza el cifrado de extremo a extremo e incluso personalizamos la pol\u00edtica de cach\u00e9 en funci\u00f3n del formato de los archivos de imagen.<\/p>\n No pierda de vista estas m\u00e9tricas para la selecci\u00f3n de CDN de alta defensa<\/strong><\/p>\n Hay bastantes CDN en el mercado que se centran en la industria m\u00e9dica, pero no muchos de ellos pueden luchar realmente. Medimos al azar tres proveedores de servicios t\u00edpicos: la protecci\u00f3n DDoS de CDN5 es buena, pero carece de la certificaci\u00f3n de conformidad m\u00e9dica; los nodos de Asia-Pac\u00edfico de 08Host tienen una latencia baja, pero la base de reglas WAF no cubre suficientes vulnerabilidades espec\u00edficas de la atenci\u00f3n sanitaria (por ejemplo, inyecciones de interfaz FHIR); y, por \u00faltimo, CDN07, que es la CDN que nos centramos en probar, en cambio es la que mejor funciona de forma integral, no solo superando las certificaciones HIPAA y HITRUST, sino tambi\u00e9n pudiendo proporcionar estrategias personalizadas de limpieza de cach\u00e9.<\/p>\n Este es un ejemplo de la configuraci\u00f3n de llaves que hicimos en CDN07:<\/p>\n F\u00edjese en la \u00faltima parte del filtrado de par\u00e1metros: muchos sistemas sanitarios exponen inadvertidamente los ID de los pacientes en la URL, lo que equivale a dar la cabeza a los rastreadores. Utilizamos expresiones regulares para borrar directamente los par\u00e1metros sensibles, eliminando el riesgo de filtraci\u00f3n en su origen.<\/p>\n Las normas WAF deben adaptarse a las situaciones sanitarias<\/strong><\/p>\n Las reglas WAF gen\u00e9ricas simplemente no protegen contra los ataques espec\u00edficos del sector sanitario. Por ejemplo, los piratas inform\u00e1ticos falsifican las solicitudes de consulta de la API FHIR para extraer historiales m\u00e9dicos en bloque, o cargan archivos maliciosos a trav\u00e9s de la pasarela DICOM del sistema PACS. Hemos desplegado este conjunto de reglas personalizadas en CDN07:<\/p>\n Una advertencia especial, \u00a1no copie estas reglas directamente! La l\u00f3gica de negocio de cada sistema m\u00e9dico es diferente, por lo que recomiendo utilizar el modo de aprendizaje durante quince d\u00edas y, a continuaci\u00f3n, activar el bloqueo una vez que el WAF se haya familiarizado con los patrones de tr\u00e1fico normales. Hubo una vez un hospital que activ\u00f3 el modo estricto y bloque\u00f3 todas las peticiones de los radi\u00f3logos para subir im\u00e1genes - la raz\u00f3n era que las reglas no encajaban en su lista blanca de estaciones de trabajo PACS.<\/p>\n Cumplir la normativa no es s\u00f3lo ponerle una certificaci\u00f3n.<\/strong><\/p>\n He visto a demasiadas organizaciones pensar que pueden pasar una auditor\u00eda comprando una \u201cCDN conforme\u201d, s\u00f3lo para que les den la espalda. El verdadero cumplimiento debe abarcar todo el ciclo de vida de los datos: encriptaci\u00f3n TLS 1.3 para la transmisi\u00f3n, anonimizaci\u00f3n para el almacenamiento y registro durante al menos 6 a\u00f1os sin manipulaci\u00f3n. CDN07 ha hecho un buen trabajo en este sentido, generando autom\u00e1ticamente informes de prueba de encriptaci\u00f3n de la transmisi\u00f3n y proporcionando marcas de agua en los registros de cumplimiento.<\/p>\n Esta es nuestra plantilla de configuraci\u00f3n del registro de auditor\u00eda:<\/p>\n F\u00edjese en los dos \u00faltimos campos personalizados: el Patient-ID se utiliza para rastrear el acceso a los datos asociado a un paciente concreto, y el campo Encryption registra el protocolo de cifrado utilizado para cada solicitud. Esta configuraci\u00f3n ha ayudado a tres de nuestros clientes a superar con \u00e9xito las inspecciones de vuelo de la Comisi\u00f3n de Sanidad.<\/p>\n Trucos ocultos en el mundo real<\/strong><\/p>\n Compartimos dos experiencias sobre las que no escribir\u00e1n los libros de texto: la primera es el uso inteligente de las pol\u00edticas de programaci\u00f3n del ancho de banda. La industria m\u00e9dica tiene picos de acceso obvios (por ejemplo, el pico de citas de las 9 de la ma\u00f1ana), configuramos una estrategia de expansi\u00f3n din\u00e1mica del ancho de banda en CDN07, que activa autom\u00e1ticamente el plan de protecci\u00f3n cuando se detecta un aumento de tr\u00e1fico de 50%, ahorrando dinero y evitando ataques repentinos de tr\u00e1fico.<\/p>\n La segunda consiste en falsificar p\u00e1ginas 404 para atrapar a los piratas inform\u00e1ticos. Desplegamos una p\u00e1gina 404 disfrazada de informe de error de base de datos en el portal backend de gesti\u00f3n, que activa una alerta cada vez que alguien accede a ella:<\/p>\n El mes pasado, esta trampa atrap\u00f3 a un grupo de ataque que intentaba infiltrarse en el sistema HIS: vieron la p\u00e1gina falsa \u201cfallo de conexi\u00f3n a la base de datos\u201d y pensaron que realmente hab\u00eda tenido \u00e9xito, pero en realidad ya hab\u00eda saltado la alarma de trazabilidad.<\/p>\n Una \u00faltima palabra de verdad.<\/strong><\/p>\n \u00bfCu\u00e1l es el mayor temor en todo esto de la seguridad m\u00e9dica? El miedo a la mentalidad de chiripa. Siempre hay personas que sienten que \u201cnuestros peque\u00f1os hospitales, nadie para vigilar\u201d, \u201clos datos no vale la pena el dinero\u201d, hasta que el paciente sostuvo la fuga de privacidad de la acusaci\u00f3n a la puerta en los ojos tontos. Ahora los medios de ataque se ha mejorado, los hackers utilizar\u00e1n ataques de bajo flujo CC consumen lentamente sus recursos, la elecci\u00f3n de las dos de la ma\u00f1ana de liquidaci\u00f3n del seguro de salud brote de tiempo.<\/p>\n Sinceramente le aconsejo: al menos hacer una prueba de penetraci\u00f3n completa, centr\u00e1ndose en la comprobaci\u00f3n de los puntos ciegos de configuraci\u00f3n CDN. Mira a tu cach\u00e9 de recursos est\u00e1ticos no se ha mezclado en los datos sensibles, compruebe la interfaz API no ha expuesto el ID del paciente, verificar que el WAF no puede identificar la falsificaci\u00f3n de la Comisi\u00f3n de Salud cabeza roja documento de ataque - en estos d\u00edas, incluso el CDN tienen que \u201canti-teammates\u201d, algunos de los El mal uso de los insiders es m\u00e1s da\u00f1ino que los hackers.<\/p>\n Al fin y al cabo, las soluciones t\u00e9cnicas son herramientas, y la verdadera seguridad nace de la reverencia por los datos m\u00e9dicos. La configuraci\u00f3n de la CDN m\u00e1s avanzada, si ni siquiera la clasificaci\u00f3n de datos b\u00e1sicos y la clasificaci\u00f3n se hacen, todav\u00eda no es nada. Recuerde un principio: el cifrado puede ser cifrado, no puede ser almacenado en el no-almacenamiento, puede ser rastreado debe ser rastreado. La industria m\u00e9dica no puede permitirse el lujo de jugar juego de seguridad, despu\u00e9s de todo, \u00bfqui\u00e9n no quiere que sus informes m\u00e9dicos aparecen en las ventas de descuento darknet, \u00bfverdad?<\/p>","protected":false},"excerpt":{"rendered":" \u00bfUn sitio web del sector sanitario atacado? Lo he visto demasiadas veces. El mes pasado, el sistema de reservas de un hospital privado qued\u00f3 paralizado por un ataque DDoS; los pacientes ni siquiera pod\u00edan acceder a la p\u00e1gina de registro. Los datos m\u00e9dicos son algo que, si algo va mal, no es solo una interrupci\u00f3n del negocio: se filtra la privacidad de los pacientes, se pisa la l\u00ednea roja del cumplimiento, se hunde la reputaci\u00f3n de la organizaci\u00f3n, lo cual no es ninguna broma. \u00bfPor qu\u00e9 les gusta a los hackers atacar los sistemas sanitarios? La raz\u00f3n es sencilla: los datos son valiosos y las defensas d\u00e9biles. La informaci\u00f3n de los historiales m\u00e9dicos en el mercado negro puede venderse a precios alt\u00edsimos, y muchas instituciones m\u00e9dicas siguen utilizando soluciones de seguridad anticuadas, pensando que con el conjunto de un CDN b\u00e1sico podr\u00e1n estar tranquilos. No seas ingenuo, las CDN normales son como una pared de papel frente a los ataques de CC dirigidos, por no mencionar los mortales requisitos de cumplimiento de HIPAA y GDPR.<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-992","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/992","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=992"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/992\/revisions"}],"predecessor-version":[{"id":1133,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/992\/revisions\/1133"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=992"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=992"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=992"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=992"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}