Un site web du secteur de la sant\u00e9 attaqu\u00e9 ? J'ai vu cela se produire trop souvent. Le mois dernier, le syst\u00e8me de r\u00e9servation d'un h\u00f4pital priv\u00e9 a \u00e9t\u00e9 paralys\u00e9 par un DDoS, les patients ne pouvaient m\u00eame pas effleurer la page d'inscription, l'h\u00f4pital \u00e9tait tellement inquiet. Cette affaire de donn\u00e9es m\u00e9dicales, une fois l'accident survenu, n'est pas une simple interruption d'activit\u00e9 - fuite de la vie priv\u00e9e des patients, ligne rouge de conformit\u00e9 franchie, la r\u00e9putation de l'organisation s'est effondr\u00e9e, ce qui n'est pas une plaisanterie.<\/p>\n
Pourquoi les pirates informatiques s'en prennent-ils toujours aux syst\u00e8mes de sant\u00e9 ? La raison est tr\u00e8s simple : la valeur \u00e9lev\u00e9e des donn\u00e9es et la faiblesse des d\u00e9fenses. Les informations relatives aux dossiers m\u00e9dicaux peuvent \u00eatre vendues sur le march\u00e9 noir \u00e0 des prix astronomiques, et de nombreux \u00e9tablissements de sant\u00e9 utilisent encore des solutions de s\u00e9curit\u00e9 d\u00e9pass\u00e9es, pensant que l'ensemble d'un CDN de base leur permettra d'\u00eatre rassur\u00e9s. Ne soyez pas na\u00effs, les CDN ordinaires sont comme un mur de papier face aux attaques cibl\u00e9es de CC, sans parler des exigences de conformit\u00e9 HIPAA et GDPR.<\/p>\n
J'ai g\u00e9r\u00e9 plus d'une douzaine de projets de rectification de CDN pour des clients du secteur m\u00e9dical, et j'ai constat\u00e9 que nous marchons le plus souvent sur trois plates-bandes : la premi\u00e8re est la poursuite aveugle de solutions \u00e0 bas prix, le r\u00e9sultat de l'attaque ne peut pas \u00eatre port\u00e9 ; la deuxi\u00e8me est d'ignorer les exigences sp\u00e9ciales de cryptage des donn\u00e9es m\u00e9dicales ; la troisi\u00e8me est de configurer pour oublier de laisser les journaux d'audit, l'accident ne peut m\u00eame pas faire de la tra\u00e7abilit\u00e9. Aujourd'hui, nous allons nous pencher sur la question du frottement, comment utiliser un CDN de haute s\u00e9curit\u00e9 non seulement pour prot\u00e9ger les r\u00e9sultats en mati\u00e8re de s\u00e9curit\u00e9, mais aussi pour se conformer aux r\u00e8gles de l'industrie.<\/p>\n
Aller au fond des choses en mati\u00e8re de protection des donn\u00e9es dans le domaine de la sant\u00e9<\/strong><\/p>\n Les donn\u00e9es m\u00e9dicales peuvent \u00eatre plus que le simple texte du dossier m\u00e9dical si simple, les fichiers images, les informations de l'assurance maladie, les donn\u00e9es de suivi en temps r\u00e9el doivent \u00eatre prot\u00e9g\u00e9es. Cela signifie que votre CDN doit faire trois choses : crypter l'ensemble de la transmission, s\u00e9parer les ressources statiques et dynamiques, assurer la tra\u00e7abilit\u00e9 des liens d'acc\u00e8s. Ne croyez pas ceux qui pr\u00e9tendent que \u201cla cl\u00e9 de la protection int\u00e9grale\u201d du programme bon march\u00e9, j'ai test\u00e9 la configuration par d\u00e9faut d'un fournisseur, m\u00eame le TLS 1.2 de base n'est pas obligatoire pour ouvrir l'en-t\u00eate de r\u00e9ponse qui peut \u00eatre manqu\u00e9e hors de l'adresse IP du serveur.<\/p>\n L'ann\u00e9e derni\u00e8re, lorsque nous avons aid\u00e9 un h\u00f4pital tertiaire \u00e0 effectuer des tests de p\u00e9n\u00e9tration, nous avons d\u00e9couvert que son syst\u00e8me de stockage d'images en nuage transmettait en fait des fichiers DICOM via HTTP. Un attaquant peut intercepter des images de tomodensitom\u00e9trie de patients en reniflant sur le WiFi public - si cela est d\u00e9tect\u00e9 par la Commission de la sant\u00e9, l'amende peut \u00eatre inflig\u00e9e \u00e0 l'h\u00f4pital en faillite. Par la suite, nous avons remplac\u00e9 l'h\u00f4pital par les n\u0153uds m\u00e9dicaux de CDN07, forc\u00e9 l'activation du cryptage de bout en bout et m\u00eame personnalis\u00e9 la politique de mise en cache en fonction du format du fichier image.<\/p>\n Gardez un \u0153il sur ces indicateurs pour s\u00e9lectionner un CDN de haute d\u00e9fense.<\/strong><\/p>\n Il existe un certain nombre de CDN sur le march\u00e9 qui se concentrent sur l'industrie m\u00e9dicale, mais peu d'entre eux peuvent vraiment lutter. Nous avons mesur\u00e9 au hasard trois fournisseurs de services typiques : la protection DDoS de CDN5 est bonne, mais n'a pas de certification de conformit\u00e9 m\u00e9dicale ; les n\u0153uds Asie-Pacifique de 08Host ont une faible latence, mais la base de r\u00e8gles WAF ne couvre pas suffisamment de vuln\u00e9rabilit\u00e9s sp\u00e9cifiques aux soins de sant\u00e9 (par exemple, les injections d'interface FHIR) ; et enfin CDN07, qui est le CDN que nous nous concentrons sur les tests, est le plus performant d'une mani\u00e8re globale, non seulement en passant les certifications HIPAA et HITRUST, mais aussi en \u00e9tant en mesure de fournir des strat\u00e9gies de nettoyage de cache personnalis\u00e9es.<\/p>\n Voici un exemple de la configuration des cl\u00e9s que nous avons effectu\u00e9e sur CDN07 :<\/p>\n Remarquez le dernier \u00e9l\u00e9ment de filtrage des param\u00e8tres : de nombreux syst\u00e8mes de sant\u00e9 exposent par inadvertance les identifiants des patients dans l'URL, ce qui \u00e9quivaut \u00e0 donner la priorit\u00e9 aux robots d'indexation. Nous utilisons des expressions r\u00e9guli\u00e8res pour effacer directement les param\u00e8tres sensibles, r\u00e9duisant ainsi le risque de fuite \u00e0 la source.<\/p>\n Les r\u00e8gles WAF doivent \u00eatre adapt\u00e9es aux sc\u00e9narios de soins de sant\u00e9<\/strong><\/p>\n Les r\u00e8gles g\u00e9n\u00e9riques du WAF ne prot\u00e8gent tout simplement pas contre les attaques sp\u00e9cifiques au secteur de la sant\u00e9. Par exemple, les pirates falsifieront les demandes d'API FHIR pour extraire des dossiers m\u00e9dicaux en masse, ou t\u00e9l\u00e9chargeront des fichiers malveillants par le biais de la passerelle DICOM du syst\u00e8me PACS. Nous avons d\u00e9ploy\u00e9 cet ensemble de r\u00e8gles personnalis\u00e9es sur CDN07 :<\/p>\n Une mise en garde s'impose : ne copiez pas ces r\u00e8gles directement ! La logique commerciale de chaque syst\u00e8me m\u00e9dical est diff\u00e9rente, je recommande de fonctionner en mode d'apprentissage pendant une quinzaine de jours, puis d'activer le blocage une fois que le WAF s'est familiaris\u00e9 avec les sch\u00e9mas de trafic normaux. Il est arriv\u00e9 qu'un h\u00f4pital active le mode strict et bloque toutes les demandes de t\u00e9l\u00e9chargement d'images \u00e9manant de radiologues, car les r\u00e8gles ne correspondaient pas \u00e0 la liste blanche de leur poste de travail PACS.<\/p>\n La conformit\u00e9 ne se limite pas \u00e0 l'apposition d'une certification.<\/strong><\/p>\n J'ai vu trop d'organisations penser qu'elles pouvaient passer un audit en achetant un \u201cCDN conforme\u201d, mais elles se sont heurt\u00e9es \u00e0 une fin de non-recevoir. La v\u00e9ritable conformit\u00e9 doit porter sur l'ensemble du cycle de vie des donn\u00e9es : cryptage TLS 1.3 pour la transmission, anonymisation pour le stockage et journalisation pendant au moins six ans sans alt\u00e9ration. CDN07 a fait du bon travail \u00e0 cet \u00e9gard, en g\u00e9n\u00e9rant automatiquement des rapports de preuve de cryptage de la transmission et en fournissant un filigrane pour les journaux de conformit\u00e9.<\/p>\n Il s'agit de notre mod\u00e8le de configuration du journal d'audit :<\/p>\n Remarquez les deux derniers champs personnalis\u00e9s : l'identifiant du patient est utilis\u00e9 pour suivre l'acc\u00e8s aux donn\u00e9es associ\u00e9 \u00e0 un patient sp\u00e9cifique, et le champ de cryptage enregistre le protocole de cryptage utilis\u00e9 pour chaque demande. Cette configuration a permis \u00e0 trois de nos clients de passer avec succ\u00e8s les inspections en vol de la Commission de la sant\u00e9.<\/p>\n Des astuces cach\u00e9es dans le monde r\u00e9el<\/strong><\/p>\n Partagez deux exp\u00e9riences que les manuels ne d\u00e9crivent pas : la premi\u00e8re est l'utilisation intelligente des politiques de planification de la bande passante. L'industrie m\u00e9dicale conna\u00eet des pics d'acc\u00e8s \u00e9vidents (par exemple, le pic de rendez-vous de 9 heures). Nous avons configur\u00e9 une strat\u00e9gie d'expansion dynamique de la bande passante sur CDN07, qui d\u00e9clenche automatiquement le plan de protection lorsqu'un pic de trafic de 50% est d\u00e9tect\u00e9, ce qui permet d'\u00e9conomiser de l'argent et d'\u00e9viter les attaques soudaines du trafic.<\/p>\n La seconde consiste \u00e0 cr\u00e9er de fausses pages 404 pour pi\u00e9ger les pirates. Nous avons d\u00e9ploy\u00e9 une page 404 d\u00e9guis\u00e9e en rapport d'erreur de base de donn\u00e9es dans le portail de gestion, qui d\u00e9clenche une alerte chaque fois que quelqu'un y acc\u00e8de :<\/p>\n Le mois dernier, ce pi\u00e8ge a surpris un groupe d'attaquants qui tentait de s'infiltrer dans le syst\u00e8me HIS - ils ont vu la fausse page \u201c\u00e9chec de la connexion \u00e0 la base de donn\u00e9es\u201d et ont cru que l'op\u00e9ration \u00e9tait vraiment r\u00e9ussie, mais en fait elle avait d\u00e9j\u00e0 d\u00e9clench\u00e9 l'alarme de tra\u00e7abilit\u00e9.<\/p>\n Un dernier mot de v\u00e9rit\u00e9.<\/strong><\/p>\n Quelle est la plus grande crainte dans toute cette histoire de s\u00e9curit\u00e9 m\u00e9dicale ? La peur de la mentalit\u00e9 du hasard. Il y a toujours des gens qui pensent que \u201cnous sommes de petits h\u00f4pitaux, personne ne nous regarde\u201d, que \u201cles donn\u00e9es ne valent pas de l'argent\u201d, jusqu'\u00e0 ce que le patient tienne la fuite de la vie priv\u00e9e de l'acte d'accusation jusqu'\u00e0 la porte des yeux stupides. Maintenant que les moyens d'attaque ont \u00e9t\u00e9 am\u00e9lior\u00e9s, les pirates utiliseront des attaques CC \u00e0 faible d\u00e9bit qui consommeront lentement vos ressources, en choisissant deux heures du matin pour l'\u00e9pid\u00e9mie de r\u00e8glement de l'assurance maladie.<\/p>\n Je vous conseille sinc\u00e8rement de faire au moins un test de p\u00e9n\u00e9tration complet, en vous concentrant sur la v\u00e9rification des angles morts de la configuration du CDN. V\u00e9rifiez que votre cache de ressources statiques n'a pas \u00e9t\u00e9 m\u00e9lang\u00e9 \u00e0 des donn\u00e9es sensibles, que l'interface API n'a pas expos\u00e9 l'identifiant du patient, que le WAF ne peut pas identifier l'attaque du faux document de la Commission de la sant\u00e9 - de nos jours, m\u00eame le CDN doit \u201cpr\u00e9venir les co\u00e9quipiers\u201d, certains des plus grands noms de l'industrie de la sant\u00e9. L'utilisation abusive d'initi\u00e9s est plus n\u00e9faste que les pirates informatiques.<\/p>\n Apr\u00e8s tout, les solutions techniques sont des outils, et la v\u00e9ritable s\u00e9curit\u00e9 d\u00e9coule du respect des donn\u00e9es m\u00e9dicales. La configuration du CDN le plus avanc\u00e9, si m\u00eame la classification et le classement de base des donn\u00e9es ne sont pas effectu\u00e9s, ce n'est encore rien. N'oubliez pas un principe : le cryptage peut \u00eatre crypt\u00e9, il ne peut pas \u00eatre stock\u00e9 sur le non stockage, il peut \u00eatre retrac\u00e9 doit \u00eatre retrac\u00e9. L'industrie m\u00e9dicale ne peut pas se permettre de jouer avec la s\u00e9curit\u00e9, apr\u00e8s tout, qui ne veut pas que ses rapports m\u00e9dicaux apparaissent sur les ventes au rabais du darknet, n'est-ce pas ?<\/p>","protected":false},"excerpt":{"rendered":" Un site web du secteur de la sant\u00e9 attaqu\u00e9 ? J'ai vu cela se produire trop souvent. Le mois dernier, le syst\u00e8me de r\u00e9servation d'un h\u00f4pital priv\u00e9 a \u00e9t\u00e9 paralys\u00e9 par un DDoS, les patients ne pouvaient m\u00eame pas effleurer la page d'inscription, tant l'h\u00f4pital \u00e9tait inquiet. Les donn\u00e9es m\u00e9dicales sont quelque chose qui, en cas de probl\u00e8me, ne se limite pas \u00e0 une interruption d'activit\u00e9 - fuite de la vie priv\u00e9e des patients, ligne rouge en mati\u00e8re de conformit\u00e9, effondrement de la r\u00e9putation de l'organisation, ce qui n'est pas une plaisanterie. Pourquoi les pirates informatiques aiment-ils cibler les syst\u00e8mes de sant\u00e9 ? La raison est simple : les donn\u00e9es sont pr\u00e9cieuses et les d\u00e9fenses sont faibles. Sur le march\u00e9 noir, les informations relatives aux dossiers m\u00e9dicaux peuvent \u00eatre vendues \u00e0 des prix astronomiques, et de nombreuses institutions m\u00e9dicales utilisent encore des solutions de s\u00e9curit\u00e9 d\u00e9pass\u00e9es, pensant que l'ensemble d'un CDN de base leur permettra de dormir sur leurs deux oreilles. Ne soyez pas na\u00effs, les CDN ordinaires sont comme un mur de papier face aux attaques CC cibl\u00e9es, sans parler des exigences de conformit\u00e9 mortelles de l'HIPAA et du GDPR.<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-992","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/992","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=992"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/992\/revisions"}],"predecessor-version":[{"id":1133,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/992\/revisions\/1133"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=992"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=992"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=992"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=992"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}