Kórházi számítógéphálózatok biztonsági kérdései

 ( skizo | 2006. május 2., kedd - 11:29 )

Ebből a témából kell diplomamunkát írnom, és örülnék ha tudnátok 1-2 tanácsot adni.

a.Struktúrált hálózatok készítésének speciális problémái egészségügyi intézményekben

én az átviteli közegek közül sorolnék fel néhányat, ami alkalmas lehet (átviteli sebesség szempontjából), vagy éppen megkönnyítheti a munkát pl. Wi-fi tabletpc páros.
esetleg a vékonyklienset ami költségkimélő lehet, ha a kórház rendelkezik régi gépekkel.
Milyen problémák lehetnek?

c.) A Megyei Oktató Kórház hálózatának vizsgálata, veszélyforrások felderítése?

Itt a külső támadásokon, szerver túlterheltségén kívül, mik lehetnek még?

Hozzászólás megjelenítési lehetőségek

A választott hozzászólás megjelenítési mód a „Beállítás” gombbal rögzíthető.

Szerintem mindenképpen térj ki a kórházak közti beteganyag cseréjére, ennek jogi vonatkozásaira, lehetséges/megvalósult titkosításra.

A c.) ponthoz tudnék olyat javasolni, hogy a social engineering lehetőségei a kórházi számítógépes rendszerek esetén. Tehát a nővérke milyen információt ad ki (illetékteleneknek), az orvosi vizsgálat esetén milyen lehetőségeid vannak jelszavak felderítésére (megsúgom: rengeteg), milyen biztonságos a házirend ( sokszor a belépési kódok papíron ki vannak függesztve az orvosi szoba falára ).
Mennyire őrzik a szervereket (ez mókás, épp a múlt héten ültem egy egészségügyi intézet laboratóriumának könyvtárában, ahol egyszercsak egy szekrényben elkezd túrkálni valaki egy CD-ért, aztán tárva nyitva hagyja a szekrényt. Mi volt ráírva? Központi szerver. És az volt. Nem mintha kihasználtam volna, de azért ez sztem durva..)

Remélem segítettem.

Úgy tudom, hogy több kórházban használnak Sunrayeket (persze nem Magyarországon), mivel kicsi, halk, valamint biztonságosan megőrzi a betegek adatait (mondjuk csak kártya plusz jelszó párossal használható). Viszont ha minden kórteremben van egy, akkor az orvosok bárhonnan elérhetik az adatokat gyorsan.

Egy link: http://www.sun.com/br/0305_ezine/hc_mobility.html

Jaja, jo dolog a SunRay. Nalunk is volt par darab. Halk, modern (van neki USB-je is), sot az adott asztal a kartyakihuzasakor elmentodik a szerveren es amikor masik SunRay-be bedugod a kartyat es beirod a jelszot, akkor ugyanaz latszik.

köszönöm az eddigi ötleteket, a social engineering-re én is gondoltam, de csak pl. a nővérke megvesztegetésére, nem tudtam h ilyen előfordulhat.
konkrét gyártó hardverét nem tudom belevehetem-e, anélkül h reklámnak túnne

Esetleg olvass bele a Halo Kalozai cimu konyvbe. Abban van egy korhazas fejezet. Mondjuk nagyresze kitalacio, de szerintem nem lenne nehez megvalositani a bennefoglaltakat.

Kár, hogy ilyen későn olvasom a hozzászólásod, nem hiszem h a leadásig tudnék szerezni egy ilyen könyvet.

Leginkább a c résszel van problémám:
A Megyei Oktató Kórház hálózatának vizsgálata, veszélyforrások felderítése
Amit tudok:
Nincs semmiféle biztonsági szabályzat, nem tanitanak semmit az orvosoknak (social engineering, virusok elleni védekezés).
Win98-as és Win Xp sp2-es gépek frissités nélkül, Virusbuster viruskereső.
Szerintük a tűzfal és ez sok mindent megfog, néha IE gebasz informatikus vénájú orvosoknál.
Kábel: Cat 5 kategóriás Utp, 10/100 Cisco switchek.
A hálózatot zárt olyan értelemben, hogy nincs lehetőség kivülről való kapcsolódásra pl. VPN (Virtuális Private Network) orvosoknak.
A betegek adatai a hálózaton nem titkositva közlekednek, az archiválás annyiból áll hogy az adatokat átmásolják másik szerverre (25 gigabyte).

Ami eddig irni akarok:
Biztonsági szabályzat irása. pl. nem fogják kérdezni az orvosoktól a jelszót, nem irják ki, ne függesszék ki az irodájukban. „Biztonságos netezésről” leirás.

Win Xp biztonságosabbá tételének leirása (ne rendszergazda módban használják, felesleges szolgáltatások letiltása)
win 98-as gépekből vékony klienst csinálnék (mert már nincs hozzá biztonsági frissités ..), van-e olyan szerver amit arra találtak ki h sok kliensnek szolgáltasson RDP kapcsolatot (mondjuk win2003)? akkor kellene egy példa is rá.
személyes tűzfal a gépekre, esetleges belső támadás, féreg terjedésének megakadályozására (amit még nem ismer a viruskereső)

Megfelelő archiválási módszer ajánlása.

Vannak olyan gépek amit sokan használnak van a wines bejelentkezés, és még a kórházi (betegadatok felvétele, módositása) rendszerhez, vannak akik bejelentkezve hagyják.
Erre megoldás..

Ami megnehezíti a munkámat az az, hogy nem szoftver szinten kellene írrni a dolgokról, így valószínűleg nem vehetem bele a külső behatolások elleni védekezést, hiszen ezek (nagyrésze) szoftveresen vannak megoldva.
Szívesen fogadom a tanácsaitokat :)

A W2k3-ban (W2k-ban is volt) van TerminalServer.
Ezt két féle módon lehet használni.
1. Administrator: ekkor egyidejüleg két felhasználó (Admin szintű) kapcsolódhat a TS-re.
2. Application: ekkor a beállított (fizetősen licencelt) számú felhasználó kapcsolódhat rá.
Ha jól rémlik, 50 egyidejű felhasználó /processzor és 4 GB RAM az ajánlott az MS-nél (neten kell megnézni).
Kliensnek bármilyen RDP5.1-et ismerő progi jó. Nálam pl. Ubuntu linux, de megy W98+installált RDP kliens is.
Arra kell vigyázni, hogy ne csatolhassa fel a kliens gép lemezét a szerverre, mert akkor fertőzhet is.

Egy másik kérdés: Cat5 kábelezés esetén is lényeges a csatlakozások védelme. Fizikailag hiába dug rá valaki egy laptopot a hálózatra, attól még nem láthatja a hálót (Switch megfelelő beállítás).
Egy olvasnivaló, nem rövid: ISO17799, ez a IT biztonságpolitikai szabályzatok egyik alapja.

A másik olvasnivaló a neten is elérhető ITB ajánlások.
Sok sikert!

"Ha jól rémlik, 50 egyidejű felhasználó /processzor és 4 GB RAM az ajánlott az MS-nél (neten kell megnézni)."

Kerestem, de nem találtam ilyet korlátozást.

Mert ez csak ajánlás.

Bővebben itt.

köszi :) nem gondoltam h scaling-re kellene keresni :)

Klinikán dolgozom, és a hálózati biztonság tragikus.
Nagy gyártók telepítenek WXP-ket üres adminisztrátor jelszóval, illetve W2k-t SP nélkül, pucéran...
Van olyan program, ami csak win98 alatt fut, ami szerintem a mai viszonyok között egy vírus tenyésztő egységnek is elmenne.

Szívesen segítenék, de időm az nincs.

Üdv,
Dw.

"Jegyezze fel a vádhoz - utasította Metcalf őrnagy a tizedest, aki tudott gyorsírni. - Tiszteletlenül beszélt a feljebbvalójával, amikor nem pofázott közbe."

így is segítettél, köszi

Kábelezés fizikai biztonsága, kábelrendező a folyosón vitrinzárral (ami nagyjából 1-2 perc alatt nyitható)...

Cisco-nak van vmi. jó hozzáférésvédelme (adott mac-cimmel meghatározott vlan-ba rak, bárhova dugod a gépet, illetve megfelelő agent-tel ha nincs fent a meghatározott frissítés/tűzfal/víruskergető/stb. akkor csak a frissítőszerverhez enged hozzáférni...

Amiből persze ki kell indulni, az az, hogy a biztonsgág nem eszközök vagy szabályok halmaza, hanem _elsősorban_ jól kitalált szabályzatok, amiket megfelelő hw/sw elemekkel és megoldásokkal, valamint oktatással kell megtámogatni.

(Mivel most sietek, igy megprobalom csak azt irni ami hirteen eszembe jut, aztan este visszajovok ujbol.)

Azt gondolom nem kell emliteni, hogy a magas rendelkezesre allas a legfontosabb piller amire majd a tobbi cullang epul. Ebbe ugye - mar ahogy vesszuk - a biztonsag is beleertendo. Csak a sajat kornyezetembol kiindulva, itt kb. 5-6 eve uzemel egy orszagos egeszsegugyi halozat igy ebbol levonva a tapasztalatokat talan hozza tudok tenni a temahoz.

Nezuk a hasznos dolgokat eloszor:
- Minden orvosnak van egy sajat diktafonja, amely USB-n keresztul csatlakoztathato barmely munkaallomashoz. A korhazak/szakrendelesek kozti hivatalos leveleket nem az orvos irja, hanem csak ramondja a diktafonra, majd a felvetelt egy SQL adatbazison keresztul megkapja a titkarsag. Ez az orvos idejen rengeteget megtakarit.

- Nemely korhazban/korteremben/vizsgaloban uzemel bluetooth halozat amelyhez van lehetoseg PDA csatlakoztatasara is. Ezen keresztul hozzaferhetok a beteg adatai, megelozo/meglevo betegsegei, mutetei, gyogyszeralergiai, stb. (tabetpc-t meg nem lattam)

- A rendelok varojaban a bejelentkezes 2 fele modon tortenhet, az egyik a kartonzon keresztul a hagyomanyos uton, ill. erintokepernyon keresztul, melyek a varoban vagy a bejaratnal vannak. A beteg megerkezik, beadja a szuletesi evet, honap, nap, neveinek kezdobetujet, majd helyet foglal.

Aztan, jelenlegi problemak amivel kuzd a halozat:
- Gyakoriak a leallasok, nem egyszer betegfelvetelek, mutetek varnak orakat, mert a betegek adatai elerhetetlenek. Nem egyszer egesz megyeket erint. Erre mar van workaround: kinyomtatjak a betegek legfontosabb adatait mutet elott, vagy a szomszedos korhazakat hivogatjak telefonon, majd faxolnak.

- Rengeteg a zart szoftvertechnologia, az esetleges bovitesek horribilis osszegeket emesztenek fel. (Fokent gondoljunk itt az orvosi diagnosztikai eszkozok szoftveres hatterere, pl. MRI, EEG, EKG, Rontgen, stb)

---------------------
Ригидус а бетегадьбол

Húú köszönöm az üzeneteket mindenkinek, vannak közte olyan ötletek melyek nem jutottak volna eszembe.
A közös használatú gépeken milyen azonosítást alkalmaznátok?
Ujjlenyomatos egér (nem tudom mennyire megbízható, mármint hibás működés esetén nem tudnának bejelentkezni), kártyaolvasó jut eszembe, valamint a secureid-s cucc.
A lényeg, hogy a gépet ne hagyják bejelentkezve, miután már nem használják, ezt valama idle time-al lehetne megoldani.

Az ujjlenyomat-olvasó nálam úgy működik, hogy ha nem sikerül vele belogolni, akkor Ctrl+Alt+Del, és normál jelszavas login van, de ez tiltható. Ha pedig a felhasználók jelszavai random generált sztringek, kivéve a domain adminé, aminek az első felét X, a második felét meg Y tudja csak (pontosabban X-nek, illetve Y-nak van a boríték felnyitására joga), akkor máris csak tapizással lehet belogolni.
Itt persze a jelsó-policy is kérdés, hiszen (30 naponta cserélni, 20-at megjegyez a rendszer jellegű) megoldás komoly problémát okozhat.

A SecureID-s bejelentkezésnél jobb a helyzet, hiszen ott a módszer gyakorlatilag garantálja, hogy egyszer használatosak a jelszavak -- a tojen viszont elhagyható, elcserélhető, kölcsönadható (pin-kóddal együtt) -- erre adminisztratív szabályozás kell, hasonlóan mint a jelszavaknál: Érthetően leírni, hogy az informatikai rendszerbe az adott felhasználó azonosítójával végzett valamennyi tevékenységért a hozzárendelt személy felelős.

Itt kartyaolvasokat hasznalnak. Minden alkalommal ha elhagyjak a munkaallomast, ki kell venniuk a kartyat. Ekkor a gep zarolja a fiokot, amig a fazon vissza nm jon. Egy kartyaval, maximum 3 helyre lehet bejelentkezni egyidejuleg. Tehat, ha az egyik gepen beloggolt, akkor meg masik 2 gepen beloggolhat azzal a kartyaval. ha tovabbi gepeken akar meg loggolni, akkor eloszor ki kell jelentkeznie.

Hazamenetel elott nem tud leiratkozni sem (szolgalatbol valo kilepeshez kell, hogy mennyi idot volt bent aznap), ameddig ki nem loggolja a gepeket maga utan.

---------------------
Ригидус а бетегадьбол

Az államat tekerős csörlővel kell visszahúzni a helyére... :-O

A kórház dolgozóinak készítek most egy biztonsági leírást eddig ennyire jutottam:

Soha ne írja le a jelszavát! Amennyiben elfelejtené a rendszergazdák készségesen beállítanak önnek egy újat.

Ne használjon túl egyszerű jelszót! A jelszavas rendszerek feltörése legtöbbször a gondatlanul megválasztott jelszó eredménye. Ezen okok miatt célszerű olyan jelszót választania, ami nem szerepel a szótárban, de könnyen megjegyezhető. Tipikusan rossz választás még, ha valamilyen nevet, valamilyen azonosítószámát, születésnapját, vagy címét használja jelszóként. Ezeket legtöbbször minden más lehetőség vizsgálata előtt kipróbálja a potenciális támadó.
Válasszon olyan jelszót, amit könnyen meg tud jegyezni, így nem szükséges leírnia. Ezt például úgy lehet elérni, hogy két egyszerű szót elválaszt egy számmal vagy valamilyen karakterrel, például alma7korte.
A másik módszer, hogy egy könnyen megjegyezhető mondat minden szavának első vagy utolsó betűjéből (esetleg mindkettőből) képez jelszót.
Így például a „Sok lúd disznót győz” mondatból a Sklddtgyz biztonságos jelszó állítható elő.

Ne árulja el senkinek a jelszavát! A rendszergazdák nem fogják öntől kérdezni a jelszavát, vagy megkérni, hogy állítson be egy másikat, amit ők adnak meg. Megvan rá a hatalmuk, hogy töröljék, vagy megváltoztassák a jelszavát az ön közreműködése nélkül. Ha tehát valaki ilyet kér például telefonon, vagy e-mailben magát rendszergazdának kiadva, így próbál meg jogosulatlan hozzáférést szerezni a rendszerhez.

Ne használja ugyanazt a jelszót, amit az otthoni személyes hozzáféréseihez használ! Az otthoni gépe valószínűleg sokkal gyengébb biztonsági beállításokkal fut, így könnyebb megszerezni jelszavát.

Ne nyisson meg ismeretlenektől kapott e-mailben csatolt fájlt!
A levélben valószínűleg azt állítják majd, hogy valamilyen érdekes tartalom a csatolt fájl (például Anna Kournikova meztelen képei), valójában azonban vírus.

Vajon kell még valamire figyelmeztetni őket?

"hogy állítson be egy másikat, amit ők adnak meg. Megvan rá a hatalmuk, hogy töröljék, vagy megváltoztassák a jelszavát az ön közreműködése nélkül."

Igy első olvasatban, szerintem kicsit erős a hatalmuk szó, nem biztos, hogy ez oda a legjobb...

akkor inkább jogosultságuk

Most a thin client-ről írtam, csak sajnos nincs ismerősöm aki értene hozzá, és tudna szólni ha valahol hülyeséget írnék. Ezért titeket kérlek meg rá :)

Rendelkezésre állás javítása vékony kliens technológia alkalmazásával

Javaslatom azt a célt szolgálja, hogy ha a kórház hálózatának kliensein elterjed egy eddig ismeretlen vírus, (amelyet még nem tartalmaz a víruskereső alkalmazás vírusdefiníciós fájlja, valamint a heurisztikus keresés sem képes detektálni) és használhatatlanná teszi őket, legyen lehetőség a munkavégzés folytatására a gépek vékony klienssé alakításával.
A vékony kliens lényege, hogy a kliens gép nem a saját erőforrásait használja. Csak az input és output funkciókat látja el, a feldolgozást a szerver végzi, mellyel a hálózaton keresztül kommunikál. A vékony kliens nem fogja használni a gép merevlemezét, a használni kívánt programok és az ezt biztosító futtatási környezet a szerveren futnak.

A kliens oldalon szükséges intézkedések
A vékony klienssé alakításhoz a PXES Universal Linux Thin Client szabad szoftvert ajánlom, amely CD képét bootolható formában kell kiírni. Igaz, hogy a kórházi gépek egy része nem tartalmaz CD meghajtót, de a célom nem az összes kliens használhatóvá tétele, hanem a fontosabb funkciók (betegfelvétel, beteg adatok elérése műtét előtt, stb.) biztosítása, amíg a rendszergazdák helyrehozzák a gépeket. Ehhez az osztályoknak ki kell osztani néhány PXES CD-ket és egy leírást, ami tartalmazza hogyan állítsák be a BIOS-t CD-ről való bootoláshoz, és hogy a boot splash képernyő megjelenésekor a 3-as opciót kell kiválasztani.
Ezután a live cd-n lévő Linux rendszer felismeri a számítógép hardverelemeit, a többi konfigurációs beállítást a kiszolgálón futó alkalmazások adják meg a gépnek, és a felhasználót a szokásos Windows-os bejelentkező képernyő fogadja.

A szerver oldalon szükséges beállítások

Egy vagy több Windows Server 2003-at futtató szerveren engedélyezni kell a felhasználóknak RDP-n (Remote Desktop Protocol) keresztüli kapcsolódást, a távoli asztal felhasználói csoportjában pedig, meg kell határozni, mely felhasználók vehetik igénybe a szolgáltatást. Valamint telepíteni kell azokat a programokat, melyekre szükségük lesz (például Hospitaly kliens része).

Egy két processzoros és négy Gigabyte RAM-mal rendelkező szerver körülbelül 200 kliens kiszolgálására képes, ha csak ezt a feladatot látja el, míg egy régebbi egy processzoros két gigabyte RAM-ot tartalmazó 80-120 kapcsolat ellátására elegendő. [9]

[13] Az ismert MAC című (hálókártya egyedi azonosító száma) klienseknek, DHCP szerver osztaná ki dinamikusan az IP címeket, valamint közölné melyik IP címen található a TFTP (Trivial File Transfer Protocol) szerver. A TFTP szerver segítségével a kliensek azonosítás nélkül tölthetnek le konfigurációs fájlokat, a terminál szolgáltatást biztosító szerver IP címét, valamint MAC cím alapján személyre szabott konfigurációs beállításokat, mint például billentyűzetkiosztás, vagy a monitor horizontális és vertikális frissítési frekvenciája.

ti se használtok vékony klienseket?:)

Csongrád megyében a legtöbb helyen vékonykliensek vannak. Egyszerű, SSL titkosítást is tudó terminál emulátor elég, hogy csatlakozz a rendszerhez. Természetesen csak autentikáció után férhetsz hozzá a betegadatokhoz.

- waiter -

Persze, az is lehet, hogy nem jól értelmeztem a "vékony kliens" kifejezést...

- waiter -

"A vékony klienssé alakításhoz a PXES Universal Linux Thin Client szabad szoftvert ajánlom, amely CD képét bootolható formában kell kiírni. Igaz, hogy a kórházi gépek egy része nem tartalmaz CD meghajtót, de a célom nem az összes kliens használhatóvá tétele, hanem a fontosabb funkciók (betegfelvétel, beteg adatok elérése műtét előtt, stb.) biztosítása, amíg a rendszergazdák helyrehozzák a gépeket."
En ezeket nem CD-n keresztul csinalnam, hanem boot epromon keresztul a halokartyarol, (vagy pendrive/floppi) ami a fajlszerveren levo cdimage boot particiojat (par mega) behuzza. Nem kell 335.340 db CD-rom meghajto + ugyanennyi CD + ugyanennyi helyen jatszadozni ezer eves kabelekkel, megfoghatatlan master/slave jumperekkel, elbaxot ezer eves hazakkal ahol eros kulso fizikai behatas szukseges a megfelelo deformaciohoz, hogy bele lehessen jatszani negy csavart.

"Ehhez az osztályoknak ki kell osztani néhány PXES CD-ket és egy leírást, ami tartalmazza hogyan állítsák be a BIOS-t CD-ről való bootoláshoz'"
Ez is felesleges, mivel egy pendrive/flopi is eleg, hogy rabootolj egy normalis bootmanagerre ami oda iranyitja a bootolast, ahova csak akarod. Egy ilyen flopival/pendrivval el tudsz inditani akar 10 gepet is, nem kell belole 20 kamionra valo.

"Ezután a live cd-n lévő Linux rendszer felismeri a számítógép hardverelemeit, a többi konfigurációs beállítást a kiszolgálón futó alkalmazások adják meg a gépnek, és a felhasználót a szokásos Windows-os bejelentkező képernyő fogadja.
A fentieknel ez sem okoz gondot, mivel minden gep ugyanannak a LiveCD-imagenek az initjet huzza le ami beallitja magat.

Amikor megtervezunk egy ilyen halozatot, ne azt tartsuk szem elott, hogy a dolgozokat, hogyan tajekoztatjuk olyan technikai dolgokrol amelyeket felesleges elsajatitaniuk, hanem arra kell jobban koncentralni, hogy minnel kevesebb ilyen dolog legyen. Pl: a fenti BIOS betanitas. :-)

Tehat, minimalizalni kell a dolgozoknak tanulandokat. Tipikus pelda, az egyik cegnek akiknek dolgoztam egy kliens oldali alkalmazast fejlesztettem. A szerveroldalon egy masik srac dolgozott, aki lusta volt vacakolni timeout figyeltetessel az egyes session-okon (ha a dolgozo nem jelentkezik ki, csak ott hagyja) es leirattatta a dolgozok szolgalati szabalyzataba, hogy KOTELESEK megnyomni a logout gombot mielott hazamennek. Erre a fonok kitalalta, hogy aki nem nyomja meg, annak fizeteslevonas jon.

---------------------
Ригидус а бетегадьбол